个人的资料权利

第五节　个人的资料权利

个人对自己的信息所具有的权利不是绝对的、无限制的。个人只是在社会中独立发展的个体，而且其发展也以信息流转为基础。⁽¹⁸⁹⁾

——德国宪法法院

为个人创设资料权利，为资料控制者施加义务，由公权力监督法律的实施是欧盟资料保护体制的三大支柱。其中，为资料当事人创设全面的资料权利是资料保护体制的核心，也是个人行使信息自决权的具体方式。除了继承《资料保护指导原则》和《资料保护公约》中规定的个人资料权利外，如确认是否处理其资料与查阅、修改、更新、删除资料以及反对将个人资料用于直接营销等，《资料保护指令》还为资料当事人创设了其他权利，如反对处理其个人资料及不受完全自动化决定的约束等权利。结合国际和国内立法，本节将着重讨论个人的资料查阅权、资料处理的反对权、反对以直接营销为目的处理资料权以及免受完全自动化决定的约束权。

一、资料查阅权

(一)国际立法

资料查阅权(Right to Access)是信息自决权的基本表现形式，是增强个人对信息流转参控力的必要方式，也是个人资料隐私权中的核心权利。简言之，资料查阅权是指个人有权查实其资料，了解资料处理的有关情况，并根据具体情形要求修改、删除或封存资料。具体而言，该权利包括三个方面的内容:(1)个人有权确认资料控制者是否处理了其资料;(2)若控制者持有其资料，个人有权要求提供该资料以及与资料处理有关的信息;(3)基于上述信息，个人可根据具体情形，要求修改、完善、更新、删除或封存资料。

《资料保护指令》制定前后的国际性资料保护立法均确立了个人的资料查阅权。例如，经济合作与发展组织的《资料保护指导原则》规定了个人参与原则，即个人有权确认资料控制者是否持有与其相关的资料，并要求控制者提供资料及相关信息。个人还有权对资料提出异议，并要求删除、修改、完善或更正资料。⁽¹⁹⁰⁾根据欧洲理事会的《资料保护公约》，个人有权了解自动化个人资料库的存在、其主要目的以及资料库控制者的身份、惯常居所或营业地。个人有权在合理的时间间隔内确认其资料是否被储存于资料库中，要求控制者以其可理解的形式及时传送这些资料，并无须支付过高的费用。如果资料处理违反了资料保护原则，个人有权要求修改或删除资料。控制者未适当地履行上述义务的，个人有权寻求救济。⁽¹⁹¹⁾根据亚太经合组织的《隐私框架》，个人有权向信息控制者确认他们是否持有其个人信息，要求提供其个人信息，对信息的准确性提出异议，并在可能及适当的情形下修改、补全、修正或删除信息。⁽¹⁹²⁾《隐私框架》为个人行使资料查阅权规定了严格的形式和实质要求，同时还明确了其例外情形。⁽¹⁹³⁾

个人行使查阅权可确保资料的准确性、完整性、及时性以及资料处理的合法性，避免或减少不当资料处理对个人造成的侵害。⁽¹⁹⁴⁾《资料保护指令》为个人规定了全面的资料查阅权:(1)资料当事人有权确认资料控制者是否正处理与其有关的资料;(2)若控制者正处理其资料，资料当事人有权要求控制者提供与资料处理相关的信息;(3)资料控制者须以资料当事人可理解的形式向其提供处理中的资料以及有关资料来源的任何现有信息;(4)至少在以资料处理为依据作出自动化决定的情形下，告知资料当事人自动化资料处理的动因;(5)对经处理的资料，特别是不完整、不准确的资料，资料当事人有权要求更正、删除或封存;(6)资料控制者应在必要情形下，将资料的更正、删除或封存信息通告了解资料的第三人。⁽¹⁹⁵⁾

(二)确认是否处理其资料

只有经确认资料控制者正处理与其有关的资料，资料当事人才能查阅自己的资料，了解资料处理的信息，参与资料处理过程，积极行使查阅、修改、删除和更新资料的权利。对此，多数成员国法与指令的规定完全一致，如奥地利、丹麦、法国、意大利、荷兰、葡萄牙、西班牙、瑞典和英国法等。⁽¹⁹⁶⁾芬兰和希腊法与指令的规定稍有不同。根据芬兰法，即使控制者未处理资料当事人的资料，他也应作出通告。⁽¹⁹⁷⁾根据希腊法，资料当事人不仅有权确认控制者是否正在处理其个人资料，也有权了解已处理的资料，而且控制者应以书面形式答复资料当事人的请求。⁽¹⁹⁸⁾

