歐盟法視野下我國警務領域個人信息受保護權立法的完善

欒興良

(中南財經政法大學, 湖北 武漢 430073)

隨著大數據警務、智慧警務的發展，警察部門廣泛收集與處理個人信息(1)在我國的法律語境中，“數據是以任何電子或者其他方式對信息的記錄”。(參見《中華人民共和國數據安全法》第三條第一款。)在數據和信息的關系上，數據是載體，信息是內容，在此意義上，個人信息可以等同于個人數據。本文在闡述歐盟情況時，與其立法保持一致，使用個人數據的概念。闡述我國問題時，使用個人信息的概念，與民法典以及個人信息保護法保持一致。已成為警務活動的常態，有可能對個人權利和自由造成威脅。人的權利體現了人在數據風險面前的主體性地位，因此足可稱為一系列權利和規制工具的基點[1]。 歐盟(歐委會)通過立法創設了“個人數據受保護權”這一新型權利，數據主體可依循數據流程行使相應權利，以增強對警察數據執法行為的透明度和控制力。我國個人信息保護法剛頒布實施不久，該法律文本中沒有針對警察部門的個人信息處理活動的專門性規定，而有關國家機關處理個人信息的規定又較為籠統，因此，有必要從比較法視野出發，結合我國個人信息保護立法的規定，就警務領域的個人信息保護進行討論。

一、警務領域個人信息保護的歐盟模式

歐盟數據保護立法以尊重私人生活權為起點，逐漸發展出獨立于前者的個人數據保護權，而且后者逐漸取代前者成為數據保護立法保障的核心權利，在警務領域的個人數據保護方面亦是如此。

(一)以個人數據保護權為依托保護個人信息的歐盟模式

歐盟個人數據保護權的確立是一個復雜的演變過程，被描述為法律文獻與國際、歐洲和國家法律體系之間對話的結果以及相互衍生的過程或一系列操作的產物[2]。 個人數據保護權脫胎于歐盟的尊重私人生活權，最終為《歐盟基本權利憲章》第8條所確認，成為與尊重私人生活權并列的自治性權利。個人數據保護權不是一項單項權利，而是由知情權、訪問權、糾正權、刪除權、救濟權等權利組成的動態發展的權利簇。數據保護權與隱私權(或其他第一代基本權利)的性質不同，因為其主要目的不是防止政府干預，而是確保在處理個人數據時遵守某些法律規定。換言之，這項權利并不意味著政府(或任何其他方)通過放棄處理而不干預這項權利[3]。

從法律淵源來看，歐盟警務領域的個人數據保護法是由條約、指令、建議等不同法律文件以及判例法組成的動態發展的法律體系。其中準憲制性法律文件包括《歐洲人權公約》《歐盟條約》《歐盟基本權利憲章》《歐盟運行條約》等；警務領域個人數據保護的次級立法文件包括《108號公約》《關于管理警察部門個人數據使用的建議》《數據保護指令》《數據保護與電子隱私指令》《數據保留指令》《在警察與司法系統合作框架內對刑事事項所處理個人數據的保護》《關于在數據畫像背景下自動處理個人數據方面的個人保護的建議》《警察與刑事司法數據保護指令》《歐洲乘客姓名記錄指令》《警察部門使用個人數據的實用指南》《108號+公約》等。上述準憲制性文件和警務領域個人數據保護的次級立法存在某種特殊的歷史承繼關系，互相構成對方的解釋語境和依據。在此意義上，即使對歐盟成員國不具有直接法律效力的指令、建議等，同樣具有重要的法律意義。此外，歐洲人權法院和歐洲法院在個案審判中可對上述法律文件進行解釋乃至審查，二者對《歐洲人權公約》《歐盟基本權利憲章》等準憲制性文件的解釋與適用，對個人數據保護權的產生和保護發揮了不可替代的作用，因此，兩大法院的判例法也是歐盟警務領域個人數據保護權的重要法律依據。

