侦查中个人信息处理的合法性基础

个人信息处理的合法性基础是指处理个人信息所依据的正当法律理由,属于侦查中干预个人信息权利的前置性要件。然而,在数据主义思潮的影响下,侦查机关陷入了超期存储、重复利用、片面使用、重量轻质四种行为误区,致使个人信息处理的合法性存疑。通过分析现行规范可知,侦查中个人信息处理的合法性基础在性质上属于概括授权条款而非特别授权条款,在表述上应采取正向授权方式而非反向禁止方式,在结构上应遵循多元基础而非一元基础。在制度设计上,在侦查中应形成个人信息处理的二元合法性基础,以“履行法定职责或者法定义务所必需”作为法定基础,以“取得个人同意”作为意定基础。

《个人信息保护法》第13条第1款(个人信息处理的合法性基础)评注

《个人信息保护法》第13条第1款确立了个人信息处理的合法性基础,其规范目的是平衡以信息自决为核心的多元价值及利益冲突,并与“合法、正当、必要”三原则、其他合法性基础规定及法律责任规定具有密切联系。相较于信息主体同意和同意以外的其他合法性基础的简单划分而言,更为妥当的分类方式是区分自主决定型合法性基础、引致条款型合法性基础和法益权衡型合法性基础。基于此并结合私人领域和公共领域的差异,不但能对该款所列各种合法性基础予以体系化梳理,而且能超越文义对各项规定予以解释和续造。由此便可以划定信息主体同意、履行合同必需规则、订立合同必需规则、法定职责必需规则、法定义务必需规则、正当利益规则等不同合法性基础的适用范围和主要场景,从而将信息自决的价值理念落到实处。

论正当权益作为个人信息处理的法律基础

我国《个人信息保护法》第13条有关个人信息处理的法律基础的规定,并没有为实现处理者或第三人的正当权益而允许处理个人信息的情形。有关个人信息保护的司法实践却不断遭遇处理者为了自己或他人的正当权益而处理个人信息的纠纷。立法的无视或有意的空白,并不能消除或根除为实现处理者或第三人的正当权益而处理个人信息的情形。司法实践以曲折迂回的方式,特别是用免责事由的形式,在很大程度上实现了将“正当权益”的情形作为事实上的个人信息处理的法律基础。在未来,有必要在司法裁判上或以司法解释的方式正式承认处理者或第三人的正当权益可以作为处理个人信息的法律基础。

论订立合同作为个人信息处理合法性基础的限缩适用

我国《个人信息保护法》第13条第1款第2项前段确立了“合同必需规则”,包括以订立合同作为合法性基础的情形。然而,该项仅要求“为订立……个人作为一方当事人的合同所必需”过于宽泛,既不符合目的正当性原则,又可能危及信息自决,存在隐藏的法律漏洞。为此,应对该项作目的论限缩,增加“应信息主体要求采取措施”以限制其范围。订立合同作为个人信息处理的合法性基础应符合三项构成要件:其一,处理行为发生在与信息主体订立合同的过程中,但应排除法律规定的例外情形;其二,信息主体主动要求处理者采取措施;其三,处理行为是为采取先合同措施所必需。个人信息保护法与合同法之间存在密切的体系关联,但同时又应保持其自身的独立性。

论个人信息处理的正当性基础——以合法公开的个人信息为视角

合法公开的个人信息包括信息主体自行公开和其他已合法公开两类。比较法上,很多国家(地区)将已合法公开的个人信息作为个人信息处理的正当性基础之一,我国也有类似规定。通过解读《中华人民共和国民法典》第1036条第(2)款和《中华人民共和国个人信息保护法》第27条可以看出,将已合法公开的个人信息作为个人信息处理的正当性基础存在合理性,但也存在个人信息保护和信息主体“明确拒绝”适用等问题。需妥当协调《中华人民共和国民法典》《中华人民共和国个人信息保护法》对此规定的衔接适用,做到个人信息保护和利用间的衡平。

