对个人信息处理者的监督

摘 要：随着《个人信息保护法》的颁布，我国的个人信息保护进入一个新的阶段。《个人信息保护法》明确规定了个人信息生产者所享有的权利，为个人信息保护的实践提供了指引。但是个人信息权益的主体不仅包括个人信息生产者，还包括个人信息处理者。个人信息处理者在利用个人信息的过程中往往处于优势地位，有必要明确界定其权利和义务边界。个人信息处理者主要享有信息控制权、信息利用权和信息分享权，在行使权利的同时，因主体的不同、处理内容的不同受到限制。为保障个人信息处理者权利的行使，采“两头强化，三方平衡”的基本原则，使个人信息处理者在个人信息利用和保护个人信息生产者权益之间达到平衡从而促进个人信息的良性利用。

关键词：个人信息；个人信息处理者；监督

一、个人信息处理者权利

首先是个人信息控制权。控制个人信息是利用个人信息的前提条件。对个人信息的控制是个人信息处理者将个人信息收集之后储存于特定的服务器中并能随时调用、删除、保护，个人信息处理者想要利用个人信息必须先控制个人信息，否则对个人信息的其他权利将无从谈起。如若不能控制个人信息那么个人信息控制将无法随时调用个人信息，那么个人信息只是服务器中一串二进制字符，不会产生任何价值，因此，对个人信息的控制是行使其他个人信息权利的前提。但是，控制的个人信息必须是通过合法手段收集到个人信息。

其次是个人信息利用权。利用个人信息是目的，在控制个人信息的前提之下，利用个人信息才具有可行性。个人信息的利用目的对于不同的组织而言是不一样的。对于国家机关而言，利用个人信息的目的在于：首先，提高政务水平，方便办理相关业务；其次，通过联网分享信息，促进跨部门甚至跨区域的执法合作，提高执法效率；再次，利用个人信息干预市场，1防止经营性的主体滥用个人信息，提高个人信息收集和利用的透明度，健全市场机制，提高经济效益。而对于个人信息处理者而言，利用个人信息的目的主要在于，首先，利用个人信息绘制用户画像，为用户提供个性化服务；其次，用于确认用户身份，降低提供互联网服务的风险，对于利用其服务实施不良行为能够及时追查，提高整体服务水平，维护其他用户的合法权益。

二、个人信息处理者行权的基本原则

当今个人信息的价值日益凸显以及人们个人隐私保护意识的增强，不同主体之间关于个信息的矛盾也日益显现，个人信息的流通与个人信息的保护之间并不矛盾，因而平衡不同主体之间的个人信息权益是十分必要的，也是可行的。张新宝教授提出的“两头强化，三方平衡”理论，即在区分敏感个人信息和一般个人信息的基础上加强对敏感个人信息的保护，同时平衡个人对个人信息的保护、个人信息业者对个人信息利用的利益以及国家管理社会的公共利益。2不同主体的个人信息权益矛盾主要体现在以下几个方面：

首先，注重非国家机关个人信息处理者收集个人信息与个人信息生产者保护个人信息之间的矛盾。3个人信息生产者对个人信息特别是敏感个人信息的收集往往持谨慎的态度，如前文所述，给予个人信息生产者主动和个人信息处理者约定关于敏感个人信息适用途径和范围，若个人信息生产者滥用自己的权利可能导致个人信息生产者过多的限制个人信息处理者对个人信息利用的权利，不利于其生产经营。因而处理好个人信息生产者和非国家机关个人信息处理者之间的矛盾将极大推进个人信息权益的保护。