在歐洲數據保護立法的演變過程中，《里斯本條約》為分界線。在其生效之前，歐盟的“支柱結構”將其數據保護立法的領域限制在第一支柱下，如《數據保護指令》序言第13條所示，它不適用于“在不屬于共同體法律范圍的活動過程中”處理個人數據。第三支柱下的數據保護立法幾乎沒有進展，多表現為執法建議或零星的法律條款，呈現出碎片化的特征。在其生效之后，廢除了原來的“支柱結構”，同時將《歐盟基本權利憲章》規定的個人數據保護權上升到基本權利范疇。在這一背景下，鑒于《歐盟基本權利憲章》，歐盟委員會在關于斯德哥爾摩計劃和斯德哥爾摩行動計劃的信函中強調需要制定“全面保護計劃”，并“加強歐盟在所有歐盟政策(包括執法和預防犯罪)背景下保護個人數據的立場”[4]，這使警務領域個人數據保護立法成為可能。鑒于警務領域個人數據處理的特殊性質，歐盟對一般領域的個人數據處理和警務領域的個人數據處理進行了分別立法，即2016年頒布的《通用數據保護條例》和《警察與刑事司法數據保護指令》。概言之，歐盟特殊的發展歷史與警務領域個人數據處理的特殊性是歐盟對警務領域進行單獨立法的主要原因。

(二)對歐盟模式的評價

以個人數據保護權為依托保護個人信息的歐盟模式產生了廣泛的示范效應。其重要貢獻在于：第一，創設了個人數據保護權這一新型權利。歐洲是數據保護立法的開拓者，在國際立法和歐盟成員國憲法傳統的綜合影響下，歐盟立法創造性地提出個人數據保護權，使個人數據保護最終脫離隱私權的蔭蔽，邁向更廣闊的保護前景。盡管在一些立法中，立法者似乎在數據保護權與隱私權的概念之間表現得猶豫不決[5]，但數據保護權逐漸取代隱私權成為新型數據保護立法的核心保障目標。“數據保護權相較于隱私權，適用于更廣泛的個人數據處理活動，并授予個人更廣泛的與數據類別相關的權利，這種強化控制既有一種概念功能，旨在減少數據主體和數據控制者之間的信息不對稱和權力不對稱，又有一種通過賦予個人與數據控制者相關的主觀權利來行使的制度功能”[6]。從分散立法到專門立法，從政策宣示、執法指引到約束性立法，歐盟立法逐漸建構了完善的警務領域個人數據保護權，開創了大數據時代個人信息保護的新范式。第二，建構了豐富的個人數據保護權的權利簇。隨著警務數據治理環境的變遷，立法者賦予數據主體更豐富的權利，如知情權、訪問權、糾正權、被遺忘權、反對權、要求解釋的權利等，通過權利類型的擴張與權利內涵的“升級”，個人數據保護權因順應了從警務計算機化，再到警務大數據化、智慧化的警務技術革命引發的權利保護危機。其中，尤以《108+公約》對個人數據保護權的“現代化”蛻變推動最大。第三，注重個人數據保護權與現代數據化警務需求的平衡。這種平衡突出表現為立法動態地增加權利限縮適用情形的同時，對權利限縮的限制更為嚴格。對個人數據保護權的限縮本質上是在保護公共安全利益與個人利益之間取得平衡，增加權利限縮的適用情形是為了滿足警察部門打擊新型網絡犯罪，更新警務手段之需要，而對權利限縮的限制旨在滿足警務需求的同時保障個人信息利益。正如29條工作組(2)29條工作組是根據第95/46/EC號指令第29條設立的。它是有關數據保護和隱私的獨立歐洲咨詢機構。95/46/EC號指令第30條和2002/58/EC號指令第15條規定了其任務。提醒的那樣，只有在嚴格必要和相稱的情況下才需要適用豁免，逐案處理，并且不應適用“一攬子”豁免[7]。第四，重視對個人保護權的救濟。立法將救濟權規定為個人數據保護權的權利之一，建立了由獨立監管機構救濟和司法救濟組成的雙重救濟機制，有利于數據保護立法從理論設想向實踐理性的轉變。

