《个人信息保护法》在档案开放利用中的适用与局限探析.docx

个人信息保护法在档案开放利用中的适用与局限探析何凡摘要：个人信息保护是档案开放利用中一个不可回避的问题,但目前我国对此仍处于探索之中。2022年出台的个人信息保护法为档案主管部门的个人信息处理行为提供了规范，也为个人利益与公共利益的平衡提供了保障。个人信息保护法在档案工作实践中还面临着未涵盖档案利用者处理行为，目的限制原则无法兼容的局限。应当通过档案法治建设与法律衔接、细化业务流程与管理制度、提高去标识化技术应用等措施，促进档案开放利用中的个人信息保护体系建设。关键字：档案开放利用；个人信息；个人信息保护法分类号：G273. 5ResearchontheApplicabilityandLimitationsofthePersonallnformationProtectionLawintheArchivesOpeningandUtilizationHeFan(SchoolofCulturalHeritageandlnformationManagementofShanghaiUniversity, Shanghai202244)Abstract：Thepersonalinformationprotectionisakeyissueintheprocessofarchivalopeningandutilization,butitisstillintheexplorationperiodinChina. ThePersonalInformationProtectionLawprovidesnormsforthepersonal informationprocessingbehaviorofthearchivescompetentdepartment ,andalsoprovidesaguaranteeforthebalancebetweenpersonal interestsandpublicinterests. However ,thepracticeofPersonalInformationProtectionLawinarchivesworkstillfacesthelimitationsthatitdoesnotcoverthehandlingbehaviorofarchivesusersandthepurposerestrictionprincipleisincompatible. Weshouldstrengthentheconnectionbetweentheconstructionofarchiveslaws ,refinethebusinessprocessandmanagementsystem ,andimprovetheapplicationofdelabelingtechnology ,inordertopromotetheconstructionofpersonal informationprotectionsysteminthearchivesopeningandutilizationworks.Keywords ： ArchivesOpeningandUtilizationPersonalInformationPersonalInformationProtectionLaw槽案包含着大量的个人信息，在档案开放利用过程中如果处置不当将侵害个人权益。随着开放利用成为档案工作的主旋律，如何在满足社会信息利用需求的同时维护个人信息权益,成为档案部门面临的难题。中华人民共和国个人信息保护法（以下简称个人信息保护法）为档案开放利用工作中的个人信息提供了法律层面的保护，档案部门今后在档案开放利用工作中的相关行为都将受该法律规范和制约。1个人信息的界定1. 1个人信息的概念建设个人信息保护体系的逻辑起点是明确个人信息的概念内涵。1这涉及到三个基本理论问题：一是个人信息的定义；二是个人信息包含的具体内容；三是个人信息与相关概念一一个人隐私、个人数据等的辨析。第一，“识别”和“关联”是当前定义个人信息最通常的两种途径。“识别”强调个人信息能否分辨和确定个人身份;“关联”则关注通过个人信息进一步获取相关信息。2个人信息保护法融合了 “识别”与“关联”两种解释路径,将个人信息定义为“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后第二，在信息技术迅猛发展的背景下，公民个人信息的采集量持续增加、采集范围越来越广、采集方式逐渐多元化，个人信息包含的具体内容越发复杂。本文综合信息安全技术个人信息安全规范3和个人信息保护法中的相关阐释，对个人信息的类型和内容进行了归纳，见表1。第三，对于“个人隐私”和“个人信息”的概念关系，不同国家和地区存在不同的认知。如欧洲、南美洲地区大多使用“个人数据(PersonalData) ”，北美洲、大洋洲地区使用“隐私(Privacy) ”，而包括我国在内的亚洲地区更加偏向“个人信息(Personalinformation) o 4因为相关法律法规长期以来的不完善，早年的学术探讨基本以“隐私权”保护间接达到个人信息保护的目的，“隐私”“个人信息” “个人数据”等概念一般未加区分，常被交替使用。但随着法律法规的出台和完善，“个人信息”与“隐私”的差异凸显。2022年出台的民法典指出：“隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。”该定义表明，除私密信息外，空间物理隐私也涉及个人信息。