(三)有关资料处理的信息

根据指令，若控制者正处理其资料，资料当事人有权要求提供如下信息:(1)有关资料处理的具体信息，如资料处理的目的、资料的类别、资料的接收者;(2)处理中的个人资料及有关资料来源的任何现有信息;(3)至少在以资料处理为依据作出自动化决定的情形下，告知资料当事人自动化资料处理的动因。⁽¹⁹⁹⁾其中，第一类信息旨在让资料当事人了解资料处理的基本情况，它也是个人参与资料处理过程的前提。第二类信息旨在让资料当事人知悉处理中的资料及信息流转的来龙去脉，它也是个人行使资料修改、更新、删除和封存权的基础。第三类信息为资料当事人行使免受完全自动化决定的约束权所必需。

1．与资料处理有关的信息

欧盟成员国法均规定资料当事人有权要求控制者提供第一类信息，但是，在需要提供的具体信息上，各国法的规定不尽相同。成员国法均要求告知资料处理的目的及资料接收者或其类别，如奥地利、丹麦、芬兰、法国、德国、希腊、意大利、荷兰、葡萄牙和英国法等。⁽²⁰⁰⁾西班牙法仅要求提供关于资料转移的信息。⁽²⁰¹⁾除指令列明的信息外，某些成员国法还要求提供其他信息。例如，奥地利法要求提供资料处理的法律依据、资料处理者的名称和地址，法国法要求提供有关向欧盟境外第三国转移个人资料的信息，希腊法要求提供自资料当事人上次被告知有关信息后资料处理的进展情况，意大利法要求提供可能知悉资料者，如资料处理者和负责具体实施资料处理者等。⁽²⁰²⁾

2．处理中的个人资料与有关资料来源的信息

资料当事人欲参与到资料处理过程中，尤其是要核实资料的准确性，首先必须了解资料处理涉及哪些与其相关的资料以及资料的来源。根据指令，控制者须向资料当事人提供处理中的个人资料与有关资料来源的任何现有信息(Any Available Information)。⁽²⁰³⁾对个人资料的提供，成员国法与指令的规定完全一致。对有关资料来源的信息，奥地利、丹麦、法国、荷兰、葡萄牙和英国法与指令的规定一致。⁽²⁰⁴⁾芬兰、德国、意大利、西班牙和瑞典法要求控制者提供有关资料来源的信息，未指明其是否须为“现有”信息。⁽²⁰⁵⁾

3．自动化资料处理的动因

资料控制者可能基于个人资料或资料处理评价某人的情况，并完全以此为依据自动作出对其产生法律效力或对其具有重大影响的决定。为个人能够行使该权利，⁽²⁰⁶⁾指令还要求控制者告知自动化资料处理的动因。⁽²⁰⁷⁾对此，法国和英国法与指令的规定一致。不论控制者是否以之为依据作出自动化的决定，芬兰、希腊、意大利、荷兰和葡萄牙法均要求提供有关自动化资料处理动因的信息。⁽²⁰⁸⁾

(四)资料查阅权的行使与限制

1．资料查阅权的行使

资料查阅权是资料当事人的一项积极性的资料权，由个人主动行使，并由控制者负责具体执行。资料当事人首先应向资料控制者提出查阅其全部或部分资料的请求，说明欲查阅的资料和信息。收到申请后，资料控制者决定是否以及如何执行资料当事人的查阅权，为其查阅资料提供便利。在查阅资料过程中，个人应同控制者进行必要的配合。⁽²⁰⁹⁾若拒绝或不当执行资料当事人的资料查阅请求，控制者应说明理由，资料当事人可以通过资料保护机构等寻求救济。

《资料保护指令》未对资料查阅权的行使作出具体的规定。不少成员国法详细规定了资料查阅或信息提供的程序，但在个人提起请求的形式和要求及提供信息的时限和方式等方面，它们的规定并不完全一致。例如，根据芬兰法，资料当事人应向控制者提交经本人签字或其他适当证明的申请文件，或直接到控制者的场所要求查阅其个人资料。⁽²¹⁰⁾根据英国法，除非已收到书面的资料查阅请求与相应的费用，资料控制者无须提供信息。为了断定请求人的身份及查找有关的信息，他有权要求申请人提供必要的信息。⁽²¹¹⁾

对提供信息的时限，奥地利法要求控制者于收到申请之日起8周内提供有关信息，或以书面形式说明未提供信息或未提供全部信息的原因。⁽²¹²⁾根据芬兰法，资料控制者自收到申请之日起3个月内未作出答复的，应视为拒绝资料当事人提出的资料查阅请求，资料当事人有权就此向资料保护委员会控诉。⁽²¹³⁾根据希腊法，若控制者未在15日内答复个人提起的资料查阅申请，或对答复不满意，个人有权向资料保护委员会控诉。⁽²¹⁴⁾

对提供信息的形式，多数国家要求以资料当事人可理解的形式向其提供有关信息，不强制要求书面形式。例如，根据丹麦法，如果资料当事人要求以书面形式提供信息，信息提供应采取书面形式，但出于保护资料当事人利益的考虑，也可以通过口头形式提供信息。⁽²¹⁵⁾

