主要国家立法概要

第一节　主要国家立法概要

一、美国隐私法

1970年《公平信用报告法》^[2]是美国个人信息保护法律的开端，然而1974年《隐私法》却是美国信息隐私法的基础法案。美国《隐私法》是一个颇受争议的法律，是有关联邦政府收集与处理个人信息的立法，制定于1974年，1975年9月开始实施。美国第96届国会修订《联邦行政程序法》时将其编入《美国法典》第五编“政府组织与雇员”，形成第552a节。由于该法在制定之初，正是美国水门事件（Watergate Scandal）爆发并引起社会高度关注的时期，因此，这部法律主要是规范行政机关收集处理个人信息的行为，对行政机关储存的个人信息在程序上和内容上都有严格的要求，在立法精神上强调公平与正义。

《隐私法》现有22条，其主要内容如下^[3]:

1.适用范围

该法适用于行政机关，包括一般行政机关、军事机关、政府设立的法人、政府控制的法人和具有管制权的法人。但是该法仅限于联邦部会级以上的机构，而不及于部会以下的行政机构或州政府的各级行政机构。

2.保护客体

该法的保护客体是个人被政府机关掌控的“记录系统（systemof records）”中的“个人记录”。

3.个人权利

本人究其个人记录享有隐私权，学理上称为“信息隐私权”。本人的信息隐私权主要有:①决定权。决定权是指信息主体享有决定是否公开自己信息的权利。《隐私法》禁止行政机关在取得信息主体的书面同意以前，公开其个人信息。②知情权。知情权是指信息主体了解自己个人信息的权利。信息主体有权知道行政机关是否保有其个人信息，并要求得到个人信息的复制品。③更正权。更正权是指信息主体更正自己个人信息的权利。信息主体可以随时更正或要求行政机关更正不正确的信息。

4.行政机关的义务

①直接收集义务。行政机关收集个人信息尽可能直接向本人收集，尤其被收集的个人信息有可能导致对其本人做出不利决定时更应如此。②告知义务。联邦行政机关收集个人信息时有告知义务，必须告知收集政策的合法性和个人信息的用途。行政机关在收集个人信息、建立个人的记录系统时，必须在联邦登记上发布通告。③遵守必要范围义务。联邦政府只有在法律或总统命令所要求完成工作或任务的目的相关且必要的范围内，保有个人信息。④保密义务。联邦政府机关所掌握的个人信息，除为公务使用外，不得公开。⑤资料品质义务。行政机关必须使保有的个人信息应处于良好的品质，应使个人信息保持正确、完整和时新。⑥安全义务。行政机关必须使保证其保有的个人信息受到足够安全的物理和制度保护。

美国于1988年对1974年的隐私权法案进行了修订。主要是增加了个人信息计算机比对的内容，人们习惯称之为“计算机资料比对法案”。该修正案是在政府部门利用计算机对个人信息进行比对（computermatching）已趋于常规化，而这种比对已经造成了个人权利的侵害或者至少对个人权利造成了巨大威胁的背景下做出的。所谓个人信息比对，也称资料匹配、计算机比对资料（computer matching activities），是指为了鉴别个人信息的真实性或者其他特定目的将两个或两个以上的计算机数据库中的个人信息利用电脑程序加以比对。行政机关将依据计算机比对的结果对个人采取一定的作为或者不作为，比如认定是否偷漏税、是否应该享有福利等。在美国，社会大众对美国政府应用计算机比对个人信息的行为有两种相反看法:有些人认为计算机比对行为是一种极有效率的工具，可以用来侦测社会福利计划中的欺诈、错误；有些人则认为个人信息的计算机比对的常规化将在事实上造就一个“国家资料中心”，政府通过这个中心将会最终实现全面掌控个人生活的企图，这是对个人隐私的极大侵害。^[4]于是美国国会开始修订1974年隐私法以规制行政机关进行的个人信息计算机比对行为。美国国会1988年通过的修正案的主要内容有以下几个方面:

1.资料保护委员会

任何参与个人信息比对的联邦政府机构必须设置资料保护委员会，由资料保护委员会对个人信息的比对进行监督和保护。

2.个人信息比对的范围

个人信息比对不仅指不同行政主体之间数据库中的个人信息的比对，同一主体内部的两个或两个以上数据库的比对也属个人信息比对。但是，关于信息比对的规定不适用于非国家机关之间进行的比对。

