论个人信息处理者的民事责任.docx
《论个人信息处理者的民事责任.docx》由会员分享,可在线阅读,更多相关《论个人信息处理者的民事责任.docx(10页珍藏版)》请在课桌文档上搜索。
1、论个人信息处理者的民事责任现代科技对人们的行为方式产生较大影响,有如波丝尼(KarlPolanyi),格兰诺维特(MarkGranoVetter)的“嵌入理论,科技正在以绝对强势地位嵌入、煎覆乃至重塑人类的行为模式。在经济迭代与规模化的平台经济出现以后,即便是“原子化”的个体也别无选择,只能主动或(更多是)被动地卷入其中。尽管个体从事的活动各异,但却都存在自身信息被收集、利用与存储等事实,如何保护此种处于“静态或动态1的个人信息以及如何规制信息相关主体的行为,成为信息时代面临的一个宦要议题。根据谷歌书籍词频统计器(GoOgIeBookNgramVieWer)显示,个人识别信息”(PerSOna
2、llyidentifiableinformation)自1992年开始就成为一个越耒越流行的术语。(I)PaUlM.Schwartz&DanielJ.Solove1ReconcilingPersonalInformationintheUnitedStatesandEuropeanUnion,102CaliforniaLawReview877,887(2014).围绕个人信息是否具有可识别性二将个人信息与人、人格、财产等基本命题在事实上与逻辑上紧密联系起来,并在相当程度上推动了世界范围内个人信息保护的立法热潮。中国近年来在制定或修订相关法律之时都十分重视个人信息保护问题。(2)网络安全法电子商务
3、法与消费者权益保护法之中均有相关个人信息保护的规定。2020年5月通过的中华人民共和国民法典在人格权编中专门规定了个人信息保护,首开世界范围内民法(典)或私法中特别规定个人信息保护之先河,此举在世界私法史上亦可图可点。酝酿了若干年之后,2020年10月个人信息保护法(草案)的推出,更将中国的个人信息保护推至高潮。中国的个人信息保护立法相较于世界其他国家和地区,所处时代背景与发展阶段皆不相同,因此所面临的难题与所要解决的问题也不尽相同。尤其在“个人一个人信息处理者”之两造关系中,以“可识别性-为个人信息的核心构成,更使得相对方主体的一系列义务与保护的开关始终处于“打开”状态。(3)同前注(1),
4、PaUlM.Schwartz&DanieIJSoIOVe文。鉴此,观察个人信息处理者的法律责任十分重要,此种法律责任,或可构迨为一定体系,或可在不同“横截面”构迨为一定“子体系”,并在相当程度上成为完善个人信息权利体系之重要的“反作用力”,殊值重视。一、个人信息处理者的界定由个人信息的产生、传递与流动的本质特征所决定,与个体发生联系的若干主体可抽象概括为“信息控制者.与信息处理者工世界范围内,隐私与个人信息立法以美国和欧盟为基础标杆,其他国家和地区分别在不同的法域之内紧跟或对标相应立法。美国和欧盟二者之问事实上也形成L种个人信息保护立法的竞争局面。而正如格林里夫教授(GrahamGreenIe
5、af)所指出的,美国隐私法在世界上的影响力远不如欧洲数据隐私法的影响力,可以合理坨描述为“欧洲标准的数据隐私法正在逐渐成为世界其他国家相关立法的标准。(4)GrahamGreenleaf,TheInfluenceofEuropeanDataPrivacyStandardsOutsideEurope:ImplicationsforGlobalizationofConvention108,2InternationalDataPrivacyLaw68,77(2012).中国作为深受大陆法系法律理论影响的国家,在个人信息保护立法的观念与制度上也一定程度上受到欧盟立法的影响。然而吊诡的是,中国法恰恰在个
6、人信息基本主体慨念上与欧盟颇为不同,民法典历次草案与正式文本以及个人信息保护法(草案)中的个人信息相关主体的表述均不相同。对这一基础主体杨念的不断修改,反映出立法者对个人信息欠理活动的认识不断加深并逐渐体现出立法的着重面向。然而,对于基本主体概念的规定,并非单一的法技术问题,而关涉立法者对于社会事实的认识、对法观念的总结提炼以及能否实现立法的前瞻性等诸多问题,不能简单视之。既如此,认识与界定个人信息处理者,是个人信息保护立法与解释的基础工作之一。(一)信息控制者VS.信息处理者对于事物概念的确定,既是一个认识事物本质的过程,同时也是一个思维形成的过程。黑格尔在说明概念与事物之间的关系时认为,“
