个人信息保护法的概念与调整对象

第一节 个人信息保护法的概念与调整对象

一、个人信息保护法概念解析

个人信息保护法，是调整发生在信息主体和信息管理者之间的，在个人信息收集、处理和利用等活动过程中因保护信息主体的权益而产生的社会关系的法律规范的总称。

这个概念说明:

第一，个人信息保护法上的两类主体为信息主体和信息管理者；

第二，两类主体之间的关系是围绕个人信息收集、处理和利用等活动发生的社会关系；

第三，个人信息保护法的立法目的在于保护信息主体的合法权益；

第四，个人信息保护法调整的社会关系包括横向的民事主体之间的信息处理关系，也包括纵向的信息主体与行政机关之间发生的信息处理关系。

个人信息保护法是社会信息化转型过程中诞生的一个新法律部门，是法律的新生儿，就我们对它的了解程度而言，无法行政法相比，更不用说我们已经使用两千多年的民法，因此对于个人信息保护法的研究，尚需从头开始。

二、个人信息保护法的调整对象

个人信息保护法和其他法律部门一样，以一定的社会关系为调整对象。个人信息保护法调整的社会关系，是行政机关和民事主体在收集、处理和利用个人信息过程中形成的社会关系，称为信息处理关系（注意:此时的处理泛指个人信息的收集、处理和利用）。

同传统部门法调整的社会关系相比，个人信息保护法调整的信息处理关系有着特殊的复杂性。传统部门法调整的社会关系或者为横向社会关系或者为纵向的社会关系，而个人信息保护法既调整国家机关处理个人信息而形成的与相对人之间的管理关系，也适用于民事主体之间因处理个人信息而形成的平等关系。也就是说，个人信息保护法调整的社会关系既包括纵向的也包括横向的社会关系。信息处理关系可以分为两大类:一类是纵向的信息处理关系；另一类是横向的信息处理关系。纵向的信息处理关系是指国家机关在行政管理活动中形成的信息处理关系。只有行政机关所为的信息处理行为产生的国家机关和行政管理相对人之间的关系才属于纵向的信息处理关系，这是此种社会关系的主体要素。横向的信息处理关系是指民事主体在民事活动中的形成的信息处理关系。横向的信息处理关系要求作为信息管理者必须和信息主体是平等的民事关系。只有民事主体所为的信息处理行为产生的行平等的关系才属于横向的信息处理关系。值得一提的是，国家机关为对行政工作人员进行录用、考核、培训、晋升、奖励和处分而收集相关行政工作人员的个人信息时，个人信息保护法同样适用。只不过，因此时形成的关系属纵向的信息处理关系而适用个人信息保护法的公法规范而已。个人信息保护法的权利主体包括所有自然人，因此，行政工作人员和其他国家机关工作人员也属于个人信息保护法上的权利主体。

三、个人信息保护法的立法体例

（一）欧盟指令体例

欧盟指令共7章。第1章为“一般条款”，包括指令的主体、定义、范围、可适用的国内法；第2章是对个人资料处理的合法性的一般规定，包括个人资料保护的基本原则、合法处理个人资料的标准、处理的特殊种类、个人资料的处理和表达自由、告知资料本人的信息、资料主体的权利、资料安全、通知等内容；第3章为“司法救济、责任和制裁”；第4章为“向第三国的个人资料传输”；第5章是“行为规范”；第6章是“监督机关和个人资料处理中的个人保护工作组”；第7章是“共同体的执行措施”。

（二）德国资料法体例

德国资料法共5部分，分为总则和分则。第1部分是关于“一般条款”的规定，为总则。分则由第2部分到第5部分组成。其中，第2部分是“国家机关的资料处理”，第3部分是“非国家机关和参与竞争的公法上的企业的资料处理”，第4部分是“特别规定”，第5部分是最后条款。从德国资料法的体系最容易看出，个人信息保护法的领域法性质，其既调整国家机关的个人信息处理，又调整商业机构的个人信息处理。

