【脑机接口法律治理】（二）中国隐私权与个人信息权益制度下的大脑隐私保护

作者：王盛军 | 2026.08.25

「正文共计约1800字，阅读全文约需7分钟」

在我国，神经数据与大脑隐私的保护，依托《民法典》隐私权、个人信息权益制度，以及《个人信息保护法》《数据安全法》等法律法规得以实现。

隐私权属于人格权，是保护大脑精神隐私的核心基础。

《民法典》规定，自然人享有隐私权，隐私包括私人生活安宁、私密空间、私密活动和私密信息。

从立法体系上看，个人信息归属基于人身自由、人格尊严产生的人格权益范畴。《民法典》将个人信息保护与隐私权合并成章，明确规定：自然人的个人信息受法律保护；个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

隐私权侧重保护私密领域，比如私密空间、私密活动、私密信息。个人信息保护侧重规范信息处理行为，比如收集、存储、使用、加工、传输、提供、公开等。二者保护范围存在交叉，当信息同时属于私密信息时，优先适用隐私权规定。

二者同源于人格尊严，故在人格权编之下合并成章；二者保护侧重不同，功能上无法相互取代，故分设规则、各司其职。这套制度安排厘清保护边界，实现人格权益保障与个人信息合理利用的平衡，回应数字时代的治理需求。

人脑的思维、情绪、潜意识、价值偏好等内在精神活动，是典型的私密信息，是具有高度私密性的隐私。

按照《民法典》的隐私权保护规定，在脑机接口场景下，未经本人明确同意，任何人不得采集、窥探、存储、解码神经活动，更不能泄露、干预个体内在精神世界。

按照《个人信息保护法》的规定，以电子或者其他方式记录、能够识别特定自然人的信息，均属于个人信息。被设备记录的神经数据直接反映大脑状态与精神活动，可以定位特定个人，落入个人信息的规制范围。

和普通个人信息相比较，神经数据的风险危害性更为突出。若发生泄露或被非法使用，有造成人格尊严受损、个人内心隐私遭到窥探的现实风险。结合法律要件做学理分析，部分神经数据可以归入敏感个人信息的范畴，进而需要适用严格的个人信息保护规则。

依托隐私权与个人信息权益双重保护机制，我国已形成针对神经数据的合规框架，学界将其中精神层面的相关利益概括为“大脑隐私”，该概念并非我国成文法律的法定术语。

数据采集阶段，如果神经数据属于敏感个人信息，医疗机构、科研单位、企业不得采用默认、捆绑的方式获取同意，应当清晰告知数据用途、使用范围、存储期限与潜在风险，取得当事人独立、明确的单独同意之后，方可采集脑电信号及神经数据。

数据使用与解码阶段，处理行为不能逾越事先告知的处理目的边界。基于个人信息保护的目的限制、最小必要原则，不应超范围解析思维、情绪、心理偏好，不应利用神经数据不当构建人格画像，也不得借助数据实施精神干预、定向操控。

存储、传输阶段，处理者应当落实个人信息安全保护义务，可采取加密防护、安全监测等技术手段，防范神经数据泄露、篡改、灭失，降低精神层面利益遭受侵害的风险。

医疗、科研是脑机技术两大核心应用场景，行业伦理规范对法律规则形成有效补充。

医疗场景中，脑机康复、神经监测、病灶检测产生的神经数据，应当优先服务于诊疗目的；医疗机构负有患者信息保密义务，若要将数据用于诊疗以外的商用、对外共享等其他用途，应当取得患者充分有效的授权。

科研场景下，开展所有涉及人脑、神经、人体受试者的生命科学研究，应当履行伦理审查程序。研究人员应当充分向受试者告知风险，严格限定数据使用边界，杜绝违规采集、滥用神经数据，恪守科研伦理底线。

权利救济层面，现行法律可以提供多层次维权途径。遭遇非法采集、泄露、滥用已经记录的神经数据，或是个人私密领域被非法窥探、侵扰时，当事人可依据《民法典》，主张侵权方承担停止侵害、删除数据、赔礼道歉、赔偿损失等民事责任。

针对违规处理神经数据的企业和机构，监管部门可以依据个人信息保护相关法律作出行政处罚；情节严重，构成侵犯公民个人信息罪等犯罪情形的，相关主体需要承担刑事责任。需要注意，刑事追责以存在可记录的公民个人信息为前提。整体来看，这套救济体系可以应对当前多数神经数据相关的侵权纠纷。

我们是在现有法律框架内应对脑机接口衍生的隐私问题，但这个模式也存在局限性。比如《民法典》《个人信息保护法》界定个人信息，要求信息以电子或者其他方式记录。传统个人信息治理侧重事后管控，而神经活动持续自发产生，不以采集、留存记录为发生条件。脑机设备连通人脑，即便没有留下存储记录，也不代表相关侵害行为不会成立。仅依靠事后追责难以防范风险，需要建立源头前置规范，完善新型侵权规制条款，以便形成适配脑机时代、兼顾技术创新与人格尊严保护的方案。