網絡個人資料權的立法思考：體例、原則、難點

摘 要：在全球網絡化時代，對個人資料進行保護的立法，可以分為美國模式與德國模式，這兩大模式對個人資料保護立法有著重大影響。中國個人資料保護的立法體例應取仿德國，采取統一立法模式；立法原則應借鑒美德關于基本原則的實質性規定；立法重點應建立在對個人資料權主體資格及權利義務等難點問題的突破上。

關鍵詞：立法模式；立法原則；個人資料權的主體

中圖分類號:D923 文獻標志碼:A 文章編號:1673-291X（2008）15-0105-02

當前，我們面臨著計算機全球信息網絡的嚴峻挑戰，個人資料被非法利用網絡技術者窺探、收集、傳輸的危險時刻存在，構建中國個人資料權的立法十分迫切和重要。

一、模式比較：立法體例的選擇

在個人資料保護領域進行的立法，可以分為兩大模式：其一是統一立法模式又稱德國模式，德國立法選擇個人資料作為基礎概念，制定了一部完整的個人資料保護專法，規范個人資料的收集、處理和利用，以信息自決權和人格權作為權利基礎，對個人資料進行統一保護；其二是分散立法模式又稱美國模式，美國立法選擇個人信息作為基礎概念，在公領域以隱私權作為憲法和侵權行為法基礎，采取分散立法模式，逐一立法。在私領域，美國主張實行行業自律，通過行業組織的內部規范保護信息隱私。美德模式對全球個人資料保護立法均產生了重大的影響。

從全球范圍看，絕大部分的大陸法系國家，包括少部分的英美法系國家都選擇了德國的統一立法模式。這種立法模式的特點在于充分考慮到個人資料保護的統一性，照顧到行政機關和私人機關處理個人資料行為的內在聯系，同時有助于個人資料保護在司法上實現一致性。

美國的保護模式的優勢在于其對個人資料保護領域進行了合理的劃分，在區分公私領域的基礎上進行保護。分散式立法模式的最大優點在于立法目的明確，內容界定清晰。其弊端是無論是從立法角度還是從司法角度，都容易造成法治的不統一。美國私領域的行業自律模式不適合中國國情。美國的行業組織非常發達，著名的網絡服務商均參加某種形式的行業組織，這些行業組織同政府之間的互動非常明顯，而由此發展出許多的行業自律形式[1]。而中國并沒有與美國一樣發達并有著一定地位的行業組織，因此在私領域，中國也應該選擇德國立法調整模式。

鑒于中國的法律體制和一貫的法律傳統，應選擇統一交叉式立法模式。第一，個人資料盡管可以分為公的領域和私的領域，兩個領域的基本價值取向與直接目標基本一致，均為對個人權利保護的追求，而不是對行政效率的追求。第二，從基本原則來看，無論是公的領域還是私的領域，主要基本原則的實質性內容是一致的。第三，從立法后的實施情況分析，統一立法模式更適合于一個主管機關對個人資料保護進行監管。

二、價值定位：立法原則的確定

個人資料保護原則是個人資料保護法的核心內容，德國形成了較為完備的原則體系。 其基本立法原則有：直接原則、更正原則、目的明確原則、安全保護原則、公開原則和限制利用原則。

美國的個人資料保護法并沒有一個明確統一的原則規定，1995年“國家資料基礎設施”在建設過程中提出資料隱私法的總體原則，即目的明確原則、公開原則、資料品質原則、限制利用原則、安全保護原則，與大陸法系的保護原則有異曲同工之妙[2]。

在中國的個人資料權立法中，應就基本原則做出明確規定，這不僅體現立法的指導思想，而且可以指導個人資料保護司法活動。以下是中國在收集和使用個人資料中應當遵循的原則。

（一）目的特定化原則

采集個人資料時必須明確并限定其用途或目的，禁止超出目的范圍收集、儲存個人資料，除非事先有特別約定。

（二）公告或告知原則

一般來講，收集他人資料者應當向被征集人說明為什么要收集該資料，該資料將用于何處，將采取哪些步驟來保護資料的秘密性、完整性和質量等。現在，這種公告可能包含在一個網站的隱私權政策中，也可能包括在網站或其他公司收集個人資料時就專項個人資料收集所作出的聲明。

網站個人資料收集聲明一般包括以下內容：（1）個人資料的收集范圍，同時對網頁瀏覽而導致的非個人資料的收集也可作出相應的聲明；（2）收集目的及其非經當事人同意而使用用戶個人資料的聲明；（3）資料保密聲明；（4）用戶權利；（5）免責事由等。通告必須使用明確清晰的語言使消費者引起足夠的注意，以使消費者作出正確的判斷， 即在個人閱讀這些資料后，以決定是否接受所提供的服務或同意使用。

（三）當事人事先同意原則

世界各國對于個人資料的收集大多要求事先征得當事人的同意或者讓當事人知道其個人資料被收集用于特定目的，這便是事先同意規則。為防止當事人反言或以后難以舉證其同意，這里的同意應當理解為事先書面同意。