以個人數據保護權為切入點，歐洲立法試圖彌合公共安全利益與個人利益在數據處理方面的沖突，但作為新的制度設計，“理想能否照進現實”才是問題的關鍵。第一，警務領域數據保護立法對個人數據的限定，決定了其適用的實質范圍不足以為個人提供全面的保護。警務領域的大數據處理非常復雜，盡管其相較于其他一般領域的數據處理更依賴個人數據，但也存在不處理個人數據卻對特定群體中的個人產生影響的情形，比如使用脫敏數據的預測警務可能導致種族歧視或社區歧視，進而影響到個人的權益。從個人數據保護權角度而言，該權利類型尚不能制衡所有的警務數據處理行為，難以為個人提供全面的利益保護。第二，警務領域的數據保護立法是在“數據控制者——數據主體”的維度調整警察部門與個人的關系，但二者亦是執法維度中執法主體與相對人的關系，兩個法律維度如何統一于同一個執法過程就成為一個必須回答的問題。換言之，個人數據保護權是以數據流程為演進路徑的權利類型，如何將之與執法維度的個人權利有機統合于現有的執法程序？對此問題，盡管歐盟《警察與刑事司法數據保護指令》第18條(3)如果個人數據包含在刑事調查和訴訟過程中處理的司法判決或記錄或案件檔案中，成員國可規定根據成員國法律行使第13、14和16條所述權利。作出了回應，但不難看出，歐盟立法者將個人數據保護權與執法程序如何銜接的難題踢給了成員國的立法者。如果進一步追問這個問題的話，歸根到底還是權利性質的問題，即警務領域的個人數據保護權到底是什么性質的權利，是實體權利還是程序權利，是絕對權還是相對權，歐盟立法者乃至歐洲人權法院和歐盟法院均未給予明晰的回答。第三，法律對個人數據保護權限縮的限制規則能否在警務領域發揮“安全閥”的作用仍存在不確定性。誠如立法者在法律文本中所聲明的那樣，“在預防和制止刑事犯罪和維護公共秩序方面，需要在所涉及的利益之間取得平衡，即個人利益與其隱私權和社會利益之間的平衡。毫不奇怪，在警察部門很難實現這種平衡”(4)歐洲理事會部長委員會向成員國提出的對警察部門個人數據的使用進行管理第R(87)15號建議(Recommendation No. R(87) 15 of the Committee of Ministers to member states regulating the use of personal data in the police sector )序言第16條。。一方面，法律文本規定了廣泛的可適用權利限縮規則的情形。以歐盟《警察與刑事司法數據保護指令》為例，該指令為每項權利的限縮規定了幾近一致的豁免情形，幾乎涵蓋了警務活動主要目的、領域和樣態。這些模糊概括的法律語言給予警察部門廣泛的自由裁量權，考慮到警務執法中數據處理工具的高效性特點，這些豁免規定事實上會將數據主體帶入高風險境地。另一方面，對權利限縮的限制規則缺乏剛性約束力，所謂必要和適當性屬于原則性要求，警察部門享有較大的裁量和解釋空間，而“逐案審查”的方式雖能照顧個案的特殊性，但亦屬柔性條款，能否實現個案正義仍需觀察。第四，考慮到成員國在預防和打擊犯罪方面的特殊利益，歐盟有關警務領域個人數據保護權的立法多屬于沒有法律約束力的建議、指引，或者需要轉換為國內法的指令。如作為警務領域個人數據保護專門立法的《警察與刑事司法數據保護指令》就屬于需要轉換為國內法才能適用的法律文件。“由于規定過于原則和模糊，其實際價值將取決于其在成員國法律中的轉換情況以及憲法法院和普通法院執法歐盟統一數據保護立法的意愿。”[8]之前頒布的歐盟《數據保留指令》在成員國轉換后引發的適用混亂的先例可以印證以上擔憂不無道理。同時，具有國際約束力的協議又缺乏針對性和操作性，如《108號公約》雖然適用于警務領域的個人數據保護，但顯然缺乏針對性。在此意義上，歐盟立法在描繪個人數據保護美好愿景的同時，也為警察與司法領域的個人數據保護權的實現投下了不確定的陰影。

