“公民个人信息”判断的合理性标准建构——基于流动的公民个人信息边界
|
摘要
刑法上的公民个人信息与一般法上的公民个人信息应当同等看待,不应当对侵犯公民个人信息罪中的公民个人信息作限制解释。普遍联系与永恒运动的基本原理决定了公民个人信息的边界是流动的。公民个人信息的判断受到识别主体、识别目的、识别成本、识别收益、其他信息来源等多种因素影响,只能基于具体场景进行。"与其他信息结合识别"本质上是一种风险判断,基于信息接收者是公众还是特定个人,采用不同的公民个人信息认定标准。"经过处理无法识别特定个人且不能复原的"信息不属于公民个人信息,去标识化信息属于公民个人信息。
The personal information of citizens in criminal law should be treated in the same way as the personal information in general laws. Personal information in the crime of infringing on personal information of citizens should not be interpreted restrictedly. The basic principles of universal contact and eternal movement determine the mobility of the personal information boundaries. The judgment of personal information can be made only by context,because it is influenced by many factors,such as the person who makes the identification,the purpose of identification,the costs and benefits of identification,and other sources of information. "Combined with other information to identify"is essentially a risk judgment. Depending on whether the recipient of the personal information is the public or a specific individual,different standards should be used. Information that cannot be identified and cannot be recovered after processing is not personal information,and de-identified information is personal information.
The personal information of citizens in criminal law should be treated in the same way as the personal information in general laws. Personal information in the crime of infringing on personal information of citizens should not be interpreted restrictedly. The basic principles of universal contact and eternal movement determine the mobility of the personal information boundaries. The judgment of personal information can be made only by context,because it is influenced by many factors,such as the person who makes the identification,the purpose of identification,the costs and benefits of identification,and other sources of information. "Combined with other information to identify"is essentially a risk judgment. Depending on whether the recipient of the personal information is the public or a specific individual,different standards should be used. Information that cannot be identified and cannot be recovered after processing is not personal information,and de-identified information is personal information.
引文
[1]张明楷.刑法学[M].北京:法律出版社,2011:24.
[2]叶良芳,应家赟.非法获取公民个人信息罪之“公民个人信息”的教义学阐释———以《刑事审判参考》第1009号案例为样本[J].浙江社会科学,2016(4):71-78.
[3]徐伟.侵犯公民个人信息罪的对象研究[D].南京:南京师范大学,2013.
[4]田宏杰.行政犯的法律属性及其责任———兼及定罪机制的重构[J].法学家,2013(3):1-62.
[5]喻海松.侵犯公民个人信息罪司法适用探微[J].中国应用法学,2017(4):173-183.
[6]林山田.刑法通论(上册)[M].北京:北京大学出版社,2012:27.
[7]SCHWARTZ P M,SOLOVE D J. The PII problem:privacy and a new concept of personally identifiable information[J]. New York University Law Review,2011,86(6):1819-1831.
[8]CHIK W B,PANG K Y J. The meaning and scope of personal data under the Singapore Personal Data Protection Act[J].Singapore Academy of Law Journal,2014,26(2):377.
[9]中国社会科学院语言研究所词典编辑室.现代汉语词典[M]. 6版.北京:商务印书馆,2012:923.
[10]文庭孝,侯经川,汪全莉,等.论信息概念的演变及其对信息科学发展的影响———从本体论到信息论再到博弈论[J].情报理论与实践,2009(3):10-15.
[11]范为.大数据时代个人信息定义的再审视[J].信息安全与通信保密,2016(10):70-80.
[12]STALLA-BOURDILLON S,KNIGHT A. Anonymous data v. personal data-false debate:an EU perspective on anonymization,pseudonymization and personal data[J]. Wisconsin International Law Journal,2016,34(2):318.
[13]SULLIVAN K M. Foreword:the justices of rules and standards[J]. Harvard Law Review,1992,106(1):58-59.
[14]LEE D H. The concept of personal information:a study on its interpretation and scope[J]. Asian Business Lawyer,2016(17):15-53.
[15]王融.数据匿名化的法律规制[J].信息通信技术,2016(4):38-44.
[16]SCHWARTZ P M,SOLOVE D J. Reconciling personal information in the United States and European Union[J]. California Law Review,2014,102(4):905.
[17] OHM P. Broken promises of privacy:responding to the surprising failure of Anonymization[J]. UCLA Law Review,2010,57(6):1701.
[18]CHAWLA S,DWORK C,McSHERRY F,et al. Toward privacy in public databases[C]//Theory of Cryptography Conferece,2005:363-385.