（三）荷兰资料法体例

荷兰1998年《个人数据保护法》^[1]共两部分，设总则和分则。第1章为“总则”。第2章规定了“个人数据合法处理的条件”。第3章名为“行为准则”，根据该章第25条的规定，行为准则是组织或组织联盟起草的有关处理个人数据的规则，该规则的制定必须通过“注册办公室”审查并予以公告。第4章是关于“报告和优先调查”，为实现某种或相关的几种目的而进行的全自动和半自动个人数据处理必须向注册办公室报告。注册办公室应当在处理者进行数据处理之前开始调查。第5章是“提供给数据主体的信息”，当准备从数据主体获取个人数据时，处理者应当在获取上述个人数据之前向数据主体提供和披露本法规定的信息。第6章是“数据主体的权利”规定。第7章是“除外限制条款”，此部分规定了处理主体免受本法规定的某些重大限制的情形，如基于为国家安全，为防止、查明、追捕刑事犯罪，为国家或其他公共机构的重要经济、金融利益，以及为保护数据主体或其他人的权利和自由等情形。第8章为“法律保护”，此部分主要是关于行政法上的保护和损害赔偿责任的规定。任何人因违反本法规定的行为造成伤害（伤害不包括财产损坏，受害者有权请求赔偿）的，适用本条的规定，并可以同时拥有其他法规定的权利。第9章是关于“监督”的规定，该法成立的收集和处理个人数据的监督机关为“注册办公室”。第10章是“处罚”，分为第1节“行政强制措施”、第2节“行政罚款”和第3节“刑事处罚”三部分内容。第11章是“向非欧盟国家传送数据”的专章规定。根据第76条的规定，个人数据只能向欧盟以外的某一个能够达到数据保护适当水平的国家发送。第12章是“附则”。

（四）瑞典资料法体例

瑞典资料法共5部分，分总则和分则。总则包括立法目的、定义等方面；分则包括:第1部分“适用范围”，该部分包括适用地域、适用的个人资料处理情形以及个人信息保护与出版自由和言论自由的关系、与政府信息公开的关系等内容；第2部分“向已登记的人提供的信息”；第3部分“处理的保密”；第4部分“向第三国传输个人资料”；第5部分“向监督机关报告”。

（五）英国资料法体例

英国资料法由6部分和16个附表组成，分为总则和分则。第1部分是总则，名为“前言”，包括基本解释条款、敏感性个人资料、特殊目的、个人资料保护原则、法案的适用、委员和裁决署等内容。第2部分为“资料本人和其他人的权利”。包括“取用个人资料的权利”“禁止为直接营销目的进行的处理的权利”“关于自动化决策的权利”，获得赔偿的权利，修改、封锁、删除和销毁的权利以及管辖和诉讼程序等方面的内容。第3部分为“资料控制者的通知”。第4部分为“豁免”。豁免的情形有“国家安全”“犯罪和税制”“健康、教育和社会工作”“规范活动”“新闻、文学和艺术”“研究、历史学和统计学”“公众可依法令查阅的信息”“家庭目的”“根据命令得到的豁免”等。第5部分为“执行”。第6部分为“杂项规定和通则”，另外，法律附有“资料保护原则”等16个附表。

（六）日本情报法体例

日本个人情报保护法共6章，分为总则和分则。第1章为“总则（第1条到第3条）”；第2章为“国家和地方公共团体的职责及其他（第4条到第6条）”；第3章为“保护个人信息的措施及其他”，分为四节:第1节为“保护个人信息的基本政策（第7条）”、第2节为“国家的措施（第8条到第10条）”、第3节为“地方公共团体的措施（第11条到第13条）”、第4节为“国家和地方公共团体的合作（第14条）”；第4章为“个人信息处理者的义务及其他”，分为两节，第1节为“个人信息处理者的义务（第15条到第36条）”、第2节为“民间机构对个人信息保护的促进（第37条到第49条）”；第5章为“杂项规定（第50条到第55条）”；第6章为“罚则（第56条到第59条）”。除此之外还有独立一章“附则”。

