個人敏感信息的法律規制探析

[摘 要]個人敏感信息是被認為具有特殊風險，從而通常受到特殊保護的個人信息。數據采集主體對個人敏感信息的征集與處理要遵守一些特殊的原則與條件，如本人同意原則、利益衡平原則、個人參與原則、責任原則等，我國應借鑒各國立法的共同做法，在《個人信息保護法》中對“個人敏感信息”作出法律規制。

[關鍵詞]個人信息;敏感信息;個人信息保護法

[中圖分類號]G20 [文獻標識碼]A [文章編號]1008-0821(2010)05-0024-04

Probe Into the Legal Regulation to the Personal Sensitive InformationWang Quansheng Fang Liping

(Department of Law，Shandong University at Weihai，Waihai 264209，China)

[Abstract]Personal sensitive information is thought as such information which is endowed with special risks and need to be especially protected.The body to collect and deal with the personal sensitive information need to comply with some special principles and conditions such as the principle of agree by oneself，the principle of equalizing the interests，the principle of personal involvement，the principle of responsibility.China should stipulate the“personal sensitive information”in the law of protecting personal information.

[Keywords]personal information;sensitive information;the law of protecting personal information

1 個人敏感信息的范圍

“個人信息是用來直接或間接識別自然人情況的數據資料”[1]。個人敏感信息是被認為具有特殊風險，從而通常受到特殊保護的個人信息。將個人信息劃分為個人一般信息與敏感信息(特殊信息，特殊數據)是歐盟及其所屬各國的立法特色。我們且不論它是依據什么標準將個人信息作出了這樣的劃分，我們需要考察是歐盟及其所屬各國立法中如何界定“個人敏感信息”的范圍。

1981年1月28日歐洲理事會通過的《有關個人數據自動化處理的個人保護協定》中第6條(數據的特殊類型)規定:“除非國內法已提供了適當的保護措施，禁止對揭示以下內容的個人數據進行自動化處理:人種、政治主張、宗教或其他信仰以及與健康或性生活有關的個人數據。與刑事判決有關的個人數據，也不應當被自動化處理。”

1995年歐盟通過的《個人數據保護指南》第8條第1款規定:“各成員國應禁止處理顯示種族或民族起源、政治觀點、宗教或哲學信仰和工會資格的數據，并禁止對有關健康和性生活有關的數據進行處理。”

1999年《奧地利聯邦個人數據保護法》在第一章第四節對“敏感數據”范圍進行了界定，它認為敏感數據是法律上值得特殊保護的數據，包括:與自然人有關，涉及他們的種族或倫理起源、政治觀點、商會身份、宗教或哲學信仰的數據，以及關涉健康或性生活的數據。

《保加利亞個人數據保護法》則將“個人敏感數據”歸結為:涉及種族、政治觀點、宗教哲學信仰、參加政治團體、商會、宗教、哲學、政治或勞工組織的情況以及涉及健康狀況、性生活的個人數據。

歐盟各國中對“個人敏感數據”規定最為全面與細致的當是《冰島有關個人數據的保護法》。它將“個人敏感數據”概括為以下5個方面:

(1)揭示個人的人種或種族、膚色、政治立場、宗教信仰以及其他信仰的數據;

(2)揭示個人是否是犯罪嫌疑人、被告或罪犯的數據;

(3)健康數據:包括基因數據、揭示任何藥品或酒精的醫療或非醫療用途的數據;

(4)有關性生活的數據;

(5)有關工會成員資格的數據。

從歐盟及其各國的立法來看，有兩個共性的特點:一是都通過列舉的方式將個人敏感信息范圍確定下來;二是各國關于個人敏感信息的規定都有相似的地方。

實際上，作為立法中常用的技術與方法，對“個人敏感信息”作出列舉是有必要的。但是我們也要知道，“個人敏感信息”可能在不同的國家不同的時代會有不同的范圍，比如說涉及政治立場的個人數據，在一些國家并不認同為個人敏感數據。我國制定個人信息保護法應當吸收歐盟國家的一些共同作法，并根據我國的國情對“個人敏感信息”的范圍作出如下規定:

