个人信息与相关概念

第一节　个人信息与相关概念

从世界各国立法来看，个人信息的概念称谓并不统一，不同的国家采用不同的称谓。个人信息的概念滥觞于1968年联合国“国际人权会议”中提出的“资料保护”（data protection），这一年也因此被称为“资料革命”年。最早的国内个人信息保护立法是德国黑森州《个人资料保护法》（1970年），而最早的国家级个人信息保护立法则是瑞典的《资料法》（1973年）。然而，这些最早的会议和立法文件对“个人资料”的界定并未得到普遍的承认和遵从。由于个人信息是一个崭新的法律现象，各国学界和立法对个人信息的认识也并不一致，最直接的表现是个人信息在各国立法上被分别冠以不同的称谓。采用“个人隐私”称谓的立法主要有:1974年美国《隐私权法》、1981年以色列《隐私保护法》、1987年加拿大《隐私权法》、1988年澳大利亚《隐私权法》等；采用“个人资料”称谓的立法主要有:1978年法国《资料保护法》、1981年冰岛《有关个人资料处理法》、挪威1978年《资料登录法》、1987年芬兰《资料保护法》、1988年日本《有关行政机关电子计算机自动化处理个人资料保护法》等。中国政府已经将个人信息保护问题列入立法计划^[1]。对个人信息进行科学定性不仅仅是法学研究所应该解决的一个理论问题，也是立法的迫切需要。从法学的视野出发对个人信息进行科学定性是进行个人信息保护立法的基础。

一、为什么是个人信息，而不是隐私

关于个人信息，我国学界也有不同的称谓。有学者称为个体信息^[2]（information relating to individuals），有学者称为“个人隐私”^[3]，也有学者称为个人资料或个人数据（personal data）。“资料”“信息”和“隐私”不仅仅是称谓不同，而是有独立的外延和内涵的不同概念。首先，“个人隐私”和“个人信息”并不仅仅是概念称谓的不同，两者最大的区别在于范围上的差异。从形式逻辑出发，“个人信息”和“个人隐私”是包含关系，也就是说个人信息包含个人隐私，个人隐私是个人信息的下位概念，是个人信息的一部分。选择“个人隐私”的立法和观点主张法律保护个人信息是因为其涉及个人的隐私，换句话说，法律仅仅保护涉及个人隐私的个人信息，而不保护不涉及个人隐私的个人信息。而诸多个人信息并不涉及个人隐私，比如公开个人信息和琐细个人信息，而这些个人信息仍然需要个人信息保护法给予保护。法律对个人信息的保护，是对满足一定条件的全部个人信息进行全面保护，并不仅停留在保护隐私利益一个方面。个人信息保护法所保护的个人信息的法律要件是该信息具有“识别性”，而不是具有隐私利益。因此，“个人隐私”这一概念事实上将不涉及隐私的个人信息排除在保护范围之外，显不足取。

我国立法应该选择“个人资料”“个人数据”还是“个人信息”作为基础概念也有争论。从信息科学的角度看，“资料”和“数据”的英文均为“Data”，是指用有意义的、可以识别的符号对客观事物加以表示得到的符号序列，是代表人、事、时、地的一种符号序列（不以文字为限）。在这个角度看，个人资料和个人信息是同一的概念，只是“Person Data”的不同中文翻译而已。“信息”的英文是“Information”，是指资料经过处理后可以提供为人所用的内容，它的功能是使事务的不确定性减少。我国台湾省将信息称为“资讯”。在资料与信息的区分上，资料侧重于客观的形式，不以资料反映的内容与人的互动关系为着眼点。信息着眼点恰恰在于此，在于其作用于人的大脑形成的认识。“无数客观事务的信息，正是通过人的眼、耳、鼻、舌、身这五个官能，“传递”给人们，经过人们的大脑进行“去粗取精、去伪存真”地加工，人们方才认识了世界，又转过来改造世界”。^[4]从资料与信息的内在关系看，资料是信息的载体，信息是资料表现的内容。^[5]比如，“造山愚公 男 重庆大学教授”这是一个资料或称为数据。而这个资料反映到人脑，人脑得到的内容是信息，可以这样表述“造山愚公是重庆大学的教授”。不同的数据也可以表示相同的信息。如果将以上资料中的“男”替换为“M”，并给出“M”的相关资料，这时资料变成了“造山愚公 M 重庆大学 教授 M＝男”，但表述的信息与第一个资料是完全相同的。从这个角度理解，可以说信息是资料的内容，资料是信息的物化形式。

