十六条一千六百九十字：个人信息出现十六次，最长的一条一百六十六字讲泄露之后怎么办

人格权编最后两章，十六条一千六百九十字。

⁠​‌​‌​​‌​‌‌‌​‌​‌​​‌‌​​​​‌‌‌​‌​‌‌​​​‌​​‌‌​‌​‌​‌‌​​⁠

这两章是全编最密的部分：第五章八条六百九十一字，条均八十六；第六章八条九百九十九字，条均一百二十五，全编最高。密，是因为它们处理的事最多、变化最快——一条诽谤帖半天传遍全网，一次数据泄露波及几百万人。

前八条管名声，后八条管私密。这两件事看着不搭界，其实是同一个问题的两面：一个人在别人眼里是什么样，以及他有多少事不想让人知道。

一、十六条怎么分

两章结构不同。第五章是「权利＋抗辩」：立权之后用四条讲抗辩，加一条信用的特别规定。第六章是「权利＋行为规范」：立权、列举禁止行为，再用五条讲处理规则。差别在对面站着谁——名誉权的对面是言论自由和舆论监督，不能压掉，只能一条条划边界；隐私和个人信息的对面是商业利益和行政便利，态度更硬。

二、第一千零二十四条：名誉是社会评价，不是自我感觉

六十六字，两款。第一款立权：不得以侮辱、诽谤等方式侵害名誉。第二款是关键，也是很多原告败诉的原因：名誉是对品德、声望、才能、信用等的社会评价——是社会评价，不是自我感觉。

原告觉得自己被骂了、被冤枉了、气得睡不着，都不够。要证明的是「社会评价降低」——别人看我的眼光变了。这个证明有两种做法。

第一种，靠推定。侮辱性言辞明显、捏造的事实严重，法院可以直接推定社会评价降低，不需要原告再举证证明「谁因此看不起我」。骂人是「骗子」「小偷」「人渣」，属于这一类。

第二种，靠具体证据。同事的议论、客户的质疑、合作的终止、订单的减少。微信截图、录音、证人证言、经营数据都能用，适用于言辞不那么激烈、但确实造成影响的情形。

名誉权的主体包括法人。法人的名誉是商誉，侵害方式多为造谣产品有问题、污蔑公司违法经营、恶意差评。企业被造谣、被恶意差评怎么维权另有一套算法。法人没有精神痛苦，不能主张精神损害赔偿，但可以主张财产损失：订单减少、股价下跌、为澄清支出的费用。

三、第一千零二十五条：新闻报道的三个例外

九十九字。为公共利益实施新闻报道、舆论监督等行为，影响他人名誉的，不承担民事责任，但有三个例外：捏造、歪曲事实；对他人提供的严重失实内容未尽合理核实义务；使用侮辱性言辞贬损他人名誉。

第一个洞，捏造、歪曲。凭空编造，或把事实掐头去尾、断章取义到改变性质。前者是诽谤，后者实务中更常见也更难认定，判断标准是整体呈现的事实与原事实的核心是否一致。

第二个洞，未尽合理核实义务。针对「转载」和「引用」：消息是别人给的，媒体照发，出了事不能一句「消息来源如此」就免责。核实到什么程度算合理，看下一条的六项因素。

第三个洞，侮辱性言辞。事实全对但用词下作，照样侵权。「某公司拖欠货款」是事实陈述；「某公司是老赖、骗子、黑心企业」就是侮辱。事实和评论要分开：事实必须真实，评论可以尖锐但不能侮辱。

三个洞之外还有一个前提：这一条保护的是「为公共利益」的报道与监督，纯八卦、猎奇、蹭流量不在内。判断先看这个前提，媒体失实报道算不算侵权讲的也是它。

四、第一千零二十六条：核实到什么程度才算尽到义务

一百一十三字，六项因素。认定是否尽到合理核实义务，要考虑：内容来源的可信度；对明显可能引发争议的内容是否进行了必要的调查；内容的时限性；内容与公序良俗的关联性；受害人名誉受贬损的可能性；核实能力和核实成本。

