政府数据开放背景下个人信息知情同意权的行政法架构

政府数据开放的趋势对于个人信息保护的要求越来越高。个人信息保护中的知情同意权是公民个人信息自决权的核心,是政府数据开放制度中必不可少的内容。知情同意权最早起源于医疗领域,是医学界保护接受测试者的基本规范,这一规范从医学伦理转化而来,最终在法律中得到确认。个人信息保护中的知情同意,要求任何主体在收集和利用个人信息时应当如实、全面地告知当事人具体情况,并征得当事人同意后方可对信息进行处理,包含具体同意和概括同意。个人信息知情同意权在行政法领域的特殊性表现为:双方主体地位不平等,知情同意权更多地表现为知情权,个人信息泄露影响巨大。同时应当构建如下规则:知情同意不能构成责任免除;概括同意和具体同意并行;剔除具有可识别性的信息,且不能恢复;制定大数据使用规范,避免出现大数据歧视。     

数字经济时代个人信息处理的法律基础

在数字经济时代,为实现个人信息保护与利用的平衡,2021年8月20日通过的《个人信息保护法》明确将规范个人信息处理活动作为立法目的之一,并围绕其具体构建个人信息处理制度.个人信息处理的合法性事由不仅包括知情同意,还可涵盖法律、行政法规规定的其他情形;而敏感个人信息一经泄露或非法使用即会产生侵害权利的高度风险,其处理应受到严格限制.应在解释论上进一步完善个人信息处理制度,构建知情同意的动态信息披露机制,完善个人信息处理的合法性事由,确立"原则禁止、法定允许"的敏感个人信息处理原则,从而奠定数字经济时代个人信息处理的法律基础.     

数字经济时代个人信息处理的法律基础

在数字经济时代,为实现个人信息保护与利用的平衡,2021年8月20日通过的《个人信息保护法》明确将规范个人信息处理活动作为立法目的之一,并围绕其具体构建个人信息处理制度.个人信息处理的合法性事由不仅包括知情同意,还可涵盖法律、行政法规规定的其他情形;而敏感个人信息一经泄露或非法使用即会产生侵害权利的高度风险,其处理应受到严格限制.应在解释论上进一步完善个人信息处理制度,构建知情同意的动态信息披露机制,完善个人信息处理的合法性事由,确立"原则禁止、法定允许"的敏感个人信息处理原则,从而奠定数字经济时代个人信息处理的法律基础.     

大数据时代个人信息保护的行政监管立场及其智慧化转型

[提要]《个人信息保护法》在“告知—知情—同意”框架基础上,创造性地设置了以行为规制为中心的个人信息权益保护模式。行政监管的功能在这一全新保护模式中能否准确定位,关系到个人信息保护的成效。然而相比于大数据时代的飞速推进,行政监管的长期踯躅导致信息保护效果并不理想,因而亟需对个人信息保护法中行政规范条款进行重新诠释。在法理逻辑上,行政监管介入个人信息保护旨在建构“明确保护个人信息权益”“规范个人信息处理活动”“促进个人信息合理利用”三者的有效连接,维护个人信息的良性使用秩序。在价值立场上,行政监管应以协调个人信息处理中的不平等关系为基本取向,调和个人信息主体和信息处理者的非对称关系,以平等主体之间的不平等结构为调控重点并平衡公私主体间的不平等关系。个人信息保护中的行政监管需维护“告知—知情—同意”的基本保护模式,并加强针对信息处理者自我规制的行政监督,同时还须依循数字社会的变化向智慧化监管转型,创新技术监管方式以加强行政监管的职能建设。     

侵犯公民个人信息罪刑法适用的调整和重构

司法解释有关侵犯公民个人信息罪中的个人信息的定义应同《个人信息保护法》的规定保持一致。合法获取但非法使用个人信息的行为亦应构成侵犯公民个人信息罪。侵犯公民个人信息罪是故意犯罪且相关行为应具有法益侵害具体结果。获得公民知情同意的侵犯公民个人信息行为不构成侵犯公民个人信息罪,"公民知情同意"的效力应当以《个人信息保护法》赋予公民最后一次行使同意权的效力为基准。侵犯公民个人信息罪的保护法益应为与公民人格、财产权紧密关联的个人信息自决权。司法解释对"情节严重"的认定应根据个人信息对公民个人利益影响的紧密程度以及行为人的主观动机两个方面综合考量。司法解释应采用《个人信息保护法》的分类方式,将个人信息区分为敏感个人信息和一般个人信息两种,并对侵犯公民个人信息再犯情形的构罪标准进行修改。     

