返回上一页 文章阅读 登录

许多奇:限制处理权适用规则的解析与本土化重构

——兼与崔聪聪教授商榷

更新时间:2022-05-17 01:08:29
作者: 许多奇  
而是直接采用了删除权的概念。崔文对此并未加以明确区分,也就没有根据我国现有立法规范对限制处理权的行权标准予以足够恰当的界定。《个保法》第47条在删除权的概念界定上较为宽泛,从行权范围上看,虽足以涵盖被遗忘权需要保护的情形,但在我国语境下,判断此类数据是否属于删除权的行权范围,是以数据处理活动是否构成侵权为前提,将其纳入隐私权、名誉权等人格权以及其他民事权益中予以规定。而针对信息主体主动提供的、公开的个人信息,由信息处理者合法收集,则很难判定信息处理者的信息处理行为构成侵权。在一定程度上,这将导致有关信息主体的“不相关、过时的和不适当”的个人信息很难被纳入我国删除权的权利行使范围之中,却极有可能落入限制处理权的行权范围。

   综上所述,崔文有关限制处理权制度构建方面的论述具有一定的模糊性,可能造成理解上的偏差,而其根本原因在于未将其嵌入我国个人信息权利体系中展开论证。崔文认识到限制处理权在我国个人信息权利体系中具有独特的地位,并作出了阶段性的学术贡献,但未能对其行权逻辑进行精准定位。由此导致两个后果:一是未能有效发挥限制处理权在个人信息权利体系中行权联结器的作用,信息主体享有的各种个人信息权利之间缺乏顺畅的行权联结机制。如崔文有关限制处理权的行权条件缺乏对拒绝权的行权观照,在个体行使反对权时,如未能及时请求数据处理者暂停或停止对其个人数据继续处理,将会减损拒绝权的行权质效。二是由于缺乏对限制处理权行权逻辑的整体思考,导致限制处理权的权利内核模糊不清。

   限制处理权构建的本土化思考

   欧盟为我国限制处理权的制度构建提供了立法样本。从上文论述可知,欧盟限制处理权在权利的内在配置以及权利行使机制上为我国限制处理权提供了制度范本,我国在限制处理权的制度构建上可予以吸收借鉴。当然,鉴于各国立法体制不同,在限制处理权的具体内容设计上,应当根据我国既有立法规定进行相应的调适,至少一定程度上体现其精神内涵。

   (一)厘清限制处理权的权利行使条件及行权范围

   作为一项新型权利,必须对该项权利的内核和外延予以精细化设计,以此探索可行的制度框架。崔文由于没有对限制处理权的权利内核和外延进行精准描绘,因而在制度设计上产生衔接上的瑕疵。因此,有必要明确界定限制处理权的权利内容。在权利构造上,应当充分理解并吸纳欧盟限制处理权立法样本的精髓,紧抓限制处理权内在行权逻辑这一线索,在行权要件设计上构建与更正权、删除权以及拒绝权之间的行权联结,明确界定我国限制处理权的行权条件。具体而言,该项权利主要包括两项内容:其一,基于信息主体自身利益需求请求暂停或者终止处理其个人信息,如该个人信息是信息主体提起诉讼或者应诉所必要或根据信息主体的需求将可删除的信息代之以限制处理;其二,信息主体在提出更正权、拒绝权请求后,信息主体请求数据处理者暂停处理其个人信息以避免侵害其合法权益。例如,在自动扣费、缴费服务中,信息主体若发现其个人信息不准确,为避免因错误信息继续扣费而损害其合法权益,可向信息处理者主张暂停该扣费服务直到信息处理者核实、更正其个人信息。

   此外,在限制处理权的行权范围界定上,应当根据我国既有立法规定予以相应的调适。与欧盟限制处理权权利行使范围有所区别的是,在信息主体主张将可删除的个人信息代之以限制处理时,在我国,该个人信息的范围实际上要远窄于欧盟立法中有关“删除”的相关规定。而针对有关信息主体“不好的、不相关、过分的”个人信息,我国《民法典》以及《网络安全法》中的相关规定已经足以保障个人信息主体的合法权益。因此,在权利行使范围上,为避免造成信息处理者过重的负担,可适当限缩限制处理权的行权范围。

   (二)扩展限制处理权权利适用的信息处理场景

   细致探究我国《个保法》相关立法条文可知,相较于GDPR,我国《个保法》条文设计更多针对的是个人信息处理的一般情形,对自动化个人信息处理的关照的整体性和精细化程度均不足。这在一定程度上将我国限制处理权的权利适用场景也局限于个人信息处理的一般情形之中。实际上,在欧盟法中,限制处理权亦可作为自动化决策的事中救济手段。自动化决策已经成为当前信息处理的主要方式,经自动化决策形成的决策结果与个人信息主体息息相关,从定向广告推送到大数据杀熟,再到用于疫情防控的健康码,自动化决策已经深入个人生活方方面面,必须在自动化决策事前、事中、事后阶段赋予信息主体较为全面的个人信息保护权利。我国《个保法》实际上在第24条已经就有关自动化决策进行了相应规定,毋庸置疑,将限制处理权嵌入自动化信息处理场景之中,对于形成公平、准确的自动化决策结果至关重要。

