书城法律个人资料保护法原理及其跨国流通法律问题研究
13168800000020

第20章 个人资料保护法的基本原则(2)

对国家机关以外的资料处理主体来说,收集、处理和利用个人资料的目的多是为了自身利益和事业,由于利益和事业的千差万别,目的也各种各样,因此,法律规定的特定目的具有抽象性、概括性。例如1998年英国资料法第3条规定,“特定目的是指以下一项或者更多:(a)新闻业的目的,(b)艺术的目的,和(c)文学的目的”。而具体目的的确定则多采用与资料本人约定这种灵活的方式。资料处理主体需要收集大量的个人资料,为节约人力、物力,通常以格式合同或者声明的方式,表明自己的目的。雅虎网站声明:“Yahoo!会将这些资料用于:改进为你提供的广告及网页内容,满足你对某种产品的需求或通知你最新产品信息。”凤凰卫视网站声明:“凤凰网收集这类关于个人身份的信息主要是为了其注册成员能够更容易和更满意地使用凤凰网的网页。我们的目标是向所有的互联网用户提供愉快、有益、有趣的上网经历。而这些个人信息有助于我们实现这一目标。”目的明确原则虽然要求国家机关以外的资料处理主体依特定目的收集、处理和利用个人资料,但这并没有阻碍他们充分利用个人资料,事实上,这些主体反而能利用自己的目的声明博取客户的信任,收集更多的个人资料。凤凰卫视网站指出:“请了解,在未经您同意及确认之前,本网站不会将您为参加本网站之特定活动所提供的资料利用于其他目的。”这无疑是极具诱惑力的一种承诺。

二、目的明确原则的内容

目的明确原则的具体内容有三:1收集个人资料应有明确目的;2处理和利用个人资料必须有明确目的;3发生目的变更时,变更必须合法,变更后的目的必须明确。

(一)收集个人资料应有明确目的

明确目的是收集个人资料的核心要件,没有明确目的不得进行资料收集。

国家机关非为了履行职责的目的不得收集个人资料,国家机关以外的资料处理主体收集个人资料也须有明确目的,没有明确目的不得收集个人资料。一般而言,国家机关收集个人资料的目的应与其组织法规定的法律目的一致,不得超出组织法上的目的收集个人资料。国家机关以外的资料处理主体的收集目的一般要进行登记,其必须在登记的目的指导下收集个人资料,不得为其他目的收集个人资料。

为保证明确目的原则在收集阶段的贯彻,法律一方面明文规定,资料处理主体在收集阶段应遵守该原则并有告知资料本人其收集目的的义务,不遵守该原则要承担相应的法律责任;另一方面又赋予资料本人以知悉资料处理主体收集个人资料的目的的权利。德国资料法第13条第3款规定:“收集个人资料如在资料本人知悉的情况下进行,他应被告知收集的目的”除此之外,法律还要求资料处理主体公告收集目的,以便资料本人和其他相关主体进行监督。

(二)处理和利用个人资料应有明确目的

依目的明确原则,资料处理主体只能依收集时的目的储存、变更、传输个人资料或利用个人资料,不得为其他目的对个人资料进行处理和利用。这一方面使个人资料的品质得到了保障;另一方面使个人资料不会因用于收集外的目的而不能为资料本人控制。

储存个人资料应遵循收集目的,如果依收集目的储存为不必要的,则不应储存。在现代信息科技高度发达的背景下,非依收集目的储存个人资料,徒增资料泄露的危险,因此,应禁止收集目的外的资料储存。那么,是否应该禁止为储存而收集资料?其实,为储存而收集个人资料并非当然构成违法,因为每个资料储存均含有为将来运用而储存之概念,其可非议者乃为欠缺清楚明确之目的而已。因此,即便为了储存而收集个人资料,亦应有明确目的。

变更个人资料应遵循收集目的,不得为其他目的变更个人资料。变更是纠正错误资料,保证资料品质的重要手段,为收集目的对资料内容进行更正、修改,可以使资料形象与本人形象保持一致,避免本人因错误资料而遭受损害。

