“信息自决权”的概念肇始于德国，其本质在于保障公民可自我决定于何时以及在何种范围内对外公开生活事实，尤其是向政府披露个人信息的权利。这一概念的提出，“是对国家因现代信息技术的急剧发展而获得的对个人生活极大监控可能性的回应”[1]；德国法也以此为起点，构建了系统严密的个人信息公法保护机制。相较于德国，因为“人肉搜索”“电信诈骗”等种种社会恶状的频发，我国在私法领域已经开始对他人不当侵犯个人信息的行为有所防御；但在公法领域，既往针对公民信息权的理论研究和制度实践却主要集中于政府信息公开，而鲜少涉及个人信息保护。事实上，在信息化时代下，国家才是个人信息处理方面真正的“老大哥”：国家和政府所拥有的信息处理技术，已使其能够轻易就将个人信息予以迅速整合，并由此完整描摹出个人的私生活图像。但与信息泄露和数据操纵在私法领域引发的热议和关注相比，人们对于国家对个人信息的无限度搜集以及不当使用却缺乏足够的警醒。也正是在这个意义上，德国法上的信息自决权理论对我国有相当的借鉴价值，其个人信息公法保护制度同样为我国未来立法提供有益启发。基于上述思考，本文首先尝试对德国法上的信息自决权予以阐释，并在此基础上对我国公法领域的个人信息保护制度予以评析，而文章的最后则聚焦于未来《个人信息保护法》的核心问题。

一、信息自决权在德国法上的型塑完成与嗣后发展

信息自决权并未明确规定在德国宪法文本中，对这一权利的确认始自德国联邦宪法法院于1983年12月15日对“人口普查案”(史称“第二人口调查案”)[2]所作的判决。

(一)“人口调查案”与“信息自决权”概念的提出

在这一判决中，联邦宪法法院除中止了尝试详尽搜集公民个人信息的《联邦人口调查法》的施行，还创设性地提出了“信息自决权”的概念。

联邦宪法法院在本案中，首先重申“《基本法》所建立的秩序核心在于个人的价值和尊严”[3]，而这种“个人价值和尊严”又主要体现为“自由的自主决定”(freiwillige Selbstbestimmung )。这种自由决定得以“保证个人作为自由社会的成员而发挥作用”。在信息化时代下，“基于自决理念(Selbstbestimmung )的‘个性自由’包括了个人具备权利，以自行决定何时并在何种限度内披露其个人生活的事实”[4]。据此，德国联邦宪法法院通过诉诸《基本法》第1条第1款之“人性尊严”以及第2条第1款之“一般人格权”条款而导出了“信息自决权”。这样的推导技术是从概括性条款中推导出宪法未列举权利的另一典型范例。

在接下来的判决中，联邦宪法法院同样阐释了对信息自决权予以保障的必要性。“从自动数据处理的现行和未来发展状态来看，这一权利需要特别保护。由于储存高度私人化信息的技术手段在今天已经是无限的，这些数据在自动数据处理技术的帮助下又可在数秒内被调取，这项权利也因此受到严重威胁。此外，在建立集成信息系统时，如这些数据和其他数据相互结合，就会产生部分的甚至是完全的个性轮廓。相反，受到影响的个人则缺乏足够手段，来控制这些信息的使用及其真实性。(国家)获得信息并施加影响的可能性已增加到前所未有的程度，国家也完全可能通过公共意识对个人产生心理压力来影响个人行为”[5]。在强调信息自决权的保护必要性后，联邦宪法法院更清晰地揭示了公民信息自决权的保护要旨和保护内容：“作为在数据处理的现代条件下自由发展个性的前提，个人必须被保护免受个人数据的无限收集、储存、使用和传递”[6]。据此，联邦宪法法院在本案中不仅明确提出了信息自决权的概念，还清晰勾勒出这一权利的基本轮廓。

(二)信息自决权的限制及其合宪性理由

尽管德国联邦宪法法院明确肯定对个人信息自决权的保护必要，但却未将这一权利绝对化。在阐释了对这一权利保护的必要性后，联邦宪法法院同样申明，“信息自决权利并非无限。对于其‘自身’信息，个人并不具有任何绝对或无限的控制”[7]，其理由是，“个人是在社会共同体之下发展其个性。因此，即使是个人信息，也同样是社会事实的反映，而并非纯粹地与个人相联”[8]。这一认知与联邦宪法法院在此前诸多判决中的思路一脉相承。尽管《基本法》将个体的“人性尊严”作为最高价值，但《基本法》对“人”的定位却深受人本主义和社团主义的影响；由此描画出来的个人图像并非原子化的个人，而是与“共同体相关，并受共同体约束的个人”。因而，“为了迫切的公共利益(gemeinwohl )，个人在原则上必须接受对其信息自决权的某种限制(Beschraenkung)。如果某些信息对政府计划有所必要，作为社会一员的每个人就有责任回答官方人口调查及有关自身的某些问题”[9]。

