目的明确原则

第三节 目的明确原则

目的明确原则是个人信息保护法的首要原则，在原则体系中处于核心地位。目的明确原则被认为是对个人信息处理进行监管的首要手段，要求信息管理者在个人信息处理之前应有特定而明确的目的，否则进行的个人信息收集和处理为非法。就好比孙悟空用金箍棒为唐僧画的一个圈，只有圈内活动是安全的，圈外活动是危险的。则目的明确原则的核心是限制信息管理者在收集和处理个人信息方面的随意性，以最大可能地防止个人信息脱离信息主体的掌控，被泄露和非法使用。

一、目的明确原则的概念

目的明确原则（Purpose Specification Principle）被不同的立法和学者冠以不同的称谓，有称目的拘束原则，有称目的特定原则。目的明确原则是指收集个人信息的目的，必须在收集前将加以确定，确定的目的必须通过一定的方式明确化；发生目的变更时，变更后的目的也必须及时予以明确。确立目的明确原则的目标在于确保信息主体和社会对个人信息处理的可预见性。收集个人信息的目的是指信息管理者收集、处理或利用个人信息所希望达到的目标。对国家机关而言是指根据行使职权、履行职责的需要处理和利用个人信息所具有的目的，民事主体收集个人信息的目的限于自身的商业或事业目的。我国台湾省资料法授权有关组织规定收集的目的，该法颁布实施后，法务部会同目的事业主管机关规定了“人身保险业务”“人事行政管理”“土地行政”“公共卫生”“公共关系”“火灾预防”等108项收集目的。

二、目的明确原则与比例原则

个人信息保护法上的目的明确原则是比例原则的具体体现。比例原则作为行政法的基本原则，体现了行政法的基本价值理念，贯穿于行政法的各项制度和特别法之中，指导着行政法及其特别法的制定和实施，在行政法领域具有最高效力。比例原则在监督行政机关依法行使职权，保护行政相对人权益方面发挥着不容忽视的、积极有效的作用。个人信息保护法的宗旨之一在于监督行政机关依法处理个人信息，一方面，对其合法处理个人信息的行为加以确认和维护，确保国家目标的实现；另一方面，对其非法处理个人信息的行为予以制止和惩罚，以维护个人的合法权益。我国资料法第6条规定:“个人资料之搜集或利用，应尊重当事人之权益，依诚实及信用方法为之，不得逾越特定目的之必要范围。”“依诚实信用方法为之”的规定，是民法基本原则诚实信用原则的体现和要求，因为诚信原则是民法的基本原则。个人信息保护法一部分规范调整民事主体处理个人信息的行为，一部分调整行政机关处理个人信息的行为，因此个人信息保护法属于领域法，既有民法属性，也表现出行政法特质。“不得逾越特定目的之必要范围”的规定，是比例原则的表现和要求。唯有民法诚实信用原则和行政法比例原则，在个人信息保护法领域的贯彻，个人权利才能在法律预设范畴内得到保障。

目的明确原则是比例原则在个人信息保护法上的具体体现。目的明确原则，主要是指收集个人信息的目的，必须在收集前特定和明确化。该原则的配套原则为目的限制原则，强调个人信息的利用应仅明确目的的限制，不得进行与收集目的相冲突的利用，而当目的发生变更时，变更后的目的必须明确和特定。目的明确原则，贯穿于个人信息保护的整个过程，是个人信息保护法的基本原则之一。目的明确原则的贯彻，保证了个人信息在整个处理过程中的品质，个人信息始终用于该特定的目的，不会因用于其他目的而表现出断章取义或不完整的情形。目的明确原则不排除在当事人同意或法律授权的情况下利用目的的变更。这一方面充分尊重了信息主体的个人信息权，另一方面降低了信息处理和利用的成本，满足了社会和国家利用个人信息的需要，解决了本人利益与国家、社会利益相互冲突的问题，为两者的协调共存找到了平衡点。^[6]

三、目的明确原则的内涵

简言之，目的明确原则由特定目的、明确目的和目的正当三方面的内容组成。详述如下:

