日本個人信息保護舉措及啟示

李丹丹

【摘要】經濟、技術、文化和司法等因素共同成為日本信息保護立法的社會背景，其信息保護立法過程體現了地方政府和行政部門先行的特點。日本個人信息保護體系是行業自律機制、審查會監督機制和法律保護機制的有機結合體，其立法模式兼容歐美又頗具自身特色，在個人信息保護與個人信息流動之間找到了較好的平衡點。

【關鍵詞】個人信息 隱私 合理流動 日本

【中圖分類號】D913 ? 【文獻標識碼】A

早在1973年，日本德島市就開始了個人信息保護的地方立法，2003年5月出臺的《個人信息保護法》兼容歐美，是對美國模式和歐盟模式的折衷，又頗具自身特色，沒有一味迎合歐盟全面保護的超高標準，關注了本國行業自律機制的必要性和有限性，在個人信息保護與個人信息流動之間找到了平衡。日本也是計算機和網絡技術極其發達的國家，電子商務已經成為人們生活的一部分，日本的行業自律模式有效地配合了法律保護機制，使個人信息得到較好的保護。

與日本相比，中國互聯網的普及和網民數量的激增也使電商企業出現爆發式增長，中國電商巨頭阿里巴巴2014年9月19日在美國紐約交易所登陸上市，僅在2014年“雙十一”這一天，淘寶的交易額就達到600億元人民幣，幾乎比2013年翻了一番。在全民網購劇增的同時，個人信息泄露事件不斷爆出。我國個人信息保護沒有一部獨立的法律，散見在相關部門的法律規定中，基本處于零散混亂的狀態，雖然我國2009年《刑法修正案（七）》在罪名上增加了“非法獲取公民個人信息罪”和“出售、非法提供公民個人信息罪”，但構成該罪卻需要達到嚴重后果，且受害人往往不知道侵害行為的發生舉證困難，因此并不能作為公民個人維護自己個人信息權的主要手段。日本與中國同屬于大陸法系國家，有著相似的法律傳統，在網絡日益發達的今天，中國的社會發展要求各級政府必須承擔起保護公民個人信息的責任。日本經過幾十年，已經探索出獨特的個人信息保護模式，其所經歷的立法考量對我國個人信息保護立法具有借鑒意義。

日本個人信息保護法制化的社會背景

1913年美國技師福特最先嘗試在自己的汽車車間使用皮帶流水線進行汽車零件裝配，從此這種傳送帶式流水生產線就逐漸成為現代化生產的標志。日本積極借鑒這一先進的生產方式，在當時這種細化分工和機械化確實極大地提高了日本企業的勞動生產力，標準化產品被大規模地生產出來。但隨著信息時代的到來，這種消費模式單一、投資成本巨大的生產方式逐漸為日本企業所淘汰，市場競爭的重點也轉為滿足消費者差異化購買需求，因此，準確掌握消費者個人信息、及時了解消費者的消費偏好就成為企業實現利潤增長的重要依托。

隨著全球化和的互聯網絡發展，人們開始探尋人際交往和自我展示的新形式，互聯網上的聊天工具使得文字、聲音和圖像能夠即時傳遞，人們可以與許多互不相識的人交談，獲得人際交往的成就感。日本的LINE（連我）相當于中國的微信，自2011年從該款智能手機軟件上市，截至2014年10月9日，該公司宣布其用戶在全球已經突破5.6億人，日本網絡社交文化又掀起了新的高潮。

