欧盟《数据保护指令》的缺陷分析－兼谈我国个人信息保护立法的指导思想、方法与思路”刘德良.docVIP

欧盟《数据保护指令》的缺陷分析－兼谈我国个人信息保护立法的指导思想、方法与思路”刘德良 发表时间：2009-1-15 0:07:00 阅读次数:692 所属分类：未分类 个人信息是指那些据此能够直接或间接推断出特定自然人身份而又与公共利益没有直接关系的私有信息，它是一个动态的范畴。立法对个人信息的确权和保护应该以个人信息的功能为依据。在信息时代的今天，个人信息不仅可能具有维护人格尊严的功能，而且，还都具有潜在的财产价值，因此，对个人信息的法律保护不应该局限于人格权保护，同时还应该进行财产权保护。以欧盟《指令》为范式的立法由于仅仅对个人信息进行人格权保护而缺乏应有的财产权保护，不仅不符合信息时代的客观要求，而且也不利于其立法目的的实现。我国未来的立法应该以此为鉴，坚持科学的指导思想，按照正确的思路与方法，而不能盲目随从。 关键词：人格利益、财产利益、个人信息保护、人格权、财产权、指导思想、 一、欧盟《指令》的内容简介 欧盟95年《指令》在内容上包括一般性规定、合法性的一般规则、司法救济、责任与制裁及成员国贯彻措施等共四部分。《指令》关于个人信息保护方面的实质性规定主要包括适用范围、对个人数据收集、加工的基本原则、数据主体的权利、数据控制者的义务及对数据控制者的监管、救济与法律责任等内容。由于个人信息保护主要涉及到保护的范围、方式问题，而保护的方式问题又涉及到主体所享有的权利及其实现方式等内容，因此，对于《指令》的分析也主要围绕保护的范围、主体的权利、救济方式等内容展开。 首先，《指令》是以个人数据、数据主体、数据控制者等作为其基本范畴的。其所谓的个人数据，是指任何与一个明确自然人或可识别自然人（数据主体）身份的有关的信息，其中，“可识别的人”是指可以直接或间接识别的人，尤其是借助于身份证号码或其他一些有关身体、心理、精神、经济、文化或社会身份等特定因素可以直接或间接识别其身份的信息[2]。其所谓的数据主体，是指与信息有关或根据信息可以直接或间接推断出来的自然人[3]。而数据控制者是指任何收集、加工个人数据的自然人、法人或其他机构[4]。 从保护的范围上讲，《指令》在适用范围上不仅包括全部或部分通过自动方法加工个人数据的活动，而且，还适用于那些虽然不是通过自动方法但却是或将用于存档的个人数据加工活动[5]。 其次， 从数据主体所享有的权利上看，《指令》规定了数据主体的基本权利包括：知情权（对数据加工者或接收者的身份、收集、加工使用特定环境与的目的等方面的信息的知悉权）[6]；进入权（有权在合理的时间内、无需费用的情况下要求数据控制者提供诸如是否有关于自己的个人信息被加工、被加工的信息类型、信息加工的目的、信息将要披露的对象或对象的类型；有权要求以可读的形式获取正在加工的自己个人信息；有修改、删除、阻止任何不符合本《指令》的数据加工；有权通知其个人信息所披露的第三方有关其个人信息的修正、删除等）；反对权（在数据控制者或数据披露给的第三方基于履行维护公共利益或官方授权职责或为了追求合法目的而加工其个人数据时，有权以同样的理由反对对其个人信息的加工，除非法律有明确的规定；一旦反对的理由成立，不得继续对其个人信息进行加工；有权反对数据控制者或被披露给的第三方基于直接市场目的而加工其个人信息）、不受约束权（有权拒绝接受仅仅根据自动加工诸如工作表现、信用记录可靠性等方面的个人信息所得出的对其具有法律后果或有实质影响的任何决定的约束。）[7]。 最后，对于数据主体的私法救济措施而言，《指令》要求成员国立法除了规定行政救济措施外，还应该规定司法救济措施，使得数据主体在权利受到侵害时可以得到司法救济[8]。要求成员国必须规定任何数据主体有权就一切非法加工个人数据所遭受的损害获得赔偿；除非数据控制者能够证明该损害不是由其引起的或他不应该对此负责[9]。 二、对《指令》的缺陷及其分析 1．《指令》的缺陷 总体上，虽然，以欧盟《指令》为代表的立法对于信息所有人（数据主体）所享有的权利似乎较之于以往的隐私保护法在内容上更广泛，但是，纵观《指令》的内容，无论是其所谓的知情权、进入权，还是所谓的反对权、不受约束权，在内容上并不具有任何财产权的属性；其唯一涉及到“物质或财产”内容的情形就是信息所有人在因数据加工者擅自加工其信息而导致其受到损失时可以要求对方给予赔偿。显然，这种损害赔偿请求权仍然只是一种消极性、预防性和事后救济性的权利；其行使的前提是非法加工行为已经给其造成了损失，即信息所有人必须要证明自己由于非法加工行为而造成了损失，否则，将无法实现该请求。按照逻辑，只有立法承认主体对其个人信息享有财产权时这种损失赔偿权才能属于物质或财产性的权利，否则，应该属于精神性的损害抚慰权。由此可见，《指令》对个人信息的保护与传统隐私权保护立法在本质上是一样的