传输个人资料应遵循收集目的,不得为其他目的传输个人资料。传输是个人资料再利用的前提,是第三人利用个人资料的必经过程。资料处理主体非为收集目的不得传输。

收集人利用个人资料应遵循收集目的,不得为收集目的外的利用。传输过程中的第三方(资料接收者)应依传输目的利用个人资料,不得依其他目的利用个人资料,这是目的明确原则对资料利用的要求。这里需要指出的是,国外立法中的限制利用原则与目的明确原则的关系。限制利用原则是指个人资料不能依其他目的公开、提供或利用,除非这些目的符合目的明确原则,并获得当事人的同意或有法律的授权(Personaldatashouldnotbedisclosed,madeavailableorotherwiseusedforpurposesotherthanthosespecifiedinaccordancewithParagraph9except:(a)withtheconsentofthedatasubject;or(b)bytheauthorityoflaw.)限制利用原则的核心在于,在没有当事人同意或法律授权的情况下,资料处理主体不得为收集目的外之利用。我们认为,限制利用原则是目的明确原则的应有之意从反面的延伸,其本身没有独立于目的明确原则的内容,而“限制利用”这一名称容易引起歧义,使人认为要“限制”个人资料的利用。其实,限制利用原则只排除非法的资料利用,并不排斥合法目的指导下的利用。因此,我们最终舍弃了该原则。

资料处理主体处理和利用资料的目的与收集资料的目的保持高度同一性,使得个人资料的处理和利用始终掌握在资料本人手中,大大降低了因资料处理和利用对本人造成危害的可能性,但是也带来了一个新的问题,即是否在任何情况下都必须依照收集目的而处理和利用个人资料呢?

(三)目的变更后的目的明确

目的明确原则虽然强调收集的个人资料不得用于收集目的以外的目的,但是并非说目的不可以变更。实际上,收集个人资料,再将这些个人资料处理成有用的信息需要支付大笔的费用,而这些资料本可用于多个目的,完全禁止资料用于其他目的,不但使资料的价值贬损,增加资料利用的社会成本,还会使资料本人陷入反复收集的窘境,因此,我们不宜完全禁止资料用于其他目的。

事实上,《OECD指针〈备忘录〉》第54、55条和德国资料法第14条第2款等相关规定均指出,根据资料本人同意或法律的授权,资料处理主体可以为收集目的外之目的处理利用个人资料。

当然,依新目的处理和利用个人资料仍须贯彻目的明确原则,新目的是资料本人同意或法律授权的目的,资料处理主体应当严格按照该目的处理和利用个人资料。

(四)目的不存在时资料处理主体的义务

依目的明确原则,资料处理主体应该依特定目的处理、利用个人资料,那么一旦目的消灭,对储存的个人资料应如何处理呢?

特定目的消灭是指目的不复存在,包括如下一些情形:(1)特定目的已达成而无继续利用的必要;(2)国家机关经裁撤或改组;(3)非国家机关停业、歇业、解散、破产或营业目的变更等;(4)有其他事由足以认定特定目的无法完成。

《OECD指针〈备忘录〉》第54条指出:“当资料不再服务于任何目的时,在可行的情况下,资料有必要删除,或采用匿名形式保存。原因是,当资料利益不存在时,对资料的控制可能会消失;这可能导致盗窃、无授权复制等风险。”(Whendatanolongerserveapurpose,andifitispracticable,itmaybenecessarytohavethemdestroyed(erased)orgivenananonymousform.Thereasonisthatcontroloverdatamaybelostwhendataarenolongerofinterest;thismayleadtorisksoftheft,unauthorisedcopyingorthelike.)由于OECD指针的强大影响,其20多个成员国普遍地贯彻了这一制度。

我国台湾及香港对此亦有相关规定。台湾“资料法”第13条第3款规定:

“个人资料计算机处理之特定目的消失或期限届满时,公务机关应依职权或当事人之请求,删除或停止计算机处理及利用该资料。但因执行职务所必需或经依本‘法’规定变更目的或经当事人书面同意者,不在此限。”香港隐私条例第26条第1款规定:“凡资料使用者持有的个人资料是用于某目的的(包括与该目的有直接关系的目的),但已不再为该等目的而属有需要的,则除在以下情况外,该资料使用者须删除该等资料:(a)该等删除根据任何法律是被禁止的;或(b)不删除该等资料是符合公众利益(包括历史方面的利益)的。”根据这条规定,在特定情况下,资料也有保存的必要。

总的来说,目的不存在,资料处理主体应尽快删除资料,除法律规定有储存价值的可依法保存外,不得储存个人资料。

三、目的明确原则的例外

当然,目的明确原则并非不受限制,在一些例外情况下,可以排除该原则的适用。台湾“资料法”第8条规定,公务机关对个人资料之利用,应于法令职掌必要范围内为之,并与收集之特定目的相符。但有下列情形之一者,得为特定目的外之利用:

1法令明文规定者;

2有正当理由而仅供内部使用者;

3为维护公共安全者;

4为增进公共利益者;

5为免除当事人之生命、身体、自由或财产上之急迫危险者;

6为防止他人权益之重大危害而有必要者;

7为学术研究而有必要且无害于当事人之重大利益者;

8有利于当事人权益者;

9当事人书面同意者。