来源可信度，看是谁说的。官方文件、法院判决、处罚决定可信度高，照引一般不担责；匿名爆料、网络传言、竞争对手提供，必须另行核实。

是否必要调查，看指控有多重。指控某医院「用过期药」，必须查病历、查进货记录、采访多方；仅仅是「这家医院排队很久」，属于体验描述。

时限性、与公序良俗的关联性、贬损可能性，看内容性质与后果：突发事件有实效压力，标准可适当放宽；涉及私德、家庭纠纷的，即使是事实，公开传播的正当性也弱；越可能造成重大贬损，义务越重。

核实能力与成本，看手里有什么。正规媒体有采访团队和法务，标准高；个人自媒体只有一部手机，标准低。但「低」不等于「零」——至少要做到交叉验证、给对方回应的机会。

实务中，被告最常犯的错误是「没联系对方就发」。哪怕事实基本属实，只要没给对方回应的机会、又造成了损害，法院也可能认定未尽核实义务。新闻报道失实损害名誉能不能索赔判的就是这个分寸。

五、第一千零二十七条：小说影射真人，照样担责

一百一十六字，两款，划了一条很实用的线。

第一款：文学、艺术作品以真人真事或者特定人为描述对象，含有侮辱、诽谤内容，侵害他人名誉权的，受害人有权请求承担民事责任。

第二款：不以特定人为描述对象，仅其中的情节与该特定人的情况相似的，不承担民事责任。

线在「特定人」三个字。

以真人为原型写小说，改了名字、职业、城市，但身边人一看就知道写的是谁——这就是「特定人」。判断标准是可识别性：姓名、职务、家庭关系、独特经历、口头禅，任何一项足以指向，都可能构成。反过来，虚构人物、情节恰好与某真人相似、但无任何指向性细节，是第二款，不担责。写一个「某公司老板」，情节与很多老板都像，不能因为某个老板自己对号入座就判侵权。

还有一个变量：内容是否贬损。即使指向特定人，内容是正面、中性的，也不构成侵害名誉。

影视剧改编风险更大。为戏剧冲突给原型加一段「婚外情」「贪污」，即使全剧主旨正面，这一段也可能构成诽谤。稳妥的做法是取得原型人物授权，或在片头注明「本片情节纯属虚构」。

六、第一千零二十八条：报道失实，先要求更正

六十字。民事主体有证据证明报刊、网络等媒体报道的内容失实，侵害其名誉权的，有权请求该媒体及时采取更正或者删除等必要措施。

这一条给了一条比起诉更快的路：先要求媒体自己改。三个要点。

第一，要有证据。不能说「你报错了，快改」，要拿出判决书、处罚决定、原始记录、权威鉴定。

第二，对象是媒体——报刊、网站、平台、自媒体账号的运营者。向平台投诉要求删除转载内容，走的也是这一条加第一千一百九十五条的通知规则。

第三，措施是「更正或者删除等必要措施」：更正是在原位置发布更正说明，删除是撤下文章，还有断开链接、标注「内容存疑」等中间做法。

这一条的价值在成本：起诉要几个月，更正可能只要几天。媒体收到有证据的更正请求后多数会配合——它们也怕赔。请求要书面、留痕，最好邮件加平台投诉双通道。对方不理就起诉，诉请里同时列「删除涉案文章」和「在原位置发布更正声明」，法院支持的概率比单纯要钱高。网上被造谣，通知删除的正确姿势讲的就是这个顺序。

七、第一千零二十九条：信用评价错了，可以要求改

八十一字。民事主体可以依法查询自己的信用评价；发现信用评价不当的，有权提出异议并请求采取更正、删除等必要措施；信用评价人应当及时核查，经核查属实的，应当及时采取必要措施。

这一条管的是信用评价——征信报告、平台信用分、行业黑名单、企业信用评级。三项：查询、异议、请求更正删除。

实务中最常见三类错误：一是身份混淆，把别人的逾期记录记到自己名下；二是事实错误，已还清的贷款显示未还、已撤销的案件显示败诉；三是评价不当，把民事纠纷标注为「失信」，把行政处罚标注为「犯罪」。

处理顺序一般三步：先向评价机构书面提异议、附证据；机构核查（条例规定二十日内答复）；属实不处理，再向监管部门投诉或者起诉。

起诉的请求权基础是这一条加第一千零三十七条，案由多为「名誉权纠纷」或者「个人信息保护纠纷」，赔偿包括纠正费用、贷款被拒或者利率上浮的损失、精神抚慰金。被平台标记失信、信用评价不当和征信报告记错了是两类最常见的案子。

