德國個人信息立法的歷史分析及最新發(fā)展

李欣倩

內(nèi)容摘要：隨著大數(shù)據(jù)時代的到來，個人信息已經(jīng)突破傳統(tǒng)人格權(quán)的范疇，成為具有商業(yè)價值可供流通的標的。目前，我國個人信息大范圍泄漏事件時有發(fā)生，黑色產(chǎn)業(yè)鏈已經(jīng)形成。面對如此嚴峻的形勢，立法方面仍然進展緩慢，現(xiàn)存立法的碎片狀況加劇了信息保護實施的不確定性。作為大陸法系的典型國家，德國《聯(lián)邦信息保護法》已經(jīng)走過了40年的歷程，先后經(jīng)歷過3次大規(guī)模改革。在其發(fā)展過程中，計算機技術(shù)的進步和聯(lián)邦憲法法院的判決呈現(xiàn)出良性互動，成為推動德國個人信息保護發(fā)展的重要力量。以3次立法改革為視角，研究德國個人信息立法的發(fā)展歷程，以期為我國個人信息保護立法提供域外經(jīng)驗。

關(guān)鍵詞：個人信息 信息自決 信息安全 個人信息立法

近年來，隨著互聯(lián)網(wǎng)技術(shù)的快速發(fā)展，信息逐漸打破地域的限制在全球范圍內(nèi)實現(xiàn)集中。2012年，《紐約時報》驚呼“大數(shù)據(jù)”時代已經(jīng)降臨，信息將成為未來商業(yè)、經(jīng)濟及其他領(lǐng)域決策的重要工具。這是一場生活、工作與思維的大變革，不僅改變著人們的行為模式，也給傳統(tǒng)法學理論，特別是隱私權(quán)理論帶來了極大的沖擊。在大數(shù)據(jù)時代中，個人信息逐步脫離人格權(quán)客體的范疇，成為具有商業(yè)價值可供流通的標的。信息經(jīng)由專業(yè)的分析系統(tǒng)處理后，能夠客觀地展示用戶習慣和使用偏好。網(wǎng)絡(luò)服務(wù)提供商則根據(jù)分析結(jié)果提供個性化推薦服務(wù)，不僅提高了用戶的使用體驗，更形成了極大的商業(yè)價值。在經(jīng)濟利益驅(qū)動下，個人信息非法交易的黑色產(chǎn)業(yè)鏈逐步形成。據(jù)中國互聯(lián)網(wǎng)協(xié)會發(fā)布的《中國網(wǎng)民權(quán)益保護調(diào)查報告（2015）》統(tǒng)計，僅2015年，網(wǎng)民因個人信息泄露、垃圾信息、詐騙信息等現(xiàn)象導致的總體損失約805億元。

面對日益嚴重的信息侵害，我國立法卻遲遲沒有作出回應(yīng)。早在2003年，國務(wù)院信息辦就委托中國社科院法學所承擔相關(guān)課題及起草專家意見稿。課題組于2005年完成了《個人信息保護法（專家意見稿）》，并于2008年提交到國務(wù)院。之后有關(guān)《個人信息保護法》的立法進程一直處于擱置狀態(tài)。近年來，我國個人信息保護立法在體系上呈分散式發(fā)展。涉及個人信息保護方面的法律有將近40部，此外還有30部法規(guī)和大量的部門規(guī)章以及地方性立法?！? 〕分散式立法模式導致信息保護實施中存在極大的不確定性，既缺乏對個人信息范圍的界定，也缺乏可操作的標準。反觀德國個人信息保護的立法發(fā)展，從第一部《聯(lián)邦信息保護法》至今已經(jīng)走過了40年的歷程。這期間，計算機技術(shù)的發(fā)展和聯(lián)邦憲法法院的判決呈現(xiàn)出良性互動，成為推動德國個人信息保護發(fā)展的重要力量。40年來，《聯(lián)邦信息保護法》經(jīng)歷了3次大范圍修改，形成了以聯(lián)邦立法為核心、特別領(lǐng)域?qū)ｉT法為主體的個人信息保護體系。筆者以德國個人信息保護的立法進程為對象，以其產(chǎn)生、形成和最新發(fā)展成果為脈絡(luò)開展研究，以期為我國個人信息立法提供域外經(jīng)驗。

