李 汀

(四川大學(xué)法學(xué)院,四川 成都 610207)

一、 引言

信息時代數(shù)據(jù)具有無可比擬的價值,面對歐盟和美國等地對個人信息(1)英國、歐盟立法中使用“個人數(shù)據(jù)”(personal data)一詞,而我國慣常使用“個人信息”一詞,兩者在各國立法中幾乎是通用的,僅為用語習(xí)慣不同,本文對個人信息和個人數(shù)據(jù)不作區(qū)分。保護的競爭壓力,能否實現(xiàn)更為合理的個人信息保護制度,對我國而言既是機遇又是挑戰(zhàn)。個人在信息社會生活中留存海量數(shù)據(jù),這些電子數(shù)據(jù)廣泛地被行政機關(guān)、商業(yè)機構(gòu)所存儲或使用,往往成為刑事司法機關(guān)預(yù)防和打擊犯罪所需的線索及情報來源。作為數(shù)據(jù)偵查基礎(chǔ)的“大數(shù)據(jù)”,是以容量大、類型多、存取速度快等特征為基礎(chǔ)的數(shù)據(jù)集合體(2)國務(wù)院:《促進大數(shù)據(jù)發(fā)展行動綱要》(國發(fā) [2015]50號)2015年8月31日。,海量信息的挖掘利用對公民個人信息權(quán)利干預(yù)具有史無前例的廣泛性。數(shù)據(jù)偵查活動較之與傳統(tǒng)偵查活動對所干預(yù)公民權(quán)利的類型發(fā)生轉(zhuǎn)變,由財產(chǎn)權(quán)、人身權(quán)轉(zhuǎn)向個人信息權(quán)、隱私權(quán),由有形化轉(zhuǎn)為無形化,令偵查行為對權(quán)利侵害更難由人直接感知,公民個人作為信息主體對其個人信息權(quán)益的救濟也更加困難。

偵查權(quán)朝著社會化特征演變,傳統(tǒng)由公權(quán)力機關(guān)與個人之間的偵查結(jié)構(gòu)轉(zhuǎn)變?yōu)楣珯?quán)力機關(guān)、個人與商業(yè)機構(gòu)等多元主體間的構(gòu)架(3)程雷. 大數(shù)據(jù)偵查的法律控制 [J]. 中國社會科學(xué), 2018,(11):156-180.,個人信息在各方主體之間的流轉(zhuǎn)與它用急需得到規(guī)范與控制。否則,偵查權(quán)以打擊犯罪作為基本價值取向,具有強烈的追訴傾向,該種國家權(quán)力天然具有擴張性從而侵蝕個人信息在刑事司法中的保護空間。大數(shù)據(jù)時代的來臨促使刑事司法機關(guān)轉(zhuǎn)變信息獲取方式,逐漸從傳統(tǒng)的偵查機關(guān)自身進行信息獲取轉(zhuǎn)變?yōu)閺木W(wǎng)絡(luò)信息業(yè)者等第三方機構(gòu)調(diào)取信息(4)《中華人民共和國刑事訴訟法》第54條第1款對人民法院、人民檢察院、公安機關(guān)等機關(guān)向有關(guān)單位和個人收集、調(diào)取證據(jù)及有關(guān)單位和個人負(fù)有如實提供證據(jù)的義務(wù)作出規(guī)定,通常被視為是調(diào)取措施的法律依據(jù)。。向該等商業(yè)主體調(diào)取數(shù)據(jù)具有技術(shù)便宜性和規(guī)則便宜性,它們相對于偵查機關(guān)而言擁有更強的數(shù)據(jù)處理能力,且偵查主體借此可規(guī)避其他取證方式所面臨的障礙(5)裴煒. 論個人信息的刑事調(diào)取——以網(wǎng)絡(luò)信息業(yè)者協(xié)助刑事偵查為視角 [J]. 法律科學(xué)(西北政法大學(xué)學(xué)報), 2021,39(3):80-95.,偵查機關(guān)基于自身考量也更傾向從第三方機構(gòu)調(diào)取個人信息。偵查權(quán)權(quán)力分布格局的彌散化使得多元主體之間就數(shù)據(jù)收集、分享與挖掘進行高度配合,能大幅提高偵查效率。然而偵查機關(guān)、網(wǎng)絡(luò)信息業(yè)者等第三方機構(gòu)、信息主體的高度配合易陷入偵查權(quán)、信息處理利益及個人信息權(quán)利保護之間的三方角力之中。

與此同時,偵查活動呈現(xiàn)出“功能蠕變”(function creep)——將擁有的個人信息與分析工具運用至越來越廣泛的目的,逐漸模糊其與大規(guī)模監(jiān)控的界限(6)Fantin, Stefano, et al. Purpose Limitation By Design As A Counter To Function Creep And System Insecurity In Police Artificial Intelligence, UNICRI Special Collection on AI in Criminal Justice, 26, 31 (2020).。刑事偵查已不滿足回應(yīng)性地打擊犯罪,將個人信息用以調(diào)查特定的、業(yè)已發(fā)生的案件,而是其功能延伸至預(yù)測性的犯罪預(yù)防之上。對犯罪前期的阻斷必須基于海量個人數(shù)據(jù),對個人信息進行多維度、深層次分析,如通過對個人通訊信息和網(wǎng)購記錄的分析從而形成涵蓋公民個人住址、行蹤、興趣愛好的“數(shù)字畫像”。正如美國國家安全局首長基思·亞歷山大(Keith Alexander)所言“為了在干草堆中找到一根針,前提就需要擁有所有的干草”(7)Miller Kevin,Total Surveillance,Big Data,and Predictive Crime Technology:Privacy’s Perfect Storm,Journal of Technology Law &Policy,Vol. 19,No. 1,105, 110 (2014).。

為對個人信息處理的范圍、強度進行控制,目的限制原則作為個人信息處理最基本的一項原則,不論信息處理者的身份或者處理活動的類別為何,均貫穿于個人信息處理全周期,理論界將其稱為個人信息保護法上的“帝王條款”(8)李惠宗.個人資料保護法上的帝王條款——目的拘束原則[J].法令月刊, 64(1):37-61,轉(zhuǎn)引自程嘯. 論我國個人信息保護法的基本原則 [J]. 國家檢察官學(xué)院學(xué)報, 2021,29(5):3-20.。該原則也被《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)所確立,由此打通了部門法之間的隔閡,呈現(xiàn)出個人信息保護從實體法領(lǐng)域拓展至程序法領(lǐng)域,從私法領(lǐng)域拓展至公法領(lǐng)域的特征。刑事司法領(lǐng)域不可避免地涉及到信息的交互及二次利用,因偵查活動對個人信息的干預(yù)性、偵查權(quán)社會化演變及偵查向大規(guī)模監(jiān)控演變的“功能蠕變”,個人信息存在過度收集與濫用的現(xiàn)實風(fēng)險,目的限制原則不斷受到挑戰(zhàn)。如一學(xué)者所言,我國在刑事訴訟中個人信息保護方面呈現(xiàn)出權(quán)力與權(quán)利關(guān)系上的跛腳狀態(tài)(9)鄭曦. 作為刑事訴訟權(quán)利的個人信息權(quán) [J]. 政法論壇, 2020,38(5):133-44.,法律賦予刑事司法機關(guān)在預(yù)防和打擊犯罪過程中收集和利用個人信息的權(quán)力,但是對訴訟參與人等主體的個人信息權(quán)利卻鮮少關(guān)注。刑事偵查活動較檢察、審判等刑事司法活動具有更多侵犯個人信息的現(xiàn)實表現(xiàn)與特性,需重點予以關(guān)注討論。因此,以分析與評價歐盟為通行與刑事司法領(lǐng)域區(qū)別設(shè)計的目的限制原則為基礎(chǔ),結(jié)合我國《個人信息保護法》構(gòu)建本國刑事司法活動中個人信息所適用的目的限制原則成為當(dāng)下亟需回應(yīng)的問題。