2．行使资料查阅权的时间间隔

对资料当事人和控制者而言，查阅资料都耗费一定的成本。因此，个人虽然有权自由地查阅资料，他应在适当的时间间隔内行使该权利。对此，《资料保护指令》仅规定资料当事人应在合理的时间间隔内行使资料查阅权，并未订明具体的期限。⁽²¹⁶⁾荷兰与葡萄牙法同指令的规定完全一致。⁽²¹⁷⁾奥地利、法国、德国、希腊和英国法未对此作出任何规定。根据西班牙法，除非资料当事人可证明其具有正当利益提前查阅资料，他应在一年以上的时间间隔内行使资料查阅权。⁽²¹⁸⁾根据丹麦法，除非资料当事人可以证明其具有特定的利益，他自收到前次信息通告之日起六个月后才有权再次要求查阅资料。⁽²¹⁹⁾意大利法对此规定了三个月的期限。⁽²²⁰⁾荷兰法的规定独具特色:如果自上次查阅资料之日起不满一年，资料当事人再次要求查阅资料，资料控制者可收取一定的费用。⁽²²¹⁾

3．健康资料的查阅

为确保资料当事人合理、适当地查阅健康资料，芬兰、希腊和葡萄牙资料保护法均要求资料当事人通过医生或其他专业医护人员行使该类资料查阅权。例如，根据芬兰法，为查阅医疗机构或组织、医生、牙医或其他健康护理人员持有的与其健康或疾病状况有关的资料，资料当事人应向医生或其他健康护理专业人士提出查阅资料的要求，在经其同意后，由上述人员协助其查阅资料。⁽²²²⁾希腊法要求通过医生向资料当事人提供与健康事项有关的个人资料。⁽²²³⁾葡萄牙法要求资料当事人通过其选择的医生查阅健康资料，包括基因信息。⁽²²⁴⁾

4．资料查阅权的限制

资料隐私不仅关涉资料当事人的自由和权利，还牵涉到资料控制者、第三人的利益及社会公共利益。资料当事人对其资料不具有绝对的控制权，也无法行使绝对的支配权。换言之，个人的资料权利并非绝对的权利，一旦关涉其他优先性的利益，个人的资料权利就应让位。资料查阅权也不例外，它受到各种限制。

根据《资料保护指令》，为了保障国家安全、国防、公共安全、刑事犯罪的预防、侦察和起诉及成员国或欧盟的重要经济和金融利益，保护资料当事人或他人的权利和自由，成员国法可限制个人的资料查阅权。此外，如果资料仅被用于科研目的，或以可识别个人身份的形式保存不超过数据统计所必需的期间，在提供了充分的法律保障的前提下，特别是不利用资料对任何人采取措施或决定，而且明显不存在资料隐私侵害风险的情形下，成员国法可限制资料查阅权。⁽²²⁵⁾奥地利、芬兰、法国、希腊和葡萄牙法规定了类似的限制条件，德国法的规定最为详尽且与指令具有不少差异，而多数国内法并未对此作出规定。

根据奥地利法，如果资料控制者和第三人的利益与公共利益优先于资料当事人的资料查阅权益，并构成资料查阅的障碍，不应提供有关信息。其中，公共利益包括国家安全、国防、预防和起诉犯罪、重大对外政策、经济和金融利益等。⁽²²⁶⁾根据芬兰法，个人在下列情形下不得行使资料查阅权:(1)查阅资料可能危害国家安全、国防、公共秩序，或阻碍犯罪的预防和侦察;(2)查阅资料对资料当事人的健康、治疗或他人的权利构成严重的威胁;(3)仅为了历史、科研、统计的目的使用资料;(4)不允许查阅资料为保障芬兰或欧盟的重大经济、金融利益所必需。⁽²²⁷⁾

根据法国法，资料控制者可拒绝明显过分的查阅资料要求，尤其是考虑到资料查阅的数量、重复性和系统性。如果拒绝让资料当事人查阅资料，资料控制者应担负查阅要求明显过分的证明责任。⁽²²⁸⁾若个人资料的保存方式明显排除了侵害资料当事人隐私的风险，且仅在统计、科研或历史研究所必需的期间内保存资料，资料控制者可限制个人查阅资料。希腊和葡萄牙法也对资料查阅权规定了类似的限制。⁽²²⁹⁾

《德国联邦资料保护法》对公私领域资料处理中的资料查阅权分别规定了相应的限制。对公共领域，如果只因为法律、法规或合同条款规定不可删除资料才保存该资料，或仅为了保护资料而保存资料，而且提供信息的成本过高，可不让资料当事人查阅资料。若资料查阅关涉向联邦机关、情报机构、国防部等转移资料，只有经上述机关同意，才能提供信息。此外，若下列情形关涉的利益优先于资料当事人要求提供信息的利益，也不得提供信息:(1)影响控制者适当的履行职责;(2)损害公共安全、公共秩序、对联邦或州造成损害;(3)根据法律规定或依据资料的性质，尤其是基于第三人的正当利益，应对资料保密。⁽²³⁰⁾

