|
法学院
|
|
□ 孙丽岩
政府收集个人数据中的“权利—权力”结构解析
（一）个人数据权利对政府的防御权功能
个人数据权利具备公民权利的防御权传统功能。固有防御权的实现必然要求在国家和公民之间形成一种权利义务关系，这种法律关系赋予了公民免于国家过度侵扰个人数据的权利，同时对政府科以保持相对不作为状态的义务，要求其在权力的行使中不对个人数据作过多干涉。
（二）政府与个人数据耦合的权力异化风险
政府在数据占有以及采集、储存、分析等方面具有无可比拟的天然优势，借由这种数字力量政府获得了一种新型管控或经济权力——数据权力。数据权力既存在传统权力易被滥用的风险，并且又因为隐蔽性强、覆盖面广等特性而极易超乎传统权力带来新的不利社会影响。数据权力大规模地集聚并利用个人数据进而调整社会主体的行为，成为公民权利受侵犯的主要来源。
（三）政府收集个人数据中的结构性失衡
在公民数据收集时，权力与权利的力量对比始终是一个此消彼长的过程，理想状态下权利义务内容的相对稳定就是一种良性的动态平衡。政府作为公益代言人在个人数据收集的时机、范围、方式等方面拥有绝对主动权。公民的个人数据则时刻被动处于行政权的支配之下，其防御权功能难以有效发挥。只有通过对政府收集个人数据行政权的有效控制才得以实现“权利—权力”的结构平衡，进而实现权利与权力两者之间共同利益的最大化。
政府收集个人数据中的利益结构剖析
确保个人数据收集中政府与公民力量的动态稳定，就是平衡两者相互活动中所隐含的各类公私利益。
（一）个人信息保护法中个人数据收集的两种类型
个人信息保护法规定的国家机关处理个人数据包括基于个人同意的处理与基于法定许可的处理两种类型。这两种类型的数据收集所代表的不同利益保护情形，实际上反映出行政权所代表的公共利益与公民权所代表的个人利益，在不同情形下的力量对比以及法律制度所作出的价值取舍和平衡。
（二）普通情形下的利益结构剖析
个人数据收集环节的利益主要集中于人格尊严利益，具体包括隐私利益与基于主体地位的人格尊严。普通情形下的个人数据处理所涉及的诸如流通价值等公共利益比较有限，尚不足以构成减损个人数据权利的理由。而个人数据权利所包含的人格尊严具有更为重要的价值。法律制度在个人利益保护与数据自由流动的权衡中选择了优先实现前者，知情同意原则成为普通情形下约束行政主体收集个人数据的重要掣肘。
（三）特殊情形下的利益结构剖析
个人数据可视为“可以共享的公共物品”，出于公共利益原因而收集个人数据自然就不可避免。当存在更为重要的公共利益时，考虑到数据收集的成本和急迫性，个人数据主体必然要作出一定让步。公共利益的需要可以构成知情同意原则的豁免事由。在特殊情形下，公共利益的需求成为个人数据收集考虑的首要因素。
政府收集个人数据的比例原则规制
单纯依赖知情同意原则难以有效应对行政主体权力滥用可能给数据主体带来的利益损害。因此，个人数据需要通过比例原则蕴含的成本收益理论规制行政主体的数据收集行为。
（一）政府收集个人数据的基础：目的正当性原则
第一，政府收集个人数据的目的应具有合法性。一方面，政府对个人数据的收集行为应当基于明确法律规定，以此抑制政府的裁量冲动。另一方面，收集目的的合法性意味着行政主体的收集行为至少可以在任意一部法律中找到其目的依据。收集目的合法性的“法”的理解范围决定着个人数据保护与个人数据流通的价值选择。为遵循矫正结构失衡与保护核心权利的逻辑，“法”的理解范围原则上应当严格限定为法律。
第二，政府收集个人数据的目的应具有具体性。通过对目的正当性的严格限定，在很大程度可以避免对个人数据不必要的收集，保证收集行为的透明公开以实现对行政权力的制约，同时也对其后续数据处理行为产生约束。特定、具体的目的极大地压缩了行政主体随意收集的空间，意味着个人数据收集方式由“日常收集”向“固定收集”转变，保证公民不受政府连续监视的威胁。