一、產(chǎn)生：從隱私權(quán)到個人信息保護

個人信息保護的興起與計算機技術(shù)的迅猛發(fā)展息息相關(guān)。在Cookie，Robots協(xié)議等技術(shù)大規(guī)模使用之前，個人信息一直作為隱私權(quán)的范疇，并沒有引起德國學術(shù)界的過多重視。第二次世界大戰(zhàn)之前，德國法學界仍然拒絕將名譽權(quán)和隱私權(quán)列入《德國民法典》第823條第1款的保護范圍，損害名譽和個人隱私不產(chǎn)生賠償義務(wù)?！? 〕在1953年公布的《歐洲人權(quán)公約》中，“個人信息”作為“尊重私人生活和家庭生活”，體現(xiàn)在其第8條第1款中?！? 〕但是，20世紀70年代以后，隨著信息技術(shù)的發(fā)展，個人信息的收集和獲取呈現(xiàn)出爆發(fā)式增長，傳統(tǒng)的“私人生活”領(lǐng)域受到極大挑戰(zhàn)。個人信息在隱私權(quán)的范疇下，缺乏對抗公、私主體信息濫用行為的有效權(quán)能。

1970年，歷史上第一部關(guān)于信息保護的專門立法在德國黑森州誕生。第二次世界大戰(zhàn)后德國在政治體制上更加依賴地方團體自治。作為基本政治制度，地方團體負責執(zhí)行地方性法規(guī)、本州和聯(lián)邦的法律。但是隨著計算機技術(shù)的發(fā)展，信息開始在州乃至聯(lián)邦范圍內(nèi)大規(guī)模、統(tǒng)一地采集、處理和使用。地方團體自治也因此受到威脅。1969年黑森州頒布法案，規(guī)定地方團體和州行政機關(guān)不再使用相同的信息處理中心。這一規(guī)定雖然一定程度上保護了地方自治，但也割裂了立法機關(guān)和執(zhí)法機關(guān)的信息共享。與此同時，關(guān)于個人信息的保密問題也逐漸在社會上受到重視，民眾對政府濫用個人信息的質(zhì)疑日漸高漲。作為應(yīng)對，各州政府紛紛開始將保密條款加入行政法規(guī)之中。在雙重壓力下，黑森州率先通過了《信息保護法》，明確行政機關(guān)的個人信息保密義務(wù)，重新劃分地方團體和州行政機關(guān)在信息使用中的權(quán)限和地位。因此，這部法案在一定程度上是對1969年立法的延續(xù)?！? 〕該法案共計17章，主要側(cè)重于建立第三方信息監(jiān)管機構(gòu)和信息保護委員制度，并未就個人信息保護給出更多有益的措施。因此，有學者批評其用詞不當?！? 〕

雖然歷史上第一部有關(guān)信息保護的法案產(chǎn)生于德國黑森州，但第一部國家立法則產(chǎn)生于瑞士。〔6 〕黑森州頒布《信息保護法》之后的第二年，德國各聯(lián)邦州也陸續(xù)開啟信息保護的立法進程。1971年，聯(lián)邦政府在雷根斯堡大學組建專家小組，就未來聯(lián)邦信息保護法的基本框架提供專家意見。雖然草案很快得以完成，但由于極大地限制了私法主體在信息取得和使用上的權(quán)利而深受詬病，最終被擱置。后來，德國聯(lián)邦政府開始整合各州人口信息，建立國家人口信息信息庫。作為該項目的法律依據(jù)，《聯(lián)邦信息保護法（草案）》才重新提請審議，并最終于1976年11月通過，1978年1月開始生效?！堵?lián)邦信息保護法》共有47個條文，在各州信息保護法已有規(guī)定的基礎(chǔ)上，確立了“任何形式的個人信息處理必須經(jīng)信息主體同意或有法律上的許可，方得為之的基本原則。” 〔7 〕這部立法采納了公私二元制立法模式，注重防范政府濫用個人信息而不是合理使用個人信息，因此它只賦予信息主體少量的權(quán)利。〔8 〕