从个人信息和个人资料的关系上看，个人信息是个人资料所反映的内容，个人资料是个人信息的表现形式。英国《1998年个人资料保护法》（以下简称《英国资料保护法》）就“资料”和“信息”之间的关系进行了明确的界定。这种界定反映了法律对“信息是资料所反映的内容”这一信息科学原理的确认。该法第一条规定，“资料（Data）”的实质是信息（information）。从确定性上讲，个人资料这一概念的确定性比个人信息要好。个人信息往往因收集者的主观目的不同而有差别。在上例中，对于一个想解决“M”这个资料的信息内涵的人来说，对于他来说信息只有一条“M是代表男性的符号”。在个人信息保护立法的最初，使用最多的是资料、资料处理等技术性概念。从这个意义上出发，笔者曾经主张我国在立法上应选择“个人资料”作为基础概念。^[6]那么“个人资料”和“个人信息”是不是有一个自然科学领域中的绝对的对错问题呢？答案是否定的。很多国家和国际组织在其法律文件中也是将个人资料与个人信息通用的。联合国指南中将个人资料和个人信息等同使用。该国际文件以“个人资料”作为标题的核心概念，但在其A部分确立各国立法所应确保实行的最低基本原则时，第一条规定“合法合理原则”中使用了“个人信息（information）”。该条规定:“不得用非法或者不合理的方法收集、处理个人信息，也不得以与联合国宪章的目的和原则相违背的目的利用个人信息。”英国98资料保护法，法律名称为资料保护“data protection”，而绪言的解释为对个人信息（information relating to individuals）进行保护^[7]。美国法直接将个人资料和个人信息相等同。美国商务部和国际贸易管理委员会2000年7月24日公布的《美国—欧盟的隐私安全港原则与常涉问题（FAQ）》中规定:“个人资料和个人信息是指在指令的覆盖范围内，关于某一确定的人的资料或用于确定某人的资料。”

因此，笔者认为，个人资料和个人信息在个人信息保护法领域是可以通用的概念。

而随着个人信息保护法的发展，人们越来越多地开始使用“个人信息”这一概念，其主要原因是突出立法对个人权利的关注^[8]。从这个角度上看，个人信息比起个人资料来说是一个更具有人文关怀的概念。立法的目的在于保护个人资料所反映的个人信息，而不停留于个人资料本身。换句话说，保护个人资料的目的在于保护个人。在这个意义上讲，我们应提倡使用“个人信息”。

综观个人信息保护法的发展历史，可以得出以下结论:个人信息作为一个全新的概念，实定法在采纳它的时候，并没有时间能够等待它成熟，因此无论是概念称谓的选择还是概念内涵的确定，各国立法都存在很大的分歧。这直接导致了个人信息和个人资料概念的相互通用这种并不多见的法律现象的发生。然而，个人信息的法律内涵通过诸多国家和国际组织立法的长时期的沉淀逐步显现。至今，个人信息已经发展成为一个明确的法律概念。笔者认为个人信息这一概念符合大陆法系的立法理论与实践，可以成为我国相关立法的基础概念。