日本社會對個人信息的態度也是通過若干司法判例逐步發生轉變的，從消極地要求自己的隱私不被他人獲取、要求自己獨處而不被他人打擾，到要求積極控制自己的個人信息不被隨意收集、買賣，按照自己的意志利用、支配與自己有關的信息①。實際上，隱私權在20世紀的日本并不是一項獨立的權利，隱私被侵犯時，人們大多通過名譽權加以救濟。具有里程碑式的意義的判例是1964年小說“盛宴之后”訴訟案，日本第一次承認了隱私權是私法上獨立的權利，此后的隱私權保護才脫離了名譽權的外殼。隱私權被作為公民基本權利對待的司法案例是1969年的“京都府學聯”案件。日本京都學生聯合會學生示威游行，京都府巡警為調查取證對學生攝影拍照，引發肢體沖突。在案件審理中，日本最高法院援引了日本憲法第十三條，認為公民私生活上的自由必須得以保護，警察權等國家權力也不能成為例外，因此，任何人都享有未經其許可而不被拍攝其容貌、姿態的自由。從該案開始，隱私權不僅是針對平等主體的私法上的權利，還是針對國家機關的憲法性權利，并從形而上的書本探討轉變為司法判決的確認②。隱私權雖然已經被獨立對待，但是在更多的司法判例中，隱私權還是處于消極被動的地位，這種狀況直到1986年的“拒絕按手印”一案才有所改變。法院最終肯定了指紋是最具識別性的個人信息，本人有加以控制的積極權能，是隱私權的一部分。此后，在“身份調查表訂正訴訟案”中，東京地方法院又進一步擴大了個人具有控制力的信息范圍，包含了個人信息的獲取和利用，并首次認可了可以就本人的相關錯誤信息進行訂正、刪除的權利?？梢?，隨著信息化網絡化的不斷發展，日本個人信息的內涵和范圍也在不斷的擴展之中。

日本個人信息保護的立法過程

日本的個人信息保護制度是以2003年5月為分水嶺的，在此之前，日本個人信息保護制度主要在地方公共團體的規范中體現，日本中央政府的立法步伐則顯得相對謹慎，主要恪守了兩方面限定：一是僅適用于行政機關;二是僅調整計算機處理個人信息的行為而不涉及人工處理信息的行為。③這種立法努力最早開始于1975年的《關于涉及行政機關等利用電子計算機之隱私保護制度存在方式的之間報告》。1986年總務廳啟動了相關立法工作，并于1988年出臺了《關于對行政機關持有的計算機處理的個人信息加以保護的法律》，主要針對國家級行政機關利用計算機處理個人信息的行為進行規范。不難看出，對于行政機關所持有的個人信息，日本政府已經在一定程度上保證了其安全性。專門性的立法也散見了一些個人信息保護的規定，比如《戶籍法》、《電信事業法》、《郵政法》、《殘疾人福利法》、《消費者保護法》《電子商務法》等也有相關規定。

以上法律規定多關注于對政府和行政部門的規制，對于非政府部門的個人信息保護問題，日本一直沒有制定出專門法律，各種民間企業如銀行、保險或者電商等他們持有的客戶個人信息數量眾多，在這種法律空白環境下，即使發生了泄露個人信息、非法取得或交易個人信息等違法行為，根據日本民法第709條規定，僅能追究損害賠償責任，中止非法所得信息的繼續公開。④因此，約束民間業者和企事業單位對個人信息的利用在日本國內成為必要。

此后，一系列文件出臺，日本信息處理開發協會（JIPDEC）制定了《關于民間部門個人信息保護指導方針》為企業提供行動指南，通產省于1997年修訂了《關于民間部門電子計算機處理和保護個人信息的指南》，1998 年郵政省修訂了《電氣通信行業的個人信息保護指南》、1999年財團法人金融信息系統中心修訂的《金融機構的個人信息保護方針》等，指導特定行業。經過比較研究，日本對非政府部門的個人信息保護主要還是參照政府部門規定，實行自律管理為主，同時針對特殊領域和具體情況制定部門法，避免一刀切的嚴格規定給企業造成過度負擔而制約經濟發展。

日本的立法進程一直受到國際社會的影響，同時又保持了自己的特色—它形式上參考了歐盟的立法保護模式，但實質上采納了美國的保護內核。其一是日本1988年出臺的《行政機關計算機處理個人信息保護法》，實際上吸取了美國1974年《隱私法》立法理念的精髓，強調保護公民避免受到公權力的侵犯。