二、形成：內(nèi)外因素作用下的現(xiàn)代化進程

1977年《聯(lián)邦信息保護法》對信息處理持消極態(tài)度，過度的管制引發(fā)了德國社會的廣泛批評?！? 〕進入80年代以來，個人電腦逐漸在德國普及，信息技術(shù)的發(fā)展和盛行被視為德國社會發(fā)展的特征之一。于是，修改《聯(lián)邦信息保護法》的呼聲日益高漲。但是，議會先后審議了10個草案都未獲批準?！?0 〕1982年3月，德國聯(lián)邦議會全票表決通過了《聯(lián)邦人口普查法》。該法案規(guī)定次年起（1983年），在聯(lián)邦范圍內(nèi)實施包括住址、職業(yè)、教育經(jīng)歷等個人信息的全面登記。《人口普查法》頒布后，民眾針對國家強制收集個人信息的行為產(chǎn)生了強烈的質(zhì)疑。后來，100多位公民以違反《基本法》為由，將該法案訴至聯(lián)邦憲法法院。法院審理后認為，該法案第2條中第1至7項以及第3條至第5條違反《基本法》關(guān)于“人格的自由發(fā)展”的要求，判決違憲部分無效，其余部分修改后實施。這就是德國隱私權(quán)發(fā)展史上最為著名的“人口普查案”?！?1 〕判決指出，在信息社會中，不可避免地存在個人信息的收集、處理和使用，任何人都有可能成為信息侵害的對象，因此，個人應(yīng)享有“信息自決權(quán)”以對抗信息侵害。〔12 〕所謂“信息自決”是指信息主體有權(quán)決定其私人生活是否公開、公開到何種程度以及公開的時間和方式。憲法法院認為，信息社會中，個人如果無法評估其信息公開的程度，勢必會影響其社會生活中的行為。特別是當其不愿為公眾所知的信息有被公開的可能時，則對其自由發(fā)展之人格構(gòu)成威脅。因此，結(jié)合《基本法》第1條第1款“人性尊嚴不受侵犯”和第2條第1款“人格發(fā)展之自由”，憲法法院將“信息自決”確認為一般人格權(quán)項下的基本權(quán)利。但是，判決同時也指出，信息自決在涉及公共利益和法律特殊規(guī)定的情況下應(yīng)受到限制。這里所稱的法律不僅應(yīng)依據(jù)憲法制定，也要符合明確性和適度原則。人口普查案件之后，北威州、薩爾州和梅前州等聯(lián)邦州先后將信息自決權(quán)寫入州憲法中，逐漸在聯(lián)邦范圍承認其基本權(quán)利的地位。

1.《聯(lián)邦信息保護法》的第一次修改

人口普查案是德國信息保護立法發(fā)展的里程碑，標志著信息保護基本理念的轉(zhuǎn)變。在此之前，立法的主要目的是防止公權(quán)力機關(guān)濫用個人信息，歸根結(jié)底對信息的收集、處理和使用持消極態(tài)度。此案之后，德國開始對《聯(lián)邦信息保護法》進行第一次修改，于1990年12月完成。修改后的法案著眼于合理使用個人信息，“免受因個人信息傳播而引起的人格權(quán)侵害”。〔13 〕同時，該法案將國家安全機構(gòu)對個人信息的收集和處理納入信息保護法的范疇，明確了公法主體無過錯賠償以及就非財產(chǎn)性損失提供財政補償?shù)倪m用條件?！?4 〕在結(jié)構(gòu)上，該法案繼承了公私二元制立法模式，但整體縮小了公私領(lǐng)域間信息保護標準的差異。在以往的立法經(jīng)驗中，信息保護法能否囊括私法主體，一直是極具爭議的問題。1977年的《聯(lián)邦信息保護法》采取了公私分立的模式，但鮮有關(guān)注私法主體。而根據(jù)“基本權(quán)第三人間接效力理論”，作為基本權(quán)利的信息自決權(quán)可以間接適用于私法領(lǐng)域，為個人信息保護領(lǐng)域的公私分立模式提供了憲法基礎(chǔ)。因此，這次修訂的意義并不限于個別法律制度或條款，更多的是信息保護宏觀理論和觀念的更新。