论非基于个人同意的个人信息处理与单独同意规则的体系解释

出于个人信息保护与利用相协调的目的，立法者对个人信息设置了与著作权法的合理使用规则类似的无需个人同意的个人信息合理使用规则，赋予了个人信息处理者在特定情形下无需取得个人同意而实施个人信息处理行为的合法性。合理使用规则对自主决定权的限制不能类推得出知情权同样被限制的结论。不同于《通用数据保护条例》对一般情形和特殊情形相区分的双层合理使用规则，我国并没有对特殊情形下的合理使用规则进行单独设置，因此产生了合理使用规则与单独同意规则在具体适用时的排斥竞合。在解释论视角下，通过体系解释可以得出原则上单独同意优先于合理使用规则适用的结论。同时，限制个人知情权的例外条款可以作为个人信息合理使用规则的制度填补，在敏感信息等特殊场景下妥适地协调个人信息保护与利用的关系。     

论敏感信息二元同意规则的刑法构造

刑法中针对敏感信息建构同意规则的突破口在于《个人信息保护法》第32条的规定。敏感信息二元同意规则的刑法构造具备理论根据和现实基础。二元同意规则以对信息法益属性的准确厘定为前提，在信息分类的基础上通过结合一般恐惧理论对敏感信息敏感等级进行划分，最终得出针对敏感程度极高的敏感信息同意无效的结论。刑法对于高度敏感信息同意无效的情形还涉及到后续保障问题的探讨，这又可以细分为司法及立法上的双重启示。司法上的启示主要以对《刑法》第253条之一“情节严重”的解释为切入点，即对侵犯高度敏感信息行为“情节严重”的入罪判断不应当再局限于“量”的标准。立法上的启示主要以侵犯个人信息的“行为”为切入点，以《个人信息保护法》为参照进一步细化刑法中侵犯公民个人信息的行为方式，最终拟提出增设“滥用公民个人信息罪”的构想。     

个人信息权法益确证及其场景化实践规则

个人信息权的语境实质是权利保护与个人信息利用二律背反的逻辑协调问题,是个人权利处分自由以及要求他人（包括国家）给予法益尊重的法律问题。在科学阐释个人信息权作为一项新型独立性权利的法理依据、理论内涵以及客体归属基础上,界定侵犯公民个人信息罪保护法益为个人信息权,明确个人信息权法益自决性立场,理性论证个人信息权一体两面的权利特征及其实践规则。方法论上将个人信息处理进行场景化审视,正确认识知情同意作为个人信息处理的合法性依据;明确相对同意作为权利主体同意的基本形态;强调真实同意作为权利主体的意思表达。原则承载价值,法律规制行为。作为二次规范法的刑法,理应在保护理念、条文结构以及罪名优化等方面给予回应,形成既具有理论逻辑自洽性亦彰显实践功能自足性的刑法结构样态。     

论疫情防控中个人信息保护——以CoviD-19突发公共卫生事件应急为视角

CoviD-19疫情引发的特别重大突发公共卫生事件中,个人信息在有效预防和及时防控疫情中发挥了非常重大的作用,但是也出现了一些个人信息泄露和侵权的问题。因此,需要平衡个人信息收集处理与个人信息保护。第一,在疫情防控中个人信息收集,应当明确与个人数据的不同,不能简单用保护网络数据规则保护个人信息;与《民法总则》私法规范基于知情合意收集个人信息不同,无需个人同意,且个人必须如实提供个人信息。同时,个人信息收集主体对涉及个人隐私等敏感信息得保密或去敏化处理。第二,在疫情防控中个人信息处理,遵从统一领导原则和奉行属地原则,以维护公共健康利益为目的对个人信息进行处理利用,分离敏感信息,由专门职能部门对个人信息使用及时公布;严格遵守最小比例原则,将使用范围控制在使用目的所必需的范围内。第三,《传染病防治法》《突发事件应对法》《突发公共卫生事件应急条例》等法律法规对疫情防控中个人信息收集处理规定的内容过于抽象、操作性差,《网络安全法》不能代替个人信息保护的立法,需要制定统一的《个人信息保护法》,根据公开透明原则、比例原则、个人信息安全管理原则、以私权为中心兼顾公共利益原则,建立完善个人信息保护法律制度。     