[19]GARFINKEL S L. De-Identification of Personal Information[DB/OL].(2017-12-04)[2018-10-18]. http://nvlpubs. nist.gov/nistpubs/ir/2015/NIST. IR. 8053. pdf.
(1)韩国、日本采用“个人信息”的表述,欧盟及其成员国多采用“个人数据”的表述,我国香港、台湾地区采用“个人资料”的表述,实际上三者所指内容一致,只是称谓不同。本文以《刑法》第二百五十三条之一的“公民个人信息”表述为主。
(2)个人信息保护立法分为统一模式与分散模式,前者以欧盟为代表,后者以美国为代表。
(3)Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data,Article 2a.
(4)Directive 95/46/EC Article 2(a)。其中,一个能被识别的个人是指能够被直接识别或者间接识别的人,尤其是根据证件号码,一个或者多个物理上的、心理上的、精神上的、经济上的、文化上的或者社会交往上的特定识别因素。
(5)Regulation(EU)2016/679 General Data Protection Regulation,Article 4(1)。个人数据是指与一个已被识别或者能被识别的自然人相联系的任何信息。一个能被识别的个人是指能直接或者间接被识别的人,尤其是根据姓名、证件号码、位置数据、网上识别符或者一个或多个物理上的、心理上的、基因上的、精神上的、经济上的、文化上的或者社会交往上的关于那个自然人的特定识别因素。
(6)第29条工作组根据1995年《数据保护指令》第29条设立,是一个独立行使职权的欧盟个人数据与隐私保护咨询机构,由欧盟成员国、欧盟组织与欧盟委员会三方的代表组成。《通用数据保护条例》生效后,将由欧盟数据保护委员会接替其职责。
(7)Article 29 Data Protection Working Party,Opinion 4/2007 on the concept of personal data,pp.21-22.
(8)Article 29 Data Protection Working Party,Opinion 4/2007 on the concept of personal data,p.6.
(1)Article 29 Data Protection Working Party,Opinion 4/2007 on the concept of personal data,pp.9-11.
(2)Article 29 Data Protection Working Party,Opinion 4/2007 on the concept of personal data,pp.12-16.
(3)Directive 95/46/EC Recital 26,whereas,to determine whether a person is identifiable,account should be taken of all the means likely reasonably to be used either by the controller or by any other person to identify the said person.
(4)英国信息专员办公室全称为Information Commissioner’s Office,简称ICO,是英国独立的数据保护监管机构。
(5)《决定何为个人数据》是对《1998年数据保护法案》中的“个人数据”的解释。该法案第1条规定:“‘个人数据’是指与个人相联系的数据,从这些数据,或者从这些数据与数据控制者掌握的或很可能掌握的其他信息,可以识别出一个在世的个人,其还包括关于这个人的任何意见表达以及数据控制者或其他人关于这个人的任何意图指示。”
(6)ICO,Determining What Is Personal Data,v1.1,20121212,pp.7-9.
(1)[2003]EWCA Civ 1746,para 28。奥尔德法官认为,仅仅是在数据控制者持有的文件中提到了数据主体,这不足以认为其构成个人信息,是否称其为个人信息还取决于信息与主体之间持续的相关性与接近性,以或多或少区别于主体可能参与的事务。在奥尔德法官看来,有两个概念可能需要考虑:第一,信息是否具有重要的传记性(biographical),即超出了对推定数据主体参与的无个人涵义的事件,或是个人隐私未受影响的生命事件的简单记录;第二,信息是否具有聚焦性(focus),信息应当聚焦于推定的数据主体,而非与其相关的其他人或者其感兴趣的其他事务。
(2)ICO,Determining What Is Personal Data,v1.1,20121212,pp.9-21.
(1)公民个人信息判断的核心在于“与其他信息结合识别”的判断,“单独识别”依照信息内容即可直接认定。
(2)See FTC,“Protecting Consumer Privacy in an Era of Rapid Change:A Proposed Framework for Businesses and Policymakers-Preliminary FTCStaff Report(2010)”,available at https://www.ftc.gov/reports/preliminary-ftc-staff-report-protecting-consumer-privacy-era-rapid-changeproposed-framework,p.41.
