The Public Law Construction of Government Agencies’Obligations to Disclose When Handling Personal Information in the Digital Age

The protection of personal information plays an extremely important role in the construction of digital government.The duty to inform is a prerequisite core obligation that the government should fulfill in processing personal information,a concrete expression of the right to self-determination of personal information,and a prerequisite for the right to protection of personal information that works as a fundamental right to defense the intrusion from the government,as well as a procedural regulatory tool to restrain the government’s information power and prevent the risk of infringement.As the rules on the processing of personal information and the duty to inform have both the nature of public law,the government’s processing of personal information is also public law in nature,especially because of the constitutional value and power control function of the duty to inform,the construction of a system for the duty to inform cannot be copied from the rules applicable to private subjects,but should be tailored to the public law characteristics of the government’s processing of personal information,overcoming the shortcomings of the current rough and fragmented legislation,and set up a systematic regulation based on the public law in term of the legal subject,procedure,content,consequences of obligation violations and legal protection.

论正当权益作为个人信息处理的法律基础

我国《个人信息保护法》第13条有关个人信息处理的法律基础的规定,并没有为实现处理者或第三人的正当权益而允许处理个人信息的情形。有关个人信息保护的司法实践却不断遭遇处理者为了自己或他人的正当权益而处理个人信息的纠纷。立法的无视或有意的空白,并不能消除或根除为实现处理者或第三人的正当权益而处理个人信息的情形。司法实践以曲折迂回的方式,特别是用免责事由的形式,在很大程度上实现了将“正当权益”的情形作为事实上的个人信息处理的法律基础。在未来,有必要在司法裁判上或以司法解释的方式正式承认处理者或第三人的正当权益可以作为处理个人信息的法律基础。

已公开个人信息处理规则的构造及适用——以合法处理事由为中心

立法规定在合理范围内处理已公开个人信息豁免同意,“已公开”作为豁免同意规则的合法处理事由,但是个人(信息主体)明确拒绝的除外,以及“对个人权益有重大影响的”还需取得个人同意,以此为基点形成了耦合式、层次化但遵循了平衡逻辑的规则体系。一方面,规则体系表达了调和个人信息自决和适当必要保护、个人利益与公共利益、同一保护和差异保护、保护成本与流通收益的期许;另一方面,由于规范构成要件因素具有不确定性,规则体系内部以及与外部关系尚处于“混沌”状态。要解决此问题,须以“合法处理事由”为切入点,在明确规则体系内部关系及各要件意蕴的基础上厘清“已公开”“在合理范围内处理”“个人明确拒绝”“对个人权益有重大影响”与相关规范构成要件因素之间的关系,进而调适处理规则体系,使之协调统一。

个人信息保护视域下用户标签的法律属性与分层治理

目前学界对用户标签属性的讨论主要集中于其是否为个人信息,并以此为基础建构相应的保护机制。然而,现有讨论主要基于标签本身能否识别到具体个人的静态考量,无法准确把握其本质。通过对用户标签生成过程及机理的动态考察可以发现,用户标签对个人信息的碎片化处理并不能否定其个人信息的本质属性,但在形成的不同阶段其权利构成有所不同。因此,用户标签的治理应当根据不同阶段的权利构成进行分层治理。信息收集层的权利基础是用户对个人信息的自主控制,用户享有是否同意个人信息处理行为的绝对权;标签生成层的权利基础是维护秩序合理和平衡的国家义务,用户享有免于歧视或错误评判的相对权;标签应用层的权利基础是避免用户标签应用侵害用户实体利益、支配个人意志,用户享有维系人格和权利保障的防御性权利。用户标签治理需要根据不同层级以充分知情和自主决定、人为干预和用户控制,以及多维拒绝和规则解释为基本目标进行制度建构和规制适用。

论大数据背景下的个人信息自决权——由“大数据杀熟”引发的思考

大数据时代背景下,“大数据杀熟”给个人生活造成多方面困扰。个人信息自决权是有效规避“杀熟”的手段之一。有别于隐私权,个人信息自决权的内涵体现为自主自决,是积极控制之权利,其保护对象是具有可识别性和关联性的个人信息。个人信息自决权是一项具体的人格权,具有自身的独立性和所承载人格利益的特殊性。传统意义上的具体人格权体系的构造及其内容无法涵盖民事主体个人信息自决权的利益。合理设置个人信息自决权作为具体人格权的规范构造,要从权利义务主体、客体范围、权利义务内容三个方面开展。从比较法角度观察,反省我国创设个人信息自决权的必要性,能够实现个人信息全面且高度的保护。此外,个人信息自决权的创设在我国已具备现实性、客观性及坚实的法律基础,但明确个人信息自决权作为一项独立的具体人格权的法律地位,仍然是亟待完成的一项时代课题。

