國際個人數據信息保護立法及對我國的啟示

周登憲 王志華 喬麗華

（中國人民銀行菏澤市中心支行，山東 菏澤 274000）

一、引言

個人數據信息保護總是和隱私權相伴而行。早在第二次世界大戰結束時，歐洲國家就將隱私定義為一項基本的人權，并將其寫入1948年的《全球人權宣言》中。自20世紀80年代開始，隱私權在歐盟具有了基本人權的地位，“隱私權來源于個人的自我決定權利，而這一權利建立在個人是最后且唯一的合法性來源的觀念之上。這意味著作為一項基本原則，每個人都有權自我決定何種個人數據可以被收集、存儲或發布”。

在當今的“信息叢林”社會中，一個國家征信市場的健康、有序發展，離不開有效、可行的法律約束和規范。在加強我國征信系統建設的同時，個人數據信息的保護立法也應得到高度重視和強化。

二、個人數據信息的定義和內容

（一）個人數據信息的定義

個人數據信息是指屬于個人的具有一定使用價值的或者經過加工處理過的信息，是一個具有技術含量的概念，主要是指個人信息中經過特定的加工處理被數據化了的內容。在互聯網系統中，具體表現為承載或者標識個人信息的數字單元及其組合。

有些學者認為：個人數據信息是與個人的人身、生活、活動相關聯。其中一部分是由人的自然屬性決定，主要表現為反映個人基本特征的數據，如姓名、肖像、體貌、習慣、嗜好等；另一部分則反映了社會屬性特征，主要表現為個人社會生活和活動一般特征的數據，如住址、通訊方法、職業、工作單位、職務等。有些學者則認為：個人數據信息主要反映在兩個方面，即它是個人人身自由和相應的人身權利的體現，而人身自由和人身權利則主要包括個人的身體自由以及與此相應的權利，也包括個人的精神自由以及與此相應的權利。

歐盟及其成員國的法律基本將凡是與特定的個人有關的所有信息都歸屬于個人數據的范圍。德國聯邦數據保護法規定，“個人數據是指關于某個特定的或可確定的人的個人情況和實體環境的一切信息”；荷蘭數據保護法規定，“個人數據是指關于某個特定的或者可確定的個人的任何信息”；意大利的個人和其他主體的個人數據處理法案規定，“個人數據是指關于可以通過包括個人身份證號碼在內的其他信息來確定的自然人、法人或社團的一切信息”；歐盟個人數據處理保護和個人數據自由流動指令則規定，“個人數據是指關于某確定的或可確定的自然人（數據主體）的一切信息。可確定的自然人是指可以直接或間接地通過身份證號碼或相關生理、心理、精神、經濟、文化、社會身份信息來確定的人”。

表1：個人數據信息內容

（二）個人數據信息的內容

受社會制度、經濟發展水平、文化習俗及科技水平等諸多因素的約束，各國對個人數據信息內容的規定不大相同，但個人數據信息的主要內容總體歸納如下：（1）個人的基本數據信息——個人的姓名、性別、年齡、民族、籍貫等；（2）與個人的身體有關的數據信息——個人的體貌特征（包括身高、體重、肖像等）、器官特征、健康狀況、病史病歷等；（3）與個人家庭有關的數據信息——家庭住址、家庭通訊方式、家庭組成狀況、家庭的收入狀況、家庭的財產狀況等。從公共事務管理角度人們將個人數據信息定義為與個人生活、教育、工作、經濟狀況、社會活動有關的數據信息（見表1）。

三、國際個人數據信息保護情況

（一）國際個人數據信息保護立法

個人數據保護源于歐洲，但在世界范圍內越來越多的國家正在加強數據保護。由于各國的經濟、政治、文化、民俗等多元素存在，造成個人數據信息的內容多元化，相應的法律保護規范和法律制度存在多元化狀況。歐盟與美國信息化發展程度較高，相應的立法就相對活躍，走在世界前沿。除了專門的個人數據保護法律提供直接的法律保護外，圍繞著“隱私”、“隱私權”、“隱私權保護”等概念也有相應間接性的法律規范。如美國將法律保護意義上的個人數據信息統一在“隱私”的概念之下，并指出了它的4種基本形態——個人的秘密、個人的姓名和肖像、個人的私生活和個人的不實形象，并實施相應的保護和規范。