現實操作中的困難是如何取得當事人的書面同意。因為客戶的人數眾多，要一一征詢同意并取得書面資料，在操作上有相當的困難。一般來講，只要在線企業（或機關）在客戶所填寫的個人資料表設置選項，詢問當事人是否同意作特定目的之使用，可以不必單獨簽訂同意書，或者可以建立這樣的規則：只要當事人自愿填寫其個人資料用于某項服務或交易，就可以推定其事先“書面同意”所登記的資料用于該項交易。但如果用于其他用途，應該另行設置選項，讓其表示意見。實際上，法律設置同意條件主要是防止個人資料用于經營或贏利目的，而對于公益性或無損于個人人格利益的個人資料收集無須征得個人同意。

三、難點剖析：個人資料權的主體及其權利義務

鑒于信息技術的飛速發展，立法上應有足夠的前瞻性，有必要對個人資料保護立法中的難點進行研究。

（一）資料處理主體的主體資格的取得

資料處理主體，是指對個人資料進行收集、儲存、利用和操作的個人資料本人以外的自然人、法人以及其他法律主體。

資料處理主體的主體資格問題，即網絡環境下資料處理主體要不要事先取得許可的問題。 中國臺灣地區通過行業或行政認可方式從主體資格上規范個人資料的收集，規范計算機處理個人私密性資料的行為，以避免人格權受到侵害，并維護個人資料的合理利用。中國大陸目前尚未有個人資料收集管制方面的規定，可借鑒臺灣的做法，對特定行業采取許可制，對其他行業則采取準則主義。

（二） 個人資料提供者主體資格范圍的確定

個人資料提供者，是指產生個人資料的自然人，即個人資料本人。其范圍應包括死者，但排除胎兒、法人和其他社會團體。

1.死者與胎兒：遺留下個人資料的死者應作為個人資料提供者。死者遺留的個人資料應該受到尊重和保護，一方面為了保護死者遺留的個人資料所涉及的其他人，另一方面是為了維護正常的社會秩序和尊重善良風俗。根據自然人始于出生的規定，胎兒不應該成為個人資料提供者。因為胎兒分娩前的診斷資料一般作為胎兒母親的個人資料而非胎兒的個人資料。

2.法人：法人資料的價值和功用和自然人不同，應該由民法和反不正當競爭法分別就商業秘密技術以及商業信譽進行保護，所以應該將法人等社會團體的資料排除在資料保護法的范圍之外。

（三）規范個人資料權的內容

1.資料處理主體的權利義務

資料處理主體的權利：第一，著作權：如果資料處理主體對所收集資料經過采集、整理、編制而形成數據庫，則可以按匯編作品進行保護，資料收集者對該數據庫享有著作權。但是賦予收集者以著作權，是以他對于個人資料的支配和利用不侵犯資料所有人或提供人的權利為前提。第二，管理權：資料處理主體對于所收集的資料享有管理權，如果對所收集的資料不能作為作品納入著作權保護，在法律上承認資料收集者對于資料的排他支配權。這種權利的設置主要目的在于保護資料資源的利用秩序。如果所收集的資料為他人隨意利用，那么這種資源就會因過度利用而導致枯竭。

資料處理主體的義務：第一，資料合法處理義務：并不是所有的資料都可以處理，關系個人隱私、政治傾向等敏感資料一般不得處理。即使可以處理的資料，也分為必須經當事人明示同意才可以處理的和不經當事人事先同意即可自行處理的個人資料。中國在未來立法中應該對二者加以明確區分。第二，安全保管或保存義務：個人資料收集后，收集人成為個人資料的實際控制者，必須負擔安全保存被收集人個人資料的義務。控制者在這里成為個人資料的“托管人”，應安全地保存這些資料，防止他人盜取、刪改、銷毀。凡收集個人資料的營業者，必須健全其個人資料安全維護計劃。它包括：資料安全計劃、資料稽核計劃、計算機設備管理計劃等。第三，對資料提供者的告知義務：資料管理人在使用個人數據期間應告知當事人以下事項：資料管理人或其代表人；資料處理的目的；資料傳遞的接收者或接收者的類別；當事人是自愿或義務地回復提供資料的，如不提供資料的后果；當事人查詢及更正資料的權利。

2.資料提供者的權利

第一，查詢的權利。當事人可以查詢其已經提供的資料，包括確認與其資料有關的處理，至少包括處理的目的、有關資料的類別、資料的接收者及其類別。第二，更正、刪除或封存個人資料。如果對當事人的資料的處理不合法律規定，特別是資料不完整或不正確的，應予適當更正、刪除或封存。第三，拒絕的權利。為增進公共利益，資料管理人或接收人為執行法律事務或因國家立法保存有關個人資料的，當事人有正當理由也可以拒絕該特定資料的處理；資料管理人為直接銷售的目的處理的資料或為直接銷售目的初次傳遞給第三人的，應告知當事人，當事人可以拒絕該使用及傳遞。資料管理人應明確告知當事人的權利，并提供免費表達拒絕的方式。

參考文獻：

[1] 蔣坡.國際信息政策法律比較[M].北京:法律出版社，2001:499.

[2] 張楚.電子商務法教程[M].北京:清華大學出版社，2005:212.

[責任編輯 陳麗敏]