(3)See FTC,“Protecting Consumer Privacy in an Era of Rapid Change:Recommendations for Businesses and Policymakers-FTC Report(2012)”,available at https://www.ftc.gov/reports/protecting-consumer-privacy-era-rapid-change-recommendations-businesses-policymakers,pp.19-21.第一,公司必须采取合理措施保证这些数据去识别化;第二,公司必须公开承诺以去识别化的方式保存和使用数据,并且放弃重新识别这些数据;第三,公司如果将这些去识别化的信息提供给其他公司,不论这些公司是服务提供商还是第三方,公司都应当签订合同禁止这些实体重新识别个人数据。
(4)ICO,Anonymisation:managing data protection risk code of conduct,2012,p.22.
(5)ICO,Anonymisation:managing data protection risk code of conduct,2012,p.17.
(1)ICO,Anonymisation:managing data protection risk code of conduct,2012,pp.22-23.
(2)ICO,Anonymisation:managing data protection risk code of conduct,2012,pp.23-24.
(1)这一规定实际上来自《网络安全法》。该法第四十二条第一款规定:“网络运营者不得泄露、篡改、毁损其收集的个人信息;未经被收集者同意,不得向他人提供个人信息。但是,经过处理无法识别特定个人且不能复原的除外。”
(2)参见《信息安全技术个人信息安全规范》第3.14条。
[2]叶良芳,应家赟.非法获取公民个人信息罪之“公民个人信息”的教义学阐释———以《刑事审判参考》第1009号案例为样本[J].浙江社会科学,2016(4):71-78.
[3]徐伟.侵犯公民个人信息罪的对象研究[D].南京:南京师范大学,2013.
[4]田宏杰.行政犯的法律属性及其责任———兼及定罪机制的重构[J].法学家,2013(3):1-62.
[5]喻海松.侵犯公民个人信息罪司法适用探微[J].中国应用法学,2017(4):173-183.
[6]林山田.刑法通论(上册)[M].北京:北京大学出版社,2012:27.
[7]SCHWARTZ P M,SOLOVE D J. The PII problem:privacy and a new concept of personally identifiable information[J]. New York University Law Review,2011,86(6):1819-1831.
[8]CHIK W B,PANG K Y J. The meaning and scope of personal data under the Singapore Personal Data Protection Act[J].Singapore Academy of Law Journal,2014,26(2):377.
[9]中国社会科学院语言研究所词典编辑室.现代汉语词典[M]. 6版.北京:商务印书馆,2012:923.
[10]文庭孝,侯经川,汪全莉,等.论信息概念的演变及其对信息科学发展的影响———从本体论到信息论再到博弈论[J].情报理论与实践,2009(3):10-15.
[11]范为.大数据时代个人信息定义的再审视[J].信息安全与通信保密,2016(10):70-80.
[12]STALLA-BOURDILLON S,KNIGHT A. Anonymous data v. personal data-false debate:an EU perspective on anonymization,pseudonymization and personal data[J]. Wisconsin International Law Journal,2016,34(2):318.
[13]SULLIVAN K M. Foreword:the justices of rules and standards[J]. Harvard Law Review,1992,106(1):58-59.
[14]LEE D H. The concept of personal information:a study on its interpretation and scope[J]. Asian Business Lawyer,2016(17):15-53.
[15]王融.数据匿名化的法律规制[J].信息通信技术,2016(4):38-44.
[16]SCHWARTZ P M,SOLOVE D J. Reconciling personal information in the United States and European Union[J]. California Law Review,2014,102(4):905.
[17] OHM P. Broken promises of privacy:responding to the surprising failure of Anonymization[J]. UCLA Law Review,2010,57(6):1701.
[18]CHAWLA S,DWORK C,McSHERRY F,et al. Toward privacy in public databases[C]//Theory of Cryptography Conferece,2005:363-385.
[19]GARFINKEL S L. De-Identification of Personal Information[DB/OL].(2017-12-04)[2018-10-18]. http://nvlpubs. nist.gov/nistpubs/ir/2015/NIST. IR. 8053. pdf.
(1)韩国、日本采用“个人信息”的表述,欧盟及其成员国多采用“个人数据”的表述,我国香港、台湾地区采用“个人资料”的表述,实际上三者所指内容一致,只是称谓不同。本文以《刑法》第二百五十三条之一的“公民个人信息”表述为主。
(2)个人信息保护立法分为统一模式与分散模式,前者以欧盟为代表,后者以美国为代表。
(3)Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data,Article 2a.