但一旦允许国家可对公民的基本权利予以限制，就极有可能出现国家藉由“限制”而彻底掏空或是排除公民基本权的潜在危险。为防止国家藉由“限制”而破坏个人信息自决权利的本质，联邦宪法法院同样在本案判决中明确列举了限制此项权利的“合宪性理由”(Rechtsfertigung)[10]o这些合宪性理由具体包括：

1.合目的性原则

合目的性原则要求，“议会必须注明所有官方数据收集程度的目的和条件，以使公民可清晰知道自身的何种信息基于何种理由而被收集”。而国家“强迫(个人)提供涉及人身之资料，是以立法者于特定范围内且详尽确定使用目的，并且该资料对该目的而言是适合且必须为前提的”[11]。合目的性原则本质上包含两个方面：目的明确和受目的约束。首先，法律必须明确规定搜集、使用人民信息之目的，禁止为供未来不特定目的使用而搜集公民个人信息；其次，国家对信息的使用同样受上述目的的限制，国家不得将所搜集之信息作法定目的外之使用。[12]“惟有使人民事先知悉其个人资料所以被搜集之目的，并使国家之信息使用受搜集目的所拘束，方能正当化国家之取得人民个人信息，并防止国家滥用所取得之人民个人信息，而宪法对人民信息隐私权之保障才不会落空”[13]。

2.比例原则

比例原则可以说是德国公法领域的帝王条款，其内涵主要是通过国家行为“手段”与“目的”的关联性考察，来检视国家行为是否具备正当性和合宪性。在本案中，联邦宪法法院同样指出，“在制定这些法律时，议会还必须遵从比例原则。这项原则来自基本权利的特殊属性，且被提高至宪法规范的高度。只有在对保护公共利益有所必要的程度内，国家才能对公民的信息自决权予以限制”[14]。

3.法律保留和法的明确性原则

对基本权利的限制只能由法律作出，行政对基本权的干预必须具有法律的明确授权，这项要求是《基本法》对于基本权限制的基本模式。但法律保留原则不仅要求限制公民基本权需有“法律”的形式要件，还包含“授权明确性”的诫命，即“对基本权的影响强度越大，法律就应越明确具体”[15]。在本案中，议会通过《人口调查法》对公民的信息自决权予以限制，这一点并未违反法律保留原则；但联邦宪法法院在判决中同样申明，“这类法律授权必须遵从法治国原则，且具备清楚构架以避免因过于模糊而违宪”，“考虑到国家在使用自动数据处理中所涉及的危险，立法应比此前任何时期都更有责任去采纳组织和程序措施，以保护个人免受对其人格自由开展的侵犯”[16]。换言之，涉及公民信息自决权的立法必须足够明确具体，由此才能让人们获知个人信息的搜集范围、搜集目的、使用目的以及国家为此进行的安全防护。

(三)德国联邦《个人信息保护法》与“在线搜查案”判决

自此，信息自决权成为德国个人信息保护的宪法基础；而德国法也在此概念下，对此前颁行的《个人信息保护法》(Bundesdatenschutzgesetz )进行了大幅修改。德国在1977年颁行的《个人信息保护法》深受美国隐私权理论的影响，但信息技术的疾速发展已使这部法律凸显严重不足。为因应信息技术的现代化发展以及贯彻欧盟发布的个人信息保护指令，德国于2003年在“个人信息自决”的概念下，对这部法律进行了大幅修改和重新编排。

修改后的《个人信息保护法》将保障对象确定为“个人信息”；所谓个人信息，包含所有能够直接或是间接识别个人身份的信息，而并不仅限于具有敏感性、私密性的隐私信息。联邦宪法法院在2012年的判决中更申明，“由于存在数据处理和联系的可能，因此，无论数据使用条件如何，都不存在毫无疑义的个人信息”[17]。德国《个人信息保护法》共计6章60条，从整体架构而言，其承继了欧盟法的“统一立法”模式；其中既包含了对行政机关信息处理的规定，也囊括了非公务组织信息处理的规定。经由《个人信息保护法》的进一步型塑，信息自决权成为体系化的权利整体；其内容包含了个人在数据收集、处理和利用这些动态过程下所享有的完整权能：个人信息告知权、个人信息更正权、个人信息封锁权以及个人信息删除权。此外，《个人信息保护法》同样从“人口调查案”中的限制合宪性理由出发，总结归纳出一系列个人信息保护和数据处理的原则，如限制汇总原则、内容完整正确原则、目的明确原则、限制利用原则、安全原则、公开原则以及个人参与原则。

