檔案管理與個人信息保護的平衡研究

高玉寶

摘 要：個人信息歸檔和檔案開放是否侵犯隱私需要進行場景化考量。文章以背景完整性理論為基礎，構建檔案管理過程中的隱私衡量模型，分析發現檔案開放和個人信息歸檔并未侵犯隱私，檔案工作應該享有個人數據處理豁免權，但是也要輔之以相應的安全保障，建議完善法律政策協調性、平衡技術雙刃效應、樹立為黨管檔的職業倫理素養。

關鍵詞：背景完整性；檔案；隱私保護；個人信息處理；豁免權

分類號：G270；G271.3

Research on the Balance Between Archives Management and Personal Information Protection

Gao Yubao

（ School of Information Resource Management， Renmin University of China， Beijing 100872 ）

Abstract： Whether archiving of personal information and opening of archives violate privacy needs to be considered contextually. Based on contextual integrity， this paper builds a privacy measurement model in the process of archives management， and finds that archiving of personal information and opening of archives are not violations of privacy. The archival work should be exempted from certain personal information protection obligations， but also must be supplemented by corresponding security measures. It is recommended to improve the coordination between laws and policies， balance the double-edged effect of technology， and establish professional ethics in archiving for the Communist Party of China.

Keywords： Context Integrity； Archives； Privacy Protection； Personal Information Processing； Exemption

作為我國第一部系統、全面保護個人信息的專門性法律，《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）在信息技術深刻改變隱私本質的環境下應運而生。《個人信息保護法》的通過與實施不僅為個人信息權益提供堅強法治保障，也為網絡時代信息化發展提供指引。以公法進路為基礎，《個人信息保護法》的最大意義在于它不僅約束私人主體的信息處理行為，也將政府機關列為規范對象，各行各業都將深受影響。

與個人信息保護并行發展的還有檔案開放工作的快速推進，《“十四五”全國檔案事業發展規劃》明確指出：“到2025年，檔案利用服務達到新水平，以人民為中心的檔案服務理念深入人心、檔案開放力度明顯加大、共享程度顯著提高、利用手段更加便捷”[1]。為了促進和規范檔案開放工作，2022年7月1日國家檔案局頒布《國家檔案館檔案開放辦法》。一般認為，個人信息保護和檔案開放分別代表的是渴望信息隱藏、保密的個人利益和追求信息最大限度共享的社會利益，二者的矛盾似乎會在新的法律政策環境下更加激化。甚至有學者指出嚴苛的《個人信息保護法》會造成檔案“寒蟬效應”和“空檔案”的危險。[2]協調個人信息保護和檔案開放利用成為檔案工作者必然面對和亟待解決的問題。

1 研究現狀分析

現有研究中很多學者把個人信息和隱私等同對待，為了全面了解個人信息和檔案關系的研究現狀，筆者以“隱私”+“檔案”和“個人信息”+“檔案”在中國知網數據庫中進行篇名檢索，時間截至2023年2月19日，共得到147篇期刊論文。通過研讀發現，國內學者普遍認為隱私保護與檔案管理存在矛盾關系，而矛盾的起源主要有兩個方面：一是諸如人事檔案[3]、醫療健康檔案[4]等不可避免會涉及個人隱私信息；二是檔案的開放利用可能造成個人信息的公開和濫用。[5]然而大多數學者對隱私的本質、變遷以及隱私侵犯的衡量標準并沒有清晰的界定，僅憑字面含義，便認定個人信息歸檔和檔案開放侵犯隱私。