其二是20世紀90年代，發達國家網絡技術發展迅速，國際貿易中跨境信息交流頻繁，日本在個人信息立法形式上尊重并體現了1995年歐盟出臺的《數據保護指令》95/46。歐盟是日本的重要貿易伙伴，為了不影響與歐盟的經貿交往，2000年日本制定了《關于個人信息保護基本法制的大綱》。2001年至2002年期間五部草案被提交國會，并最終在2003年5月獲得通過，這些法案被稱為“個人信息保護五聯法”。至此，日本個人信息保護的法制化框架基本完成。⑤

日本個人信息的保護機制

作為法律保護體系的配套機制，日本借鑒美國式的行業自律模式，在靈活性的基礎上確保經濟的高速發展。1999年通產省出臺了日本工業標準《個人信息保護管理體系要求事項》，向保護措施得力的企業頒發隱私認證標識（P-MARK認證），便于消費者判斷該部門的個人信息保護水平。2001年出臺了“安全管理系統評估制度”（ISMS 制度），并配合 ISO/IEC17799-1（BS7799）國際標準（也稱第三者認證制度）加強信息管理。

針對個人信息爭議處理機制，日本采用了獨特的審查會咨詢制度來平衡個人信息的公開與保護，1988年設置的個人信息保護審查會被定位于咨詢機關，而不是裁決機關或監督機關，從而盡量減少對企業自由活動的限制。2005年該審查會更名為信息公開與個人信息保護審查會，咨詢對象限于特定法律所涉的行政主體。

日本個人信息保護體系的核心是《個人信息保護法》，它一部統領個人信息保護的綜合性法律。該法形式上迎合了歐盟《個人數據保護指令》的要求，但實質上吸收了美國個人信息保護法的特點，同時又堅持了自己原有的一些立法理念。從內容上看，它并沒有直接賦予國民個人特別的權利，而是在承認個人信息有效利用的前提下，確保國民的正當權利和利益不受損害;從結構上看，它是一部規范和限制所有個人信息持有者和處理者（政府部門和企業）相關行為的法律。該法的出臺，對日本公民個人而言，有了維護自己個人信息的法律武器，對企業而言，用戶的個人信息保護得到前所未有的重視，并將其提高到戰略性高度去實施。

日本個人信息保護對中國的啟示

2012年5月，中國電子信息產業發展研究院與中國軟件評測中心聯合發布的《公眾個人信息保護意識調研報告》指出，個人信息被盜用的占到了六成以上。造成這些現象的原因很多，但其中很重要的一點就是公民自己對個人信息保護意識不強，很多沒有必要提供個人信息的場合下，如在參加產品推銷會、辦會員卡、領取贈品、參加免費體檢等這樣的活動中輕易地提供了自己真實信息，結果被一些別有用心的不法分子濫用和盜用，給自己帶來煩擾和財產損失。此外，網絡購物催生的快遞服務已經迅速走入普通百姓的生活，很多人在收到快遞包裹后，就隨手丟棄了附有個人姓名、住址和電話的包裝，再加之有些不良快遞企業將公開出售快遞單據作為“副業”，快遞行業也成為個人信息泄露的重災區。日本人固有的謹慎使得民眾整體的安全意識相對較高，對他人索取個人信息有一種天然的防范心理。即便如此，日本政府在2003年《個人信息保護法》出臺后正式實施之前仍然留出了兩年時間，在這段時間里新聞媒體進行了大量的法律宣傳，既為企業消化法律條文、結合行業特點進行企業制度建設留出了緩沖余地，同時也極大地增強了公民的維權意識。中國政府也應考慮投入相應的財力、物力，充分利用電視、報紙、網絡等各種媒介進行個人信息保護的持續宣傳，切實提高公民的權利保護意識。