对“信息自决权”的嗣后发展起到关键作用的，还包括德国联邦宪法法院于2008年所作的“在线调查案”[18]判决。在该份判决中，联邦宪法法院认为，“因特网的互联产生了危及人格的新的危险类型”。“通过提取或使用计算机中储存的数据就可大体上推断出计算机用户的人格直至形成人的全貌。而借助因特网的互联更加深了这种危险，因为一方面基于网络通信数据可以获取用户人格方面的信息；另一方面也给第三方提供了技术上窥探或控制系统上所存数据的可能”[19]。鉴于对此危险的防御，联邦宪法法院主张，应将“一般人格权的保障范围扩大到对IT系统的保护上”[20]。据此，国家不仅不能基于了解个人基本生活方式或获取对个人有表现力的图像的目的，而对个人电脑的单个通信过程或存储数据进行存取，同样不能对IT系统的整个数据进行存取。对于IT系统私密性和完整性的保障(Schutz auf Vertraulichkeit und Integritaet informationstechnishcer Systeme )使信息自决权的范畴大幅度扩张。此前，尽管联邦宪法法院确认，信息自决权所保障的对象“不仅包括因类型而较为敏感并因此需要保护的信息，还包括通过处理和联系才能影响到当事人基本权利的信息”；但“信息自决权却不可能考虑因使用IT系统而产生的危及人格的所有危险，因为在这样一种系统上存取数据能够获得一个有表现力的数据存量，而无需采取其他数据提取和数据处理措施。在影响当事人人格的程度方面，这种存取远远超过了信息自决权保护所针对的数据的个别提取”[21]。从这个意义上说，对个人IT系统私密性和完整性权利的确认，同样也“弥补了信息自决权的保护漏洞，回应了因信息技术的发展而产生的新的保护需求”[22]。

综上，信息自决权经德国联邦宪法法院在判决中提出，而被贯彻于《个人信息保护法》，并因此成为德国个人信息公法保护的理论基础。这是因为，首先，它自肇始之初就被明确定位为宪法基本权利，其意涵也因此被塑造为个人数据免受国家无限度收集、储存、使用和传递；而其功能也在于防堵国家在信息化时代下，藉由数据调取和数据整合技术，产出部分或是几乎完整的“个人轮廓”，并由此对公民的私人空间和自决能力予以削减。权利属性的清晰定位使信息自决权得以分享德国基本权利法教义学上的智识成果，而信息自决权嗣后的型塑在很大程度上正是依循基本权利法教义学的思考框架。其次，这一理论的提出突破了传统隐私保护将保护对象仅限于隐私信息的窠臼，而将保护范围拓展至“所有能够直接或是间接识别自然人的信息资料”，因此有效回应了信息时代下普遍且广泛的信息保护需求。最后，德国法尽管强调了信息自决权作为一项新型基本权利的保护必要，却未将其予以绝对化，联邦宪法法院确认基于“重大且明显的公益需要”，国家仍能够对此项权利予以限制。这种做法也将信息自决权纳入了公益考量的空间。但开放国家对此项权利的限制可能，就有可能导致国家藉由限制而彻底排除或掏空这项基本权利；为防止国家的过度和违宪干预，联邦宪法法院在允许国家可对此项权利予以限制后，同样对限制此项权利的合宪性理由进行了细致归纳，而这些合宪性理由嗣后又成为《个人信息保护法》系统提炼信息保护和数据处理基本原则的基础。从上述三个方面可以看出，德国法逻辑严密、理路井然的思考都为我们系统建构妥当适宜的个人信息公法保护体制提供启示。

二、我国学理对信息自决权的吸收及其宪法证成

如序言所述，在我国私法领域，如何有效防御他人对个人信息的不当搜集和滥用，已成为理论研究的重要议题；有关这一问题的公法研究和制度实践却仍旧只现端倪，而学理探究和制度实践的滞后也已经与国家藉由信息技术过度干预个人生活的现实严重不符。事实上，因为城市化的疾速发展，为控制社会稳定、打击犯罪、强化治安等目的，我国政府早已开始大量釆集公民个人信息，而身份登记、视频监控、实名注册等管理手段也开始越来越多地充斥于我们的生活。政府所拥有的信息处理技术，已使这些个人信息极有可能被迅速整合，并由此完整描摹出个人图像和个人行踪。因此，为避免在信息化时代下现代国家滑向“监控国家”的风险和可能，在私法保护体制外，我们同样应重视对公民信息权的公法保护，重视对国家不当搜集和滥用公民信息行为的觉察和防御。