利益衡平视角下个人信息处理规则研究

个人信息承载着多重利益,在个人信息处理中,容易引发个人与组织、社会以及国家之间的多元利益冲突。个人信息的内涵和外延界定不清,个人信息处理行为不规范,是引发利益冲突的重要原因。把握利益衡平的价值理念,在个人信息处理中寻找各方利益契合点,是消除利益冲突的有效途径。在个人信息处理规则的阐释与适用中,应当以利益衡平为目标,在“合法、正当、必要、诚信”的基础上,准确把握“知情同意”规则的适用要求与例外情形,关注敏感个人信息保护,促进一般个人信息利用,规范个人信息处理行为,实现个人信息保护与信息合理利用的动态平衡。     

侵犯公民个人信息罪的认定

刑法中侵犯公民个人信息罪的认定标准应当与《个人信息保护法》相协调。在界定公民个人信息的内涵方面,应站在体系化的角度全面进行分析,可参考《个人信息保护法》对公民个人信息“二分法”的分类方式,并运用“概括+列举”式的规定,将公民个人信息分为敏感个人信息和一般个人信息。在限定“违反国家有关规定”方面,应对“国家有关规定”作限缩解释,仅包括法律和行政法规。在认定行为方式内容方面,应及时调整侵犯公民个人信息罪的行为方式内容,将更具社会危害性的合法获取个人信息后非法使用的行为,纳入侵犯公民个人信息罪的行为方式内容之中。     

论私密信息处理的告知同意

私密信息与敏感信息在具体内容上的交叉或重合与《民法典》对私密信息适用法律的规定,是私密信息处理适用敏感信息规则的客观基础和法律依据。私密信息处理的必要性主要考量处理目的是否正当、特定和处理手段是否合理,可由处理者、个人或者人民法院评判并采取书面形式单独告知,而告知义务的免除应当严格限制。对个人权益的影响可参照国家标准由多方组成的评估组织从不同维度进行评价、分级,以私密信息保护影响评估报告的形式告知。私密信息处理的单独同意应当在充分知情的前提下采取书面同意形式,同意的例外情形在适用《个人信息保护法》相关规定的同时,还要考虑私密信息的特殊性。     

个人信息处理中个人同意规则释论

我国《个人信息保护法》关于信息主体同意的规定存在着内在缺陷,需要进一步细化改进和完善。在个人同意的性质上“意思表示说”与“处分行为说”难以成立,应将其定性为准法律行为,在性质允许的范围内适用法律行为的相关规定。信息主体表示同意无需局限于书面形式,口头形式或行为推定方式亦无不可。信息主体须具有民事行为能力,年满14周岁的未成年人具有同意能力,除此之外的未成年人与成年被监护人做出的同意无效。信息主体受到欺诈、胁迫以及在压迫关系下做出的同意无效。处理者通过违法处理个人信息取得的同意无效。     

论反洗钱义务履行中的个人信息处理

为履行反洗钱义务而处理个人信息,是《个人信息保护法》第13条所规定的“为履行法定职责或者法定义务所必需”而处理个人信息的典型应用场景。反洗钱中的个人信息处理无需取得个人同意,但对个人信息的收集范围及处理活动应与反洗钱目的直接相关,并应最小化对个人权益的影响。为应对金融数字化转型的挑战,《反洗钱法》需适时修改,在强化保障个人知情权、查阅权、更正权和获得救济权的前提下,为以履行反洗钱义务为目的的个人信息共享提供便利,从而实现个人信息保护与合理利用的再平衡。     