經過數百年的發展，隱私的內涵和外延幾經變化。在19世紀末期，沃倫聯合布蘭代斯提出著名的隱私權論斷，即免受外界干擾的獨處的權利（the right to be let alone）。[6]然而意在證明普通法中存在很多隱私權的要素的二人并沒有對隱私進行嚴格定義。1960年法律學者威廉·普羅塞將既往的隱私案件依據不同的侵權行為分為四類：一是非法入侵私人空間；二是不合理公開令人尷尬的私人實情；三是公開丑化他人形象；四是擅用他人姓名或形象獲利。[7]普羅塞的這種分類法只關注侵權法，并沒有考慮例如經濟法、通信法和新聞出版法等其他法律。1967年艾倫·威斯汀提出了著名的隱私理論——個人信息控制論，即隱私是個人、團體或機構自行決定何時、如何以及在多大程度上將其信息傳達給他人的權利。[8]但有學者認為個人信息控制論忽視了隱私的兩個關鍵領域（私人身體和私人空間），所以亞當·摩爾認為隱私權應該是控制個人空間、個人身體和個人信息的訪問和使用的權利。[9]以上定義一般遵循屬加種差的方式，換句話說，學者們通過尋找一組共同的、必要的、區別于其他事物的和充分的元素來實現隱私的概念化。[10]然而隱私是一個非常廣泛的概念，包括很多方面，例如思想、身體、行為、信息、住所和決定等，無法囊括這些元素，那么該定義就會有失偏頗。因此John B. Young把隱私比喻成大象，即容易識別，但很難描述。[11]

在推動隱私內涵變遷的眾多因素中，信息技術備受關注。在當前大數據時代，無處不在的信息設備在隨時隨地收集個人信息的同時已經打破了個人和公共空間的界限，人們通常所認為的私人空間在更大的信息領域已然成了公共空間。傳統意義上的信息隱私一直強調的個人直接或間接控制關于自己的信息、其他人了解關于自己的信息的情況，以及可用于生成、處理或傳播有關自己信息的技術能力不復存在。[12]而且現代信息技術能把看似不相關的信息聚合、編譯和組裝到一個新的維度，將純粹的“噪音”數據和統計數據轉化為豐富的人物肖像，個人信息和非個人信息的界限也就變得非常模糊。所以以個人信息為界進行隱私保護在當今時代缺乏一定的實踐基礎。

此外，在不同的場景下人們對隱私保護的偏好和期望呈現出很大差異。例如人們在醫院就醫時，幾乎會毫無保留地將自身的身體和心理狀況告知醫生，但卻不會談及教育和財務信息；在求職面試時，教育經歷和個人身份信息必須向面試官詳細介紹，但房屋裝飾情況通常不會提及。很多被冠以隱私的信息在某一個場景下不會被認定為侵犯隱私，但在另一個場景下卻未必，這表明保密和限制使用都不是隱私的全部。人們根據場景的不同有選擇地公開個人隱私信息是隱私的場景化體現，人們對隱私的期望和偏好隨著時間和地點的變化而變化。這意味著單一的是否包含個人隱私信息以及是否公開和利用個人隱私信息，并非是可以通用的隱私衡量基準。

2 隱私衡量模型構建

隱私的模糊性、信息技術對隱私本質的沖擊以及隱私的場景化意味著追求單一的、一刀切的隱私概念是行不通的，對隱私侵犯的衡量和隱私的保護必須結合特定的背景。關于隱私的場景化考量，Nissenbaum提出背景完整性（Contextual Integrity）理論。背景完整性理論的核心原則是沒有不受信息流動規范支配的生活領域，幾乎所有的行為都發生在一個受政治、科技和文化影響的特定場所。[13]每一個生活領域，每一個場景都有一套信息規范，它支配著領域內不同主體的角色、隱私期望、行為和偏好等。[14]

背景完整性理論對隱私權的定義既不是保密權，也不是個人控制權，而是一種個人信息適當流動的權利。[15]個人信息適當流動包含兩層考量：一是某一場景下的個人信息在另一場景下被公開或揭露是否恰當；二是在特定場景下個人信息流動是否遵守相應的信息傳播規范。個人信息的適當流動是建立在特定的社會領域和與背景相關的信息規范的基礎之上的，任何社會領域都受到法律政策、技術和倫理規則等因素的約束。信息傳播規范取決于信息類型、信息主體（發送者和接收者）以及信息傳播原則，也就是說個人信息流動恰當與否要考慮信息的類型是什么、是關于誰的信息、誰向誰傳播以及在何種條件下傳播等問題。只有遵循特定的信息傳播規范和適當性原則，個人信息流動才符合背景完整性原則，否則即是違反背景完整性，也就是侵犯隱私。[16]

