个人信息保护法的地位与属性

第二节 个人信息保护法的地位与属性

一、个人信息保护法的部门法地位

全球个人信息保护立法的发展，已经充分证明了个人信息保护法的部门法地位。然而，这些并不能直接消除人们在理论层面的重重疑问。要明确个人信息保护法是否是一个独立法律部门，首先应明确一个历久弥新的理论问题——部门法的划分标准。形式逻辑的基本原理要求对事物进行分类的结果只能是在同一标准下才能产生一一对应的关系。传统上，人们认为部门法的划分标准有两个，一是调整对象，即法律调整的不同社会关系；二是调整对象辅之法律的调整方法。在这种标准下，部门法可以划分为宪法、民法、刑法、行政法、国际法、诉讼法等。然而现代社会分工越来越精细，人们面临的问题越来越复杂，现代的社会关系呈纵横交错的网络结构。因此，各国立法者顺应这种趋势，越来越多地采用“解决一个问题”或者在一个领域“实现某一目的”的立法思路，这种新型的立法模式往往会把所谓的纵向社会关系和横向社会关系的揉入一个部门法中，使传统的行政法、民法和刑法乃至程序法的规范共存于一部法律规范之中，有利于运用综合法律手段对某一社会领域或具有某种相同内容的社会活动加以统一调整，如环境法、金融法。个人信息保护法也是如此。以调整对象和调整方法为典型划分标准来衡量一切部门法的那个时代已经一去不返了，代之而来的是多种标准共存的新时代。

其实，“解决一个问题”或者在一个领域“实现某一目的”的立法思路并不是什么全新的理念与思路，在我国法学界清末民初时期有关公法和私法划分标准的争论中，就有一种三元说的论点。这种论点不否认公法和私法的区别，而是认为在二者之外，还有一个第三法域存在。第三法域为公私综合法，被称为社会法。现在，这种观点为我国台湾省多数学者所承继。^[2]在国外立法理论中，这种“解决一个问题”或者在一个领域“实现某一目的”的立法思路为称为“着眼于问题（Problmorientierung）”的法律方法论。我国学者高家伟教授认为，“着眼于问题”的法律方法论是指以一个或者若干问题为中心，从整个法律制度或者社会科学（如政治学、经济学、伦理学等）的角度考察其解决的法律方法论。例如对环境保护问题，应当综合实施宪法、民法、刑法、行政法、国际法、诉讼法等法律规范，从而形成环境宪法、环境民法、环境刑法、环境行政法、环境国际法、环境诉讼法等环境法分支，这些分支也称为特别环境法，是环境法学体系上的分论内容。它们以环境法的基本概念和原则为核心。这些基本概念和一般原则被称为一般环境法、环境法总则，是环境法学体系的总论。^[3]部门法的划分标准不是外在的，而是内生的，根植于法律的内部结构。法律的内部结构不是立法者任意架设的，而是一定社会经济、文化和政治关系的客观反映。当社会上客观出现了某种新的社会活动领域或具有新内容的社会活动类型，而国家按照一定的宗旨对由该活动进行统一立法调整，就形成新的“法律部门”^[4]。

这种立法模式不仅方便司法，也有利于人们清楚地了解和掌握的其活动领域内的法律。相比之下，部门法的划分相对于立法来说是第二性的，因此，部门法的划分应当最大限度地“回归”立法实践^[5]。划分部门法的标准演化为两类:一类是以调整对象和调整方法为标准，属于传统的部门法划分标准；另一类是以着眼于问题和目的划分标准，是现代社会衍生的新的部门法划分标准，它与传统的部门法划分标准并存。在此前提下，个人信息保护法、环境法、科技法、劳动法等属于着眼于问题和目的的现代法学部门；而宪法、民法、刑法、行政法等是着眼于调整对象和调整方法的传统法律部门。并特别指出个人信息保护法为着眼于问题和目的的现代法律部门。

二、个人信息保护法的多维属性

（一）领域法

在个人信息保护法的公法和私法性质上，学者之间争议很大。借用一部电影的名字，个人信息保护法“一半是海水，一半是火焰”。海水，是横平的，是民法精神的体现；火焰是纵向的，是行政法的象征。因此，个人信息保护法是“公私兼顾”的“领域法”。

有一种观点认为，个人信息保护法应该为私法，是民事特别法。我国学者林诚二教授将台湾资料法明确列为民事特别法。^[6]我国著名学者王泽鉴教授将我国台湾资料法编入人格权法之下的隐私权之中。^[7]这是从人格权保护的角度出发而得出的结论。单从这个意义上说，个人信息保护法是私法，属于民法的范畴。

德国著名学者沃尔夫、施托贝尔等认为个人信息保护法是行政法。^[8]这是从行政机关处理个人信息的角度对个人信息保护法的性质进行认定而得出的必然结果。纵向的信息处理关系和横向的信息处理关系的地位同等重要。行政机关在个人信息处理和利用的过程中占了很大比重，个人信息保护法大量的篇幅是有关纵向信息关系的调整规范。单从这个意义上说，个人信息保护法是公法，属于行政法的范畴。

