刑事诉讼中适用《个人信息保护法》相关问题研究

《个人信息保护法》的颁布实施将刑事诉讼统一纳入个人信息保护法律规范体系当中,需要认真研究刑事诉讼中如何适用《个人信息保护法》的相关规定。个人信息保护中的核心规则“告知-同意”规则在刑事诉讼中基本失效,同意规则无须适用,告知规则设置了宽泛的例外,刑事诉讼法律规范中应当明确例外的界限与适用情形。对于个人信息保存时限、委托处理个人信息的相关规则、自动化决策和敏感个人信息的处理,刑事诉讼中都应当进一步予以细化规定。个人信息权益在刑事诉讼中呈减损状态,但不应被彻底剥夺,应当着力强化刑事执法、司法机关的个人信息保护的合规义务,构建《个人信息保护法》适用于刑事司法领域的若干支撑配套制度,包括将规制场景由技术侦查扩展至更为广阔的信息收集实践,强化事先数据合规制度建设,增设检察机关作为刑事司法系统中投诉处理的负责机构等。     

国内简讯

正3Q大战落幕,腾讯大获全胜——针对奇虎360诉腾讯不正当竞争纠纷上诉案,最高人民法院公开开庭宣判,驳回了奇虎360的全部上诉请求,维持一审判决。《互联网企业个人信息保护测评标准》在京发布3月15日,中国科学技术法学会和北京大学互联网法律中心在北京联合发布了我国互联网领域首部由独立第三方学术机构倡议的个人信息保护测评行业标准---《互联网企业个人信息保护测评标准》(以下简称《标准》)。《标准》严格遵循我国现行法律法规中规定的个人信息保护准则,在充分考量消费者个人权益保障与互动态     

大数据时代日本个人信息保护法探究

个人信息本来是极其隐私的事物,在大数据时代却时刻处于"裸奔"状态,时刻面临被侵犯的风险。特别在新冠肺炎疫情防控中,大数据技术发挥了重要作用,个人信息保护再次引起关注。整体而言,日本个人信息保护法以"个人优先"与"公共优先"的宗旨博弈为出发点,以"个人信息"的概念界定为基础,以个人信息权的保护为核心,以个人信息保护机构的独立设置为落脚点,为个人信息的保护奠定了基础。我国应当积极行动起来,尽快颁布《个人信息保护法》,助力大数据时代个人信息保护和数字经济的发展。     

论数字平台的合规监管

作为回应平台监管挑战的制度方案,合规监管在政策立法和执法实践中都愈发重要。合规监管是由自我监管(企业的合规管理)和后设监管(监管机构对企业自我监管的监管)构成的二阶治理模式。合规监管契合了数字平台的独特性及其对监管提出的敏捷性、预防性、统合性和合作回应性等新要求,可以作为常态化监管的有效制度安排。在方法论上,借助回应性监管理论,合规监管在数字平台监管领域的运用可以采取监管工具金字塔与监管策略金字塔、第三方外部监督机制、对数字守门员的重点监管等制度方案,以实现规范与发展并重的治理目标。     

个人信息保护法与侵犯公民个人信息罪的衔接机制

《个人信息保护法》是数字时代的前沿性法律,具有前置法、不完整领域法、不真正附属刑法的特征,与《刑法》中侵犯公民个人信息罪的规定存在时差。为了有效融通规范之间的衔接鸿沟,需要将《个人信息保护法》嵌入侵犯公民个人信息罪的出入罪适用流程。在入罪衔接机制上,将两法中的个人信息范围作统一理解,避免犯罪圈的扩张化;将前置法关于个人信息的类型划分和处理设置,作为解释侵犯公民个人信息罪构成要件的方向,以实现罪刑均衡和法律衔接。在出罪衔接机制上,《个人信息保护法》上的“同意”因法益阙如而阻却刑事违法,其余《个人信息保护法》上的正当化事由均因法益衡量原理阻却刑事违法,相应正当化事由可分别归入刑法教义学上的正当业务行为、紧急避险、法令行为,而合理处理已公开个人信息应成为数字时代独立的新型违法阻却事由,前述事由可在个人信息分类场景下为相关行为出罪。     