背景完整性理論為在具體場景下進行隱私考量建立了一套公正、合理的框架。在檔案管理的全流程中，個人信息歸檔和個人信息開放都涉及個人信息流動，所以本文將以背景完整性理論為基礎來考量檔案管理過程中的隱私問題。檔案事業經過數百年的發展，基本上形成了相對完善的檔案管理體系，在法律政策、技術條件以及職業倫理道德等因素的約束下，檔案管理活動有序開展，因此筆者將法律、技術和倫理作為檔案領域主要的背景因素。根據文件生命周期理論和文件連續體理論，個人信息從機關檔案室到檔案館和從檔案館到檔案用戶可被視為具體的個人信息流動場景。而信息傳播規范所要參考的主要變量是檔案信息的本質、檔案中的個人信息類型、檔案館的角色以及檔案信息流動的原則和條件。檔案管理過程中的隱私衡量模型如圖1所示。

3 檔案管理過程中的隱私分析

3.1 檔案開放的“適當性”

從機構業務文件到檔案館檔案再到檔案開放，意味著個人信息所處的背景發生了變化，如果單單從表面上來看，檔案移交這一行為必然會導致隱私的侵犯（這里蘊含的假設是檔案不可避免地涉及個人信息）。但是適當性原則所要考慮的參數遠非如此，還包括相關信息的性質、信息與背景的關系、背景中涉及的角色、角色之間的關系等[17]，這也正是背景完整性作為隱私基準的最大特點。

在檔案管理過程中，適當性原則主要衡量開放涉及個人信息的檔案是否違背文件產生或接收時的信息規范。毫無疑問，在檔案開放之后個人信息會暴露于更廣泛的社會人群，不可能再限于文件生成時的那些受眾。經歷了數百年的發展，檔案館的角色從服務于專制統治轉向以民主政治為基礎的為普通民眾服務，從服務于行政事務的公務利用到更廣泛、更普遍的社會團體和個人利用，其公共性質日益凸顯。而公共性質不僅體現在服務對象從政府機關向公眾擴展，還體現在檔案的來源日益非政府化。除了政府機關和事業機構在業務活動中形成的各類檔案，個人和社會團體捐贈也成了檔案的重要來源，政府檔案來源于機構業務活動，而機構的職能是服務于人民，從宏觀角度來看，檔案向人民群眾開放符合文件生成環境下的政治、文化和價值規范。

另外，在檔案入館之前，檔案鑒定會特別關注文件的第二價值，這里的第二價值是沖破機構、面向社會的考量。也只有具備長期保存價值的文件才會被收藏在檔案館，文件歸檔所帶來的是對歷史記憶、學術參考、個人事務的增益。即使進入檔案館之后，仍有非常重要的一個環節——檔案封閉期。世界各國針對涉及人事或者私人信息的檔案大都建立封閉期制度。《國家檔案局檔案開放辦法》指出，涉及知識產權、個人信息，開放后會對第三方合法權益造成損害的檔案可以延期向社會開放[18]，可以說檔案工作對于保護個人隱私信息作了充分的考慮。雖然出于公眾知情權和檔案價值的發揮，檔案封閉年限越來越短，但是面對私人檔案，檔案人員在長期的實踐中同樣積累了豐富經驗，例如檔案審核、征求捐贈者同意、規范檔案開放程序等，簡而言之，任何檔案館都不會在毫無安全保密措施的情況下肆意開放涉及個人信息的檔案。

