二元責(zé)任主體架構(gòu)下國家機(jī)關(guān)處理個人信息的規(guī)則建構(gòu)

王 爽

(東南大學(xué) 法學(xué)院，江蘇 南京 211189)

大數(shù)據(jù)時代，數(shù)據(jù)不僅成為信息業(yè)者的生產(chǎn)要素和行動指南(1)本文所稱的信息業(yè)者是指專門以信息的收集、處理、儲存、利用和傳輸為主要業(yè)務(wù)的信息服務(wù)提供者。參見張新寶《從隱私到個人信息：利益再衡量的理論與制度安排》，載《中國法學(xué)》2015年第3期。在不同法律中表述有所不同，例如《網(wǎng)絡(luò)安全法》稱之為網(wǎng)絡(luò)運營者，本文以信息業(yè)者作統(tǒng)一指代。，也成為各國政府的基礎(chǔ)性戰(zhàn)略資源。[1]處理個人信息已然演變成公權(quán)力運行的基本手段之一，國家機(jī)關(guān)也成為最大的個人信息處理者。[2]通過梳理現(xiàn)有的法律、行政法規(guī)、部門規(guī)章等有關(guān)個人信息保護(hù)的規(guī)范性文件可以發(fā)現(xiàn)，針對國家機(jī)關(guān)處理個人信息的立法規(guī)范經(jīng)歷了從規(guī)范缺位到將國家機(jī)關(guān)與信息業(yè)者置于同一規(guī)范框架之下的一元化路徑的演變歷程。

《全國人大常委會關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》規(guī)范的僅包括網(wǎng)絡(luò)服務(wù)提供者和企事業(yè)單位的個人信息處理行為，而未提及國家機(jī)關(guān)的相關(guān)行為。《網(wǎng)絡(luò)安全法》(以下簡稱《網(wǎng)安法》)第40～45條規(guī)定了網(wǎng)絡(luò)運營者的個人信息保護(hù)職責(zé)，同樣忽視了國家機(jī)關(guān)的相關(guān)責(zé)任。[3]《民法典》第110條規(guī)定的“任何組織”雖同時囊括國家機(jī)關(guān)和信息業(yè)者，但采用的仍是個人信息責(zé)任主體一元化的制度進(jìn)路，即用同一套規(guī)則規(guī)制國家機(jī)關(guān)和信息業(yè)者處理個人信息的行為，使二者遵循同等的嚴(yán)格程度和行為路徑，而未根據(jù)主體特性“分而治之”?！秱€人信息保護(hù)法(草案)》(二次審議稿)(以下簡稱《個保法(草案)》)和《個人信息保護(hù)法》(專家建議稿)中雖設(shè)專章規(guī)定了國家機(jī)關(guān)處理個人信息的規(guī)則，但內(nèi)容較為簡略，而《個保法(草案)》中也僅有5條原則性的規(guī)定，因此，在立法體系上仍可被視作一元責(zé)任主體。與之形成鮮明對比的是，《刑法》對信息業(yè)者和國家機(jī)關(guān)侵犯公民個人信息的刑罰規(guī)定遵循的是二元路徑，即《刑法修正案(七)》在侵犯公民個人信息罪項下增設(shè)了國家機(jī)關(guān)的身份加重責(zé)任。

當(dāng)前學(xué)界關(guān)于個人信息保護(hù)的研究多將關(guān)注點聚焦于信息業(yè)者[4]，對于國家機(jī)關(guān)與信息業(yè)者在個人信息保護(hù)規(guī)范上的區(qū)分尚缺乏深入的研究。申言之，國家機(jī)關(guān)相較于信息業(yè)者在處理個人信息時存在何種差別？基于此，國家機(jī)關(guān)處理個人信息應(yīng)遵循何種理念？具體規(guī)則應(yīng)當(dāng)如何展開？筆者將對上述問題做進(jìn)一步的探討和研究。

一、二元責(zé)任主體的證成：國家機(jī)關(guān)處理個人信息的特性分析

應(yīng)否采用個人信息二元責(zé)任主體架構(gòu)的邏輯起點在于判斷國家機(jī)關(guān)較之于信息業(yè)者在處理個人信息時是否具有獨特性。由公權(quán)力背書的國家機(jī)關(guān)在個人信息獲取、利用、安全保障、數(shù)據(jù)共享等方面表現(xiàn)出的不同應(yīng)當(dāng)成為構(gòu)建個人信息二元責(zé)任主體架構(gòu)的重要考量因素。

一是獲取的強(qiáng)制性。與信息業(yè)者處理個人信息的合法性基礎(chǔ)有所差別的是，《個保法(草案)》第35條將法律、行政法規(guī)的保密規(guī)定和法定職責(zé)履行列為國家機(jī)關(guān)處理個人信息的合法性基礎(chǔ)，凸顯了國家機(jī)關(guān)獲取個人信息時的單方強(qiáng)制性。此種強(qiáng)制性包括三個方面的原因。

第一，主體地位的不平等性。行政行為存在單方性和強(qiáng)制性的特征，致使國家機(jī)關(guān)與信息主體處于相對不平等的地位。同時，行政主體還有權(quán)以強(qiáng)制手段保障行政行為的落實。[5](P.97)在此前提下，即便信息主體同意對方處理自己的信息，也很難知曉其是否是基于公權(quán)力的威懾而做出的選擇。[6]