要注意时效：知道或者应当知道之日起三年。很多人是贷款被拒时才发现征信有错，这个时间点就是起算点。

征信机构另有一套规则，这一条管不到全部。

采集范围、保存期限、异议处理程序，看《征信业管理条例》；查询、更正、删除权，看这一条和第一千零三十七条，两条线并行。电商平台的店铺评分、共享单车的信用分不属于征信业务，不适用条例，但仍受这一条约束；失信名单怎么进、怎么出又是另一套行政规则。

八、第一千零三十一条：荣誉不能被随便撤

九十八字，两款。民事主体享有荣誉权，任何组织或者个人不得非法剥夺他人的荣誉称号，不得诋毁、贬损他人的荣誉。获得的荣誉称号应当记载而没有记载的，可以请求记载；记载错误的，可以请求更正。

荣誉权和名誉权不一样。名誉是自发的社会评价；荣誉是特定组织授予的称号，有据可查——劳动模范、先进工作者、科技进步奖。

两种侵害方式。非法剥夺，指授予单位没有法定事由、未经正当程序就撤销称号——因为举报领导被撤销「先进个人」、因为离婚被撤销「五好家庭」，依据不足、程序不当即构成侵害。诋毁贬损，指第三人散布谣言说称号是骗来的，与侵害名誉权竞合。

第二款是两个小权利：记载请求权、更正请求权。应当记入而没有记的可以要求记，记错的可以要求改。这类案子标的不大，但荣誉往往连着待遇（职称、补贴、住房）。荣誉称号被撤销、被冒用怎么维权是另一条常见路径。

九、第一千零三十二条：隐私是四样东西

八十字，两款。自然人享有隐私权，任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害；隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。

第二款把隐私拆成四样：安宁、空间、活动、信息。

私人生活安宁，是不受电话、短信、推销、跟踪、窥探的打扰。这一项是新增的，之前法律没有明写「安宁」两个字。

私密空间，是住宅、宾馆房间、更衣室、私家车、电子邮箱、云盘、聊天窗口——不一定物理，数字空间同样受保护。私密活动，是日常生活、性生活、就医、宗教活动，看「是否属于私人性质」，不看发生在哪里。私密信息，是健康、疾病、基因、犯罪记录、住址、行踪轨迹。

四样中隐私权是自然人专有的，保护强度也不同。私密信息最强，一旦泄露难以恢复；安宁最弱，要达到「明显超过合理限度」才构成侵害——偶尔一个推销电话不算，一天二十个才算。偷拍、偷录他人隐私要负什么责任讲的正是前三样。

十、第一千零三十三条：六类行为一律禁止

一百四十八字。除法律另有规定或者权利人明确同意外，不得实施六类行为：以电话、短信、即时通讯工具、电子邮件、传单等方式侵扰他人的私人生活安宁；进入、拍摄、窥视他人的住宅、宾馆房间等私密空间；拍摄、窥视、窃听、公开他人的私密活动；拍摄、窥视他人身体的私密部位；处理他人的私密信息；以其他方式侵害他人的隐私权。

五项列举加一项兜底。

第一项，骚扰。电话、短信、即时通讯、邮件、传单，五种列举但不止——上门推销、反复按门铃、门口贴条同样算。标准是「是否明显超过合理限度」：一次电话不算，一天十个连续一个月算。

第二项，侵入私密空间。装摄像头对着邻居窗户、无人机悬停、闯进宾馆房间、偷配钥匙进前配偶家；还包括进入的准备行为。配偶偷看手机、装定位算不算侵犯隐私，争的常在「空间」这一项。

第三项，拍摄、窥视、窃听、公开私密活动。偷拍约会、偷录谈话、外传家庭监控，偷拍别人、把聊天记录发到群里是这一类。

第四项，拍摄、窥视身体私密部位：偷拍裙底、试衣间装摄像头、传播私密照片。第五项，处理私密信息：把别人的病历、身份证号、开房记录发到群里。第六项兜底，给新型侵害留口子。