二、我國警務領域個人信息保護的立法現狀及反思

我國剛頒布實施的個人信息保護法基本采用了歐盟模式，但在核心概念、立法結構、具體制度方面有所不同，而且該法沒有針對警務領域個人信息受保護權的特殊規定。此外，憲法、反恐怖主義法、網絡安全法、數據安全法等立法的相關規定也是警務領域個人信息權保護的憲制性或重要法律依據。

(一)現行立法考察

1. 憲法

憲法為個人信息權的確立和保護提供立法基礎和立法依據，具體包括直接的權利依據和間接的立法基礎兩個方面，對警務領域的個人信息權而言，憲法的作用亦是如此。在第一個方面，我國現行憲法沒有直接規定個人信息權，也沒有直接規定與個人信息權保護范圍相近的隱私權，但一般來說，《憲法》第三十九條、第四十條中規定的“住宅不受侵犯”和“通信自由和通信秘密受法律的保護”，以及第三十三條、第三十八條中規定的“國家尊重和保障人權”和“公民的人格尊嚴不受侵犯”，都可視作個人信息權和隱私權在憲法意義上的體現[9]。故以上條款可作為個人信息權立法的依據。在第二個方面，公法意義上的個人信息權具有重要的工具性價值，代表了一種法律結構——旨在允許個人要求其數據得到公平和合法的處理。在此意義上，憲法賦予的公民權利和自由代表了需要“保護的價值”，而個人數據保護權則代表了“保護的結構”，前者是后者的目的和歸宿。

2.專門立法

個人信息保護法在調整范圍上既包括橫向的非國家機關的個人信息處理活動，也涵蓋縱向的國家機關處理個人信息的活動。推論可知，該法也適用于警務部門。根據個人信息保護法第四章之規定，個人在個人信息處理活動中享有知情權、決定權、限制或拒絕他人對其個人信息進行處理的權利、查閱復制權、攜帶權、更正補充權、刪除權、要求解釋說明權、救濟權等。由于個人信息保護法調整的對象范圍較廣，而且整體側重于對非國家機關處理個人信息活動的規范，關于國家機關部分的特別規定僅有五條，無法對警務領域個人信息權的保護形成明確引導。首先，個人信息保護法下個人享有哪些具體權利？第四章所規定之權利是否全部適用于警務領域？比如個人可否在警務活動中拒絕僅通過自互動決策方式作出的決定。其次，能否根據警務活動需要，對個人信息受保護權的具體權利進行限制？目前的法律文本只提及了對知情權的限制，那其他權利能否限制呢？最后，對個人信息受保護權的限縮應當遵循何種規則？

3.單行法有關規定(5)除反恐法、網絡安全法外，數據安全法、國家安全法等單行法也涉及個人信息的收集和處理，但這些立法幾乎沒有規定個人信息權，這里不展開分析。

(1)反恐怖主義法

反恐怖主義法總體上屬于一部偵查授權法，未規定個人信息受保護權及相關權利。《反恐怖主義法》全文中與個人信息保護相關的有兩個條款——第六條和第七十六條。第六條規定反恐工作應當尊重和保護人權，維護公民和組織的合法權益。第七十六條規定被告人、證人或反恐工作人員本人或近親屬面臨危險的，享有不公開個人信息的申請權。反恐工作關系國家安全、公共安全，是壓倒性的利益訴求，因此，恐怖分子及相關人員的個人信息權益沒有得到立法的直接確認，而呈現為公安部門的保護義務，如《反恐怖主義法》第四十五條第二款規定所獲反恐材料不得用于其他用途。《反恐怖主義法》第四十八條規定有關部門對個人隱私負有保密義務。

