搜索
个人信息论文隐私权论文法律保护论文我国个人信息法律保护的制度建构摘要:对个人信息进行有效的法律保护是世界各国的共识,具体采取何种保护模式则因各国的政治和文化传统而异,目前在世界范围内产生较大影响的个人信息保护模式是美国的行业自律模式和欧盟的综合立法模式。基于我国关于个人信息法律保护的现状,我国应采取综合立法为主、行业自律为辅的个人信息法律保护模式,确立《个人信息保护法》的纲领性地位,同时以单行法的形式对不同权利主体和保护主体的权利义务进行设定。关键词:个人信息;法律保护;保护模式20世纪60年代以来,以电子计算机和网络互联技术为代表的信息技术革命极大地改变了人们的生活方式。通过数字化和网络化的处理,信息总量呈现爆炸式的增长态势,各种信息可以以多极化的方式传递,造成权利人对个人信息的控制能力降低。在我国,由于相关法律法规未能及时跟进,导致个人信息保护处于几乎失范的状态,“人肉搜索”等侵犯个人隐私权的现象屡屡发生。本文拟对发达国家个人信息保护模式进行比较研究,在此基础上对我国个人信息法律保护的模式选择及具体制度构建进行探讨,以期推动我国个人信息法律保护体系的完善和相关实践的发展。一、个人信息的含义及我国个人信息法律保护现状“信息”(information一词源自拉丁文“informatio”,《辞海》将其定义为“通信系统传输和处理的对象”,泛指消息和信号的具体内容和意义。①个人信息是指具备内容的可识别性和主体的特定性等特征,“据此能够直接或间接识别出特定自然人身份而又与公共利益没有直接关系的私有信息”②。世界各国立法中对个人信息的称谓不同,如普通法系国家和大陆法系国家分别采用“个人隐私(personalprivacy”和“个人数据(personaldata”,还有一些国家和地区采用“个人信息(personalinformationorinformationrelatingtoindividuals”。我国尚未出台专门的个人信息保护法,现有法律法规中涉及个人信息保护的内容有200多个条文,分散在37部法律、15部司法解释、124部行政法规和部门规章中。概言之,目前我国有关个人信息的法律保护状况是:主要通过在《护照法》、《居民身份证法》、《传染病防治法》、《执业医师法》等单行法中设置专门条款对公民的个人信息加以保护,相关规定极为分散、不成体系;在个人信息的保护手段上,主要依靠行业内部规范或信息持有人、控制人的单方承诺,由于掌握个人信息的行业如金融、电信、房地产等行业目前还没有稳定的、具有约束力的个人信息管理规范,所以个人信息管理与保护的具体格局和模式尚未形成。有学者认为,我国应采用统一的个人信息法律保护模式,将有关公共机构和私营组织收集、使用、存储、处理个人信息的行为在同一部法律中予以规范。也有学者认为我国应当采用分散立法的模式,将有关个人信息的保护内容规定在不同的法律中。笔者认为,我国应借鉴经济和互联网技术发展较快的美国和欧洲国家关于个人信息法律保护的模式,结合我国现有法律体制,理性地选择和建构我国个人信息法律保护的模式和具体制度。二、美国和欧盟的个人信息法律保护模式评析美国的行业自律模式是普通法系国家个人信息法律保护模式的杰出代表,其核心内容是:通过行业自律和单行立法相结合的方式来保护公民的隐私权。基于政府权力应受到限制和保护公民个人自由的思想,美国对个人信息采取行业自我规范和具体立法相结合的保护方式。“美国的个人信息保护是一个由针对某些特定部门的立法、工业领域的自我规范以及市场本身的强制力量所构成的复合体系。”③这种保护模式的特点是:第一,较之对公民隐私权的保护,更加关注个人自由免受公权力的侵犯。“尽管很多美国人也同意个人信息隐私权是一种权利,但仅当在受到滥用个人信息的政府行为的威胁时,这种权利才可以被视为基本人权并得到有关保护,商业背景下的个人信息保护则应区别对待。”④在美国,统一的个人信息保护立法很难被社会和公共组织一致接受。