第三，政府收集个人数据的目的应具有合理性。政府收集个人数据不仅应当存在一个行政“目的”如此简单，而应当具有一个具体的、合理的“目的”，并且这一“目的”还应当在法律规范中找到明确的依据。否则在实践中，行政主体容易以“为了公共利益需要”为名肆意侵扰个人数据，使得目的正当性原则的限制功能实际上被架空。
（二）政府收集个人数据的范围：适当性原则
第一，适当性原则的弱关联结构。一般而言，适当性原则仅要求手段与目的之间实质适当，而非完全适当。现代社会中存在诸多不可控制的变量，能够完全实现目的的手段仅仅是一种美好预期。即使存在相应的手段往往也会由于成本、技术、效益等问题被必要性或均衡性原则截断而丧失可行性。
如何有效发挥适当性原则的权利保护功能，逻辑上存在两种路径选择：第一种路径是调整政府预测义务，即在手段选取阶段要求政府基于合理的客观事实基础，向社会和公民说明预测理由，促使政府更加科学、理性地选取手段；第二种路径是优化手段与目的关联度，即设定某种标准对手段与目的关联度进行优化，形成类型化的关联度控制。
第二，政府收集个人数据的范围应限于既定目的的实现。行政主体在个人数据收集中必须严格按照既定目的进行，理由在于：一是收集环节是个人数据控制权发生转移的重要关口，理应保持审慎态度；二是行政主体对个人数据的收集存在着大量不适用知情同意原则的公益目的，如果在收集阶段对目的与手段的关联性作扩张性理解，目的限制原则就极容易被架空。
（三）政府收集个人数据的程度：必要性原则
第一，政府收集个人数据的程度应限于最低干扰水平。政府在收集个人数据过程中对公民权利的干扰程度必须限于实现既定目的所需的最低水平。根据我国有关必要性原则的相关法律文本，数据最小化包括但不限于：政府收集个人数据的范围、频率、数量、储存期限应限于实现既定目的所必需的最低水平。
第二，政府收集个人敏感数据的严格限制框架。对个人敏感数据收集的严格限制至少包含两个方面：一是在存在多种相同有效性手段可以达到既定公益目的时，应当尽量避免采用收集敏感数据的行政措施；二是确属必要收集个人敏感数据的情形时，应当选择收集敏感数据范围最小的行为方式。应当在立法中明确“以禁止为原则，必要处理为例外”的个人敏感数据处理原则。同时对“特定的目的”和“充分的必要性”作出明确解释，列明收集个人敏感数据的具体情形和适用条件。
（四）政府收集个人数据的效果：均衡性
第一，政府收集个人数据的效果应达致损益均衡。对政府而言，只要个人数据收集涉及公益与私益冲突，就需要通过合比例性控制。至于如何实现损益均衡，目前并未形成统一、规范的标准。理论上偏向引入经济性分析的方法以解释均衡性原则。
第二，政府收集个人数据的个案权衡机制及参酌因素。首先，应当考量据以收集个人数据的公共利益，评估其重要性、急迫性和对个人数据的需求程度；其次，考察数据收集对于数据主体利益的影响程度，进行风险模拟和判断；再次，考虑计划采取的数据保障措施能否减少数据收集对数据主体的利益影响以及减少的程度；最后，在具体场景内对上述因素进行综合衡量。
数据收集中知情同意原则的传统规制模式在大数据时代产生了强烈的不适应性，难以有效承担起保障公民数据权益的重任。因此，在公民的个人数据利益与行政主体所代表的公共利益的利益衡量中，通过比例原则演绎对行政主体的权力行使进行必要限制，保证个人数据收集活动始终符合利益最大化要求，维护数据权益、实现数据自由流通。
（原文刊载于《政法论坛》2024年第3期）
|
|
|
| 政府收集个人数据的合理限度
|
|
|
|
|
|
