論大數據時代我國個人信息保護原則的補充*

岳 強 張 琰 安 涵 劉 婧 李 鑫

天津師范大學法學院，天津 300387

在大數據時代，“個人信息”無疑是成為了社會各個領域發展的助推器，各領域主體通過對“個人信息”的處理和利用，取得了巨大的社會效益與經濟效益。然而在此過程中，個人信息的安全問題也日益突出。我國目前并沒有出臺專門性的《個人信息保護法》，這使得個人信息保護缺少了必要的法律基礎，對維護個人信息主體的合法權益非常不利。而作為個人信息保護法律制度另一重要利器個人信息保護的基本原則，集中反映了個人信息保護的本質和規律，在個人信息保護立法相對滯后的我國，明確個人信息保護的基本原則不失為一種權宜之計。[1]因此，我國在國家層面與行業層面也出臺了相應的個人信息保護原則，為個人信息的處理提供了一定的準則與指導。但是該相關原則與歐美發達國家確立的個人信息保護原則相比，仍然存在一定的不足。筆者認為，面對復雜多樣的大數據時代，立足于具體國情，同時借鑒其他國家確立個人信息保護原則的經驗，補充明確我國的個人信息保護原則，對完善我國個人信息保護法律制度以及全面有效地保護個人信息具有重要的意義。

一、個人信息保護原則之自述

“原則”一詞來自于拉丁語principium，其基本意思是指開始、起源和基礎。[2]在法學中，原則即法律原則。法律原則是指一定范圍的法律規范體系的基本精神、指導思想，是具有綜合性、本源性和穩定性的根本準則。[3]法律原則無論是對法的創制還是對法律的實施都具有重要的意義。而在個人信息保護法律制度的建立中，個人信息保護原則同樣發揮著舉足輕重的作用。

個人信息保護的基本原則是指個人信息保護的本質和規律及立法者在個人信息保護領域所行政策的集中反映，[4]它是貫穿于個人信息保護始終的根本宗旨和理念。無論是對宏觀的個人信息保護相關法律的制定，還是對具體的個人信息的收集、處理和利用等行為的調控與限制都具有指導意義。特別是在大數據時代個人信息侵害事件頻頻發生，而我國的個人信息保護相關法律規范又不完善的現狀之下，個人信息保護原則的確立著實是為個人信息保護的開展又開辟了新的路徑。在實踐中，個人信息保護原則是任何主體收集、處理和利用個人信息都必須遵守的法律準則，任何主體都必須在相應的個人信息保護原則之下實施相關的法律行為，一旦違反相應原則，就要承擔相應的法律責任。可見，個人信息保護原則在我國個人信息保護法律制度與個人信息保護的法律實踐之中，都發揮著“安全閥”的作用。因此，進一步明確與完善我國的個人信息保護原則體系，不僅有利于應對大數據時代紛繁復雜的個人信息安全問題和個人信息侵害行為，而且有利于促進我國個人信息保護相關立法的推進。

二、我國個人信息保護原則確立之現狀

為了應對大數據時代個人信息保護問題，我國對于個人信息保護原則的確立也是緊隨時代的步伐與要求，在國家層面與行業層面都制定和出臺了相關的個人信息保護原則與標準，以加強對個人信息的保護以及促進個人信息的安全流通。

(一)國家層面的個人信息保護原則

我國首先確立個人信息保護原則國家標準的是工業和信息化部于2013年發布的《信息安全技術公共及商用服務信息系統個人信息保護指南》(以下簡稱“指南”)。

根據《指南》第4條第2項規定“個人信息管理者在使用信息系統對個人信息進行處理時，宜遵循以下基本原則：目的明確原則，即處理個人信息具有特定、明確、合理的目的。最少夠用原則，即只處理與處理目的有關的最少信息，達到處理目的后，在最短時間內刪除個人信息。公開告知原則，即對個人信息主體要盡到告知、說明和警示的義務。個人同意原則，即處理個人信息前要征得個人信息主體的同意。質量保證原則，即保證處理過程中的個人信息保密、完整、可用，并處于最新狀態。安全保障原則，即采取適當的、與個人信息遭受損害的可能性和嚴重性相適應的管理措施和技術手段，保護個人信息安全，防止未經個人信息管理者授權的檢索、披露及丟失、泄露、損毀和篡改個人信息。誠信履行原則，即按照收集時的承諾，或基于法定事由處理個人信息，在達到既定目的后不再繼續處理個人信息。