二、 刑事偵查情境個人信息保護的鏡像瑕疵

(一)刑事偵查個人信息處理目的控制呈現(xiàn)規(guī)范真空

在大數(shù)據(jù)時代背景之下,擁有“數(shù)據(jù)權(quán)力”的國家司法機構(gòu)亦是個人信息的侵害風(fēng)險源之一,需嚴(yán)格控制對公民私人生活的干預(yù)與監(jiān)控,避免過度侵入個人信息領(lǐng)域(10)王錫鋅. 個人信息國家保護義務(wù)及展開 [J]. 中國法學(xué), 2021,(1):145-66.。而我國尚未對刑事司法中的個人信息保護作出專門立法規(guī)定,已有法律法規(guī)呈現(xiàn)兩大真空,對個人信息保護呈現(xiàn)片面化傾向:第一,對于個人信息的保護主要依據(jù)對個人隱私保密義務(wù)這一邏輯路線;第二,關(guān)注重點在于信息收集行為而非信息處理行為。

首先,現(xiàn)行刑事訴訟法律法規(guī)中對個人信息的保護大部分基于對個人隱私的保密義務(wù)而進行規(guī)制,但個人信息保護范疇與隱私保密并非重合。如《中華人民共和國刑事訴訟法》(以下簡稱《刑事訴訟法》)專節(jié)規(guī)定技術(shù)偵查,偵查人員對技術(shù)偵查過程中知悉的個人隱私應(yīng)當(dāng)保密,對于所獲取的材料僅能用于對犯罪的偵查、起訴與審判(11)《中華人民共和國刑事訴訟法》第152條。;2016 年“兩高一部”《關(guān)于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》(以下簡稱《電子數(shù)據(jù)規(guī)定》)指出,電子數(shù)據(jù)涉及個人隱私的情形應(yīng)當(dāng)保密(12)《關(guān)于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》第4條。。然而個人信息與個人隱私從范圍、功能兩方面存在實質(zhì)化差異,需要區(qū)別對待,分類規(guī)范。從范圍而言,隱私強調(diào)個人之私密空間不受侵犯,主要關(guān)注私密性;個人信息包含對個人而言的私密信息與非私密信息,其所保護的范疇不以信息的私密性為界限,而是更加注重基于信息的可識別性基準(zhǔn)之上個人對該等信息處理的自主性,即個人依其自我意志決定在何種范圍、何時、向何人、以何種方式處理其個人數(shù)據(jù)(13)劉玫, 陳慧君. 刑事司法領(lǐng)域信息自決權(quán)研究 [J]. 吉首大學(xué)學(xué)報(社會科學(xué)版), 2021,(5):31-40.。從功能而言,除強調(diào)隱私信息不得被偵查人員等泄露之外,個人信息保護聚焦于個人信息處理的自主控制,即個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等多環(huán)節(jié)進行多階段保護;從刑事司法機關(guān)等個人信息處理者、信息主體等多主體分別進行全方位保護。個人信息關(guān)注重心并非為是否被他人知曉,而是信息是否被正當(dāng)、合理地收集與處理,因此在刑事司法中個人信息保護節(jié)點最關(guān)鍵的因素即對個人信息的收集范圍的劃定及其隨后的使用限制,這正落入目的限制原則所規(guī)范的范疇。

其次,傳統(tǒng)刑事訴訟規(guī)范僅將關(guān)注重點放置于個人信息收集行為的物理場域控制,缺乏對偵查中信息處理全周期的程序控制規(guī)則,呈現(xiàn)“顧前不顧后”的傾向,需通過目的限制原則進行調(diào)整。從個人信息收集行為而言,偵查規(guī)則依然依從于以傳統(tǒng)物理場域為考量而制定的調(diào)取規(guī)則,對于偵查活動范圍限制的具體設(shè)計依靠物理環(huán)境的邊界(如時間、對象、地點)而劃分(14)裴煒. 數(shù)據(jù)偵查的程序法規(guī)制——基于偵查行為相關(guān)性的考察 [J]. 法律科學(xué)(西北政法大學(xué)學(xué)報), 2019,37(6):43-54.。即認(rèn)為控制了物理場域的入口,限定了個人信息收集的時間、地點或者對象等因素,取證行為不得超出這些場域限制,則能確保信息流入刑事訴訟的范圍。然而,在個人信息等電子數(shù)據(jù)收集過程中,非直接物理接觸的取證行為大量出現(xiàn),雖不使用外在強制的有形力,但是數(shù)據(jù)承載的個人信息依然受到威脅。就個人信息處理而言,偵查活動往往被認(rèn)為直接等同于取證行為(15)王仲羊. 刑事訴訟中個人信息的權(quán)利保護 [J]. 中國刑事法雜志, 2022,(3):155-176.,對個人信息等數(shù)據(jù)流入的規(guī)制,聚焦于作為證據(jù)的電子數(shù)據(jù)的真實性、同一性(16)譬如《電子數(shù)據(jù)規(guī)定》對此針對性地做出技術(shù)性規(guī)則。,因而忽視了后續(xù)信息使用、更正、刪除等處理步驟的程序規(guī)制。刑事司法機關(guān)對個人信息的處理已由傳統(tǒng)單一的靜態(tài)數(shù)據(jù)獲取延伸至傳輸、分析、更正與銷毀等動態(tài)數(shù)據(jù)處理行為,這些行為并非數(shù)據(jù)調(diào)取等取證行為的附帶結(jié)果,個人信息收集的合法性與正當(dāng)性也不得理所當(dāng)然地被后續(xù)其他處理階段所繼承。

(二)目的限制原則未就刑事偵查場域進行適應(yīng)性調(diào)整

在個人信息領(lǐng)域,目的限制原則是國際上被廣泛確立的原則之一,是調(diào)節(jié)收集及處理個人信息的范圍與手段的重要原則,也是協(xié)調(diào)刑事司法對個人信息權(quán)益干預(yù)過程中公權(quán)力與私權(quán)利之間沖突的重要依據(jù)。個人信息權(quán)作為“第三層級訴訟權(quán)利”,其緊迫性、必要性在刑事訴訟中雖不及生命、自由、健康等權(quán)益,但依然擁有重要價值(17)鄭曦. 作為刑事訴訟權(quán)利的個人信息權(quán) [J]. 政法論壇, 2020,38(5):133-144.。該原則的核心價值在于它能夠?qū)π畔⑻幚碚呷绾问褂媚稠梻€人信息進行限制,從而使個人能夠自始評估和預(yù)見提供這些信息的危險性。從調(diào)整的法律關(guān)系而言,私法領(lǐng)域目的限制原則強調(diào)限制個人信息處理的范圍與手段,避免其他公民對個人數(shù)字人格圖像的干擾與扭曲,刑事司法中該原則以刑事司法機關(guān)肆意收集與濫用個人信息為規(guī)制對象,調(diào)節(jié)權(quán)力與權(quán)利之間的非對稱性結(jié)構(gòu)。

面對現(xiàn)代社會對個人信息保護的迫切需求,我國《個人信息保護法》采取不區(qū)分私主體與偵查、檢察、審判等公權(quán)力機關(guān)的“統(tǒng)一立法”模式(18)彭錞. 論國家機關(guān)處理個人信息的合法性基礎(chǔ) [J]. 比較法研究, 2022,(1):162-176.,第6條首次對目的限制原則進行明確,規(guī)定“處理個人信息應(yīng)當(dāng)具有明確、合理的目的,并應(yīng)當(dāng)與處理目的直接相關(guān),采取對個人權(quán)益影響最小的方式。收集個人信息,應(yīng)當(dāng)限于實現(xiàn)處理目的的最小范圍,不得過度收集個人信息”(19)《中華人民共和國個人信息保護法》第6條。。由此,我國個人信息保護領(lǐng)域的目的限制原則由三方面要求組成:處理個人信息目的特定、處理活動與目的直接相關(guān)、采取對個人權(quán)益影響最小的方式(20)程嘯. 論我國個人信息保護法的基本原則 [J]. 國家檢察官學(xué)院學(xué)報,2021,29(5):3-20.。