（七）我国台湾“资料法”体例

我国台湾省“资料法”共6章。第1章“总则”；第2章“公务机关之资料处理”；第3章“非公务机关之资料处理”；第4章“损害赔偿及其他救济”；第5章“罚则”；第6章“附则”。

（八）我国香港地区资料条例体例

我国香港地区资料条例共10个部分，分为总则和分则。第1部分是总则，包括释义、适用范围、保障资料原则和生效日期等诸方面内容。第2部分是“执行”，包括个人资料私隐专员职位的设立、专员的任职和职能、个人资料（私隐）咨询委员会的设立等方面的内容。第3部分为“实务守则”及其核准。第4部分为“资料使用者申报表及资料使用者登记”。第5部分，个人资料的查阅及更正。第6部分“个人资料等的核对程序及转移”，此部分规定了个人资料的核对程序，以及明确规定除在指明情况外禁止将个人资料移转至香港以外地方。第7部分为“视察、投诉及调查”。第8部分为“豁免”，豁免的情形包括家居用途、雇佣—职工策划、个人评介、关于香港的保安、新闻、统计及研究等。第9部分为“罪行及补偿”。第十部分是“杂项条文”。

（九）我国应建立的个人信息保护法体系

我国个人信息保护法的体系应设总则和分则，探讨如下:

第1章为“总则”，包括立法目的和宗旨、基本概念、基本原则和适用范围。

第2章为“国家机关对个人信息的收集、处理和利用”，包括个人信息搜集，告知义务，个人信息的储存、变更和利用，个人信息的传输和跨国传输，计算机比对、政策披露及其例外、信息主体的权利与行政机关的义务、安全措施。

第3章为“非国家机关对个人信息的收集、处理和利用”，包括适用对象，个人信息收集的资格，信息披露，个人信息的收集、处理与利用，信息主体的决定权，自律规范等内容。

第4章为“损害赔偿”，包括共同侵权、损害赔偿、精神损害赔偿等主要内容。

第5章为“法律责任”，包括民事责任、行政责任和刑事责任。

四、个人信息保护法的类别划分

个人信息保护法可以分为形式意义上的个人信息保护法与实质意义上的个人信息保护法。换个角度说，我们常说的“保护个人信息的法律”就是实质意义上的个人信息保护法，而“个人信息保护法”则通常针对形式意义而言。实质意义上的个人信息保护法，即部门意义上的个人信息保护法，是指国家机关和民事主体在处理个人信息活动过程中因保护信息主体权益而产生的社会关系的法律规范的总称，它不仅包括以个人信息保护法命名的单行法，而且还包括散见于宪法、行政法规、民法、知识产权法以及其他规范性文件中的保护个人信息的法律规范。保护个人信息的私法是民法。民法是人法，是关于人的权利的保障法，因此，民法适用于个人信息的保护并无疑问；从公法角度看，行政法规定的是国家以及公共团体与人民之间的关系，理应包含公务机关对公民个人信息的收集、处理和利用关系。因此，行政法可适用于个人信息保护。然而，由于个人信息的特殊性，在纠纷产生后，人们发现民法和行政法往往无法直接适用，或直接适用不能很好地保护信息主体的权利，因此，各国和国际组织开始寻求新的关于个人信息之上的人格利益（在美国为隐私利益）的保护模式，那就是制定个人信息保护法。个人信息保护法是形式意义上的保护个人信息的法律，是对个人信息之上的人格利益保护的专项立法。个人信息保护法的确立，使得以往只能凭借民法、行政法和刑法上之抽象概念保护的个人信息问题，得到了专门立法的细致化和规范化的保护。