第二，公共治理的必要性。國家機(jī)關(guān)是公民在讓渡個人權(quán)利的前提下形成的共同意志的代表，作為公意而非眾意的代表[7](PP.33～34)，國家機(jī)關(guān)在進(jìn)行公共治理的同時勢必會犧牲部分個人利益，如完全遵循信息主體的意志，則公共治理便會難以為繼。例如，在行政執(zhí)法當(dāng)中，因為執(zhí)法機(jī)關(guān)與信息主體不存在持續(xù)性的信息關(guān)系，如信息主體享有知情同意權(quán)、訪問權(quán)、更正權(quán)等，則其可能會借此破壞執(zhí)法機(jī)關(guān)所需的信息和證據(jù)。[8]

第三，公共服務(wù)的不可替代性。信息業(yè)者處理個人信息時多會采用格式合同的方式，從表面上看，信息主體在此情況下只能選擇同意，其選擇自由被變相剝奪。但事實上卻并非如此，如果信息主體持反對意見，則可以選擇更換提供同等服務(wù)的信息業(yè)者。而國家機(jī)關(guān)提供的公共服務(wù)存在于公民生活的各個方面，并無其他主體可以替代，因而公民無法選擇或回避。例如，《居民身份證法》(以下簡稱《身份證法》)第3條第3款規(guī)定，如果公民拒絕登記指紋信息，公安機(jī)關(guān)得拒絕為其發(fā)放身份證，該規(guī)定即要求在此情況下對公民的指紋信息進(jìn)行強(qiáng)制性披露。[9]

二是處理的公益性。信息業(yè)者對個人信息的處理會受到商業(yè)利益的驅(qū)動，國家機(jī)關(guān)則完全出于對公共利益的考量。

第一，收集的公益性。在信息化時代，公共治理方式的轉(zhuǎn)型要求國家機(jī)關(guān)廣泛收集個人信息。例如，在工業(yè)社會向風(fēng)險社會轉(zhuǎn)變的過程中，各種社會風(fēng)險不斷產(chǎn)生，因而“對安全性的承諾隨著風(fēng)險和破壞的增長而增長”[10](PP.15～16)，公眾的安全保障訴求日益強(qiáng)烈。在此背景下，政府在公共空間中設(shè)置了大規(guī)模的監(jiān)控設(shè)備，以收集大量的個人信息，并以此為手段來保障公眾的安全。[11]

第二，利用的公益性。國家機(jī)關(guān)利用個人信息進(jìn)行公共治理，將其廣泛運用于風(fēng)險預(yù)警、應(yīng)急決策、網(wǎng)絡(luò)輿情管理和危機(jī)溝通等各個方面，并在運用過程中以公共利益為根本導(dǎo)向。[3]例如，在新冠肺炎疫情期間，以個人信息為基本單元的大數(shù)據(jù)就為應(yīng)急決策、精準(zhǔn)防控提供了強(qiáng)大支持。

第三，共享的公益性。(2)《貴州省政府?dāng)?shù)據(jù)共享開放條例》第3條對政府?dāng)?shù)據(jù)共享與政府?dāng)?shù)據(jù)開放進(jìn)行了分別定義。為了表述的簡便，本文將國家機(jī)關(guān)之間的數(shù)據(jù)共享、政府信息公開和政府?dāng)?shù)據(jù)開放統(tǒng)稱為“共享”。一方面，《中共中央關(guān)于全面深化改革若干重大問題的決定》提出要深入推進(jìn)國家機(jī)關(guān)之間的信息共享，相關(guān)法律規(guī)范都將“共享為原則，不共享為例外”作為國家機(jī)關(guān)間信息共享的基本準(zhǔn)則。另一方面，政府信息公開和政府?dāng)?shù)據(jù)開放作為國家機(jī)關(guān)提供的公共服務(wù)(3)雖然根據(jù)《政府信息公開條例》規(guī)定，涉及個人隱私的政府信息不得公開，但個人隱私與個人信息是種屬和交叉的關(guān)系，因而，不屬于個人隱私的個人信息仍屬于政府信息公開的范圍。政府?dāng)?shù)據(jù)開放也是同理。，以創(chuàng)造公共價值為根本宗旨。有學(xué)者認(rèn)為，開放政府?dāng)?shù)據(jù)本身不具有直接價值，唯有創(chuàng)造公共價值才是真正有意義的。[12]

三是共享的限制性。雖然數(shù)據(jù)共享已成為大數(shù)據(jù)時代數(shù)據(jù)利用的重要方式，但國家機(jī)關(guān)對個人信息的共享范圍和形式而言顯然較信息業(yè)者尚有所限制。根據(jù)《政府信息公開條例》第15條和政府?dāng)?shù)據(jù)開放的相關(guān)地方性法規(guī)的規(guī)定，原則上涉及個人隱私的信息均不予公開。但對信息業(yè)者之間的個人信息共享則不受類似的限制，例如，《支付寶隱私權(quán)政策》中闡明，為完成交易，支付寶可能會與第三方共享信息主體的支付信息、注冊信息等。[13]而根據(jù)《信息安全技術(shù)個人信息安全規(guī)范(GB/T 35273—2020)》規(guī)定，賬戶信息、交易記錄等屬于個人敏感信息，具有高度的私密性。再如，《淘寶隱私協(xié)議》列舉的共享個人信息情形包括“為提供產(chǎn)品或服務(wù)的必要情況下共享必要的個人信息”[14]，但該規(guī)定對何為“必要”未予明確，出于追求商業(yè)利益的目的，信息業(yè)者必然會對“必要”進(jìn)行利于自身的擴(kuò)大化解釋，進(jìn)而可能導(dǎo)致個人隱私信息被共享。綜上而言，信息業(yè)者應(yīng)如何共享個人信息多取決于雙方擬定的隱私協(xié)議，而國家機(jī)關(guān)則通過法律規(guī)范明確限制個人信息的共享范圍，以實現(xiàn)對信息主體的安全防御。