縱觀全球，歐盟及其成員國也已建立了基本的法律制度框架；工業發達且信息化程度較高的美國法律制度相對完善；亞洲國家和大洋洲國家近幾年來也開始建立其相關的法律制度。目前，全球制定相關個人數據保護立法的國家(地區)主要有歐洲、美洲及少許的亞洲國家( 地區（)見表2）。

在這些立法的國家(地區)中,美國、加拿大等國家數據保護基于共同法和案例法、行政管理法和立法權等不同的法律；歐盟則建立了一種適用于所有歐盟成員國的“協調體制”，數據保護覆蓋公共和私營兩個部門；歐盟成員國及一些東歐國家、拉丁美洲的一些國家和中國香港，相關立法都是受《歐盟數據保護指令》的啟發或基于《歐盟數據保護指令》。

（二）歐美個人數據保護體制

1.美國個人數據保護體制。第一個對征信業進行監管的國家是美國。美國沒有頒布一般性的數據保護法，而是具有行業特征的監管手段。《公平征信法》是美國特別針對信息產業的第一部法律。征信公司是處于數據保護而受監管的第一類產業。該法均是圍繞披露信用記錄、爭議不準確性的程序以及記錄使用者的基本責任等可允許的目的而制定的。根據1970年的《公平征信法》，能進行記錄披露的只有4個主要目的——某種信貸交易、簽發保單、消費者提起的任何商業交易、只要報告使用者有合法商業需要的任何其他目的。

市場的發展推動了《公平征信法》（1970）改進。征信公司以及數據提供者被賦予了更多的責任，而消費者對其信息被賦予了更多的所有權。1996年的《消費者征信改革法》對《公平征信法》做了修訂，要求征信公司必須對數據不準確的情況進行調查，并將調查結果通知消費者，同時免費向其提供一份信用報告。信息錯誤必須在30天內消除，并首次為注入銀行的數據提供者設定了責任和義務。數據提供者被禁止披露那些他們知道或“有意識地避免知道”的不準確的信息，他們也有責任來更正、更新和重新報送數據。此外，他們必須就所報送的更正數據通知所有的征信機構；1998年的《消費者征信就業澄清法》對《公平征信法》進一步修改，指出若沒有消費者的明確同意和書面授權，任何個人或者機構都不能出于就業目的獲取任何一份信用報告；1999年的《金融服務現代化法》對《公平征信法》的修改內容體現在，將規則制定當局的意志賦予幾個功能性的監管機構來實現；2003年《公平和準確信用交易法》在《公平征信法》的基礎上增加了一些新的章節。為了提高信用信息的質量，新法賦予消費者監督法律事實的主要責任，即其有權每年一次免費獲取自己的報告。新法對提供含有醫療信息的報告賦予了選擇入口的權利，改變了數據提供者對信息的關注水平。如果數據提供者“有合適的理由相信特定信息是不準確的”，那么他們可以不報送該信息。

表2：國際個人數據保護法

2.歐盟個人數據保護體制。歐洲特別是德國、意大利和幾個東歐國家經歷過獨裁統治，基于這個背景的影響，歐洲的數據保護法相對嚴格。歐盟及其成員國的法律基本將凡是與特定的個人有關的幾乎所有信息都歸屬于個人數據的范圍，對個人數據盡可能給予最大限度的保護。

歐洲的許多法律和指引中的最基本的一些數據保護規則是——在數據采集發生前通知的權力、獲取數據的權力、數據更正或刪除的權力、反對采取某些數據處理方法的權力、不讓種族和宗教信仰等變量予以記錄的權力。最基本的原則之一是“個人應獲得有關數據采集的通知，以及不能有任何秘密數據采集的行為。”