论劳动者个人信息处理的合法性基础

劳动场景有别于一般生活场景,劳资双方在经济地位、技术认知上的非对称性关系所形成的权力势差,极易损害劳动者的个人信息权益。传统告知同意机制在劳动场景中面临着实质要件虚化的困境,劳动者个人信息处理的合法性判定方法逐渐转向"必需"事由这一客观性标准的适用。然而,现行立法模糊的"必需"亦会产生滥用问题,仍难以破解用人单位与劳动者之间的利益冲突。为细化"必需"事由的适用规则,建议采用场景化的分析方法综合考量信息处理活动中的利益与风险,针对用人单位个人信息处理行为的正当性、必要性构建具体的评估测试标准。

处理个人信息行为的合法性判准——从《民法典》第111条的规范目的出发

《民法典》第111条规定了一项以保护“控制个人信息传播”为目的的个人信息权。控制个人信息传播的意义在于塑造“他人眼中的自己”,是个体自由发展人格的组成部分,该利益因此不同于其他利益,具有独立性和内在重要性。由“控制个人信息传播”的性质所决定,在信息主体“知情同意”的前提下,他人的个人信息处理行为具有合法性。个人信息权有其内在限度,《民法典》第111条对控制个人信息传播利益的保护并非绝对。在未经信息主体许可的条件下,如果处理他人信息的行为的理由在分量上超过信息主体控制个人信息利益,同样具有合法性。

侵权责任视角下个人信息处理合法性基础的认定

1引言在目前广泛讨论的个人信息赋权模式下,权利概念的形式理性的基本要求往往被忽视,即所谓的个人信息权是否达到了排除效能、归属效能,还有社会典型公开性的检验,是否达到形式理性所要求的权利特征。笔者认为,目前只是走在权利化的道路上,更多应从司法实践上,即对《个人信息保护法》与《民法典》侵权责任编之间的逻辑关系如何,如何协调好个人信息保护的一般法与专门法的复杂关系,如何实现个案裁判中法律适用的统一等问题进行研究回答,以实现个人信息上承载的权益的保护实效性。

《个人信息保护法》第13条第1款第2项(合同中个人信息处理)评注

《个人信息保护法》第13条第1款第2项前段“为订立、履行个人作为一方当事人的合同所必需”,确立了合同订立与履行中个人信息处理行为的合法性基础。其中,就“合同”的适用应限定于民事合同关系;“订立与履行中”可解释为从先合同义务中的“合同准备”到合同履行完毕这一全过程。主体要件“个人作为一方当事人”应作目的论限缩,个人信息主体需满足年龄与民事行为能力双重要件。对“必需”的判定应当以合同目的作为判断基准,且禁止将个人信息处理行为直接作为合同目的,必要时可引入“场景理论”模型开展续造工作,结合合同类型、合同关系的内容以及基本目标,比照规范性文件、交易习惯等予以确定。

论同意不是个人信息处理的正当性基础

无论是国际法规范和多数国家的个人信息保护法,还是以网络服务商为代表的用户协议、服务条款和隐私权政策,均就个人信息处理的同意作了相关规定,将同意作为个人信息处理的正当性基础,已经成为一种理论上的通说和实践中的通行做法。然而就判断个人信息处理的正当性基础而言,同意规定的实质是事先判断,即在个人信息处理行为发生之前,如若信息处理者取得了信息主体的同意,则意味着其处理行为具有正当性。在大数据时代,个人信息处理行为的规制原则应是防止滥用,而非严格保护,故对个人信息处理行为是否具有正当性的考察宜采用责任规则及事后判断的方式,同意不应是个人信息处理的正当性基础。通过赋予信息主体删除权,并构建一种"宽进严出+删除权"的个人信息保护策略,可以在合理保护信息主体权益的基础上最大程度利用个人信息,推动经济的发展和社会的进步。

国有档案开放中个人信息处理活动的法理逻辑及规范架构(摘编)

