考慮到目前關(guān)于個人敏感信息的界定問題,切合時代發(fā)展又符合中國實際的深入研究尚有不足,本文擬通過考察我國現(xiàn)行個人敏感信息的規(guī)定及問題,分析區(qū)分個人敏感信息和一般信息的必要性和可行性,討論個人敏感信息的界定方法和確立個人敏感信息的考慮因素,進而提出我國個人敏感信息的具體種類設(shè)想,力圖為我國個人信息保護立法提供一定參考。
一、問題的提起: 我國現(xiàn)行法對個人敏感信息之規(guī)定及困境
目前,我國對個人信息保護的法律法規(guī)散見于不同部門發(fā)布的規(guī)范性文件。從這些規(guī)范性文件來看: (一)個人敏感信息與個人一般信息的分類已有體現(xiàn);(二)現(xiàn)行法對個人敏感信息的規(guī)定存在抵牾。
總體而言,我國現(xiàn)行規(guī)范性文件關(guān)于個人敏感信息的規(guī)定凸顯的問題在于: 首先,高位階的法律未充分認(rèn)識到個人信息區(qū)分的必要性。就法律層面而言,對個人信息的重要程度、可能對個人造成的危害程度未能充分認(rèn)識并有效區(qū)分,且對個人信息的收集采取過于寬松的態(tài)度,而某些行政法規(guī)又采取過于僵硬的措施,導(dǎo)致法律與行政法規(guī)間適用的沖突;其次,個人敏感信息的界定標(biāo)準(zhǔn)缺乏共識。我國低層次的規(guī)范性文件已經(jīng)對個人信息作出區(qū)分,但由于對如何認(rèn)定個人敏感信息、個人敏感信息究竟應(yīng)包括哪些種類等問題缺乏共識,導(dǎo)致不同機構(gòu)甚至同一機構(gòu)規(guī)定出現(xiàn)混亂和抵牾。這些問題的存在,凸顯我國高位階的統(tǒng)一立法對個人信息予以區(qū)分、并對個人敏感信息作出明確界定的迫切性。
二、未來我國立法的基本設(shè)想:區(qū)分個人敏感信息與個人一般信息
(一)從個人信息敏感度視角看個人信息區(qū)分的必要性
20世紀(jì)70年代起,隨著信息通訊技術(shù)的發(fā)展,許多國家開始了個人信息保護的立法實踐,并大體形成了兩種立法模式: 制定《個人信息保護法》的歐盟統(tǒng)一立法模式和將個人信息保護納入隱私權(quán)保護體系的美國分散立法模式。
在我國,對于個人信息與隱私的關(guān)系,主流意見認(rèn)為兩者是交叉關(guān)系、相互存在一定的重合。筆者贊同用“三分法”來區(qū)分隱私與個人信息,即分為純粹的個人隱私、隱私性信息、純粹的個人信息。而且,筆者進一步提出,對個人信息應(yīng)主要根據(jù)信息敏感度等因素的差異,區(qū)分為敏感信息和一般信息。
敏感在英文中的含義豐富,根據(jù)梅里亞姆—韋伯斯特詞典的解釋,其中之一的含義是“高度反應(yīng)或易受影響: 例如容易受到傷害或造成損失: 特別是精神上的傷害”??梢姡^“敏感”是對特定的因素具有高反應(yīng)度,個人信息的敏感度描述的是個人信息對信息主體造成傷害或影響的程度。
個人信息是通過一定形式,尤其是電子數(shù)據(jù)表現(xiàn)出來的個人情況,現(xiàn)代社會中,個人的幾乎所有情況都可能成為個人信息。受道德、習(xí)俗等多重因素影響,某些個人信息的泄露對個人尊嚴(yán)或財產(chǎn)會造成嚴(yán)重影響,而另一些信息的傳播對個人生活影響則相對較弱。我國大多數(shù)公眾也認(rèn)為信息存在敏感與一般之分。
某些信息具有高敏感度,一旦泄露可能導(dǎo)致人格受損、引發(fā)歧視和妨害人格尊嚴(yán),是需對其進行特殊保護的根本原因。只有將這些信息與一般個人信息予以區(qū)分,給其貼上敏感信息的預(yù)警標(biāo)簽,從信息處理的實體和程序要求上提供更加嚴(yán)格的保護,才能夠全面提升對敏感信息的保護水平。
?。ǘ钠髽I(yè)經(jīng)濟成本視角看個人信息區(qū)分的必要性