对私人行业中的资料处理，只有不存在保护商业秘密的优先利益时，资料当事人才可要求提供有关资料来源和资料接收者的信息。此外，资料控制者无须主动向资料当事人提供信息的情况下，资料当事人也不得要求提供信息。具体而言，它包括下列情形:(1)资料当事人已通过其他方式知悉资料的保存或转移;(2)只因法律或合同条款要求不得删除资料或仅为了保护资料才保存资料，且提供信息的成本过高;(3)依据法律规定或根据资料的性质，尤其是基于第三人优先性的合法利益，须对资料保密;(4)资料保存或转移符合明确的法律规定;(5)资料保存或转移为科研目的所必需，且提供信息的成本过高;(6)有关公共机关已经向资料控制者声明公开该资料将威胁公共安全、公共秩序或损害联邦或州的利益;(7)为了资料当事人自身的目的而保存资料，资料来自公共资源且资料数量过多，提供信息不具可行性，或提供信息将严重影响资料控制者的业务。⁽²³¹⁾

二、资料的更正、删除与封存权

(一)资料的准确性与资料的更正、删除与封存权

资料的准确性对资料当事人、资料控制者和整个社会都至关重要。对资料当事人而言，确保资料的准确性可减少错误信息可能对其造成的损害。对资料控制者而言，准确性直接影响资料的商业价值。对社会而言，减少不准确的信息可提高信息流转的效益。为此，《资料保护指令》不仅将资料的准确性确立为一项资料保护原则，⁽²³²⁾还通过为资料控制者施加义务与为资料当事人创设权利两种方式确保该原则的具体实施。一方面，资料控制者应依据收集或进一步处理资料的目的，采取适当措施删除、更正不准确、不完整的资料。另一方面，资料当事人有权要求更正、删除、封存个人资料，尤其是不完整、不准确的资料。此外，资料控制者还应在必要情形下，将资料的更正、删除、封存情况通告已获知资料的第三人。⁽²³³⁾

从形式上看，希腊、意大利和葡萄牙法均在资料当事人的资料查阅权中规定个人有权要求更正、删除或封存个人资料，⁽²³⁴⁾其他成员国法则以单行条款对此作出规定。从内容上看，奥地利、法国、德国和英国法根据资料更正、删除和封存的具体情形，对三项权利分别作出了详尽的规定，⁽²³⁵⁾而比利时、丹麦、荷兰与西班牙法仅简要规定了资料的更正、删除和封存。⁽²³⁶⁾

(二)更正、删除与封存资料的依据

指令以资料自身的特性，尤其是其不完整和不准确性为标准，简要规定了更正、删除和封存资料的法律依据。⁽²³⁷⁾换言之，并非所有的个人资料均需要更正、删除、封存，资料当事人也无权随意提出该要求。只有资料自身存在不完整、不准确等缺陷的情况下，个人才可要求对其进行相应的更正、删除、封存。

1．一并规定更正、删除、封存资料的依据

多数成员国法未区分更正、删除、封存资料的具体情形，而只是简要规定了其法律依据。其中，资料的准确性、完整性、确定性、及时性以及资料处理的合法性是更正、删除、封存资料的主要依据。例如，根据希腊法，经违反资料保护法处理的资料，尤其是不完整或不准确的资料，资料当事人可要求控制者加以修改、删除或封存。⁽²³⁸⁾根据荷兰法，若资料不准确、不完整与处理的目的不相关，或经以违反法律规定的其他方式处理，资料当事人可要求加以更正、补充、删除或封存。⁽²³⁹⁾根据丹麦法，若资料不准确、具有误导性，或资料的处理方式不合法，经资料当事人要求，控制者应修正、删除或封存资料。⁽²⁴⁰⁾根据法国法，对与其相关且不准确、不完整、不确定、过期的个人资料，或法定禁止收集、使用、披露、储存的个人资料，资料当事人有权要求加以修改、完善、更新、封存或删除。⁽²⁴¹⁾

根据英国法，对不准确的个人资料，资料当事人有权向法院提出申请，要求控制者加以修改、删除、封存或销毁。此外，应资料当事人的申请，若法院认定:资料控制者违反资料保护法关于个人资料的任何规定，资料当事人因此遭受损害，并有权主张赔偿，而且在上述情形下，存在对这些资料实施进一步违法行为的重大风险，法院可命令控制者修改、封存、删除或销毁这些资料。⁽²⁴²⁾

