【建纬观点】物业公司对业主私人信息的保护
作者简介
丁泽仁 华东政法大学律师学院法学学士，英国曼彻斯特大学法学院法学硕士，现上海市建纬律师事务所房地产团队执业律师，于2018年起执业，主要从事与房地产、建设工程相关的争议解决业务、提供常年法律顾问服务。
在当前的物业管理实践中，物业公司凭借其物业管理权，获取了大量的业主私人信息，具体包括身份信息、住址信息、财产信息、出行信息等。然而目前在物业管理领域内，由于相关立法的缺失以及行政监管力量、技术限制手段的不足，物业公司对其所掌握的业主私人信息几乎拥有不受约束的处分能力，加之其缺乏保护业主私人信息的法律意识，致使业主私人信息遭到泄露和非法出售等问题层出不穷。有鉴于此，通过多种路径，在各个层面对物业公司获取和处理业主信息的行为加强监管，并加强对业主私人信息保护的呼声越发强烈。本文旨在通过分析与业主私人信息相关的法律法规，归纳当前保护业主私人信息的法律路径，并提出强化物业公司对业主私人信息保护的建议。
一、业主个人信息与私密信息的概念及范畴辨析
在目前的法律文本中并没有单独规定业主个人信息的概念，但结合《民法典》第一千零三十四条第二款关于个人信息的规定，我们可以对业主个人信息进行界定：业主个人信息是指以电子或者其他方式记录的，能够单独或者与其他信息结合识别业主个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
在业主个人信息的范畴之内有一部分为私密信息，属于个人隐私的范畴（根据《民法典》第一千零三十二条的规定，隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息）。关于业主个人信息中的私密信息，《民法典》给出的指引是适用有关隐私权的规定，没有规定的，适用有关个人信息保护的规定。通过对上述条款进行文义分析可知，业主的所有个人信息均受到法律关于个人信息保护的规定。在此基础上，对于业主个人信息中的私密信息，《民法典》关于隐私权部分的规定可以为其提供进一步的保护。
值得一提的是，在《民法典》前两次审议稿中，隐私的定义为“具有私密性的私人空间、私人生活和私人信息”，相较而言，经讨论修订之后，立法者对隐私权所包含的“私密性”更为重视。由此可见，“私密性”是界定隐私权的关键，也是在业主私人信息中区分一般个人信息和属于个人隐私的私密信息的关键。归纳而言，私人不愿意公开的信息且该信息不公开不会违反法律、自愿达成的约定和社会公共道德的，可以构成私人的私密信息。私密信息具体可包含如下类型：个人的生理信息、身体隐私、财产隐私、家庭隐私、通讯秘密、谈话隐私、个人经历隐私以及其他有关个人生活的隐私。
结合前述关于一般个人信息和私密信息的分析，就物业公司掌握的业主个人信息的范围而言，物业公司在业主办理入住、物业等相关手续时，一般均会留存业主的个人信息，包括业主姓名、联系住址、联系电话、身份证号、家庭成员情况等信息，上述信息均是法律规定的个人信息的保护范围，但并不属于私密信息，因而难以通过《民法典》中关于隐私权的相关规定进行保护。
二、物业公司获取业主私人信息的权利来源及可行的权利制约
1
物业公司获取业主私人信息的权利来源
物业公司为其提供物业管理的需要，通过行使其物业管理权获取业主的私人信息。因此，就作出行为的权利而言，物业公司进行物业管理、收集业主信息的权利基础来源于其物业管理权，而物业公司获得的物业管理权，通常情况下是业主委员会代表业主大会（进而代表业主）通过与其签订物业服务合同授予的。而根据建筑物区分所有权理论，建筑物区分所有权是指业主对于一栋建筑物中自己专有部分的单独所有权、对共有部分的共有权以及因共有关系而产生的管理权的结合。区分建筑物所有权权利的主体是业主，基于共同关系形成的区分所有建筑物整体权利的主体是业主大会，业主是业主大会的当然成员，业主的成员权只有在业主大会中才能行使和表现出来[1]。因此，物业公司被赋予的对物业（包括业主）进行管理、对业主个人信息进行获取的权利最终来源于业主的授权。
2
现阶段就物业公司获取业主私人信息可行的权利制约