开头那句限制要记住：法律另有规定或者权利人明确同意。「明确同意」必须是具体的、事前的、可撤回的，不能靠格式条款概括取得。

十一、第一千零三十四条：什么算个人信息

一百四十四字，三款。自然人的个人信息受法律保护；个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等；个人信息中的私密信息，适用隐私权的规定，没有规定的适用个人信息保护的规定。

第一款定主体：只有自然人有个人信息，法人没有。

第二款定标准：可识别性。两个路径——单独识别（身份证号、手机号、人脸），结合识别（性别加年龄加住址加职业，可能锁定到某个人）。列举九类，加一个「等」。什么才算个人信息把四个要件和匿名化这条分水岭拆开讲过。

第三款处理隐私和个人信息的关系，这是最容易混的地方。三层：私密信息（病历、性取向、犯罪记录）优先适用隐私权规则；非私密的个人信息（姓名、工作单位、消费记录）适用个人信息保护规则；交叉时先看隐私权有没有规定，有就用隐私权，没有再用个人信息保护。

这个区分有实际后果：侵害隐私权可以主张精神损害赔偿；侵害非私密的个人信息，多数只能主张财产损失和维权费用。隐私权和个人信息怎么分、两条请求权赔法不一样专门算过这笔账。

十二、第一千零三十五条：处理个人信息的四道关

一百四十三字。处理个人信息，应当遵循合法、正当、必要原则，不得过度处理，并符合四个条件：征得该自然人或者其监护人同意，但法律、行政法规另有规定的除外；公开处理信息的规则；明示处理信息的目的、方式和范围；不违反法律、行政法规的规定和双方的约定。

第二款定义了「处理」：收集、存储、使用、加工、传输、提供、公开。

三原则四条件，是合规审查的骨架。合法指有法律依据；正当指目的正当，不能靠欺骗、误导取得；必要指最小够用——一个手电筒 App 要读通讯录，就是不必要。四个条件里最容易出问题的是公开规则、明示目的方式和范围，这就是隐私政策要写的东西。很多 App 写了三万字，却没写清「收集了什么、干什么用、给谁」。

「不得过度处理」针对「一揽子授权」：一次要求同意所有权限，不同意就不给用。

那个「法律、行政法规另有规定的除外」，指《个人信息保护法》第十三条列的六种不需同意的情形。七种合法性基础的边界逐项拆过。

十三、第一千零三十六条：三种情形不担责

一百三十八字。三种免责情形：在该自然人或者其监护人同意的范围内合理实施的行为；合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外；为维护公共利益或者该自然人合法权益，合理实施的其他行为。

第一项，同意范围内。同意收集手机号不等于同意拿去卖，同意用于配送不等于同意用于营销。

第二项，已公开信息，最容易误用。已经发在微博上的照片能不能随便用？分三层：是不是本人自行公开，是不是已经合法公开，本人有没有明确拒绝。第三层是新增的——即使公开过，本人说「不要再传」就得停。

第三项，公共利益或者本人合法权益。寻人启事、警方协查通报、涉及公共安全的报道属于这一项。三项都是「合理实施」，即使免责，方式仍要合理：范围适当、方式必要、不留存超过必要期限。

十四、第一千零三十七条：查阅、复制、更正、删除

一百零九字，两款。自然人可以依法向信息处理者查阅或者复制其个人信息；发现信息有错误的，有权提出异议并请求及时采取更正等必要措施；发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。

查阅、复制是知情权的基础。不知道自己被收集了什么，后面三项都用不上。行使时请求要具体（哪类信息、哪个时间段），处理者应在合理期限内答复，拒绝的要说明理由。

更正，针对错误信息：事实错误（手机号写错）、状态错误（已还款显示未还）、评价错误（把胜诉标注为败诉）。个人信息被记错了怎么办走的就是这一项。

删除的条件很明确：违反法律、行政法规处理，或者违反约定处理。它不包括「我就是不想让你有了」——个人信息不是所有权，不能说撤回就要求全删。个保法第四十七条另多了「处理目的已实现或者不再必要」等情形。

「被遗忘权」的争议就在这里。判决书上网多年要求撤下，法院的态度是：已经依法公开的裁判文书不属于违法处理，不能仅凭个人意愿删除；但涉及个人隐私、未成年人、性侵被害人的，可以申请屏蔽或者隐名处理。能不能要求平台删除我的个人信息讲的是同一件事。