(4)Directive 95/46/EC Article 2(a)。其中,一个能被识别的个人是指能够被直接识别或者间接识别的人,尤其是根据证件号码,一个或者多个物理上的、心理上的、精神上的、经济上的、文化上的或者社会交往上的特定识别因素。
(5)Regulation(EU)2016/679 General Data Protection Regulation,Article 4(1)。个人数据是指与一个已被识别或者能被识别的自然人相联系的任何信息。一个能被识别的个人是指能直接或者间接被识别的人,尤其是根据姓名、证件号码、位置数据、网上识别符或者一个或多个物理上的、心理上的、基因上的、精神上的、经济上的、文化上的或者社会交往上的关于那个自然人的特定识别因素。
(6)第29条工作组根据1995年《数据保护指令》第29条设立,是一个独立行使职权的欧盟个人数据与隐私保护咨询机构,由欧盟成员国、欧盟组织与欧盟委员会三方的代表组成。《通用数据保护条例》生效后,将由欧盟数据保护委员会接替其职责。
(7)Article 29 Data Protection Working Party,Opinion 4/2007 on the concept of personal data,pp.21-22.
(8)Article 29 Data Protection Working Party,Opinion 4/2007 on the concept of personal data,p.6.
(1)Article 29 Data Protection Working Party,Opinion 4/2007 on the concept of personal data,pp.9-11.
(2)Article 29 Data Protection Working Party,Opinion 4/2007 on the concept of personal data,pp.12-16.
(3)Directive 95/46/EC Recital 26,whereas,to determine whether a person is identifiable,account should be taken of all the means likely reasonably to be used either by the controller or by any other person to identify the said person.
(4)英国信息专员办公室全称为Information Commissioner’s Office,简称ICO,是英国独立的数据保护监管机构。
(5)《决定何为个人数据》是对《1998年数据保护法案》中的“个人数据”的解释。该法案第1条规定:“‘个人数据’是指与个人相联系的数据,从这些数据,或者从这些数据与数据控制者掌握的或很可能掌握的其他信息,可以识别出一个在世的个人,其还包括关于这个人的任何意见表达以及数据控制者或其他人关于这个人的任何意图指示。”
(6)ICO,Determining What Is Personal Data,v1.1,20121212,pp.7-9.
(1)[2003]EWCA Civ 1746,para 28。奥尔德法官认为,仅仅是在数据控制者持有的文件中提到了数据主体,这不足以认为其构成个人信息,是否称其为个人信息还取决于信息与主体之间持续的相关性与接近性,以或多或少区别于主体可能参与的事务。在奥尔德法官看来,有两个概念可能需要考虑:第一,信息是否具有重要的传记性(biographical),即超出了对推定数据主体参与的无个人涵义的事件,或是个人隐私未受影响的生命事件的简单记录;第二,信息是否具有聚焦性(focus),信息应当聚焦于推定的数据主体,而非与其相关的其他人或者其感兴趣的其他事务。
(2)ICO,Determining What Is Personal Data,v1.1,20121212,pp.9-21.
(1)公民个人信息判断的核心在于“与其他信息结合识别”的判断,“单独识别”依照信息内容即可直接认定。
(2)See FTC,“Protecting Consumer Privacy in an Era of Rapid Change:A Proposed Framework for Businesses and Policymakers-Preliminary FTCStaff Report(2010)”,available at https://www.ftc.gov/reports/preliminary-ftc-staff-report-protecting-consumer-privacy-era-rapid-changeproposed-framework,p.41.
(3)See FTC,“Protecting Consumer Privacy in an Era of Rapid Change:Recommendations for Businesses and Policymakers-FTC Report(2012)”,available at https://www.ftc.gov/reports/protecting-consumer-privacy-era-rapid-change-recommendations-businesses-policymakers,pp.19-21.第一,公司必须采取合理措施保证这些数据去识别化;第二,公司必须公开承诺以去识别化的方式保存和使用数据,并且放弃重新识别这些数据;第三,公司如果将这些去识别化的信息提供给其他公司,不论这些公司是服务提供商还是第三方,公司都应当签订合同禁止这些实体重新识别个人数据。
(4)ICO,Anonymisation:managing data protection risk code of conduct,2012,p.22.
(5)ICO,Anonymisation:managing data protection risk code of conduct,2012,p.17.
(1)ICO,Anonymisation:managing data protection risk code of conduct,2012,pp.22-23.
(2)ICO,Anonymisation:managing data protection risk code of conduct,2012,pp.23-24.
(1)这一规定实际上来自《网络安全法》。该法第四十二条第一款规定:“网络运营者不得泄露、篡改、毁损其收集的个人信息;未经被收集者同意,不得向他人提供个人信息。但是,经过处理无法识别特定个人且不能复原的除外。”
(2)参见《信息安全技术个人信息安全规范》第3.14条。