2.《聯(lián)邦信息保護法》的第二次修改

20世紀80年代以來，信息因其不受地理限制的特性逐漸在全球范圍內(nèi)受到關(guān)注。1980年9月和1981年1月，經(jīng)濟合作與發(fā)展組織（OECD）和歐盟委員會開始實施《關(guān)于保護隱私與個人信息跨國界流動的準則》 〔15 〕和《個人信息保護公約》（以下簡稱Convention 108），〔16 〕以保護民眾的權(quán)利和基本自由，特別針對自動處理個人信息提倡保護隱私權(quán)?！?7 〕公約首次明確了個人信息的范疇，是指“被識別的或具有被識別性的，與個人關(guān)聯(lián)的任何信息”?！?8 〕這表明，歐盟在20世紀80年代初期已經(jīng)完成了信息隱私從隱私權(quán)中分離的過程。信息保護的范圍相較于隱私保護更為寬泛，因為信息保護不僅限于私密領(lǐng)域，也涉及其他的權(quán)利或者自由。兩者相比，個人信息保護更偏重于信息的可識別性，但除此之外，即便侵犯私密領(lǐng)域的其他方面，也不在信息保護的范圍之內(nèi)。20世紀80年代后期，歐盟各成員國之間信息保護程度嚴重不平衡。如上文所述，德國和瑞士率先完成了本國信息保護立法；法國獨辟蹊徑，依靠“信息自由委員會”保障信息安全，〔19 〕而意大利和希臘則遲遲未予立法。立法上的差異阻礙了歐洲各國之間的信息流通，從而限制歐洲內(nèi)部統(tǒng)一市場的形成。歷經(jīng)四年磋商，1995年10月，歐盟最終簽署了《個人信息保護指令》（95/46/EC）?！?0 〕這條指令的主要目的是平衡各成員國的信息保護發(fā)展和基本理念，建立水平相當?shù)男畔⒈Ｗo體系，以促進實現(xiàn)內(nèi)部市場的形成和利益各方的平衡發(fā)展?！吨噶睢芬蟪蓡T國保護自然人的基本權(quán)利和自由，特別針對個人信息處理，加強隱私權(quán)的保護。另一方面，它要求成員國之間不得禁止或限制信息自由流通。因此，《指令》不僅旨在保護個人信息，特別是電子通訊服務(wù)中的隱私權(quán)，也為電信服務(wù)提供者開展個人信息有關(guān)的業(yè)務(wù)提供了法律上的可能性?！吨噶睢奉C布后兩年間，德國先后實施了《電信法》（TKG）和《電信服務(wù)信息保護法》，將《指令》中有關(guān)交易性匿名、假名、信息記錄程序、點擊流信息處理等規(guī)定轉(zhuǎn)化為國內(nèi)法，在通訊和互聯(lián)網(wǎng)領(lǐng)域完善信息隱私保護?！吨噶睢坊旧涎永m(xù)了《信息流動準則》和《個人信息保護公約》所建立的基本原則，并詳細規(guī)定了原則適用的條件和要求。同時，《指令》也為各成員國保留了大量的自由裁量權(quán)，被譽為歐洲信息保護通向基本權(quán)利的里程碑?！?1 〕

根據(jù)德國對政府間條約效力的法律規(guī)定，《指令》相關(guān)內(nèi)容必須在未來3年內(nèi)轉(zhuǎn)化為國內(nèi)法予以實施?！吨噶睢窞闅W盟信息保護的發(fā)展奠定了基礎(chǔ)，具有極為重要的意義，但是對于德國而言，卻并未帶來過多的驚喜?！?2 〕《指令》中有關(guān)信息主體的知情權(quán)，信息處理中的合法及公平原則等，都與德國信息保護立法不謀而合。鑒于上述原因，在《指令》頒布的最初幾年，德國政府并沒有給予其足夠的重視。本應(yīng)于1998年完成國內(nèi)法轉(zhuǎn)化，實際上卻一拖再拖。各聯(lián)邦州也只有黑森州和勃蘭登堡州于規(guī)定時間內(nèi)完成了立法。90年代末正值互聯(lián)網(wǎng)技術(shù)快速發(fā)展時期，新技術(shù)的出現(xiàn)為個人信息保護帶來了新的挑戰(zhàn)，這時聯(lián)邦政府才認識到信息保護的重要性。1997年至1998年間，綠黨和社民黨分別提交了修改《信息保護法》的議案，其中不僅囊括了歐盟信息保護指令的核心規(guī)則，還特別就當時混亂的信息保護體系、嚴重落后于科技發(fā)展的立法進程提出改革方案。但是，聯(lián)邦政府認為只有徹底地變革，才能開啟信息保護的現(xiàn)代化進程?！?3 〕于是，信息保護法修正案一拖再拖。2001年1月，歐盟提起對德訴訟，稱其未能在規(guī)定時間內(nèi)完成《指令》轉(zhuǎn)化。德國政府迫于壓力，只得在短時間內(nèi)完成《聯(lián)邦信息保護法》的第二次改革。

