張志峰
2019年12月19日,工信部通信管理局通報(bào)了第一批侵害用戶權(quán)益行為的APP名單,QQ、新浪體育、搜狐新聞、小米金融等41款A(yù)PP存在違規(guī)收集和使用個(gè)人信息、不合理索取權(quán)限等諸多侵犯用戶個(gè)人信息的問題。我國對個(gè)人信息保護(hù)主要依據(jù)《民法總則》《網(wǎng)絡(luò)安全法》《居民身份證法》《消費(fèi)者權(quán)益保護(hù)法》等相關(guān)法律法規(guī)的分散規(guī)定。雖對于個(gè)人信息的收集、處理以及使用等行為均有規(guī)定,個(gè)人信息遭到侵犯的情況仍時(shí)有發(fā)生。這不僅是因?yàn)槲覈袩o統(tǒng)一的個(gè)人信息保護(hù)立法,更是因?yàn)槲磳€(gè)人信息在法律層面區(qū)分為個(gè)人敏感信息和個(gè)人一般信息。
一、研究進(jìn)展:域內(nèi)個(gè)人敏感信息保護(hù)的現(xiàn)狀
個(gè)人信息中有一類信息因其內(nèi)容和性質(zhì)一旦泄露,將給信息主體的人身或財(cái)產(chǎn)帶來嚴(yán)重影響,故稱之為個(gè)人敏感信息。對于是否應(yīng)當(dāng)明確將個(gè)人信息區(qū)分為個(gè)人敏感信息和個(gè)人一般信息,我國學(xué)者有不同的觀點(diǎn):張新寶[1]、齊愛民[2]、蔣坡[3]等學(xué)者認(rèn)同此種分類保護(hù)的法律模式;以周漢華為代表的學(xué)者則認(rèn)為,僅需要對高敏感的個(gè)人信息通過單行立法的方式予以保護(hù)即可。[4]雖然學(xué)界對個(gè)人敏感信息統(tǒng)一分類的立法模式有不同的建議,但至少在是否應(yīng)該對高敏感度的個(gè)人信息進(jìn)行保護(hù)的問題上達(dá)成了一致意見。
目前我國高位階法律未對個(gè)人信息進(jìn)行分類保護(hù),亦無有關(guān)個(gè)人敏感信息的明確規(guī)定。然而在一些行政法規(guī)、司法解釋中存在對某些個(gè)人信息進(jìn)行特殊保護(hù)的規(guī)定。2013年國務(wù)院發(fā)布《征信業(yè)管理?xiàng)l例》第十三條規(guī)定,收集個(gè)人信息必須征得信息主體同意;第十四條則對個(gè)人的宗教信仰、基因、指紋、血型、病史等信息作出禁止處理的規(guī)定,體現(xiàn)了該條例對個(gè)人信息的區(qū)分保護(hù)。2017年發(fā)布的《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問題的解釋》對《刑法》二百五十三條之一中“情節(jié)嚴(yán)重”的構(gòu)成要件做出了詳細(xì)規(guī)定,對不同種類的個(gè)人信息,分別設(shè)置“五十條”“五百條”“五千條”作為情節(jié)嚴(yán)重的數(shù)量條件。這暗示了不同種類的個(gè)人信息被侵犯后對個(gè)人的危害后果和程度不同,需要的保護(hù)力度也應(yīng)予以區(qū)分。
2012年發(fā)布的《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個(gè)人信息保護(hù)指南》(以下簡稱《個(gè)人信息保護(hù)指南》)作為我國首部關(guān)于個(gè)人信息保護(hù)的國家標(biāo)準(zhǔn),不僅明確將個(gè)人信息分為個(gè)人敏感信息和個(gè)人一般信息,還對個(gè)人敏感信息進(jìn)行定義和范圍的列舉。2017年有關(guān)個(gè)人信息保護(hù)的另一國家標(biāo)準(zhǔn)《信息安全技術(shù)個(gè)人信息安全規(guī)范》(以下簡稱《個(gè)人信息安全規(guī)范》)正式發(fā)布,《個(gè)人信息安全規(guī)范》對個(gè)人敏感信息內(nèi)涵和范圍進(jìn)行了更為詳細(xì)的規(guī)定:將身份證件號碼等個(gè)人身份信息,指紋、基因等個(gè)人生物識別信息,交易信息、銀行賬號在內(nèi)的個(gè)人財(cái)產(chǎn)信息,醫(yī)療記錄等健康生理信息,通信記錄、聊天內(nèi)容、行蹤軌跡、住宿信息等等內(nèi)容,納入個(gè)人敏感信息范圍。