意大利法仅规定资料当事人有权要求更新、修改或补全资料，但未规定相关的法律依据。此外，对经非法处理的资料，包括基于收集或后续处理资料的目的删除无需继续保存的资料，资料当事人可要求将其匿名化或加以封存。⁽²⁴³⁾根据西班牙法，若资料处理与资料保护法不符，尤其是资料不准确或不完整，应修改或撤销资料。撤销意味着封存资料，由公共机关和法院为了确定与资料处理相关的任何责任在责任时效内保存。责任的时效一旦终结，应删除资料。⁽²⁴⁴⁾

2．分别规定更正、删除与封存资料的依据

更正、删除和封存资料的结果并不相同。更正旨在修改资料中不准确、不完整、不明确、不及时的信息，控制者仍可继续保存和使用资料。删除意味着控制者应将资料从资料库中清除，资料处理也不得再涉及该资料。封存是一种临时性的保护措施，它将资料同控制者的资料处理暂时隔离。有鉴于此，比利时、奥地利和德国法分别规定了更正、删除和封存资料的依据。

根据比利时法，资料当事人有权要求修改不准确的资料，删除与其相关的个人资料，禁止使用不完整的资料、与资料处理的目的不相关的资料、法律禁止记录、传送或保存的资料及超过法定保存期限的资料。⁽²⁴⁵⁾根据资料的性质及修改和删除资料自身的特点，奥地利法规定了不同法律依据。对不准确的资料、经违反资料保护法处理的资料，资料当事人可依法申请修改或删除。一旦知悉资料不准确或经违法处理，资料控制者应主动修改或删除资料，而且只有在资料的准确性对资料处理的目的至关重要时，才应修改资料。对不完整的资料，基于资料处理的目的，只有资料的不完整性将导致整个信息不准确时，才可要求修改资料。一旦资料不为资料处理的目的所必需，应视为非法处理的资料，并应加以删除，除非可依法继续保存资料，而且对查阅资料提供了适当的保障。此外，若资料的保存目的不允许变更资料，不得修改或删除资料。在这种情形下，应通过附加说明对资料进行必要的修正。若资料当事人对使用中资料的准确性提出异议，而且无法断定资料是否准确，经资料当事人要求，应将该异议附于资料之后，只有经资料当事人同意或法院和资料保护委员会裁判，才得剔除该附加说明。⁽²⁴⁶⁾

德国法关于资料更正、删除和封存法律依据的规定最为详尽。⁽²⁴⁷⁾一方面，它根据公私领域中资料处理的特点，分别规定了更正、删除和封存资料的依据，同时，针对更正、删除、封存的具体情形，它规定了不同的法律依据。对资料更正而言，只要个人资料不准确，公共和私人领域中的资料控制者均应加以更正。此外，若个人资料既未经自动化处理，也未保存于自动化资料系统中，而且资料经证实为不准确的，或资料当事人对资料的准确性提出异议，公共机关应以适当方式加以登记。

对资料删除而言，只要资料保存不合法，公私领域中的控制者均应删除资料。此外，若资料已不为其履行职责所必需，公共领域中的资料控制者应删除资料。私人行业中的资料控制者应在下列情形下删除资料:(1)资料涉及种族、民族本源、政治观点、哲学或宗教信仰、工会关系、健康、性生活、刑事犯罪或行政违法，而且控制者不能证明其准确性;(2)资料处理是为了某人自身的目的，而且保存资料的目的一旦实现无需再知悉该资料;(3)在业务过程中为了转移资料而处理个人资料，且自其保存之日起届满五年的审查表明无必要继续保存该资料。

对资料的封存，德国法对公私领域中的资料处理规定了类似的法律依据。若资料当事人对资料的准确性提出异议，而且无法确定资料是否准确，控制者均应封存该资料。对本应删除的资料，但由于下列原因也应加以封存:(1)法律、法规或合同规定的保存期限不允许删除资料;(2)删除资料将损害资料当事人的正当利益;(3)删除属不可行，或虽然具有可能性，但因资料保存的特定类型，删除资料的成本过高。另外，公共机关应封存既未经自动化程序处理也未储存于非自动化资料系统中的个人资料，若已认定不封存资料将损害资料当事人的正当利益，而且也不再需要这些资料来执行职责。若资料来自公共资源，且为了存档的目的而加以保存，私人行业中的控制者在业务过程中为转移的目的保存个人资料，无需更正、封存或删除不准确或其准确性遭到异议的个人资料，但对敏感资料，且控制者不能证明其准确性的除外。在这种情形下，资料当事人有权要求附加对资料的反对声明，且不得转移未包含该声明的资料。