2000年的《聯(lián)邦信息保護法》進一步更新了信息保護理念?！斗ò浮返?章第1條確立了信息經(jīng)濟原則，規(guī)定在設(shè)計和選擇信息處理系統(tǒng)時，應(yīng)通過技術(shù)手段或建立信息審計制度以減少信息采集樣本，并且盡可能地使用匿名信息，以減少對人格權(quán)的侵害。第4章第1條將合法性原則的適用范圍擴大至信息收集行為，詳細規(guī)定了未經(jīng)信息主體同意進行信息采集的條件。第6條增加了數(shù)據(jù)安全委員的新職能，在處理敏感個人信息時，其有權(quán)要求提前介入。另外，《法案》逐漸淡化監(jiān)管色彩，突出意思自治原則在信息保護領(lǐng)域中的作用。將權(quán)利人同意作為信息收集和處理的合法性來源。〔24 〕除此之外，《法案》建立了新的私法主體認定標準，并一直延續(xù)至今。1990年《聯(lián)邦信息保護法》將信息經(jīng)營行為或盈利目的作為確認私法主體的唯一標準。修訂后的法案以信息行為作為私法主體的認定標準，將調(diào)整范圍擴大至使用信息處理設(shè)備進行數(shù)據(jù)行為的私主體和針對非經(jīng)自動形成或獲取的信息進行數(shù)據(jù)行為的私主體，并明確地將以個人或家庭目的進行數(shù)據(jù)行為的私法主體排除在外?！?5 〕此外，《法案》新增了有關(guān)視聽資料的規(guī)定。第六章承認了經(jīng)由視聽資料處理得出的個人信息具有人工價值。第2條就公開視頻（例如閉路電視）監(jiān)督提出合法性和透明性標準。第3條新增了有關(guān)智能卡收集信息的透明性原則。

2000年《聯(lián)邦信息保護法》完成得非常匆忙，有學者稱其為“已有信息保護成果和現(xiàn)代化信息保護理念之間的分割線”?！?6 〕不可否認的是，立法者是帶著“不久之后將其取而代之的意圖”通過該法案的?！?7 〕在修正案準備期間，聯(lián)邦政府另外邀請了三位極富盛名的信息保護專家，就信息權(quán)利現(xiàn)代化出具專家意見，并為未來德國信息保護立法基本框架提供學理建議。2001年專家組以內(nèi)政部的名義提交了《信息保護權(quán)利的現(xiàn)代化》（Modernisierung des Datenschutzrechts）專家意見書?！?8 〕報告指出，現(xiàn)代化的信息保護法在內(nèi)容上應(yīng)以一般規(guī)定為主，實踐中依靠各領(lǐng)域的專門法來推進信息權(quán)利的實施。同時，法案中既要有原則性規(guī)定，也要有精確性規(guī)定，但盡量避免使用開放性條款。法案在內(nèi)容上應(yīng)同時囊括信息處理的技術(shù)設(shè)計、信息安全、信息監(jiān)管和自我監(jiān)管，以避免立法碎片化，減少潛在的法律沖突?！?9 〕這份報告提交后，并沒有受到聯(lián)邦政府的足夠重視，卻在學術(shù)界引發(fā)了有關(guān)信息保護理念可操作性的爭論。有學者提倡信息保護應(yīng)尊重私法自治，認為個人信息具備經(jīng)濟價值，雙方得就個人信息的處理和使用達成合意?！?0 〕但批評觀點認為這樣會導致信息保護委員制度在大公司中日漸式微，立法應(yīng)以現(xiàn)實為基礎(chǔ)，為大公司的發(fā)展提供更多的自由空間。也有學者認為，在信息社會中，信息處理是日常生活的一部分，信息保護作為個人權(quán)利的時代即將到來，政府不應(yīng)提供特別的公法保護?！?1 〕