(2)網絡安全法

《網絡安全法》第四章網絡信息安全部分規定了信息主體的同意權、知情權、刪除權和更正權。盡管該章只規范網絡運營者和個人用戶之間的法律關系，但考慮到警務部門經常因辦案需要從網絡運營者調取個人信息或獲得技術協助，信息主體可以通過行使同意權等權利間接地對警務活動進行制約。因此，網絡安全法規定的個人信息受保護權不僅有利于其與網絡運營者的力量平衡，對防止個人信息在警務活動中的濫用或錯用也有事前預防的效果。其不足之處在于，一方面，權利指向的業務主體和領域有較大局限性，無法延伸至警務執法階段；另一方面，個人信息受保護權的權利內容受到限縮。例如該法規定的知情權僅指個人信息泄露后，個人有權要求網絡經營者告知信息泄露的情況。而一般信息保護領域的知情權則涵蓋了個人有權知曉個人信息處理者是否收集、處理了個人信息等更為廣泛的內容。

(二)個人信息保護立法的評價與反思

在憲法層面，亟須確立個人信息受保護權。在大數據時代，個人信息受保護權已成為個人基本權利的新面向，個人信息不僅具有重要的商業價值，也是開展警務活動的重要資源。由于個人信息的使用效應可能會與公民的其他權利產生連鎖反應，“因而個人信息的保護就不能僅僅局限于安全管理思維，而需要與憲法進行對接，成為新的憲法權利組成部分”[10]。 縱然現行憲法的相關條款可以為警務領域個人信息保護提供立法基礎和立法依據，《個人信息保護法》第一條將憲法作為立法依據即是明證。歐盟經驗也表明，在《歐盟基本權利憲章》確立個人數據受保護權之前，在《歐洲人權公約》第8條尊重私人生活權條款之下也可給予個人數據以充分保護。但憲法對個人信息權規定的闕如仍會導致一系列的理論與實踐問題。以歐盟為例，沒有規定個人數據受保護權的《歐洲人權公約》第8條一直是保護個人數據的主要法律依據，這導致隱私權和個人數據保護權界限的模糊和司法適用的混亂。“法院在這一問題上的判例法可以被描述為一個混亂的迷宮，由于充滿曲折和不可預測的推理，最終目的地仍然被隱藏。”[11]就我國而言，在大數據警務時代，缺少憲法對個人信息保護基本權利的肯定和認可，會嚴重削弱憲法對個人信息保護法律體系的統帥和引領作用，造成部門法、執法手段之間關系的混亂，弱化個人信息的憲法保護。因此，無論從健全公民基本權利體系來看，還是發揮憲法對警務權力的制約功能來看，現行憲法都應做出調整。

在專門立法層面，我國剛頒布實施的個人信息保護法采用了2019年德國數據保護法修法前的立法結構——公私二元結構，即將國家機關和非國家機關的處理個人信息的活動規定在同一部立法中分別規定。該結構對調整對象的劃分十分清晰，但兩類主體在個人信息保護標準和限制個人信息受保護權的規則方面的區隔并不明顯，這影響了分類的意義和立法行文。整體來看，個人信息保護法對國家機關部分的規定側重對行政機關的規范，除個別條款外，幾乎沒有針對警務活動處理個人信息特殊性的規定，這一傾向反映在個人信息受保護權的規定上，突出表現為立法對國家機關對個人權利進行限制方面的高度謙抑，以至于忽略了個人信息受保護權可能對現代警務活動的干擾。從警務領域個人信息保護的需求來看，個人信息保護法的公私二元結構是造成不能有效引導和規范警務部門處理個人信息活動，對個人信息保護精度不足的根本原因，因為立法的普適性往往是以犧牲特殊性為代價的。與歐盟層面的次級立法相比，我國個人信息保護法同樣存在實質調整范圍難以適應大數據警務復雜性的問題；存在立法維度與執法維度的沖突與協調問題，由于文本中缺少銜接條款，這一問題甚至更為嚴重。此外，如前所述，在現行立法下，警務領域個人信息受保護權的范圍不明確，能否限制不明確，最為關鍵的是沒有對權利限制的限制規則。