責任明確原則，即明確個人信息處理過程中的責任，采取相應的措施落實相關責任，并對個人信息處理過程進行記錄以便于追溯。”①由此，《指南》確立八項個人信息保護的國家標準，為社會各個領域在收集、處理、保護個人信息提供了最根本的行為準則。

(二)行業層面的個人信息保護原則

個人信息保護原則不僅出臺了國家標準，而且為了更好地促進個人信息的流通、利用與保護，明確行業責任，在相關行業領域也確立了個人信息保護原則。

首先，在數據交易流通的行業領域，上海數據交易中心有限公司為了更加安全進行數據商品交易，其制定的《流通數據處理準則》與《個人數據保護原則》中都明確了個人信息保護原則。根據《流通數據處理準則》第2條規定，個人數據處理要遵循隱私管理原則、數據透明原則、告知同意原則、隔離原則、禁止公開原則、使用合法和限制原則、選擇退出原則、數據正確原則、維護權益原則、應急補救原則。而《個人數據保護原則》的第1至第8條又進一步規定了合法原則、隱私管理原則、身份保護原則、同意原則、有限原則、個人參與原則、維權原則以及責任原則這八項具體的個人信息保護原則。②由此，上海數據交易有限公司不但為自身確立了個人信息保護原則的體系，而且對整個數據交易行業領域的個人信息處理與個人信息保護都產生了重要的影響。

其次，在互聯網領域，新浪網是涉及社交、新聞、娛樂等方面的綜合性網站之一，其對用戶個人信息的保護一直走在行業的前列。其制定的《新浪網在線隱私保護制度》就明確了個人信息保護的基本原則，如新浪網需要識別用戶的身份或者與用戶聯絡時，會明確地詢問客戶所需要的資料，即目的明確原則；新浪網在將用戶的個人資料用在次要用途時，會同時提供用戶如何拒絕這項服務的說明，即拒絕使用原則；新浪網可能會因法律要求公開個人資料或者因善意確信公開個人資料有利于用戶之個人或公眾安全，即善意確信原則。由此，新浪網確立了自身在個人信息處理與保護的基本原則，不僅有益于用戶個人信息的保護，體驗更加安全的網絡服務，也促進了新浪網經濟效益的提升。

綜上所述，大數據時代的個人信息安全問題促使我國在國家層面與行業領域都確立了個人信息處理的基本原則，使得大數據時代的個人信息保護“有則可依”。但是從整體來，《指南》確立的八項國家標準實則是參照1980年經濟合作與發展組織(OCED)公布的《隱私保護和個人數據跨國指南》所列出的個人數據處理適用的八項原則而制定的，國標的基本框架與原則的具體內容都與其相似，并沒有結合我國的具體實際制定；而行業層面的個人信息保護原則具有一定的行業限制性，各個行業確立原則的范圍與質量參差不齊，標準難以統一。而且從目前的現狀來看，并不是所有行業都制定了相關的個人信息保護原則，行業自律有待進一步提高。同時，無論是國家層面還是行業層面確立的個人信保護原則體系還有待補充，對于歐美一些國家廣泛適用的的原則并沒有涉及，如未成年人特殊保護原則、免除適用原則等，這也是本文所研究的核心問題之所在。

三、比較法上的個人信息保護原則

個人信息保護立法的核心問題即為個人信息收集與利用之制定設計，而這均取決于該法采取何種立法原則。這些原則，要結合本國體制、文化、習慣，但更要借鑒國際組織和域外法律經驗。[5]因此筆者認為，了解與熟悉域外法上確立的個人信息保護原則之成果，汲取域外法中具有特色的原則，同時結合我國法律原則確立之實際，對于我國進一步完善和補充個人信息保護原則具有重要意義。

(一)歐盟

首先，歐盟是對個人信息、數據和隱私保護的比較完備的國家，對于個人信息保護采用統一立法模式的探究與實踐運用中，歐盟也是有力的創立者和執行者。早在1995年的歐盟《個人數據保護指令》中就確立了個人數據保護的原則，包括：正當處理原則、目的明確和限制原則、適當原則、準確原則、保存時限原則。而2016年出臺的歐盟《一般數據保護條例》取代了《個人數據保護指令》作為歐盟各成員國保護個人信息的準據法，該條例進一步明確和完善了個人信息保護原則。根據《一般數據保護條例》第5條規定：“個人數據應當以合法、公正、透明的方式處理(合法性、公平性和透明性原則)；為特定的、明確的、合法的目的收集(目的限制原則)；充分、相關以及以該個人數據處理目的之必要為限度進行處理(數據最小化原則)；準確，必要，及時(精度原則)；在不超過個人數據處理目的之必要的情形下，允許以數據主體以可識別的形式保存(存儲限制原則)；以確保個人數據適度安全的方式處理，包括使用適當的技術或組織措施來對抗未經授權、非法的處理、意外遺失、滅失或損毀的保護措施(完整性和機密性原則)；控制者應該負責(問責制原則)。”③