3.《聯(lián)邦信息保護法》的第三次修改

進入21世紀以來，在全球一體化的背景下，社交網(wǎng)絡(luò)、云計算和定位服務(wù)逐漸興起?？萍嫉倪M步不僅從根本上改變了信息收集、獲取和使用的方式，也給個人信息保護帶來了新的挑戰(zhàn)。2002年歐盟通過了一系列有關(guān)電信和互聯(lián)網(wǎng)服務(wù)的指令，直接催生了德國《電信法》和《電信服務(wù)法》修正案的產(chǎn)生。新《電信法》增加了對IP網(wǎng)絡(luò)和網(wǎng)絡(luò)電話的規(guī)定。《電信服務(wù)法》新增了電信服務(wù)商就收集和處理用戶信息的告知和說明義務(wù)，并將適用范圍擴大至所有的電子信息和通訊服務(wù)領(lǐng)域，除傳統(tǒng)電信媒體外，還包括網(wǎng)上商城、音樂下載平臺、搜索引擎和電子郵件。2006年12月，北威州通過《憲法保護法》修正案，其中第5章第2條規(guī)定該州安全部門可以利用系統(tǒng)漏洞或木馬程序潛入被調(diào)查對象的電腦系統(tǒng)，以獲取信息或?qū)ζ溥M行監(jiān)視。這種方法被稱作“在線搜索”或“遠程控制”，其初衷是應(yīng)對極端分子或恐怖組織利用互聯(lián)網(wǎng)交流、策劃犯罪的行為?！?2 〕法案頒布后，德國各黨派和公民權(quán)利組織都極力反對。2008年2月27日聯(lián)邦憲法法院認定該條規(guī)定違反《基本法》，并宣告其無效。但是，憲法法院并沒有簡單地完全禁止“在線搜索”，而是明確了極為嚴格的適用條件。判決指出，“只有在個人生命或國家存亡遭受威脅之際”，安全部門才能將“在線搜索”作為調(diào)查手段使用。此外，憲法法院分析了當前互聯(lián)網(wǎng)技術(shù)和個人電腦在實現(xiàn)人格發(fā)展中的重要作用，并進一步指出信息自決權(quán)在對抗國家信息系統(tǒng)竊取民眾個人信息時的無力?！?3 〕在此基礎(chǔ)上，憲法法院將信息系統(tǒng)的私密性和完整性確認為一項新的基本權(quán)利。

德國的信息保護立法盡管一直呈上升態(tài)勢，依舊無法遏制個人信息黑色產(chǎn)業(yè)鏈的形成。2006年春天，德國最大的電信服務(wù)商Deutsche Telekom宣稱，其信息系統(tǒng)遭到黑客入侵，導致1700萬T-Mobile用戶信息泄露，其中包括用戶的姓名、地址、電話號碼、出生日期和電子郵箱等敏感信息。〔34 〕2007年后，大規(guī)模信息丑聞進一步升級。多家大型公司，如德國鐵路、德意志銀行、連鎖超市Lidl等被指控涉嫌從事用戶信息非法交易或侵犯員工的信息隱私。一時間，個人信息保護再次聚焦在鎂光燈下，成為那一時期德國媒體的熱點話題。2008年，25000名民眾走上柏林街頭，高舉“自由，而非恐懼”的標語，抗議越來越嚴重的信息侵害?！?5 〕面對媒體和民眾的責難，2009年5月至8月，聯(lián)邦議會先后通過3項《聯(lián)邦信息保護法》修正案，開啟了醞釀已久的現(xiàn)代化變革。修正后的《信息保護法》大范圍擴展了信息主體的權(quán)利，增加了有關(guān)用戶習慣記錄、信息泄露通知、雇員和用戶信息管理等新規(guī)定。特別加強了對基于Cookie，IP address，瀏覽器指紋等追蹤技術(shù)進行個性化廣告推薦的管理。

從整體上看，《法案》將信息經(jīng)濟原則進一步擴展到信息收集行為，至此，信息經(jīng)濟原則全面適用于信息行為的全過程?！斗ò浮费永m(xù)了憲法法院對信息安全的要求，將信息安全上升到基本原則的高度，要求信息的控制方或處理方在現(xiàn)有技術(shù)所及或合理范圍內(nèi)，對個人信息進行匿名或假名化處理。《法案》第30章強制要求以市場營銷或民意調(diào)查為目的獲取的信息必須進行匿名或假名化處理，且不得改變原有用途；通過非公開性信息源收集或處理的信息，完成匿名或假名化處理后方可改變原有用途。另外，《法案》進一步強化了信息保護委員的監(jiān)管作用。上文提到，在2001年有關(guān)信息保護理的討論中，有學者認為若將私法自治作為信息保護的核心理念，對于業(yè)務(wù)量更大，信息來源更廣泛的大中型私法主體來說勢必會增加交易成本。因此，在大中型私法主體中提倡依靠信息保護委員實現(xiàn)自我監(jiān)管。上述觀點被2009年的《法案》采納。它一方面放寬了對小型私法主體的要求，將設(shè)立信息保護委員的最低人數(shù)由4人提高到9人；〔36 〕另一方面，《法案》為強化信息保護委員履行職能，新增了任職保障性規(guī)定。第三章規(guī)定，信息保護委員任職期限不少于1年，任職期間及卸任1年內(nèi)，其雇傭合同非出于正當理由不得解除。同時，雇主有義務(wù)為任職委員提供教育和培訓的機會并承擔相應(yīng)的費用。第四章新增了信息保護委員設(shè)立的例外適用條件，規(guī)定從事傳播匿名信息或以市場營銷、民意調(diào)查為目的的私法主體不受雇傭人數(shù)限制，必須設(shè)立信息保護委員。