美国对个人隐私权的保护实际上是由个体消费者通过个人行为来实现的,政府在这一过程中只是起到协助和指导作用,并不直接实际介入其中。尽管美国自20世纪70年代以来制定了普遍适用于整个联邦的《隐私权法》(1974年、《电话消费者保护法》(1991年等一系列法律,但其中多数是针对某些特定情形如企业持有涉及公民个人秘密的私人信息、某些特定商业部门有可能滥用公民隐私权等的立法。行业自律模式对个人信息保护的精髓在于:“由公司或者产业实体制定行业行为规章或行为指引,为行业的网络隐私保护提供示范性行为模式”⑤。第二,保护领域的分层性是个人信息行业自律保护模式的重要特点。从内容上看,美国对个人隐私权的法律保护主要划分为公、私两个领域,分别采用不同的保护方式:在私人领域,主要通过从业者的自我约束和相关协会的监督管理来保护公民的个人隐私安全;在公共领域,美国政府制定了大量的单行法规来规范政府行为,保护公民隐私权。美国的行业自律个人信息保护模式的明显优势是:通过分散立法的方式对不同领域的隐私权采用不同的保护方式,有效避免了国家立法对个人信息正常流动的过早干预。该模式的最大弊端是缺乏合理的争端解决机制,行业自律在实践中的效果不佳。秉承国家主义和社群主义的政治文化传统,欧陆诸国公民对国家权力的态度是信赖而非防范,因此,欧盟在个人信息保护方面采取了以国家立法为主导的模式,主要通过综合立法来实现对个人信息的保护。这是一种与美国的行业自律模式截然不同的个人信息法律保护模式,其主要特征是:第一,通过双层次、综合立法对个人信息进行保护。由于欧盟本身组织结构的特殊性,其对个人信息的法律保护要经过两个层面:首先,由欧盟发布“指令”,为各成员国制定数据保护的法律框架提供依据;其次,欧盟成员国将欧盟有关个人信息保护的规定作为制定和实施内部个人信息保护立法的基本原则和最低标准,从社会生活的方方面面对数据安全进行法律保护。早在欧盟成立之前,作为其前身的欧洲共同体就公布了包括《欧洲人权公约》(1968年、《关于保护隐私与个人数据跨国界流动的准则:理事会建议》(1980年以及《欧洲系列条约第108号条约:有关个人数据自动化处理之个人保护公约》(1981年等条约,对个人信息保护给予了关注。《马斯特里赫特条约》(1993年生效后,欧盟作为一个联合欧洲12个国家的政治和经济实体组织,又制定了一系列保护公民隐私权和数据安全的法律性文件来加强对个人数据合理使用的规范,《数据保护指令》(1995年、《关于涉及个人数据处理的个人保护以及此类数据自由流动的指令》(1995年、《关于在信息高速公路上收集和传递个人数据的保护指令》(1999年、《隐私与电子通讯指令》(2002年等一系列条约或指令,对欧盟各成员国制定个人信息保护法起到了宏观指导作用。在欧盟的统一指令框架下,欧盟各成员国纷纷根据指令的内容和本国实际情况制定了个人信息保护法。如德国的《通信法案》(1996年、《多媒体法》(1997年以及《联邦数据保护法》(2002年,英国的《数据保护法》(1998年、《电子通信法》(2000年,法国的《菲勒修正案》(1996年等。第二,欧盟的个人信息综合立法规制模式更加关注对私人领域的个人信息保护。欧洲国家认为个人信息权利是公民的一项基本权利,公民对其个人信息是否公开的权利即信息自决权是决定公民个人的公众形象的主要因素。受传统国家主义理念的影响,欧盟成员国对于政府权力的限制较少,主要通过国家综合立法来确立个人信息保护的原则、具体制度和措施。欧盟的双层次、综合立法个人信息保护模式使得对个人信息的保护更加详尽、具体,但这种保护模式也有缺点,如欧盟本身对于违犯其相关规定的行为无力进行处罚,因为欧盟委员会等机构缺乏执行能力,其对于违犯数据保护法律的行为需要依赖成员国的数据保护机构来进行制裁,而欧盟成员国内部对此类行为的监督又受到很多因素的制约。三、建构我国个人信息法律保护的模式与制度(一我国个人信息法律保护的模式综合上述美国和欧洲国家个人信息保护模式的优点,我国宜采用行业自律与立法规制相结合、综合立法占主导地位的个人信息法律保护模式。