与“个人信息''相比，"隐私”更强调私人性和不可公开性。整体而言，个人信息保护的范畴大于隐私保护，对隐私保护的重心在于防护非法维漏和骚扰，而个人信息保护的重心在于对个人信息全生命周期的管理和保护。L2档案开放利用中的个人信息结合前述界定的“个人信息”概念、个人信息保护法的相关规定和档案工作实际情况，本文将档案开放利用中的个人信息归结为开放档案内容中的个人信息和档案利用者的利用信息两个组成部分，详见图lo 一方面，各类档案内容中含有各种类型的个人信息，例如会计档案中的财政信息、人事档案中的教育工作信息等；5另一方面，档案利用信息中也包含着个人信息，主要是用户在利用档案资源、接受档案开放服务时生成的一切与用户相关的个人信息。2个人信息保护法在档案开放利用中的适用性个人信息保护法是一部公法和私法深度融合的法律。在私法层面，个人信息保护基于个人信息权利体系和配套的民事诉讼机制来实现；在公法层面，依靠行政手段建立专门政府监管机构和制定强制性法律规范，并对违法行为采取罚款等措施，从而落实个人信息保护。6因此，个人信息保护法既为档案主管部门在档案开放利用中作为公权力主体进行的个人信息处理行为提供了规范，也为个人利益与公共利益的平衡提供了保障。2.1为档案主管部门的个人信息处理行为提供规范在档案开放利用中，档案主管部门享有处理个人信息的公权力，其聚焦于两个环节：一是档案的开放鉴定。目前我国档案开放办法由国家档案主管部门制定，报国务院批准。7二是档案工作的监督检查。在提供档案利用服务的工作中，档案部门根据查档等相关工作的要求，会采集和存储利用者的部分基本信息和查阅记录，当档案主管部门对所辖区域档案工作进行监督检查时，难免会涉及到一些个人信息的处理问题。而个人信息保护法的第二章第三节，以5个条文的形式规定了国家机关处理个人信息的特别规定，为档案主管部门开展相关工作提供了规范性支撑。2. 2为个人利益与公共利益的平衡提供保障档案开放利用与个人信息保护之间存在天然张力。从公共利益视角出发，为最大程度发挥档案的公共价值，面向社会开放利用的档案资源越多越好。但从个人利益视角审视，个人信息权益被侵害的风险会随着档案资源开放利用程度加深而递增，因此应该将档案资源中的个人信息在开放利用中适当去除，或者将一些含有个人信息的档案资源视为不宜开放。综合这两种视角，档案开放利用中个人信息处理的核心议题是：如何在不侵害公民合法权益的前提下，满足社会对档案资源的利用需求。个人信息保护法第一条明确指出：“为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。”这一条款标示着这部法律具有两项重要的立法目的：不仅要保护个人信息权益，还要促进个人信息的合理利用。8该法律的中心思想和内在体系在于协调个人信息的保护和利用，形成良性循环的保护利用模式，这为个人利益与公共利益的平衡提供了保障。3个人信息保护法在档案开放利用中的局限个人信息保护法缺乏对个人信息公共面向的考量，9因此档案开放利用中的个人信息处理不可避免会与现行的个人信息保护制度存在一定的矛盾与冲突。3. 1二元处理模式未涵盖档案利用者的个人信息处理行为个人信息的处理场景主要涉及二元主体，即个人信息主体和个人信息处理主体，个人信息保护法就是围绕二元主体而展开。但是档案开放利用中的个人信息处理涉及三方主体:档案部门、个人信息持有者和档案利用者，其中档案利用者是较为独特的第三方处理主体。档案在面向公众开放利用前,主要由档案部门担任处理主体。随着档案面向公众开放利用,处理主体从单一的公权力主体向多元的私主体发生转变，民众、其他组织等私主体以档案利用者的身份成为个人信息的第三方处理主体。尽管档案开放利用的价值在于二次处理，但规范第三方处理主体行为相关条款的缺席，使得档案利用者的行为较难受到个人信息保护法的约束，同时第三方处理主体对个人信息的对外披露可能造成不可控的风险。目前档案法通过限制单位和个人的公布权来控制第三方处理主体的个人信息处理活动，这种做法一定程度上规避了可能造成的侵权行为，但也降低了档案开放利用中的增值开发。如何规范第三方处理主体在档案开放利用中的个人信息处理行为，目前还存在很大的规则空白。3.2目的限制原则在档案开放利用中缺少兼容规则目的限制原则由目的明确与使用限制两层含义构成。前者指具备明确、合理的目的是搜集个人信息的前提，且搜集不可超出实现处理目的的最小范围；后者指个人信息的处理应当与初始目的直接相关，如果信息处理行为超出初始目的应当重新获得个人信息主体的有效同意。10目的限制原则是个人信息保护法中最基本的一项原则，个人信息处理活动的全流程都要遵循该原则。但在档案开放利用的实践中，目的限制原则面临着一定的困境。首先是在个人信息收集阶段难以完全确定处理目的，利用者对档案的开发往往会超出档案部门收集个人信息的目的限制。其次是目的限制原则限制了个人信息的利用，该原则揩信息处理行为严格圈定在初始目的范围内，对档案利用者的创新能力形成桎梏，给档案价值开发带来了负面影响，与社会和经济发展需要背道而驰。当前其他国家主要通过两种途径实现档案开放利用中个人信息处理与目的限制原则的协调。一是规定个人信息处理的豁免情形，例如欧盟通用数据保护条例第八十九条第一款规定，”对保存公共档案目的做进一步处理，以及用于科学或历史研究目的或用于统计目的不视为与原始目的不相符“。11二是严格限制档案利用方式和披露方式，例如瑞典设立伦理道德委员会，档案利用者需要接受委员会严格的目的审查和持续追踪才能获得涉及个人信息的档案资源。12