然而,《個人信息保護法》統(tǒng)一立法模式忽視了刑事偵查的特殊性,內(nèi)容寬泛且具體操作性欠缺,沒有對偵查機關(guān)等刑事司法機關(guān)就目的限制原則項下收集及處理個人信息予以調(diào)整適用。原則上刑事司法機關(guān)收集和使用個人信息應(yīng)遵守目的限制原則,但在與個人信息保護銜接的過程中面臨向第三方機構(gòu)收集個人信息與后續(xù)溢出初始目的處理的問題,其關(guān)鍵在于劃分不同情景下刑事司法機關(guān)可以收集的個人信息范圍和對個人信息處理的細(xì)化調(diào)整?！秱€人信息保護法》雖就知情同意原則為刑事司法機關(guān)設(shè)置了但書,對偵查活動中適用的知情同意規(guī)則進行結(jié)構(gòu)優(yōu)化(21)王仲羊. 偵查中個人信息知情同意制度的引入與調(diào)適 [J]. 中國人民公安大學(xué)學(xué)報(社會科學(xué)版),2023,39(1):101-112.,但并未就刑事司法機關(guān)收集及使用個人信息的目的限制原則設(shè)置但書或調(diào)整適用。對于在刑事司法中個人信息相關(guān)數(shù)據(jù)的調(diào)取,現(xiàn)有法律規(guī)則雖規(guī)定刑事司法機關(guān)在其職權(quán)范圍內(nèi)可對個人信息進行調(diào)取及處理(22)如《中華人民共和國數(shù)據(jù)安全法》第35條規(guī)定:“公安機關(guān)、國家安全機關(guān)因依法維護國家安全或者偵查犯罪的需要調(diào)取數(shù)據(jù),應(yīng)當(dāng)按照國家有關(guān)規(guī)定,經(jīng)過嚴(yán)格的批準(zhǔn)手續(xù),依法進行,有關(guān)組織、個人應(yīng)當(dāng)予以配合”;《個人信息保護法》第34條規(guī)定“國家機關(guān)為履行法定職責(zé)處理個人信息,應(yīng)當(dāng)依照法律、行政法規(guī)規(guī)定的權(quán)限、程序進行,不得超出履行法定職責(zé)所必需的范圍和限度”。,但僅將刑事司法機關(guān)處理個人信息的范圍限制在其法定的職權(quán)范圍之內(nèi),對個人信息收集和使用的范圍和限制缺少合理劃定,實踐中公權(quán)力對個人信息的調(diào)取及處理邊界難以細(xì)化,缺少實質(zhì)性約束功能。

三、 域外俯瞰:歐盟法中目的限制原則的區(qū)分規(guī)制

目的限制原則被認(rèn)為是數(shù)據(jù)保護中的基石,也是大部分其他數(shù)據(jù)保護原則的前提性要求(23)Christopher Kuner, Lee A. Bygrace, Christopher Docksey (eds), The EU General Data Protection Regulation (GDPR), A Commentary 315 (Oxford University Press, 2020).。該原則適用場域主要涵蓋個人信息因何被收集并限制進一步處理的范圍,它構(gòu)成了防止肆意收集或濫用個人信息的安全保障,并指導(dǎo)基于不同目的收集個人信息的處理活動。

刑事司法與其他信息處理場景所適用的目的限制原則在并非完全一致。從數(shù)據(jù)處理角度,刑事司法機關(guān)作為個人信息收集和使用的主體即“個人信息處理者”,與作為個人信息權(quán)利主體的公民個人之間不僅在信息能力方面具有不平等性,且國家偵查權(quán)等公權(quán)力行使過程并非持續(xù)性地進行信息采集與處理,并不適用針對持續(xù)性信息不平等關(guān)系主體之間所通行的個人信息權(quán)利保護制度(24)丁曉東. 個人信息權(quán)利的反思與重塑 論個人信息保護的適用 前提與法益基礎(chǔ) [J]. 中外法學(xué),2020,32(2):339-356.。正因于此,歐盟的《通用數(shù)據(jù)保護條例》(以下簡稱GDPR)(25)Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation).將刑事司法為目的的數(shù)據(jù)處理排除在其適用范圍之外,而對基于預(yù)防、調(diào)查、偵查、起訴刑事犯罪等活動而進行的個人信息處理進行特別法律規(guī)制,即《以犯罪預(yù)防、調(diào)查、偵查、起訴或刑罰執(zhí)行為目的的個人數(shù)據(jù)保護指令》(以下簡稱《個人數(shù)據(jù)刑事司法指令》)(26)Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA.。雖然美國將刑事訴訟中的個人信息保護的放置于隱私權(quán)的大框架之內(nèi),但與歐盟相似,美國主要通過憲法第四修正案關(guān)于搜查及隱私權(quán)保障的判例法加以規(guī)范,逐漸將刑事查中搜查的建立標(biāo)準(zhǔn)由物理侵入轉(zhuǎn)變?yōu)殡[私侵犯,發(fā)展出刑事司法領(lǐng)域個人信息保護的第三方理論和隱私合理期待說等標(biāo)準(zhǔn)(27)程雷. 大數(shù)據(jù)偵查的法律控制 [J]. 中國社會科學(xué), 2018,(11):156-180.。

作為個人信息保護立法的后發(fā)國家,我國出臺的《個人信息保護法》參考了歐盟GDPR的體例,因此歐盟的個人信息立法框架具有典型意義。與GDPR同步通過的《個人數(shù)據(jù)刑事司法指令》被認(rèn)為在“建立一個具有高度數(shù)據(jù)保護的自由、安全和正義的領(lǐng)域”發(fā)揮重要作用,對該指令在刑事司法領(lǐng)域確立的目的限制原則進行深入探討并總結(jié)優(yōu)點與不足,對我國具有極大的借鑒意義。

(一)起源與基礎(chǔ)

早期關(guān)于目的限制原則的規(guī)定可見于與隱私相關(guān)的國際文件之中,如經(jīng)合組織的隱私準(zhǔn)則(28)OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data (1981) (updated in 2013)和歐洲理事會的《關(guān)于個人數(shù)據(jù)自動化處理的個人保護公約》(第108號公約)(29)Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, ETS, No 108, 28 January 1981, Strasbourg (Convention 108).。在刑事司法部門,歐洲理事會關(guān)于警察部門使用個人數(shù)據(jù)的建議(R(87)15號建議)(30)Council of Europe Recommendation R(87)15 of the Committee of Ministers to Member States regulating the use of personal data in the police sector (1987).也包含了關(guān)于目的限制原則的規(guī)定。在這些文件之中,目的限制原則被劃分為目的明確和限制使用兩個層次。在第108號公約的基礎(chǔ)上,盡管《關(guān)于涉及個人信息處理的個人保護以及此類數(shù)據(jù)自由流動的指令》(第95/46/EC號指令)和《理事會框架決定》(第2008/977/JHA號決定)措辭略有不同,它們都載有關(guān)于目的限制原則的具體規(guī)定:目的限制原則要求收集數(shù)據(jù)之目的是“特定的、明確的、合法的”,且不得以最初收集目的“不兼容”的方式進行進一步處理。

信息自決一般被認(rèn)為是目的限制原則產(chǎn)生的基礎(chǔ),信息自決指個人對自我信息數(shù)據(jù)處理與使用的控制(31)Liana Colonna, Data Mining and its Paradoxical Relationship to the Purpose of Limitation in Reloading Data Protection, 299, 300-302 (Serge Gutwirth, Ronald Leenes and Paul de Hert (eds), Kluwer 2014).,但是在刑事偵查等活動中這種認(rèn)知難以為繼。以商業(yè)、社會管理等目的收集的個人信息似乎難以完全拒絕被應(yīng)用至刑事司法領(lǐng)域,即個人作為信息主體難以控制偵查機構(gòu)等刑事司法機構(gòu)收集或進一步使用基于非刑事司法目的存儲于第三方機構(gòu)的個人信息。與通行領(lǐng)域不同,在刑事司法中兩個截然不同的價值需要得到平衡:一方面是對個人信息進行保護,另一方面是保障司法機關(guān)為順利進行刑事訴訟活動,打擊犯罪而對數(shù)據(jù)進行適度抓取與利用。目的限制原則在刑事司法領(lǐng)域的應(yīng)用可以提高司法透明度以及法律的確定性和可預(yù)測性,從而實現(xiàn)司法目的和個人信息保障雙重價值,故而在刑事司法場域架構(gòu)之下可采取更為靈活的解讀。因此,歐盟在對個人數(shù)據(jù)進行保護的法律文件中將通行領(lǐng)域與刑事司法領(lǐng)域所適用的目的限制原則進行區(qū)分設(shè)置。