在單行立法層面，雖然一些條款零星地規定了數據主體的權利，但權利內容十分有限，不足以制衡相應領域的警務活動。如反恐法、網絡安全法等。還有一些立法沒有規定個人信息的受保護權，如數據安全法、國家安全法等。總體來看，單行法對個人信息的保護水平有待提高。

三、完善警務領域個人信息保護立法的具體路徑

針對警務領域個人信息處理的特殊性質，應根據立法時機、立法條件以及其他可替代方案對當前的法律體系進行審慎權衡，以增強警務領域個人信息保護法律體系的整體功能為導向，處理好憲法、專門立法以及單行法之間的關系。

(一)完善憲法有關個人信息保護的規定

承前所述，憲法對個人信息的間接保護已不能適應大數據時代公民權利的發展。無論從出于加強警務領域個人信息保護的目的，還是為了保證個人信息保護法律體系的圓滿自洽，憲法都不應缺位。以歐盟為例，在《歐盟基本權利憲章》將個人數據受保護權納入到公民基本權利之前，盡管存在《數據保護指令》等次級立法，但對個人數據保護的一項主要目的是促進歐盟自由市場的形成，具體而言，是要促進個人數據的全面自由流動。在個人數據受保護權經《里斯本條約》上升為基本權利后，歐盟個人數據保護立法才得以覆蓋自由、安全和司法領域。因此，有觀點認為，個人數據受保護的創設是為了規范警察和安全領域的數據保護[12]。同時該權利還可以賦予其與現有權利平等的地位以保護隱私、資助、透明和不歧視的價值[13]1—7。 由此可見，由憲制性文件規定個人信息保護的重要性。此外，歐盟人權法院對《歐洲人權公約》第8條的靈活性解釋有效彌補了前憲章時代個人信息保護立法不足的問題。相較之下，我國短期內很難依靠憲法解釋、憲法判例或違憲審查來規制警務部門處理個人信息的活動，在此意義上，完善憲法文本對個人信息保護的規定就成為必由之路。

與歐盟相似，我國個人信息保護的次級立法走在憲制性法律之前，我國《民法典》在第四編(人格權編)第六章規定了隱私權與個人信息保護，科學定位了個人信息與人格權、隱私權的關系。當前主張將民事權利中個人信息權作為個人信息保護法律體系的權利基礎的主流觀點，正是民法典相關規定理論影響的彰顯。但這種立論難以解釋警務領域及其他公法領域的個人信息保護的權利基礎，因此，憲法不適宜使用個人信息權的概念，建議借鑒歐盟模式，使用個人信息受保護權這一表達方式。

未來時機成熟時，建議以憲法修正案的形式修改憲法人格權條款，在《憲法》第三十八條中增設第二款，即“國家保護個人隱私和信息。除法律特別規定，禁止任何組織和個人以任何理由侵犯公民隱私，收集和利用個人信息”。之所以在人格權條款之下增設隱私權和信息權，一方面是因為隱私權、信息權是人格權的下位概念，而信息權又是獨立于隱私權的新型權利，在人格權下規定此兩種權利恰當地處理了三個概念的關系。另一方面，《憲法》第三十九條、第四十條隱含了隱私權和信息權保護的價值，在第三十八條宣示此兩種權利，使法條間的銜接更為自然、流暢，并與后兩條形成一個相對完整的隱私與信息權的保護體系[14]。