網(wǎng)絡(luò)信息化社會的個人信息存在兩種最直接的利用價值: 商業(yè)利用價值和公共管理價值。個人信息保護法需要在個人信息保護和個人信息的利用、信息自由之間獲得平衡??疾靷€人信息保護制度的發(fā)展歷程,不同國家和地區(qū)制度設(shè)計的主線是個人信息自主模式的發(fā)展,這種模式的實現(xiàn)倚重于“通知—同意”的程序性機制設(shè)計:信息收集前通知信息主體,信息主體同意后方可收集和使用信息。我國的法律規(guī)定亦大體如此,對于信息的取得,從《消費者權(quán)益保護法》到《網(wǎng)絡(luò)安全法》均構(gòu)筑了以同意規(guī)則為中心的信息保護模式。
但是,信息自主模式和同意規(guī)則在近些年受到諸多質(zhì)疑,有學(xué)者認(rèn)為,冗長而復(fù)雜的隱私條款,不加區(qū)分的同意,增加了消費者的同意成本,造成“實踐中適用同意規(guī)則流于形式”,也提高了互聯(lián)網(wǎng)企業(yè)的合規(guī)成本,給企業(yè)造成沉重負(fù)擔(dān),且嚴(yán)重阻礙了數(shù)據(jù)流通,制約了企業(yè)對數(shù)據(jù)價值的開發(fā)利用。
與之相比,《個人信息保護指南》與《個人信息安全規(guī)范》的規(guī)定則相對合理。兩者的基本觀點一致,即在對個人信息作層級區(qū)分的基礎(chǔ)上,對個人敏感信息和一般信息的收集分別采取明示和默示同意的規(guī)則。對個人信息予以區(qū)分、并對不同信息收集予以區(qū)別式對待,或許無法根治同意規(guī)則的痼疾,但至少能緩和僵硬的明示同意帶來的弊端,在一定程度上降低企業(yè)的合規(guī)成本,并同時發(fā)揮保護個人敏感信息的作用,更好地平衡個人信息保護與利用的關(guān)系。
?。ㄈ膰H國內(nèi)立法經(jīng)驗看個人信息區(qū)分的可行性
各國歷史發(fā)展、文化背景、意識形態(tài)互不相同,決定了不同國家國民對信息的敏感度不盡一致。但是,越來越多的國家或地區(qū)在定位于保護個人尊嚴(yán)、基本人權(quán)和自由的個人信息保護法中,對事關(guān)個人尊嚴(yán)、容易引發(fā)歧視的敏感信息作出特殊保護。而這些立法關(guān)于個人敏感信息的種類及其認(rèn)定的方法的規(guī)定,為我國立法提供了可資借鑒的經(jīng)驗。
我國現(xiàn)行法規(guī)、司法解釋已朝分類立法邁開步伐,并逐漸積累立法經(jīng)驗,并且,這種區(qū)分已在司法實踐中得到體現(xiàn)。對我國未來區(qū)分立法更具直接參考價值的是《個人信息保護指南》和《個人信息安全規(guī)范》等國家標(biāo)準(zhǔn),標(biāo)準(zhǔn)日臻全面且貼合中國實際,且這兩個國家標(biāo)準(zhǔn)對個人敏感信息和個人一般信息作出了明確區(qū)分,其就個人敏感信息的種類、收集要求、保護的技術(shù)支撐等多方面的規(guī)定使我國未來的立法更具可行性。
三、個人敏感信息界定方法的構(gòu)想: 法律列舉輔之綜合考量
?。ㄒ唬﹤€人敏感信息的界定方法
綜觀國際條約和不同國家及地區(qū)的個人信息保護立法,個人敏感信息的界定方法大體可分為法律列舉模式和綜合考量模式兩種: 法律列舉模式是根據(jù)個人信息的內(nèi)容對敏感信息的種類予以列舉,主張基于某些資料的性質(zhì),如“可對基本自由和隱私造成侵害”“引發(fā)歧視”“很可能傷害到個人之權(quán)利與利益”等,立法須禁止對其收集、處理和利用。法律列舉模式是個人敏感信息立法的主流;綜合考量模式反對基于信息的性質(zhì)界定個人敏感信息,主張綜合數(shù)據(jù)處理的情境、目的等因素來判斷信息是否敏感。其中,又有“情境說”和“目的說”兩種不同的主張?!扒榫痴f”主張個人信息是否敏感并不取決于內(nèi)容,而是根據(jù)其情境。“目的說”主張,考慮敏感性時應(yīng)關(guān)注處理個人數(shù)據(jù)的目的。
?。ǘ﹥煞N界定模式的評析與我國宜采納的方法