(1)有關人種、種族、宗教信仰的個人數據;

(2)關于個人違法、犯罪等方面的數據;

(3)能根據資料識別的個人醫療數據;

(4)有關性生活的數據;

(5)其他各種對個人會造成人身財產重大損害的個人數據。

前四個方面涉及到歐盟及各國的共同做法，后一個方面實際上涉及到對個人信息的劃分問題，根據一般的理解，將個人信息區分為一般個人信息和特殊個人信息，一個重要的標準即是看這種個人數據對個人人身財產利益的損害程度。考慮這一點，立法上既采取一種能列舉的盡量列舉，不能列舉的設置一個原則規定，隨著社會的發展、人的認識水平的提高等，立法者甚至執法者、司法者可以對其加以靈活變通的解釋。

2010年5月第30卷第5期個人敏感信息的法律規制探析May，2010Vol30 No52 個人敏感信息的征集與處理的原則

一般來說，從現行很多國家的立法來看，對個人敏感信息原則上是禁止征集與處理的。歐洲理事會《有關個人數據自動化處理的個人保護協定》規定，除非國內法已提供了適當的保護措施，禁止對個人敏感信息進行自動化處理;奧地利等國家立法中規定在保護數據主體隱私利益的前提下，可以對個人敏感信息進行征集處理。因此，在能夠確保數據主體隱私利益的前提下，可以對個人敏感信息根據法律的規定進行征集與處理。

實際上，立法上可以采取對個人信息處理一般原則作出規定，在涉及到個人敏感信息處理的特別原則時，應就特別原則作出規定。也就是說，對個人信息處理的一般原則也適合于個人敏感信息征集與處理的原則。然后針對個人敏感信息征集與處理的特別原則再作出規定。

關于個人信息征集與處理的一般原則各國立法的規定都大同小異，都在某種程度上參照了經濟合作與發展組織(OECD)《關天隱私保護與個人數據跨疆界流動的指導原則》的規定，它規定的八項原則成為各國個人信息立法的范本。

這八項原則是:(1)收集限制原則。即個人信息的收集應通過合法與正當的方式，并在一定條件下要經由數據主體的同意或默示;(2)數據質量原則。個人數據應該與它們將要使用的目的和該目的必要的程度相關，個人數據應保持精確、完整與最新狀態;(3)列明目的原則。個人數據征集的目的應當在征集之前列明。(4)使用限制原則。個人數據不應該被披露和公開使用，除非在數據主體同意以及法律授權情況下才能公開;(5)安全保護原則。該原則是指“個人資料應采取合理的安全保護措施，以防止資料的丟失、非法接觸、毀損、利用、修改和揭露等危險的發生。”[2]。(6)公開原則。數據主體有權了解個人數據的存在與性質、使用目的以及數據控制者的身份與通常住所;(7)個人參與原則。數據主體有權知曉或獲得數據控制者是否擁有有關他的數據，數據主體應允許在合理的時間以合理的方式取得有關他自己的數據等;(8)責任原則。“濫用或使用不實的信息主體的信息導致信息主體的權利受損害時，應依法承擔法律責任。[3]”數據控制者有責任遵守賦予以上八原則以效力的措施。

對于個人敏感信息征集與處理的特別原則，根據各國的立法來看，有以下方面:

21 本人同意原則

各國個人數據保護法中關于個人敏感信息征集與處理的原則中都要求數據主體明確表示同意。如《冰島有關個人數據的保護法》規定:“數據主體已同意處理”。《奧地利聯邦個人數據保護法》則規定“數據所有人明確將數據親自公布。”一般來說，對于個人敏感信息的征集與處理需要數據主體的明確同意。在數據主體不知情、不同意的情況，不能對個人敏感信息進行征集與處理。