网络平台处理个人信息的合规义务及其出罪路径

数字经济时代的网络平台治理呈现出侵犯个人信息犯罪责任转嫁的平台泛刑化和类推入罪的平台重刑化等趋势,但并未消解平台犯罪的高发态势,反而抑制了平台经济的良性发展。网络平台处理个人信息的刑法规制逻辑应由报应制裁转向合规激励、由被动整改转向主动预防、由全面合规转向专项合规,引入个人信息合规专项激励机制,实现平台犯罪治理体系的现代化改造。个人信息合规出罪的根据是督促平台履行双重合规义务,包括事前风险评估、事中安全防护、事后应急处置的前置合规义务束和对员工监督管理、防止个人信息泄露的刑事合规义务束。在此基础上,平台尽到前置合规义务则不具有前置违法性;对应刑事合规义务空白则不存在刑事违法性;未违反刑事化的监督管理义务不存在监督管理过错;未违反防止信息泄露的刑事合规义务则不符合拒不履行信息网络安全管理义务罪的构成要件。     

生成式人工智能中个人信息保护的全流程合规体系构建

在当前生成式人工智能的运行过程中,个人信息面临着收集范围与限度不明、算法违规处理及生成错误结论等问题,因此亟须构建个人信息保护的全流程合规体系。在准备阶段,生成式人工智能应该基于最小必要原则来明确合规收集范围,并将个人信息进行碎片化处理来合规限制收集深度。在运算阶段,生成式人工智能应该在自我学习时通过知识蒸馏构建学生模型来保证算法合规,并进行安全评估与算法备案。对一般类型个人信息、敏感个人信息及生物特征信息采用不同的合规处理模式,并在反馈阶段标注存在风险的个人信息,反向推动算法进行自我改进。在生成阶段,当生成错误结论时,合规监管部门应该分类审查生成式人工智能在个人信息处理上的缺陷,并从合规有效性标准、算法运算逻辑及实质法益损害这三个方面判断平台能否实质出罪。     

风险治理视角下的个人信息保护路径

数字时代应有效回应信息科技引发的新型信息风险。日益广泛的个人信息处理行为不仅可能会给个人带来多种风险,影响个人人格的全面自由发展,而且可能会对社会与国家造成重大安全隐患。有效保护个人信息,既需要公私主体消极不侵犯个人信息,又需要国家通过不断完善体制机制积极治理信息风险。在风险治理组织上,宜吸收大部制机构改革的历史经验,设立统一的个人信息保护专门机构实施“一站式监管”。在风险预防措施上,应对个人信息进行科学的分类分级以进行不同安全等级的信息风险预防,并以安全与效率的平衡为理念设计个人信息保护影响评估、个人信息出境安全评估等制度。由于个人信息保护执法裁量空间巨大,有必要努力制定个人信息保护处罚裁量基准,并探索执法和解机制以促进企业合规。为了更全面有效地进行信息风险治理,应逐步放宽个人信息保护民事公益诉讼,强化个人信息保护行政公益诉讼。     

《民法典人格权编(草案)》中“个人信息自决”的规范建构及其反思

《民法典人格权编草案(三次审议稿)》中规定的个人信息保护规范严格贯彻了"个人信息自决"这一基本原则,其具体规范建构充分体现了这一原则的各项要求。但"信息自决"这一理念产生于二十世纪六七十年代,鉴于时代的变迁,单纯的"信息自决"原则已经无法满足当代个人信息保护和信息产业发展的需要。本文试图通过对相关社会背景和法律规范变迁的梳理,说明"个人信息自决"原则的局限所在,并结合"场景理论"找出影响个人信息保护强度的关键要素,为《民法典人格权编(草案)》相关规范的修改以及司法实践提供有价值的参考。     

《民法典》视域下的个人信息保护

个人信息的重要性随着互联网、大数据、云计算和人工智能的快速发展越来越凸显。《民法典》对个人信息权益的法律属性界定以及相应保护规定,将自然人的个人信息保护提到了一个新高度,为进一步完善个人信息保护法律体系提供了重要的立法依据。但是,个人信息随技术变化还有许多方面不甚明确,适应这种变化的法律要求会不断提高。在《民法典》的视域下,不仅可以看到要保护哪些个人信息、保护的法律属性和实施保护的基本取向,还可以发现构建以《民法典》为基础的个人信息保护法律体系将是我国法治建设的一项重要任务,特别要加快《个人信息保护法》的制定进程。     

