个人政府信息更正请求权之建构 白云锋 (南京大学法学院副教授)
[摘 要] 信息化时代,个人信息包含个人市场信息和个人政府信息双重意涵,个人信息权利具有私权利和公权利双重面向。就权利基础而言,个人对于政府的信息更正请求是一种基于消极地位的防御请求权。就权利构造而言,个人政府信息更正权利的提出主体、是否记录不准确的判断主体,原则上均为本人。个人政府信息更正的内容应该区分事实与评价。信息更正的方式包括追加、更正和删除,其中删除标准不同于被遗忘权基于个人评价的主观标准,是基于事实是否准确的客观标准。个人申请信息更正无须实行公开申请前置主义,应由行政机关在审查更正申请时进行信息公开性的审查。就权利救济而言,应坚持更正申请前置,区分信息记录行为审查与行政行为审查,并允许法院在个人政府信息记录明显不准确的情形下作出变更判决。 [关键词] 个人信息保护;政府信息公开;公权利;日本行政机关个人信息保护法
一、问题的提出
2021年8月20日,第十三届全国人民代表大会常务委员会第三十次会议通过《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)。该法第46条规定“个人发现其个人信息不准确或者不完整的,有权请求个人信息处理者更正、补充”,这是关于个人信息更正的规定。其实,我国《政府信息公开条例》第41条早已作出类似规定——“公民、法人或者其他组织有证据证明行政机关提供的与其自身相关的政府信息记录不准确的,可以要求行政机关更正”。但问题在于,虽然已经有诸多围绕该“更正”条款展开的实践,但学界并没有就这一条款的内容展开探讨。《政府信息公开条例》中的条文只是政府信息公开法制中具有个人信息保护性质的附带性规定,更正请求的行使需依附于公开法制。其中,提出信息更正要求的主体、可以申请更正的信息内容、信息更正诉讼的判决方式等问题均不明确。前述《个人信息保护法》第46条虽然也规定了相关更正请求条款,但同样面临条文内容在实践中具体如何理解和适用的问题。 信息化时代下,个人信息不再局限于隐私权范畴,具有从独立权利层面被抽离出来单独考虑的必要性和重要性。政府作为个人信息的重要收集、存储与使用主体,掌握着大量的个人信息。这些信息涉及公民身份、税费缴纳、社会保障等诸多方面,不仅关系到公民的个人隐私,也关系到公民的义务承担与福利受益。如果这些信息记载不准确,将进一步影响到公民基于这些信息的其他权利的实现。此时,公民如何救济自身权益成为问题。伴随信息化实践数量增加、情形多元化,理论上关于个人信息的研究逐渐深入。但其一,部分研究借鉴欧美数据法、信息法的路径,站在个人相对于企业等市场主体信息权益的基础上展开个人信息保护权利的分析与建构,一定程度上忽视了个人信息权利作为一种公法权利的性质与地位。其二,以往公法学者亦主要从知情权的角度理解个人与政府之间的信息权利义务关系。这造成人们只是单纯强调政府单向地公开信息,而忽视了关于公民个人信息公权利的体系性搭建,无法满足信息化时代下个人信息权利的保护需求。对此,已有学者指出了这种失衡的研究现状。 由此,本文聚焦于个人政府信息更正权利的探讨。这种探讨,一方面意在厘清更正权益本身的性质、权能与救济方式等基本要素的内容;另一方面,也意在立基于《个人信息保护法》的最新规定,将个人与政府之间的信息权益关系更加完整、清晰地纳入个人信息权利保护的理论框架,唤起理论与实务界对于个人信息公法权利更多的关注。
二、个人政府信息更正权的属性 (一)个人信息权利的公私二元面向 在《个人信息保护法》出台之前,就有关于个人信息保护权利属性的广泛争论,有持民事权利说者,有持公法权利说者,也有持社会权利说者。《个人信息保护法》第1条“根据宪法,制定本法”之规定,说明《个人信息保护法》属于一般法,个人信息保护权利属于一般性权利,这一定程度上消弭了《个人信息保护法》属于民事等特别法的声音。《个人信息保护法》第33条规定“国家机关处理个人信息的活动,适用本法”,表明该法将个人与政府的信息权益关系纳入了其调整范围,呈现出“对国家机关与私人机构处理个人信息活动”的“一体调整”模式。有学者进一步总结出了《个人信息保护法》中行政机关作为“个人信息处理者”“规制者”“执法监督者”的三重身份,但同时也指出《个人信息保护法》体现出的民法和行政法体系的混合运行特点,可能形成公私法执行机制中的相关困扰。 《个人信息保护法》虽然将国家机关处理个人信息的活动纳入一体调整的范围,却仅在第一章第三节之下设“国家机关处理个人信息的特别规定”。纵观《个人信息保护法》全文的制度指向以及目前对于个人信息保护的学理讨论,《个人信息保护法》在制度上仍侧重于调整个人与私人机构信息处理者的信息权利义务关系,个人与国家机关信息处理者的信息法律关系并没有在平行的维度上展开。 我国虽为个人信息法制后发国家,但当下随着行政方式的自动化,行政数据的电子化,政府也同步成为信息处理的重要主体。政府及其工作人员也可能在主观或者客观上形成对于个人信息的侵害局面,企业、政府等各类公私主体的信息处理与保护问题已全面呈现。基于此一现实,若仅将个人相对于国家机关的个人信息保护置于特殊地位,事实上有可能导致个人与国家机关之间的信息关系在个人信息保护理论框架下以及在《个人信息保护法》理解和适用过程中的附属与被虚化的局面。 就个人信息的内涵而言,《个人信息保护法》第4条第1款规定“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息”。《民法典》第1034条第2款则规定“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息,包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等”。可见,个人信息的基本要件包括自然人主体要件与可识别要件,并无关于信息处理者的要件限定。正如有学者所言,“个人信息所承载的权益并不必然等于民事权益,其究竟属于何种权益,需要考虑个人信息的内容、处理场景等具体因素来确定”。就个人信息保护而言,除了企业等市场主体外,行政机关作为收集、存储与使用信息的重要主体,也会基于各种原因出现对个人信息的侵害现象。相关问题在紧急情况下政府对于数字治理手段的运用中尤为凸显。 个人信息有公私二元面向,并且,二者在一定程度上也无法融合。就整体框架而言,在《个人信息保护法》“个人信息处理者的义务”章节和“履行个人信息保护职责的部门”章节中,一般规定由“个人信息处理者”向“履行个人信息保护职责的部门”履行义务,并由后者对前者行使若干项权力。这在“市场主体→履行个人信息保护职责的部门”框架下是逻辑自洽的,但在“政府机关→履行个人信息保护职责的部门”框架下的理解和适用则需要进一步考量。处理个人信息的政府机关如何向履行个人信息保护职责的“国家网信部门”“国务院有关部门”“县级以上有关部门”履行报送义务(第52条)、泄露通知义务(第57条),履行个人信息保护职责的部门是否有权力和能力以及如何对其他政府机关行使信息查阅复制权(第63条)、现场检查权(第63条)、查封扣押权(第63条)、进行约谈权(第64条)等都有待解释,不能简单适用个人市场信息保护的逻辑。也有学者指出,在个人信息保护公益诉讼领域,民事公益诉讼与行政公益诉讼亦不可只执一端,而是呈现出各有理据的公私二元格局。还有论者认为,“数字时代的国家机关既是个人信息处理者,也是个人信息保护监管者。作为个人信息处理者的国家机关,应当同作为私主体的个人信息处理者一样,有效履行个人信息保护影响评估义务”。