其次，不可忽略个人信息处理者之间利用个人信息的矛盾。个人信息处理者包括国家机关个人信息处理者和非国家机关个人信息处理者，二者之间为监督与被监督的关系，根据我国《个人信息保护法》第六十条和第六十一条的规定，相关的国家机关有保护个人信息的职责，因而会对非国家机关个人信息处理者利用个人信息加以限制。但是，非国家机关个人信息处理者更倾向于扩大自己的个人信息处理权限，以充分利用个人信息，发挥其经济价值。这二者之间矛盾的解决不仅可以提高个人信息的利用效益还可以明确国家机关对个信息保护的权责边界提高个人信息权益保护行政执法效率。

三、国外建立独立个人信息监督机构的经验

欧盟《一般数据保护条例》第六章以专章规定独立的监督机构，并规定了该机构的具体职责，主要包括监控和执行对本条例的实施、提高公众意识，对和处理相关的风险、规则、安全保障和权利的理解。对针对儿童的活动保持特别注意、提高控制者与处理者对本条例所规定责任的意识、在相关发展——特别是信息和通讯技术、商业实践发展——对个人数据保护产生影响的情况下，对相关发展进行监控等一系列职责。《一般数据保护条例》中所规定的独立监督监督机构不仅仅强调其在行使监督权时的完全的独立性，更注重该代理机构同其他政府观以及其他非政府个人信息处理者的合作。

反观美国的《加州隐私权法》，虽然同样设立了独立的机构——加州隐私保护署，其职权主要为执行对违法行为的罚款，不难看出《加州隐私权法》对于政府执法更多的是强调其对违法行为的事后处罚。

新加坡《个人信息保护法》则直接规定信息通讯媒体发展局（The Infocommunications Media Development Authority）为个人信息保护委员会，并行使提高新加坡数据保护意识、代表政府处理与数据保护有关的国际事务、开展数据的保护研究以及促进教育活动等一系列职责。

日本《个人信息保护法》规定具体的独立机构为个人信息处理委员会，同时规定了地方公共团体与政府之间的合作。日本的地方公共团体是指，地方政府的组织、运营等事项，以『地方自治』为根本原则。在日本，地方政府和中央政府的关系是对等的。地方行政长官直接由当地居民选举产生，不受中央政府的指挥操控。并且，日本《个人信息保护法》对个人信息处理委员会的监督范围进行了限制。

综上，我们可以总结出不同国家和地区之间对个人信息保护监督独立机构的建立和职责的统统倾向。首先，以欧盟和新加坡为代表的，建立独立的国家机构，独立行使职权，同时，其职权不仅仅包括运用公权力对相关的个人信息处理者进行监督以及处罚，更承担着提高全社会个人信息保护意识，促进个人信息权利研究以及国际合作等社会职责。其次，以美国为代表，虽然建立独立的监督机构，但是监督机构更多的是通过事后的惩处来行使监督权的，以体现其对政府权力的制约与监督。第三，日本由于其独特的中央政府与地方政府的关系，形成了中央政府与地方政府共同和做保护个人信息的体制同时没加强政府和民间的合作，通过多种途径来保护个人信息，监督个信息处理者。

四、我国建立个人信息监督机构的可行性

首先，我国仅最近十年互联网产业飞速发展，产生了大量的互联网企业以及对个人信息收集、控制的需求。以此次新冠疫情为例，地方防疫检疫部门每天都会公开地方上每天新增确诊的病例的姓名、年龄、里程信息等个人信息，这些公开的个人信息有些甚至对个人隐私有所涉及，但是，公开这些个人信息的目的是为了防疫的需求，且更多的透露感染患者的个人信息，使用方式合理，目的也满足社会公益的需要，同时也能保障公民的监督权。

其次，现在个人信息处理者权利管理不规范，不论是政府机关单位或者互联网公司都存在者滥用个人信息的情况。例如曾在2017年，安徽合肥、铜陵，江西景德镇、宜春等地曝出基层政务网站在公示中出现个人信息泄露的现象，个人联系方式、身份证号等关键信息可以随意下载。5还有大部分都感同身受的收集APP权限问题，人们或多或少都曾今遇到过如果不能授权收集APP足够多的权限将无法接受该APP的服务。用户被这样强制索取个人信息的行为深恶痛绝。