其次，歐盟除了確立了總則性的個人信息保護原則，其在《一般數據保護條例》中還規定了具有特色的兒童數據處理原則。根據《一般數據保護條例》第8條規定：“關于直接向兒童提供信息社會服務的，對16周歲以上兒童的個人數據的處理為合法。兒童未滿16周歲時，處理只有在征得父母責任的主體同意情形下，或授權兒童同意的范圍內合法。如低齡不低于13周歲，則成員國可以通過法律為那些目的向低齡提供。”

綜上，從歐盟的法律規定來看，其已經確立起比較完善的個人信息保護原則，且在未成年人個人信息保護方面，有自己獨特的標準作為指導，有利于全面地保護公民的個人信息和與之相關的合法權益。

(二)美國

首先，美國同樣是非常重視個人信息保護的國家，在其法律體系中關于個人信息保護的法案就有40余部。其中，最具代表性的當屬美國《隱私權法》。該法確立的個人信息保護原則也成為其他法律制定的藍本。根據美國《隱私權法》規定：“行政機關不應該保有秘密的個人信息記錄；個人有權知道自己被行政機關記錄的個人信息及其使用情況；為某一目的而采集的公民個人信息，未經本人許可，不得用于其他目的；個人有權查詢和請求修改關于自己的個人信息記錄；任何采集、保有、使用或傳播個人信息的機構，必須保證該信息可靠地用于既定目的，合理地預防該信息的濫用。”由此，確立了美國個人信息保護的基本原則。

其次，同樣在美國個人信息保護原則體系中也規定了比較富有特色的法律原則，如免除適用原則和未成年人個人信息處理原則。根據美國《隱私權法》規定，免除適用原則是指行政機關在特定的情況和條件下，可以不適用《隱私權法》對于個人信息、數據、隱私進行收集和處理的某些限制和要求。而《隱私權法》對于“特定的情況和條件”的界定包括：收集處理個人數據為了公共利益和公共安全的事項、行為人違反刑事法律、無法與被記錄人聯系而事件又關系其他公民的權利等情形。對于未成年人個人信息處理原則美國是通過《兒童網上在線隱私保護法》來加以專門確定。根據《兒童網上在線隱私保護法》規定，任何商業網站收集13周歲以下兒童的網絡個人信息時：禁止以不公平或欺詐方式收集、使用及披露；必須在事先征得兒童家長的同意；兒童家長有審查和請求網站刪除其子女個人信息的權利；必須采取保護措施，確保兒童個人信息的安全與完整。由此，美國形成了對未成年人個人信息保護的基本原則，對于兒童隱私的保護起到了極其重要的作用。

綜上，總體上美國同樣通過多部法律規定，確立了自己本國的個人信息保護原則體系。不管是《隱私法》總的標準原則，還是《兒童網上在線隱私保護法》對特殊主體規定的特別標準，都較好地在實踐中給予個人信息權益全面的保護。

四、我國個人信息保護原則之補充

如前文所述，我國雖然在國家層面和部分行業領域都確立了個人信息保護原則，但是總體上來看該原則體系并不完善。且由于法律的穩定性與滯后性，現有的個人信息保護原則并不能及時應對與指導新問題的解決。大數據時代瞬息萬變，個人信息處理手段、環節的復雜性又要求個人信息保護原則必須能夠充分指導社會各個領域對個人信息的處理、利用及保護。因此筆者借鑒域外法的先進經驗，并結合我國實際，對我國的個人信息保護原則提出以下補充建議：

(一)未成年人特殊保護原則

首先，關于確立未成年人特殊保護原則的必要性。

未成年人由于行為能力和認知能力的欠缺，其對自身重要信息的保護意識比較淡薄。這就往往導致未成年人的個人信息成為大數據時代不當收集、處理和利用的重點對象，使得未成年人的合法權益甚至身心健康都受到嚴重的侵害。因此加強未成年人個人信息保護，確立專門性保護原則作為指導十分必要。其次，關于未成年人特殊保護原則具體內容的規定。