(三)更正、删除与封存资料的实施

资料应准确是一项基本的资料保护原则。为确保该原则的具体实施，《资料保护指令》要求资料控制者依据收集或进一步处理资料的目的，采取适当措施删除或更正不准确或不完整的资料。⁽²⁴⁸⁾同时，资料当事人有权要求更正、删除或封存资料。欧盟成员国法与指令的规定一致。例如，根据奥地利法，对不准确的资料或经违反资料保护法处理的资料，资料当事人可依法申请加以修改或删除。一旦知悉资料不准确或经违法处理，资料控制者应主动修改或删除资料。

资料的准确性是更正、删除或封存资料的基本依据。有些国家明确规定了资料准确性的证明责任。例如，根据奥地利法，如果控制者仅通过资料当事人作出的声明收集资料，他应担负资料准确性的证明责任，但法律另有规定的除外⁽²⁴⁹⁾。法国法也规定，若双方对资料查阅存有争议，资料控制者应担负证明责任，但资料当事人主动披露或同意披露资料的除外。⁽²⁵⁰⁾

信息的流动性增大了确保资料准确性的难度。资料控制者主动或应资料当事人的申请更正、删除、封存资料，可以确保他自身持有资料的准确性，但之前从控制者接收资料者可能对资料的修改、删除和封存并不知情。对此，指令要求控制者在必要情形下将更正、删除和封存资料的情况通告曾知悉该资料的第三人。⁽²⁵¹⁾对此，多数成员国法与指令的规定相同。例如，根据奥地利法，如果资料控制者于修改或删除资料前转移该资料，他应以适当的方式将该情况通知资料接收者，但通知的成本过高及暂时不可确定资料接收者的除外。⁽²⁵²⁾丹麦、法国、希腊、意大利、荷兰、西班牙和英国法均作了类似的规定。⁽²⁵³⁾

三、资料处理的反对权

(一)资料保护指令

资料处理的反对权是指个人有权依据法定的理由反对控制者处理其个人资料。这一权利源自法国1978年的资料保护法。在《资料保护指令》出台前，不少国内法已规定资料当事人可反对公私领域中的控制者处理其个人资料，但它们并未明确资料当事人对资料处理具有一般性的反对权。根据《资料保护指令》，资料当事人在任何时候，以与其特定情况相关的、正当的重大理由，均有权反对处理其个人资料，控制者实施的资料处理也不得再涉及这些资料。⁽²⁵⁴⁾根据资料处理的法律依据，指令明确了资料当事人行使反对权的理由，即只有在控制者以如下两种理由为依据处理资料时，个人才能行使反对权:(1)处理为控制者或被告知资料的第三人执行具有公共利益的任务或行使职权所必需;⁽²⁵⁵⁾(2)处理为实现控制者或被告知资料的第三人的正当利益所必需，且该利益优先于资料当事人的基本权利和自由等利益。⁽²⁵⁶⁾

(二)成员国法

多数成员国法规定了一般性的反对权，但它们在反对权的内容、行使和限制上仍存在差别。总体而言，荷兰、葡萄牙、英国、爱尔兰和德国法与指令的规定基本一致。丹麦、希腊和意大利法仅规定了一般性的反对权，而未明确任何限制;法国、奥地利、卢森堡和比利时法不仅规定了一般性的反对权，还规定了不同的限制。芬兰、西班牙和瑞典法未规定一般性的反对权。

1．与指令的规定一致

对资料当事人的反对权，荷兰、葡萄牙、英国、爱尔兰和德国法与指令的规定一致。例如，根据荷兰法，资料当事人可在指令规定的情形下，⁽²⁵⁷⁾根据具体情况反对资料控制者处理其资料。控制者应于收到反对通知后四周内认定该反对是否合理。若反对具有正当依据，控制者应立即停止资料处理。⁽²⁵⁸⁾根据英国法，个人有权在任何时候向资料控制者发出书面通知，要求控制者在合理的期限内停止、不开始资料处理或为了特定的目的、以特定的方式处理其个人资料。该法还明确规定了个人行使反对权的法律依据:资料处理因其目的或形式对个人或他人造成或可能造成重大损害或伤害，该损害或伤害不为法律允许。⁽²⁵⁹⁾

2．丹麦、希腊与意大利

丹麦、希腊和意大利法规定了一般性的反对权，但未明确行使反对权的法律依据。例如，根据丹麦法，资料当事人可在任何时候反对控制者处理与其相关的资料，若反对具有合法依据，资料处理不得再涉及这些资料。⁽²⁶⁰⁾希腊法仅规定资料当事人可在任何时候反对处理其个人资料。⁽²⁶¹⁾意大利法也仅指出，资料当事人可依据正当理由反对处理全部或部分与其相关的个人资料，即使这些资料同资料的收集目的相关。⁽²⁶²⁾

