□ 许志强
个人信息保护法施行五年来，构建了覆盖公私主体的个人信息保护规则体系，通过设置国家机关处理个人信息专门条款，将公权力主体的数据处置行为纳入法治化轨道，推动数字时代人格权益保障从立法文本转向实践落地。公安机关作为参与社会数字治理的重要公权力机关，在执法办案、社会治理、公共服务过程中掌握规模庞大的公民个人信息，其信息处理行为直接关系到公共治理效能与公民人格权益保护的平衡。时值该法实施五周年，复盘梳理公安实务中个人信息处理的现实场景，厘清履职行为与服务行为的法律边界，剖析律师调查取证、人脸生物信息运用等实践难题，对进一步推动公安机关个人信息处理工作规范化具有重要现实价值。
个人信息保护法对国家机关处理个人信息的基本要求
个人信息是指以电子或者其他方式记录的能够识别特定自然人的各类信息，经匿名化处理、无法指向特定主体的信息不在此范畴。个人信息的处理涵盖收集、存储、使用、加工、传输、提供、公开、删除等全流程活动。依据法律规定，国家机关处理个人信息总体适用个人信息保护法，针对国家机关设有专门规定的，则优先适用专门规定；各级人民政府及其有关部门组织实施的统计、档案管理活动，法律另有规定的适用其规定。
国家机关履行法定职责处理个人信息，需要在权力来源、实施程序两个维度受法律约束，集中体现为合法必要原则、告知义务、敏感个人信息特殊管理三方面要求。
第一，恪守合法、必要的基本准则。个人信息保护法第三十四条规定，国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。这意味着，公安机关开展个人信息处理的权力渊源仅限于法律与行政法规，地方性法规、部门规章、规范性文件及内部工作指引等不能独立作为处理个人信息的合法依据。
履行法定职责包含两层实践内涵：一是基于法律、行政法规的明确授权开展个人信息处理，法律规范对信息处理的对象、范围与边界都有相应的限定；二是承担法定信息提供义务，即向其他有权主体移送所掌握的个人信息。
无论是依职权主动开展信息处理，还是应请求履行信息提供义务，都必须恪守法定程序，严格限定在履职必需的范围之内。公安机关应开展必要性甄别，结合履职实际确定信息提供的范围与程度，杜绝不加甄别地批量推送数据。
第二，依法落实信息处理的告知义务。依据个人信息保护法第三十五条，国家机关为履行法定职责处理个人信息，应当向信息主体履行告知义务；在法律、行政法规规定应当保密、不需要告知，或者告知将妨碍法定职责履行的情形，可免于告知。
告知应当采用清晰醒目的表达方式，完整说明信息处理主体及联络方式、处理目的与方式、信息种类及保存期限、权利行使途径以及法定其他事项。当处理对象为敏感个人信息时，应当专门说明处理行为的必要性及其对个人权益可能产生的影响。
第三，强化敏感个人信息的管控力度。生物识别、宗教信仰、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人的个人信息，均属于敏感个人信息。这类信息与公民人格尊严、人身财产安全高度关联，故法律设置了更为严格的约束条件，公安机关履职处理该类信息应当遵从特殊监管要求。
实践中，公安机关在执法履职之外收到社会求助类信息查询申请，该类信息查询属于公共服务范畴。按照法律规定，此类情形下处理个人信息，应当取得信息主体的同意并完成法定告知程序。鉴于该类操作涉及第三方公民个人隐私，整个办理过程必须筑牢信息安全防线，防范发生信息泄露风险，有效保护公民个人信息安全。
律师申请查询公民个人信息的现实问题与处理思路
司法实践中，律师基于代理案件需要向公安机关申请调取公民个人信息是较为常见的场景。律师法第三十五条赋予律师自行调查取证的权利，律师凭执业证书和律师事务所证明，可以向有关单位或者个人调查与承办法律事务有关的情况。但该条文并未对律师调查的适用条件、信息范围、操作流程作出细化，既缺少律师调查权受侵害的救济路径，也未设置拒不配合调查和律师滥用调查权对应的法律后果，制度供给的不足给基层实务操作带来现实困惑。
针对律师的信息调取申请，应当分类予以处置。对于法律、行政法规作出明确规定的，严格按照既有规范执行；上位法缺乏明确规定的，公安机关应当开展实质性审查，重点判断申请调取的信息是否属于正在进行的诉讼、仲裁案件客观所需，将调取范围限定于案件办理的最小必要范畴。向律师交付相关信息时，应当明确限定信息的使用边界，相关材料仅限本案法律事务使用，禁止擅自转递、对外公开。
从权益平衡角度出发，民事领域公安机关向律师提供个人信息，应当限定于民事诉讼、仲裁的办案需求；可对外提供的信息，仅限于本地公安机关履职过程中形成的公民个人信息。对于公安机关从其他行政机关、外地公安机关获取的个人信息，仅供本单位内部履职使用。
如果律师的查询申请并不依托于正在办理的诉讼或者仲裁案件，该申请的性质就属于社会求助。公安机关此时提供信息属于公共服务行为，依据个人信息保护法，应当取得被查询主体的同意，并依法履行告知义务。
公安机关处理人脸信息的合规要求
人脸信息属于生物识别类敏感个人信息，具有唯一性、不可变更的特征，一旦泄露将对公民身份安全构成重大威胁。因此，法律对人脸信息的采集、使用设置严格的约束条件，公安机关处理人脸信息要遵从对应的规范。
公安机关对人脸信息的处理覆盖采集、存储、比对使用、对外提供、公开等环节。开展上述活动，首先，须具备法律、行政法规的明确授权，处理权限与信息范围严格限定于履职所需，不得在缺少上位法依据的前提下大规模采集、比对人脸信息，杜绝超范围开展信息处理。其次，操作过程严格遵循法定权限与法定程序，落实敏感个人信息的各项监管要求。对于非履职场景下收集人脸信息，应当依法取得本人同意，完整履行告知义务。
个人信息保护法实施后，公安机关系统梳理全部涉及个人信息的业务事项，区分法定履职行为与社会服务类行为，完善内部工作规范。针对法律明确要求告知、需要获取个人同意的业务场景，制定统一制式法律文书，为一线执法活动提供操作指引，从制度层面保障公民个人信息权益。
数字化治理背景下，公安机关掌握海量公民个人信息，每次信息查询、调取、对外提供，都关乎公民个人信息安全和人格权益保护。贯彻落实个人信息保护法，核心在于厘清不同业务场景下的法律适用边界：法定履职场景严格恪守法律、行政法规划定的权力边界；面向社会的服务类信息处理，则严格落实告知、个人同意等法定要件。面对律师调查取证、人脸信息应用等实务难点，恪守最小必要的审查标准，统筹社会治理需要与个人信息权益保护，推动公安机关个人信息处理全流程纳入法治轨道。
（作者单位：北京市公安局法制总队）
2026年10月28日