免于同意之合同所必需规则的原理探究与落地适用

作为“同意例外”情形之一的合同所必需规则为个人信息保护与合理利用的动态利益平衡提供了规范依据。依据《个人信息保护法》第13条第1款第2项的规定,合同所必需规则包含两种情形:一是个人作为一方当事人与作为另一方当事人的处理者订立合同所必需;二是上述双方主体为履行合同所必需。《个人信息保护法》设立合同所必需规则并无“架空”告知同意规则之意,处理目的、处理范围以及处理场景可作为合同所必需规则的三层条件限定。据此,从常见的个人信息处理场景出发,对合同所必需规则的适用展开进行了列举。此外,还应从法律效果上准确把握合同所必需规则。首先,合同所必需规则并不排斥其他合法性基础的适用。其次,适用合同所必需规则可豁免同意征求,但不及于“重新取得同意”与“撤回同意”的情形。再而,合同所必需规则仅豁免处理者的同意征求义务,处理者仍需遵守个人信息处理规则。最后,应明晰合同所必需规则的适用多为个人信息被处理者收益。

未成年人个人信息同意能力的理论证成及判定

基于未成年人独立发展以及未成年人个人信息自决权行使之需要,未成年人在个人信息处理活动中应具备独立的同意能力。同意能力具有不同于行为能力的独立价值,其仅涉及对信息主体自身权益的防御性处分与让渡,不涉及交易安全价值的维护,对意思能力的要求更低。同意的性质并不影响同意能力的独立价值。实践中同意能力与行为能力的混同源于对个人信息处理行为与基础的服务合同关系的混淆。在同意能力的判定上,应突破年龄标准的局限性,结合个人信息类型、处理目的及处理方式等因素综合判定。8周岁至14周岁之间的未成年人接受符合其认知的在线学习、网络社交、在线影音等基本功能服务,个人信息处理者以非共享方式处理满足最小化原则的非敏感个人信息时,不满14周岁的未成年人可独立同意;在个性化服务场景以及未成年人敏感个人信息处理场景下,即使已满14周岁的未成年人仍不具备相应的同意能力。

《个人信息保护法》视野下的我国图书馆读者个人信息保护——法理思考及实现路径

《中华人民共和国个人信息保护法》的颁布为图书馆读者个人信息保护提供了新的指引与法律保障。研究图书馆读者个人信息保护问题具有较大的理论价值和现实指导意义。文章首先对我国有关“个人信息保护”立法概况予以梳理,列举《个人信息保护法》的内容框架;然后以《个人信息保护法》为指引,对图书馆读者个人信息保护进行法理分析与思考;最后探讨《个人信息保护法》视野下我国图书馆读者个人信息保护的实现路径。结论认为,应从4个方面探寻我国图书馆读者个人信息保护的实现路径:争取读者个人信息保护与个人信息服务利用之间的平衡,彰显图书馆核心价值;立足《个人信息保护法》,完善图书馆读者个人信息保护的法规体系;设立读者个人信息保护馆员,加强专职管理;区分读者群体,注重读者个人敏感信息的保护。

《个人信息保护法》第13条第1款(个人信息处理的合法性基础)评注

《个人信息保护法》第13条第1款确立了个人信息处理的合法性基础,其规范目的是平衡以信息自决为核心的多元价值及利益冲突,并与“合法、正当、必要”三原则、其他合法性基础规定及法律责任规定具有密切联系。相较于信息主体同意和同意以外的其他合法性基础的简单划分而言,更为妥当的分类方式是区分自主决定型合法性基础、引致条款型合法性基础和法益权衡型合法性基础。基于此并结合私人领域和公共领域的差异,不但能对该款所列各种合法性基础予以体系化梳理,而且能超越文义对各项规定予以解释和续造。由此便可以划定信息主体同意、履行合同必需规则、订立合同必需规则、法定职责必需规则、法定义务必需规则、正当利益规则等不同合法性基础的适用范围和主要场景,从而将信息自决的价值理念落到实处。