3．法国、奥地利、卢森堡与比利时

法国、奥地利、卢森堡和比利时法不仅规定了反对权，还对其作出了与指令不同的限制。例如，根据法国法，任何自然人均有权依据正当理由反对处理其个人资料，但资料处理为履行法律义务或经明确批准的除外。⁽²⁶³⁾根据奥地利法，对法律未明确准许实施的资料处理，若资料当事人优先性的隐私利益需要特殊的保护，他有权反对控制者处理其资料。控制者应在8周内删除资料，且不得披露资料。另外，若未经法律明确准许将个人资料纳入供公众查询的资料系统，资料当事人无需任何理由即可行使反对权。⁽²⁶⁴⁾根据卢森堡法，资料当事人的反对权适用于任何资料处理，但处理为法律明确准许的除外。⁽²⁶⁵⁾根据比利时法，资料当事人可依据特定的正当理由反对控制者处理其资料，⁽²⁶⁶⁾除非资料处理为履行资料当事人为一方的合同或应资料当事人的要求执行缔约的先行程序所必需，或资料处理为控制者履行法定义务所必需。⁽²⁶⁷⁾

四、反对以直接营销为目的处理资料

(一)资料保护指令

除规定个人对资料处理具有一般性的反对权外，《资料保护指令》还对用于直接营销的资料处理，区分两种情形，赋予了资料当事人反对权:(1)资料当事人有权反对控制者以直接营销为目的处理其资料，且成员国应采取必要措施确保资料当事人了解该权利。(2)在以直接营销为目的向第三人首度披露资料前，或代表第三人为直接营销使用资料前，资料控制者须通告资料当事人，并应指出资料当事人对此具有反对权。⁽²⁶⁸⁾

上述两种情形既具有共性，也在范围和要求上存在区别。从共性上看，两种情形下，资料当事人均具有知情权和反对权，而且一旦资料当事人反对，即不得处理、披露或使用其资料。从区别上看，第一种情形下，资料当事人有权反对控制者自身以直接营销为目的处理资料。第二种情形下，资料当事人可反对控制者为了他人开展直接营销而披露资料，或代表第三人使用资料。除披露或代表第三人使用资料外，处理还包括资料的收集、分析、加工、合并等一系列操作。第一种情形的适用范围更广，因为，资料当事人不仅有权反对控制者为了开展直接营销而收集资料，也可反对其分析、使用、披露资料或代表第三人使用资料。此外，两种情形下，资料当事人行使反对权的条件和方式也存在一定的区别。第一种情形下，资料当事人应主动请求控制者不为直接营销的目的处理其资料。第二种情形下，资料控制者应主动告知资料当事人其将为了直接营销的目的披露或代表第三人使用其资料。

(二)成员国法

1．直接营销与市场调研等商业目的

德国、西班牙、芬兰和意大利法⁽²⁶⁹⁾不仅规定资料当事人有权反对控制者为了直接营销的目的使用其资料，也可反对为了市场调研等商业目的使用资料。例如，根据德国法，若资料当事人反对，资料控制者不得为了开展广告业务和市场调查使用或转移其资料。为广告、促销和意见调查而联系资料当事人时，应告知他谁是资料控制者，而且他对此具有反对权。若资料当事人反对，第三人也不得出于广告、促销和调查的目处理或使用其资料。⁽²⁷⁰⁾

根据西班牙法，资料当事人有权反对控制者出于广告和市场调研的目的处理其资料。在这种情形下，只要资料当事人要求，控制者应删除处理中与其相关的信息。⁽²⁷¹⁾对为了直接营销、远程销售、意见调查和市场调研收集和记录个人资料，芬兰法规定了严格的条件:(1)资料当事人未表示反对是为上述目的使用个人资料的前提;(2)个人资料库用于事先确定的短期市场活动，且其内容不会侵害资料当事人的隐私;(3)资料库仅包含资料当事人的下列信息:姓名、职称、职业、年龄、性别、母语及联系信息;(4)资料关涉个人在商务或公共生活中的责任或地位，且仅在相应的环境中使用。⁽²⁷²⁾

直接营销与市场调研所使用的个人资料并不相同。前者需要可识别个人身份的资料，因为营销人同资料当事人之间存在直接的信息沟通;后者仅需要匿名资料，因为调研不以特定的个人为研究对象，而多针对具有某种特征或偏好的群体。所以，德国、西班牙、芬兰和意大利法给资料当事人提供了更广泛的反对权。

2．立法模式

如上所述，《资料保护指令》为成员国提供了两种模式。比利时、法国、希腊、意大利、瑞典、西班牙和英国法选择了第一种模式，明确规定资料当事人有权反对资料控制者为开展直接营销而处理其个人资料。⁽²⁷³⁾丹麦法选择了第二种模式，明确规定资料当事人有权反对公司为了直接营销的目的向第三方公司披露其资料，或代表第三方公司为了直接营销的目的使用资料。⁽²⁷⁴⁾芬兰、葡萄牙与荷兰法中和了两种模式，同时规定了两种情形。⁽²⁷⁵⁾