法律列舉模式被普遍采用,其優(yōu)點在于信息控制人或信息主體能迅速根據(jù)法律規(guī)定判斷哪些信息被“禁止收集、處理和利用”或須遵循更為嚴(yán)格的信息保護原則,有利于信息得到切實保護;其缺點在于信息的內(nèi)容與形式都會隨科技發(fā)展、社會變遷而發(fā)生變化,并且,由法律規(guī)定和判斷信息是否敏感的立法方式并未考慮信息主體的個人意見和感受,既可能保護過度又可能保護不足。
我國已頒布的國家標(biāo)準(zhǔn)對個人敏感信息采取的是定義加列舉的方式,這是需要肯定的,也是值得未來我國個人信息保護法繼續(xù)采納的方法。未來,我國的個人信息保護法可借鑒域外綜合考量模式作為補充,規(guī)定: 在具體個案中,即使不是法律明文列舉的個人敏感信息,也可依信息處理的特殊情境和目的,由特定機構(gòu)來判斷究竟是否屬于敏感信息。
四、個人敏感信息的種類設(shè)想:以敏感度為重點考量因素
(一)域外個人敏感信息的主要種類及新發(fā)展
在域外立法中,《有關(guān)個人數(shù)據(jù)自動化處理的個人保護協(xié)定》將種族、政治主張、宗教或其他信仰以及與健康、性生活或刑事判決有關(guān)的個人數(shù)據(jù)列為敏感信息;歐盟《個人數(shù)據(jù)保護指令》增加了“工會會員”,但無“刑事判決”內(nèi)容,且這一規(guī)定日后成為了歐盟及其他許多國家和地區(qū)立法的基礎(chǔ)樣板。近年來,各國對個人敏感信息種類的界定也出現(xiàn)了新的動向,一些原本不屬敏感的信息逐漸步入敏感信息系列,主要體現(xiàn)在基因信息、生物特征信息、金融信息等方面。
美國學(xué)者Paul Ohm在對歐美個人敏感信息清單作出詳盡考察之后,歸納出確立個人敏感信息的四大因素: 傷害的可能性、引發(fā)傷害的幾率、信任關(guān)系的存在、是否屬多數(shù)人關(guān)心的風(fēng)險,并提出了“多重因素檢測”的觀點。參考此觀點,筆者提出如下判定個人敏感信息的考慮因素: (1)泄露該信息是否會導(dǎo)致重大傷害;(2)泄露該信息給信息主體帶來傷害的幾率是否非常大;(3)特定社會大多數(shù)人對某類信息的敏感度。
(二)我國個人敏感信息種類之設(shè)想
結(jié)合2016年7月至2018年8月,筆者在上海等地進行個人信息敏感度調(diào)查數(shù)據(jù),并基于上述列舉的確立個人敏感信息的三個考量因素,筆者將個人敏感信息定義為 “一旦泄露或濫用,極易危及人身、財產(chǎn)安全或?qū)е氯烁褡饑?yán)受到損害、歧視性待遇的個人信息”。結(jié)合上文對相關(guān)立法和學(xué)說的分析及調(diào)查收集的數(shù)據(jù),筆者建議將以下個人信息列為個人敏感信息: (1)健康信息;(2)性生活和性取向;(3)身份證件號碼;(4)金融信息;(5)政治意見;(6)通訊信息;(7)基因信息;(8)生物特征信息;(9)精確地理位置。
結(jié) 語
我國個人信息保護的規(guī)定散見于不同位階的規(guī)范性文件中,個人信息的種類區(qū)分在《個人信息安全規(guī)范》等國家標(biāo)準(zhǔn)中已得到明確體現(xiàn),但分散的規(guī)定相互沖突。無論是從個人信息敏感度視角還是從企業(yè)成本視角考慮,未來我國個人信息保護法都有必要對個人信息進行類型化區(qū)分,以減少目前因政出多門而產(chǎn)生的混亂、重復(fù)和抵牾之弊,并且,在為敏感信息提供更嚴(yán)格保護的同時,更好地平衡信息保護和信息自由的關(guān)系。關(guān)于個人敏感信息的界定方法,可繼續(xù)采取定義并列舉的基本方式,此外,建議將綜合信息處理的情境和目的作為認(rèn)定敏感信息的補充,在個案中,由特定機構(gòu)來判斷某個人信息是否為敏感信息。關(guān)于個人敏感信息的具體種類,建議結(jié)合泄露該信息是否會導(dǎo)致重大傷害、給信息主體帶來傷害的幾率、社會大多數(shù)人對某類信息的敏感度三個考量因素,將健康信息、性生活和性取向、身份證件號碼、金融信息、政治意見、通訊信息、基因信息、生物特征信息和精確地理位置列為個人敏感信息,同時,考慮到未來技術(shù)的發(fā)展變化,為一些特殊信息的保護預(yù)留空間。