四是安全保障的嚴(yán)格性。我國當(dāng)前采用的是個人信息責(zé)任主體的一元架構(gòu)，但在刑罰方面卻規(guī)定對國家機(jī)關(guān)工作人員侵害個人信息的行為實行加重處罰。一方面，懲處力度提升?！缎谭ā返?35條第2款規(guī)定，國家機(jī)關(guān)工作人員將在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息進(jìn)行出售或提供的應(yīng)從重處罰。另一方面，情節(jié)嚴(yán)重認(rèn)定的標(biāo)準(zhǔn)下降。關(guān)于《刑法》第235條中的“情節(jié)嚴(yán)重”應(yīng)如何認(rèn)定，《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第5條第8款規(guī)定，國家機(jī)關(guān)將在履行職責(zé)或提供服務(wù)過程中獲得的公民個人信息出售或者提供給他人，數(shù)量或者數(shù)額達(dá)到前項規(guī)定標(biāo)準(zhǔn)一半以上的即可認(rèn)定為“情節(jié)嚴(yán)重”。由此可見，相較于信息業(yè)者而言，國家機(jī)關(guān)工作人員構(gòu)成侵害公民個人信息罪的門檻更低，對其懲處力度也更大。

二、二元責(zé)任主體架構(gòu)下國家機(jī)關(guān)處理個人信息的基本理念

現(xiàn)有的法律規(guī)范仍保持著個人信息責(zé)任主體的一元架構(gòu)，《個保法(草案)》雖將國家機(jī)關(guān)處理個人信息的規(guī)則單列為一節(jié)，但其內(nèi)容卻比較簡略，因此，應(yīng)正視國家機(jī)關(guān)處理個人信息規(guī)則的建構(gòu)與信息業(yè)者之間存在的差異，以“一頭轉(zhuǎn)向，兩頭強(qiáng)化”作為核心理念對相關(guān)規(guī)定做進(jìn)一步的細(xì)化。

(一)“一頭轉(zhuǎn)向，兩頭強(qiáng)化”理念的內(nèi)涵闡釋

《民法典》第1035條及《個保法(草案)》第5、6條明確了個人信息保護(hù)應(yīng)遵循“合法、正當(dāng)、必要”的原則。對于信息業(yè)者而言，基于逐利性目標(biāo)的驅(qū)使會力圖使個人信息的商業(yè)價值得到彰顯，因而存在侵犯信息主體利益的可能，所以應(yīng)當(dāng)始終嚴(yán)格秉持“合法、正當(dāng)、必要”三項原則來規(guī)范信息業(yè)者對個人信息的處理行為。國家機(jī)關(guān)處理個人信息應(yīng)以權(quán)力限制為整體導(dǎo)向，遵循“一頭轉(zhuǎn)向，兩頭強(qiáng)化”的理念。具言之，“一頭轉(zhuǎn)向”是指將履行法定職責(zé)作為國家機(jī)關(guān)處理個人信息的合法性關(guān)鍵要素，如果國家機(jī)關(guān)在職權(quán)范圍內(nèi)處理個人信息則無需征得信息主體同意，而一旦超越職權(quán)則應(yīng)以信息主體的同意為必要前提。需要說明的是，合法性的轉(zhuǎn)變僅是公民讓渡了同意權(quán)，而非喪失其知情權(quán)，除有損國家機(jī)關(guān)職責(zé)履行等特殊情況，國家機(jī)關(guān)仍需對公民履行告知義務(wù)。此種合法性的轉(zhuǎn)向存在著法理正當(dāng)性?；谏鐣跫s理論可知，國家權(quán)力來源于社會個體對自身權(quán)利的讓渡，公民具有主權(quán)者和國家成員的雙重角色。一方面，《網(wǎng)安法》《身份證法》等法律法規(guī)作為公意的表達(dá)和公民共同意志的記載，是“全體人民對全體人民的規(guī)定”[7](PP.42～43)，將信息主體同意的權(quán)利和約定事項以立法形式讓渡給國家機(jī)關(guān)，賦予其個人信息處理的法定職責(zé)[15]。換言之，雖然國家機(jī)關(guān)處理個人信息確需事先征得信息主體的同意，但實際上，這里的“同意”已經(jīng)被法律規(guī)范確定下來。只要國家機(jī)關(guān)是在法定職權(quán)范圍內(nèi)及法律規(guī)范之下處理個人信息就無需再行征得信息主體的同意。另一方面，“法律結(jié)合了意志的普遍性和對象的普遍性”[7](P.43)，當(dāng)權(quán)利褪去權(quán)力因素時，公民就應(yīng)當(dāng)遵守法律、服從秩序，不得再要求行使同意權(quán)。