7、当我们要谈论事物时,我们就称它们的本性或本质为它们的概念,而概念只是为思维才有的”,我们的思维必须依照就念而限制自己,而概念却不应依我们的任意或自由而调整(5)德黑格尔:逻辑学(上卷),杨一之译,商务印书馆1996年版,第1213页。在立法概念选择的时候,立法者依然面对如何认识事物和如何选择概念的双重难题。中国的个人信息保护立法,也同样面临上述认识与选择的方法论难题。中国在制定民法典和个人信息保护法(草案)的个人信息保护规则之时,在法技术层面不同程度地借鉴欧美国家的经脸。然而,正如施瓦茨(PaUlM.Schwartz)和索罗夫(DanieIJ.Solove)所言,“美国和欧盟在隐私法方面分歧很
8、大。在基本层面,二者的基本理念哲学不同:在美国,隐私法的重点是救济对消费者的损害以及平衡隐私与高效的商业交易之间的关系;在欧盟,隐私权被认为是一项基本权利,可以凌驾于其他利益之上。甚至在确定信息立法调整范围的边界等问题上,美国和欧盟的做法也完全不同。个人信息的存在通常被称为个人识别信息一触发了隐私法的适用。(6)同前注(1),PalJlM.Schwartz&DanielJSoIove文,第877页。美国关于隐私权理论探索较早,对世界产生较大影响,如何界定个人信息,在美国法上经历过较为激烈的讨论。主要通过三种方式界定个人信息,包括:同义反贪(tautological)、非公开(nonpublic
9、)以及具体类型(SPeCifi(HyPeS)=(7)所谓“同义反复(tautological)的方式,主要是指美国隐私法通过简单地定义个人的”作为任何识别个人身份的信息的标准,在表达上就是“个人信息是个人的信息”的一种同义反复,将其作为界定个人信息的方法,实际上在美国国内也遭受到一定批评。同前注(1),PaUlM.Schwartz&DanielJSoIove文,第888页。后来经不断发展,美国法上系将隐私权与个人信息保护等统一归至隐私法这一笼统概念之中,与欧洲的人格权理论与个人信息保护理论的“二分法”截然不同。相较美国法,欧盟立法相对更为清晰,这也就是为何欧盟的个人数据保护法更易于“输出1并成
10、为较为通行的“世界标准”的重要原因之一。从中国目前为于民法典个人信息保护的解择论和个人信息保护法(草案)的立法论角度来看,中国个人信息保护立法一定程度上参考借签了欧盟相关立法,包括一些基本规则和权利义务体系等方面。然而,如本文所讨论的,实证法恰恰并未将个人信息保护中涉及的关键主体信息控制者一这一概念纳入。事实上,信息控制者并非一个简单的概念选择问题,也并非一个比较法意义上的形式上的“规则借鉴问题,而是涉及对于个人信息保护活动通盘理解的问题。“控制者”这一概念,主要应依循欧盟立法的脉络来理解。控制者(COntrOlIer)最早见诸于欧盟95/46/EC指令(1995年10月),后在欧盟2012年
11、拟议的一般数据保护条例(GeneralDataProteCtionRegUIation,GDPR)以及2016年通过的一般数据保护条例(GDPR)中延续使用。施瓦茨和索罗夫曾指出:“事实上,从欧盟95年指令开始,欧盟立法就已经为数据主体提供了对于他们自身数据使用的一种控制权。(8)同前注(1),PaulM.Schwartz&DanielJ.Solove文,第883页Il而此处所谓的控制权,又与大陆法系典型国家的信息自决”理论紧密相联。德国基本法第2条第1款确定了人格自由发展的权利。而个人信息对于人格构建和发展具有决定性的意义,信息自决”(informationelleSelbStbeStimm
12、Ung)则是实现对个人自由发展的重要方式。VgLChriStoPhMallmann1DatenschutzinVerwaltungsinformationssystemen,Munchen,1976,S.54ff.转引自谢远扬:信息论视角下个人信息的价值兼对隐私权保护模式的检讨,栽清华法学2015年第3期,第102-103页。此种信息自决观念将个人信息与人格权有效联系起来,并进而影响了个人信息保护的法律建构。信息自决”应有之意是个体能够决定自身信息的使用,即产生一种控制”。殊值辨识的是,以“信息自决”为出发点的对个人信息的控制”并不等于封个人信息的1控制权,由于权利本身包含一种实践面向,而个人
