实现个人信息“控制者—处理者”模式的与时俱进

Keeping the “Controller-Processor” Model of Personal Information Protection with the Times

欧盟个人信息保护相关法律中的"控制者—处理者"模式旨在对个人信息处理的参与者进行义务和责任的分配,我国《个人信息保护法》对该模式予以了借鉴。持"处理环境脱节论"的学者认为,"控制者—处理者"模式已经无法适应当代信息处理技术和商业模式(即"处理环境"),导致对控制者和处理者予以识别的困难,并据此提出"控制者—处理者"模式的替代方案。"处理环境脱节论"植根于"决定论"的观念,认为法律应当根据现实中的处理环境对个人信息处理的参与者进行角色分配,这一观念与处理环境流变和复杂的本质具有内在冲突。相反,"适应论"关注个人信息处理参与者的角色分配在面对处理环境变迁时的适应能力,因而更具科学性。经欧盟立法、官方指引和欧盟法院判例共同建构的"功能性路径"便体现了"适应论"的观念,赋予了"控制者—处理者"模式适应处理环境变迁的自我调整机制。对控制者和处理者予以识别的困难实则是"功能性路径"的缺陷,该缺陷可以通过场景化的指引予以缓解。在《个人信息保护法》的框架下,我国具有借鉴"功能性路径"的规范基础。我国应当将"功能性路径"融入个人信息保护的规则制定和司法实践中,以确保个人信息主体的相关权益在变化的处理环境中得到坚实保障。