就提供物业服务的义务而言，物业公司进行物业管理的逻辑前提是关于物业的权利，而该权利的主体是业主，因此物业管理的核心是业主，是对物业权利人合理权益的保护和调节，这是物业公司进行物业管理的初衷和落脚点。因此，从法理层面，物业公司对其获取的业主个人信息有保护的义务。此外，规制物业管理的法规——《物业管理条例》第一条即阐明该条例的制定是为了规范物业管理活动，维护业主和物业服务企业的合法权益，改善人民群众的生活和工作环境。因此，从法律层面上看，物业公司保护业主个人信息是其法定义务，物业公司对其获取的业主个人信息进行处分的权利受到法律的制约。
（1）民事法律的制约
根据《民法典》第一千零三十五条及第一千零三十八条的规定，物业公司以收集、存储、使用、加工、传输、提供、公开等方式处理业主个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该业主同意；（二）公开处理信息；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和物业服务合同的约定。物业公司不得泄露或者篡改其收集、存储的业主个人信息；未经业主同意，不得向他人非法提供业主个人信息，除非经过加工无法识别特定个人且不能复原。物业公司应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失；发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知相关业主并告知业主委员会，并向有关主管部门报告。此外，就业主个人信息中的私密信息而言，《民法典》第一千零三十二条及第一千零三十三条规定包括物业公司在内的任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害或者以其他方式处理业主的私密信息。
（2）行政法及刑事法律的制约
除了民事法律的规定，当物业公司严重侵犯业主个人信息及私密信息时，其可能受到行政处罚甚至承担刑事责任。从行政处罚的依据来看，在尚不构成犯罪但需要行政处罚的情况下，侵犯业主私密信息与侵犯业主一般个人信息所依据的法律并不相同。侵犯业主私密信息的行政处罚依据为《治安管理处罚法》第42条第（六）项[2]，与此不同，针对侵犯业主一般个人信息的行为，虽然《刑法》早已将此种行为规定为可以追究刑事责任，但因《个人信息保护法》长期以来迟迟未能制定，到目前也仍在征求意见、尚未生效，所以很长时间以来严重侵犯个人信息的行为在尚未构成刑事犯罪的情形下没有行政处罚的法律依据。直到2017年颁布实施了《网络安全法》，该法在规制涉及网络侵权的特定主体的同时，也规定了一般主体的个人信息保护义务[3]，并规定了相应的法律责任[4]。从《刑法》的规定看，侵犯业主个人信息情节严重的，构成侵犯公民个人信息罪，但侵犯业主私密信息的，《刑法》却没有规定侵犯个人隐私罪。由此造成的后果是，如果物业公司及其工作人员编造业主负面性的虚假隐私信息并予以宣扬以损害业主名誉，情节严重的，可以根据诽谤罪追究相关主体的刑事责任；但如果物业公司及其工作人员所宣扬的隐私信息是真实的，那么即使情节严重，根据目前刑法规定的相关罪名的犯罪构成要件，很难给予其刑事处罚，从而无法追究其刑事责任。
（3）合同义务的制约及业主的监督权
物业公司除了受到法律法规的立法约束之外，还受到来自业主的制约，业主可以凭借其本身或者通过业主委员会积极行使其法定权利及合同约定的权利对物业公司的行为进行约束。根据《物业管理条例》的规定，业主有权监督物业服务企业履行物业服务合同，因此业主可以通过业主大会行使权利，要求在同物业公司签署的物业服务合同中加入包括但不限于以下内容的制约性条款：对物业公司获取业主个人信息的范围进行严格限定；要求物业公司对其所获取的业主个人信息进行严格保护；对物业公司就业主个人信息的使用和处分行为设置严密的程序要件和约束机制；禁止物业公司主动获取和泄露业主的私密信息；就物业公司滥用权利获取、使用、泄露业主个人信息，获取或尝试获取及泄露业主私密信息的行为进行惩罚。