第一千零三十九条 【国家机关、承担行政职能的法定机构及其工作人员的保密义务】国家机关、承担行政职能的法定机构及其工作人员对于履行职责过程中知悉的自然人的隐私和个人信息,应当予以保密,不得泄露或者向他人非法提供。
国家机关、承担行政职能的法定机构及其工作人员在依法履行职责的过程中经常会接触到公民的个人信息,国家机关已然成为目前最主要的个人信息处理者,成为了最大的数据处理平台。对国家机关等公权力主体处理个人信息行为进行规范约束,对依法保障公民个人信息权益具有十分重要的意义。
《民法典》之前的多部立法均规定了国家机关及其工作人员对个人信息负有保密义务。如《网络安全法》规定了依法负有网络安全监督管理职责的部门及其工作人员,对其在履行职责过程中知悉的个人信息、隐私和商业秘密负有保密义务。在《民法典》立法过程中,《民法典人格权编(草案)》并未对本条内容予以规定。为规范公权力机关的个人信息处理行为,《民法典人格权编(草案)(二审稿)》增设了国家机关及其工作人员的个人信息保密义务。
在此基础上,《民法典》增加了“承担行政职能的法定机构”这一义务主体,使条文更加全面科学。
(一)立法目的
国家机关、承担行政职能的法定机构及其工作人员在履行职责的过程中知悉的个人信息数量庞大且涉及各个方面。
国家机关知悉和掌握的个人信息的数量远远地高于一般的企业等其他商事主体。
此外,国家机关、承担行政职能的法定机构及其工作人员在履行职责的过程中掌握的个人信息私密度和敏感度较大。
如果国家机关对这种私密、敏感信息没有强烈的保护意识,从而导致这些个人信息被泄露或者公开,有可能会对相关自然人的权益造成极大的损害,同时也损害了国家机关的威信,不利于国家机关实施行政管理行为。
基于上述原因,本条明确规定国家机关、承担行政职能的法定机构及其工作人员对于履行职责过程中知悉的个人信息和隐私等,应当严格履行保密义务,不得泄露或者向他人非法提供。
(二)具体理解
1.承担保密义务的主体
承担本条所规定保密义务的主体包括国家机关、承担行政职能的法定机构及其工作人员。
第一,“国家机关”是指国家为实现其政治统治职能和管理职能而设立的机关的总称。
根据《宪法》规定,我国的国家机关主要包括国家元首、立法机关、行政机关、军事机关、检察机关、审判机关及监察机关。
第二,“承担行政职能的法定机构”包括政府的临时组织和机构;改革前为国家机关,改革后仍保留行政职能的公司,如核工业集团和兵器工业集团;履行行政职能的事业单位等。
第三,本条规定的“工作人员”既包括国家机关的工作人员,也包括承担行政职能的法定机构的工作人员。
当然,并非所有国家机关及承担行政职能的法定机构内的人员均属于本条所规定的工作人员,在认定时应把握“从事公共事务”“履行公共职能”的本质特征。
2.保密义务指向的对象
本条规定的义务所指向的对象为个人信息,当然也包括隐私中的私密信息。
个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息,包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
可以看出,私密信息既属于隐私又属于个人信息,隐私与个人信息存在交叉重叠。
就本条而言,无论是私密信息还是非私密信息,国家机关、承担行政职能的法定机构及其工作人员均应当承担保密义务。
3.保密义务的具体内容
国家机关、承担行政职能的法定机构及其工作人员的保密义务可以从如下两个方面理解:
第一,不应主动泄露、公开或者非法提供自然人的个人信息和隐私;
第二,要采取合理措施保障自然人的个人信息和隐私的安全,避免被他人窃取、篡改等。
个人信息泄露与非法提供将导致个人信息主体和收集、使用个人信息的国家机关丧失对该个人信息的控制,造成个人信息的扩散与用途的不可控。