上述观点的分歧，在于他们只看到了像的一面，就匆忙下了结论，而没有意识到两面具有相同的重要性，都是不可忽视的。这些分歧也反映出，依照传统部门法的分类标准，很难将个人信息保护法归类，个人信息保护法既调整国家政机关处理个人信息而形成的与自然人的管理关系，也适用于民事主体之间因处理个人信息而形成的平等主体之间的关系，个人信息保护法在性质上属于公私混合的“领域法”，“公私一体”的混合性质十分显著。一般讲民法属于私法，而行政法属于公法。但这种划分也并不绝对。民法主要调整私人之间的关系，但其中的个别法律规范也有公法性质。比如德国民法典第22条^[9]，该条规定:“社团在邦内以经济上的营利为目的，如帝国法律无特别规定，因国家授予而取得权利能力。授予权为社团住所地所在的邦享有。”在德国，有关公产管理的法律部分属于公法规范，部分属于私法规范。^[10]而这样的法律以及这样的法律现象越来越多。笔者将以特定领域的公私混合社会关系为调整对象的法律称之为领域法，个人信息保护法就属于领域法。虽然德国学者和政府主张个人信息保护法是行政法^[11]，但这并不能否认行政法规范和民事规范平分德国法之秋色的基本事实。德国资料法的主干内容是“第二部分”和“第三部分”，其中，“第二部分”是关于“国家机关的资料处理”，属于行政法规范；而“第三部分”是关于“非国家机关和参与竞争的公法上的企业的资料处理”，属于民事法律规范。在具有英美法系传统的国家和地区的个人信息保护立法中^[12]，一般不区分国家机关与非国家机关，统一立法规范。英国法和我国香港地区的立法是典型的代表。我国香港资料条例深受英国法的影响，其第三条适用范围规定:“本条例对政府具有约束力。”^[13]说明香港资料条例既调整私的关系，同时又调整公的关系。

（二）权利法

个人信息保护法的立法目标在于保护信息主体的权益，而非保护信息管理者的权利，其最基本的职能在于确认信息主体的权利并提供保护途径。个人信息保护法，既保护个人在公法上的权利，也保护个人在私法上的权利。法国1978年1月6日颁布了《计算机信息技术与自由法》，是一部旨在实施数据自动化处理时，保护公民个人生活的法律。该法第1条规定，计算机信息技术应为每一个公民所用。计算机信息技术的运用既不应该损害到人类的身份，也不能侵害到人权，既不能损害到公民的私生活的权利，也不能损害到公民在政治生活中的权利。法国法的规定，直接体现了对人自身的关怀。

德国学者沃尔夫、施托贝尔将行政法划分为客观行政法和主观行政法。按照沃尔夫、施托贝尔的观点，“主观行政法是指个人针对国家和其他公权力主体享有的合法权益的总称，其中特别有关个人要求国家或其他公权利主体实施特定的作为或者不作为的请求权的法律规范。”^[14]根据沃尔夫和施托贝尔的观点，主观行政法和客观行政法的区分标准是行政法律规范的主要目的是维护公共利益还是保护个人权益。个人信息保护法是有关确认和保护在纵向信息处理关系中个人权益的法律规范，因此个人信息保护法属于主观行政法，是公权利法。尽管美国1974年公布的、调整联邦政府处理个人信息的立法《隐私权法》，没有就立法目的予以说明，但该法案的名称已经清晰地标示了保护个人隐私^[15]这一目的。

个人信息保护法的私权利法属性主要表现为个人信息保护法的立法目的在于保护信息主体的人格权。个人信息保护法以权利为本位，在横向信息处理关系中，自然人的人格权，尤其是精神性人格权利极易造成损害，因此个人信息保护法的立法目的在于通过规范信息管理者的收集、处理和利用行为以保护自然人的人格利益。从这个方面也可以说，个人信息保护法的目的在于保护信息主体的人格权利，限制信息管理者的财产权利。德国个人资料保护法开宗明义地指出其立法目的在于保护个人人格权。该法第一条规定:“本法旨在保护个人的人格权^[16]，使其不因个人资料的处理而遭受侵害。”我国台湾省“电脑处理个人资料保护法”第一条也明文规定立法目的在于保护自然人的人格权。

因此，个人信息保护法既是保护个人公法权利的规范，也是保护个人私法权利的规范。

（三）制定法与强行法

大陆法系以制定法为主，英美国家以判例法为主。然而在个人信息保护的立法方面，两大法系均采制定法形式。大陆法系的代表法国、德国如此，英美法系的代表英国和美国也如此。这不但反映出两大法系在相互取长补短中逐渐融合，而且也反映了各国对个人信息保护的重视。

私法是任意法，而公法大多是强行法。作为领域法，个人信息保护法的公法规范属于强制性规范，其私法规范也有大量的强制性规范，不容当事人任意创设与变更。强行法指以强制性和禁止性规范为主要内容的法律，任意法是以任意性规范为主要内容的法律。强制性和禁止性规范是与任意性规范相对应的一对范畴。强行性规范是指法律规范所规定的权利和义务不允许当事人任意变更的法律规范。而任意性规范是指法律规范所规定的权利和义务允许当事人之间相互协议或单方面予以变更的法律规范。^[17]

个人信息保护法的强行法性质表现如下:

（1）在效力上，个人信息保护法的大多数规范在适用中具有绝对性，不允许当事人进行变更。

（2）在内容上，个人信息保护法的大多数规范具有内容上的单一性，即单一的肯定或单一的否定。与此相反，任意性规范在内容的确定性上通常提供两个或者两个以上的可供选择的内容。

（3）在利益体现上，个人信息保护法不仅调整信息处理当事人之间的利益，而且体现着国家利益和公共利益。比如敏感个人信息的处理、国外机构对本国个人信息的收集等。因此，法律中难免有许多保护国家利益和公共利益的强制性规范出现。

个人信息保护法的强行法特性有利于强化对个人权利的保护。欧盟指令为实现其倡导的个人权利，将有些权利给予强行法保护，其特别强调的是在某些领域——如敏感个人信息的强制保护，不允许当事人放弃。

另外，个人信息保护法是实体法、国内法这一点，不需要太多的阐释。