(二)健全個人信息保護專門立法的執行規則

健全個人信息保護專門立法的執行規則是綜合權衡立法條件、立法時機和立法成本等因素后作出的理性建議，當然這不妨礙對其他備選方案的討論，因為隨著個人信息保護法治進程的推進，這些備選方案可能代表了未來修法的方向。所以這里的論述兼顧了警務領域個人信息保護專門立法當前與未來發展的需要。

對警務領域個人信息保護而言，歐盟的分別立法模式是最為理想的方案，即采用不同立法對一般領域和警務領域中的個人信息處理進行分別規范。分別立法對個人信息保護的共性問題的規制需求下降，有利于更精細地調整不同法律主體間的利益平衡關系，同時有利于減少不同目標與價值的沖突，以及降低化解沖突的難度。在分別立法模式下，一般領域的個人信息保護由現行個人信息保護法調整和規范，可保持現行文本對國家機構與非國家機構分類的立法結構不變，只需增加對警務領域個人信息保護適用的排除條款。警務領域的個人信息保護則另行立法。新的警務領域個人信息保護專門立法應根據警務活動的特殊性，對立法目的、個人信息保護原則、個人信息受保護權的種類和內容、程序保障、行政與司法救濟等方面進行精細化立法。甚至可以對調整對象進行再分類，如按照治安管理與刑事偵查的劃分對個人信息進行場景化、差異化保護。總之，新立法與原來的個人信息保護法可形成與歐盟《通用數據保護條例》和《警察與刑事司法數據保護指令》類似的互補關系。分別立法實質上反映了不同領域對個人信息差異性保護的客觀需求。正如歐盟文件所指出的，由于這些領域的特殊性質，保護個人數據及其在警察合作中的自由流動的具體規則可能是必要的(6)2007年12月13日通過《里斯本條約》的政府間會議最后文件所附《歐盟關于歐洲聯盟基本權利憲章的第21號宣言》。。此外，由于調整對象和適用領域的相對集中，分別立法的難度相對較低。

對警務領域個人信息保護的次優方案是在統一立法的前提下，將現行個人信息保護法的二元結構由國家機構和非國家機構調整為一般領域和警務領域。該方案的實質合理性在于第二個二分法比第一個二分法更能體現不同領域中個人信息的差異化保護需求。具體來說，一般領域與警務領域的個人信息保護差異要明顯高于國家機構和非國家機構個人信息保護的差異。歐盟經驗可以印證這一點。在《里斯本條約》后，歐盟立法者本有機會按照其之前準備階段所暢想的那樣，對所有領域(含警務領域)的個人數據進行相同保護水平的統一立法，后來放棄這種思路，絕不是對過往立法傳統的簡單延續，警務領域個人信息保護的特殊需求才是決定因素。該方案的不足在于，兩個領域對個人信息的差異性保護需求會限縮總則的調整范圍，削弱總則的統領作用，同時會造成分則中對應部分的結構膨脹。從2019年修改后德國數據保護法來看，規范一般事務和警察事務的兩章都形成了相對獨立完整的立法框架，出現了“法中法”的現象，立法者為落實歐盟立法被迫采取了介于法律編撰和法律匯編之間的立法技術。此種立法結構可以較好地實現對不同領域個人信息權的精細立法，降低協調不同立法價值、立法目標間沖突的難度，但也存在立法條文不簡約，立法結構體系差、立法成本較高等問題。