“兩頭強(qiáng)化”是指國家機(jī)關(guān)收集個人信息的行為具有強(qiáng)制性，且國家機(jī)關(guān)處理個人信息的行為彰顯出的集權(quán)效應(yīng)使得信息主體難以與國家機(jī)關(guān)相抗衡。在國家機(jī)關(guān)不當(dāng)處理個人信息時，信息主體難以得到有效及時的救濟(jì)，例如，在司法機(jī)關(guān)不當(dāng)處理個人信息的情況下，信息主體無法訴諸司法裁判，只能申請司法賠償，而司法賠償存在著申請難、審理難和理賠難的問題，使得信息主體的合法權(quán)益難以得到有效的維護(hù)。[16]因而，雖然在國家機(jī)關(guān)處理個人信息的過程中，個人利益在面對公共利益時要受到一定的限制，但同時應(yīng)當(dāng)加強(qiáng)對利用行為的正當(dāng)性和必要性的約束，防止公權(quán)力失范。

(二)“一頭轉(zhuǎn)向，兩頭強(qiáng)化”理念的法理分析

1.協(xié)調(diào)角色沖突 《民法總則》第111條首次明確提出要對個人信息進(jìn)行保護(hù)，在此之前，對個人信息的保護(hù)主要是通過隱私權(quán)的模式予以實現(xiàn)。兩種保護(hù)模式在設(shè)權(quán)目的、保護(hù)權(quán)能與保護(hù)客體上具有近似性和共通性。但事實上，將其置于隱私權(quán)框架中予以考察，則個人需要對抗的是大眾傳媒、公眾評論、大眾窺私欲對私人信息的侵?jǐn)_，換言之，隱私權(quán)為其可能與知情權(quán)及言論自由產(chǎn)生的沖突提供了保護(hù)屏障。隱私權(quán)、知情權(quán)和言論自由均為個人享有的基本權(quán)利，國家對其負(fù)有積極的保護(hù)義務(wù)，同時，言論自由、公眾知情權(quán)等與隱私保護(hù)之間的利益權(quán)衡、分配與限制應(yīng)屬于高位階法律規(guī)范的范疇[17]，此時國家作為超然于個體權(quán)利沖突之外的中立第三方，以立法和司法裁判的方式協(xié)調(diào)涉事主體的利益沖突。概言之，隱私權(quán)框架下的國家機(jī)關(guān)僅為中立的監(jiān)督者和利益協(xié)調(diào)者。而在個人信息框架下，國家機(jī)關(guān)處理個人信息具有公益性，國家機(jī)關(guān)需要個人信息作為基本元素以實現(xiàn)治理體系與治理能力的現(xiàn)代化，由此國家機(jī)關(guān)具有對非法利用個人信息行為的監(jiān)督管理者和最大的個人信息處理者的雙重身份。雖然對個人信息進(jìn)行監(jiān)管的國家機(jī)關(guān)與處理個人信息的國家機(jī)關(guān)并非完全一致，但由于國家機(jī)關(guān)之間的內(nèi)在維護(hù)性和自我保護(hù)意識，難以完全確保國家機(jī)關(guān)在處理問題時不向自身的整體利益傾斜。故而，應(yīng)強(qiáng)化國家機(jī)關(guān)處理個人信息的正當(dāng)性和必要性，以協(xié)調(diào)國家機(jī)關(guān)角色沖突可能招致的權(quán)力失范，使其時刻回應(yīng)外界對自我監(jiān)管有效性的質(zhì)疑。[18]

2.協(xié)調(diào)利益沖突 基于國家機(jī)關(guān)處理個人信息的公益性，其希冀以最小成本、最快速度和最高效率處理最大規(guī)模的個人信息，以提供周全的公共服務(wù)和精準(zhǔn)的公共產(chǎn)品。同時，信息主體則希望個人信息不被侵犯，因此，兩種利益便產(chǎn)生了矛盾，矛盾的實質(zhì)是秩序和自由的沖突。雖然個人是自身的最高主權(quán)者，對自己的身心享有自由[19](P.10)，但無限制的自由極易被濫用，需要對其進(jìn)行限制[20](P.302)。秩序的存在是為了社會福祉而限制公民的自由，進(jìn)而使其自由得以真正實現(xiàn)。一方面，“一頭轉(zhuǎn)向”可以有效促進(jìn)公共治理穩(wěn)定有序地推進(jìn)?；诒R梭的“連比例”觀點[7](PP.63～69)，如果公民賦予國家機(jī)關(guān)處理個人信息的權(quán)限過小，且國家機(jī)關(guān)需在處理個人信息前征得信息主體的同意，則表明公民賦予國家機(jī)關(guān)的權(quán)限與國家機(jī)關(guān)行使職權(quán)的有效性與科學(xué)性不成比例，導(dǎo)致國家機(jī)關(guān)職權(quán)的行使將得不到有效的保障。合法性的轉(zhuǎn)向在一定程度上強(qiáng)化了國家機(jī)關(guān)處理個人信息的強(qiáng)制性，可以保障公共治理的推進(jìn)。首先，在公共治理的成效層面，要求國家機(jī)關(guān)處理個人信息需征得信息主體的同意可能會從源頭上減少信息的供給量，從而引發(fā)公共治理受阻等連鎖反應(yīng)。其次，在公共治理效率層面，如過度強(qiáng)調(diào)信息主體的同意權(quán)，則會大大增加公共治理的成本，減損治理效率。最后，在公共治理秩序?qū)用?，如果賦予信息主體以同意權(quán)，那么根據(jù)《個保法(草案)》第16條的規(guī)定，信息主體勢必也享有撤回同意的權(quán)利。而不同于信息業(yè)基于商業(yè)目的對個人信息所進(jìn)行的利用，國家機(jī)關(guān)對個人信息的處理具有公益性，如允許信息主體隨意將信息撤回，則會影響社會治理的安定性。另一方面，雖然國家機(jī)關(guān)處理個人信息的行為要受到安全保障性和共享限制性的約束，但仍未形成體系性的規(guī)范，未能全面覆蓋個人信息的整個生命周期，仍需從整體上對其正當(dāng)性和必要性進(jìn)行強(qiáng)化。同時，一旦國家機(jī)關(guān)在處理個人信息時對公民造成侵害，導(dǎo)致的不僅僅是個體利益受損，而是不特定多數(shù)人公共利益的減損。因此，需要對公權(quán)力行使的正當(dāng)性和必要性進(jìn)行嚴(yán)格地限制，以實現(xiàn)信息主體與國家機(jī)關(guān)間的良好互動。