数字时代个人信息的法律保护—— 以“合法、正当、必要”原则为中心

数字时代,网络运营者及其他主体处理个人信息更趋便捷化,个人信息安全风险加大。通过分析“合法、正当、必要”原则内在逻辑关系并结合限制理论得出,该原则可有效遏制人性贪婪,实现对个人信息保护“外部环境”限制,提高信息主体认真对待个人信息意识。“合法、正当、必要”原则作为个人信息处理的正当性基础,符合加强个人信息私法保护理念,体现私权保护宗旨,尊重信息主体自决权,并可兼顾个人信息保护、数字发展和社会公共利益三者间衡平。

论个人信息处理的正当性基础——以合法公开的个人信息为视角

合法公开的个人信息包括信息主体自行公开和其他已合法公开两类。比较法上,很多国家(地区)将已合法公开的个人信息作为个人信息处理的正当性基础之一,我国也有类似规定。通过解读《中华人民共和国民法典》第1036条第(2)款和《中华人民共和国个人信息保护法》第27条可以看出,将已合法公开的个人信息作为个人信息处理的正当性基础存在合理性,但也存在个人信息保护和信息主体“明确拒绝”适用等问题。需妥当协调《中华人民共和国民法典》《中华人民共和国个人信息保护法》对此规定的衔接适用,做到个人信息保护和利用间的衡平。

论《个人信息保护法》与《民法典》之关系定位及规范协调

《民法典》和《个人信息保护法》均对个人信息保护制度作出了较为系统之规定,这既提升了个人信息保护的规范密度,又对二者的衔接及协调提出了较高要求。对此,一种颇有影响的学术观点认为,《个人信息保护法》乃《民法典》的特别法,因此,当二者发生规范冲突或竞合的时候,应当优先适用作为特别法的《个人信息保护法》。不过,这种观点值得商榷:其一,一般法与特别法之区分具有相对性,不可一概而论;其二,按照这种观点,《民法典》所规定的个人信息保护制度势必将沦为具文,显非合理。在实践中,若《民法典》和《个人信息保护法》针对同一事项作出了不同的规定,应在个案中作妥善调适,结合个案具体情况和相关立法的规范目的,进行深入的利益权衡和价值判断,以确定如何适用法律,获取较为妥适的法律适用效果。

大数据背景下个人信息处理行为的法律规制——以个人信息处理行为的双重外部性为分析视角

大数据背景下个人信息处理行为既引发数据安全风险等负外部性,也会带来分享经济价值实现等正外部性,“大数据悖论”现象揭示了双重外部性成因。基于“外部性内在化”原理赋予信息主体以个人信息权并赋予数据控制者以大数据财产权虽有助分别规制其双重外部性,但网络大数据背景下其双重外部性规制彼此交互影响而面临两难困境。法经济学关于“损害之相互性”理论证立了基于“风险导向理念”规制个人信息处理以破解其两难困境的经济逻辑。大数据产业发展有赖个人信息处理的“外部性外部化”而实现分享经济。法经济学关于“公地喜剧”理论证立了基于“外部性外部化”规制个人信息处理而满足大数据产业发展需要的经济逻辑。大数据背景下个人信息处理的规制有赖从“压制型法”到兼及“回应型法”的理念转换,从“外部性内在化”兼及“外部性外部化”的机制并举,从数据资源权利配置兼及数字技术权力干预的措施协同,实现大数据产业创新与个人信息安全的有机平衡。

论个人信息的禁止处理原则——以《个人信息保护法》第10条的解释为展开

《个人信息保护法》第10条规定的个人信息禁止处理原则,以《宪法》“人格尊严”条款及《民法典》“个人信息保护”的规定为基础,对于个人信息处理的合法性判断、个人信息权益保护等有规范效力。第10条所涉规定具有开放性。在解释和适用第13条个人信息处理的合法性规则时,应结合第10条所规定的禁止处理原则进行。个人信息禁止处理原则体现了个人信息权益保护优先的理念,但并非禁止个人信息的合理流动。在欠缺明确规则基础的情形下,应结合合目的性、最小化以及比例等原则,判断是否存在个人信息的非法处理。有疑义时,固然应在个案中具体判定个人信息处理合法与否,但应以个人信息的禁止处理原则为基本的出发点和结果约束。