3.比对协议

进行个人信息比对的两个机构——个人信息来源机构和接受机构，必须达成载有法定事项的书面协议，该协议成为比对协议。没有签订比对协议的机关，不得进行或参与计算机比对。比对协议所必须具备的内容包括:进行该比对的目的与法律依据；比对项目的正当理由与预期结果；对将要进行比对的个人信息加以说明，包括即将使用的每项个人信息，进行比对个人信息的大概数目，以及比对项目计划开始实行与结束的日期；在使用过程中，向联邦福利计划中经济援助或现金支付的申请人及受益人、联邦机构的求职人员及现职人员发出个别通知的程序，以及随后依照该行政机关资料统一委员会的指示定期向其发出通知的程序；对比对项目中的信息加以核实的程序；对比对项目中的个人信息及时加以销毁的程序；以及对比对项目中的个人信息和比对的结果所采取的行政的、技术的和物质的安全保障的程序等。^[5]比对合约必须呈报资料保护委员会审查。

4.正当程序

使用计算机匹配所获得的信息，对个人采取不利的行动时必须遵守正当程序，主要包括核实信息和给予个人抗辩的程序。核实信息是指行政机关必须对计算机比对所得到的信息加以核实，才能作为其采取行动的根据。行政机关根据计算机比对而得到的信息准备对个人采取不利的行动时，必须把行政机关准备采取的决定通知个人，并指出个人可以在通知规定的时间内提出抗辩。

5.个人信息比对的目的和项目

该法案只适用于出于下述目的或项目而进行的资料比对:①执行福利计划为目的的比对项目。②以比较联邦职员名册和工资为对象的比对项目。

1974年《隐私法》有两个重要意义。第一，规范了政府收集、处理和利用个人信息的行为，保障政府利用个人信息的法制化，避免个人隐私及其他利益因为个人信息而受到损害。第二，个人可以根据隐私权法查阅、修改、删除自己的个人信息，这为公民取得政府信息提供了新的依据和途径。而1988年的修订则使个人信息计算机比对有章可循。1974年《隐私法》的缺失在于:其规范的对象仅限于联邦政府部级以上的机构，不能适用于以下机构和州政府及其各级行政机构。更不能适用于民间机构。还有，该法没有能够设立一个常设机构来监督行政机关，在执行力度上受损。

二、德国个人资料保护法

德国《联邦个人资料保护法》是大陆法系国家最有代表性的一部个人资料保护专法，它采取统一立法模式，以信息自决权为宪法基础、一般人格权为民法基础，对个人信息给予保护。

（一）立法模式与理论基础

德国个人资料保护法采取统一立法模式，对个人资料保护进行统一规范、统一保护。德国是联邦国家，在联邦政府和州政府层次都制定了个人资料保护法。在体例上，德国保护法分为总则和分则，第一部分“一般条款”是总则，分则由第二部分到第五部分组成。其中，第二部分是“公务机关的资料处理”，第三部分是“非公务机关和参与竞争的公法上的企业的资料处理”，第四部分是“特别规定”，第五部分是最后条款。

制定个人资料保护法的理论基础，分为宪法基础和民法基础。德国制定个人资料保护法的宪法基础是信息自决权理论，民法基础是一般人格权理论。德国宪法法院1983年人口普查法案判决第一次使用了“信息自决权”这一概念，使信息自决权成为德国个人信息保护的宪法依据。在个人信息保护的民法基础方面，一般人格权是个人信息保护的权利基础。

（二）保护对象

1990年德国个人资料保护法第3条第1项规定:“个人资料是指可以直接或间接识别自然人的任何资料。”该条明确将个人资料保护的主体限定于自然人范围，排除了法人和其他组织。这种观点认为，个人资料保护的立法目的在于保护人格的自由发展，而只有自然人才涉及人格发展问题，所以个人资料保护法只保护自然人的个人资料。法人资料的价值和功用和自然人根本不同，这部分资料应该依照不同的原则由有关商业秘密和反不正当竞争的法律进行保护。该条规定的能直接识别本人的个人资料，是指能单独识别本人的个人资料，如肖像、姓名、身份证号码、社会保险号码等；间接识别本人的个人资料是指不能单独识别本人，但与其他资料相结合才能识别本人的资料，如性别、爱好、兴趣、习惯、职业、收入、学历，等等。

（三）基本原则

个人资料保护原则是个人资料保护法的核心内容，很多国际组织在立法方面仅仅规定保护原则^[6]。德国保护法确立了以下原则:直接原则、更正原则、目的明确原则、安全保护原则、公开原则、限制利用原则。

（四）个人信息权

1990年德国保护法将个人资料的使用分为收集、处理和利用三大阶段或程序。根据保护法第3条，“收集”是指取得当事人之资料。“处理”指个人资料的储存、变更、传输、封锁和删除。“利用”是指使用个人资料而与处理无关者。在这三个阶段，保护法赋予个人资料本人四种核心权利:个人资料告知权、个人资料更正权、个人资料封锁权、个人资料删除权。以上四种权利共同构成德国保护法关于个人资料本人权利的基本内容。