具體來看，《法案》進一步擴展了信息自決權(quán)的范疇。除傳統(tǒng)的知情權(quán)外，信息主體在特定條件下，享有更正、刪除或封鎖其個人信息的權(quán)利。同時，信息主體有權(quán)對未經(jīng)其同意進行的信息收集、處理和使用行為提起損害賠償訴訟。針對此前大規(guī)模爆發(fā)的信息丑聞，《法案》特別加強了關(guān)于雇員和用戶信息保護的規(guī)定?！斗ò浮返?8章增加了關(guān)于記錄用戶習慣的限制性規(guī)范。一般來說，服務(wù)提供方會通過技術(shù)手段記錄用戶在互聯(lián)網(wǎng)上的操作痕跡，信息經(jīng)過處理和分析后得出概率值。服務(wù)方基于概率值來預(yù)測用戶的未來行為，并針對每位用戶提供個性化推薦服務(wù)。第28章將記錄行為限制在“與信息主體訂立合同”的目的范疇內(nèi)。此外，被收集的用戶記錄不得僅包括地址信息，且必須經(jīng)過數(shù)學統(tǒng)計程序證明被收集信息的必要性。如果服務(wù)方使用了用戶的地址信息，則需要提前以文件形式通知信息主體，這也體現(xiàn)了信息主體知情權(quán)的進一步擴張。第32章嚴格限制基于雇傭關(guān)系對個人信息的使用。第1條將信息的收集、處理和使用嚴格限制于“與雇傭相關(guān)”或“職務(wù)犯罪調(diào)查”之必要。在第一種情況下，必要是指為雇傭關(guān)系的建立、實施或解除提供必要依據(jù)。后者則僅限于調(diào)查履行職務(wù)相關(guān)的犯罪行為，且以存在紙質(zhì)證據(jù)材料為前提。在此基礎(chǔ)上，第2條將上述限制擴大到非自動化信息處理系統(tǒng)中，即不論使用何種方式或途徑，只要存在對雇員個人信息的收集、處理或使用，則必須遵守上述規(guī)則?！斗ò浮返?2章第1條新增了信息泄露通知義務(wù)，要求信息控制方或處理方在涉及個人敏感信息、職業(yè)機密、能夠指證刑事或行政犯罪的信息以及銀行、信用卡賬戶信息泄露時，應(yīng)及時報告信息管理機關(guān)并以適當方式通知信息主體。通知中應(yīng)說明本次信息泄露的特點，并推薦相應(yīng)避損措施。此外，在對主管機關(guān)的報告中，還應(yīng)額外說明本次信息泄露有可能導致的后果和信息控制方或處理方已經(jīng)采取的措施。如果信息涉及群體龐大，通知全部受害者會給信息控制方或處理方造成不合理的支出，那么可以在至少兩種以上全國范圍內(nèi)發(fā)行的日報上，以不低于半頁的篇幅刊登相關(guān)說明或者采取其他具有相同意義的辦法。

三、最新發(fā)展：歐洲一體化背景下的統(tǒng)一立法

2009年《里斯本條約》生效后，歐洲一體化邁向新的發(fā)展階段。條約同時也為歐盟內(nèi)部信息的自由流轉(zhuǎn)提供了政治基礎(chǔ)。同時生效的《歐洲聯(lián)盟基本權(quán)利憲章》 〔37 〕首次明確承認個人信息保護的基本權(quán)利地位。信息保護作為一項基本權(quán)利在歐洲開啟了新的歷程。