(二)異同分析:不同領(lǐng)域中目的限制條款

GDPR與《個人數(shù)據(jù)刑事司法指令》之間的關(guān)系體現(xiàn)了個人信息在民商事等通行領(lǐng)域與刑事司法領(lǐng)域之間的關(guān)系:個人信息并不是固定的,而是頻繁地在兩領(lǐng)域之間相互流動轉(zhuǎn)化。GDPR第19條將公共機構(gòu)為實施法律之目的對個人信息處理排除在其適用范圍之外,與此同時正如《個人數(shù)據(jù)刑事司法指令》第1條所言,這些數(shù)據(jù)處理行為落入該指令的規(guī)制之中。另一方面,《個人數(shù)據(jù)刑事司法指令》第11條明確規(guī)定,如果公共機構(gòu)所進行的數(shù)據(jù)處理并非是基于法律實施之目的,那么處理活動應(yīng)受GDPR的管轄。故需要對刑事司法涉及信息處理情形進行區(qū)分,同時分析GDPR與《個人數(shù)據(jù)刑事司法指令》在通行領(lǐng)域和刑事司法領(lǐng)域所設(shè)立的目的限制原則不同內(nèi)涵與要求。

1. GDPR:通行領(lǐng)域的目的限制原則

GDPR涉及商業(yè)和公共利益等廣泛領(lǐng)域中數(shù)據(jù)處理環(huán)節(jié)的規(guī)定,對于這些領(lǐng)域中個人數(shù)據(jù)處理的目的限制原則分為目的明確原則與限制使用原則兩個子原則。在目的明確層面,GDPR首先設(shè)定了三個關(guān)鍵詞,即特定(specified)、明確(explicit)以及合法(legitimate):目的特定意味著個人數(shù)據(jù)處理的目的應(yīng)當(dāng)在個人信息收集開端業(yè)已確定,基于不固定或不特定的目的對個人信息進行收集是被禁止的,因為這樣不能精確界定數(shù)據(jù)處理的范圍。目的明確則要求數(shù)據(jù)處理的目的不能是含糊其辭或者概括性的,而是應(yīng)當(dāng)被明確地、詳細(xì)地以各種形式表達出來(32)Article 29 Data Protection Working Party,Opinion 03 /2013 on purpose limitation 39.。最后,這些目的必須是合法的,且數(shù)據(jù)控制者不能為了追求其自身利益,對有關(guān)的權(quán)利、自由和利益造成不合比例地侵犯(33)Christopher Kuner, Lee A. Bygrace, Christopher Docksey (eds), The EU General Data Protection Regulation (GDPR), A Commentary 315 (Oxford University Press, 2020).。

在限制使用層面,歐盟采取兼容使用標(biāo)準(zhǔn)為基礎(chǔ),要求以特定目的收集的個人數(shù)據(jù)需要遵循該目的進行使用,數(shù)據(jù)控制者“不得以與初始目的不兼容的方式后續(xù)處理數(shù)據(jù)”(34)GDPR第5條1款b項。。這意味著除依照初始目的處理數(shù)據(jù)之外,數(shù)據(jù)控制者與數(shù)據(jù)收集的初始目的相兼容的處理數(shù)據(jù)行為是被允許的。關(guān)于數(shù)據(jù)處理的兼容性判斷需要注意以下兩個方面:第一,不相關(guān)的處理目的本身不必然被認(rèn)為是不兼容的,如GDPR第5條1款b項明確規(guī)定,在有適當(dāng)?shù)谋Ｕ洗胧┑那疤嵯?為公共利益的存檔目的、科學(xué)或歷史研究目的或統(tǒng)計目的后續(xù)處理被認(rèn)定為與初始目的相兼容。第二,GDPR第6條第4款羅列出對初始目的與后續(xù)數(shù)據(jù)處理目的的兼容性判斷所需要綜合考慮的五個因素,包括:初始處理和后續(xù)處理之間的聯(lián)系;數(shù)據(jù)收集的背景;個人數(shù)據(jù)的性質(zhì)(如是否為敏感數(shù)據(jù));后續(xù)處理對數(shù)據(jù)主體的影響,以及是否有適當(dāng)?shù)谋Ｕ洗胧﹣韽浹a目的的改變。其中,“數(shù)據(jù)收集的背景”需要特別考慮個人作為數(shù)據(jù)主體與數(shù)據(jù)控制者之間的關(guān)系所產(chǎn)生的對后續(xù)數(shù)據(jù)處理的合理期待(35)GDPR序言(Recital)第50條。。

除此之外,即便新目的與初始目的不兼容,在一些情況下允許為數(shù)據(jù)收集初始目的以外的其他目的而處理個人數(shù)據(jù)。這種后續(xù)處理應(yīng)當(dāng)基于獲取數(shù)據(jù)主體的對新目的之新的同意或者基于成員國或歐盟的法律。需注意的是,這里“成員國或歐盟的法律”要求是保障第23條第1款所述國家安全、國防、公共安全和執(zhí)法利益“必要和合比例”的法律,并尊重基本權(quán)利和自由的本質(zhì),才能構(gòu)成初始目的之外后續(xù)處理的法律依據(jù)。

由此觀之,對于限制使用要求GDPR創(chuàng)新性地提出后續(xù)處理(further processing)的概念,在一定條件下允許出于與收集數(shù)據(jù)初始目的不同的目的處理個人數(shù)據(jù)。后續(xù)處理有三個關(guān)鍵因素:第一,數(shù)據(jù)主體就新目的重新同意;第二,民主社會中維護第23條第(1)款所述目標(biāo)的必要和相稱措施的聯(lián)盟或成員國法律;第三,兼容性評估,證明此類后續(xù)處理與初始目的的兼容性。綜上所述,歐盟對目的限制原則的立法邏輯思路呈現(xiàn)出“窄進寬出”的模式(36)梁澤宇. 個人信息保護中目的限制原則的解釋與適用 [J]. 比較法研究,2018,(5):16-30.,通過目的明確原則限制數(shù)據(jù)收集端口,而在限制使用原則層次通過規(guī)定后續(xù)處理的方式適度擴大數(shù)據(jù)使用端口,在個人信息保護與信息的高效、自由流動之間達到平衡。

2. 《個人數(shù)據(jù)刑事司法指令》:刑事司法領(lǐng)域的特殊規(guī)則

與GDPR相比,《個人數(shù)據(jù)刑事司法指令》所設(shè)立的目的限制原則有所不同?！秱€人數(shù)據(jù)刑事司法指令》僅涵蓋了“主管當(dāng)局”基于預(yù)防、調(diào)查、偵查、起訴刑事犯罪或執(zhí)行刑事處罰之范疇,包括保障和預(yù)防對公共安全的威脅之目的進行個人數(shù)據(jù)處理的情形?！爸鞴墚?dāng)局”包含了有權(quán)進行刑事調(diào)查和刑罰執(zhí)行的司法機關(guān),以及極小部分具有公權(quán)力和公共授權(quán)的其他機構(gòu),例如私人運營的監(jiān)獄及警察部隊的私有化部門。在《個人數(shù)據(jù)刑事司法指令》的語境下,“主管當(dāng)局”與“數(shù)據(jù)控制者”幾乎是可以互換的概念(37)De Hert, Paul; Sajfert, Juraj, The fundamental right to personal data protection in criminal investigations and proceedings :Framing big data policing through the purpose limitation and data minimisation principles of the Directive (EU) 2016/680, Brussels Privacy Hub; 31, 1, 10 (2021).。

