公益性利用个人信息保护：困境与完善

文/张钰欣

公益性利用个人信息保护的理论困境

1.个人信息控制权被克减。学界普遍认同，美国学者沃伦（Wallen）和布兰代斯（Brandeis）1890年发表的《论隐私权》一文是隐私权保护的开创之作。该文关注的是技术和媒体的侵入性，认为应保护个人隐私不被极具事业心的媒体、摄影师或者任何其他可以记录和复制场景（或声音）的现代设备持有者所入侵，从而保持独处的权利（the right to be let alone）。随着社会的发展，隐私权的范围日益扩大，美国的隐私权体系逐渐从防御性的权利（抵抗外界侵扰）转为进取性的权利（信息的自我控制和决定）。隐私作为一种自我控制、自我决策的权利慢慢成为信息隐私的主流理论。

从隐私权认知到信息隐私理论，个人性（个人控制与决定）都是其理论基石。欧盟《一般数据保护条例》（简称GDPR）中也采纳了这一观点，在序言中明确：自然人应控制自己的个人数据。欧盟委员会也曾明确说明，改革数据保护规则的目的在于确保人们获得个人数据保护的权利在数字时代仍然有效。个人性这一基础在面对大数据时代私营企业的商业入侵时，虽然也存在种种问题，但尚能维持流通与保护的平衡。然而，在涉及个人信息的公益性利用时，个人对自我信息的控制与决定不可避免被克减，个人既需要无争议地向管理机构提供各种信息，又无意识地受到各种监控与信息披露。

2.与国家安全以及公共记录博弈的让步。从国际背景来看，“9·11”事件后，出于加强反恐的需要，美国迅速出台“爱国者法案”（USA Patriot Act），极大增强了政府收集和审查公民个人信息的权力。英国也于2016年发布“调查权法”（IPA），通过授予政府全面监视权，推动政府监督机构权力迅速扩张。同时，为积极推动网络安全建设，各国政府不断强化网络空间信息监管。在此国际背景下，面对个人信息保护与国家信息安全的利益博弈，个人信息保护自然需要退居其后。

对政府而言，个人信息的合理收集和使用是必不可少的，因为缺乏相应的信息往往会导致决策失误。同时，政府活动需要对公众保持一定的透明度，以便接受公众监督。因此，政府为实现良好治理，既需要收集使用个人信息，客观上也需要对个人信息进行披露，然而披露的过程中个人信息安全在一定程度上承担了风险。与此相类似的还有公开上网的裁判文书，虽然对于个人信息的处理有种种限制与规定，但是现有的技术手段与网络环境使得相关个人信息的还原度极高，这就导致了个人信息事实上的公开披露。

此外，信息管理和公众信任有时是不对称的。在美国，联邦、州和地方政府一直是私营部门个人信息的主要提供者之一，越来越多的大公司通过将公共记录中的信息与私营部门收集的信息结合起来，对几乎每个公民进行档案管理。但是，在进行利益权衡时，人们普遍认为在大数据时代相对于个人提供给企业的各类信息，政府所收集和公开的只占少数，并且一旦进行限制，必然会削弱公众了解、监督和纠正政府不当行为的能力，因而在与公共记录相冲突时，个人信息保护往往处于被忽视的地位。

3.与执法程序以及突发公共卫生事件的冲突。现实中无论是民事执法还是刑事执法，都依赖于信息，个人信息的收集对于执法程序的有序进展是非常重要的。例如，在刑事侦查阶段，侦查机关就需要采取一定的技术手段以获取侦查和起诉的必要信息。域外法律实践中，个人信息的收集往往适用于执法程序。不仅如此，随着数字技术的发展，未来个人信息的收集和使用还可能体现在更多方面，例如，利用人脸识别系统来辅助定位犯罪嫌疑人。此时，个人有必要让渡自己的部分信息用以保障执法程序的有序开展。

多份立法文件中，突发公共卫生事件也被列为个人信息处理的豁免条款。即使被称为“史上最严数据保护条例”的欧盟GDPR也在第6条中规定了个人信息处理的合法性要件，给予突发公共卫生事件中信息处理者豁免权。在全球应对新冠肺炎疫情防控中，苹果与谷歌就曾联合声明使用新的软件框架，以实现对确诊病例及密切接触者的追踪。虽然理论界一直在呼吁加强突发公共卫生事件中个人权利的保护力度，然而目前在面对突发的公共卫生事件时，个人信息的保护仍处于相对弱势的地位。

