个人信息保护法的地位

四、个人信息保护法的地位、属性、宗旨和功能

(一)个人信息保护法的地位

全球个人信息保护立法的发展，已经充分证明了个人信息保护法的部门法地位。然而，这些并不能直接消除人们在理论层面的重重疑问。现代社会分工越来越精细，人们面临的问题越来越复杂，现代的社会关系呈纵横交错的网络结构。因此，各国立法者顺应这种趋势，越来越多地采用“解决一个问题”或者在一个领域“实现某一目的”的立法思路，这种新型的立法模式往往会把所谓的纵向社会关系和横向社会关系的糅入一个部门法中，使传统的行政法、民法和刑法乃至程序法的规范共存于一部法律规范之中，有利于运用综合法律手段对某一社会领域或具有某种相同内容的社会活动加以统一调整，如环境法、金融法。个人信息保护法也是如此。以调整对象和调整方法为典型划分标准来衡量一切部门法的那个时代已经一去不返了，代之而来的是多种标准共存的新时代。

(二)个人信息保护法的属性

1.领域法

有一种观点认为，个人信息保护法应该为私法，是民事特别法。我国学者林诚二教授将台湾“资料法”明确列为民事特别法。^[12]我国著名学者王泽鉴教授将我国台湾地区“资料法”编入人格权法之下的隐私权之中。^[13]这是从人格权保护的角度出发而得出的结论。单从这个意义上说，个人信息保护法是私法，属于民法的范畴。

德国著名学者沃尔夫、施托贝尔等认为个人信息保护法是行政法。^[14]这是从行政机关处理个人信息的角度对个人信息保护法的性质进行认定而得出的必然结果。纵向的信息处理关系和横向的信息处理关系的地位同等重要。行政机关在个人信息处理和利用的过程中占了很大比重，个人信息保护法大量的篇幅是有关纵向信息关系的调整规范。单从这个意义上说，个人信息保护法是公法，属于行政法的范畴。

笔者将以特定领域的公私混合社会关系为调整对象的法律称为领域法，个人信息保护法就属于领域法。虽然德国学者和政府主张个人信息保护法是行政法^[15]，但这并不能否认行政法规范和民事规范平分德国法之秋色的基本事实。德国资料法的主干内容是“第二部分”和“第三部分”，其中，“第二部分”是关于“国家机关的资料处理”，属于行政法规范;而“第三部分”是关于“非国家机关和参与竞争的公法上的企业的资料处理”，属于民事法律规范。在具有英美法系传统的国家和地区的个人信息保护立法中^[16]，一般不区分国家机关与非国家机关，统一立法规范。英国法和我国香港的立法是典型的代表。我国香港《个人资料(私隐)条例》深受英国法的影响，其第三条适用范围规定:“本条例对政府具有约束力。”^[17]说明香港《个人资料(私隐)条例》既调整私的关系，同时又调整公的关系。

2.权利法

个人信息保护法的立法目标在于保护信息主体的权益，而非保护信息管理者的权利，其最基本的职能在于确认信息主体的权利并提供保护途径。个人信息保护法，既保护个人在公法上的权利，也保护个人在私法上的权利。公法上的权利，主要是指政治生活中的权利，而私法上的权利主要表现为对个人的人格权的保护。个人信息保护法以权利为本位，在横向信息处理关系中，自然人的人格权，尤其是精神性人格权利极易造成损害，因此个人信息保护法的立法目的在于通过规范信息管理者的收集、处理和利用行为以保护自然人的人格利益。从这个方面也可以说，个人信息保护法的目的在于保护信息主体的人格权利，限制信息管理者的财产权利。德国个人资料保护法开宗明义地指出其立法目的在于保护个人人格权。该法第1条规定:“本法旨在保护个人的人格权，使其不因个人资料的处理而遭受侵害。”我国台湾地区“资料法”第1条也明文规定立法目的在于保护自然人的人格权。

因此，个人信息保护法既是保护个人公法权利的规范，也是保护个人私法权利的规范。

3.制定法与强行法

大陆法系以制定法为主，英美国家以判例法为主。然而在个人信息保护的立法方面，两大法系均采用制定法形式。大陆法系的代表法国、德国如此，英美法系的代表英国和美国也如此。这不但反映出两大法系在相互取长补短中逐渐融合，而且也反映了各国对个人信息保护的重视。

私法是任意法，而公法大多是强行法。作为领域法，个人信息保护法的公法规范属于强制性规范，其私法规范也有大量的强制性规范，不容当事人任意创设与变更。强行法指以强制性和禁止性规范为主要内容的法律，任意法是以任意性规范为主要内容的法律。强制性和禁止性规范是与任意性规范相对应的一对范畴。强行性规范，是指法律规范所规定的权利和义务不允许当事人任意变更的法律规范。而任意性规范，是指法律规范所规定的权利和义务允许当事人之间相互协议或单方面予以变更的法律规范。^[18]

个人信息保护法的强行法性质表现如下:

(1)在效力上，个人信息保护法的大多数规范在适用中具有绝对性，不允许当事人进行变更。

(2)在内容上，个人信息保护法的大多数规范具有内容上的单一性，即单一的肯定或单一的否定。与此相反，任意性规范在内容的确定性上通常提供两个或者两个以上的可供选择的内容。