目的限制原則的兩個子原則都明確規(guī)定在《個人數(shù)據(jù)刑事司法指令》第4條第1款之中,即個人信息數(shù)據(jù)需要以特定的、明確的以及合法的目的而收集,且不得以與這些目的不兼容的方式處理數(shù)據(jù)。如前文所言,目的限制原則由兩部分構(gòu)成:目的明確原則和限制使用原則。第一,目的明確原則針對數(shù)據(jù)收集的目的,概括地表述為“打擊犯罪”“保護公共利益”并不能滿足具體明確的標(biāo)準(zhǔn),正如第29條工作組指出,概括性地以“實施法律”為目的并不能達到目的特定、明確的要求(38)Article 29 Data Protection Working Party, Opinion 03/2015 on the draft directive on the protection of individuals with regard to the processing of personal data by competent authorities for the purposes of prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and the free movement of such data 6 (2015).。第二,關(guān)于數(shù)據(jù)處理的合法性理由,執(zhí)法機關(guān)只能在法律授權(quán)的范圍內(nèi)履行職責(zé),而不能僅基于數(shù)據(jù)主體的同意或者合同等依據(jù)在刑事司法中處理個人數(shù)據(jù)。《個人數(shù)據(jù)刑事司法指令》在第8條中只規(guī)定了一種法律基礎(chǔ):以歐盟或成員國的法律為依據(jù),并且對于主管當(dāng)局為刑事司法目的執(zhí)行任務(wù)而言數(shù)據(jù)處理應(yīng)具有必要性。第三,與我國現(xiàn)行《個人信息保護法》中對限制使用原則的“直接聯(lián)系”標(biāo)準(zhǔn)不同,《個人數(shù)據(jù)刑事司法指令》采取的依舊是“兼容使用”標(biāo)準(zhǔn),即不得以與收集目的不兼容的方式對數(shù)據(jù)進行后續(xù)處理。需注意,刑事司法情景下的兩個不同的、特定具體目的并非因它們同屬于刑事訴訟的寬泛范疇而必然相互兼容(39)European Data Protection Supervisor, Opinion on the Data Protection Reform Package 53 (2012).。

與GDPR較為嚴(yán)格地基于目的限制原則對數(shù)據(jù)后續(xù)處理進行詳細(xì)規(guī)定的情形不同,《個人數(shù)據(jù)刑事司法指令》并未提及后續(xù)處理,而是基于刑事司法打擊犯罪目的導(dǎo)向?qū)λ占瘮?shù)據(jù)初始目的改變的現(xiàn)實需求,規(guī)定了軟化限制使用原則的條款以契合刑事訴訟活動的特征,學(xué)者將該種改變個人信息初始目的數(shù)據(jù)處理活動稱為后段處理(subsequent processing)(40)De Hert, Paul; Sajfert, Juraj, The fundamental right to personal data protection in criminal investigations and proceedings :Framing big data policing through the purpose limitation and data minimisation principles of the Directive (EU) 2016/680, Brussels Privacy Hub; 31, 1, 9 (2021).?！秱€人數(shù)據(jù)刑事司法指令》第4條第2款允許為溢出初始目的以外之目的進行數(shù)據(jù)后段處理:在以下情況下,允許同一數(shù)據(jù)控制者或另一數(shù)據(jù)控制者為第1條第1款規(guī)定的任何目的進行處理,而不是為收集個人數(shù)據(jù)的初始目的進行數(shù)據(jù)處理:(a)根據(jù)歐盟或成員國的法律,數(shù)據(jù)控制者授權(quán)為該目的處理個人數(shù)據(jù);并且(b)根據(jù)歐盟或成員國的法律,處理是必要的,并與該其他目的合比例。由此,《個人數(shù)據(jù)刑事司法指令》規(guī)定了在刑事司法中數(shù)據(jù)它用情形下對目的限制原則的改良:如果符合合法性原則(即基于歐盟或成員國法律)和比例原則(處理對于后段目的有必要且合比例),則允許對個人數(shù)據(jù)進行初始目的之外的其他目的進一步處理。

3. 信息流轉(zhuǎn)場景

前述厘清了在GDPR與《個人數(shù)據(jù)刑事司法指令》范圍內(nèi)分別確立的目的限制原則及其不同的要求,但個人信息并非一直固定在GDPR或《個人數(shù)據(jù)刑事司法指令》領(lǐng)域之中,而是在兩個領(lǐng)域之間流轉(zhuǎn)。如在刑事司法領(lǐng)域中,偵查機構(gòu)所調(diào)取之?dāng)?shù)據(jù)的初始目的極可能是基于商業(yè)、公共管理等與刑事司法活動無關(guān)的目的;另一方面,刑事司法機構(gòu)將其自身基于刑事司法目的而收集的個人信息向其他機構(gòu)或者網(wǎng)絡(luò)信息業(yè)者傳輸?shù)臄?shù)據(jù)外流的情形也時有發(fā)生。

如前文所分析,在GDPR的領(lǐng)域中,通常禁止以與初始處理目的不兼容的方式處理數(shù)據(jù)。而為促進預(yù)防、偵查、調(diào)查犯罪的目的而進行的處理可能會超出數(shù)據(jù)處理的初始目的(通常是商業(yè)或運營目的)相兼容的范圍。因此,將這些信息傳輸或分享給刑事司法機關(guān)將違反GDPR規(guī)定的目的限制原則。然而,GDPR體系允許歐盟成員國通過國內(nèi)立法措施來限制目的限制原則的適用強度:“當(dāng)這種限制尊重基本權(quán)利和自由的本質(zhì),并且是民主社會為保障:……預(yù)防、調(diào)查、偵查或起訴刑事犯罪或執(zhí)行刑事處罰,包括保障和預(yù)防對公共安全的威脅而采取的必要和相稱的措施”(41)GDPR第23條1款d項。。通過這種立法,成員國可以自由決定打擊犯罪的行動是否以及在何種情況下受到較為寬松的個人信息保護限制。

GDPR中數(shù)據(jù)外流的情形被規(guī)定于第9條第1、2款,它們規(guī)范了數(shù)據(jù)從《個人數(shù)據(jù)刑事司法指令》到GDPR領(lǐng)域的適用情形,被稱為“發(fā)射條款”(the launchpad provisions)。第9條第1款規(guī)定了GDPR適用于最初在《個人數(shù)據(jù)刑事司法指令》領(lǐng)域內(nèi)收集的個人信息數(shù)據(jù)在離開該指令適用范圍之后的進一步處理,即主管部門為刑事司法目的而收集的個人數(shù)據(jù),除非得到歐盟或成員國法律的授權(quán)的,不得為刑事司法以外的目的進行處理,且在獲得授權(quán)后為其他非刑事司法目的處理個人數(shù)據(jù)應(yīng)適用于GDPR的規(guī)范。第9條第2款明確司法機關(guān)如果在刑事司法目的以外對數(shù)據(jù)進行處理,例如基于公共利益的目的進行數(shù)據(jù)存檔、基于科學(xué)或者統(tǒng)計研究的目的使用數(shù)據(jù)等,應(yīng)適用GDPR進行規(guī)范。這些條款為司法機關(guān)基于刑事司法的目的而擁有的個人信息數(shù)據(jù)傳輸至第三方(例如與司法機構(gòu)合作的網(wǎng)絡(luò)信息業(yè)者或者稅務(wù)機構(gòu))提供了可能性與適用規(guī)范;也為同一機構(gòu)為了非刑事司法目的而將其原本基于刑事司法目的而收集的個人信息數(shù)據(jù)進行處理提供了規(guī)則。

