個人信息保護中的行政不作為研究

鄒宇?駱淑媛

摘 要｜近年來個人信息保護逐漸成為學者們討論的熱點話題，《個人信息保護法》的出臺更是將個人信息保護問題推上了頂峰。在《個人信息保護法》中規定的集個人、行政、司法保護于一體的個人信息保護制度中，行政機關的雙重角色很容易滋生各種違法行為，行政不作為就是實踐中最常見且屢禁不止的一種。為保護行政相對人的個人信息合法權益和塑造良好的政府形象，本文從法律層面界定個人信息保護中的行政不作為行為出發，分析其構成要件、行為表現，指出個人信息保護中行政不作為行為違法滋生的原因是多方面的，提出需要從立法、行政、司法三個層面聯合規制的具體建議。

關鍵詞｜個人信息保護；行政不作為；司法審查

Copyright ? 2023 by author （s） and SciScan Publishing Limited

This article is licensed under a Creative Commons Attribution-NonCommercial 4.0 International License. https：//creativecommons.org/licenses/by-nc/4.0/

2021年8月20日第十三屆全國人民代表大會常務委員會第三十次會議通過《中華人民共和國個人信息保護法》，作為一部專門保護個人信息的法律，其對大數據時代下長期缺乏法律保護的數據處理和個人信息保護問題做出了系統性的立法回應，提供了一個集個人保護、行政保護、司法保護一體的個人信息保護制度。雖然《個人信息保護法》第二章第三節專節列出了國家機關處理個人信息的特別規定，第六章專章規定了履行個人信息保護的職責部門以及我國履行保護公民個人信息保護的行政機關應盡的義務。但個人信息的行政保護機制仍存在缺憾，這其中特別突出的就是實踐中層出不窮、屢禁不止的行政不作為問題。在個人信息保護中，行政機關作為信息收集和管理者常會作出一些違法行政行為，而行政不作為作為違法行政行為的一種，不僅會對公民的個人信息的受保護利益造成侵害，亦對服務型政府的形象大打折扣。因此，筆者擬針對現有立法下的個人信息行政保護中的行政不作為問題展開探討。

一、個人信息保護中行政不作為的法律界定

（一）行政不作為的內涵界定

關于行政不作為的內涵、性質、構成要件等問題，國內學者對此問題的研究眾說紛紜，難以達成統一的認識。整體有以下幾種意見：一是根據行政不作為內容或義務的性質的不同而分為積極義務的行政不作為和消極義務的行政不作為。積極義務的行政不作為是指行政機關有義務作出某種行為而不履行；消極義務的行政不作為是指行政機關雖然沒有義務作出某些行為，但還是做出了相應的行為。如周佑勇認為，只有以行政主體具有法定義務為前提，并且這種法定義務屬于一種作為義務積極義務，才能認定行政不作為的行為性，也就是說，行政不作為的成立必須以行政主體具有法定的作為義務為前提。二是認為準確地界定行政不作為的內涵應當從程序上展開，如我國《行政訴訟法》第十二條第一項中第3、6、10、11項列舉的行政機關拒絕履行法定職責的情形。可見，行政不作為本質上是行政機關不履行法律規定行政機關應當履行的法定職責，即在行政相對人提出申請時，行政機關有履行法定職責的客觀條件，但是作出了拒絕履行或者拖延履行法定職責的行為。還有一種觀點認為行政不作為的認定與其是否負有法定義務無關，而在于其拒絕履行、拖延履行或因其他原因不作出相應的行政行為，即行政主體消極地不作出行政相對人請求的行為就屬于行政不作為。在此基礎上，又可以將行政不作為劃分成方式的不為和內容的不為，如行政主體拒絕履行法定職責的行為就屬于方式上的作為，內容上的不為。

行政不作為是我國行政法學的一個主要的研究領域，雖然目前學術界對行政不作為的法律內涵尚未達成共識，但是從眾多的理論研究成果中不難看出，行政不作為理論的研究已經取得了豐碩的成果。在上述幾種觀點的基礎上，筆者認為行政不作為是指行政主體在負有法定義務的條件下，對于行政相對人的申請有依法履行相應行政行為的客觀可能性，而拒絕履行或者拖延履行的情形。