背景完整性原則依賴信息形成時已有的信息規范，認為特定背景下的信息規范具有悠久的歷史根源，理應得到尊重，但是它并不反對新的社會實踐。從紙質檔案前后端的視角來看，相較于機構業務文件，檔案入館和檔案開放可以說是新做法。面對有可能沖破已有規范的新實踐，尼森鮑姆的解決方法是作比較，他認為如果新實踐能促進特定背景的內部價值和利益，而且能夠帶來社會、政治和道德價值的提升，那么就應該被接納，反之則應該被反對。[19]檔案的參考價值、經驗價值和歷史價值無不服務于社會集體，所以基于特定的檔案管理背景，檔案開放并非違反適當性規范，也就是沒有侵犯隱私。

3.2 個人信息歸檔的“規范性”

背景完整性理論要求信息的傳輸或者轉移遵守一定的背景規范，簡而言之即當我們要向第三方傳播從特定場景下獲取的信息時，要遵守原場景的既定信息流動規范。信息傳播規范主要關注信息主體的自由選擇、自主決定、保密性，信息傳播需求、各方權利和責任等。[20]

檔案場景下的信息傳播規范考量需要區分紙質檔案和電子檔案兩種形式。紙質檔案場景下的信息傳播活動主要發生在文件歸檔環節，因為只有在文件歸檔后才脫離了其所處的原有背景。文件第一價值與第二價值的區分是決定文件處于現行機構還是檔案館的關鍵，但是無論是第一價值還是第二價值，都是文件的自身屬性，只是在不同時間和不同場景下服務于不同目的的使用對象，這也是省力原則的體現。文件在形成之初就具備了現行和潛在的歷史價值，基于社會記憶、科學研究、歷史參考等社會集體利益而進行的歸檔雖然轉移了信息所處的物理場景，但也注定了檔案館的角色使命并非是給信息主體造成不安或者焦慮。文件管理和檔案管理在紙質檔案環境下雖然被認為是兩個階段，但是將二者聯系起來的一個重要職能就是服務。對于文件的創建者和接收者，以及任何想進行有效的決策和高效管理的人員來說，文件被保存在機構內部進行管理都是出于便于獲取的目的。從文件的整個生命周期來看，雖然處于不同階段，但是文件從產生到成為檔案以至消亡是一個完整的運動過程，檔案之于公眾和文件之于機構的基礎是一致的，歸檔永久保存可以說是文件的宿命之一，是文件自身價值和服務功能發揮的要求，在這一層面上，文件歸檔并未違反信息的傳播規范。

文件連續體理論認為電子文件是內容、背景和結構的統一體，無法孤立地存在于時間和空間點上。[21]雖然電子文件的內容和結構相對來說是固定的，但是從其背景來看，電子文件總是處于形成的過程中，其狀態主要取決于使用時的時空和背景變化[22]，因此電子文件信息的運動和傳播可以看成是本質相同的信息與特定背景發生作用的結果。在數字環境下，文件管理者和檔案館員的界限不復存在。正如McKemmish所說，從連續體的角度來看，“作為證據的文件”和“作為記憶的檔案”之間的“二分法”消失了，取而代之的是在不同背景下文件作用的發揮。[23]而且為了確保文件的真實性、可靠性和完整性，檔案館員一直被建議從文件創建之初就介入管理活動。[24]文件運動是往復處于從生成到終置的連續體的一個過程[25]，其中一個元素可以無縫地傳遞到另一個[26]，在這個連續統一體中，文件管理者和檔案管理員都不同程度地參與文件信息的管理。[27]所以從文件連續理論的角度來看，文件歸檔并不與文件生成的最初目的相違背[28]，因此而產生的信息運動也并未違反信息傳播規范。

綜上所述，因歸檔需要而造成的個人信息從機關檔案室移交到檔案館的行為，雖然場所發生了變化，但是并沒有違反個人信息的傳播規范，也就是沒有侵犯個人隱私。

4 個人信息保護建議

上文立足檔案活動的特點論證了檔案開放和個人信息歸檔并未違反隱私的背景完整性原則，但是這并不代表檔案活動可以毫無限制地享有個人信息處理豁免權。正是因為在漫長的歷史發展中，檔案實踐積累了一定的隱私保護經驗，才使得人們愿意相信檔案活動的規范性。然而檔案場景下的隱私保護不能單純依靠檔案館員來實現，需要協調各方力量構建完善的隱私保護體系。背景完整性不僅是隱私保護的衡量基準，也為隱私保護提供方向指引。本文參照背景完整性原則從立法、技術和檔案館員的倫理素養三個方面提出隱私保護建議。