3.協(xié)調(diào)邏輯沖突 《個保法(草案)》第35條規(guī)定：“國家機(jī)關(guān)為履行法定職責(zé)處理個人信息，應(yīng)當(dāng)依照本法規(guī)定向個人告知并取得其同意；法律、行政法規(guī)規(guī)定應(yīng)當(dāng)保密，或者告知、取得同意將妨礙國家機(jī)關(guān)履行法定職責(zé)的除外。”這一規(guī)定存在著既要強(qiáng)化信息主體同意權(quán)，又給予國家機(jī)關(guān)充分逃逸空間的邏輯悖論。申言之，該條以除外條款的形式規(guī)定了國家機(jī)關(guān)在法律、行政法規(guī)中存在保密規(guī)定和履行法定職責(zé)的情況下，無需征得信息主體同意即可處理個人信息，而這兩種合法性來源的外延較廣，缺乏清晰的邊界，且由于國家機(jī)關(guān)處理個人信息的行為具有公益性，能夠有效提升國家治理的能見度和風(fēng)險感知度，隨著技術(shù)的迭代和公共治理的需求，個人信息的公共用途必然會極速擴(kuò)張，而立法者尚不能夠窮盡相關(guān)的所有規(guī)定。[3]除外條款的逃脫性與信息主體同意的繁瑣性形成了鮮明對比，由于國家機(jī)關(guān)實質(zhì)上缺乏征求信息主體同意的內(nèi)生驅(qū)動力，自然會選擇向除外條款逃逸，進(jìn)而造成征得信息主體同意的條款淪為虛置條款。因此，與其讓信息主體的同意條款被架空，不如對個人信息的合法性基礎(chǔ)進(jìn)行轉(zhuǎn)向，以有效應(yīng)對此種邏輯沖突。

三、二元責(zé)任主體架構(gòu)下國家機(jī)關(guān)處理個人信息規(guī)則的展開

基于“一頭轉(zhuǎn)向”的理念，國家機(jī)關(guān)在履行法定職權(quán)范圍內(nèi)處理個人信息無需經(jīng)過信息主體的同意。但“法定職權(quán)”應(yīng)當(dāng)如何被界定？現(xiàn)有的法律規(guī)范雖對此有所涉及，但對具體職權(quán)的闡述仍不夠詳細(xì)。(4)例如，《傳染病防治法》第12條雖然規(guī)定了疾病預(yù)防控制機(jī)構(gòu)等有權(quán)收集個人信息，但未具體闡明在具體履行何種職責(zé)時有權(quán)收集個人信息，也未對收集、利用等具體規(guī)則作出規(guī)定。擴(kuò)張是權(quán)力的天然屬性，如果對法定職權(quán)界定不清將會有違“控權(quán)”思想。對“法定職權(quán)”的限定可以參照權(quán)力清單模式進(jìn)行明確列舉和統(tǒng)一規(guī)范。但法律天生即存在滯后性，因而權(quán)力清單不可能完全概括國家機(jī)關(guān)無需經(jīng)信息主體同意即可處理個人信息的法定職權(quán)范圍，此時超出法定職權(quán)范圍的個人信息處理行為就需征得信息主體的同意，而不可一概以公共利益為由進(jìn)行豁免。當(dāng)然，在遇有緊急情況、突發(fā)事件時，即便未在法定職責(zé)范圍內(nèi)，也應(yīng)允許國家機(jī)關(guān)未經(jīng)信息主體的同意對其個人信息進(jìn)行處理。

個人信息責(zé)任主體的二元架構(gòu)旨在構(gòu)建對國家機(jī)關(guān)處理個人信息的限制性規(guī)范。在“兩頭強(qiáng)化”理念的指引下，對國家機(jī)關(guān)處理個人信息的規(guī)制應(yīng)遵循個人信息全生命周期的進(jìn)路，實行分階段考量，同時，考慮到個人敏感信息一旦泄露可能會侵害公民的人格尊嚴(yán)[21]，因而需要對個人的敏感信息實行更為嚴(yán)格的保護(hù)。

(一)國家機(jī)關(guān)收集個人信息的規(guī)則

收集階段是個人信息從個體層面向外擴(kuò)張的最初源頭，正本清源有助于實現(xiàn)個人信息處理的良性循環(huán)。對國家機(jī)關(guān)收集個人信息正當(dāng)性和必要性的強(qiáng)化主要可以從收集方式和收集內(nèi)容兩個方面予以展開。

