敏感资料的范围与认定

二、敏感资料的范围与认定

(一)敏感资料所关涉的事项

1.敏感资料关涉事项的范围

在敏感资料的规定上，国内法与国际立法多单列条款禁止处理敏感资料，并列明一系列特别容易侵害个人隐私的事项，或在“定义”一条中明确界定敏感资料所涉事项的范围。上文已经提及《资料保护公约》中特殊类型的资料所关涉的事项。《资料保护指令》扩大了事项的范围，将透露种族、民族本源、政治观点、宗教信仰、世界观、工会关系以及与健康和性生活有关的个人资料均界定为敏感资料。^[431]除指令所列的事项外，芬兰、希腊和意大利法将有关个人团体成员关系的信息视为敏感资料;比利时、爱尔兰、荷兰、西班牙、瑞典和英国法将刑事犯罪资料明确认定为敏感资料;葡萄牙、卢森堡与荷兰法将个人基因资料直接或间接的纳入敏感资料的范畴;丹麦、芬兰、法国、希腊、荷兰与葡萄牙等国还将纯粹的私人事项、个人信用或负债情况视为需要特殊保护的资料。

2.敏感资料关涉事项的解释

即使规定了相同的事项，各国在解释和认定事项上的做法也不尽一致。例如，法国并未把国籍认定为敏感资料，只是要求更加谨慎地加以处理。根据奥地利法，国籍也不属于敏感资料，其敏感性低于敏感资料但高于一般资料。丹麦法的立场最为激进，它扩大解释了个人的种族和民族本源，并将国籍纳入其中。^[432]如上所述，基因资料在葡萄牙和卢森堡法中为个人健康资料，并因此属于敏感资料，而其他国家的资料保护法多未对基因资料作出明确的归类。随着基因资料运用范围的拓展及其重要性的提升，越来越多的国际和国内法将其纳入了个人健康或医疗资料的范畴。例如，欧洲理事会《关于医疗资料保护的建议》、奥地利及欧盟外的冰岛、挪威和瑞士等国均将基因资料视为个人健康或医疗资料。^[433]

3.敏感资料所关涉事项范围的立法变更

资料的敏感性同一国的科技水平、社会发展和风俗习惯密切相关，这些因素要求根据具体需要适时适当地规定敏感资料的范围。除通过法律解释间接掌控敏感资料的外延外，很多国家还采取了动态的策略，主张成文法列明的事项并非穷尽性的，应根据科技进步、社会发展以及资料处理的具体情况，修正立法，增减敏感资料的范围。例如，鉴于个人工会关系信息影响到个人平等与雇佣关系中的非歧视原则，芬兰与荷兰法直接将其纳入敏感资料的范畴中;而在其他国家只有当工会关系关涉政治观点和宗教信仰时，它才具有敏感性。^[434]又譬如，关于个人财产和经济状况的资料具有较强的私密性，但政治、经济和社会体制的沿革要求处理更多、更准确、更及时的此类信息来评定个人的信用。为此，葡萄牙将个人财产和经济信息从敏感资料中删除。^[435]相反，基因资料的运用范围日趋广泛，且对个人隐私、基本权利和自由构成的风险也逐步增大，不少国家将其直接或间接地纳入了敏感资料的范畴。

(二)敏感资料的认定

1.敏感资料关涉的事项同敏感资料间的关联

对于敏感资料关涉的私人事项同敏感资料之间的关联，国际和国内法的规定不尽一致。采纳《资料保护公约》的做法，《资料保护指令》对种族、民族本源、政治观点、宗教信仰、世界观、工会关系，使用了“透露”一词，而对健康和性生活，它使用了“与其相关”。^[436]法国、意大利、德国和英国法则分别使用了直接或间接地透露、能够透露、关涉、含有等字眼。各国对私人事项与敏感资料之间的关系所使用的不同字眼，可能影响敏感资料的认定。例如，个人的网页浏览信息(Clickstream Data)可能不关涉、关于、涉及或包含敏感的个人资料，但它们可能透露个人的性偏好。这可能也是法国法使用“直接或间接透露”私人事项的原因。^[437]

2.资料处理的具体情形与敏感资料的认定

个人资料的敏感性不仅取决于资料关涉事项所具有的敏感性质，还取决于信息所处的特定情形和环境。在西米迪斯(Spiros Simitis)教授看来，敏感性不是资料与生俱来的特性，任何资料根据资料处理的目的或具体情形都可以具有一定的敏感性。^[438]对所有资料，均需根据资料处理的背景和具体情形限定其使用。为此，资料控制者的利益、资料接收者、收集和处理资料的目的、资料处理的特定情形以及资料处理对有关当事方的影响等，均应被用于认定资料的敏感性。例如，基因资料和刑事犯罪资料对资料当事人造成损害的风险大小不仅取决于其自身的特性，更取决于对特定资料处理操作中相关因素的整体考量。评定声音和图像资料的敏感性，应考察它们包含的信息，倘若信息透露个人种族或与性行为相关，它们就具有敏感性。同样地，不论其形式如何，评定个人身份标示符的敏感性，如基因指纹、社会保障号码和个人身份编号等，也应考察相关的具体情形。

日新月异的科技要求在认定敏感资料过程中重点考量资料处理的特定情形。^[439]例如，互联网创造了新型的个人资料，它们也可能反映敏感资料涉及的事项，如个人网页浏览信息可能透露个人的性偏好。同时，互联网还为敏感资料的散播提供了平台，如个人宗教信仰信息一旦在网页上公开，即可供任何人查阅。在欧洲法院的Lindqvist案中，^[440]被告为瑞典一教堂的兼职人员。未经有关个人同意，被告在其个人网页上发布了关于教堂成员的信息，如他们的姓名、工作、兴趣爱好和电话号码等，其中包括关于一名同事弄伤了脚并以疗伤为由只工作半天的信息。瑞典法院认定被告非法处理个人资料，特别是未经申报和批准非法处理敏感资料，并向境外转移资料为依据，根据国内法对被告作出了相应的判罚。被告不服，提起上诉。上诉法院请求欧洲法院对案件涉及的《资料保护指令》条款作出解释，其中就包括同事脚伤和以疗伤为由只工作半天的信息是否属于指令第8条(1)所指的敏感资料。欧洲法院对健康资料作出了扩大性解释，认定其包括与个人生理和心理健康状况各方面有关的信息。关于同事脚伤和以疗伤为由只工作半天的信息属于指令第8条中与健康有关的敏感资料，需要特殊的保护及更严格的处理程序。法院对健康资料作出扩大性的解释无可厚非，但为何脚伤信息相对于其他信息，如个人兴趣、爱好和电话号码等，需要特殊的保护呢?^[441]