《个Z息保护法草案》以专章?5条对个h信息处理规则作出了详的规定。细化了民法典关于告知同意的规定Qƈ以告知同意作ZZ息处理中的最基本规则Q对处理者共同决定个Z息的处理、委托他人处理个Z息或向第三方提供处理的个Z息时的法律义务和责Q作出了规定；在区分敏感个Z息与非敏感个Z息的基础上，Ҏ(gu)感个Z息的处理采取更加严格的规则；对国家机兛_理个Z息作Z特别的规定?/span>
民法典在人格权编W六章对个h信息保护作出了规定，不仅界定了个Z息、区分私密信息与非私密信息，q对个h信息处理的涵义以及处理的原则与规则进行了规定。由于民法典是民商事领域的基本法Q其对个Z息保护的规定主要是确立大的原则方向、规定最重大和最基本的问题。故此，个h信息处理的基本规则还需要个Z息保护的专门立法加以规定Q最高立法机x在抓紧v草个Z息保护法?020q?0月D行的十三届全国h大常委会W二十二ơ会议对《个Z息保护法草案》（以下U《草案》）q行了第一ơ审议，q在会后向社会公开征求意见?/span>
《草案》采用专章（W?章）?5条（占整个草案条文数量的比例过三分之一Q对个h信息处理规则作出了详的规定。其特点在于Q首先，l化了民法典关于告知同意的规定，q以告知同意作ؓ个h信息处理中的最基本规则Q从而更好地l护自然人对其个Z息的知情权和军_权。其ơ，对处理者共同决定个Z息的处理、委托他人处理个Z息或向第三方提供处理的个Z息时的法律义务和责Q作出了规定；再次Q在区分敏感个h信息与非敏感个h信息的基上，Ҏ(gu)感个Z息的处理采取更加严格的规则；最后，对国家机兛_理个Z息作Z特别的规定?/span>
以告知同?/span>
作ؓ处理个h信息的基本规?/span>
个h信息处理中的告知同意规则Q是指Q何组l或个h在处理个Z息时都应当对信息M卛_个h信息被处理的自然行告知ƈ取得同意Q除非法律另有规定?/span>
告知同意规则包含了告知规则与同意规则。二者紧密联p，不可分割。没有告知，自然人无法就其个Z息被处理作出同意与否的表C；即便告知了但不充分、不清晰Q那么即便自然h表示了同意，该同意也q是真实有效的同意。反之，虽然告知了且充分、清晎ͼ可是q未取得自然人的同意Q对个h信息的处理也是非法的Q构成对自然ZZ息权益的侵害。告知同意的规则是世界各国个Z息保护立法中所普遍立的一基本规则，即便存在法律规定不适用该规则的情ŞQ如Z公共利益、行法定职责、维护自然h权益{）Q也不能据此否定告知同意规则在个h信息处理中的原则性地位，因ؓ该规则是自然人对其个Z息自d定权的体玎ͼ它奠定了个h信息处理的正当性与合法性的基础?/span>
《草案》在W二章第一节对告知同意规则作出了详l的规定Q如要求处理个h信息的同意应当徏立在个h充分知情的前提下Q自ѝ明作出意思表C（W?4条第1ƾ）Q在个h信息的处理目的、处理方式和处理的个Z息种cd生变更时Q应当重新取得个人同意（W?4条第2ƾ）Q基于个人同意而进行的个h信息处理zdQ个人有权撤回其同意Q第16条）Q除非处理个Z息属于提供品或者服务所必需的，否则Q个Z息处理者不得以个h不同意处理其个h信息或者撤回其对个Z息处理的同意为由Q拒l提供品或者服务（W?7条）Q明个Z息处理者应当告知的具体事项Q第18条）{?/span>
ȝ来说Q《草案》这些规定都是值得肯定的，但是也有若干需要完善之处。例如，《草案》第13条将取得个h的同意与其他不需要取得同意的例外怺q列规定ZZ息处理者可以处理个Z息的情ŞQ显然没有凸昑֑知同意规则作为原则的C。该条第2将“ؓ订立或者行个ZZ方当事h的合同所必需”作Z需要取得同意的例外q于宽泛。这U规定会D个h信息处理者皆可以此ؓ׃取得个h的同意。例如，|络公司在向自然人提供网l服务本w就是要订立|络服务合同Q依据该，可以不经自然人的同意处理其个h信息。再如，《草案》第16条规定了个h有权撤回其同意，但是没有q一步明撤回同意不影响此前个h信息处理行ؓ的合法性?/span>
个h信息处理
涉及多个M时的义务与责?/span>
我国民法典借鉴Ƨ盟《一般数据保护条例》的立法模式Q采用了“处理者”（ProcessorQ来l称实施个h信息处理zd的主体。然而，实践中既存在多个M共同军_个h信息处理的情形，也存在处理者委托他人处理个Z息或者向W三Ҏ(gu)供其处理的个Z息等复杂的情形。这些时候，如何保护自然人的个h信息权益Q怎样定多个处理者之间、委托h与受托h及第三方之间的权利义务关p？Ҏ(gu)Q民法典没有规定。《草案》第21条至W?4条作Z详细的规定?/span>
例如Q第21条规定，两个或者两个以上的个h信息处理者共同决定个Z息的处理目的和处理方式的Q应当约定各自的权利和义务。但是，该约定不影响个h向其中Q何一个个Z息处理者要求行使本法规定的权利。个Z息处理者共同处理个Z息，侵害个h信息权益的，依法承担q带责Q。再如，《草案》第24条明规定，个h信息处理者向W三Ҏ(gu)供其处理的个Z息的Q应当向自然人告知相关信息ƈ取得单独同意{?/span>
