个人信息跨境流通出现的问题

第二节　个人信息跨国传输的基本原则

一、自由流通和合理限制原则

不同的国家对待个人信息跨国传输的立场并不相同。以信息供求为标准，全球国家可以分为两类:一类是个人信息进口国(Personal Information Importing Country)，另一类是个人信息出口国(Personal Information Exporting Country)。美国等发达国家，需要依靠其他国家的大量个人信息分析和制定产品销售计划和战略，因此属于个人信息进口国;第三世界国家为个人信息出口国。一般来说，个人信息进口国希望最大限度地推进个人信息的自由流通，而个人信息出口国则希望尽最大可能控制和监管个人信息的跨国传输，以保护本国利益。

以美国为代表的个人信息进口国，主张自由流通原则。强调个人信息应没有限制地在国与国之间自由流通。而个人信息进口国多半在技术上远不及发达国家，为保护民族经济和避免在信息主权上受制于人，他们主张对个人信息跨国传输进行严格的限制。以上两种主张都有失偏颇:不加限制，则会对一国的主权和其他国家利益和个人权利造成损害，个人信息出口国将逐步沦为进口国的“信息殖民地”。然而，严格限制又有阻断信息自由传播之嫌，会阻碍经济发展，从而影响到政治进步。笔者赞同，《OECD指针》确立的个人信息跨国传输的基本原则。该建议确立了自由流通与法律限制原则(Free Flow and Legitimate Restrictions)。该原则规定，成员国应采取一切适当的措施确保个人信息跨国流通的自由，以及在此基础上，对跨国流通进行合理的法律限制。而Legitimate和Lawful不同，除了合法，还有正义和合理的要求，因此比合法更为严苛，也就是说，除了合法外，还应符合正义、合理等要求。

《OECD指针》确立的个人信息跨国传输的自由流通与合理限制原则的内涵如下。

(一)自由流通

人类社会正处于信息化转型之中，信息已经成为社会主要资源。信息的流通能够产生新的资源，信息流通的程度往往能决定一个企业乃至一个国家的发展前途。因此，各国无论在个人信息保护制度上有多大的分歧，都赞同个人信息的自由流通。个人信息保护法的立法宗旨就在于既要通过规范信息流动而保护个人权利，又要通过规范信息流动实现信息共享。对于一个国家也是如此，如果一国政府对公民的个人信息保护走入极端，势必使该国成为国际社会中的一座“信息孤岛”，会阻碍同国际社会的互动，最终阻碍经济发展。

《OECD指针》在导言中指出:“尽管各国法律和政策存在不同，会员国在保护隐私和个人自由，以及调和基本的但互相冲突的价值，如隐私和信息的自由流通上，有共同利益;自动化处理和个人资料跨国流通使国与国之间产生新型关系，同时要求发展和谐统一的规则和实践;个人资料的跨国流通有利于经济和社会的发展;内国关于隐私保护和个人资料的跨国流通的法律可能阻碍这样的流通;决定推进成员国之间的信息自由流通并避免对成员国之间经济和社会关系的发展造成不公正的阻碍。”《欧洲议会公约》导言提出:“欧洲议会的成员国，考虑到欧洲理事会的目标是获得成员国之间尤其是在法治、人权和基本自由上的更大统一;考虑到在自动化处理条件下个人资料跨国流通的不断发展，需要扩大对个人权利和基本自由，特别是隐私权的保护;同时重申成员国对信息自由无国界的承诺;承认有必要调和隐私基本价值和信息在人们之间自由流通的基本价值的关系，已经达成如下协议。”《欧盟指令》导言指出:“为了消除个人资料流通中的障碍，所有成员国对个人资料处理中的个人权利和自由的保护水平必须相同;该目标对于国内市场是至关重要的，但是不可能由一个成员国单独完成，特别是考虑到成员国相关法律之间目前存在着较大分歧和协调成员国之间法律的必要性，从而保证以与条约第7a条规定的内部市场目标相一致的方式规范个人资料跨国流动。”