| （ 2024-06-05 ） 稿件来源： 法治日报法学院 |
|
|
□ 孙丽岩
政府收集个人数据中的“权利—权力”结构解析
（一）个人数据权利对政府的防御权功能
个人数据权利具备公民权利的防御权传统功能。固有防御权的实现必然要求在国家和公民之间形成一种权利义务关系，这种法律关系赋予了公民免于国家过度侵扰个人数据的权利，同时对政府科以保持相对不作为状态的义务，要求其在权力的行使中不对个人数据作过多干涉。
（二）政府与个人数据耦合的权力异化风险
政府在数据占有以及采集、储存、分析等方面具有无可比拟的天然优势，借由这种数字力量政府获得了一种新型管控或经济权力——数据权力。数据权力既存在传统权力易被滥用的风险，并且又因为隐蔽性强、覆盖面广等特性而极易超乎传统权力带来新的不利社会影响。数据权力大规模地集聚并利用个人数据进而调整社会主体的行为，成为公民权利受侵犯的主要来源。
（三）政府收集个人数据中的结构性失衡
在公民数据收集时，权力与权利的力量对比始终是一个此消彼长的过程，理想状态下权利义务内容的相对稳定就是一种良性的动态平衡。政府作为公益代言人在个人数据收集的时机、范围、方式等方面拥有绝对主动权。公民的个人数据则时刻被动处于行政权的支配之下，其防御权功能难以有效发挥。只有通过对政府收集个人数据行政权的有效控制才得以实现“权利—权力”的结构平衡，进而实现权利与权力两者之间共同利益的最大化。
政府收集个人数据中的利益结构剖析
确保个人数据收集中政府与公民力量的动态稳定，就是平衡两者相互活动中所隐含的各类公私利益。
（一）个人信息保护法中个人数据收集的两种类型
个人信息保护法规定的国家机关处理个人数据包括基于个人同意的处理与基于法定许可的处理两种类型。这两种类型的数据收集所代表的不同利益保护情形，实际上反映出行政权所代表的公共利益与公民权所代表的个人利益，在不同情形下的力量对比以及法律制度所作出的价值取舍和平衡。
（二）普通情形下的利益结构剖析
个人数据收集环节的利益主要集中于人格尊严利益，具体包括隐私利益与基于主体地位的人格尊严。普通情形下的个人数据处理所涉及的诸如流通价值等公共利益比较有限，尚不足以构成减损个人数据权利的理由。而个人数据权利所包含的人格尊严具有更为重要的价值。法律制度在个人利益保护与数据自由流动的权衡中选择了优先实现前者，知情同意原则成为普通情形下约束行政主体收集个人数据的重要掣肘。
（三）特殊情形下的利益结构剖析
个人数据可视为“可以共享的公共物品”，出于公共利益原因而收集个人数据自然就不可避免。当存在更为重要的公共利益时，考虑到数据收集的成本和急迫性，个人数据主体必然要作出一定让步。公共利益的需要可以构成知情同意原则的豁免事由。在特殊情形下，公共利益的需求成为个人数据收集考虑的首要因素。
政府收集个人数据的比例原则规制
单纯依赖知情同意原则难以有效应对行政主体权力滥用可能给数据主体带来的利益损害。因此，个人数据需要通过比例原则蕴含的成本收益理论规制行政主体的数据收集行为。
（一）政府收集个人数据的基础：目的正当性原则
第一，政府收集个人数据的目的应具有合法性。一方面，政府对个人数据的收集行为应当基于明确法律规定，以此抑制政府的裁量冲动。另一方面，收集目的的合法性意味着行政主体的收集行为至少可以在任意一部法律中找到其目的依据。收集目的合法性的“法”的理解范围决定着个人数据保护与个人数据流通的价值选择。为遵循矫正结构失衡与保护核心权利的逻辑，“法”的理解范围原则上应当严格限定为法律。