形式意义上的个人信息保护法是指按照一定体例编纂的并以保护个人信息为主题命名的单行法。纵观各国个人信息立法，文化和法律制度的固有差异，对个人信息保护法的形式和内容都影响巨大，换个思路说，个人信息保护法是带有鲜明民族特色的一部法律。就连法律的名称也是各不相同，德国称为个人资料保护法，而美国则称为隐私法。在我国，目前还没有形式意义上的个人信息保护法。一个奇特的现象是，美国的隐私文化和隐私法在中国受到了社会和学界的高度重视和研究，产生了深远的影响。与此同时，人们似乎遗忘了一块欧洲的资料保护文化和立法。笔者认为大概是一来隐私利益在现代社会被突出；二来英语为中国外语中的“国语”；三来尽管我们不喜欢，但是美国的确影响着我们。

新中国成立以来，我国颁布的很多法律法规中都含有个人信息保护的相关规定。《民法通则》关于人格权的规定是保护私人信息的主要法律渊源。2002年12月23日九届人大常委会第三十一次会议首次审议的民法典草案中已有私人信息、私人活动和私人空间的明确界定，民法典草案将这些问题归入了“隐私”范畴。到目前为止，我国对于个人信息的保护还没有一项专门的法律，而对于数据库中的个人信息的保护从未明文涉及。

目前，我国保护个人信息的主要法律渊源还有:

《传染病防治法》（2004修正）第十二条规定和第六十八条关于“疾病预防控制机构、医疗机构不得泄露涉及个人隐私的有关信息、资料”以及泄露的法律责任的规定；

《电子签名法》第二十四条关于“电子认证服务提供者妥善保存与认证相关的信息”的规定；

《拍卖法》（2004修正）第二十一条关于拍卖人应当“为委托人、买受人身份保密”的规定；

《保险法》（2002年修正）第32条关于“保险人或者再保险接受人对在办理保险业务中知道的投保人、被保险人、受益人或者再保险分出入的业务和财产情况及个人隐私，负有保密的义务”的规定；

《行政许可法》第三十一条关于“行政机关不得要求申请人提交与其申请的行政许可事项无关的技术资料和其他材料”的规定；

《监狱法》第二十三条关于“罪犯的申诉、控告、检举材料，监狱应当及时转递，不得扣压”的规定；

《税收征收管理法》第五十九条关于税务机关进行税务检查时应当“为被检查人保守秘密”的规定；

《统计法》（1996年修正）第十五条关于“属于私人、家庭的单项调查资料，非经本人同意，不得泄露”以及第三十条泄露的法律责任的规定。

我国在针对互联网管理的立法中，有了直接关于个人信息的保护规定。全国人大常委会颁布的《关于维护互联网安全的决定》规定:“利用互联网侮辱他人或捏造事实诽谤他人及非法截获、篡改、删除他人的电子邮件或者其他数据资料，侵犯公民通信自由和通信秘密的，可构成犯罪依法追究刑事责任。”2000年信息产业部颁布施行的《互联网电子公告服务管理规定》中规定“电子公告服务提供者应当对上网用户的个人信息保密，未经上网用户同意，不得向他人泄露”。上述决定中的“其他数据资料”显然包括个人信息，这表明，目前我国采取刑事手段保护个人信息，这和人格权法在渔猎社会和农业社会的早期由刑法来保护是何其类似。而规定中直接使用了个人信息概念，表明个人信息作为一个独立的法律关系客体给立法者发现，这在个人信息保护的立法历史上，意义重大。

以上决定和规定是直接针对个人信息提供保护的法律文件，改变了以往通过保护人格和隐私而间接针对个人信息提供保护的思路。

以上法律中关于个人信息、资料和隐私的规定，构成实质意义上的个人信息保护法律规范。目前，我国没有形式意义上的个人信息保护法，但实质意义上的个人信息保护法是存在的。