五、免受完全自动化决定的约束权

(一)资料保护指令

免受完全自动化决定的约束权是《资料保护指令》的一项特色制度，也是资料当事人的一项重要权利。随着个人资料的数字化，个人同资料使用者之间面对面的直接联系日趋减弱，个人丧失了对信息流转过程的参控权，资料使用者可能仅以自动化的资料处理为依据评定个人的某些情况，并作出对其可能产生法律效力或具有重大影响的决定。可以说，以自动化的资料处理为基础作出自动化的决定是个人对资料丧失参控权最极端的表现，也最容易损害其现实利益。

免受自动化决定的约束权源自1978年的《法国信息、自由与文档法》。该法要求信息技术为每位公民服务，不得侵害人格、人权、私人生活及个人自由和公共自由，⁽²⁷⁶⁾并禁止以自动化的资料处理为基础作出对个人产生重大影响的司法、行政和私人行业中的决定。为提高个人对资料处理的参控权，尤其是其在资料处理运用上的介入权，《资料保护指令》规定，任何人均有权不受制于仅基于自动化的资料处理作出的决定，若该决定对其产生法律效力或具有重大影响，而且资料处理仅旨在评定与其相关的某些个人情况，如工作表现、信誉、可靠性或行为等。同时，指令还规定了下列例外情形:(1)在订定或履行合同过程中作出决定，且已满足资料当事人订立或履行合同的要求，或存在适当的措施保障其正当利益，如申述权和表达权;(2)作出决定经法律准许，而且该法规定了保障资料当事人正当利益的措施。⁽²⁷⁷⁾

为准确把握指令第15条关于自动化决定的规定，我们需要从三个方面理解其内容:(1)决定所依据的资料处理旨在评价资料当事人的个人特征和情况;(2)决定仅以自动化处理为基础;(3)决定须对资料当事人产生法律效力或具有重大影响。

指令不禁止利用计算机以客观事实为依据作出自动化的决定。在利用计算机评价高度复杂且更具主观性的个人特征时，指令旨在确保更客观地评判某人。以明确、客观和准确的事实为依据作出决定，如个人的性别、年龄和收入情况等不涉及对个人特征的评价和价值判断，不受指令的限制。⁽²⁷⁸⁾

指令旨在禁止完全依赖信息技术作出自动化的个人决定。借助既定的自动化程序评判个人可减少人为因素的不当干扰，但人为因素过少的介入决定过程也可能将个人沦为机械的计算机程序的操作对象和客体，并侵害个人的人格和自由。所以，指令并不限制借助自动化的资料处理作出决定，但它不能占据主导地位，也不得排除人为因素的适当参与。

决定必须对个人产生法律效力或具有重大影响。某些决定完全以资料处理为依据，但并不对个人产生负面影响。现实中，公私机构越来越多地依靠资料处理作出自动化的决定，并操控我们生活的方方面面。行政机关决定我们能否获得某种资格、地位和福利，司法机关决定我们是否违法犯罪，银行决定是否向我们发放信贷等。因此，该权利与民生息息相关。

(二)成员国法

奥地利、比利时、德国、芬兰、荷兰、葡萄牙和瑞典法⁽²⁷⁹⁾均原则上禁止作出自动化决定，也根据指令规定了有关的例外情形。在例外情形上，奥地利⁽²⁸⁰⁾和芬兰⁽²⁸¹⁾法允许依法作出此类决定，但未要求采取适当的保障措施。葡萄牙法要求作出此类决定须经资料保护机构批准。⁽²⁸²⁾此外，德国、希腊、法国、西班牙和瑞典法的规定与指令仍存在不少差异。

德国法禁止作出完全自动化的决定，对已作出的此类决定，资料控制者应采取适当措施保护资料当事人的正当利益，告知资料当事人该决定，并应根据资料当事人提出的异议核查决定。⁽²⁸³⁾根据希腊法，若行政机关、公法和私法实体、组织或自然人仅基于自动化的资料处理作出对个人产生影响的行动或决定，资料当事人有权向法院申请中止或不适用该决定。若决定被裁定中止或不予适用，资料控制者须重新审查决定，在决策程序中适当增加人为评价因素。故，希腊法仅要求决定对资料当事人产生影响，希腊法赋予个人通过法院寻求临时救济的权利，即使未满足临时司法保护的实体要件，但它未规定指令列明的例外情形。⁽²⁸⁴⁾

根据法国法，法院的任何决定若涉及评定个人行为均不得基于自动化的资料处理。对个人产生法律效力的其他决定，包括公共机关、私人机构或自然人作出的决定也不得仅基于自动化的资料处理。对在订定或履行合同过程中，如果资料当事人具有申辩机会，且满足了资料当事人的要求，可根据自动化的资料处理作出有关的决定。⁽²⁸⁵⁾