22 從數據主體及其代理人處獲得個人敏感信息的原則各國也對征集個人敏感信息的來源作出規定，征集個人敏感信息必須從數據主體自身征集。如《冰島有關個人數據的保護法》規定:“處理只與數據主體本人已經公布的數據相關。”從他人手里獲取個人敏感信息都是不允許的。

23 利益衡平原則

對個人敏感信息的征集與處理要考慮到不同利益的平衡，如個人利益與公共利益、本人利益與他人利益的平衡。如《冰島有關個人數據的保護法》規定:“處理是基于醫療目的或為了實施公共健康領域的常規管理而必須采取的行為，并且該處理應由遵守保密任務之衛生保健系統的人員實施。”“處理是為進行統計或科學研究而必須實施的行為。”《奧地利聯邦個人數據保護法》也規定:“在法律服務于一項重要的公共利益的范圍內，使用數據的義務或授權是由法律規定的。”數據的使用是“為了第三方的重大利益。”

3 個人敏感信息征集與處理的基本條件

雖然各國原則上規定對個人敏感信息禁止征集與處理，但是它又規定了例外，在符合某些條件時，各國立法又規定可以對個人敏感信息進行征集與處理。

最早規定“個人敏感信息”的歐洲理事會《有關個人數據自動化處理的個人保護協定》中原則上就規定禁止對個人敏感信息進行征集與處理，但是它又規定3種情形下，可以對個人敏感信息進行征集與處理:(1)保護國家安全、公共安全、國家的財政利益或抑制刑事犯罪;(2)保護數據主體或他人的權利和自由;(3)如果明顯不存在對數據主體隱私的侵害危險，則可以在與為統計或科研目的而進行的處理。

1995年歐盟《個人數據保護指南》則將個人敏感信息的征集與處理的條件規定更為具體化一些，從而為歐盟各國的立法奠定了堅實基礎。在該指南中，它規定了以下7種情形可以對個人敏感信息進行征集與處理:

(1)數據主體明確表示同意處理這些數據;

(2)處理對于管理者在就業法范圍內行使其義務和特殊的權利是必要的，但限于就足夠的保護措施給予規定的國家法律的授權范圍;

(3)如果數據主體在身體或法律上無法表示同意，但是處理對于保護數據主體或其他人的重大利益是必要的;

(4)處理是在基金會、組織或其他非營利性機構出于政治、哲學、宗教或工會目的具有足夠保障的活動中進行的，條件是該處理只涉及該機構的成員或與該機構簽訂有關其目的的例行合同的人，而且未得到數據主體的同意，不得向第三方公開這些數據;

(5)處理所涉及的數據明顯是由數據主體所公開的或該處理對于提出、行使或保護合法要求是必要的;

(6)如果出于預防醫學、醫療診斷、提供護理和治療或保健服務管理的目的而提出對數據進行處理的要求;

(7)如果是衛生專業部門在國家法律或國家管理機構制定的法規下，出于其專業保密的義務而進行的數據處理，或是其他人由于同樣的保密義務而進行的處理。

其后奧地利《聯邦個人數據保護法》規定了13種情形下以個人敏感信息的收集，與歐盟規定相比，它增加了如:在法律服務于一項重要的公共利益的范圍內，使用數據的義務或授權的法律規定的;是公共部門的管理員履行其提供的部門間協助義務時實施的;數據的使用僅僅涉及到由數據所有人行使的一項公共職務等。其他歐盟國家如比利時、冰島、丹麥、荷蘭、瑞典等國家也都規定了類型的情形。

雖然歐盟各國的規定基本上遵守了歐洲理事會以及歐盟的規定，但是因為國情的不同，也有一些細微的差異。考慮到我國的國情狀況，可以適當吸納歐盟各國的原則規定，又可以根據我國的實際情況對某些規定加以改變，比如說涉及到政治、哲學、工會等目的個人敏感信息在我國一般不存在或不被認為是個人敏感信息。