一方面，根據我國《民法總則》的規定，未成年人的年齡界限為18周歲。根據這一界限，18周歲以上的成年人為完全民事行為能力人，16周歲至18周歲并以以自己的勞動收入為主要生活來源的，視為完全民事行為能力人。8周歲以上的未成年人為限制民事行為能力人，不滿8周歲的未成年人為無民事行為能力人。④因此，筆者認為，對于收集、處理和利用不滿8周歲的未成年人的個人信息必須獲得其監護人的同意或授權；對于已滿8周歲的未成年人的個人信息，在其行為能力范圍之內范圍內可以確定其同意或授權的權利，超出其行為能力的仍需要征得監護人同意；而對于已滿16周歲未滿18周歲并視為完全民事行為能力人的未成年人，其對于自己的個人信息可以自行決斷。另一方面，考慮到監護人未成年人的特殊關系以及未成年人的行為能力，監護人對于未成年人的個人信息應享有完全的授權同意權、請求刪除權以及侵害追責權，具體來說即事前征得監護人同意是重要程序，事中發現不當行為時監護人可以請求刪除未成年人的個人信息，事后發生侵害事件時監護人可以追究行為人的法律責任。最后，作為個人信息收集和利用的主體，應以顯著明確的方式履行明示告知義務和安全保障義務，以保證權利人個人信息的安全性與完整性。

(二)“免除適用”原則

首先，關于確立免除適用原則的必要性。

在大數據時代，信息技術的發展便利了生產生活的同時，也使得社會環境更具復雜性。個人信息保護問題有時不僅僅是對個體合法權益的維護，其也是對公共利益的保護與公共安全的維系。正如美國《隱私權》法規定的，“免除適用”原則是在特殊條件下給予相關主體一定的特權，免除其在處理個人信息時的某些限制與義務，以達到維護社會公共利益的目的。因此筆者認為，在當下多元化的社會環境中，對于處理個人信息的問題應具體問題具體分析，對于特定情形下的個人信息保護問題，可以適當放松對相應主體的限制，如此不但能促進個人信息的流通與保護，權衡保護與利用之間的關系，更有利于社會公共效益的實現。其次，關于免除適用原則具體內容的規定。

一方面，在美國《隱私權》法中將免除適用原則的

適用對象僅限于行政機關。而筆者認為，我國大數據時代正處蓬勃發展時期，社會各個領域都肩負著促進政治經濟發展的責任，又考慮到個人信息利用與保護問題的復雜性，我國確立免除適用原則應將適用主體擴充到各個領域內，即不僅適用于國家機關，對于非國家機關的組織也同等適用，如商業組織。另一方面，“免除適用原則”必須在特定的情形下才可適用，該相關情形應滿足公益性、緊迫性等特點。具體如為了涉及公共利益和公共安全的事業收集、處理個人信息；被收集對象觸犯刑事法律；因不可抗力等因素無法與個人信主體取得聯系；因善意確信處理個人息信息有益于更多公眾信息安全等。在這些特定情形之下，無論是國家機關還是非國家機關的其他組織，均可以不受國家標準或者行業標準所確立的相關原則的拘束與限制。最后，應明確在特定情形消除之后，個人信息保護原則仍然對相關主體發生法律效力，相關主體必須嚴格遵守。

五、結語

在大數據時代，個人信息的流通可謂遍布社會各個領域，如何在合理利用和有效保護之間保持平衡，關系到一個國家在信息化時代的可持續發展。我國在完善個人信息保護法律制度上任重而道遠，對于個人信息保護原則的補充也只是其中一個分支。但隨著社會的進步與發展，立足于實踐，同時借鑒國外優秀法律經驗，必然會使得我國對個人信息的保護愈加完善！

[ 注 釋 ]

①<信息安全技術公共及商用服務信息系統個人信息保護指南>第4條第2項.

②<流通數據處理準則>第2條；<個人數據保護原則>第1條至第8條.

③歐盟據<一般數據保護條例>第5條.

④<民法總則>第16、17、18、19、20條.

[ 參 考 文 獻 ]

[1]陳淋清.個人信息保護基本原則的本土化移植[J].河南教育學院學報(哲社會科學版)，2014(2).

[2]舒國瀅，李宏勃.法理學階梯(第2版)[M].北京：清華大學出版社，2006.9.

[3]劉作翔.法理學[M].北京：社會科學文獻出版社，2005.1.

[4]洪海林.個人信息的民法保護研究[M].北京：律出版社，2010.

[5]陳長明.個人信息法幾個問題分析[J].云南大學學報法學版，2010(3).