（一）特定目的

所谓特定目的是指对个人信息的处理必须具备法定的或约定的特定目的，收集个人信息必须受特定目的的限制。根据我国台湾省资料法第3条第9项规定，特定目的是指，“由法务部会同中央目的事业主管机关定之者”。法务部会同中央目的事业主管机关规定了“人身保险业务”“人事行政管理”“土地行政”“公共卫生”“公共关系”“火灾预防”等108项目的。依照特定目的原则的要求，处理个人信息前应该具备特定目的。“特定目的”对国家机关来说就是根据行使职权、履行职责的需要处理和利用个人信息所具有的目的。国家机关处理个人信息（包括收集、处理和利用）的特定目的的确定应以其行使职权履行职责为标准。非国家机关处理个人信息的特定目的一般与其事业相关，具体目的的特定多采取声明或约定的方式。如凤凰卫视网站声明:“凤凰网收集这类关于个人身份的信息主要是为了其注册成员能够更容易和更满意地使用凤凰网的网页。我们的目标是向所有的互联网用户提供愉快、有益、有趣的上网经历。而这些个人信息有助于我们实现这一目标。”^[7]其中“更容易和更满意地使用凤凰网的网页”就是凤凰卫视网站收集个人信息的特定目的。必须说明的是，特定目的必须是指现在的目的，将来的目的不构成特定目的，而恰恰是对特定目的的违反。收集个人信息必须受特定目的的拘束，不能因不特定和不存在的目的收集个人信息。

特定目的不存在时信息管理者的义务问题。特定目的消灭包括以下情形:（1）特定目的已满足；（2）特定目的无法满足或已无满足的必要。大致有两种情况:①作为信息管理者的国家机关经裁撤或改组；②作为信息管理者的非国家机关停业、歇业、解散、破产或营业目的变更；（3）其他足以认定特定目的无法完成的情况。特定目的消灭后，信息管理者的首要义务是删除保存的个人信息。但保护公共利益有必要、信息主体同意或法律有规定的其他情形除外。

（二）明确目的

明确目的是指处理个人信息的特定目的应该明确。所谓明确通常是指信息管理者收集个人信息的特定目的（先于收集前限定）必须用文件确定下来（排除口头方式和不确定的电子方式），然后，用相对具体、精确的方式再现。

根据英国1998年资料保护法附表1第二部分的规定，所谓明确目的是指取得资料的目的应特别在资料控制者根据英国资料保护法（1998年）第2条交给资料本人的通知中以及资料控制者提交委员的通知中加以明确。也有立法例要求非国家机关应将特定目的进行登记并获得信息主体的同意，方符合明确目的的要求。凤凰卫视网站的声明不仅满足了特定目的原则，同时也满足了明确目的原则——将特定目的进行了网站公告。目的变更后的目的明确问题。处理个人信息的特定目的不是绝对不可以变更的，完全禁止个人信息用于其他目的，不但阻碍个人信息的流通，也增加了个人信息利用的社会成本。在满足法定条件下，依变更后的目的处理个人信息仍须贯彻明确原则，即将新的目的按照法律的要求进行明确。

（三）目的正当

特定而明确的个人信息处理目的还必须满足正当性要求。“正当性”包括合法和符合社会风俗，这是欧盟指令第6条明文规定过的。该条用的词语是“legitimate（正当）”而非“lawful（合法）”，如果将“legitimate”解释为合法（lawful），则会导致这个规则和该条确立的“公平与合法（lawful）”的处理规则部分重叠。更值得注意的是，“legitimate”本身不仅包含了法律评价，而且还包含了潜在的社会评价——社会道德。因此，对个人信息的处理，不仅仅应该满足合法原则，而且应该满足民法确立的善良风俗原则。所以，这里的欧盟指令中的“正当”，不仅有符合法律规定的内涵，而且还包含了善良风俗原则的内容。

正当性标准比合法标准更为严格。除了合法以外，他还需要获得社会认同。

四、全球立法中的目的明确原则

除了OECD关于目的明确原则的规定外，全球立法中尚有以下典型立法例对该原则作出了明确规定:

欧盟指令序言（28）规定，个人资料处理对于有关个人必须是合法的和公正的；特别是这些资料与处理目的之间的联系必须充足、相关且不过度；这些目的必须清楚、合法而且在收集资料时就已确定；对收集的资料进行进一步处理的目的应与最初明确的目的一致。指令第6条规定，个人资料应为了特定、明确和合法的目的而收集，所进行的进一步处理不能与该目的不符。第10条规定，从资料主体处收集资料时的信息，资料管理主体须向信息主体提供以下信息，除非信息主体已经获得这些信息，比如处理资料的目的。

