【条文主旨】
本条是关于处理敏感个人信息的特殊许可规定。
【条文理解】
敏感个人信息本身是一个比较广泛的概念,其中包含诸如人脸信息、基因信息、性取向信息等多种信息,《个人信息保护法》中的规定属于敏感个人信息保护的一般性规定,考虑到敏感个人信息的多样性,立法难以一一列举,需要保留一定特殊规定的留白,为将来特别法的特殊许可规定留下空间。从目前来看,这些特殊的限制性保护措施主要依靠特殊的行政许可措施来实现;当然也包括特殊的民事法律和刑事法律规定,如上文中未成年人的特殊保护就属于民事法律对特殊主体的特殊限制性规定。由于民事法律中的特殊规定在其他条文中已有体现,故我们主要对行政许可适用进行解释。
目前个人信息保护主要通过两种基本模式实现,即以保护手段为民事还是刑事区分为“权利保护”与“权力保护”两种基本模式。“权利保护”模式将个人信息视作私权客体,试图构建一种对抗不特定主体的个人信息权益;“权力保护”模式则强调在个人信息处理活动中,国家负有保护个人合法权益的义务,国家设定的监管与合规框架及配套执法机制是个人信息保护的主要方式。这两种保护方式共同构成了个人信息保护系统。相对来说,行政方式尤其是行政许可方式保护更加直接有效,但我国的个人信息行政许可,尤其是敏感个人信息行政许可相关的系统性规定和制度都还没有建立起来。
目前,在我国行业分散立法的背景下,个人信息保护监管呈现出明显的部门区隔特征,缺乏统一和独立的监管机构。在一般消费领域,工商行政部门和其他有关部门负责保护消费者的个人信息权益(《
消费者权益保护法》第32条);在电信和互联网领域,主要由国家网信部门、电信主管部门、公安部门和其他有关机关对个人信息保护工作进行监管(《电信和互联网用户个人信息保护规定》第17条、《
网络安全法》第8条);在征信和邮政快递领域,个人信息保护监管分别由国务院征信业监督管理部门(中国人民银行)和国家邮政管理机构(国家邮政局)负责。以“个人信息保护”为主要目标的专责监管机构没有建立,导致难以实现更高程度的统筹、协调和指导,促进个人信息保护监管。
同时,由于缺乏行政许可等行政监管手段,敏感个人信息的侵犯问题十分突出。一方面,部分行政机关对公民个人信息的收集和使用缺乏规范。我国的政府机关,作为国家权力的行使者与公民的服务者,在工作中不可避免地需要对公民的个人敏感信息进行收集、处理和利用,实践中也出现了对公民信用记录以及其他一些特别记录进行调查利用的情况,以及因故意或过失导致公民信息保护遭到侵害的问题。另一方面,部分商家在对个人敏感信息处理中也存在不规范现象,如收集的过度性,大量收集属于商业目的之外的个人敏感信息如行踪、人脸信息等,造成潜在侵权威胁;部分商家在使用时存在不当性,一些商家超出自身商业使用范围运用信息,或以转让或买卖方式供其他主体使用。
行政许可,系指特定的行政主体,根据行政相对人的申请,经依法审查,作出准予或不准予其从事特定活动之决定的行政行为。目前我国各类敏感个人信息处理的特殊行政许可制度正在建立之中,一旦明确规定,就意味着相关主体只有在行政机关审查并被赋予相应资格后,才能对个人敏感信息进行收集。这样能有效避免对个人信息收集的随意性,促进信息处理主体加强监督管理。
个人敏感信息行政许可规定主要坚持以下两个原则:一是“不可替代性”。该原则是已有的必要性原则在敏感个人信息领域的进一步规定。在相关规范中体现的必要性原则往往以“提供服务所必需”“基于管理的需要”等内容体现出来,但仅仅考虑该个人信息是否为提供服务所必需似乎不能有效界定其必要的程度。在对个人敏感信息收集的行政许可中,不仅要将必要性作为一个重要原则加以明确,并作为行政许可的重要前提,还要进一步将其发展为“不可替代”原则,只有信息收集者证明该个人信息的收集不仅仅是必要的,而且不存在其他可替代性措施时,才符合信息收集的条件,才能获得敏感个人信息收集的行政许可。二是个人敏感信息收集行政许可的多样性。敏感个人信息的丰富多样,在不同领域不同经济交往中限制性需求也不同,何以构成个人信息的合理使用,在不同的场合均不尽相同。行政机关对于敏感个人信息收集的许可中,应避免采取“一刀切”方式,并结合当前经济社会活动的不同领域制定多元性的信息许可标准,从而保障在经济社会活动各领域信息收集的安全性和使用的有效性。根据不同行业以及不同的个人敏感信息使用目的确定不同标准。
【条文适用】
敏感个人信息行政许可的审查标准
在敏感个人信息行政许可审查中,除了上文提到的“不可替代性”和多样性两个实质性审查标准外,在审查中还应当注意以下标准。
申请收集个人信息的相关市场主体应当基于自身经营目的和实际需要向行政机关提交申请资料;在收到申请后,相关行政机关应当按照
法律法规和申请主体情况进行评估,若认为该主体的信息收集行为符合法律法规,同时与该主体的自身需求相契合,就可以为其颁发信息收集许可证。申请主体所提交的申请资料应当包含收集个人信息的类型、信息收集的作用、信息使用具体规则、提供技术支持的相关公司信息等。
需要强调的是要加强对处理主体技术能力的审查以及提供技术支持的公司情况的审查。对处理主体自身的技术能力审查不容易被忽视,但对提供技术支持公司的审查往往成为盲区。由于敏感个人信息收集的行政许可不同于一般意义上的行政许可,在各类市场主体利用大数据收集个人信息时,经常会聘请相关技术公司作为技术支持,由这些技术公司对个人信息的收集和使用提供帮助,而这些提供技术支持的公司,往往在公民个人信息收集和使用中起到关键的作用。如果对他们不进行有效监管,就难以真正实现对敏感个人信息的有效保护。根据当前状况,消费者在与各类主体进行经济交往时,普遍反映针对上述敏感个人信息管理和运行的透明度不够。许多消费者既不清楚在公司企业背后负责管理信息的主体是谁,又对这些市场主体能否保障信息安全不尽了解。因此,在信息收集主体申请行政许可时,行政机关需要督促这些主体完善申请信息,不能忽视技术支持的关联企业,将这类技术公司的相关情况也作为申请材料的一部分向行政机关提交并接受行政机关的审查。