(一)我国学者对“信息自决权”理念的吸纳

因为受私法研究的影响，在有限的关于个人信息保护的公法研究文献中，学者大多都将个人信息公法保护的理论基础与渊源诉诸隐私概念，而且为凸显公法隐私保护与私法隐私保护的差异，诸多学者都援用了美国法上的“宪法隐私权”(the constitutional right to privacy )理论[23]。尽管宪法隐私权的保护范围在美国法上已覆盖至信息隐私，但因其保护对象受制于“必须属于隐私”的限制，宪法隐私权所提供的保护与信息化时代下所要求的普遍广泛的个人信息保护仍有相当距离。事实上，美国法也开始纠正“隐私保护”所导致的保护对象偏狭的弊端，并尝试将1974年颁布的《隐私法》的保护对象拓展至所有“个人被政府所掌控的记录系统”[24]。从这个意义上说，诉诸“隐私”概念，已无法为数据时代下的信息保护提供充分的学理支持。

相对于“隐私”理论的普及以及“宪法隐私权”概念的广获接受，“信息自决权”概念则是近几年才渐次出现在我国学者的论述中。尽管开始接受这一概念，但学者最初对于“信息自决权”的认识并不足够清晰，也缺乏对这一理论生成过程和制度背景的完整体察，因此常常将信息自决权与美国法上的隐私保护混淆。例如，张红教授在其所著的《指纹隐私保护：公、私法二元维度》一文中，首先遵照美国法的一般认知，论证指纹属于个人隐私，强调其应予特别保护；但在下文论及指纹隐私保护的理论基础时又诉诸德国法上的人性尊严和信息自主权概念；而之后对于国家强制公民录入指纹是否合宪的分析，则完全依循德国法的思维框架。[25]因为没有顾及不同概念产生的不同法秩序背景以及不同意涵，这种并采美、德理论的做法，也使文章在核心环节上的论证上欠缺思维的一贯性和流畅性。

在这一过程中，也有学者尝试对这两个概念进行仔细区辩。例如，在《论信息自决权作为一项基本权利在我国的证成》一文中，作者姚岳绒首先援引德国法的界定方式将信息自决权定义为“信息主体对自身信息的控制权与选择，即由公民决定自身信息何时、何地、以何种方式被收集、储存、处理以及利用的权利”。在尝试通过对我国宪法文本的重新解释而证成公民信息自决权的同时，作者指出，尽管已有诸多学者从隐私权的角度论证公民个人的信息控制权，但她却认为这一方式并不可取。其支持理由在于，“隐私权是否为宪法权利尚处于学术论证的时期，借用一个尚未在宪法上正式承认的基本权利还证明另一基本权利，不但缺乏证明的可信度，而且也是一种不科学的论证方法”。此外，“……隐私权的宪法属性在美国也已由联邦最高法院通过宪法解释的方式加以认可。但我国却不具备这样的情况”。据此，作者认为，“在我国要从规范上证明信息自决权的存在，必须以现行宪法涉及公民权利的条款为基础，在这些既有条款内容中，通过学理式的解释方法进行合理的解读以及合乎逻辑的方法才能得到证成”。[26]从文章整体论证来看，尽管作者将公民信息自决权无法从隐私权中获得论证，归因于隐私权本身在我国宪法上未获正式承认的逻辑，仍旧值得商榷；但文章将隐私权与信息自决权适度区分，并特别强调信息自决权作为宪法基本权的属性的做法却值得肯定。

综上，尽管我国已有公法学者在美国的“宪法隐私权”之外，借鉴德国法上的“信息自决权”概念来论证防堵“监控国家”的必要，但对于“信息自决权”的生成过程、发展脉络和意涵要素，我们仍需更细致的考察和探究，由此才能更完整且妥适地汲取德国法在个人信息公法保护方面的有益经验。

(二)信息自决权在我国宪法上的证成

而要以信息自决权为理论基础和思考起点，来系统构筑我国的个人信息保护体系，首先需要在宪法上对信息自决权予以证成。如德国法一样，我国宪法同样不包含信息自决权的列举。但宪法未明文列举的权利并非就不具有宪法上的基本权利属性，通过宪法解释技术，完全能够合逻辑地推导出宪法未列举的基本权利，并为其提供宪法保障，这一点已为现代宪法学理所普遍承认。