(三)尚存缺陷:歐盟刑事司法場域中目的限制原則

從刑事訴訟的角度,個人信息保護關(guān)鍵問題是溢出初始目的數(shù)據(jù)它用:為特定目的收集的個人數(shù)據(jù),隨后因不同目的進一步處理?！秱€人數(shù)據(jù)刑事司法指令》以不同于GDPR的方式貫徹目的限制原則,它并非通過后續(xù)處理的概念來實現(xiàn)限制使用原則,而是設(shè)定后段處理中目的改變的具體規(guī)則對目的限制原則進行把控:允許信息處理者在合法和合比例的條件下,為不同的目的重新利用個人數(shù)據(jù)。后段處理的規(guī)定引發(fā)如下顧慮:這項規(guī)定是否為在GDPR制度下收集并隨后在《個人數(shù)據(jù)刑事司法指令》的制度下使用的個人信息相關(guān)數(shù)據(jù)主體提供相應(yīng)地保障(42)Jasserand Catherine, Subsequent use of GDPR data for a law enforcement purpose:The forgotten principle purpose limitation, Eur. Data Prot. L. Rev. 4. 152, 158 (2018).,由此可以引申出兩個值得注意的瑕疵。

第一個瑕疵為指令中個人數(shù)據(jù)初始目的的含義不明?！秱€人數(shù)據(jù)刑事司法指令》第4條2款的措辭含糊不清,可進行不同的解釋:其所言的“初始目的”指代的對象并不明確?！霸试S同一或另一控制者基于第1(1)條規(guī)定之任一目的處理個人數(shù)據(jù),而不是基于其收集之目的……”中的“而不是基于其收集之目的”這個表述是指《個人數(shù)據(jù)刑事司法指令》范圍外的目的,例如商業(yè)目的或者運營目的,亦或者是僅指《個人數(shù)據(jù)刑事司法指令》范圍內(nèi)的,但是與后段處理目的不兼容的一種具體的刑事司法初始目的(43)Purtova Nadezhda, Between the GDPR and the Police Directive:navigating through the maze of information sharing in public-private partnerships, International Data Privacy Law, Volume 8, Issue 1, 52, 66(2018).?在后一種解讀中,初始目的與新的目的雖然均屬于刑事司法大框架之下而具有相同的性質(zhì),但它們又有所區(qū)別,如在特定刑事案件偵查過程中收集的個人數(shù)據(jù),隨后用于另一個不相關(guān)案件的調(diào)查的情形。

第二個瑕疵涉及為刑事司法目的進一步處理個人數(shù)據(jù)與在非刑事司法目的情境下收集個人數(shù)據(jù)的初始目的之間的兼容性關(guān)系。依據(jù)《個人數(shù)據(jù)刑事司法指令》第4條2款,若后段數(shù)據(jù)處理基于法律且對數(shù)據(jù)處理目的是必要的、合比例的,那么后段處理具有正當(dāng)性。然而該條款并未厘清后段處理目的與初始目的之間的關(guān)系,它們之間是否需要經(jīng)歷兼容性測試,或者新的處理是否因其正當(dāng)性而可免于目的限制原則的要求?該規(guī)定似乎減損了《個人數(shù)據(jù)刑事司法指令》第4條第1款b項中確立的目的限制原則。一些作者甚至將目的限制原則重新定義為“目的偏離”原則,反映了處理的初始目的和后段目的之間缺乏聯(lián)系(44)Els de Busser and Gert Vermeulen, Towards a coherent EU policy on outgoing data transfers for use in criminal matters? The adequacy requirement and the framework decision on data protection in criminal matters. A transatlantic exercise in adequacy’ in EU and International Crime Control, EU and International Crime Control. Vol. 4. Maklu, 95, 102 (2010).。

四、 我國刑事司法目的限制原則的體系化建構(gòu)

GDPR和《個人數(shù)據(jù)刑事司法指令》確立的特定、明確、合法及區(qū)分后續(xù)處理與后段處理不同的要求,表現(xiàn)了歐盟意識到需要根據(jù)是否應(yīng)用于刑事司法場域而調(diào)試目的限制原則內(nèi)涵。這對建立我國在刑事司法領(lǐng)域個人信息保護進路具有借鑒意義,但是應(yīng)當(dāng)認(rèn)識到GDPR與《個人數(shù)據(jù)刑事司法指令》在通過目的限制原則處理兩文件管轄的數(shù)據(jù)交互流通情形,特別是基于GDPR領(lǐng)域所收集的數(shù)據(jù)后續(xù)進入刑事司法領(lǐng)域,尚存瑕疵,易導(dǎo)致個人數(shù)據(jù)保護的目的落空,也給實踐中刑事司法機關(guān)向第三方機構(gòu)調(diào)取個人信息及進一步對數(shù)據(jù)進行處理的活動帶來了操作的不確定性。因此,我國需對歐盟在的個人信息領(lǐng)域所確立的目的限制原則有所揚棄,結(jié)合國情與《個人信息保護法》等相關(guān)規(guī)定,發(fā)展符合中國刑事司法現(xiàn)狀的目的限制原則,將以偵查機關(guān)為主的刑事司法機關(guān)基于刑事司法目的而進行的個人信息處理全階段活動納入程序規(guī)制范疇。

(一)收集端口控制:明確、合理、個人信息最小化

從信息處理的階段來劃分,《個人信息保護法》所確立的目的限制原則包含兩個子原則:收集端口的目的明確原則和處理端口限制使用原則。目的明確與限制使用在目的限制原則中擁有不同分工,目的明確控制著個人信息收集端口,是限制使用的前提條件,如果在個人信息收集階段不能通過明確目的加以劃定收集范圍,則限制使用淪為空談。反之,如果個人信息處理者可超越特定目的隨意處理個人信息,那么目的明確則失去意義。

目的明確原則指導(dǎo)個人信息處理的第一步——信息收集活動,它有三個細(xì)化要求:目的明確性要求、目的合理性要求與個人信息最小化要求。目的明確性指收集個人信息需要基于特定的、明確的目的,該目的不得過于概括或模糊。因此信息處理者在收集數(shù)據(jù)之前需要持有特定的目的,仔細(xì)考量個人信息集及其后處理的目的,不得無所節(jié)制或漫無目的地收集數(shù)據(jù)。其次,個人信息處理的目的應(yīng)當(dāng)用清晰明確的語言表達出來,不能被隱匿或者含糊其辭地表述。目的明確性要求意在確保個人對所交出的個人信息范圍及其處理的掌控,確保個人對信息的有效控制,避免淪為大數(shù)據(jù)發(fā)展下的“個人信息客體”(45)郭瑜.個人數(shù)據(jù)保護法研究 [M].北京:北京大學(xué)出版社,2012.84.,遭受隨意監(jiān)控、分析及操縱,并為個人判斷是否愿意共享個人信息及維護他們的數(shù)據(jù)權(quán)利提供支持。刑事訴訟活動中僅僅以“打擊犯罪”或者“保護國家安全”作為信息收集目的并不能達到明確性的要求,目的明確性要求個人信息收集的目的與特定具體的案件相聯(lián)系,而非基于寬泛模糊的目的。

目的合理性則要求個人信息收集使用的目的需具有制度層面的合法性和價值層面的正當(dāng)性(46)朱榮榮. 個人信息保護“目的限制原則”的反思與重構(gòu)——以《個人信息保護法》第6條為中心 [J]. 財經(jīng)法學(xué),2022,(1):18-31.。合法性是指個人信息處理者對于數(shù)據(jù)處理擁有合法目的,追求合法利益且信息處理行為具有法律基礎(chǔ),如在《刑事訴訟法》《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《個人信息保護法》等法律明確授權(quán)的范圍內(nèi)履行法定職責(zé)進行信息處理。正當(dāng)性指收集個人信息的目的應(yīng)符合社會通行的價值體系,在考慮個案因素的基礎(chǔ)上,需兼顧信息主體與個人信息處理者之間的利益關(guān)系,不得過分傾斜至一其中一方。