法律雖然尚未對個(gè)人敏感信息的保護(hù)加以回應(yīng),將個(gè)人敏感信息從個(gè)人信息中區(qū)分出來予以特別保護(hù)已在我國國家標(biāo)準(zhǔn)中有所體現(xiàn)。這對我國未來個(gè)人信息保護(hù)立法有著重要參考價(jià)值。
二、他山之石:域外個(gè)人敏感信息法律保護(hù)探究
(一)國際組織文件
歐洲委員會(huì)于1981年在斯特拉斯堡通過了《個(gè)人數(shù)據(jù)自動(dòng)化處理中的個(gè)人保護(hù)公約》(簡稱《108公約》)?!?08公約》的問世,標(biāo)志著全世界范圍內(nèi)首部有關(guān)個(gè)人數(shù)據(jù)保護(hù)的國際公約的誕生。在對個(gè)人敏感信息的保護(hù)層面,《108公約》第六條“特殊類型的數(shù)據(jù)”規(guī)定,原則上不得自動(dòng)處理種族起源、政治觀點(diǎn)、宗教或其他信仰、健康、性生活和犯罪記錄相關(guān)的個(gè)人信息。這一規(guī)定使得該公約成為首次界定個(gè)人敏感信息的國際公約,對個(gè)人敏感信息保護(hù)具有重要影響。2012年修改后的《108公約》將基因信息、生物特征信息、工會(huì)會(huì)員資格信息納入個(gè)人敏感信息的范圍。
1990年12月14日,聯(lián)合國大會(huì)第45/95號決議通過了《計(jì)算機(jī)個(gè)人數(shù)據(jù)檔案規(guī)制指南》(以下簡稱《個(gè)人數(shù)據(jù)規(guī)制指南》),第五條非歧視原則規(guī)定:“除原則六所規(guī)定的限制性例外的情況外,不應(yīng)匯編可能引起非法或任意歧視的數(shù)據(jù),包括關(guān)于種族或族裔出身、膚色、性生活、政治見解、宗教、哲學(xué)和其他信仰以及參加協(xié)會(huì)或工會(huì)的資料?!奔粗挥性诰S護(hù)國家安全、公共秩序以及他人權(quán)利自由的必要情況下,同時(shí)具備相關(guān)法律法規(guī)作為適當(dāng)保障的前提下,才能對以上個(gè)人信息進(jìn)行處理。
2004年11月,亞洲太平洋經(jīng)濟(jì)合作組織(簡稱APEC)的二十一個(gè)經(jīng)濟(jì)體成員的部長共同簽署了《亞太經(jīng)合組織隱私框架》(簡稱《APEC隱私框架》),該框架一直作為亞太地區(qū)隱私或個(gè)人信息保護(hù)的基礎(chǔ)性多邊協(xié)議,其所確立的個(gè)人信息保護(hù)的九大基本原則,為APEC成員國家或地區(qū)個(gè)人信息處理原則的制定提供了指導(dǎo)作用。雖然《APEC隱私框架》并未明確規(guī)定個(gè)人敏感信息,但在收集限制原則中首次將作為財(cái)務(wù)信息的信用卡號碼和銀行賬戶信息列入個(gè)人敏感信息的范疇,要求收集信用卡號碼、銀行賬戶信息或其他個(gè)人敏感信息時(shí),應(yīng)以合法公平的手段,不得以虛假方法收集上述信息。與前述國際公約不同的是,《APEC隱私框架》將信用卡號碼和銀行賬戶信息等財(cái)務(wù)信息列為個(gè)人敏感信息加以特殊保護(hù),這一舉措為亞太地區(qū)個(gè)人敏感信息的保護(hù)提供了新的思路和指引。