1.收集方式 對國家機(jī)關(guān)收集個人信息方式的正當(dāng)性和必要性進(jìn)行強(qiáng)化包括三個方面。

第一，對公民知情權(quán)的強(qiáng)化。既往國家機(jī)關(guān)收集個人信息的過程往往是在信息主體不知情的情況下進(jìn)行的。如在犯罪偵查過程中，偵查機(jī)關(guān)無法在技術(shù)偵查的過程中告知信息主體，且法律規(guī)范尚未規(guī)定偵查機(jī)關(guān)負(fù)有向信息主體在事后告知的義務(wù)。由此可見，國家機(jī)關(guān)在個人信息收集的過程中，對信息主體的知情權(quán)保障嚴(yán)重不足。雖然合法性的轉(zhuǎn)向不再以信息主體同意為前提，但這并不代表信息主體一并讓渡了自己的知情權(quán)。因此，國家機(jī)關(guān)仍應(yīng)及時履行告知義務(wù)，并根據(jù)履行職責(zé)的類別和需求，選擇事前告知或事后告知，同時應(yīng)當(dāng)參照美國《隱私法案》的規(guī)定詳細(xì)說明收集依據(jù)、內(nèi)容、目的、拒絕提供的后果等信息，在收集個人敏感信息時要明確告知信息主體此為敏感信息。

第二，遵循直接收集原則。直接收集指的是國家機(jī)關(guān)在收集個人信息時，如果可能會對信息主體做出不利決定時，必須盡可能地由信息主體自主提供信息，避免第三者提供的信息對其主體產(chǎn)生不利影響。個人敏感信息則應(yīng)當(dāng)完全禁止第三方提供。

第三，遵循一次性收集原則。既往國家機(jī)關(guān)收集個人信息存在多頭收集的現(xiàn)象，為減少對信息主體的侵?jǐn)_，應(yīng)當(dāng)實行一次性收集，不僅應(yīng)包括收集主體的一次性，即由一個主體收集之后，通過信息共享等方式向其他有需要的國家機(jī)關(guān)傳遞，由此代替向信息主體的再次收集，同時還包括收集內(nèi)容的一次性，即類似于行政法的“一次性告知”規(guī)則，國家機(jī)關(guān)應(yīng)當(dāng)一次性收集所需的個人信息，減少對信息主體的侵?jǐn)_。

2.收集內(nèi)容 對國家機(jī)關(guān)收集個人信息內(nèi)容的考量應(yīng)秉持比例原則的核心要義，對其正當(dāng)性和必要性予以強(qiáng)化。具言之，國家機(jī)關(guān)收集個人信息應(yīng)符合法律的正當(dāng)性目的，將收集個人信息所獲取的利益與給信息主體造成的后果進(jìn)行權(quán)衡，只有在證明公共治理目的大于其所侵害的信息主體權(quán)利時才能對公民的信息進(jìn)行收集和利用，且所處理的個人信息應(yīng)是達(dá)成目的范圍的最小值，此處的最小值不僅包括信息的數(shù)量，也應(yīng)包括其類型，對個人敏感信息的收集應(yīng)當(dāng)更加謹(jǐn)慎，即只在收集一般個人信息不足以實現(xiàn)公共治理目標(biāo)時方可收集個人的敏感信息。實踐當(dāng)中，過量收集個人信息的現(xiàn)象也凸顯了對收集內(nèi)容進(jìn)行正當(dāng)性和必要性強(qiáng)化的重要性。例如，2013年，某學(xué)校在校內(nèi)發(fā)生盜竊案件之后，即要求在校的5000多名男生化驗DNA。[22]而DNA作為個人敏感信息被如此收集，校方實則有濫用職權(quán)、侵犯公民個人信息之嫌。再如，我國臺灣地區(qū)針對“捺印指紋換身份證”案，大法官會議明確指出，加強(qiáng)身份證防偽和防止冒用身份證的目的均已通過設(shè)置防偽措施等方式實現(xiàn)了，因而采用捺印指紋的方式屬手段過當(dāng)，不符合比例原則。[23]

(二)國家機(jī)關(guān)儲存?zhèn)€人信息的規(guī)則

通過梳理以往的法律規(guī)范可以發(fā)現(xiàn)，其中規(guī)定的關(guān)于個人信息的存儲期限從6個月到30年不等，其規(guī)定較為雜亂，且缺乏統(tǒng)一的標(biāo)準(zhǔn)，并未全面涵蓋個人信息的種類。明確國家機(jī)關(guān)儲存?zhèn)€人信息的期限，既有利于防止因公權(quán)力過于龐大而導(dǎo)致其發(fā)生異化，同時，有期限地保留數(shù)據(jù)也有助于增強(qiáng)個人信息的時效準(zhǔn)確性。

對于具體期限的確定，已有部分信息業(yè)者對此進(jìn)行了明確。如谷歌在隱私政策中將個人信息的刪除期限劃分為隨時刪除、到期自動刪除和視需要延長保留期限三種類型，隨時刪除的信息指的是谷歌賬號名下的一些個人信息，在信息主體刪除前該類信息會一直保留；到期自動刪除數(shù)據(jù)的存儲期限則取決于收集原因和類別，如Cookie信息在保留到18個月后會被刪除；視需要延長保留期限的則是出于商業(yè)或法律的要求，如為確保信息的安全性、防范欺詐行為等。[24]