可见，无论是像美国这样的个人信息进口国还是发展中国家这些个人信息出口国，除了有各自的利益分歧外，信息自由还承载着大家共同的利益，所以信息自由流通是个人信息跨国传输基本原则的首要内涵。

(二)合理限制

个人信息跨国传输引发的问题也是多方面的，不仅包括个人信息权利的实现问题和经济发展问题，而且还涉及信息主权问题。因此，对自由的流通给予必要的合理限制的思想也被发达国家和发展中国家共同接受。

自由本来就是有限制的。对自由流通进行合理限制是符合自由的本质的，二者并无矛盾。合理限制的内涵有二:第一，合法因素。这个因素包括应通过法律途径对自由流通做出限制和限制的内容应该合法两个方面;第二，正义因素。限制个人信息自由流通的因素不仅仅基于法律原因，还基于社会的基本秩序，基本的正义观念也可以进行限制。非国家机关跨国传输个人信息是否可行，应该着重考虑以下几个方面的因素:(1)遵守国际条约和国家协定;(2)接受国能提供相当的保护;(3)不得为规避我国现行法律而为跨国传输;(4)信息主体的书面同意或者为保障信息主体的重大利益;(5)不违反法律规定及社会公共利益。

二、对等原则

从国际公法的角度看，个人信息的跨国传输涉及不同国家的关系问题。对等原则是处理跨国事务时，一国政府采取的基本原则之一。所谓对等原则，是指外国对本国政府的公民和团体的权利等加以限制的，本国政府得以对该外国的公民和法人的权利等方面施加同样的限制。对等原则的适用，以外国对本国的公民和团体施加额外限制为前提。根据国家主权平等原则，国际社会认为这种限制应该是相互的和对等的。对等原则仅适用于对等限制，一般不适用于赋予权利方面。从个人信息跨国传输这个问题上讲，一个国家从自己的利益出发，往往对个人信息的输出进行限制，而对个人信息的输入则无限制。若一外国对传递到内国的个人信息进行了额外限制的，内国也可以以同样的限制对待传输至该外国的个人信息。

个人信息的跨国传输涉及国家主权和经济发展以及私人权益等诸多方面，其最终的解决途径要依靠国际社会的共同努力，形成有拘束力的共同标准或者最低标准，以消除个人信息跨国流通的障碍，促进自由流通和信息自由的真正实现。

三、个人信息跨国传输的监管

(一)设立专门的登记机构

各国一致主张对个人信息跨国传输进行监督。就监督制度而言，有两种做法:一种是设立专门的、独立的监督机构。欧盟国家以及我国香港特区采取这种监督体例;另一种是各行业的主管行政机关负责监督，增加监督职能。就我国的现状而言，由各行政主管机关行使监督权更为实际。从长远来看，应设立有独立职权的监督机关。

(二)监督机构的职能

(1)从业登记制度。拟从事个人信息跨国传输的非国家机关(如网络服务商)应事先进行登记，获得批准后，才能进行跨国传输。

(2)审查和许可制度。监督机构应对拟传往国外的个人信息进行审查，经监管机关审查许可的，方能进行跨国传输。对于一般的个人信息，可在形式审查的基础上给予概括许可，对于特定种类的个人信息，监管机关应进行实质审查，并做出决定，当事人对监管机关的决定不服的，可向监管机关申请复议或向法院起诉^[1]。

(3)查询和公告制度。对于从事个人信息跨国传输的登记记录，通过网络等方式可向公众公开，便于公众了解传输者(如网站)的传输权限。对于违规经营的传输者(如网站)，应予以公告。

(4)行政救济制度。监督机构作为一个行政管理机关，有权受理当事人的投诉，并做出相应处理。

【注释】

[1]参见程卫东:《跨境数据流动的法律监管》，《政治与法律》1998年第3期。