(二)歐盟《一般數(shù)據(jù)保護(hù)條例》(GDPR)
2016年4月18日,歐盟議會(huì)和歐盟理事會(huì)通過《一般數(shù)據(jù)保護(hù)條例》(簡稱GDPR),GDPR在所有成員國內(nèi)具有直接的法律約束力,被稱為“史上最嚴(yán)個(gè)人數(shù)據(jù)保護(hù)法”。在個(gè)人敏感信息保護(hù)層面,GDPR亦進(jìn)行了革新。GDPR第九條通過“特殊類型的數(shù)據(jù)處理”的規(guī)定將個(gè)人敏感信息范圍予以明確。該條文規(guī)定,揭露種族或民族起源,政治觀點(diǎn),宗教信仰、哲學(xué)信仰,工會(huì)會(huì)員資格的數(shù)據(jù),以識別為目的的基因數(shù)據(jù)和生物特征數(shù)據(jù)以及健康數(shù)據(jù),性生活、性取向等相關(guān)數(shù)據(jù)列為個(gè)人敏感信息,原則上禁止收集和處理。
原則上從法律層面禁止對個(gè)人敏感信息的處理,同時(shí)設(shè)置例外條件以應(yīng)對特殊需要。這一例外條件被規(guī)定于GDPR第九條第二款,在以下十種情況下可不受第一款規(guī)定的限制:一是數(shù)據(jù)主體明確表示同意且無禁止性規(guī)定;二是適當(dāng)保護(hù)措施下行使或履行就業(yè)、社會(huì)保險(xiǎn)及社會(huì)保障法領(lǐng)域的基本權(quán)利或義務(wù)的需要;三是數(shù)據(jù)主體喪失同意能力時(shí),為保障其自身及他人重大利益之必要;四是安全保障措施下非營利機(jī)構(gòu)出于政治、哲學(xué)、宗教及工會(huì)等合法活動(dòng)處理數(shù)據(jù)之需要;五是數(shù)據(jù)主體的個(gè)人數(shù)據(jù)已明確公開;六是數(shù)據(jù)主體訴訟活動(dòng)或?qū)徟袡C(jī)關(guān)行使司法權(quán)之必要;七是具體適當(dāng)措施下為實(shí)現(xiàn)實(shí)質(zhì)公共利益之必需;八是保障措施下基于法定或約定出于醫(yī)學(xué)研究、醫(yī)療診斷、勞動(dòng)評估、社會(huì)保障等服務(wù)之必要;九是措施保障下基于法定為實(shí)現(xiàn)公共衛(wèi)生領(lǐng)域的公共利益之需要;十是存檔、科學(xué)研究、歷史研究或統(tǒng)計(jì)等實(shí)現(xiàn)公共利益目的之必要。GDPR對個(gè)人敏感信息處理的條件作出了嚴(yán)格的限定,符合上述十種情況,可對個(gè)人敏感信息進(jìn)行處理。
(三)澳門特別行政區(qū)《個(gè)人資料保護(hù)法》
2005年,澳門立法會(huì)制定的《個(gè)人資料保護(hù)法》被稱為“亞太地區(qū)最強(qiáng)的個(gè)人資料保護(hù)法”。[5]澳門《個(gè)人資料保護(hù)法》將個(gè)人資料分為三類:一般資料、敏感資料和與違法犯罪有關(guān)的資料。第七條“敏感資料的處理”將世界觀,政治或宗教信仰,政治社團(tuán)或工會(huì)關(guān)系,種族或民族起源,遺傳信息、私人生活、健康和性生活等個(gè)人信息界定為敏感信息,原則上禁止對個(gè)人敏感信息的處理。
(四)我國臺灣地區(qū)《個(gè)人資料保護(hù)法》
我國臺灣地區(qū)個(gè)人信息保護(hù)專門立法始于1995年8月制定的“電腦處理個(gè)人資料保護(hù)法”,起初的“電腦處理個(gè)人資料保護(hù)法”在內(nèi)容上并無對個(gè)人敏感信息保護(hù)的規(guī)定,直至2010年4月通過的“個(gè)人資料保護(hù)法”將醫(yī)療、基因、性生活、健康檢查及犯罪前科等個(gè)人信息,作為個(gè)人敏感信息加以特殊保護(hù)。2015年修改,新增病歷信息,與醫(yī)療信息、健康檢查信息并列為個(gè)人敏感信息。