個人信息最小化要求個人信息處理者在最初信息收集過程中,使用僅限于對于信息處理目的所需要的個人信息。個人信息最小化要求是目的限制原則的直接要求(47)Asia Biega, Fernando Diaz, Peter Potash, Michele Finck, Haul Daumé Ⅲ, Operationalizing the legal principle of data minimization for personalization, Proceedings of the 43rd International ACM SIGIR Conference on Research and Development in Information Retrieval, 399,400 (2020).,一旦數(shù)據(jù)處理的目的被明確,只有與該特定目的相關(guān)的個人信息才能被進行處理。在民商事等通行領(lǐng)域中,個人信息最小化要求的適用應(yīng)較刑事司法領(lǐng)域更加嚴(yán)格,對于“實現(xiàn)處理目的的最小范圍”的理解應(yīng)限于與處理這些信息之目的必要信息:如果缺少某些個人信息,信息處理的核心目的就無法實現(xiàn),個人信息處理者應(yīng)當(dāng)盡量縮小所使用的個人信息數(shù)據(jù)總量。而在刑事訴訟中應(yīng)賦予個人信息處理者相對寬松的要求,不得超出這些信息之目的有關(guān)的內(nèi)容。具體而言,刑事訴訟中并不嚴(yán)格要求個人信息處理者必須將收集個人信息的范圍劃分在絕對的必要性中,對于收集信息的質(zhì)和量不要求絕對精確,但是需確保不得收集超越目的過多的個人信息。但與此相對,在數(shù)據(jù)處理全周期,個人信息處理者必須定期考慮所處理的個人數(shù)據(jù)是否仍然滿足個人信息最小化要求,并審視相應(yīng)的數(shù)據(jù)是否應(yīng)刪除或進行匿名化處理(48)European Data Protection Board, Guidelines 4/2019 on Article 25 Data Protection by Design and by Default 21(2020).。

(二)處理端口控制:對個人權(quán)益影響最小、以兼容性判斷為標(biāo)準(zhǔn)的限制使用

處理個人信息時存在兩個不同的利益博弈:一方面,信息主體在共享個人信息時的合理期待、信任和法律確定性要求,僅僅通過公民個人的一次同意或者法律授權(quán)不能為無限制地為個人信息處理提供正當(dāng)化依據(jù)。另一方面,從個人信息處理者的角度,隨著科技的進步、案件需求的變化等,已收集的信息也可能對其他目的發(fā)揮重大作用,對個人信息的高效利用是信息社會發(fā)展的關(guān)鍵因素,也能極大提高偵查取證等刑事司法活動的效率,避免訴訟資源的浪費與不當(dāng)拖延。

個人信息的處理活動往往會對作為信息主體的公民帶來權(quán)益的干擾與侵犯,因此在個人信息處理階段,首先應(yīng)當(dāng)關(guān)注的是信息處理方法的選擇。對個人權(quán)益影響最小的要求是比例原則“最小損害原則”在個人信息保護領(lǐng)域的體現(xiàn)(49)程嘯. 論我國個人信息保護法的基本原則 [J]. 國家檢察官學(xué)院學(xué)報,2021,29(5):3-20.。個人權(quán)益不僅僅包含個人信息專屬權(quán)益,也包含憲法所賦予的基本人權(quán)及其他法律所賦予的人身、財產(chǎn)權(quán)益等。故存在多種處理方式可實現(xiàn)處理目的情形下,信息處理者在選擇個人信息處理方式的時候,應(yīng)當(dāng)選擇對個人權(quán)益影響最小的方式。

就處理已收集之個人信息的限制,依據(jù)《個人信息保護法》規(guī)定,我國的判斷標(biāo)準(zhǔn)采取的是關(guān)聯(lián)性判定,即處理需要與信息采集的初始目的相關(guān)聯(lián),且“應(yīng)當(dāng)與處理目的直接相關(guān)”。對于目的與處理活動之間的關(guān)系,我國并沒有采用歐盟個人信息兼容處理的要求,而是作出了更為嚴(yán)格的直接相關(guān)標(biāo)準(zhǔn)。對信息處理范圍限制在與初始目的直接關(guān)聯(lián)的范圍內(nèi)更有利于保護信息主體的權(quán)益,因為原則上對個人信息的處理需要提前告知信息處理的目的等內(nèi)容(50)《中華人民共和國個人信息保護法》第18條。,直接關(guān)聯(lián)標(biāo)準(zhǔn)更利于公民個人預(yù)見其個人信息被處理的范圍及可能造成的風(fēng)險。

然而,由于刑事訴訟中的偵查秘密原則,個人信息處理一般屬于《個人信息保護法》第18條及35條規(guī)定“法律、行政法規(guī)規(guī)定應(yīng)當(dāng)保密或者不需要告知”或“告知將妨礙國家機關(guān)履行法定職責(zé)”的情形,信息主體預(yù)見其信息處理風(fēng)險的預(yù)設(shè)不能成立。且通過考察歐盟個人信息立法,“直接相關(guān)”標(biāo)準(zhǔn)略顯狹窄,初始目的與新的處理之間沒有“直接相關(guān)”并不代表完全沒有聯(lián)系。這種標(biāo)準(zhǔn)不利于個人信息在刑事司法領(lǐng)域高效流通與利用,未能給大數(shù)據(jù)偵查等活動留下足夠空間,對刑事司法有不當(dāng)阻礙的風(fēng)險。兼容使用標(biāo)準(zhǔn)的涵攝幅度更廣闊,由此在刑事司法領(lǐng)域采取“兼容性”標(biāo)準(zhǔn)判斷不失為一條可選進路,可一定程度上減緩刑事司法中因案件的復(fù)雜性需要進行個人信息進一步處理的矛盾困境。

故在刑事司法活動中,若需要對所收集的個人信息進行進一步處理,則需要考慮初始目的與新目的之兼容性。將個人信息原用途與新用途進行兼容性測試,若相互兼容,則允許將個人信息基于新的目的進行處理,而不被視為超出目的處理的活動。在衡量新目的與初始目的兼容性方面,應(yīng)重點納入以下因素:1.新目的與初始目的之間的聯(lián)系,如是否屬于共同犯罪或者上下游犯罪的情形;2.個人信息初始收集時的背景,特別需要關(guān)注個人信息處理者與信息主體之間關(guān)系的性質(zhì)和權(quán)力平衡以及信息主體的合理期待,例如對于證人、鑒定人等訴訟參與人的個人信息兼容使用范圍應(yīng)窄于被告或犯罪嫌疑人;3.是否為敏感信息,一般而言,涉及的信息越敏感,兼容使用的范圍就越窄;4.擬開展的新處理對個人可能造成的影響大小;5.新的信息處理是否有適當(dāng)?shù)谋Ｗo措施,例如對個人信息進行加密或者假名化?；谝陨衔宸N因素綜合考慮,如果新的目的與初始目的有較大不同,沒有合理關(guān)聯(lián),或涉及敏感信息,或會對個人產(chǎn)生較大不利影響,且個人信息處理者未能對信息主體可能產(chǎn)生的不當(dāng)影響采取防止或者保護性措施,那么新的目的不能通過兼容性測試,不能將個人信息進行新目的之處理,刑事司法機關(guān)需要獲得新的合法性依據(jù)才可處理個人信息。

(三)特殊規(guī)則:不同情境信息流轉(zhuǎn)

1. 第三方傳輸豁免規(guī)則

《刑事訴訟法》賦予刑事司法機關(guān)調(diào)查取證的權(quán)利,公安機關(guān)、檢察機關(guān)與法院等主體為了預(yù)防與偵查犯罪等目的可向第三方機構(gòu)調(diào)取個人信息,第三方機構(gòu)也有義務(wù)配合有關(guān)機關(guān)對所收集的個人信息進行共享或者傳輸。由前述分析可知,目的限制原則通常禁止以與初始處理目的不兼容的方式處理個人信息,而為預(yù)防、偵查、調(diào)查犯罪的目的而進行的處理活動可能會超出與信息處理的初始目的相兼容的范圍。若不作出適當(dāng)調(diào)整,將非刑事司法活動目的收集的個人信息轉(zhuǎn)移給刑事司法機構(gòu)將違反目的限制原則。因此,當(dāng)信息處理為刑事司法目的所必需時,個人信息保護相關(guān)權(quán)利和義務(wù)的范圍并非保持不變,而是需要進行相應(yīng)調(diào)試。正如GDPR給歐盟成員國進行其國內(nèi)法調(diào)整的權(quán)力,刑事偵查中允許對通用數(shù)據(jù)保護原則實施一些限制,如對目的限制原則的減損。