13、事实上无法享有对个人信息的绝对性、排他性的(全程)控制权,因此前述施瓦茨和索罗夫的观点也有不周延之处。当然,他们时于欧盟个人信息保护法的特征总体上有较好的把握与判断,这也就在相当程度上解释了,由于个人信息的产生、传递与流动等特征,当信息流动到与个体相对的主体,并由该主体进行控制”之时,由于个体享有“信息自决而并未丧失自己对信息的“延伸控制控制理念贯穿始终。比如,个人享有知情权,即可以在一定程度上控制关于收集到的他们的数据的去向,(IO)FrancoiseGilbert,ABirds-EyeViewofDataProtectioninEurope,24ABAGPSolo31,32-35(2007
14、).个人信息保护立法以“控制”为核心贯穿以个人信息为客体的一系列行为,当个人信息“脱逸”个体之后,能够控制信息的主体则是事实上占有信息的“控制者工这也就是为何在欧盟一般数据保护条例中,信息控制者才是与个人直接相对的义务主体,而并非信息处理者。而控制者的核心活动与其主要活动有关,而与作为辅助活动的个人数据处理无关。在控制者客观控制数据的基础上,又进一步发展出“目的限制”原则,允许控制者评估为最初收集数据的目的以外的其他目的处理个人数据是否享有这样的依据,而这种依据并非基于法律或数据主体的同意。(11)W.GregoryVoss,EuropeanUnionDataPrivacyLawReform:
15、GeneralDataProtectionRegulation,PrivacyShield,andtheRighttoDelisting,72TheBusinessLawyer221,224(2017).在欧盟法的脉络下,信息控制者的概念绝非仅依立法而产生,而系与欧洲法长期关注与持续发展人格自由、信息自决等法思想、法理念紧密相关。信息处理者则是为了数据控制者而处理个人数据的主体,其行为与活动虽然具有相对独立性,也并非控制者的附庸,但在地位与角色上确实无法与控制者相提并论.二者的关系既反映出欧盟法的特色,同时也体现出个人信息活动本身的核心特征反观中国法,遗惕的是,信息控制者”这一概念在民法典制定
16、过程中仅昙花一现,最终并未进入正式文本之中,这就有必要在中国法的“偶然与“必然之中进一步解释个人信息处理者的内涵,及其所辐射的制度脉络以及所反映的制度意旨。(二)中国立法演进中的“个人信息处理者”黑格尔认为,考察存在和本质的客观逻辑,真正构成了概念发生史的展示。(12)参见德黑格尔:逻辑学(下卷),杨一之译,商务印书馆1976年版,第240页。客观而言,中国确实不存在如欧洲国家的信息自决观念的历史影响,因此即便是撤却已有概念,转而选择创设全新概念,也未尝不可。问题的关键在于,基本概念应起到贯穿制度核心脉络的作用,或重塑制度自身特征的作用,只有有意识循此设计制度,才能实现制度初衷,否则将会使制度
17、变得空洞而无法实施。信息相关主体在历次法律草案与规范性文件中的表述,几无统L者,而最终民法典中改称信息处理者的表述,或有突袭之感,这也给如何解春信息处理者的地位与作用带来一定困难。表:法律法规、规范性文件中的信息相关主体从目前巳公开的官方立法资料来看,对于上逑概念变化并无特别说明。从概念表述与体系解春耒看,大致可从以下几方面理解与建构:第一,“信息处理论”吸收“信息控制论。从概念使用来看,在制定法并未采用信息控制者这一概念之时,而仅使用信息处理者这一概念。通过体系解释,信息处理论”表达为一系列客观的处理方式以及个人信息处理者的自主决定权利,这实际上也涵盖了包括有决定能力的控制者的一系列行为。立
18、法阶段的终结,使信息处理者这一概念成为一种既定事实,后续研究和实践也只能在此基础上遂行解释。第二,非控制论之下的,信息自决”的贯穿。欧盟法脉络下的人格、信息自决与个人信息控制之间存在观念上与逻辑上的联系。尽管中国法并未选择以控制者为核心的信息控制论”,但是无论是解释民法典的相关规定还是个人信息保护法草案(一审稿、二审稿)第44条中明确规定的“个人对其个人信息的处理享有知情权、决定权,已经较为明确地规定了“信息自决”或.个人信息自决权工可见,即便立法选择了信息处理论或非控制论,但也仍然是选择了“信息自决”这一法价值,之后的法律体系构建或规则创设也仍然遵循此价值。第三,跨法系基本,概念的对话基础。