第三，我国有能力建设独立的监督机构。互联网信息中心第46次报告中互联网政务服务板块提到“我国电子政务发展指数为0.7948，排名从2018年的第65位提升至第45位，达到全球电子政务发展“非常高”的水平”。4从这一评价中可以看出，我国互联网政务的建设水平很高，有良好的基础进行进一步的改进，同样符合国家治理体系和治理能力现代化的要求，进一步提高政务水平，提高治理能力和治理效率，符合社会发展的趋势，对改进政府部门工作作风和工作效率以及改善政府威信由重要作用。

五、独立监督机构对个人信息处理行为的监督

（一）对处理一般个人信息处理的监督。对于国家机关处理个人信息的义务,以2015年河北高邑县王同庄派出所民警籍某非法贩卖个人信息案为例，籍某使用所长的数字证书获取公安系统内公民个人信息3670余条，非法获利共计1.9万元，获刑一年。5本案中的公职人员利用职务之便获取体统中的个人信息并出售谋取利益，因此国家内部就需要建立一套有效的信息管理机制，对滥用个人信息的公职人员根据《公务员法》予以行政处分，对于情节特别严重构成犯罪的应当追究其刑事责任。由于国家机关收集和利用公民个人信息具有一定的强制性，因此，对于国家机关利用个人信息的监管以及对直接管理个人信息的国家机关工作人员进行特别的监督，对其滥用职权致使信息泄露甚至利用职权倒卖个人信息的行为需要一套更完善的处罚制度。首先，从行政处分的角度看，国家机关内部需要修改内部规章，新增相关个人信息处理的工作人员的出发机制以及职业规范，加强相关工作人员的思想教育，提高职业素养，依法依规从事相关的操作。其次，从民事责任的角度出发，对于工作人员和机关的过失使个人信息泄露，或是不当的向他人提供个人信息造成个人信息所有者合法权益遭受损失的，机关及个人应当承担相应的侵权责任，赔偿其物质损失。

对于非国家机关个人信息处理者而言，对其监督主要表现为以下义务：首先，防止个人信息泄露的义务。个人信息处理者收集个人信息后应当以适当的方式存储个人信息并采取相应的加密措施予以保密。同时我们还必须注意到防止个人信息泄露不仅仅是防止其他的个人信息处理者的窃取，还要防止个人信息非法流向境外。其次，按照约定的目的处理个人信息的义务。个人信息处理者在收集到个人信息后并不意味着其可以任意处置，分析个人信息，对个人信息的处理必须按照在收集个人信息时的通知中所承诺的个人信息用途、处理方式和利用范围来处理个人信息。再次，当分享个人信息时，应当负担对受让方的评估义务。个人信息在分享中可以发挥更大的经济价值，但是个人信息处理者出让个人信息时应该合理的评估受让方是否有保存和保密个人信息的能力，同时确保其能够做到不讲受让的个人信息再次出让。

（二）对处理敏感个人信息处理的监督。根据所处理的个人信息的敏感程度不同可以将所处理的个人信息分为敏感个人信息和一般个人信息。

由于敏感个人信息的特殊性，个人信息处理者在处理个人信息时要受到更多的限制，更多的以负担义务的形式来进行。2021年4月9日，被称为“人脸识别第一案”的郭兵、杭州野生动物世界有限公司服务合同纠纷由杭州市中级人民法院做出终审判决：杭州野生动物世界有限公司删除郭兵办理指纹年卡时提交的指纹识别信息。这一判决充分体在私法实践上为我国个人信息尤其是敏感个人信息的保护提供了榜样，同时也有利于激起人们对于个人信息保护的重视。

所谓敏感个人信息是指旦泄露或非法使用容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。我国对个人信息的保护采取了将个人信息分为一般个人信息和敏感个人信息的二分法规则，体现了我国对个人信息保护的重视。