《草案》的上述规定非常有必要，但需要进一步完善。例如，W?1条第2Ƒְ共同处理个h信息而R害个Z息权益的民事责Q一律规定ؓq带责QQ似有不妥。因为，在个Z息处理者共同处理个Z息R害个Z息权益的情Ş中，除非处理者存在共同故意，否则单纯的共同处理行为，不一定都产生q带责QQ而是很可能构成民法典W?168条至W?172条规定的各种情ŞQ可能承担连带责任，也可能承担按份责仅R再如，《草案》第22条对委托他h处理个h信息的问题作Z规定。该条的问题在于Q首先，在委托他人处理个Z息时Q应当明要求委托方必须向个人披露受托方的n份和联系方式。其ơ，应当更具体的规定委托方对受托斚w取的监督义务。《草案》第22条第1ƾ仅仅说“对受托方的个h信息处理zdq行监督”，q于模糊。再ơ，在受托方非法处理个h信息或者R完然h的个Z息权益的时候，委托方与受托方的责Q承担问题应当明确带责任，但是内部可以依据合同q行q偿?/span>
敏感个h信息的处理规?/span>
所谓敏感的个h信息主要是指那些涉及自然Zh格尊严、hD由或者其他重大权益的个h信息Q这些个Z息倘若被非法处理，会Ҏ(gu)涉自然h的h格尊严、hD由或者其他重大的n权益、胦产权益造成严重的威胁或损害。民法典只是个Z息区分ؓU密信息与非U密信息Q未规定敏感个h信息。《草案》对此作Z明确的规定，q在W?章第2节进行了具体规范。这一点值得肯定。例如，《草案》第29条第2Ƒְ敏感个h信息界定为“一旦泄露或者非法用，可能D个h受到歧视或者hw、胦产安全受C重危害的个h信息Q包括种族、民族、宗教信仰、个人生物特征、医疗健店金融̎戗个t等信息”?/span>
区分敏感与非敏感个h信息的根本原因就在于处理规则上的差异。首先，Z更好C护敏感的个h信息Q对于敏感的个h信息的处理不仅要取得自然人的同意而且q种同意必须是明C的、单独的同意Q不能是默示的或者概括的同意。但是，非敏感的个h信息无需如此严格。其ơ，个h信息处理者对于敏感的个h信息负有更高的注意义务，否则Q就会出现因为处理者的安全防护措施不而造成敏感的个Z息泄Ԍ对自然h会造成很大的损x风险?/span>
《草案》关于敏感个Z息处理规则的规定Q还有必要加以修改完善。具体而言Q对于敏感的个h信息的处理应当有更严格的要求Q这U严g仅体现在对基于个人同意而处理敏感的个h信息的问题上Q还应当体现在非l个人同意而处理敏感的个h信息的情形应当严格加以限制。首先，只有法律才能规定例外Q即法律才能规定不经个h同意处理敏感的个h信息Q因涉及到基本民事制度，与自然h的重大民事权益密切相养I不能把口子放得太开。从民法典第1033条对U密信息的保护上也可以看出此炏V其ơ，《草案》第13条的规定不能适用于敏感的个h信息Q否则，敏感的个Z息在处理规则上基本上与非敏感的个Z息没有什么差别?/span>
国家机关处理个h信息的特别规?/span>
在个Z息的处理中，区分作ؓ民事M的信息业者和国家机关非常重要Q因Z者处理个Z息活动的性质、负有的义务、对个h信息的利用、相应的法律责Q{方面存在很大的差别?/span>
例如Q国家机兛_理个Z息往往是因履行法定的职责，h强制性。但是，|络企业{信息业者是因ؓ从事l营{民事活动而处理个Z息，是ؓ了私人利益，不具有强制性，自然人有权拒l提供。再如，国家机关因ؓ没有履行个h信息安全保护义务{违法行生的赔偿责QQ属于国家赔偿责任，但是Uh企业的赔偿责d于民事赔偿责仅R因此，在个Z息保护法中专门对国家机关处理个h信息作出规定是有必要的。事实上Q民法典W?039条之所以专门规定：“国家机兟뀁承担行政职能的法定机构及其工作人员对于履行职责q程中知(zhn)的自然人的隐私和个Z息，应当予以保密Q不得泄露或者向他h非法提供。”也正是考虑Cq一区别?/span>
《草案》在W?章第3节对国家机关处理个h信息作出了特别规定，是极有必要的。不q，在完善该节规定时Q需要注意三点：其一Q防止国家机关Q意以履行法定职责为由规避告知同意规则而处理个Z息。《草案》第35条除了“法律、行政法规规定应当保密”外Q又增加了“告知、取得同意将妨碍国家机关履行法定职责”的除外情Ş。如此一来，很可能导致国家机x用该权利而R完然h的个Z息权益。其二，对国家机兛_享个Z息的行ؓq行规范。ؓ了便民利民，防止出现信息孤岛Q国家机关之间信息共享（互相推送信息或开攄口等Q情形较为普遍，此时如何保护个h信息Q一旦发生损宛_何承担责ȝQ《草案》应当予以关注。其三，国家机关工作对个Z息的安全保护义务的行与监督问题。对于国家机兛_的个Z息处理者的q法行ؓQ行个Z息保护职责的部门q行执法是很Ҏ(gu)的。然而，当国家机关不履行个h信息保护义务Ӟ履行个h信息保护职责的部门则可能Ҏ(gu)无法或难以执法，q一点从《草案》第64条只是规定了责oҎ(gu)或对有关人员的处分等q不有力的措施上也可以看出端倪。故此，有必要从法律责Q的规定上强化国家机关对个Z息的安全保护义务?/span>
Q作者ؓ清华大学法学院副院长、教授）
清华校友M服务?/span>
清华校友M订阅?/span>