4.1 增強法律政策協調性

《個人信息保護法》的適用范圍包括在中華人民共和國境內處理自然人個人信息的活動，這也意味著任何涉及個人信息的檔案活動都要遵守《個人信息保護法》的相關規定。然而其第八章的附則明確指出：“法律對各級人民政府及其有關政府部門組織實施的統計、檔案管理活動中的個人信息處理有規定的，適用其規定”，因此可以得出政府機構已有的關于檔案管理活動的規定優先適用于個人信息處理。但是遍尋《檔案法》，對于個人信息和隱私的規定僅有兩條：《檔案法》第28條“利用檔案涉及知識產權，個人信息的，應當遵守相關法律，行政法規的規定”和第47條“檔案主管部門......不得泄露......個人隱私”[29]。如此相互推諉的規定對于個人信息保護似乎沒有實際作用，另外有研究表明目前我國大多數省市級檔案館對于檔案活動沒有建立明確的隱私政策。[30-31]因此筆者建議在《檔案法》中加入規范個人信息處理行為的條款，為檔案管理活動設立個人信息處理豁免權，并明確相應的權利和義務。設立豁免權不是允許肆意濫用個人信息，而是讓基于特定目的的檔案管理工作可以在不受過多限制的條件下更好地服務社會和大眾，另外配套的行業準則同樣重要，也需要得到進一步關注。

4.2 平衡技術雙刃效應

信息時代的隱私問題折射出技術雙刃背后工具理性和價值理性的斷裂。為了達到更大限度的共享，人們嘗試將隱私數據匿名化，但是數據匿名化會降低數據價值和數據可利用性，知識的準確性也隨之降低。還有學者倡導對檔案中的隱私數據采取數據脫敏、匿名化[32]和數據加密[33]等技術進行保護。但是這些方法的適用性很有限，比如如果想對音頻檔案進行脫敏，那么就需要一名有經驗的音響師去聽每一份磁帶或者光盤，并在提到敏感信息的地方加入隱匿符，然后再復制這些經過脫敏的音頻磁帶，如此一來成本便會成倍增加。正如彼得森所說：檔案館員不可能查看每一份檔案中的每一頁來尋找可能應該被限制的信息，[34]而且這些困難同樣適用于影像檔案。筆者不反對采取技術手段加強隱私保護，但是在選擇隱私保護技術的時候既要認清技術手段對于隱私保護的作用，也要清楚地看到技術所帶來的負面效果。檔案作為一種蘊藏巨大能量的信息資源，對其開發利用已是大勢所趨，技術的雙刃劍作用是檔案從業人員不可回避的話題。

4.3 樹立為黨管檔的職業倫理素養

倫理素養雖然不像法律那樣由執法機關強制執行，但它卻是影響人們做出選擇和決定的關鍵。在檔案場景下，存在一組四重關系，即“機構—檔案創建者—檔案館員—用戶”。在這組關系中，最容易引起矛盾沖突的就是個人隱私信息的處理，而檔案館員剛好處于關系的中心，所以檔案館員的倫理素養便成了檔案可以作為歷史證據的基石，以及維持檔案館作為一個可信任機構的重要支柱。

檔案通常是機構業務運轉的無意識副產品，在生成機構內部被部分人員傳播和閱讀，如果在歸檔后需要向更廣泛的受眾開放就出現了上文所說的倫理困境，可以說檔案保存的職業本質是造就檔案倫理困境的主要原因。檔案工作的很多環節都要進行倫理考量，比如說在檔案鑒定時決定什么該歸檔、什么該丟棄，在檔案保存時如何保存機密檔案和隱私信息、如何確保檔案的真實性，在檔案開放時如何確保公平對待所有用戶。解決這些問題，檔案館員首先要考慮的一個關鍵就是檔案的社會責任和社會正義，只有明確檔案館為誰管檔，為誰服務才能不偏離檔案職業的初心，做最正確的選擇和決定，因此為黨管檔、為國守史、為民服務應該是檔案館員最高的倫理準則。

注釋與參考文獻

[1]中辦國辦印發《“十四五”全國檔案事業發展規劃》[EB/OL].[2023-04-11].https：//www.saac.gov.cn/daj/yaow/202106/899650c1b1ec4c0e9ad3c2ca7310eca4.shtml.