三、制度構(gòu)建:個(gè)人敏感信息法律保護(hù)規(guī)范
歐盟成員國在內(nèi)的歐洲大多數(shù)國家都對個(gè)人敏感信息作了明確規(guī)定,亞太地區(qū)澳大利亞、韓國、日本以及與我國澳門、臺灣地區(qū)也對個(gè)人敏感信息加以特殊保護(hù)。將個(gè)人信息分為個(gè)人一般信息和個(gè)人敏感信息,并對后者加強(qiáng)保護(hù)已成為當(dāng)今世界個(gè)人信息保護(hù)立法的趨勢。注重個(gè)人敏感信息的保護(hù)本就是達(dá)到個(gè)人信息處理中的自然人保護(hù)和信息自由流通相平衡的應(yīng)有之義,信息化和智能化的時(shí)代下這一議題尤為重要。
(一)明確個(gè)人敏感信息的范圍
參考國際組織、歐盟以及我國澳門和臺灣地區(qū)對個(gè)人敏感信息的規(guī)定并結(jié)合我國法律法規(guī)及規(guī)范性文件和國情,在未來個(gè)人信息保護(hù)立法中,應(yīng)將如下信息列為個(gè)人敏感信息。
1.個(gè)人財(cái)產(chǎn)信息。個(gè)人的財(cái)產(chǎn)信息雖無關(guān)乎人格利益,但財(cái)產(chǎn)信息一旦被濫用、非法處理或泄露極有可能會(huì)給信息主體帶來財(cái)產(chǎn)利益上的巨大損失,由此導(dǎo)致的傷害后果不可小覷。近年來,個(gè)人財(cái)產(chǎn)信息泄露所引發(fā)的信息主體財(cái)產(chǎn)損失的情形時(shí)有發(fā)生,由此導(dǎo)致社會(huì)大眾對財(cái)產(chǎn)信息的敏感度較高,因此將財(cái)產(chǎn)信息列為個(gè)人敏感信息不僅符合我國現(xiàn)階段的國情,亦能彰顯國家對公民私有財(cái)產(chǎn)的保護(hù)態(tài)度。
2.個(gè)人健康生理信息。健康生理信息主要指信息主體因疾病治療等產(chǎn)生的相關(guān)記錄以及個(gè)人身體健康狀況的相關(guān)信息。健康生理信息對信息主體的學(xué)習(xí)、生活、工作、家庭等方面都有影響,一旦泄露將會(huì)給信息主體帶來不可預(yù)估的危害后果,極有可能因健康生理信息引發(fā)對信息主體的歧視風(fēng)險(xiǎn)。諸如有關(guān)艾滋病感染等高敏感度健康信息保護(hù)的必要性,在早期的《個(gè)人信息保護(hù)法(專家建議稿)及立法研究報(bào)告》已有體現(xiàn)。如今因健康信息而導(dǎo)致的非法且不必要的工作歧視亦時(shí)有發(fā)生。我國對個(gè)人健康生理信息的重視,可見于2018年4月國務(wù)院辦公廳發(fā)布的《關(guān)于促進(jìn)“互聯(lián)網(wǎng)+醫(yī)療健康”發(fā)展的意見》,提出也應(yīng)在未來個(gè)人信息保護(hù)立法中將個(gè)人健康生理信息列為個(gè)人敏感信息加以特殊保護(hù)。
3.個(gè)人生物識別信息。因個(gè)人生物識別信息生而不同、歷久不變且難以改變的特性,加之指紋處處留痕,面部時(shí)刻暴露在外,若要收集輕而易舉,一旦非法處理并識別,信息主體將被迫面臨嚴(yán)重風(fēng)險(xiǎn)。將生物識別信息列為個(gè)人敏感信息不僅僅是為了符合國際保護(hù)標(biāo)準(zhǔn),更是由于其獨(dú)特又強(qiáng)大的識別屬性的必須[6],例如從面部特征能挖掘出居民身份證號碼、金融貸款、家庭住址、消費(fèi)習(xí)慣、征信等諸多內(nèi)容。此外,自然人的基因信息不僅能顯示該人獨(dú)特的個(gè)人疾病、缺陷等生理或健康信息,更重要的是,基因具有解釋個(gè)人的品格、智力等與家族或種族的相關(guān)性,一旦泄露可能導(dǎo)致對其個(gè)人乃至其家族的歧視。[7]由此可見,生物識別信息的濫用或泄露不僅可能造成信息主體財(cái)產(chǎn)上的巨大損失,而且也會(huì)引發(fā)人格尊嚴(yán)等方面的危害和歧視。