公益性利用个人信息保护的现实困境

1.法律环境与传统的忽视。个人信息或者隐私作为一种重要法益，与其他权益一样，是一种文化的缩影，因而在不同的国家中，体现出不同的权重。在美国和欧洲，存在着两种不同的隐私文化，并产生了两种截然不同的隐私法律（James Q.Whitman,2004）。美国法律对于隐私与信息的保护偏重于对外界尤其是政府的防御。而欧洲大陆的信息及隐私保护更多体现了维护个人尊严和控制他人对于自己公众形象的社会评价。涉及个人信息，欧洲公民更相信政府而非私营企业。而在亚洲，公众对政府的信任更加明显。在亚洲的传统文化中，个人权利本身具有独特的谦抑性。法律环境与传统导致个人信息公益性利用的保护长期处于被忽视的地位，且随着国际关系日趋紧张及各国数据主权加强，这种忽视一定程度上只会加剧而非消减，这也与上文所提到的理论困境不无关系。

2.技术的进步导致保护手段的失效。近年来，技术的飞速进步对信息保护手段造成了极大冲击，比较典型的是匿名化信赖被打破。信息的利用与保护是一对不能回避的矛盾，在法律实践中，匿名化往往被明确为一项政策目标，通常被作为免责条款以平衡数据的收集、利用与保护。1995年欧盟制定的《数据保护指令》（简称1995指令）中规定：“……保护原则不适用于以使数据主体不再可识别的方式匿名化提供的数据……”最新的GDPR中也重申了不适用于匿名数据。匿名化的规定体现了政策制定者对于平衡信息利用与保护所作的努力。理想状态下匿名化既能切断数据与信息主体间的联系、实现个人信息的有效保护，又不妨碍数据后续的流通与处理。然而现实是，数据分析越来越复杂，匿名的数据有可能被重建以揭示信息主体的身份，因而匿名化并不能为保护个人信息带来理想效果，其不应再被视为有意义的隐私保障。

3.救济手段的不足。目前，几乎所有类型的个人信息在被侵害时，都存在着举证困难、诉讼成本高等问题，涉及公益性利用的个人信息尤其如此。为此，各国都在尝试通过赋予个人更优势的诉讼地位以加强其权益保护。例如，德国《联邦数据保护法》中就对公共机构自动处理数据规定了无过错责任的归责原则，欧盟1995指令以及GDPR中对于个人数据的处理也都采用无过错责任原则。然而，政策制定者的此种努力不足以弥补个人与信息控制者间悬殊的力量差异。公民个人通常既无能力也无动力主张自己的权益，其结果是个人被迫提供个人信息以进行公益性利用，同时缺乏个人信息保护能力。只有完成从以文件为基础、形式主义的要求向实践中遵守、协调法律和赋予个人权利的转变，公益性利用个人信息的保护才能得以完善。

公益性利用个人信息的保护途径

1.顶层设计应更好地平衡公私利益。公益性利用个人信息，其性质就决定了自发性规制作用是有限的，需要加强顶层设计。在进行制度设计时，应深入分析个人信息保护的价值基础以及合理利用的界限问题，既要充分发挥公益性个人信息在公共管理、科学研究等方面的能动性，又要确保信息在合理范围之内使用、信息主体的权益不发生贬损。有着“法治中国建设里程碑”意义的民法典，第1036条第（三）项中就将维护公共利益处理个人信息规定为合规的豁免方式。《中华人民共和国个人信息保护法（草案）》（以下简称《草案》，该草案于2021年8月20日正式通过，该文涉及的条款无变动），第13条也对突发公共卫生事件、为公共利益实施行为时个人信息处理者处理个人信息予以认可。不过，依然需要政策制定者系统地梳理个人信息保护与其他公共利益之间的关系，深入了解个人信息保护的内在张力，对裁量的界限、手段的适合性提供进一步的法律解释。

2.明确信息利用机关应有更高的注意义务、更严格的责任。过分强调公益性利用的保护会大幅度提高合规成本，从而降低个人信息在公共安全、科学研究、医疗发展方面的巨大价值。然而与私营企业商业利用不同，公益性利用个人信息的收集并非基于信息主体为换取便捷服务而让渡自身利益，而更多地体现在信息主体对于信息利用机关的信任，如果不能加强公益性利用个人信息的保护，则会伤害到公众对于政府等有关部门的信任。以中国为例，《草案》对国家机关履职过程中处理个人信息保护作出了专门规定，第二章第三节“国家机关处理个人信息的特别规定”中体现了合理原则、比例原则、一般情况下的告知同意原则及保密原则，同时规定对跨境信息应当进行风险评估。

3.深入思考设立独立监督机构的必要性。设立独立监督机构最大的优势在于其专业性，信息持有者、使用者往往不能合理评估信息使用、流通中存在的风险，而单独的监督机构可以提供专业的专家意见，作出合理指导，同时监察可能影响个人信息保护的新技术。《草案》中将履行个人信息保护职责的部门规定为国家网信部门、国务院有关部门以及县级以上地方人民政府有关部门，而《深圳经济特区数据条例（征求意见稿）》中率先提出设立数据工作（监督）委员会，以监督并协调决策重大事项。笔者认为，作为独立的监督机构，数据监督委员会更符合个人信息保护的专业性要求。