中國已經進入信息化社會，政府為了履行法定職責，必然要收集和掌握大量的公民個人信息，各個職能部門都在不斷地建立有關公民戶籍、不動產、車輛、醫療等大型計算機數據庫，在使用過程中很有可能會出現個人信息失控的局面，政府必須采取保護公民的個人信息的相應措施，并將保護公民的個人信息作為義不容辭責任。縱觀日本個人信息保護法制的建立過程，無論是地方機構還是中央政府，都以對行政部門的規制為重點，一貫秉承對政府公權力的限制，防范其對公民權造成侵犯。導致個人信息泄露的原因是多方面的，盡管眾多專家一直在教授如何避免信息泄露的技巧，但不能否認的是，即使個人已經萬般小心，政府強制實名注冊的要求都是必須要遵守的：如全國旅客乘坐列車實行車票實名制、儲蓄實名制、電話入網的用戶實名制。若干實名制措施的實施確實提高了政府管理效率、方便了百姓生活，也利于社會治安的維護，但我們不能忽視的是，12306作為鐵道部唯一授權的火車票訂票官方網站在2014年12月25日被爆料，超過13萬條的用戶數據在互聯網上被傳播和售賣，這其中包括注冊公民的用戶賬號、明文密碼、真實姓名、郵箱、身份證號等，由此衍生出的巨大財產和人身安全風險尚無法完全預知。鐵路公安機關迅速抓捕了犯罪嫌疑人，也基本分析得出，此次用戶信息泄露極有可能是黑客利用已泄露的用戶名及密碼到12306等網站嘗試批量登錄，進行“撞庫攻擊”獲得的。盡管已經排除12306官網內部人員主動泄露，但不能否認的是12306網站賬號安全體系存缺陷，因此，無論從數據庫的技術設計還是從安全監管上看，政府都難辭其咎。從另一個角度講，政府應當就擬實施的實名制舉行民眾聽證，充分聽取民眾意見。

在立法模式的選擇方面，各個國家差異比較大，日本在《個人信息保護法》立法前，曾考慮效仿歐盟采用統一立法方式，但是經過進一步的比較研究，日本政府又開始傾向于采用美國的分散立法模式?，F行日本《個人信息保護法》結合了本國特點，最終采取了統分結合的方式。中國政府在制定個人信息保護法之前，立法模式也是要考慮的，一方面，鑒于中國法律體系的現狀，很難在短期內對政府部門和其他企業（如保險、金融）進行分別個人信息保護的立法，而且中國尚未建立隱私權保護制度，個人信息也難以像美國那樣借助已有的隱私權制度外殼加以保護，因此不適宜采用分散立法模式;另一方面，如果單純采用歐盟的統一的立法模式，又容易造成標準僵化嚴苛，束縛個人信息的正常流通，妨礙國際貿易和電子商務的發展。因此，日本在制定法律之前的立法考量是權衡利弊之后做出的，中國也應采用統分結合的立法模式，著眼于未來信息產業的健康發展，在一部法律中既要對政府部門和企業等其他個人信息處理者做出統一的原則性，又要分別規定各自的義務和責任，同時還要不斷完善行業自律機制，為企業留出自由發展的空間。

（作者為黑龍江大學法學院教授;本文系黑龍江省研究生創新科研項目“網絡時代個人信息的民法保護研究”成果，項目編號：YJSCX2012-267HLJ）

【注釋】

①[日]蘆部信喜：《憲法學II人權總論》，日本：株式會社有斐閣，1994年，第369頁。

②楊帆：“從比較法的視野分析現代隱私權及其權利位階”，《私法》，2007年第9期。

③姚岳絨：“日本混合型個人信息立法保護”，《法制日報》，2012年6月19日。

④[日]堀部政男：“日本個人信息保護制度探索”，《記者》，2000年第11期。

⑤[德]Christopher kuner：“歐盟的隱私和數據保護”，溫珍奎譯，載周漢華主編：《個人信息保護前沿法律問題研究》，北京：法律出版社，2006年，第44頁。

責編/于巖（實習）