“数字战役”背景下个人信息处理 行为的利益平衡机制--基于双重外部性视角

“数字战役”背景下,大数据分析及数据价值挖掘不仅因“数据红利”带来个人信息数据在研判疫情发展态势、实施精准防控策略、完善医疗卫生事业等方面的正外部性,也会引发个人信息泄露、隐私侵犯、权利损害等数据安全风险的负外部性。由于多元主体间不同诉求的冲突与矛盾,其双重外部性呈交互影响、交互损害的两难困境。文章在对个人信息权进行权利界定的基础上提出个人信息处理行为的双重外部性规制有赖于构建“外部性内在化”与“权利救济”为一体的保护体系,以推动社会整体福利达到“帕累托最优”状态。

论劳动者个人信息处理的合法性基础

劳动场景有别于一般生活场景,劳资双方在经济地位、技术认知上的非对称性关系所形成的权力势差,极易损害劳动者的个人信息权益。传统告知同意机制在劳动场景中面临着实质要件虚化的困境,劳动者个人信息处理的合法性判定方法逐渐转向"必需"事由这一客观性标准的适用。然而,现行立法模糊的"必需"亦会产生滥用问题,仍难以破解用人单位与劳动者之间的利益冲突。为细化"必需"事由的适用规则,建议采用场景化的分析方法综合考量信息处理活动中的利益与风险,针对用人单位个人信息处理行为的正当性、必要性构建具体的评估测试标准。

我国《个人信息保护法》立法背景与制度详解

《个人信息保护法》于2021年8月审议通过,并于2021年11月起正式施行,这推动中国个人信息保护法律制度体系的确立。首先,系统介绍了《个人信息保护法》制定的背景情况,立法历经3次审议,坚持问题导向,特点鲜明、意义重大;其次,分析了《个人信息保护法》的制度规则,重点介绍了个人信息的概念范围,处理个人信息的基本原则、合法性基础、相关主体权利义务、跨境提供规则以及法律责任等;最后,总结了个人信息从“间接保护”到“直接保护”再到“全面保护”的历程。

突发公共卫生事件中个人信息处理规则研究

突发公共卫生事件中对个人信息的处理有效推动了防控工作的开展,但个人信息侵权行为的频发暴露出我国个人信息保护制度与公共卫生法治体系的不健全。个人信息处理面临着分散立法、身份认定、范围界定、知情同意四个方面的现实困境。基于突发公共卫生事件中个人信息的复合法益属性,尤其是公共利益属性的凸显,结合域外先进立法经验,提出突发公共卫生事件中个人信息处理的规范化路径,包括规范信息收集主体和收集手段、严格限定信息处理的防控目的、完善个人信息梯度保护体系、构建个人信息全程监管机制。

论共同处理个人信息的侵权损害赔偿责任

《个人信息保护法》第20条对两个以上个人信息处理者的共同处理行为进行规制,规定了共同处理个人信息的侵权损害赔偿责任。第2款虽然采纳了“依法承担”之表述,但在性质上仍属于独立的请求权基础,包含完整的构成要件与法律效果。如果将其参引《民法典》多数人侵权责任的规定,将面临规范目的无法融洽、构成要件适用困难等难题。“个人信息处理者共同处理个人信息”构建了共同处理的基本场景,对此,应坚持功能性路径,借鉴动态系统论原理,结合协作意愿、目的相似性、相互访问数据库的可能性以及信息主体的客观预期等要素,综合考察具体场景中信息处理者实际施加的影响力,进行共同处理的场景识别。认定共同处理者承担侵权损害赔偿责任,应满足如下要件:共同处理者应参与处理行为,但无须均实施直接侵权行为;造成的损害包括财产及精神损害;主观归责采过错推定原则;因果关系证明采对受害者有利的证明规则以矫正信息主体证明能力不足、证明成本过高的劣势地位。

个人信息匿名化处理法律标准探究

个人信息匿名化处理法律制度作为联通个人信息保护与个人信息流通利用的制度桥梁,能够以一种隐私友好的方式满足社会的信息需求。我国现行“无法识别特定个人且不能复原”的匿名化处理法律标准缺乏可操作性,难以有效规范匿名化处理实践。我国可以确立操作方法标准与识别风险检验标准协同的匿名化处理法律标准:关于操作方法标准,可以在技术领域确定适用于直接标识符和间接标识符的匿名化处理措施指南;关于识别风险检验标准,可以引入“蓄意侵入者检验”标准,明确规定侵入者的识别动机和识别能力。通过操作方法维度与识别风险检验维度的协同作用,最终实现“无法识别特定个人且不能复原”的匿名化处理法律效果。