此外，在物业服务合同履行过程中，业主可以就物业公司履行前述条款的情况进行监督，也可以通过业主大会进行周期性监督。而业主委员会作为业主大会内部的常设性机构应当积极履行其职责，代表业主与业主大会选聘的物业服务企业签订有利于保护业主个人信息的物业服务合同，并就物业公司对合同的履行进行常态化的监督。业主可以根据《民法典》第一千零三十七条的规定，向物业公司查阅或者复制其个人信息，发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。业主发现物业公司违反法律、行政法规的规定或者物业服务合同的约定处理其个人信息的，可以请求物业公司及时删除。
三、强化物业公司对业主个人信息保护的建议
除了现行有效的制度规定以及据此进行维权、行权路径，强化物业公司对业主个人信息的保护在制度上和实践操作上还有很多的优化空间。
首先，在立法层面，我国当前亟需制定涉及物业管理中业主个人信息权等各项权利保护的《物业管理法》，该法作为对物业管理行为进行调整的最高法律效力层级的基本法，可以弥补《物业管理条例》在实践操作中暴露出来的不足之处，并由此推动《物业管理条例》的进一步修缮。此外，应当尽快通过《个人信息保护法》，在立法过程中加入细致的、具有可操作性的关于保护业主个人信息的规定，并在听取社会各界群体，尤其是业主群体广泛意见的基础上不断完善。更进一步，针对物业公司侵犯业主个人信息的行为，需要在《网络安全法》之外，在其他法律中设置专门的行政处罚条款以起到更广泛的立法宣传和保护目的。在对物业公司侵犯业主私密信息的行为追究刑事责任时，因其犯罪构成要件在界定上存在复杂性和主观性，相关立法议题仍有待更深入的探讨。
其次，在实践操作层面，应当就物业公司及其工作人员获取、处理业主个人信息的行为设置完整的程序要件，列入物业公司的自我管理公约和物业管理规章制度，并在物业管理区域内进行长期公示。此外，相应物业管理区域的业主大会及其常设机构业主委员会应当同所属的居民委员会、街道办事机构以及公安机关形成信息和人员上的联动，就物业公司为进行合法、合理的物业管理依其职权而零散或整体获取的业主个人信息，向相应的居民委员会、街道办事机构以及公安机关统一储存，并将负责获取信息的工作人员的身份信息进行登记备案。物业公司及其工作人员在处理业主个人信息之前，须就其所要处理的业主个人信息的范围、内容、用途等详细情况报请相应的居民委员会、街道办事机构以及公安机关批准，并就具体处理信息的工作人员的身份信息进行登记备案。在上述措施的保障下，当业主个人信息遭到泄露时，就可以倒查到相关的物业公司及其具体工作人员，进而从反面制约相关人员的行为
最后，随着数字科技的进步，信息获取、储存及调用的技术控制方面也值得关注。例如可以尝试通过系统程序上的设置，在技术层面增加物业公司越权获取、违法保存、非法调用业主个人信息的难度。
物业管理是通过合同和规约，明确各方的权利、义务和职责而进行的一种管理活动。同时，物业管理的服务对象是人，包括物业所有人和物业使用人，其宗旨在于营造一个安心、舒适的生活、工作环境。因此，合法、规范的业主个人信息获取与处理制度的有效落实，能够让物业所有人和使用人在这种管理中更多地感受到服务的价值。
[1] 参见 杨勤法主编：《房地产法实务》，（2017）北京大学出版社，194.
[2] 《治安管理处罚法》第四十二条：有下列行为之一的，处五日以下拘留或者五百元以下罚款；情节较重的，处五日以上十日以下拘留，可以并处五百元以下罚款: ……（六）偷窥、偷拍、窃听、散布他人隐私的。
[3] 《网络安全法》第四十四条：任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。
[4] 《网络安全法》第六十四条第二款：违反本法第四十四条规定，窃取或者以其他非法方式获取、非法出售或者非法向他人提供个人信息，尚不构成犯罪的，由公安机关没收违法所得，并处违法所得一倍以上十倍以下罚款，没有违法所得的，处一百万元以下罚款。