（二）個人信息保護中行政不作為的構成要件

行政不作為本質上是對國家法定作為義務的放棄，是對公眾利益和個人利益的直接侵害，屬于行政法學理論中的行政瑕疵行為的一種。一般而言，瑕疵行政行為包括違法行政行為、不當行政行為和相對輕微的原因導致的瑕疵行政行為類型，而行政不作為作為行政法治實踐中一種違反法定義務的瑕疵行為類型，其明顯是屬于違法行政行為。在認定行政不作為是一種違法行政行為時，我們就需要確定行政不作為的法定構成要件，即如果行政主體的某一行為或某一不作為與我們預先設定的行政不作為的法定構成要件相吻合的情況下，就可以將該行為或不作為界定為行政不作為。因此，在研究個人信息保護中行政不作為時應當首先研究其構成要件。

首先，確定個人信息保護中行政不作為的主體要件。我國《行政訴訟法》第十二條中規定人民法院受理公民、法人和其他組織申請的“具有履行保護人身權、財產權的法定職責的行政機關，拒絕履行或者不予答復的”案件，法律規定行政相對人提起訴訟的被告應當是具有法定職責的行政機關，提起行政訴訟的對象是行政主體作出的具體行政行為。通常來講，行政主體包括具有行政權能的行政機關和法律、法規授權的具有管理公共事務職能的組織。在個人信息保護方面，行政不作為的主體就應當根據《個人信息保護法》中有關規定予以確認。所以個人信息保護中行政不作為的主體為履行個人信息保護職責的國家網信部門和根據有關法律、行政法規的規定具有履行個人信息保護、監督管理職責的國務院有關部門和縣級以上地方人民政府有關部門。

其次，個人信息保護中行政不作為的構成要件應當包含行政主體有作為的義務且存在“履行的可能”。行政不作為本質上也是一種行政行為，是靜態表現下的行政行為，所以在分析其構成要件時就應當依照行政行為的構成要件梳理。主體適格，行為內容應當符合法律、法規的規定和社會公共利益，行政行為符合法定程序和影響行政相對人權利義務為行政行為的主要構成要件，而行政不作為層面上與法律授權要件相對應的就是行政主體負有法定作為義務且存在客觀履行的可能性。這是因為，作為是行政機關根據法律賦予的權力所為的行為，對應的行政不作為實質上就是對法定義務的違反。正如《個人信息保護法》的第十三條規定的，當行政機關作為個人信息處理者這一角色時，就負有先取得個人的同意這一義務，而行政機關不履行該義務且不屬于其他規定中提到的不需要取得個人同意的情形時即為行政不作為。

再次，不實施任何行為即不作為當然地作為個人信息保護中行政不作為的構成要件，而其不履行作為義務的行為對行政相對人權益造成的損害就成了行政不作為的最后一個構成要件。《個人信息保護法》第二十三條規定，個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應當向個人告知接收方的名稱或者姓名、聯系方式、處理目的、處理方式和個人信息的種類，并取得個人的單獨同意。由此可得，當行政機關作為上述向其他機構提供個人信息的個人信息處理者時，就應當履行其法律規定的告知和取得個人同意的義務，若行政機關不履行該義務，就會在個人信息權益者不自知的情況下泄露個人信息，侵犯了公民的合法權益。

關于“行政相對人的申請”是否作為行政不作為的構成要件之一，學界目前也無法達成共識。持贊成意見的學者們將行政不作為視作行政主體對法定職責的放棄和消極對待，其責任指向的是行政相對人的權益。而反對者們則主張，行政機關應當履行的義務有依相對人申請而履行的情形，也有不以相對人的申請為前提條件而應當依法主動履行義務的情形。在個人信息保護領域筆者贊成后一種觀點，即不以“相對人是否申請”個人信息保護中行政不作為的構成要件之一。如《個人信息保護法》第四十六條規定，“個人發現其個人信息不準確或者不完整的，有權請求個人信息處理者更正、補充。”表明行政機關作為個人信息處理者時，行政相對人作出更正、補充的申請后，行政機關具有應當按照法律規定更正、補充的義務。而四十七條則規定，“處理目的已實現、無法實現或者為實現處理目的不再必要時，個人信息處理者應當主動刪除個人信息”，這時候作為個人信息處理者的行政機關就不以行政相對人的申請為前提條件而獲得法律規定的主動刪除個人信息的義務。所以，在個人信息保護中的行政不作為并不以相對人的申請為構成要件，不然行政主體就會以相對人未申請作為掩蓋其懈怠行使法定義務的理由。