第二，政府收集个人数据的目的应具有具体性。通过对目的正当性的严格限定，在很大程度可以避免对个人数据不必要的收集，保证收集行为的透明公开以实现对行政权力的制约，同时也对其后续数据处理行为产生约束。特定、具体的目的极大地压缩了行政主体随意收集的空间，意味着个人数据收集方式由“日常收集”向“固定收集”转变，保证公民不受政府连续监视的威胁。
第三，政府收集个人数据的目的应具有合理性。政府收集个人数据不仅应当存在一个行政“目的”如此简单，而应当具有一个具体的、合理的“目的”，并且这一“目的”还应当在法律规范中找到明确的依据。否则在实践中，行政主体容易以“为了公共利益需要”为名肆意侵扰个人数据，使得目的正当性原则的限制功能实际上被架空。
（二）政府收集个人数据的范围：适当性原则
第一，适当性原则的弱关联结构。一般而言，适当性原则仅要求手段与目的之间实质适当，而非完全适当。现代社会中存在诸多不可控制的变量，能够完全实现目的的手段仅仅是一种美好预期。即使存在相应的手段往往也会由于成本、技术、效益等问题被必要性或均衡性原则截断而丧失可行性。
如何有效发挥适当性原则的权利保护功能，逻辑上存在两种路径选择：第一种路径是调整政府预测义务，即在手段选取阶段要求政府基于合理的客观事实基础，向社会和公民说明预测理由，促使政府更加科学、理性地选取手段；第二种路径是优化手段与目的关联度，即设定某种标准对手段与目的关联度进行优化，形成类型化的关联度控制。
第二，政府收集个人数据的范围应限于既定目的的实现。行政主体在个人数据收集中必须严格按照既定目的进行，理由在于：一是收集环节是个人数据控制权发生转移的重要关口，理应保持审慎态度；二是行政主体对个人数据的收集存在着大量不适用知情同意原则的公益目的，如果在收集阶段对目的与手段的关联性作扩张性理解，目的限制原则就极容易被架空。
（三）政府收集个人数据的程度：必要性原则
第一，政府收集个人数据的程度应限于最低干扰水平。政府在收集个人数据过程中对公民权利的干扰程度必须限于实现既定目的所需的最低水平。根据我国有关必要性原则的相关法律文本，数据最小化包括但不限于：政府收集个人数据的范围、频率、数量、储存期限应限于实现既定目的所必需的最低水平。
第二，政府收集个人敏感数据的严格限制框架。对个人敏感数据收集的严格限制至少包含两个方面：一是在存在多种相同有效性手段可以达到既定公益目的时，应当尽量避免采用收集敏感数据的行政措施；二是确属必要收集个人敏感数据的情形时，应当选择收集敏感数据范围最小的行为方式。应当在立法中明确“以禁止为原则，必要处理为例外”的个人敏感数据处理原则。同时对“特定的目的”和“充分的必要性”作出明确解释，列明收集个人敏感数据的具体情形和适用条件。
（四）政府收集个人数据的效果：均衡性
第一，政府收集个人数据的效果应达致损益均衡。对政府而言，只要个人数据收集涉及公益与私益冲突，就需要通过合比例性控制。至于如何实现损益均衡，目前并未形成统一、规范的标准。理论上偏向引入经济性分析的方法以解释均衡性原则。
第二，政府收集个人数据的个案权衡机制及参酌因素。首先，应当考量据以收集个人数据的公共利益，评估其重要性、急迫性和对个人数据的需求程度；其次，考察数据收集对于数据主体利益的影响程度，进行风险模拟和判断；再次，考虑计划采取的数据保障措施能否减少数据收集对数据主体的利益影响以及减少的程度；最后，在具体场景内对上述因素进行综合衡量。
数据收集中知情同意原则的传统规制模式在大数据时代产生了强烈的不适应性，难以有效承担起保障公民数据权益的重任。因此，在公民的个人数据利益与行政主体所代表的公共利益的利益衡量中，通过比例原则演绎对行政主体的权力行使进行必要限制，保证个人数据收集活动始终符合利益最大化要求，维护数据权益、实现数据自由流通。
（原文刊载于《政法论坛》2024年第3期）
|
|
|