论数字时代个人信息的刑法保护路径选择

在数字经济时代,针对个人信息的保护存在两种路径,鉴于“基于权利的方法”存在一系列的缺陷,“基于风险的方法”正逐渐兴起。“基于风险的方法”的重点在于风险分析,其具有将个人信息保护从“纸面的官僚要求”向“实践中的合规”转变等优势。“基于风险的方法”将个人信息保护的责任更多地赋予信息处理者,这在我国《个人信息保护法》等法律法规中已有体现。“基于风险的方法”仅是对元监管的部分实施,其主要目标是改善、加强法律框架的合规内化与实施,更强调对信息处理者的问责,其并未将个人信息保护标准制定权授予信息处理者,故有必要引入“合规风险”的概念。在“基于风险的方法”的视域下,个人信息的界定与分类应根据场景作动态判断,侵犯公民个人信息罪之“违反国家有关规定”应是缺乏“同意”的上位概念,信息主体之同意并非判定是否构成本罪的唯一标准。同时,若信息处理者未制造、实现“合规风险”的“后果”要素,则不构成本罪。     

论数字时代个人信息保护与利用平衡的展开路径

数字时代个人信息流通会带来巨大的经济效益，个人信息的公共属性越来越鲜明，不仅附着了个人利益，还承载着其他公共利益，信息的广泛利用是不可逆转的时代潮流。科技进步增强了信息泄露的风险，加强个人信息保护成为信息利用的题中之义。在个人信息保护实践中，应该充分运用比例原则，从适当性、必要性、衡量性着手，确保手段、目的与效果的辩证统一，推动信息保护与利用的平衡。《个人信息保护法》充分体现了该理念，授予个人广泛的信息权益，但约束权益行使的自由度；规范信息处理者的义务，但承认信息利用的前提；明确国家机关的保护职责，但视其为信息利用主体，核心在于综合考量，适度维持同一主体内部保护与利用的动态平衡。另外，未来还应该从体系平衡、利益平衡、标准平衡、过程平衡、模式平衡等外部系统着手，通过内外结合共同发挥作用，助推平衡目标早日实现。     

人脸识别信息保护的规范建构

人脸识别是人工智能的重要应用。运用人脸识别技术应加强人脸信息保护。我国人脸识别信息保护缺乏专门的法律规范，《个人信息保护法》第62条特别强调对“人脸识别”制定专门的保护规范。我国应在系统总结现有立法、执法和司法经验的基础上，树立尊重数字人权、适当限制公权、注重利益平衡的理念，构建人脸识别信息保护的实体性规范、优化人脸识别信息保护的程序性设计，以《个人信息保护法》等法律法规为依据，由国家网信部门统筹协调有关部门，围绕人脸识别的收集、存储、使用、加工、传输、提供、公开、删除等行为制定《人脸识别信息保护规范》。     

个人信息保护的私法维度——兼论《民法典》与《个人信息保护法》的关系

个人信息的私法保护路径对于有效保障民事主体的个人信息权益十分重要;《个人信息保护法》本身包含大量的私法规范、制度和原则,因此需要从体系化的角度与《民法典》作关联解读与适用.由此,需要充分认识到《民法典》与《个人信息保护法》之间的内在密切关联,正确看待二者的关系.《民法典》与《个人信息保护法》中的私法规范构成普通法与特别法的关系,在后者有明确规定的时候应优先适用,而在其没有规定的时候应适用《民法典》的规则.在个人信息保护的法律适用中将二者割裂甚至对立起来的观点或者对《民法典》采取排斥封闭的态度,都会破坏法律体系的和谐和法律适用的统一,对个人信息保护来说也是不利的.     