从域外经验来看，从概括性条款中推导出宪法未列举的新型基本权利，无疑是最为常见的宪法论证技术。如上文所述，德国联邦宪法法院对于公民信息自决权的创设，使用的正是回溯至宪法的概括性条款，对新兴权利予以证成和型塑的方法。德国《基本法》第1条为“人性尊严条款”，这一条款被视为宪法的最高价值，当然也最具涵括性、抽象性和开放性。在“人性尊严条款”之下，德国法将公民权利按照传统习惯区分为自由权和平等权。而第2条第1款则作为自由权的一般性条款。在一般自由权条款之后，《基本法》详尽列数了公民的信仰自由、言论自由、在婚姻家庭、学校中的自由、集会自由、结社自由、通信秘密、住宅不受侵犯等诸项特别自由权。从法条逻辑而言，“如果公民的某项行为自由不能纳入其他基本权的特别保护领域，都可援引第2条第1款”[27]。德国《基本法》中的基本权规范凸显体系化的精细设计，而在其体系建构中，概括性条款无疑具有构架搭建的基础性作用。它揭示出基本权规范的核心价值和意义关联，是理解所有基本权条款的思考起点，同时又使基本权规范具备了面向未来的调试和扩展可能。

我国宪法在基本权规范上虽然未体现出如德国《基本法》一般的体系完整和逻辑缜密，但2004年宪法修正案增加的“人权条款”，却在规范意义上涵括了“非完全列举主义精神”[28]，也因此能够成为推导出宪法未列举权利的概括性权利条款。人权条款的这一功能被渐次挖掘后，很快获得诸多学者认同，他们对这一功能不断予以背书。例如，有学者将人权条款描述为“宪法未列举权利的安身之所”[29]；或者认为“从价值理念上，人权条款与未列举权利的保护价值是相同的”[30]。迄今，认为从人权条款中可以推导出宪法未列举的基本权利，几乎成为我国宪法学者的一般共识。既然人权条款能够作为宪法未列举权利的文本基础，那么作为新兴权利之一的信息自决权同样能够从这一条款中获得宪法上的证成。

除能够回溯至宪法人权条款中获得依据外，我国宪法第38条同样能够为信息自决权的导出提供帮助，第38条规定：“中华人民共和国公民的人格尊严不受侵犯。禁止用任何方法对公民进行侮辱、诽谤和诬告陷害。”尽管此条中的“人格尊严”与德国《基本法》中的“人性尊严”相比，在范围和意涵上都明显偏窄，但以林来梵教授为代表的学者也尝试对这一条文进行“双重规范意义上的解读”，并借此将德国法和日本法中的“人性尊严”保障内容同时融入我国宪法。这种双重意义上的解读将第38条分解为两个部分：第一部分为该条第1款，“中华人民共和国公民的人格尊严不受侵犯”，在林教授看来，此处的“人格尊严”应类同于“人性尊严”获得解释，因此这一条不仅是宪法权利，同样是基础性的宪法原则；第二部分为该条第2款，“禁止用任何方法对公民进行侮辱、诽谤和诬告陷害”，本条表达的是个别性权利的保障内容，它大致相当于宪法上的人格权。既然宪法第38条第1款被解释为具有保护人性尊严功能的宪法性原则，那么宪法中未明确列举和规定的权利，如生命、健康、姓名、名誉、肖像等，甚至是新兴的环境权、隐私权等都能够被囊括其中。[31]尽管这种解读方法同样遭致学者反对，认为宪法第38条无论从位置安排还是意涵内容上，都“只是宪法上的基本权利，并不能构成一项基本原则”[32]；但如果我们能够吸纳这一方案中的积极内容，将我国宪法中的“人格尊严”扩张解释为类似于德国法中的一般人格权，那么信息自决权同样能够从这一权利中获得证成基础。由此，我们不仅可借鉴从概括性条款中导出宪法未列举权利的解释技术，同样可运用美国法上“基本权利的晕影理论”[33]，将信息自决权作为“一般人格权”的边缘性权利，是如晕影一般的必要构成而加以保护。而这种解释同样为伴随社会变迀而出现的新型人格法益提供了空间，我国宪法规范对于人格权的保障，也因此升级为如德国法一般的“一般人格权+具体人格权”[34]的模式。