二、個人信息保護中的行政不作為的行為表現方面及危害性

（一）個人信息處理上的行政不作為

大數據時代，個人信息保護法治中，國家不再單純以超然于信息業者與信息主體雙方關系之外的治理者角色出現，政務部門代表國家成為最大的個人信息處理者。以數字政府的建設為例，截至2021年10月，我國已有193個政府數據開放平臺，全國地級以上政府數據開放平臺從2017年的20個躍升為2021下半年的193個，這不僅標志著我國數字政府建設的迅猛發展，還預示著政府部門將一步一步成為個人信息的最大處理者、存儲者和管理者。可見，要想分析個人信息保護中行政不作為的行為表現，行政機關在個人信息處理方面的不作為應當是首先被分析的對象。

以政府數據開放中，行政機關作為個人信息的處理者這一角色為例，行政機關對個人信息的處理又分為收集、存儲、使用、加工、信息流通、信息共享、信息公開等環節，所以在個人信息處理的復雜過程中，行政機關作為個人信息處理者必須高度遵守我國法律中有關行政機關履行法定職責的原則性規定，在數據處理的任何環節都要做到遵循《個人信息保護法》《網絡安全法》等對行政機關處理個人信息應當履行法定職責的規定。比如《個人信息保護法》中規定的收集個人信息的目的性原則，禁止過度收集、取得個人同意等法定職責。一旦行政機關在處理個人信息時出現了拒絕履行或怠于履行類似上述抽象法定職責或者具體法定職責的行為，就構成了行政瑕疵行為，也就是本文所討論的行政不作為。因此，個人信息處理上的行政不作為很少以平常所討論的以相對人的申請為前提出現，其大多是行政機關應當主動行使法律、行政法規規定的職責，行政機關如果不履行或者拖延履行仍應當就其不依法履行職責承擔相應的法律責任。

（二）個人信息公開中的行政不作為

早在我國政府數據開放工作加速推進之前，2008年《中華人民共和國政府信息公開條例》就已經開始施行了。《條例》的頒布和實施對于大力推進政務公開工作、規范政府權力運行、構建服務型政府方面都起著不可取代的作用。但是在司法實踐中政府信息公開的效果卻不像預想的一般公正透明，各種各樣使政府公信力減少、損害公眾知情權的行政不作為現象也屢禁不止，行政機關的固步自封，違法行為等都導致政府信息公開工作成了個人信息保護中行政不作為表現較為嚴重的一面。比如政府信息公開工作中，行政機關獲取、保存的是行政相對人的個人信息時，經其他行政相對人的申請公開或者此信息屬于個人隱私的敏感信息，行政機關信息權益所有者同意就予以公開就很有可能會出現侵害行政相對人信息保護權益的行政不作為行為。

（三）個人信息權益保護中的行政不作為

在個人信息被采集、利用等一系列的過程中，既有行政機關代表個人信息處理者一角色管理行政相對人的關系，也會有行政相對人因受到個人信息侵權，從而向負責個人信息保護的行政機關求助的關系。我國《個人信息保護法》第九條中規定，個人信息處理者應當采取必要措施保障所處理的個人信息的安全。當行政機關充當個人信息處理者這一角色時，其負有保障自己所處理的個人信息的安全義務，同時如果不采取相關保護措施保護個人信息的安全，使個人信息暴露在外，就可以構成違反法定義務的行政不作為行為。當個人求助于個人信息保護行政機關時，行政機關的角色就轉變成了個人信息保護權益的救濟和監督機關，此時行政機關如若出現拒絕或者未在法定時間內予以個人信息法律保護的情形，也屬于個人信息權益保障中的行政不作為行為。