強(qiáng)化國家機(jī)關(guān)處理個人信息存儲期限的正當(dāng)性和必要性應(yīng)從以下兩個方面進(jìn)行考量。

第一，強(qiáng)化類型化區(qū)分儲存期限的必要性。對個人信息應(yīng)當(dāng)根據(jù)收集原因和用途劃分為即時刪除、職責(zé)履行完畢的到期刪除和視職責(zé)履行需要延長保留期限三種類型，并規(guī)定儲存的時間上限。規(guī)定視職責(zé)履行需要延長保留期限的原因在于，公共治理具有場景多樣性和不可預(yù)測性，國家機(jī)關(guān)收集的個人信息的用途有很多都是無法提前預(yù)見的，如果一概對其進(jìn)行即時刪除或到期刪除的處理，則可能會喪失進(jìn)一步挖掘數(shù)據(jù)功能的機(jī)會，而重新收集又會耗費巨大的成本。因此，當(dāng)刪除信息的時間節(jié)點臨近時，應(yīng)由國家機(jī)關(guān)再次判斷是否存在保留的必要，并應(yīng)允許各部門根據(jù)職責(zé)所需規(guī)定不同的使用期限。對個人敏感信息則應(yīng)嚴(yán)格執(zhí)行最短的存儲期限。

第二，進(jìn)一步強(qiáng)化向信息主體公開儲存信息的正當(dāng)性。在衡量信息主體私人利益與公共利益的過程中，信息主體犧牲了部分個人信息的自決權(quán)，因此，應(yīng)在合理范圍內(nèi)對其權(quán)利進(jìn)行補(bǔ)足。筆者認(rèn)為，可以借鑒美國《隱私法案》的規(guī)定，借助個人信息系統(tǒng)面向信息主體公示儲有的個人信息數(shù)量、存儲位置等情況，以充分保障信息主體的知情權(quán)和監(jiān)督權(quán)。

(三)國家機(jī)關(guān)使用個人信息的規(guī)則

可流動性是個人信息的天然屬性，國家機(jī)關(guān)使用個人信息應(yīng)兼顧“有用”和“管護(hù)”兩項基準(zhǔn)[25]，既要通過數(shù)據(jù)畫像、算法自動化決策(5)數(shù)據(jù)畫像是指針對個人信息的自動處理，以用于評估或預(yù)測自然人的個人偏好、行為特征等等。算法自動化決策則是利用個人信息對個人的行為習(xí)慣、興趣愛好等，通過計算機(jī)程序的自動分析、評估進(jìn)行決策，以是否有人工干預(yù)為標(biāo)準(zhǔn)，又可細(xì)化為完全自動化算法決策和半自動化算法決策。數(shù)據(jù)畫像通常用于算法自動化決策，但也可以用于人工決策，算法自動化決策可以使用數(shù)據(jù)畫像作為輸入方式，也可以使用其他數(shù)據(jù)來源。兩者雖并非完全等同或互相依存，但在技術(shù)邏輯上具有高度相似性與關(guān)聯(lián)性，故筆者在此一并進(jìn)行闡述。等方式挖掘數(shù)據(jù)的價值，又要加強(qiáng)對個人信息使用的正當(dāng)性和必要性的約束。承繼“一頭轉(zhuǎn)向”的理念，國家機(jī)關(guān)在進(jìn)行數(shù)據(jù)畫像和算法自動化決策時，無需經(jīng)過信息主體的同意即可收集對方的信息，只需在履行法定職責(zé)的范疇內(nèi)使用即可，但在程序運作上應(yīng)當(dāng)嚴(yán)格遵循正當(dāng)程序原則。首先，在事前階段應(yīng)當(dāng)通過數(shù)據(jù)畫像和算法自動化決策數(shù)據(jù)、事項負(fù)面清單的建立和公開以及對算法決策影響的評估來強(qiáng)化對信息收集的正當(dāng)性和必要性。一方面，應(yīng)在重要領(lǐng)域為數(shù)據(jù)畫像和算法自動化決策設(shè)立禁區(qū)。例如，在司法領(lǐng)域，可借助司法大數(shù)據(jù)應(yīng)用的常規(guī)備案和倫理審查，適時出臺并定期更新“司法大數(shù)據(jù)應(yīng)用負(fù)面清單”。[26]同時，還應(yīng)當(dāng)單獨劃定個人敏感信息數(shù)據(jù)畫像和算法自動化決策的禁區(qū)。另一方面，《個保法(草案)》第55條規(guī)定將算法自動化決策列入事前風(fēng)險評估的范圍，且這一規(guī)定同樣適用于國家機(jī)關(guān)與信息業(yè)者。但算法自動化決策會對公眾參與原則產(chǎn)生負(fù)面影響，因此，相較于信息業(yè)者而言，國家機(jī)關(guān)在進(jìn)行風(fēng)險評估時應(yīng)注重公眾的參與，通過聽證等形式加強(qiáng)國家機(jī)關(guān)、算法研發(fā)者和公眾的對話。事實上，已有國家采取了相關(guān)的做法。例如，美國華盛頓州的HB165法案即要求政府部門的算法系統(tǒng)在使用前需在政府網(wǎng)站上公布，并邀請公眾對算法問責(zé)報告進(jìn)行評論，時間不得少于30天。[27]其次，在事中階段應(yīng)注重對相對人知情權(quán)、陳述及申辯權(quán)的保障。一方面，應(yīng)當(dāng)保障相對人對算法自動化決策的知情權(quán)，并將其作為國家機(jī)關(guān)行為生效的必經(jīng)程序，避免全自動行政行為直接對行政相對人發(fā)生效力。[28]然而，對于向信息主體告知的內(nèi)容，《個保法(草案)》中僅作了粗略的規(guī)定。參考其他國家的相關(guān)規(guī)定，筆者認(rèn)為，國家機(jī)關(guān)應(yīng)當(dāng)向相對人告知的內(nèi)容包括收集的個人信息的來源、數(shù)據(jù)畫像和算法自動化決策的引入邏輯、數(shù)據(jù)畫像和算法自動化決策可能產(chǎn)生的后果與影響，等等。雖然公民的認(rèn)知能力可能與算法決策具有的復(fù)雜性、專業(yè)性不相匹配，但這并不能成為國家機(jī)關(guān)拒絕解釋算法決策的理由。這不僅是對公眾知情權(quán)的回應(yīng)，還能夠?qū)ο鄬θ说奈磥硇袨檫M(jìn)行指引。另一方面，應(yīng)當(dāng)保障半自動化算法決策相對人陳述與申辯的權(quán)利。雖然完全自動化的行政決策無法及時保障相對人的陳述和申辯權(quán)，只能通過事后的救濟(jì)予以補(bǔ)足，但對于半自動化的算法決策而言，則應(yīng)當(dāng)保證當(dāng)事人的及時陳述和申辯權(quán)。最后，在事后階段由于無法完全保證數(shù)據(jù)畫像和算法自動化決策的準(zhǔn)確性，一旦錯誤的結(jié)果作用于相對人，則會對其人身和財產(chǎn)利益產(chǎn)生損害。因此，國家機(jī)關(guān)應(yīng)當(dāng)為相對人提供救濟(jì)途徑，既包括對錯誤畫像和自動化決策結(jié)果的糾偏，還應(yīng)包括對錯誤算法方式的質(zhì)疑和糾正。