三、我国信息自决权保护的制度现状及其问题

在理论上厘清了有关信息保护的思考步骤和核心问题后，接下来面临的则是具体的制度建构和规范落实。相比在信息保护领域已有专门法律的德国和美国，我国对于公民个人信息保护的立法目前仅限于刑法和民法领域。有关公民相对于国家的信息自决权保障，尽管在《政府信息公开条例》中初现端倪，但由于缺乏专门立法，这一方面仍凸显严重的规范供给不足。

(一)刑法和民法领域的信息保护规范及其局限

为因应个人信息保护呼声的高涨，我国刑法领域和民法领域都纳入了有关信息保护的规范，而这些规范也成为我国信息保护立法的发端。

在刑法领域，2009年通过的《刑法修正案(七)》对《刑法》第253条的内容进行了拓充，并增加了“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”两项罪名。[35]在民法领域，2009年颁行的《侵权责任法》在第2条率先纳入了“隐私”的概念，第62条又明确指出，“医疗机构及其医务人员应当对患者的隐私保密。泄漏患者隐私或者未经患者同意公开其病历资料，造成患者损害的，应当承担侵权责任”。

尽管刑法和民法领域对于个人信息保护都作了相关努力和尝试，但由于在信息保护领域缺乏对诸多基础性问题的一般共识，这些规范不仅意涵不清，边界不明，在保护效果上也严重不足。例如，《刑法》新增加的“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”都以“个人信息”为客体，但《刑法》和司法解释却缺乏对何谓“个人信息”的解释；此外，无论是“出售、非法提供公民个人信息罪”还是“非法获取公民个人信息罪”，都以“违反国家规定”为定罪的前提，但在信息保障领域，我国本来就缺乏相应的规定，这一前提要件的写入也因此弱化了对相关行为的裁罚力度；最后，上述两种罪名只是约束《刑法》所明确列举的“国家机关或者金融、电信、交通、医疗等单位的工作人员”，责罚的行为也仅限于“出售”“非法提供”和“非法获取”个人信息，从约束对象和责罚行为上看都明显过窄。而从《侵权责任法》和《民法总则(草案)》的相关规定看，民法对于个人信息的保护仍旧受制于“隐私权”的思考框架，而未拓展至一般意义上的个人信息。

(二)《政府信息公开条例》中的信息保护端倪与问题

刑法和民法领域的信息保护制度所针对的仍旧主要是他人侵犯公民信息法益的行为，而并未直接涉及国家过度搜集、不当储存和非法传播与使用个人信息的行为。公法领域对于公民信息自决权的保护目前仅出现于《政府信息公开条例》。尽管这部条例的核心要旨在于推动政府对于其掌控的公共信息的公开，鉴于信息公开与信息保护之间的可能冲突，以及信息公开与信息更正之间的密切关联，该条例中仍旧包含了为数不多的信息保护条款。

涉及信息保护的首先是《政府信息公开条例》第23条。该条规定，“行政机关认为申请公开的政府信息涉及商业秘密、个人隐私，公开后可能损害第三方合法权益的，应当书面征求第三方的意见；第三方不同意公开的，不得公开”。这一条一直被视为处理我国信息公开和信息保护的核心法则。在政府信息普遍公开的原则之下，商业秘密和个人隐私被作为例外事项予以明确列举。

上述规定尽管以保护他人个人信息为要旨，但却同样存在边界模糊、意涵不明的问题。首先，除上文提到的《侵权责任法》外，我国现有法律规范中并无“个人隐私”的规定，对于何谓“个人隐私”更没有权威性的法律界定，而《反不正当竞争法》中对于商业秘密的界定同样模糊。这就导致行政实践和司法实务无法在信息公开和信息保护之间进行有序界分。[36]其次，商业秘密和个人隐私的公开以“个人同意”为前提要件，除非“行政机关认为不公开可能对公共利益造成重大影响的，应当予以公开”。但“个人同意”作为公开要件，在制度实践中同样会引发问题：其一，由于我国在信息保护领域并未引入德国法中的目的明确和限制原则，行政机关在搜集个人信息时也并不区分搜集目的和使用目的，那么个人在搜集信息时的“同意”就极有可能被不当扩张为“一揽子式的同意”，从而导致国家对个人信息的滥用；其二，以“个人同意”作为商业秘密和个人隐私公开的唯一要件，亦有可能造成个人对信息的独揽。事实上，在信息社会下的个人信息，不仅与个人相关，具有个人性，同样具有社会性，如果在处理个人信息是否公开的问题上，完全不考虑个人信息的社会关联，将个人信息的处理决定权全部交由个人决定，就会彻底阻却数据的自由流转，这也相当于彻底放弃信息技术为社会和个人所带来的福利。[37]最后，即使我们认为这一条文中包含了立法者对于个人信息保护的考虑，但条文所涉及的内容也仅限于“商业秘密和个人隐私”，与“信息自决权”中广泛的“个人信息”仍旧相去甚远。