（五）监督机制

1990年保护法对监督机制作出了完整而系统的规定。德国主张设置外在的和内在的监督机制对个人信息的处理加以监督保护。德国个人资料保护法设置资料保护委员对公务机关处理个人资料的情况进行监督，同时设置资料保护人对非公务机关处理个人资料进行监督。

（六）跨国传输

德国1990年保护法第17条是公务机关实施个人资料跨国传输的规定。跨国传输是指德国公务机关将其个人资料传输给外国（或地区）的公务机关或非公务机关（包括国际组织），而不论这些机构是否在德国境内。公务机关的个人资料跨国传输有专门法律规定或协议规定的，遵从其规定；没有以上规定的适用关于公务机关向非公务机关传输个人资料的规定。德国保护法第17条第1项规定:“本法第十六条第一款和相关的法律和条约及本法第十六条第三款适用于本法效力范围以外的主体和超国家的或国际的组织传输个人资料。”第16条是关于公务机关向非公务机关传输个人资料的规定。可以得出结论:德国法关于非公务机关个人资料跨国传输的基本态度是将此种传输视同公务机关向非公务机关传输个人资料。依照德国保护法第16条的规定，公务机关向非公务机关传输个人资料，应满足两个要件:第一，传输行为是公务机关履行职务的行为，并且具备个人资料的利用要件；第二，个人资料接收者对要求传输的个人资料有正当利益，并且个人资料本人没有值得保护的利益足以禁止传输实施的。这也是德国保护法个人资料跨国传输的基本条件。

对非公务机关的个人资料跨国传输，保护法未做明确规定，涉及此问题只能借助总则的规定。

（七）损害赔偿

损害赔偿制度是个人资料保护法的权利救济措施，也是信息主体权利救济的最终途径。保护法对基于行政侵权行为发生的损害赔偿和基于民事侵权行为发生的损害赔偿进行了明确的区分，分别规定了不同的归责原则和赔偿范围:基于行政侵权行为发生的损害赔偿适用无过错责任原则，这主要是因为这种“赔偿制度的本质，是对损失的负担或弥补，而不是对造成损失行为或原因的评价”^[7]。在赔偿范围的确定上，针对行政侵权行为放弃了全额赔偿原则，设定了明确的最高限额；而基于民事侵权行为发生的损害赔偿则适用过错责任原则，这是因为民事主体地位平等，“如果个人已尽其法定注意义务，即得以免负侵权责任”^[8]。而在赔偿范围方面则实行全额赔偿，不设最高额限制，这也是民事主体地位平等所要求的。

三、英国《资料保护法》

1972年，英国议会的隐私立法委员会就已提出一份立法报告，建议对政府之外的团体、公司等所拥有的计算机存储个人信息的活动进行立法。1974年的英国《用户信贷法》对一部分个人信息给予了有限保护。随后在1975年、1978年及1982年，英国议会的立法委员会又提交了几份关于《个人档案信息（数据）保护法》的立法报告及白皮书。1984年7月12日英国通过了《资料保护法》（DataProtection Act）。根据欧盟指令的要求，英国资料保护法于1998年7月16日进行了修订，2000年3月1日起修订内容生效。

该法共六章七十五条，其主要特点如下。

1.适用范围

修订后该法的适用范围较修订前扩大，既适用于自动化处理的个人信息，也适用于手工处理的个人信息。

2.突出了敏感性个人信息的保护问题

英国资料保护法的一个很大的特色在于其明确规定了敏感性个人信息。该法第2条对何为敏感性个人信息进行了细致的界定，关于敏感信息的处理适用比琐细信息更严格的规定。

3.资料权体系的构建

该法构建了较为完整的资料权体系，根据该法7—14条的规定，资料本人的权利主要有要求告知权、拒绝权、损害赔偿请求权和要求更正、封锁、删除的权利。

4.八项保护原则

第一，公平原则。收集个人信息必须公平合法。第二，目的明确原则。个人信息只应根据一个或多个明确合法的目的取得。信息处理者处理和利用（包括透露）个人信息应与收集和保存个人信息的特定目的相一致。第三，目的相符原则。个人信息对其处理目的而言应是充足、相关且不过多的。第四，资料品质原则。个人信息的内容必须完整、准确和时新。第五，保存时限原则。为任何目的处理的个人信息都不得超过该目的需要的时间而保存。第六，个人权利原则。个人信息的处理应该尊重信息主体的权利。信息主体有权向信息处理者了解有关自己的信息是否被存储以及使用情况和更改自己的错误或过时的个人信息。第七，安全保障原则。应采取适当技术和组织措施防止非法处理个人信息，防止意外遗失、毁损或毁坏个人信息。第八，跨国传输原则。个人信息不得传输到欧洲经济区以外的国家或地区，除非这些国家或地区保证个人信息处理中本人的权利和自由受到相当水平的保护。