借鑒歐盟及其所屬各國的立法，在我國《個人信息保護法》中，可以考慮設置對個人敏感信息的征集與處理的具體條件，在滿足以下一種或多種條件下，有關數據征集與處理主體可以個人敏感信息進行征集與處理:

(1)個人敏感信息的主體明確以書面方式授權或同意;

(2)對個人敏感信息的征集與處理是為了數據主體重大的利益或第三方的重大利益;

(3)政府機關根據國家法律法規的規定，對個人敏感信息的征集與處理，但僅限于公務行使的目的與適當的范圍;

(4)數據主體已公開的個人敏感信息，但僅以其公開的范圍為限;

(5)個人敏感信息的處理是為了在訴訟中提出主張或針對訴訟主張提出抗辯的必需行為;

(6)處理是基本醫療目的或為了公共健康領域的常規管理而必須采取的行為，并且該處理應由遵守保密義務之衛生保健部門的人員實施;

(7)處理是為進行統計或科學研究而必須實施的行為;

(8)其他因法律規定或重大利益考慮而采取的個人敏感信息的征集與處理行為。

4 我國個人信息保護法關于“個人敏感信息”的立法選擇從現有相關個人信息保護法的國家來看，關于個人敏感信息的法律規定有兩種類型:一是在立法中對“個人敏感信息”的范圍及征集與處理條件作出明確規定，即有關于個人敏感信息的規定，這以歐盟及其所屬國家為典型;二是沒有區分個人一般信息與個人敏感信息，在立法中只是對個人信息作出規定，立法中沒有采用“個人敏感信息”的概念。這在經濟發展與合作組織、美國、日本、韓國等國家的個人信息保護法中體現很明顯。

為什么在立法中不采用“個人敏感信息”概念?經濟合作組織在解釋性備忘錄中對此進行了說明:“有人可能主張說，列舉本質上敏感的數據種類和范疇既是可能的，也是必須的，對此種數據的收集應當受到限制甚或禁止。在歐洲的立法中存在類似的先例(如種族、宗教信仰、犯罪記錄)，另一方面，也可以認為，任何數據本質上都不是“私人的”或“敏感的”，但是，它們可能在特定的語境下和在被放置到不同的用途中時變成“私人的”或“敏感的”。例如，這種觀點反映在美國的隱私立法中。專家團討論了許多敏感標準，如差別待遇的風險，但是，它并不認為，給那些通常被認為是敏感的數據下定義是可能的，因此，在第七段僅包含一個應當限制個人數據收集的普遍闡述。[4]”

我國《個人信息保護法》已提上立法日程，2003年年初，國務院信息辦委托中國社會科學院法學研究所以周漢華研究員為負責人的個人數據保護法研究課題組承擔《個人數據保護法》比較研究及草擬一份專家建議稿。經過幾年的時間，該專家建議稿已經起草完成。

在《個人信息保護法》專家建議稿中沒有對“個人敏感信息”作出規定。該專家組認為，“盡管在我國確實有必要加強對某些敏感個人信息的保護(如傳染病人、艾滋病患者)，但是，在個人信息保護法中不宜采用敏感個人信息概念。”為什么呢，他們提出了3個方面的理由:“(1)域外立法中的敏感信息概念含義非常廣泛，包括了政治權利、宗教信仰、結社自由、健康、性生活與司法公正等許多方面。在我國，由于國情的不同……，如果采用含義廣泛的敏感個人信息概念，會導致個人信息保護法與我國憲法和根本政治制度的沖突。(2)對于我國實際生活中各個方面收集個人信息過多，甚至收集直接涉及類似個人健康、醫療信息的問題，完全可以通過單行立法來解決，沒有必要一定要在個人信息保護法中規定敏感個人信息》……(3)不采用敏感個人信息概念，在域外立法中也是一種比較常見的選擇。[5]”