除第23条外，《政府信息公开条例》第25条同样被认为是对个人信息权的保护。根据该条，“……公民、法人或者其他组织有证据证明行政机关提供的与其自身相关的政府信息记录不准确的，有权要求该行政机关予以更正。该行政机关无权更正的，应当转送有权更正的行政机关处理，并告知申请人”。根据德国法关于信息自决权的界定，个人对信息的控制权能包含四个方面：个人信息的告知权、个人信息的更正权、个人信息的封锁权以及个人信息的删除权。[38]如果以此为衡量标尺，那么第25条至少确认了公民对于个人信息的获取权与更正权，但其局限性同样明显。首先，在《政府信息公开条例》以信息公开作为主要目的的背景下，这一规定只是个人信息保护的“搭车之举”[39]；其次，本条只是在部分程度上肯定了公民对其自身信息的获取权与更正权，同样与完整系统的信息自决权保护之间存在相当的距离。

综上，尽管在刑法、民法以及行政法领域，我国均已初现信息保护的端倪，也进行了相当有益的尝试，但上述努力却都效果有限。从域外经验来看，要对公民的信息自决权予以系统严密的保护，除需在宪法上对其作为基本权利的属性予以肯定外，还须依赖专门的信息保护立法。制定专门的信息保护法的必要，除在于遏制和防堵日益严重的信息滥用，还在于信息保护不仅横跨公法和私法两个法域，并无法单独交由民法、刑法或是行政法单独处理，且其涉及的内容也具有相当的科学性和技术性。这些都使制定专门的信息保护法律在信息化技术疾速发展的今天显得急迫且必要。

四、未来《个人信息保护法》的核心问题及其趋势前瞻

事实上，我国政府早在2003年就已将制定个人信息保护法列入立法计划，迄今也已有两部专家建议稿问世[40]，其中以中国社会科学院周汉华教授领衔制定的《中华人民共和国个人信息保护法(专家建议稿)》已提交国务院审议。虽然酝酿的时间已久，但由于理论界对该法制定中的一些核心问题分歧严重，该法目前仍旧停留于讨论阶段，“短期内也恐难出台”[41]。《个人信息保护法》在制定中所面临的关键分歧主要集中于以下方面：

(一)个人信息保护的立法模式选择：统一立法还是分散立法？

统一立法和分散立法是最典型的两种有关个人信息保护的立法模式，而其代表国家又分别是德国和美国。统一立法模式是由国家制定专门法律，统一规范国家机关和民事主体收集、储存、处理和利用个人信息的法律规则。统一立法模式由欧盟所倡导，以德国为典型代表。欧盟最初的个人信息保护只是针对政府，但此后个人数据保护应针对所有数据处理者的观念逐渐成为共识，因此1995年的欧盟指令也将公共机构和私人机构一起纳入调整范围，统一立法模式由此形成。[42]统一立法的优势在于：首先，它在保障“信息自决权”的核心观念之下，将国家责任与公民责任、行政义务与民事义务均囊括其中，由此为公民的信息自决权提供了系统完整的保护；其次，统一立法还能够为个人信息保护提供统一的标准，避免了法律宽严有别、执行无序。[43]尽管具有全面系统、易于执行的优点，但统一性立法缺乏对不同数据处理，以及不同数据处理者的差异性考虑的缺陷也同样突出。

分散立法模式是全国并无统一的个人信息保护法，个人信息立法区分不同领域和不同主体分别进行。作为分散立法的典型，美国有关信息隐私保护的立法可谓五花八门。针对联邦政府处理个人信息隐私的行为，美国于1974年颁布了《隐私法》，这部法律可以说是美国信息隐私领域的基础法案。此外，针对政府行为的还有《联邦信息自由法》，这部法律将隐私作为公开的例外事项予以列举。在颁布了针对政府机构的上述法案后，美国发现一些商业部门也在大规模地使用和处理个人信息，因此又将信息隐私的立法范围扩展至商业机构，先后出台《金融隐私权利法》《录像隐私保护法》《驾驶员隐私保护法》《电脑资料比对与隐私权保护法》。[44]这些立法的进行并无统一筹划，基本是“发现一个规范一个”[45]。其优点是考虑到了不同主体、不同领域对个人信息处理的差异性，通过个别立法为信息保护和信息处理提供了更多元的保障；但缺点却是立法“支离破碎”，信息保护的标准繁多复杂，甚至相互冲突，不仅信息保护的立法成本和立法难度因此提高，个人信息也无法获得有序高效的保障。