（四）個人信息監管的行政不作為

與此前出臺的《網絡安全法》和《數據安全法》不同，《個人信息保護法》的立法重點顯得尤為不同，在本法中更多規定聚焦于公民個人信息權利的保護，因此便賦予了個人信息處理者更多的法律義務，由此更加容易觸發政府主管部門的監管。但是在大數據時代，政府需要維持信息市場的經濟價值和維護網絡安全、保護隱私自由三者間的平衡，同時又因為所處的角色不同，有可能同時承擔著對個人信息進行收集的社會管理職能和對個人信息處理者的監管職能，這種種都使得行政機關內部因其組織機構不夠專業、監管職權劃分不清等問題，出現推諉、逃避甚至怠于行使法定監管義務的表現。

三、個人信息保護中的行政不作為滋生的原因

（一）個人信息行政保護立法有待完善

近年來，隨著大數據時代的來臨和我國數字政府建設理念的提出，個人信息保護也逐漸成為各國網絡安全領域的立法重點。自2016年以來發布的諸多立法成果中，《網絡安全法》《消費者權益保護法》，包括近期頒布的《民法典》和《個人信息保護法》中均體現了法律對于個人信息的規范性保護，但是其中也存在著一些問題。首先，從某種程度上來說，大數據時代信息高效流轉，我國有關個人信息保護的法律、行政法規、部門規章及地方性法規等雖然對個人信息保護作出了諸多規定，但大多為從私益角度救濟個人權利，將民事保護作為個人信息保護領域中糾正不法行為、救濟個人信息權利的主要途徑。但由于個人信息某種意義上具有的人身和財產的雙重屬性和政府在個人信息處理、監管上不可或缺的角色，僅從司法角度保護個人信息就會顯現出其一定的局限性。其次，當前我國有關個人信息行政保護的規范性內容，一方面原則性條款居多，實際操作需要進一步解釋，缺乏公民救濟個人權利的具體行政救濟手段。如在行政保護的具體實施的過程中，由于各部門保護范圍不夠明晰，行政執法人員存在隨意推諉職責的問題時，如何認定行政機關的侵權行為、采取何種方式請求救濟、向何人請求等一系列問題，都不是單純的應用原則性條款就能予以解決的。另一方面，在《個人信息保護法》中，多次提到“法律、行政法規”規定的情形或者例外的立法用語，均未涉及有關行政規章的規定，即是說，在個人信息保護法律體系中，行政規章被遺忘了。眾所周知，行政規章具有立法迅速、程序簡便等優點，在我國個人信息保護法律體系尚未搭建完全的情況下，盡管行政規章存在一些弊端，但相對于這些弊端來說，更讓人擔心的是當個人信息權益受到侵害時無法得到及時、有效、有針對性的救濟和保護。

（二）個人信息保護的行政機關不明確

《個人信息保護法》第六十條的規定，各級各地網信部門負責統籌協調個人信息保護工作和相關監督管理工作，其他部門在各自職責范圍內負責個人信息保護和監督管理工作。因此，國家網信辦及其他部門作為具有“個人信息保護職責”的行政主體。雖然《個保法》中明確規定了我國個人信息的行政保護職能的行使主體，然而這項規定在具體的執法實踐中如何落地，尚存在許多變數。一是在我國《個人信息保護法》出臺之前，國家網信部門只負責個人信息安全方面的監管工作，其主要職能也是定位于行政許可，在行政處罰方面鮮有涉足，是否能夠統籌協調好個人信息的行政保護相關工作當然存在疑惑。二是條款中的其他部門也未作出具體規定，而其究竟是哪些部門不得而知，這就可能造成執法出現互相推諉，進一步出現消極的行政不作為行為。

（三）政府責任意識的匱乏和追責制度的不完善

行政管理秩序是社會秩序的有機構成部分，一定意義上講，社會秩序中的絕大多數都可以納入行政管理秩序的范疇之中。當行政相對人受到侵犯個人信息權益保護問題時，求助于或通過一定的法律形式要求行政機關行使法定的行政管理職能時，而行政機關未對行政相對人的要求作出反應或拒絕作出某種行為時，行政相對人與行政管理機關也就自然地成了行政管理秩序設定的有關方。眾所周知，秩序的建立依靠法律，那么秩序的執行需要的則是主觀意識形態。當前我國公務員存在政府責任意識不強的現象，第一可能是因為其自身的道德修養、理論水平不高，缺乏政治知識和服務意識，第二則是目前社會大環境下，少數公務員的初心改變，出現了以權謀私、為利可圖的思想，從而消極承擔應當承擔的行政責任，進一步助長了行政不作為行為的蔓延。