要实现档案开放利用与个人信息保护的平衡,亟待厘清国有档案开放中个人信息处理活动的法理定位及合法性基础,并以此构建完善其依法运作的规范架构。国有档案开放中个人信息处理活动的公法定位:第一,行为法定性。档案馆属于法律、法规授权的提供档案公共服务的组织,具备成为行政主体的资格,国有档案开放中个人信息处理活动属于档案馆依法履行法定职责的实践形态。第二,目的公共性。

数字经济时代个人信息处理的法律基础

在数字经济时代,为实现个人信息保护与利用的平衡,2021年8月20日通过的《个人信息保护法》明确将规范个人信息处理活动作为立法目的之一,并围绕其具体构建个人信息处理制度。个人信息处理的合法性事由不仅包括知情同意,还可涵盖法律、行政法规规定的其他情形;而敏感个人信息一经泄露或非法使用即会产生侵害权利的高度风险,其处理应受到严格限制。应在解释论上进一步完善个人信息处理制度,构建知情同意的动态信息披露机制,完善个人信息处理的合法性事由,确立“原则禁止、法定允许”的敏感个人信息处理原则,从而奠定数字经济时代个人信息处理的法律基础。

比例原则在雇员个人信息保护中的构造及适用

比例原则在雇员个人信息保护中具有独特价值,可为劳雇双方利益衡量提供程序与标准,矫正雇员个人信息保护失衡状态。在构造上,四项分析要素为雇员个人信息权益所受损害、雇主手段成本、雇主经济利益与社会公共利益;审查程序为包含目的正当性、适当性、必要性与均衡性的四阶审查程序;目的正当性程序采用形式而非实质审查标准,适当性程序采用主客观结合的审查标准,必要性和均衡性程序采用客观化审查标准。在适用上,建议借助比例原则检讨《个人信息保护法》第13条第1款第2项“人力资源管理所必需”之合法性基础,并在职场监控等案件中强化劳雇双方利益衡量。

论个人信息的禁止处理原则——以《个人信息保护法》第10条的解释为展开

《个人信息保护法》第10条规定的个人信息禁止处理原则,以《宪法》“人格尊严”条款及《民法典》“个人信息保护”的规定为基础,对于个人信息处理的合法性判断、个人信息权益保护等有规范效力。第10条所涉规定具有开放性。在解释和适用第13条个人信息处理的合法性规则时,应结合第10条所规定的禁止处理原则进行。个人信息禁止处理原则体现了个人信息权益保护优先的理念,但并非禁止个人信息的合理流动。在欠缺明确规则基础的情形下,应结合合目的性、最小化以及比例等原则,判断是否存在个人信息的非法处理。有疑义时,固然应在个案中具体判定个人信息处理合法与否,但应以个人信息的禁止处理原则为基本的出发点和结果约束。

论共同处理个人信息的侵权损害赔偿责任

《个人信息保护法》第20条对两个以上个人信息处理者的共同处理行为进行规制,规定了共同处理个人信息的侵权损害赔偿责任。第2款虽然采纳了“依法承担”之表述,但在性质上仍属于独立的请求权基础,包含完整的构成要件与法律效果。如果将其参引《民法典》多数人侵权责任的规定,将面临规范目的无法融洽、构成要件适用困难等难题。“个人信息处理者共同处理个人信息”构建了共同处理的基本场景,对此,应坚持功能性路径,借鉴动态系统论原理,结合协作意愿、目的相似性、相互访问数据库的可能性以及信息主体的客观预期等要素,综合考察具体场景中信息处理者实际施加的影响力,进行共同处理的场景识别。认定共同处理者承担侵权损害赔偿责任,应满足如下要件:共同处理者应参与处理行为,但无须均实施直接侵权行为;造成的损害包括财产及精神损害;主观归责采过错推定原则;因果关系证明采对受害者有利的证明规则以矫正信息主体证明能力不足、证明成本过高的劣势地位。