[2]HENTTONEN P.Privacy as an archival problem and a solution[J].Archival Science，2017（3）：285-303.

[3]孫強.檔案利用中的個人隱私保護問題探析[J].檔案學研究，2014（4）：40-43.

[4]朱曉卓.論電子健康檔案的隱私特性及保護[J].中國衛生事業管理，2014（8）：603-604，625.

[5][33]張東華，尹瀧杰，盧俊.數據倫理視角下檔案用戶數據隱私保護研究[J].檔案學研究，2022（2）：97-101.

[6]WARREN S D，BRANDEIS L D.The right to privacy[J].Harvard Law Review，1890（5）：193-220.

[7]PROSSER W L.Privacy[J].California Law Review，1960（3）：383-423.

[8][12]WESTIN A F.Privacy and freedom[J]. Washington and Lee Law Review，1968（1）：166.

[9]MOORE A D.Defining privacy[J].Journal of Social Philosophy，2008（3）：411-428.

[10]SOLOVE D J.Conceptualizing privacy[J].California Law Review，2002（4）：1087-1155.

[11]YOUNG J B.Privacy[M].New York：John Wiley& Sons，1978：125-127.

[13][15][16][19]NISSENBAUM H.Privacy as contextual integrity[J].Washington Law Review，2004，79：119-158.

[14][17][20]NISSENBAUM H.Privacy in context：Technology，policy and the integrityof social life[M].California：Stanford University Press，2009：327-329.

[18]國家檔案局.國家檔案館檔案開放辦法[EB/OL].[2023-04-11].http：//www.saac.gov.cn/daj/xzfgk/202207/9dc9 6f7f635247c18ae1a9ec15c24dea.shtml.

[21][23]MCKEMMISH S.Placing records continuum theory and practice[J].Archival Science，2001（4）：333-359.

[22]LIN C.Toward a holistic model for the management of documents，records，and archives[J].Archival Issues，2015（1）：21-47.

[24]AN X.An integrated approach to records management[J]. Information Management，2003（4）：24.

[25]UPWARD F.Structuring the records continuum part one：Post custodial principles and properties[J].Archives and Manuscripts，1996（2）：268-285.

[26]SHEPHERD E，YEO G.Managing records：A handbook of principles and practice[M].London：Facet Publishing，2003：232-235.

[27]LUYOMBYA D.Framework for effective public digital records management in Uganda[D].London：University College London，2010.

[28]IACOVINO L，TODD M.The long-term preservation of identifiable personal data：A comparative archival perspective on privacy regulatory models in the EuropeanUnion， Australia，Canada and the United States[J].Archival Science， 2007（1）：107-127.

[29]中華人民共和國檔案法[EB/OL].[2023-04-11]. http：//www.npc.gov.cn/npc/c30834/202006/14a5f4f6452a420a9 7ccf2d3217f6292.shtml.

[30]周林興，徐承來.信息安全視域下國內檔案網站隱私政策合規性研究[J].檔案學研究，2022（1）：85-91.

[31]支鳳穩，徐鼐彥，姚嫵媚.國內外檔案網站隱私政策比較研究[J].浙江檔案，2019（12）：29-31.

[32]BINJUBEIR M，AHMED A A，ISMALL M A B，et al.Comprehensive survey on big data privacy protection[J].IEEE Access，2019，20：20067-20079.

[34]GREENE M A.Moderation in everything， access in nothing ：Opinions about access restrictions on private papers[J]. Archival Issues，1993（1）：31-41.