四、日本个人情报保护法

日本于1988年公布了《行政机关电脑处理个人情报保护法》，对政府机关的电脑处理“个人情报”^[9]的行为加以规范。随着社会信息化程度的提高，社会发展越来越依赖于个人信息的收集和利用。日本政府注意到仅仅规范政府机关，而任由民间行业完全自主地对个人信息加以开发和利用远远不能实现保护的目的。在此背景下，于2001年日本内阁会议通过了《个人情报保护法》，并提交国会审议。该法于2005年4月1日实施。该法为政府机关和民间行业共同遵守的处理个人信息的准则，是保护个人信息的基本法。根据此法，个别政府领域或者民间行业可以针对自己的不同情况制定个别法或者自律规范。日本个人情报保护法深受OECD指针确立的指导原则的影响。OECD指导原则均被该法细化到具体的法律规范之中。

（一）立法目的

第一章为总则明确了立法目的。在立法目的方面，虽然有保护个人权力和利益与促进个人情报和合理利用之平衡的追求，但是保护个人权力和利益为该法的最终目的。日本法将个人权力和利益的保护作为立法的终极目的，充分表现了日本政府在信息化过程中对个人的关怀，也体现了它与其他国家立法以及国家组织立法追求权利保护和个人信息利用之平衡的区别，是其法案特色之一。“个人权力和利益”包括隐私权在内的一切人格权、人格利益（如名誉和信用等）和财产利益，是一个可以上升至人权的概念。在立法之初，也曾有学者提出以隐私权为保护目的主张，但最后这个主张完全未被采纳。一是因为个人情报并非均构成个人隐私。个人情报之上的权利，关涉一个人的基本人权、人格权等各种权力和利益，包括财产利益。虽然隐私权是其中主要的内容，但不是全部。二是因为隐私利益也不能涵盖个人情报之上的全部利益。立法者认为，人为社会动物，因此必须容忍自己的个人情报被社会收集，这是人融入社会的必经途径。而此部分个人情报被认为是公共信息，与隐私无涉。三是日本没有成熟的隐私权制度，人们对于隐私和隐私权也有不同的理解。

（二）适用主体和规范对象

该法第一章明确了适用主体和规范对象。日本法将行政机关和民间行业均纳为适用对象。在日本由于很多行政事务是委托“特殊法人”和“独立行政法人”完成的，因此这两类法人也在规范主体之内。在规范对象方面，依据该法第二条的规定，个人情报是指有关一个活着的人的全部情报，包括姓名、出生日期以及记录其他可以直接识别该特定个人和对照识别该特定个人的全部情报。因此，该法未规定保护死者的个人情报，而是根据民法的一般原理将死者的个人情报作为遗族的个人情报予以保护。同时，该法排除法人主体的情报在保护范围之列。更为重要的是，依据该法的规定，仅仅编辑为个人情报档案或者数据库的个人情报才能受到保护法保护，未以数据库形式存在的个人情报有的受到民法的保护，有的则可能不受法律保护。

（三）立法模式与权利基础

日本于1988年公布了《行政机关电脑处理个人情报保护法》，对政府机关以电脑处理“个人情报”^[10]的行为加以规范。随后，又于2005年开始实施《个人情报保护法》。该法为政府机关和民间行业共同遵守的处理个人信息的准则，是保护个人信息的基本法。根据此法，个别政府领域或者民间行业可以针对自己的不同情况制定个别法或者自律规范。因此，日本个人情报保护立法模式可以称为统分结合的立法模式。

制定个人情报保护法的理论基础为人格权。日本个人情报保护法第3条明确规定，对个人情报应在尊重个人人格的前提下谨慎处理。而该法案在行文方面自始至终未涉及“隐私”。可知，日本立法是以人格权作为权利基础，而非隐私权。

（四）控制权

日本学界普遍认为，个人对自己的情报有控制权，个人有权决定在什么范围内、在什么程度上、通过什么方式利用其个人情报。2005年施行的日本个人情报法也是在“控制权”的理念下建立个人信息的保护体系的。因此，学者认为“控制权”虽然没有明文昭示，但“实则为本法案立法之重要立基点”。^[11]

理想的立法背景应该是以相对成熟和科学的法学理论为基础的，然而，事实上，很多应用法学的理论却是在人们针对新问题寻求解决途径的实践过程中产生和发展的，至少，个人信息保护法理论就是如此。当高尖端的信息技术应用于个人信息的处理，人们面对这个突如其来的问题，对于由此涉及的理论难以做到即刻明晰，但时间不等人，问题需要解决，于是小心翼翼的立法终究会迈出大胆的第一步。“实践—学习—成熟”是个人信息保护法及其理论的成长过程。