论个人信息主体基础法益的设定与实现——基于“个人信息处理规则”反射利益的视角

我国民法典和个人信息保护法并没有确立“个人信息权”概念,但有关条文使用了“个人信息权益”的概念表述,由此带来了关于“个人信息权益”的理解困惑。从法律实证的角度来说,现行法其实并未对个人信息主体基础法益进行直接确权,而是将其隐含规定在对“个人信息处理规则”为重心的体系设计之中,呈现为一种反射利益意义的基础法益设定。在这种意义上,可以将“个人信息处理规则”视为“以保护他人为目的的法律”。针对个人信息处理规则隐含个人信息基础法益的特点,我国个人信息保护法还引入了以强化多重治理体系、压实行为主体责任为内容的独特实现路径,具体包括“个人在个人信息处理活动中的权利”“、个人信息处理者的义务”“、履行个人信息保护职责的部门”“、法律责任”四个方面的合力。以此为分析,可知我国个人信息保护法第四章“个人在个人信息处理活动中的权利”,其所确立的多项个人信息保护权,属于强化治理体系结构中的机制内涵,而不可混同理解为基础法益。这些权利因具有请求权的形式,也称个人信息保护请求权,可以纳入广义人格权请求权的范畴。

个人信息保护架构下“知情同意”原则之困境———以“淘宝诉安徽美景科技公司”案切入

通过我国现行个人信息保护的相关立法及司法实践来看,信息主体的知情同意是个人信息收集和开发使用的普遍合法性前提。结合对个人信息利用过程中需要保护的各方利益来看,以知情同意为核心的传统个人信息保护架构,既无法为公民隐私提供实质性的保障,又成为制约数据二次开发的桎梏。基于此,本文在比较法视野下探索差异化、多元化的合法性基础架构,寻找个人信息处理规则新路径。

个人信息保护立法面临的两难选择

个人信息权益本身是一个较为复杂的保护对象,其中存在着多元的利益主体和多组权利关系,立法一方面需要借鉴现有的实践和域外经验,一方面又要兼顾内在的体系,再加之其本身的因素,就会带来多处“两难选择”,其中包括:保护范围的延伸给合法性基础带来的调整应当是趋严还是趋宽、合法性基础是否应当贯穿整部立法、是否应当允许特殊场景之下的同意标准出现一些变动甚至是例外、是否应当对权利进行合理限制以起到一定的正向激励作用等,笔者及团队在行业研究过程中总结了上述现象,结合域内外的立法比较对当前《个人信息保护法(草案)》的具体内容进行分析,并尝试提出解决问题的方向和建议。

论国家机关处理个人信息的合法性基础

我国个人信息保护法对国家机关处理个人信息作出了特别规定,但未明文解释其适用对象或澄清处理的合法性基础。个人信息保护领域的国家机关应采广义,除了通常的国家机关,还包括法律、法规授权提供公共服务的组织和规章授权组织。根据我国个人信息保护法第13条和民法典第1036条,国家机关处理个人信息具有多元的合法性基础:法定基础包括履行法定职责所必需,订立、履行合同或人事管理所必需,为应急所必需,合理处理已自愿或合法公开的个人信息,法律、行政法规规定的其他情形;意定基础指取得个人同意;酌定基础指为维护公共利益或者信息主体合法权益而合理处理个人信息。不同的合法性基础对应不同的告知同意规则,需准确理解适用。

个人信息使用的合法性基础——数据上利益分析视角

根据我国现行个人信息相关立法,知情同意是个人信息收集和使用的普遍前提。通过对个人信息需要保护的利益分析,我们发现,个人信息上不仅附着了信息主体的人格尊严和自由利益,个人信息使用者的利益和公共利益也是个人信息法律制度需要保护的重要利益。基于此,本文认为,知情同意不是且不应成为个人信息处理的唯一合法性基础,在个人信息保护法制定中应首先明确个人信息上的利益,然后根据个人信息上的利益之间的平衡建构个人信息的使用规则,建立多元的合法性基础。