作者認為，我國既然要制定第一部個人信息保護方面的法律，應當借鑒歐盟及其所屬各國的立法模式，對“個人敏感信息”作出規制。

41 個人信息中可以通過技術與標準區分為“個人一般信息與個人敏感信息”，對個人敏感信息的范圍作出界定是可能的而且是必要的其可能性在于，從世界上現有個人信息保護的國家來看，實際上對個人敏感信息作出規定的國家數量比沒有作出規定的國家在數量上要多得多，而且在影響上也要大。歐盟及其各國對“個人敏感信息”范圍作出規定就是基于一定的標準與技術作出來，而且是就目前的認識水平來講是較為合理的;其必要性在于:個人敏感信息是客觀存在的，就連我國起草《個人信息保護法》的專家也都承認，一些信息(如傳染病人、艾滋病患者)確實屬于個人敏感信息，有特別保護的必要。至于專家組認為域外的個人敏感信息概念過于寬泛，如果吸納這些觀念，可能與我國憲法和根本政治制度相沖突，這個問題可以完全避免，一個國家的國情及性質，不可能要照搬照抄別國的立法，可以根據自己的國情與性質作出特別的規定，范圍可以小于也可以大于其他一些國家的規定。從我國當前的立法選擇來看，可以考慮結合各國規定的共性方面作出規定。

42 現實中對個人信息收集與處理已出現了一些問題，尤其是對個人敏感信息的征集與處理涉及到數據主體的隱私與安全，需要針對不同性質的個人信息作出規定我國到目前為止沒有一部相關的個人信息保護方面的完整法律，僅有一些零散的規定，這不利于個人信息尤其是個人敏感信息的保護。有專家建議可以采用單行法的形式對個人敏感信息作出規定，這一方面增加立法成本不說，另一方面也可能涉及對個人信息全面保護的缺乏。既然要制定個人信息保護方面的專門法律，有必要對該法所能涉及的問題，需要規制的問題都有所規定，借鑒其他國家的成熟做法，我們可以制定一個全面的、完整的、可操作性強的個人信息保護法。

43 域外立法中采用“個人敏感信息”的規定居多

雖然歐洲理事會《有關個人數據自動化處理的個人保護協定》、歐盟《1995年個人數據保護指南》成為歐盟各國立法的指南與范本，同時“歐盟的規定……成為了一個國際問題，也使歐盟之外的其他許多國家在立法中紛紛效仿。[5]”另外，歐盟及其所屬各國關于個人信息保護方面的法律制定得比較早，有些國家還做了一些修改，條款內容也逐漸成熟。我國在這方面的立法剛剛起步，為盡快彌補這個缺憾，需要制定一個完善的包括“個人敏感信息”規定的個人信息保護法非常有必要。

44 經濟全球化的發展以及各國國際合作的加強，一個國家吸納別國的先進立法成果已成必然趨勢一個國家的發展有快慢先后，立法也經歷不同的過程，為更好的促進國際合作，更好履行我國加入的國際條約與協定的義務(比如加入世貿組織承諾的“透明原則”)，也需要制定出與各國立法共同性比較接近的相關法律。同時，社會經濟的發展，人員、信息等生產要素在全球范圍內自由流通，這是一國經濟得以高速發展的重要前提，跨境數據流動既是對主權國家的挑戰也是機遇[6]。因此，在制定《個人信息保護法》這個問題上，宜將“個人敏感信息”問題作一個較為全面、詳細、操作性強的規定，以適應我國經濟發展與國際交往的需要。

參考文獻

[1]汪全勝.試論網絡隱私權的立法保護[J].情報雜志，2005，(1):6-9.

[2]齊愛民.個人資料保護法原理及其跨國流通法律問題研究[M].武漢:武漢大學出版社，2004:104.

[3]汪全勝.政府獲取個人數據的權利及其限制[J].情報理論與實踐，2005，29(5):520-523.

[4]周漢華.域外個人數據保護法匯編[M].北京:法律出版社，2006:27.

[5]周漢華.個人信息保護法(專家建議稿)及立法研究報告[M].北京:法律出版社，2006:79-80，88-89.

[6]程衛東.跨境數據流動的法律監管[J].政治與法律，1998，(3):71-75.