4.性生活和性取向。中國古代對“性”這一話題的態(tài)度是相當(dāng)保守的,受傳統(tǒng)思想文化的影響,即便是現(xiàn)代社會(huì),相對于歐美對于“性”方面較為開放的國家而言,我國仍屬于內(nèi)斂型的,社會(huì)大眾對與性生活有關(guān)的個(gè)人信息仍較為敏感。即便是較為開放的西方也將性生活和性取向納入個(gè)人敏感信息保護(hù)范圍,其敏感性之于我國民眾自不必多言。況且與性生活和性取向相關(guān)的信息是涉及信息主體極為私密的信息,已然涉及自然人的人格尊嚴(yán)的核心方面,一旦泄露會(huì)對信息主體人格造成巨大的傷害,進(jìn)而導(dǎo)致更為嚴(yán)重后果。
5.身份識別號碼。自然人的姓名信息時(shí)常會(huì)有不可避免的重復(fù)現(xiàn)象,但居民身份證號碼、護(hù)照號碼、駕駛證號碼、社??ㄌ柎a等是由特殊形式對數(shù)字和字母排列形成的獨(dú)特的身份識別特性的統(tǒng)一編號。這不會(huì)重復(fù)且能夠更為精準(zhǔn)識別信息主體。收集、處理及使用身份識別號碼應(yīng)當(dāng)特別謹(jǐn)慎,身份識別號碼的泄露將給信息主體帶來“身份盜竊”的重大風(fēng)險(xiǎn)。[8]不法之徒可以通過身份識別號碼竊取信息主體的銀行資金,甚至能夠以信息主體的身份進(jìn)行借貸、違法犯罪等。以身份證號碼為例,身份證號碼不僅可以輕易識別到信息主體的身份,甚至信息主體的房產(chǎn)信息、銀行存貸款相關(guān)信息、基金股票賬戶信息、納稅信息、醫(yī)療信息、出行信息、住宿信息等敏感和非敏感信息連接起來,可以全方位展現(xiàn)信息主體生活,極易嚴(yán)重侵害個(gè)人隱私。[9]將身份識別號碼納入個(gè)人敏感信息,旨在通過對可識別到身份的號碼高標(biāo)準(zhǔn)保護(hù),減少信息主體因此類信息的泄露而面臨人身財(cái)產(chǎn)受到損害的事件發(fā)生。
(二)確立個(gè)人敏感信息的保護(hù)機(jī)制
1.以禁止處理為原則。歐盟、我國澳門和臺灣地區(qū)都禁止對個(gè)人敏感信息進(jìn)行處理。因?yàn)閭€(gè)人敏感信息一旦被非法處理或泄露的后果十分嚴(yán)重,所造成的傷害可能是信息主體難以承受的。因此我國也應(yīng)以禁止處理個(gè)人敏感信息為原則?!疤幚怼笔侵笇€(gè)人敏感信息的收集、處理、存儲、傳輸?shù)热啃袨椤=箤€(gè)人敏感信息的全部處理行為是禁止處理的應(yīng)有之意。但并非絕對的禁止處理,只有符合在法律規(guī)定的例外條件下才可以對個(gè)人敏感信息進(jìn)行處理。
2.禁止處理的例外。盡管域外對個(gè)人敏感信息的特別保護(hù)都是通過原則上禁止處理來實(shí)現(xiàn)的,但在禁止處理的同時(shí)會(huì)設(shè)定例外條件,只要符合法律所創(chuàng)設(shè)的條件,處理個(gè)人敏感信息是被允許的。一是信息主體明確同意。信息主體明確同意作為個(gè)人敏感信息禁止處理的例外情形是法域外的普遍做法。不管基于信息主體對個(gè)人敏感信息所享有的個(gè)人信息權(quán)亦或是個(gè)人信息保護(hù)權(quán),只要信息主體明確作出同意個(gè)人敏感信息被處理的意思,且沒有與之相反的禁止性規(guī)定,則個(gè)人敏感信息的處理應(yīng)當(dāng)是被允許的。