（四）對行政權力的監督不足

行政管理秩序的有效推進同樣離不開事后監督，而對應到個人信息的行政保護方面，追責制度的建立則是有效預防個人信息行政不作為的一大舉措。我國《個人信息保護法》第六十八條規定，國家機關不履行個人信息保護義務，由其上級機關或者履行個人信息保護職責的部門責令改正，對直接負責的主管人員和其他直接責任人員依法給予處分的追責機制。但在對違法行為的處罰方面卻將罰款設定為一百萬元以下這一寬泛無比的范圍，且沒有規定相應的裁量權基準，這必然會導致實踐中同案不同罰等顯失公平的情形出現。完備的行政監督體系可以倒推行政機關正確地行使行政權力。在個人信息權益受到侵害時，司法監督是對行政權力進行監督的最有力武器，也是公民最便于行使自己權利的一種方式。在《個人信息保護法》中提到公民可以通過民事訴訟手段來救濟自己的權利，而當傳統救濟行政相對人權益遭受行政機關行政不作為侵害時，行政相對人多數選擇的行政復議或行政訴訟未有涉及。最后，行政機關作為個人信息處理者時多是公益性的，那么按照《個人信息保護法》第六十九條的規定，受到行政機關不作為侵害的個人信息權益主體是否可以獲得國家賠償？獲得國家賠償的標準能否適用由個人信息處理者獲得的利益確定賠償數額的標準都未嘗可知。

四、規制個人信息保護中的行政不作為的建議

（一）立法規則表達

明確個人信息行政法保護主體。對于個人信息行政保護法律機制的完善中，首先需要明確的就是個人信息的行政保護主體。《個人信息保護法》規定國家網信部門負責統籌協調相關工作，有關部門在各自職責范圍內負責個人信息保護和監督管理工作的規定過于籠統和分散，在實踐過程中很有可能造成權責不統一的情況，所以根據法律保留原則，在《個人信息保護法》執行過程中，建立由網信部門牽頭，聯合有關行政執法部門，盡快確立一套集水平級各行政執法部門負責個人信息保護監督管理的具體職能范圍，和管理監督層面的網信辦統籌各有關部門行政執法的問責和監督范圍于一體的相關司法解釋或行政法規，更好地規范個人信息保護實踐中難以完全杜絕的行政不作為行為，為我國個人信息行政保護法律體系添磚加瓦。

完善個人信息行政不作為的救濟途徑。法律規定了個人信息處理者侵犯個人的信息保護權益時，個人可以通過民事訴訟和民事公益訴訟救濟自己的權益，只有當侵害行為造成嚴重后果時才能啟動公法保護程序。在立法層面完善個人信息行政保護的救濟途徑，明確個人信息保護的行政規制體制，不僅要求在個人信息保護方面加強行政訴訟制度的作用，讓公民可以更多地不受訴訟成本高、舉證困難等私益救濟制度的弊端困擾，還要求在《行政復議法》中將個人信息領域的行政不作為問題明確納入行政復議的范圍之內，將行政不作為行為在行政機關內部直接啟動糾錯程序予以解決，節約司法成本、加快救濟效率。并且應當明確規定受行政機關侵害個人信息權益的公民、法人或其他組織可以依法提起國家賠償，以及細化行政不作為行為侵害權益時國家賠償的標準。

（二）過程控制

摒棄政府本位觀念，強化服務理念。政府本位是指，政府是國家意志的體現者和貫徹者，是享有公共事務管理職能的唯一主體，行使著對社會一切事務監督、控制和管理的權力。這種思想容易異化行政機關手中的權力，違背了現代服務政府理念中公共服務的宗旨。現階段公務員不僅應當完全摒棄政府本位思想，丟棄行政權本位理念，而且應當主動學習黨的全心全意為人民服務的精神，提高個人的公共服務意識和培養公民利益至上的思想。