1995年《個人信息保護指令》實施后，歐盟各國都完成了信息保護立法，在此基礎(chǔ)上形成了各自信息保護的立法特色。根據(jù)歐盟委員會公布的資料顯示，歐盟共存在28種不同的信息保護法，立法碎片化為中小型公司開拓新市場增加了成本?！?8 〕為應(yīng)對計算機技術(shù)的最新發(fā)展，進一步平衡各成員國之間信息保護的發(fā)展程度，2010年歐盟委員會建議在歐盟范圍內(nèi)建立統(tǒng)一的信息保護規(guī)則，將信息流轉(zhuǎn)作為建立歐盟內(nèi)部市場的重要因素?！?9 〕2012年1月，歐盟正式公布《一般信息保護條例（草案）》。這份草案在1995年《個人信息保護指令》的基礎(chǔ)上，進一步豐富了信息主體的權(quán)利，淡化行政管制色彩，更為強調(diào)信息保護的自我監(jiān)管，并計劃將適用范圍擴大至整個歐洲經(jīng)濟區(qū)。歷經(jīng)4年談判后，《一般信息保護條例》（以下簡稱《條例》）最終于2016年4月27日審議通過，并將于2018年5月開始實施。屆時《條例》將取代《個人信息保護指令》，成為歐盟個人信息保護的基本法。

《條例》在適用范圍上兼采屬人主義和屬地主義，因此同樣適用于建立在歐盟境外但從事與歐盟境內(nèi)居民相關(guān)信息業(yè)務(wù)的信息處理方或控制方。從整體上看，《條例》進一步完善了意思表示在信息處理行為中的作用，擴大了信息主體的權(quán)利，確立了主觀故意與過失相區(qū)別的責任體系。《條例》要求信息主體對信息行為的同意授權(quán)必須以明示方式作出，且可不受限制地撤回。同時，《條例》新增了有關(guān)被遺忘權(quán)的規(guī)定，信息主體有權(quán)要求刪除其處理的或儲存的個人信息。在具體制度方面，《條例》新增了信息保護影響評價機制，要求信息控制方在處理敏感信息或進行其他容易對信息主體的合法權(quán)益造成威脅的行為時，必須保留信息處理行為的相關(guān)記錄。另外，《條例》建立了信息泄露通知機制、信息保護委員制度等?！兑话阈畔⒈Ｗo條例》將于2018年5月正式實施，不同于指令，條例可直接適用于各成員國，無需經(jīng)由國內(nèi)法轉(zhuǎn)化。即便如此，歐洲學術(shù)界普遍認為各國不可避免地要對國內(nèi)法進行一定程度上的修正，歐洲將迎來前所未有的信息保護立法高潮。反觀德國學術(shù)界，學者對《條例》的反響并不十分強烈。一方面由于德國的信息保護立法一直處在歐盟領(lǐng)先地位，《條例》中有關(guān)信息泄露通知、信息保護委員等制度都源自德國立法。另一方面，不少德國學者認為，在輔助性原則影響下，歐盟不得過多干涉成員國內(nèi)部事務(wù)，因此，《一般信息保護條例》實施后，《聯(lián)邦信息保護法》的核心地位并不會被動搖。

但是，不可否認的是，2009年的信息保護法改革距今已有7年。近年來，全球信息的存儲量呈指數(shù)型上漲。據(jù)互聯(lián)網(wǎng)信息中心預(yù)測，截至2020年全球產(chǎn)生和復(fù)制的信息量將超過35ZB即350億TB。〔40 〕在這個技術(shù)日新月異的信息時代，德國的信息保護立法勢必要隨著技術(shù)的發(fā)展不停地進行自我修正和更新。對比這兩份法律文件，《條例》整體上對信息的實際控制方持更為嚴格的限制態(tài)度，尤其在舉證責任方面完全推翻了德國現(xiàn)有的體系。另外，未成年人作為民法上的無行為能力或限制行為能力人，其獨立作出的同意收集信息的授權(quán)是否具有法律效力，能否成為信息實際控制方收集、處理和使用信息的合法性來源。這一問題近年來逐漸受到歐洲學術(shù)界的關(guān)注，《條例》也在第17條有關(guān)被遺忘與刪除的權(quán)利中，特別強調(diào)了對未成年人信息權(quán)益的保護。筆者認為，如果堅持《聯(lián)邦信息保護法》在德國個人信息保護體系中的核心地位，那么德國必將在2018年之前迎來信息保護立法的第四次改革。