十五、第一千零三十八条：泄露之后必须做的三件事

一百六十六字，全章最长，两款。

第一款是两条禁令：不得泄露或者篡改收集、存储的个人信息；未经同意，不得向他人非法提供，但经过加工无法识别特定个人且不能复原的除外。

那个「除外」是匿名化。匿名化之后不再是个人信息，可以自由使用。但去标识化不等于匿名化——删掉姓名保留手机号仍可识别；姓名、手机号、地址全部打散重组、无法复原，才是匿名化。这个区分在数据交易和出境里是核心。

第二款是三项义务：技术措施保障安全；泄露、篡改、丢失时及时补救；按规定告知自然人并向主管部门报告。

补救是止损——修漏洞、改密码、断外网；告知是通知受影响的个人，写明泄露的信息种类、可能的影响、已采取的措施；报告是向网信、公安或者行业主管部门报告。

企业最容易漏「告知」。很多企业出了事只向监管报告，不通知用户，理由是「怕引起恐慌」。这是错的：不告知，用户无法及时改密码、防范诈骗，损失扩大部分企业要担责。泄露之后要做的补救、双通知与免通知例外有现成的流程。

十六、第一千零三十九条：国家机关也不能例外

七十一字。国家机关、承担行政职能的法定机构及其工作人员对于履行职责过程中知悉的自然人的隐私和个人信息，应当予以保密，不得泄露或者向他人非法提供。

义务主体三类：国家机关；承担行政职能的法定机构（法律授权的行业协会、事业单位）；以及两者的工作人员。

为什么单列一条？因为国家机关掌握的信息最全最敏感：户籍、婚姻、房产、纳税、就医、出行，一旦泄露后果比商业机构严重得多。典型场景：政府网站公示补贴名单把身份证号、银行卡号、住址全列上；处罚决定书公开时不脱敏；社区工作人员把居民信息发给中介；办案人员把案情透露给无关的人。

维权有两条路：民事上按这一条加第一千零三十七条要求删除、赔偿；行政上按《政府信息公开条例》《个人信息保护法》投诉、申请复议。政府机关泄露个人信息怎么办把两条路的衔接讲清了。

「履行职责过程中知悉」这个限定要注意。通过其他途径获得的信息，责任基础不完全相同，但保密义务同样在。

十七、小结：十六条里的六句话

第一，名誉是社会评价，不是自我感觉。要证明「别人看我的眼光变了」，靠推定或者具体证据。法人有名誉权，没有精神损害赔偿。

第二，新闻报道和舆论监督有三个例外不免责：捏造歪曲、未尽合理核实义务、使用侮辱性言辞。六项因素里最实用的是「有没有给对方回应的机会」。

第三，小说影射真人，只要身边人一看就知道写的是谁、又含贬损内容，就构成侵害；纯虚构、无可识别细节的不担责。

第四，隐私包括安宁、空间、活动、信息四样。六类行为一律禁止，例外只有法律另有规定或者权利人明确同意。

第五，个人信息的核心是可识别。私密信息优先适用隐私权，其余适用个人信息保护规则。处理要过三原则四条件，泄露之后必须补救、告知、报告。

第六，本人有查阅、复制、更正、删除四项权利；信用评价错了先异议、再投诉、最后起诉；国家机关同样负保密义务。

人格权编五十一章，到这里走完。从人格权的一般规则，到生命身体、姓名肖像、名誉隐私，一条一条读下来，会发现这一编的写法始终是同一个路子：先立权利，再划边界，最后给救济。权利是起点，边界是功夫，救济是底线。三条都想清楚了，才谈得上保护。

免责声明：本文依据《中华人民共和国民法典》（二〇二〇年五月二十八日第十三届全国人民代表大会第三次会议通过，二〇二一年一月一日起施行）第四编人格权编现行文本逐条解读，该编共六章五十一条、四千三百六十八字。本篇解读第五章名誉权和荣誉权、第六章隐私权和个人信息保护，第一千零二十四条至第一千零三十九条，共十六条一千六百九十字。文中条文数据经回库逐字核对。本文为一般性普法解读，不构成正式法律意见；具体案件的处理结果取决于完整事实与证据，请以执业律师的正式意见为准。