需要注意的有兩點(diǎn),“明確同意”應(yīng)當(dāng)貫穿信息處理的全過程,在收集、處理、存儲、傳輸?shù)雀鱾€(gè)階段都應(yīng)征得信息主體的明確同意;應(yīng)當(dāng)允許信息主體隨時(shí)撤回同意處理個(gè)人敏感信息的意思表示。二是維護(hù)重大公共利益而處理個(gè)人敏感信息應(yīng)為法定例外情形。維護(hù)重大公共利益不僅要求維護(hù)國家安全、國家利益,而且還包括醫(yī)療健康、衛(wèi)生保健、社會(huì)保障、研究統(tǒng)計(jì)為等基于公共利益為目的的數(shù)據(jù)處理行為。這并非單純衡量個(gè)人利益與公共利益的輕重后放棄對個(gè)人敏感信息的保護(hù)。只是當(dāng)個(gè)人利益與重大公共利益發(fā)生沖突時(shí),優(yōu)先保護(hù)大多數(shù)人的合法且重大的公共利益,只是放棄對其的特別保護(hù),允許處理個(gè)人敏感信息。為社會(huì)公共利益而允許對個(gè)人敏感信息處理時(shí),仍應(yīng)遵循對個(gè)人信息處理的一般規(guī)則。通過收集限制原則、目的限制原則、透明度原則等個(gè)人信息處理的一般原則規(guī)制重大公共利益下個(gè)人敏感信息的處理,以期達(dá)到個(gè)人敏感信息保護(hù)和重大公共利益維護(hù)的平衡。
2003年我國已提出要制定專門的個(gè)人信息保護(hù)法,但至今尚未落實(shí)。在此期間我國個(gè)人信息的保護(hù)主要靠分散的部門法、行政法規(guī)、司法解釋等規(guī)范文件來實(shí)現(xiàn)。然而當(dāng)今科技發(fā)展速度一日千里,尚未統(tǒng)一的個(gè)人信息規(guī)制原則既不利于個(gè)人信息的保護(hù),亦阻礙有賴信息得以生存的信息產(chǎn)業(yè)和互聯(lián)網(wǎng)行業(yè)的蓬勃發(fā)展。信息產(chǎn)業(yè)和互聯(lián)網(wǎng)行業(yè)絕對不能以犧牲個(gè)人信息為代價(jià)進(jìn)而發(fā)展。加強(qiáng)對個(gè)人敏感信息的保護(hù)不是為了限制信息流通,而是希望在保障個(gè)人基本權(quán)利與自由的前提下,促進(jìn)信息的合法流通和利用。
基金項(xiàng)目:重慶市研究生科研創(chuàng)新項(xiàng)目“個(gè)人敏感信息保護(hù)制度研究”階段性成果(項(xiàng)目編號:CYB19138)。
參考文獻(xiàn):
[1]張新寶.從隱私到個(gè)人信息:利益再衡量的理論與制度安排[J].中國法學(xué),2015(3):50.
[2]齊愛民.信息法原論——信息法的產(chǎn)生與體系化[M].武漢:武漢大學(xué)出版社,2010:61.
[3]蔣坡.個(gè)人數(shù)據(jù)信息的法律保護(hù)[M].北京:中國政法大學(xué)出版社,2008.
[4]周漢華.個(gè)人信息保護(hù)法(專家建議稿)及立法研究報(bào)告[M].北京:法律出版社,2006:79.
[5]楊翱宇.個(gè)人信息保護(hù)的特別機(jī)制研究——以澳門《個(gè)人資料保護(hù)法》為考察樣本[J].圖書館,2018(3):68.
[6]張紅.指紋隱私保護(hù):公、私法二元維度[J].法學(xué)評論,2015(1):87.
[7]劉仁忠,代薇.基因隱私的倫理和法律規(guī)范[J].自然辯證法研究,2004(9).
[8]韓旭志.個(gè)人信息類型化研究[J].重慶郵電大學(xué)學(xué)報(bào)(社會(huì)科學(xué)版),2017(4):67.
[9]胡文濤.我國個(gè)人敏感信息界定之構(gòu)想[J].中國法學(xué),2018(5):254.
作者單位:西南政法大學(xué)民商法學(xué)院
責(zé)任編輯:劉小僑