利用职务之便出卖涉密资料获刑

第二节　非国家机关的利用要件

一、非国家机关利用个人信息的法律要件

非国家机关对个人信息的利用，受以下要件的严格限制。

(一)资格要件

非国家机关收集和利用个人信息，须取得国家确认的资格。我国台湾地区“资料法”第19条规定:“非公务机关未经目的事业主管机关依本法登记并发给执照者，不得为个人资料之搜集、电脑处理或国际传递及利用。”

(二)特定目的要件

非国家机关利用个人信息必须严格按照收集目的利用，不得超出目的范围进行利用。我国台湾地区“资料法”第23条规定:“非公务机关对个人资料之利用，应于搜集之特定目的必要范围内为之。”而国家机关对个人信息的利用，原则上应于收集的特定目的必要范围内利用，这实际是要求非国家机关按照“目的限制原则”的要求利用个人信息，不得任意突破该原则的限制。我国台湾地区“法务部”1996年公布的“电脑处理个人资料数据保护法之特定目的”列举的“特定目的”共有101项，涉及范围十分广泛，包括营销业务、保险业务、咨询服务业务等。非国家机关利用所收集的个人信息，除了满足特定目的要件外，同时必须满足第19条第1项“依法登记并取得执照后”的规定。

二、主管机关的限制与四大限制性要件

非国家机关的主管机关基于法定的重大事由，可以对非国家机关利用个人信息予以限制。由于法律对非国家机关的限制，实质上是剥夺了非国家机关对个人信息的处理和利用权力，因此，非为重大并且法定的事由，主管机关不可以为之。我国台湾地区“资料法”第24条规定:“非公务机关为国际传递及利用个人资料，而有下列情形之一者，目的事业主管机关得限制之。(1)涉及国家重大利益者。(2)国际条约或协定有特别规定者。(3)接受国对于个人资料之保护未有完善之法令，致有损害当事人权益之虞者。(4)以迂回方法向第三国传递及利用个人资料规避本法者。”

可见，主管机关对非国家机关利用个人信息进行限制的四大要件包括:

第一，国家重大利益。涉及国家重大利益的，主管机关可以限制个人信息利用。

第二，国际条约的固定。国际条约或协定有特别规定的，从其规定。

第三，接受国条件。接受国对于个人信息保护的不足，比如没有完善的立法，也没有建立相应的自律保护机制，可能导致信息主体权益损害的，主管机关可以限制传递。

第四，法律规避。以迂回的方法，向第三国传递个人信息，其目的是为了规避本国法律规定的，主管机关可以限制传递。

三、非国家机关目的外利用的六大要件

法律对非国家机关的目的外利用的规范，比国家机关进行目的外利用更加严格。因此，非国家机关即使具备许多国家机关目的外利用的条件，也不可进行目的外利用。我国台湾地区“资料法”第8条规定了国家机关目的外利用的九大要件:(1)法令明文规定者;(2)有正当理由而仅供内部使用者;(3)为维护国家安全者;(4)为增进公共利益者;(5)为免除当事人之生命、身体、自由或财产上之急迫危险者;(6)为防止他人权益之重大危害而有必要者;(7)为学术研究而有必要且无害于当事人之重大利益者;(8)有利于当事人权益者;(9)当事人书面同意者。我国台湾地区“资料法”第23条规定了非国家机关目的外利用的四大要件:非公务机关对个人资料之利用，应于搜集之特定目的必要范围内为之。但有下列情形之一者，得为特定目的外之利用。(1)为增进公共利益者;(2)为免除当事人之生命、身体、自主或财产上之急迫危险者;(3)为防止他人权益之重大危害而有必要者;(4)当事人书面同意者。可见，国家机关目的外利用的九大要件，缩减为非国家机关目的外利用的四大要件，这在一定程度上是符合对非国家机关应给予更加严格的限制的国际立法惯例，但具体立法又有偏差。首先，法律法规一般不会对非国家机关的目的外利用做出特别的明文规定，非国家机关一般也不涉及国家安全的主动维护问题，因此对于非国家机关的目的外利用并无法律法规明确规定要件和国家安全要件。而国家机关的内部使用要件则更不适合非国家机关，因为国家机关的内部使用要件主要是为了提高行政效率，对信息主体的权益进行了限制。而非国家机关(比如商业机构)对个人信息的利用，是以营利为目的，如果允许商业机构以内部使用为由而进行目的外利用，则等于在事实上放弃了目的限制原则。当事人权益要件实则是一个空泛的、裁量度过大的要件，此种裁量权不应赋予商业机构，否则后果将出乎立法的预设。商业机构会以广告的投发是为了信息主体的权益为由，对目的外利用个人信息进行抗辩。而将学术研究要件从非国家机关的目的外利用要件中排除，没有科学根据。《德国资料法》第28条第(2)款关于目的外利用的规定也将学术研究作为非国家机关目的外利用的一个要件。并且，法律和政策明确规定要件应列入，以扩大法律的调整范围。

因此，笔者认为，非国家机关目的外利用个人信息的选择性要件应该为六大要件，分别为:

第一，法定要件。即目的外利用必须有直接的法律规定。

第二，公共利益要件。该要件内容和国家机关目的外利用完全一致，应为增进公共利益。

第三，免除信息主体的紧迫危险要件。该要件内容和国家机关目的外利用完全一致，为免除信息主体的生命、身体、自由或财产上的急迫危险，非国家机关可以为目的外利用。比如，信息主体以住宿目的向酒店提供个人手机号码，而次日离店后，酒店人员发现其公文包遗失在房内，于是利用其为联系住宿而留下的手机号码进行联络的行为，就是为了免除信息主体财产的急迫危险而为的目的外利用，应为合法。

第四，防止他人重大危害要件。该要件内容和国家机关目的外利用完全一致，为防止他人权益之重大危害而有必要的，非国家机关可以为目的外利用。

第五，学术研究要件。该要件内容和国家机关目的外利用完全一致，为学术研究而有必要且无害于信息主体的重大利益的，非国家机关可以为目的外利用。如果所利用的个人信息是关于一组人的，信息主体仅为其中之一，那么关于该组人的职业或商业的类型以及身份信息的传输，不会被认为会损害信息主体的合法利益。但是，对健康信息、犯罪记录以及宗教或政治观点等敏感个人信息的传输，应认定危及信息主体的合法权益。但为研究机构进行学术研究的利益所必要，并且进行学术研究的利益显然大于信息主体禁止目的变更的利益，而且利用其他方法不能达到研究目的或需不当的耗费才能达到的，学术研究机构可以因学术研究而为目的外利用。

第六，书面同意要件。同样，该要件内容和国家机关目的外利用完全一致，当事人书面同意的，非国家机关可以为目的外利用。这是意思自治原则的体现，信息主体可以决定和处理自己的个人信息，如果信息主体书面表示同意的，非国家机关可以为目的外利用。