这种保护模式要求:第一,制定《个人信息保护法》作为个人信息保护基本法,在其中规定国家、公共团体和私营组织有关个人信息的行为规范,制定完善的法律措施来界定信息自由流动的底线,并以此作为个人信息使用的最基本的行为准则;第二,制定相关单行法作为个人信息保护辅助立法,在其中设定行业自律性规范或要求个人信息控制人作出单方承诺,在整个社会中倡导行业自律的重要性。(二我国个人信息法律保护的理念保持信息的自由流动与公民权利之间的平衡是个人信息保护立法应当坚持的重要理念。保护个人信息的健康、有序流动不仅能够促进社会经济发展,还能推动个人最终实现自我价值。只有在一个经济高度发达的社会中,对个人信息保护的立法技巧才有可能达到极致,我国目前的经济发展水平在某种程度上还制约着对个人信息进行法律保护的立法技术水平。在这样的情势下,我国对个人信息法律保护的理念应当随着政治、经济形势的发展而变化,在经济发展占上风的时候,应当强调信息合理流动的重要性,反之,则强调公民个人信息权的保护。(三我国个人信息法律保护的基本原则在法治国家和信息化社会中,个人信息法律保护必须坚持三个基本原则:一是合法性原则,即所有对个人信息的使用必须由信息持有者依照法律规定的程序、经过权利主体的合法授权后进行;二是合理性原则,即列入个人信息法律保护范围的个人信息必须符合善良风俗和人类基本的道德价值,否则不能成为个人信息法律保护的对象;三是必要性原则,即对个人信息的保护不能阻碍人们之间正常的信息交流,这是个人信息获得保护的限制性条件。(四我国个人信息法律保护的具体制度构建我国个人信息法律保护制度的思路是:第一,制定《个人信息保护法》,确立该法在个人信息法律保护体系中的纲领性地位,在其中规定个人信息保护的基本原则、方针、国家及公共团体的权利和义务、私营企业的责任和义务以及权利救济途径等基本内容。第二,针对不同的个人信息保护主体进行单项立法。除了对国家和公共团体等的个人信息保护进行专门立法外,对于私营组织或民间企业的个人信息行为也要加以约束和监督,可将两者规定在同一部法律中。第三,协调现行法律制度中有关个人信息保护的规定,完善针对不良个人信息行为的责任追究机制。个人信息责任包括民事责任、行政责任和刑事责任三个层次:民事责任的约束力度最弱,行政责任通过国家公权力的介入、行政强制措施的采用来实现对个人信息行为更高层次的调整、监督和保护,刑事责任是最严厉的法律制裁措施,其对不良个人信息行为的矫正力度最强。以上三个层次的法律责任有机结合,共同实现对个人信息的保护。我国个人信息法律保护制度的具体内容有:第一,根据个人信息的内容,设定不同的权利主体。个人信息权利主体与个人信息保护主体是不同的,前者只能是特定的自然人,后者是解决个人信息侵权问题的法律主体。不同领域的个人信息权利主体有各自特殊的利益诉求,应当分别加以不同形式的保护。如对于医疗等特殊领域的个人信息保护,应当对相关立法如《护照法》、《律师法》、《居民身份证法》、《传染病防治法》、《执业医师法》等进行修订。第二,区分个人信息法律保护的客体。个人信息法律保护的客体即个人信息权利,它与个人信息权利主体是一一对应的关系。在现代信息社会中,个人信息不仅具有人格属性的特征,而且兼具财产属性,据此可将个人信息分为三类:一是与人身有关的个人信息,如年龄、指纹、肖像、基因信息、隐私等,这些个人信息具有鲜明的人格属性的特征;二是与财产有关的个人信息,如家庭经济收入支出情况、个人的工资收入、银行账号等,这些信息的财产属性非常明显;三是兼有人身和财产内容的个人信息,如著作、手机号码、电子邮件地址、病历档案等,此类个人信息不仅表明个人信息权利人的人格属性,而且具有一定的财产属性。以上对个人信息的不同分类,会影响到对其保护的方式和程度。立法对涉及人格属性的个人信息的保护应最为严格,对具有财产属性、兼具人格属性和财产属性的个人信息的保护应较为宽松。第三,明确个人信息法律保护的内容。个人信息法律保