国家机关收集了大量的隐私与个人信息,一旦发生泄露或者非法提供给他人,被以违背个人信息主体意思的方式直接使用或者与其他信息进行关联分析,可能会对个人信息主体权益带来重大风险。
不法分子对个人信息的篡改、窃取、复制、买卖等行为正在走向产业化、规模化,很大一部分原因在于信息处理端存在网络安全漏洞。
根据《民法典》第1038条规定,信息处理者应当采取技术措施和其他必要措施,确保其收集、存储的个人信息安全。
本条规定的保密义务亦可解释出采取必要措施确保个人信息安全之义,即国家机关、承担行政职能的法定机构及其工作人员不仅不能主动泄露、公开或者非法提供其所掌握的自然人的个人信息和隐私,而且应主动采取措施保障自然人的个人信息及隐私的安全。
《个人信息保护法》第34条对国家机关履行法定职责处理个人信息作出了更进一步的细化。
第一,国家机关处理个人信息是履行法律、行政法规授予的法定职责,如果超越该职责的范围而处理个人信息则是违法行为。
]第二,国家机关履行法定职责处理个人信息应当符合法律、行政法规规定的权限范围。
这既是依法行政的要求,也是《个人信息保护法》中目的限制原则的体现。
如《个人信息保护法》第6条,“处理者处理个人信息应当遵循目的原则,采取对个人权益影响最小的方式,不得过度收集个人信息”。第三,国家机关履行法定职责处理个人信息的程序应当符合法律、行政法规的规定。
如《婚姻登记工作规范》第38条规定《婚姻审查处理表》中当事人应当填写的项目包括申请人姓名、出生日期、身份证号、国籍、提供证件情况、审查意见、结婚登记日期、结婚证字号、结婚证印制号、承办机关名称等,此外还应当在照片处粘贴当事人提交的照片,并在骑缝处加盖钢印。
如果婚姻登记机关及其婚姻登记员在办理结婚登记的时候超出该条的范围而收集他人其他个人信息,这就是国家机关侵害个人信息的行为。
适用指引
国家机关及其工作人员违反本条规定义务是否需要承担民事侵权责任
国家机关及其工作人员违反本条规定义务是否需要承担民事侵权责任的问题。
对此,存在不同意见,一种意见认为,此为国家机关履行职务行为产生,应当适用国家赔偿责任;另一种意见认为,在《民法典》中确认了国家机关及其工作人员的信息保密义务,此义务的违反就意味着应当承担《民法典》上规定的相应责任,主要是侵权责任。
甚至还有观点认为,大数据的应用强化了国家机关和信息主体之间既有的力量强弱差序格局,而非国家机关由于缺乏公权力行使的便利而掌握的资源相对少,因此,应当对国家机关和非国家机关分别给予合理的注意义务和责任。
国家机关对此应当承担更重的注意义务。上述见解在法理上都有一定道理。
对此有必要区分不同情形予以考虑:
(1)在国家机关及其工作人员在履职过程中侵害他人个人信息的,国家机关履职行为系行使国家公权力,这时已经不是平等主体之间的法律关系,此时造成的对个人信息的侵害系因国家机关及其工作人员履行职务所致,应适用国家赔偿责任。
(2)国家机关作为民事主体从事民事活动侵害个人信息的,应属于民事侵权行为,承担民事赔偿责任。
(3)若国家机关及其工作人员侵害个人信息的行为不属于《国家赔偿法》所规定的范畴,或是侵害的行为并不属于行使职权,也不具有行使职权的外观,那么应当单独适用《民法典》侵权责任编的规定对国家机关及其工作人员的民事责任予以判断。
(4)若存在国家机关的不作为与第三人作为行为导致共同侵害个人信息,例如他人侵入国家机关的个人信息存储系统,而国家机关并未及时尽到保障个人信息安全的义务之时,国家机关的不作为侵权与第三人的作为侵权结合导致了侵权行为的发生,此时应考虑国家赔偿责任与民事侵权责任的竞合。
[5]实践中,国家机关履职涉及个人信息侵害问题的情形往往较为复杂,目前学理上对此究竟属于民事赔偿责任还是国家赔偿责任存有较大的争议。对于本条规定的责任承担问题,还有必要继续研究探讨,适时通过司法解释予以明确