在個人信息共享層面，應(yīng)區(qū)分“對內(nèi)”和“對外”兩個向度，即面向國家機(jī)關(guān)內(nèi)部的共享和面向公眾的公開。強(qiáng)化“對外”共享的正當(dāng)性和必要性包括兩個方面。一方面，依據(jù)法秩序的統(tǒng)一性，應(yīng)當(dāng)通過法律形式明確可以向公眾公開的個人信息類別，原則上禁止共享個人敏感信息。(6)在各地出臺的政府?dāng)?shù)據(jù)公開的規(guī)定中，多以信息是否屬于個人隱私作為是否應(yīng)當(dāng)公開的標(biāo)準(zhǔn)，《民法典》將個人信息劃分為私密信息和非私密信息，《個保法(草案)》則將個人信息劃分為個人敏感信息和非個人敏感信息。三種劃分方式之間存在著重合之處，但并非完全一致，為保障法秩序的統(tǒng)一性，應(yīng)對其進(jìn)行統(tǒng)一規(guī)范。另一方面，應(yīng)結(jié)合個人信息的形態(tài)以及造成他人重新識別的意圖等因素，采用彈性的匿名化公開標(biāo)準(zhǔn)，以平衡個人信息保護(hù)的成本和質(zhì)量，并對匿名化效果進(jìn)行定期的追蹤和修正?！皩?nèi)”應(yīng)以職權(quán)所需為限，在個人信息原有收集目的的合理范圍內(nèi)進(jìn)行共享，對于合理范圍的厘清，應(yīng)當(dāng)結(jié)合信息的收集目的和進(jìn)一步處理之間的關(guān)系、信息處理的場景和個人信息的性質(zhì)、進(jìn)一步處理對信息主體的影響和保障措施的安全性等幾個方面進(jìn)行綜合評估。同時，由于“對內(nèi)”共享的范圍限于國家機(jī)關(guān)內(nèi)部，其再識別的風(fēng)險較低，為減少成本的耗費，可適度放寬適用的匿名化標(biāo)準(zhǔn)。

在個人信息跨境流動層面，由于國家機(jī)關(guān)收集的個人信息在數(shù)量和質(zhì)量上都優(yōu)于信息業(yè)者，并且可能關(guān)涉國家利益和社會公共利益，所以，一般情況下，國家機(jī)關(guān)收集的個人信息都應(yīng)在境內(nèi)儲存。確有必要跨境的，則應(yīng)從數(shù)據(jù)出境的必要性、個人信息的重要性和敏感性、對公共利益造成的影響等方面實行嚴(yán)格的安全性評估，充分衡量信息輸出的正當(dāng)性和必要性。

筆者基于國家機(jī)關(guān)和信息業(yè)者對照的視角，剖析了國家機(jī)關(guān)處理個人信息的獨有特性，提出“一頭轉(zhuǎn)向，兩頭強(qiáng)化”的理念框架，并基于此對國家機(jī)關(guān)處理個人信息的規(guī)則進(jìn)行建構(gòu)。但其中仍有很多問題有待進(jìn)一步的研究，例如，不同類型的國家機(jī)關(guān)處理個人信息的規(guī)則是否存在差異？國家機(jī)關(guān)處理個人信息的類型化保護(hù)是否需要構(gòu)建新的區(qū)分標(biāo)準(zhǔn)？這些都應(yīng)當(dāng)成為未來研究的方向。