19、欧盟个人数据保护立法在某种程度上作为一种国际标准,信息控制者也基本上成为一个通行概念,而中国立法之时仅选择使用信息处理者这一柢念,这就带来一个国际对话基础以及法律适用上的问黑。在数据面临跨境流动以及国内企业海外合规与外国企业在中国合规之时,都要面临概念转换与系列制度的理解问题,这在一定程度上增加了解养成本。因此,如何在制定个人信息保护法之时再进一步加强信息控制理念,使之与“信息自决”理念相协调,不辨不遹盘考虑,此谓周全之道。(三)个人信息处理者的具体类型信息时代与智能时代的首要特点就是信息呈规模化,以网络平台为代表的主体获取大量个人信息。个人信息保护与个人信息利用,二者表现为静动之分并体现不同
20、价值取向,但二者实质上却是一种“价值合流”一安全。因此,个人信息处理者也是在安全价值指引下保护个人信息。个人信息处理者成为法律上的特定主体,预设的前提即该主体有能力保护个人信息安全,防范个人信息风险。尽管民法典适用于所有平等民事主体,但个人信息处理者由于其活动普要一定的物质和技术条件并负有较多义务,而在主体范围界定上有所限缩,并非所有民事主体均能成为个人信息处理者。这一点也符合国际通行规则,比如GDPR第30.5条规定控制者的责任不适用于雇员少于250人的经济主体或组织。有学者也认为:个人信息保护法的义务主体具有特殊性,不是任何组织或者个人这样的一般主体。(13)参见周汉华:个人信息保护的法律
21、定位,徽法商研究2020年第3期,第50页。在此基础上,实践中的个人信息处理者的具体类型大致包括以下主体。第一,网络服务提供者。在中国法项下,提供网络服务的主体被概括为网络服务提供者。在立法与实践中,涉及网络安全、电子商务等不同领域之时,也以不同主体称谓指代。在经济迭代转型出现平台经济之后,平台主体也往往成为一种经济学上的较为通行的主体称谓。当下个体购物、社交等行为基本上均以网络平台为中介,个人信息的收集、存储、使用、加工等行为也集中于平台之上。大规模的网络平台的出现,其相对于个体或消费者的强势地位,加剧了传统上经营者与消费者之问的交涉能力不平等。本次个人信息保护法草案(二审稿)第57条增加规
22、定了提供基础性互联网平台服务主体的特别义务。由此,网络服务提供者是最为典型的个人信息公理者,最终的实际运营主体应承担个人信息保护等义务。第二,公共机构。国家机关等公共机构也存在大量收集个人信息以及利用等行为。个人信息保护法(草案)第二章笫三节专门规定了第三节国家机关处理个人信息的特别规定”,但是除国家机关之外,还包括公共企事业单位也存在大量收集个人信息等行为。因此,包括国家机关在内的公共机构都应成为个人信息保护法上的个人信息处理者。当然,也有学者认为,国家机关作为信息处理者具有公共性、法定性、垄断性、强制性等特点,与以私人机构作为个人信息处理者为设想场景的个人信息保护法明显不同,未来还应当制定
23、一个特别的规则耒调整国家机关处理个人信息的行为。(14)参见王锡锌教授的发言,个人信息保护法的待解难题,如何约束规范国家机关对信息的收集处理,载21世纪经济报道2021年3月24日。从目前来看,国家机关等公共机构在中国法上仍规定为个人信息处理者。第三,线下经营主体。数字经济改变了人们的行为方式,线上交易与网络社交成为主要方式,但仍存在大量线下非网络平台主体收集、利用个人信息等情况,这些主体应系个人信息处理者。同时,实践中也存在经营者线上线下信息共享等情况,有些情形可能会侵害消费者的个人信息。(15)参见俞某诉北京乐某达康科技有限公司等网络侵权责任纠财案,(2018)京0108民初字第13661
24、号民事判决书。就此,线下经营主体也是典型的个人信息处理者。对于个人信息处理者的界定,不仅仅是一种就念理解或者类型识别,在个人一信息控制者-个人一(个人)信息处理者的两造关系中,更应理解“信息自决”脉络下的个人对于自身信息的“是伸控制。在此基础上构建个人信息处理者的民事责任体系,并且解释相应主体承担民事责任的机理,是为基础,更是必要前提。二、个人信息处理者侵害个人信息的民事责任个人信息保护呈现跨公私法域特征,有其自身相对独立的发展脓络,并非民法的特别法,法律责任也包括民事责任、行政责任和刑事责任。个人信息作为体现人格权益与人格发展的重要载体,在创设1信息自决”的观念与制度之下,如何实现个人对自身
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 个人信息 处理 民事责任

链接地址:https://www.desk33.com/p-717328.html