在第三方機構(gòu)出于預(yù)防、偵查、起訴等打擊犯罪的目的向刑事司法機構(gòu)提供個人信息的情境下,可豁免于目的限制原則中兼容使用的限制,因為刻板地遵守目的限制原則會阻礙刑事司法目的順利實現(xiàn)。從第三方機構(gòu)的角度,在刑事司法目的之下向刑事司法機關(guān)傳輸個人信息,該行為可以使用第三方傳輸豁免規(guī)則,無需考慮與刑事司法機關(guān)共享個人信息是否與信息收集的初始目的相兼容。但是需要注意的是,獲得豁免的主體僅是第三方機構(gòu),豁免針對的是進一步的信息處理行為,即第三方機構(gòu)向刑事司法機關(guān)傳輸個人信息的行為;從刑事司法機構(gòu)的角度,其向第三方機構(gòu)調(diào)取個人信息依然需要遵守目的限制原則。故而該處豁免僅限于刑事司法機關(guān)向第三方機構(gòu)調(diào)取該機構(gòu)所收集的個人信息這一特殊情境。在預(yù)防和打擊刑事犯罪的需求下,個人作為信息權(quán)利主體對其個人數(shù)據(jù)的控制權(quán)益需要讓渡于國家安全等重大公共利益,因此第三方機構(gòu)對個人信息進一步使用限制的程度有所降低。但這種降低是有限的,它的范圍僅僅存在于第三方機構(gòu)向刑事司法機構(gòu)傳輸或共享個人信息這一步驟,且共享信息的范圍依舊需要符合個人信息最小化原則的要求,因為接收第三方機構(gòu)傳輸數(shù)據(jù)的相對方——刑事司法機構(gòu)的信息收集行為依然需要遵守數(shù)據(jù)收集端口目的明確、合理與個人信息最小化要求,不得毫無邊界、肆意擴張調(diào)取個人信息的數(shù)量,也不得毫無限制地直接接入第三方機構(gòu)的數(shù)據(jù)庫。

2. 目的變更規(guī)則

面對信息處理活動中可能涉及的數(shù)據(jù)它用情形,為合理、充分利用個人信息,刑事司法中目的限制原則也理應(yīng)作出相應(yīng)調(diào)整:如果刑事司法機構(gòu)獲得法律授權(quán),并且就新目的是必要且合比例的情形下,若新目的仍在刑事司法范圍內(nèi),則允許同一或另一刑事司法機構(gòu)基于原始目的以外的目的對個人信息進行進一步處理,該軟化目的限制原則的規(guī)制可稱為目的變更規(guī)則。這種目的變更因?qū)€人信息權(quán)利干預(yù)程度更深,需要匹配更為嚴(yán)格的程序規(guī)制,如基于大數(shù)據(jù)偵查的刑事司法活動中,個人信息收集、使用、目的變更規(guī)則的運用需要進行梯度式的層級構(gòu)建。個人信息收集階段符合目的限制原則項下的目的明確、合法要求和個人信息最小化要求的正當(dāng)性并不必然延伸至信息的使用階段(如利用個人信息的自動化決策等高階分析行為),個人信息的使用需要遵守限制使用原則,在對個人權(quán)益造成最小影響及兼容使用的標(biāo)準(zhǔn)下處理個人信息;若適用目的變更規(guī)則,則需在審批層級、批準(zhǔn)手續(xù)等方面制定更為嚴(yán)格的規(guī)制。其次,目的變更規(guī)則需要區(qū)分信息主體在刑事訴訟中的不同身份,原則上目的變更規(guī)則僅適用于犯罪嫌疑人、被告人或已經(jīng)定罪的罪犯的個人信息,禁止變更目的進一步使用被害人、證人等其他訴訟參與人的個人信息。

目的變更規(guī)則應(yīng)用于刑事司法機構(gòu)基于刑事司法目的之內(nèi)的信息處理程序,此處信息處理包含該刑事司法機構(gòu)自行進一步處理個人信息,也包含該刑事司法機構(gòu)將自己所擁有的個人信息傳輸給另一刑事司法機構(gòu)處理的情形。該規(guī)則實施有兩個前提要求:第一,信息處理具有合法性,即刑事司法機關(guān)對于變更后目的所涉及的信息處理行為處于法律授權(quán)的職能范圍之內(nèi),不得超出法定職責(zé)所必要的范圍與限度,例如公安機關(guān)將偵查中收集的犯罪嫌疑人的個人信息移交檢察機關(guān)作為證據(jù)提起公訴;第二,信息處理符合比例原則。比例原則被稱為“權(quán)利限制的限制”(51)梅揚.比例原則的適用范圍與限度[J].法學(xué)研究,2020,42(2):57-70.,對基于公共利益需求而運用的公權(quán)力進行控制的邏輯基礎(chǔ),對公民權(quán)利的限制以及國家權(quán)力的運作控制在合理邊界之內(nèi),是保障人權(quán)的考量關(guān)鍵。而在目的變更規(guī)則的情境之下,比例原則的關(guān)鍵在于強調(diào)刑事司法機關(guān)為實現(xiàn)打擊犯罪的目的,所采取的新的處理個人信息的活動對于該目的之實現(xiàn)是必要的,且對公民的個人信息權(quán)利限制與侵害與所追求的目標(biāo)合乎比例,公權(quán)力對私權(quán)利的干預(yù)后果與打擊犯罪的目的之間保持均衡。雖然刑事司法活動普遍擁有天然的必要性,但是超出初始目的處理個人信息的必要性依然需要在特定的個案中進行衡量(52)裴煒. 個人信息保護法與刑事司法的分離與融合 [J]. 中國政法大學(xué)學(xué)報,2020,(5):149-160.。由此,刑事司法機構(gòu)為履行法定職責(zé),出于初始目的之外的某一刑事司法目的合比例地對其所擁有的個人信息進行處理是被允許的,但是后續(xù)基于變更后目的所涉及的信息處理行為仍然需要遵守目的限制原則,尤其是限制使用原則,不得隨意進行數(shù)據(jù)它用。

五、 結(jié)語

信息社會的背景之下,以大數(shù)據(jù)偵查為代表,充分利用個人信息實現(xiàn)刑事司法活動預(yù)防和打擊犯罪的目的趨合社會控制機制演變的趨勢(53)程雷. 大數(shù)據(jù)偵查的法律控制 [J]. 中國社會科學(xué),2018,(11):156-180.。正當(dāng)法律程序和個人信息保護對于刑事司法活動的良性發(fā)展至關(guān)重要,而個人信息保護領(lǐng)域的目的限制原則在偵查權(quán)等公權(quán)力邊界控制中的缺失極易引發(fā)全景式監(jiān)控的個人信息收集和處理的風(fēng)險(54)黎曉露. 個人信息權(quán)引入刑事訴訟的理論證成與體系化建構(gòu) [J]. 河北法學(xué),2021,39(12):139-155.。完善目的限制原則在刑事司法個人信息保護領(lǐng)域的程序性規(guī)則構(gòu)建,一方面可銜接刑事司法制度與個人信息保護的基本要求,給予個人信息必要的程序關(guān)照,關(guān)乎數(shù)字時代刑事司法的程序轉(zhuǎn)型與理念革新;另一方面,目的限制原則要求避免對刑事訴訟中個人信息從靜態(tài)的、結(jié)果性的視角進行觀察,強調(diào)個人信息從收集到運用、流轉(zhuǎn)的過程化、動態(tài)化視角,有助于構(gòu)建過程性的證據(jù)觀,促進證據(jù)理念更新與對司法實踐的回應(yīng)(55)馮俊偉. 刑事證據(jù)“生命流程”的理論闡釋 [J]. 中國法學(xué),2023,(1):263-282.。