在數據保護方面，第一個具有法制性約束的國際工具是1981年的《歐洲歷史會協定108》（歐洲系列公約第108號有關個人數據自動化處理之個人保護公約斯特拉斯堡）。該協定要求簽署國將其原則轉換成本國的法律。隨著技術的進步，歐洲跨國數據保護標準對信息自由流動形成潛在的阻礙。1990年歐共體委員會發布了第一個關于《歐盟數據保護指引》的草案，經過幾年的討論，1995年10月24日歐洲議會和歐盟理事會決定開始采用《關于涉及個人數據處理的個人保護以及此類數據自由流動的指令（95/46/EC）》。該指令指出，“考慮到歐盟內部市場的建立和運行，依照條約第7a條之規定，應當確保貨物、人員、服務和資金在該市場內的自由流動，這不僅要求個人數據能在成員國之間自由流動，而且個人的基本權利應當被保護”；“鑒于有關個人數據處理的國內法的目標是保護基本權利和自由，特別是為《保護人權和基本自由歐洲公約》第8條以及共同體法律的基本原則所確認的隱私權，對成員國法律的協調不得對已有的保護有任何降低，相反應當確保在共同體內的高水平保護”；“鑒于對個人數據的任何處理都必須是合法的且對相關個人是公平的，特別是考慮到數據處理的目的，數據必須是適當的、相關的，但不能過多；鑒于數據處理的目的必須是明確的、合法的且必須在收集數據時就已確定，數據收集后的處理目的不得與最初明確的目的相矛盾。”

相較而言，美國隱私保護法案沒有綜合性的覆蓋私營部門和公共部門的《數據保護法》，針對私營部門的法律僅適用于某一特定的行業，對隱私權問題的監管在聯邦和州兩個層面進行，對數據保護的分散監管取代綜合監管，私人數據是數據采集者的基本財產，強調自律。歐盟隱私保護方案，是綜合性的數據保護法律，對私營機構的監管適用于所有的私營機構，在一些國家實行多層次的管理，有綜合性的數據保護當局，數據采集須得到個人數據所有者預先同意，不太強調自律。

四、對我國個人信息數據保護的啟示

無論是歐盟綜合性個人數據保護體制還是美國分散的個人數據保護體制，各國的征信法律都將賦予信息主體相關權利和規定征信機構相關義務作為重要的規范內容，對個人信息的采集和使用范圍做出限制，對消費者權利救濟作出規定。

我國關于個人信息安全的法律條文散落在《憲法》、《中華人民共和國刑法》、《中華人民共和國民法通則》、《中華人民共和國侵權責任法》和《反不正當競爭法》等國家法律、行政法規及部門規章中，涉及了有關商業秘密和個人隱私保護的規定，但都較為籠統、抽象，不能有效保護數據主體的合法權益。2013年3月15日，《征信業管理條例》的實施標志著我國第一部征信業管理法規出臺。《征信業管理條例》對個人征信業務實行嚴格管理，在市場準入、信息采集范圍、采集和查詢信息方式、行政救濟及信息安全等方面規定了具體措施，突出了對個人合法權益的保護，但也存在著一些亟待解決的問題。如《征信業管理條例》所稱征信業務指“信用調查和信用登記”，而征信評級機構的業務不受條例約束，也沒有相應的信用評級業務法規；對公共征信機構和私營征信機構的業務界定不明晰，從而引發的數據信息保護不明確；關于個人數據信息保護的條款不夠細化，體系不夠清楚；沒有提及任何對個人數據的流動或跨境流動的約束和規范。建議細化《征信業管理條例》，出臺《個人數據信息保護細則》或專門針對個人信息保護問題出臺法律，完善我國個人數據保護體制。

[1]陳飛等譯.個人數據保護：歐盟指令及成員國法律、經合組織指導方針[M].北京：法律出版社，2006.

[2]尼古拉·杰因茨著，萬存知譯.金融隱私——征信制度國際比較[M].北京：中國金融出版社，2009.

[3]周超，施海松.論我國征信立法中的信息主體合法權益保護[J].福建金融，2012，（1）.

[4]胡大武.征信立法幾個重大問題分析——以地方立法為考察對象[J].上海金融，2011，（1）.

[5]翟相娟.論征信立法對消費者隱私權的保護[J].法學雜志，2008，（4）.

[6]仉曉.淺論個人征信中隱私權的保護[J].法制與社會，2011，（4）.

[7]張忠軍.征信法律制度中的政府角色[J].江西財經大學學報，2005.