(3)在利益体现上，个人信息保护法不仅调整信息处理当事人之间的利益，而且体现着国家利益和公共利益。如敏感个人信息的处理、国外机构对本国个人信息的收集等。因此，法律中难免有许多保护国家利益和公共利益的强制性规范出现。

个人信息保护法的强行法特性有利于强化对个人权利的保护。欧盟指令为实现其倡导的个人权利，将有些权利给予强行法保护，其特别强调的是在某些领域——如敏感个人信息的强制保护，不允许当事人放弃。

另外，个人信息保护法是实体法、国内法这一点，不需要太多的阐释。

(三)个人信息保护法的宗旨

个人信息保护立法之要旨，固然在于保障自然人人格利益，但同时，个人信息作为社会的一种重要的经济资源，尤其对国际贸易来说具有战略意义的重要资源，故此个人信息保护立法的要旨还必须顾及对个人信息合理利用的促进。制定个人信息保护法是全面保护个人信息的客观需要，也是全面推进国际贸易的客观要求，同时关系到国家的信息主权、文化主权以及经济发展。

个人信息保护之利益，可以分为两类:一类是信息主体的利益;另一类是信息管理者的利益。而个人信息保护法的宗旨就在于平衡这两类基本利益，从而实现保障人权和促进经济发展的双重目标。简言之，个人信息保护法的宗旨是在保护个人信息之上的个人权利基础上，促进个人信息的合理利用。个人信息保护法既保护个人信息，又要确认了政府机构和商业机构处理个人信息的合法性，其立法目标是寻求个人信息资源开发利用和人格权保护之平衡:

一个人信息保护法的立法目标之一是促进个人信息资源开发和利用，使社会(主要是政府和商业机构)利用个人信息的行为合法化;

二是限制个人信息利用者的权力(权利)，防止行政机关和商业机构滥用个人信息，保护个人权利。

(四)个人信息保护法的功能

1.保障信息社会基本人权的实现

《欧洲议会公约》第1条规定，公约的目的是在个人信息自动化处理过程中，各缔约国确保“个人的权利、个人基本自由并特别对隐私权的尊重”。个人信息之上的权利是一项基本人权，它包括公民的基本权利、自由，特别是人格和隐私利益。^[19]对个人信息进行收集和处理的目的之一就是将这些信息进行比对而利用比对结果来决定对信息主体采取一定的行为或不采取一定的行为。如果信息失实，则将有可能侵害信息主体的基本权利和自由。如因个人信息的错误，政府拒绝向某人提供福利、对弱势群体的特殊保护措施等。甚至包括劳动权在内的基本权利都有可能遭受错误个人信息的侵害。用人单位故意制造员工考核不及格记录，并放入人事档案，而导致其丧失工作机会或者工资减少，就说明了错误个人信息给劳动权带来的侵害。

随着社会的发展，个人对其自身信息的权利发展演变为基本人权的一项全新而重要内容，从这个意义上可以说，个人信息保护法是信息社会的人权保障法。

2.促进电子商务的发展

在信息社会，个人信息是主要社会资源。为促进亚太地区的电子商务的发展，亚太经济合作组织(简称亚太经合组织，英文为Asia-Pacific Economic Cooperation，APEC)第17届年度部长会议就《APEC隐私保护架构(APEC Privacy Framework)》(以下简称《APEC架构》)达成协议。《APEC架构》在第1章前言中明确指出:“APEC已认识到保护资讯隐私与维持亚太地区经济体系及其贸易伙伴间之信息流通的重要性。APEC深刻地认识到增进消费者的信赖以及确保电子商务的成长的重要关键在于整合并促成有效率的信息隐私保护以及亚太地区信息的自由流通。”香港个人信息私隐专员刘嘉敏指出:“电子贸易表面上不可阻挡的发展潜力遇上了一个显著的障碍，这个障碍就是如何赋予经营者及消费者充分的信任和信息……保障资料私隐是确保信心和信任的最主要因素之一。”^[20]制定个人信息保护法，是推动电子商务发展的必要要求。

3.促进国际贸易的发展

个人信息的跨国流动是开展国际贸易与合作的基础，没有自由的资料跨国流动，国际贸易与合作无从谈起。国际社会的一般共识是国内立法不应该限制向能提供合理保护的国家传递个人信息。对于很多行业的国际贸易而言，其进展顺利与否的一个决定性因素是其能否掌握开展业务所需要的目标国一定人群的个人信息。当前，开展国际贸易的一条基本原则就是“没有隐私就没有贸易(No privacy，no trade)”。1993年香港就发生了因欠缺个人信息保护立法，而面临德国银行拒绝将客户存款资料传输至香港的重大事件。这件事的发生，直接影响了我国香港作为国际金融中心的地位^[21]。个人信息立法应该兼顾个人权利的保护与信息自由流通两个目标。国际社会保护个人信息的目的不是限制个人信息的跨国流通，而是在保护权利的基础上打破限制——不能以保护信息主体权利为借口限制个人信息的跨国流通。

个人信息保护法对保护个人权利，促进电子商务，开展国际贸易均有着十分重要的作用。在信息社会背景下，个人信息保护立法势在必行。