我國個人信息保護法剛頒布實施不久，上述理想方案和次優方案在短期內缺少立法時機。在警務立法方面，作為秩序與安全的守護者，警察部門無疑是最能影響博弈結果的一方。目前，個人信息在警務活動中發揮著不可替代的作用，考慮到復雜嚴峻的社會治安形勢，以行政邏輯為主導的數據化警務有其現實合理性和必要性，但“現實正確”也進一步增強了公安機關參與博弈的話語權，客觀上增加了制定警務領域個人信息保護專門立法的阻力。此外，相關理論準備尚不充分，即使該領域的先行者歐盟，其專門立法的實施效果也有待理論評估和實踐檢驗。綜上，對警務領域個人信息保護的最次卻最可行的方案是在不同層面細化現行個人信息保護法在警務領域的適用規則。誠如歐盟《警察與刑事司法數據保護指令》第20條規定的那樣，適當的技術和組織措施對個人信息保護必不可少。具體來講，第一，建立健全警務部門個人信息保護的技術規范和管理制度。充分發揮警務部門行政立法的快速反應性、靈活性特征，將個人信息保護法的原則、精神和具體制度轉化為管理細則。一方面，對已有的《公安機關執法辦案信息系統使用管理規定》《公安信息網安全管理規定(試行)》《公安信息化數據質量管理規范》《公安部關于建立健全公安機關執法全程記錄機制的意見》等規范性文件進行必要的修訂。另一方面，對于個人信息保護法無法涵蓋的數據處理，可結合具體的應用場景，及時制定管理性文件來彌補制度漏洞，提高對信息處理領域個人權利和自由保護的覆蓋面。第二，完善警務部門個人信息保護的執法細則。根據個人信息保護法之規定，從警務執法實踐出發，完善《公安機關辦理行政案件程序規定》《公安機關辦理刑事案件程序規定》《公安機關執法細則》等關鍵性的規范性文件，力求消弭立法維度不同產生的沖突。同時應在個人信息保護法的基礎上，進一步明確對個人信息受保護權限縮規則的限制，在操作規則上彌補上位法漏洞。第三，在刑事偵查領域，可按現行做法，由最高人民法院、最高人民檢察院、公安部等部門根據個人信息保護法聯合出臺相關意見，對偵查執法過程中個人信息的收集和處理，個人信息受保護權的行使和限制進行系統性規定。

(三)強化單行法對處理個人信息活動的控制

個人信息受保護權的創設有效地提升了既定的個人信息保護原則對信息處理主體的義務。在哈貝馬斯的意義上說，這為權利人的主張增加了一些規范性力量[13]1—7。 但個人信息權利簇中的權利多數屬于請求權，其實現程度更多取決于法律對信息處理主體義務的設定以及信息處理主體對義務的履行情況，歐盟《警察與刑事司法數據保護指令》、德國《數據保護法》第三部分、德國《刑事訴訟法》有關數據保護與使用的規定都是從信息處理者義務的角度來闡述個人信息的保護。“當目標是為個人信息提供更好的保護時，關注信息處理者的透明度和明確的信息處理限制可能比對個人幾乎不可執行的同意和控制的概念更合適。”[15]換言之，即使立法中未提及個人信息主體的權利，但只要對警務主體處理個人信息活動施以嚴格控制，本質上就是在保護個人信息。

沿上述思路，未來修法中，個人信息保護相關單行法可以不明確規定個人信息權益，但應根據立法領域和適用場景，進一步完善對警務部門個人信息處理活動的控制。具體而言，第一，將個人信息處理原則有機地融入相關立法，通過法律原則引導警務部門處理個人信息的活動。在此方面，《歐洲乘客姓名記錄指令》作了極好的示范，我國《反恐怖主義法》第四十五條、第四十八條也部分體現了這一思路，其他單行立法可以借鑒。第二，在平衡公共安全利益和個人利益的前提下，適當細化警務部門保護個人信息的義務，增加個人信息處理過程的透明度和可控性。從歐盟個人數據保護立法的發展情況來看，未來我國可能出現更多與個人信息處理相關的單行法，新法應盡量避免給警務部門設定概括性義務。第三，完善警務部門個人信息處理活動的程序性控制。具體而言，根據權力運行邏輯，嚴格審批程序。根據信息處理的技術邏輯，健全告知程序、更正或刪除程序、救濟程序等。