首先，关于处理敏感个人信息应当取得个人的单独同意问题。个人信息处理者在收集敏感个人信息时应当以尽可能简洁、明了、醒目的方式提醒个人信息生产者将被收集的信息的敏感性以及将用于何种目的。杜绝个人信息处理者利用经济优势订立过于复杂冗余的个人信息收集通知或提醒，以此迷惑个人信息生产者。有个人信息独立监督机构来对用户须知项目的内容进行审查，防止个人信息处理者非法收集敏感个人信息。

其次，对于敏感个人信息的界定应当根据具体应用场景来确定。如今，人们对个人隐私和个人信息保护意识的逐渐增强同时随着科技的进步人们的个人信息也大幅增多，虽然可以通过法律、法规规定部分敏感信息，但是个人信息的种类纷繁复杂，不同的人对同一类个人信息的敏感性感知程度也不同，单纯依靠法律、法规难以穷尽列举。因此有必要发挥个人信息生产者的主动性，在个人信息处理者收集个人信息时可以主动提出某些个人信息属于敏感个人信息，以及列举几种允许利用其敏感信息的场景，甚至可以通过明确申明的方式排出个人信息处理者对敏感信息在某些方面的利用。

再次，对于敏感个人信息的分享应当受到严格限制。6个人信息的分享可以更大程度的发挥个人信息的经济价值，但是对于敏感个人信息而言则相反，敏感个人信息的分享将会对个人信息生产者造成名誉、隐私等方面的重大损失。敏感信息与私密信息存在交叉关系，部分敏感信息例如家庭住址、身份证号、车牌号等既是敏感信息也是私密信息，基于前述的个人信息处理者收集具有敏感性和私密性的时应当通知并单独征得同意和根据应用场景来界定敏感个人信息规则，个人信息生产者愿意将自己的敏感、私密信息提供给个人信息处理者说明对个人信息处理者的保密能力以及诚信守约有一定的信赖利益。因此，如果确需分享敏感个人信息应当对分享的必要性以及安全性进行充分的评估，征得个人信息生产者的同意并有必要将分享行为主动置于相关机关的监督之下。

由于一般的个人信息敏感度没有那么高，个人信息处理者的权限也更大，但是仍然受到一些限制。

首先，应在得到个人信息生产者同意的前提下收集个人信息。这是对个人信息处理者最基本的要求，但是相对于敏感个人信息而言，个人信息处理者在同时个人信息生产者的方式上没有那么严格，在简单、明确的前提下只需要告知其将收取个人信息生产者的个人信息以及看的使用范围和途径即可。

其次，不违背的个人信息生产者的撤回权。当个人信息生产者事后认为其已经提供的个人信息可能会对其权益造成损害或发现个人信息处理者对其个人信息的利用不符合收集个人信息是的约定，可以撤回同意。同时，个人信息处理者不得私自隐瞒个人信息的备份或者以不再提供相应服务为条件阻碍个人信息生产者行使撤销权。

参考文献：

[1]胡元聪,张馨予.政府干预视域下人工智能时代的个人信息保护[J].征信, 2019, 37(11):9-17

[2]张新宝.我国个人信息保护法立法主要矛盾研讨[J].吉林大学社会科学院学报，2015年第5期：45-56+204-205

[3]张新宝.从隐私到个人信息：利益在衡量的理论与制度安排[J].中国法学，2015年第3期：38-59

[4]第46次《中国互联网络发展状况统计报告》[EB/OL].http://www.cnnic.net.cn/gywm/xwzx/rdxw/202009/W0202009293

[5]最高检发布6起侵犯个人信息犯罪典型案例[EB/OL]. https://www.spp.gov.cn/zdgz/201705/t20170517_190835.shtml

[6]张新宝.我国个人信息保护法立法主要矛盾研讨[J].吉林大学社会科学院学报，2015年第5期：45-56+204-205