二、一个美国法的相关概念——个人记录

个人信息保护法所保护的个人信息大多表现为某种形式的记录，且存在于某种类型的个人信息档案之中。

“记录”这一概念与个人信息有密切关系。对于个人信息保护法而言，记录的概念可以分为行为意义上的概念和文件意义上的概念。行为意义上的记录是指通过一定方式将个人信息记载下来。此时的“记录”为个人信息处理环节之一——“收集”所涵盖。英国98资料保护法第1条规定，“资料”包括“为了进行自动化处理而记录的信息”。笔者在此主要讨论文件意义上的记录。文件意义上的记录是指个人信息的记载形式。德国90资料保护法第3条规定，“记录”是指任何出于正式目的的文件，包括图像和声音记录媒体，但不包括非为形成记录部分的草稿和笔记。美国《隐私法》规定，“记录”是指行政机关所保持的关于个人的信息、信息集合或信息分类，包括但不限于该个人的教育程度、财产状况、医疗记录、刑事记录或职业履历，以及姓名或用以识别该个人的数字、符号或其他属于个人的特别标志，例如指纹、声纹或照片。同时规定，“记录系统”是指在行政机关控制之下的任何记录的集合体，其中，信息的检索是以个人的姓名或某些用以识别的数字、符号或其他属于个人的特别标志为依据。美国商务部签发的《安全港隐私保护原则》中规定，“个人数据”和“个人信息”是指在指令的覆盖范围内，关于某一确定的人的数据或用以确定某人的数据。这些数据是由欧盟境内发送给美国组织的，其记录的形式不限。以上法律文件中使用的“记录”是指对个人信息的记载，而“记录系统”则与“档案”这一概念相类似。

三、个人信息档案

根据1996年《中华人民共和国档案法》第2条的规定，档案“是指过去和现在的国家机构、社会组织以及个人从事政治、军事、经济、科学、技术、文化、宗教等活动直接形成的对国家和社会有保存价值的各种文字、图表、声像等不同形式的历史记录”。从个人信息保护的角度看，个人信息档案是指依特定目的而收集的并以一定方式编排的个人信息的集合。联合国指南中的“档案（file）”就是在这个意义上使用的。欧洲议会公约第2条规定，“自动化资料档案”是指任何经自动化处理的成套个人资料。欧盟指令使用了档案系统这一概念，其绪言（15）规定，为了方便取得有争议的个人资料，只有在个人资料的处理是自动化的，或被处理的资料包含或计划包含在根据有关个人的特定标准建立的档案系统时，其资料处理才适用本《指令》。我国台湾省资料法第二条规定，个人资料档案是指基于特定目的储存于电磁记录物或其他类似媒体之个人资料之集合。荷兰98资料保护法第1条规定“档案”是指已经建成的任何一套个人数据，而不论此套数据是否集中或分布到依据特别标准便可接近并与不同的人相关联的信息系统功能区或地域范围。

台湾省学者许文义认为:①个人资料档案者，必须涉及资料之集合:所谓资料之集合，系指所有为达成特定目的，使用任一资料媒介，依计划所收集且保存之个别资料。此个别资料只限于个人信息而已，虽然就资料档案之概念而言，档案并不是仅单独由个人信息所组成，但因个人资料保护法所规范者，仅限于与个人有关属人或与个人连接属事之资料而已。②资料之集合，必须以“同种类”方式建立:所谓“同种类方式建立”，系指个别资料得经由互相比较其相同点，而显示出一个或多个共同点，所建立之资料汇集。③资料之汇集，必须储存于特定之载体上:依《电脑处理个人资料保护法实施细则》第三条规定，本法第三条第二款所称电磁记录物或其他类似媒体，指录制、记载有电磁记录之有体物，包括磁碟、磁带、光碟、磁泡记录体、磁鼓及其他材质而具有储存电磁记录之能力者。^[9]

个人信息档案有以下特征:

（1）个人信息档案是个人信息的集合。个人信息集合是关于个体自然人的资料集合，从而排除关于国家机构、其他社会组织的资料集合。个人信息档案必须是为特定目的而收集的个人信息的集合。

（2）个人信息档案是以同种类方式建立的个人信息的集合。收集的个人信息都是关于特定方面的个人信息，具有一个或两个以上的共同特征。

（3）个人信息档案是储存于特定载体上的个人信息的集合。个人信息档案必须储存于硬盘、光碟等有体物上。

四、个人信息档案的法律意义

个人信息档案的意义不仅仅在于它是个人信息的集合，更在于许多国家和国际组织的立法仅仅保护个人信息档案中的个人信息，而不保护“单个”的个人信息。