   (三)构建协同治理机制提升限制处理权的行权质效

   面对个人信息主体和信息处理者之间的地位不平等,赋权模式始终备受质疑。如何真正发挥限制处理权的行权质效是该项权利在实施中面临的最大困境。限制处理权行使的前提是知晓其自身个人信息如何被处理。然而,面对复杂的数据处理活动,个人信息主体根本无从得知数据如何被收集、储存以及利用。更遑论在算法时代,算法技术的存在使数据个人控制的基础不复存在,数据失控成为常态。信息处理者拥有的绝对权力地位,极大冲击了限制处理权的行使。单方面赋权面临的现实困境,需要辅以多元协同治理机制予以破解。

   其一,进一步细化信息处理者的义务体系。面对个人信息主体和信息处理者之间在地位上的巨大势差,立法者尝试用一些纠偏的权利义务分配措施。GDPR中规定了大量数据控制者的强制性义务条款。如在脱离自动化决策约束权中明确规定数据控制者应当采取适当的措施以保障数据主体的权利、自由和合法利益,但该强制性义务规定得过于模糊,未能为数据控制者提供明确的指引。信息处理者的义务因规范过于抽象而严重缺乏确定性。对于限制处理权来说,可在借鉴GDPR强制通知义务的基础上,进一步细化数据处理者的义务体系。

   一是明确信息处理者形式审查的义务。这意味着信息处理者仅须对需要进行限制处理的事由进行形式审查。该种方式有效提升了权利救济的便利性,促进了信息主体深度参与信息处理活动的可行性,并在一定程度上降低了限制处理权的适用门槛,意味着在限制处理的法定事由出现时,信息主体只需初步提供理由即可。换言之,只要发生个人信息侵权行为甚至仅存在侵害之虞,个人信息的主体即可请求信息处理者停止信息处理行为。权利行使的便宜性极有可能增加信息处理者的负担,对此,可在形式审查后赋予信息处理者相应的抗辩事由,如信息处理者可针对个人信息主体申请的限制处理申请是否“过分”来予以抗辩。一旦信息处理者作出拒绝限制处理的决定,应当及时通知个人信息主体。

   二是强制信息处理者“限制处理”的披露义务。在网络空间,信息处理者占据了绝对的优势地位,应当对信息处理者就限制处理所采取的措施附加详细披露的义务。限制处理操作直接关系到个人信息主体的利益可否得到保障,信息处理者必须将限制的期限、限制所采取的手段、限制个人信息到何种程度告知个人信息主体。

   三是扩展信息处理者的通知义务。GDPR第19条规定了数据控制者限制处理的通知义务。该条规定:除非证明此种告知是不可能的或者需要付出不合理的努力,数据控制者应当根据第18条的规定将任何限制处理的情况告知个人信息公开后的接收者。该规定在一定程度上强化了数据控制者的通知义务。根据该条规定,数据控制者不但需要将限制处理的情况通知个人信息主体,还要将限制处理的情况告知这些信息的接收者。

   其二,明确侵害限制处理权的责任。如信息处理者未能履行前述所规定的义务,信息主体既可依赖公权力之管理与治理,亦可根据民事主体权利保护之本旨而提请救济。在信息处理者侵害信息主体责任承担方面,我国《个保法》采取了民事责任、行政责任与刑事责任相结合的责任体系,对侵害信息主体合法权益的行为规定了诸多责任承担方式。信息主体既可根据侵害人格权请求权的有关规定,要求信息处理者承担停止侵害、排除妨碍等责任形式;亦可根据侵权请求权的相关规定,对信息处理者的行为造成信息主体损害的,要求信息处理者承担损害赔偿等侵权责任。此外,针对信息处理者的不作为行为,亦可采用多种处罚措施,如行政处罚、失信惩戒、责令违法处理个人信息的应用程序暂停或者终止提供服务。

   其三,完善多元救济机制。无救济则无权利,我国《个保法》在赋予信息主体信息权利的同时,也为其权利行使提供了多元救济途径。《个保法》第50条第2款明确规定,个人信息的处理者拒绝个人行使权利的请求的,个人可以依法向人民法院提起诉讼。同时,《个保法》还创新性地引入了公益诉讼制度。公益诉讼可调动诸多手段,通过具有更强纠纷解决能力的组织和机关介入,能够有效克服实践中起诉人的举证困难及诉讼成本过高的问题。在诉讼机制之外,通过建立投诉、举报等机制亦可达到捍卫个人信息主体权利的目的。

   结语

   在人类终将被技术“重塑”的时代,如何真正贯彻落实“以人为本”法治理念,让个人信息主体在信息时代感到对自由与尊严的尊重仍是个人信息保护的终极意义,赋予个人信息主体尽可能全面的具体权利仍是尊重个人信息主体最直接的体现。面对数据、技术、算法裹挟而来的巨大风险,个体需要具备与上述风险相匹配的数据权利。限制处理权的确立进一步充实了个人信息权利体系,为个体提供了更为自由、灵活的行权空间。通过赋予个人信息主体更为广泛的数据权利,能够有效提升其在数字社会的参与感、获得感与安全感,重拾个体对数字时代的信心。

  

   许多奇,复旦大学法学院教授、数字经济法治研究中心主任,上海高级金融学院兼聘教授

   本文原载《探索与争鸣》2022年第3期

  

  


爱思想关键词小程序
本文责编:admin
发信站:爱思想(http://m.aisixiang.com)
本文链接:http://m.aisixiang.com/data/133729.html
收藏