APEC隐私框架将该原则称为“告知原则”。此前，2003年3月6日起草的中沿用了OECD的称谓，称为目的明确原则。《APEC隐私权原则》（第一版）第3条规定，“有关组织应告知人们他们采集了谁的信息，他们是谁，以及他们将如何对待这些被采集的信息。个人信息不应被用作与其被采集时的目的不一致的其他目的。”2004年签署的《APEC隐私保护框》中关于告知原则规定在第三章，具体规定是:个人信息管理者对于其所收集和持有的个人信息应要向信息主体提供清楚且容易取得的隐私保护政策声明，包括收集个人信息的目的。从第一版到最后签署的文件在原则标题和内容方面的变化可以得知，APEC对OECD确立的目的明确原则在个人信息保护法上的优越地位并不认同。《APEC隐私保护框架》第三章第15条规定了告知原则，具体内容是个人信息管理者对于其所收集和持有的个人信息应要向当事人提供清楚且容易取得的隐私保护政策声明，包括:

（1）个人信息已被收集的事实声明；

（2）收集个人信息的目的；

（3）揭露个人信息的对象；

（4）个人信息管理者的身份及地址，包括如何和个人信息管理者联络以及处理个人信息；

（5）个人信息管理者提供了关于个人限制使用、披露、进入和更正他们的个人信息的选择和方法。

欧洲议会公约第5条“资料品质”原则中规定，进行自动化处理的个人资料应基于明确合法目的储存，并不得以与这些目的相违背的方式利用。

德国资料法第4条规定，在信息主体同意的情形，应该告知其储存或预期的传输资料的目的，并应其要求，告知其拒绝同意产生的后果。

爱尔兰1998年颁布了《资料保护法》，并于2003年进行系统的修订。修订后其第2条规定，“资料应该仅出于一个或多个特定、明确和合法的目的而获得”。这是对目的明确原则的直接规定。

日本2005年个人情报保护法第15条规定，处理个人信息时，个人信息处理者必须尽可能地明确利用个人信息的目的，个人信息处理者变更利用目的的，变更后的目的不得超出被视为与变更之前相关的合理目的的范围。

五、目的明确原则的意义

目的明确原则的一个重要意义在于禁止行政机关和民事主体超出收集目的收集个人信息。日本1988年《有关行政机关电子计算机自动化处理个人情报保护法》第4条第1项规定:“个人情报库的建立，必须以完成行政机关法定任务为目的。”明确目的消灭后，信息管理者应当删除所保存的个人信息，但保护公共利益目的、信息主体同意或法律另有规定的情况除外。

六、目的明确原则和限制收集原则的关系

目的明确原则和限制收集原则的关系十分密切，因此出现了很多国际立法甚至混淆了目的明确原则和限制收集原则界线的现象。OECD在“第二部分国内适用的基本原则”中第9条规定了“目的明确原则”:个人资料的收集目的在收集前就应明确，其后的利用仅限于实现收集目的和与最初的收集目的不相抵触的其他目的，目的变更也应该是明确的。由此可见，OECD规定的目的明确原则，既包括目的明确的内容，也包括目的限制的内容（此内容应为限制收集原则），和OECD第7条规定的限制收集原则部分重合。

从中英文为词义上讲，目的明确原则（Purpose Specification Principle）仅有目的明确和特定的意思，而限制收集原则（Collection Limitation Principle）仅有个人信息收集受到特定目的限制的含义，因此两个原则的界线还是比较清楚的。目的明确原则是指收集个人信息的目的，必须在收集前特定，此特定的目的必须通过一定方式予以明确化。尽管目的明确的要旨在于此后的收集和利用受到该目的的限制，但毕竟目的明确和目的限制是两个有着独立内涵的概念，从原则上讲，将二者分开，将更为清晰，也避免了两个原则部分重合的弊端。OECD指导原则将目的明确原则和目的限制原则合二为一，这种设计并不合适，因为其与限制利用原则相重复，我国进行立法时应该加以扬弃。OECD指导原则关于目的明确原则的“目的限制”内容——“其后的利用仅限于实现收集目的和与最初的收集目的不相抵触的其他目的”，和限制利用原则重复明显，笔者主张我国未来立法应简化目的明确原则的内容，限定在特定目的、明确目的和目的正当三个方面，而建议将收集个人信息受目的限制这方面的内容并入目的限制原则之中。