论技术鸿沟与个人信息保护——对互联网时代民法典个人信息保护模式的反思

互联网技术迅猛发展,引导技术理性创新的法律却发展缓慢,民法的保守性与滞后性,决定其对个人信息的保护落后于社会发展和实际需要。司法裁判显示,个人信息保护民事案件与刑事案件大多在两个不同的"场域"展开,技术鸿沟造成了民事意义上的个人信息维权困境。个人信息应当以保护为主,寻求保护与利用的最大平衡;以民法典为基础,密织个人信息保护综合网;以《个人信息保护法》为重点,完善个人信息保护规则;探索和发展个人信息保护支持起诉与公益诉讼。     

个人信息治理的科技之维

在个人信息保护法出台的背景下,重新构想科技与法律之间的关系,可谓总体回应数字时代个人信息危机的重要一环.作为国家、企业、个人三方权益汇聚之地,个人信息研究必须超越传统的"规制—权利"思维,迈向国家法律、信息科技、市场竞争和社群规范的个人信息治理体系.在诸多系统中,信息科技居于优位.一方面,它以"合规科技"的面貌,凭借"经设计的治理理念",将国家法律的原则和规则转化为个人信息生命全周期的科技保护;另一方面,它以"赋能科技"的面貌,通过降低法律执行成本、当事人交易成本,甚至改变法律的"假定条件",赋能各利益相关方.为此,法律应合理解释个人信息"匿名化"构成要素,认可"去标识化信息"的法律意义,从而使信息科技与法律彼此协调,共建激励相容的个人信息治理体系.     

数字人民币运营机构安全保障义务的廓清与实现

数字人民币运营机构泄露用户个人信息,以及个人信息处理过程中所面临的信息窃取风险引发了学界对用户个人信息权益保护的争论。数字人民币运营机构负有保护用户个人信息权益的义务,具体包括信息风险的消除、控制、预防三种类型,其法定化则可借由“危险源监控”型安全保障义务而实现。信息风险应采用动态模式加以消解,以衡平用户个人信息安全保障与共享利用。安全保障义务的归入标准与择出机制可借助场景分析与风险评估实现。在责任承担上,应以过错程度区分侵权人的连带责任与补充责任,并限定向第三人追偿的前提与比例,达致数字人民币运营机构与用户之间利益的最大化。     

个人信息权的体系化解释——兼论《个人信息保护法》的公法属性

《个人信息保护法》是数字时代个人信息保护的基本法。它采取了将个人信息权作为新兴公法权利的思路,确立了完整的个人信息权利保护体系,在个人信息保护问题上和《民法典》一起形成了公私法共同协力的进路。《个人信息保护法》以权利束的方式规定了个人信息主体的知情权、决定权、查阅权、复制权、更正权、删除权、可携带权和信息权利救济权等。《个人信息保护法》从立法依据、权利体系、条文设计和规制措施上都体现出鲜明的公法属性,这也可以从基本权利的双重面向和个人信息国家保护义务得到理论上的证成。这部法律是数字时代公法秩序的基石,它对公法边界的形塑仍需通过其实施来确立。     

敏感个人信息保护的特殊制度逻辑及其规制策略

敏感个人信息因其对个人的人身和财产安全具有极端重要性,需要特别的法律保护。我国现行立法对敏感个人信息的特别保护存在制度供给不足。《个人信息保护法》虽秉持对一般个人信息和敏感个人信息区别规制的立法思路,但有关敏感个人信息特别保护的规范较为简略。从我国敏感个人信息保护的实践需求及域外立法经验来看,敏感个人信息保护在"知情同意"的适用、法定处理事由的明确、技术治理的实现、损害认定的完善等方面应有区别于一般个人信息保护的特殊制度逻辑。相应地,敏感个人信息保护也应有区别于一般个人信息保护的特殊规制策略。     

“无意入镜者”个人信息权益的保护——以公共场所的个人信息权益为视角

随着科技的发展,公民更加频繁地用镜头记录其日常生活。在公共场所,拍摄者有可能也将他人摄入镜头之中,构成了"无意入镜者"的情形。我国《民法典》与《个人信息保护法》并未将"无意入镜者"在公共场所中的个人信息权益与非公共场所的个人信息权益进行区分对待,无论个人信息是否属于私密,都可以得到保护。在"无意入镜者"个人信息权益与拍摄者权益平衡的问题上,应对我国《民法典》与《个人信息保护法》确立的关于个人信息保护的告知同意规则进一步做出解释。公共场所本身的属性,意味着"无意入镜者"存在自行公开个人信息的可能。对于被认定为自行公开的个人信息,拍摄者无需再取得"无意入镜者"的同意。除此之外,在公共场所中,履行告知同意义务既应当像服务提供商或者公权力机构采集民事主体个人信息一样严苛,同时可以适用默示同意的推定行为的空间而无需取得"无意入镜者"的明示同意。