完善行政機關權責統一機制體制。民主政治下的政府，必然是責任政府。在責任政府的構建過程中，責任意識這一主觀意識形態的作用并不小于制度建設、法律監督等外在規制。強化政府責任意識首先是建立權責統一機制體制，完善行政追責制度，將行政責任落實到個人，將行政不作為的行政處罰追究到個人，明確權力相對應的責任，讓行政機關自覺不敢、不能、不想不作為。

加快制定《行政程序》法，使行政行為徹底暴露在陽光下。葉必豐教授曾經說過：“行政法的體系化不限于法典化，國家可以推行以行政法總則為基本法律，以行政行為類型化法律為重要組成部分，以眾多特別行政法為基礎的分層分級行政法體系。”目前我國行政實體法總則因種種原因已經止步，但是行政程序法總則作為兼顧了行政實體法一般性原則和行政程序共同規則的法律，是我國行政法體系化的當務之急。制定和落實行政程序法，從大的方面講是對我國現有的行政處罰、行政許可、行政審批等作出了全面統一的規定，將區域協調中優秀的經驗上升為法律并運用到全國，從小的方面講就是講所有的行政行為都置于正當程序原則之下，接受來自各界的監督，徹底清除行政機關謀取不正當利益的根基，杜絕行政不作為行為產生的可能性。

（三）司法救濟

個人信息保護領域中的行政機關不作為案件的遏制不僅應當通過立法層面將其納入法律規范約束，遵循正當程序原則將其暴露在陽光下任憑監督，更應當從事情已經發生的角度討論行政不作為案件應當怎樣更有利于救濟合法權益。

我國現行對行政不作為的規范途徑主要有兩種，即行政復議和司法救濟，將個人信息保護中的行政不作為納入行政復議范圍的建議上文已經提及，剩下的就是完善司法救濟手段。我國對于行政不作為的司法救濟手段主要有民事訴訟、民事公益訴訟和行政訴訟三種，而行政訴訟中法院審理行政不作為案件的一大重要環節就是司法審查。行政訴訟中針對行政機關不作為的判決主要有駁回訴訟請求、判決撤銷并重做、判決確認違法并賠償三種，這其中判決撤銷并重做是體現司法審查強度最集中的一種。但在實踐中法院作出撤銷并重做判決時，卻很少涉及對行政主體重新作出某一行政行為的內容，究其原因是這種行為充分體現了司法權對于行政權的尊重，用較輕微的司法審查強度保護了行政機關的自由裁量權，但這卻以犧牲著相對人的合法權益為代價。作為司法對行政相對人合法權益保護重大責任的重大一環，在對行政不作為的訴訟過程中加強司法審查的強度，有利于加強公正司法對行政機關行為的干預，更有利于掩埋行政機關的過分自由，遏制違法行政行為的發生。當然加強司法審查的強度也是有界限的，我國就可以借鑒德國的“裁判時機成熟理論”，即在案件審理后，人民法院認為行政主體是否應當作出某一具體內容的行政行為已十分明晰，并且此時受司法審查的作為義務內容無需行政主體自由裁量時即為裁判時機成熟，至此法院就可以直接對行政主體履行義務的內容作出直接判決。

Research on Administrative Inaction in the Protection of Personal Information

Zou Yu Luo Shuyuan

Shanghai University of Political Science and Law， Shanghai

Abstract： In recent years， the protection of personal information has become a hot topic of discussion among academics. The introduction of the Personal Information Protection Act has brought the issue of personal information protection to the forefront. In a personal information protection system that combines personal， administrative and judicial protection as stipulated in the Personal Information Protection Law， the dual role of the administrative authorities can easily breed various violations， and administrative inaction is one of the most common and repeatedly prohibited in practice. In order to protect the legitimate rights and interests of the administrative counterparts personal information and to create a good image of the government， this paper starts from defining the administrative inaction in the protection of personal information， analyzes its constitutive elements and behavioral manifestations， points out that the reasons for the illegal breeding of administrative inaction in the protection of personal information are multifaceted， and puts forward specific suggestions that require joint regulation at the legislative， administrative and judicial levels.

Key words： The protection of personal information; Administrative inaction; Judicial review