敏感个人信息行政许可的公法效用、体系难题与法治完善

敏感个人信息的法律保护，正在成为法学界讨论的热点命题。而《个人信息保护法》第32条则为敏感个人信息的处理提供了一种全新的路径：行政许可。该路径体现出了明显的公法效用：补足了敏感个人信息的行政法保护，强化了敏感个人信息公共风险预防作用，拓宽了敏感个人信息的救济途径。然而，敏感个人信息的行政许可路径在我国也面临着一系列的体系性难题：告知同意规则与行政许可的形式冲突、充分必要规则与行政许可的价值冲突、意思自治规则与行政许可的程序冲突等。因此，为了完善敏感个人信息的法治保护，我国应当明确行政许可的敏感个人信息判断标准及其优先效力，创设行政许可的具体条件以及限制性措施，并以行政许可承诺制来抑制意思自治规则。     

网络民营企业数据合规的风险防范与体系建设——以Z公司非法获取计算机信息系统数据案为视角

数据合规作为信息网络社会中企业合规的具体类型之一,它通过促进信息网络公司依法依规处理信息数据,实现企业利益与国家安全、个人信息保护的有效平衡,有利于实现个人信息保护和数据安全领域的“国家监管”向“合规治理”模式转变。信息网络公司作为数字经济时代和网络社会的“看门人”,数据合规是其履行信息网络安全管理义务的必要途径。从数据的完整生命周期来看,数据合规风险主要包括数据收集中的合规风险、数据提供中的合规风险、数据跨境中的合规风险等不同类型。企业需要根据《数据安全法》《个人信息保护法》等法律法规来制定相应的合规政策,在数据分类分级基础上确立不同类型数据的处理流程和内部规则,建立贯穿数据收集、存储、处理、提供、销毁等完整生命周期的数据合规体系,在公司治理结构中设置以数据安全负责人/个人信息保护负责人为核心的数据合规组织机构。     

“同意”:个人信息控制的边界问题

国外的个人信息保护已从"归属"同意向"过程"同意转变,而我国的公民个人信息的权属在现行的法律中尚无定论。用户"同意"正成为各方进行数据争夺的"话语工具","授权"行为通过程序"正当"窃取了个人意志的表达,"同意"语境下的个人信息控制边界存在多元的力量冲突。我国解决信息安全与数据开放之间的矛盾,需要充分注重用户的信息自决权、充分理解"同意"边界的权力作用关系。"同意"边界需要从自由意志和公共利益两方面进行合理规制。     

个人信息自动化处理领域的个人信息保护规则

个人信息自动化处理技术能大量存储个人信息、整合诸多个人信息片断以及给第三人获取个人信息创造便利条件,属于对个人人格和财产具有较高加害危险的领域。因此,有必要在此领域引入以信息禁止原则为出发点的个人信息保护规则：原则上禁止收集、处理和利用个人信息,除非得到信息主体的同意、符合法定事由或者具有其他合法利益;收集个人信息时的目的限制了日后的处理和利用行为。另外,在这个高度危险领域,应当赋予信息主体干预信息处理过程的权利,具体包括：查询权、更正错误信息的权利、删除错误信息的权利等。我国未来的个人信息保护法应当将上述严格的保护规则限定在个人信息自动化处理行为上。     

数据跨境流动的约束性企业规则研究

欧盟《一般数据保护条例》确立的约束性企业规则是欧盟个人数据跨境传输规则中的适当保障措施之一，它作为数据跨境流动的合规工具具有显著优势。我国自2021年施行的《个人信息保护法》中仅参照引入了标准合同条款，约束性企业规则还未明确在我国法律中引入。为了便利我国企业“走出去”，我国应引入约束性企业规则。为此，我国应明确约束性企业规则的上位法依据，同时合理借鉴他国实践经验，打造中国式约束性企业规则。     

我国个人信息保护现状及立法思考

信息社会中,个人信息作为主要财产形式之一,具有价值和使用价值.个人信息的经济价值使其参与到经济社会中,并被最大限度地收集、使用和处分.由于我国《个人信息保护法》的缺失,致使个人信息泄露并被非法利用等行为大量存在,严重威胁个人利益、社会利益乃至国家安全,而现有法律法规对个人信息保护的分散规定不利于保护个人信息,制定《个人信息保护法》迫在眉睫.