我国也是考虑到在信息保护问题上既应规范国家，又应规范民事主体，且应在信息保护领域提供统一的保护标准和普遍性的行为规则，才决定釆用统一立法模式，将专门的《个人信息保护法》的立法首先列入立法计划。但因为理论储备不足，实务经验匮乏，统一的《个人信息保护法》迟至今日都未出台。统一立法的难度似乎提示我们：当下或许可以考虑在特别必要的部门，或是特别必要的领域首先进行单独立法，累积了一定经验后，再制定统一的《个人信息保护法》，规范所有的个人数据处理者都需遵守的普遍性规则。概言之，从局部的分散到统一，或许是缓解立法困难、推动立法早日出台的稳妥路径。事实上，由于全国性的个人信息保护立法迟迟未能出台，一些地方已经开始尝试制定地方性的法律规范，例如，深圳市就已经开始积极筹措颁行保护个人信息的地方性法规。这在某种程度上也证明，从分散到统一似乎也能够成为我国在信息保护领域的立法路径。

(二)《个人信息保护法》的基本定位：公法保护还是民法保护？

导致《个人信息保护法》迟迟不能出台的另一原因在于，我国学者对于个人信息保护的重心究竟应是行政法保护还是民法保护，同样存在严重分歧。统一的《个人信息保护法》会横跨公、私法两大领域，这一点是不争的事实。但其重心应放在行政法保护上还是民法保护上，又会在相当程度上决定了个人信息的保护模式以及政府和个人的责任分配。

目前已提交国务院审议的《个人信息保护法(专家建议稿)》由中国社会科学院周汉华教授牵头，而其作为公法教授的背景，也使专家建议稿更倾向于对个人信息主要提供行政法保护。周汉华教授自已也认为，“公民的信息权是一项宪法权利，而不是民事权利”[46]。对信息权的属性界定，当然决定了于个人信息的保护模式。如果肯定信息权是宪法权利，那么个人信息保护法当然主要涉及公法问题，其保护方式也主要表现为行政规制。对于这一点，有学者作了更详尽的说明，“在本质上说，个人信息保护制度是有关个人信息的管理法，或有关个人信息处理者的管理法，是通过行政许可、行政处罚等确保只有合格的个人信息处理者进行收集、处理、利用、传递个人信息，并督促个人信息处理者合法且妥当地处理个人信息”[47]。

事实上，以欧盟为代表的个人信息保护体现的正是行政法保护模式。这种保护模式的特点在于以下两个方面：其一，独立的个人数据保护机构作为数据保护的执行机关。欧盟在1995年指令中，就要求各成员国应当确定一个或是多个公共机构负责个人数据保护的执行，这些机构行使职权时完全独立，并应配备调查权、有效干预权和参加诉讼的能力。其二，对信息处理的主要规制方式为“申报”(notification)制度。申报制度是欧盟信息保护立法框架的核心。在1995年的指令中，欧盟要求各成员国应当规定，在实施任何意图满足某一目的或是若干相关目的的全部或部分自动化数据处理操作或成套此类操作之前，数据处理控制人或其代表，都必须向本国的数据保护机构申报。申报的内容包括：数据处理控制人和其代表的姓名、地址，数据处理的目的、对数据主体种类以及与其相关的数据或数据种类的描述、数据接收者或接受者的类型、将向第三国传输数据等。申报登记制度一直被认为是欧盟加强个人数据管理的核心手段，而上述两个方面的规定也使欧盟的管理模式带有强烈的“公法色彩”。欧盟的“公法保护”模式为我国已提交审议的《个人信息保护法(专家建议稿)》所完全吸纳。这份建议稿中不仅主张各级政府设立或是确认专门的信息资源主管部门来负责数据工作，同样引入了欧盟的申报制度，要求“其他个人信息处理者在开始进行个人信息收集之前，必须向政府信息资源主管部门进行登记。以个人信息处理为主要业务或通过个人信息处理营利的公民、法人或其他组织，在开始进行个人信息收集之前，须经政府信息资源主管部门行政许可”[48]。

但也正是这种强化行政监管的做法遭致很多民法学者反对，他们认为对于信息保护不应以公法保护，而应以民法保护为主。其支持理由首先在于，即使是欧盟的申报制度已经遭遇诸多批评，因为“普遍而复杂的登记申报劳民伤财，不仅加重了个人数据处理者的负担，对欧盟公司的正常经营造成了不良影响，而且也造成了数据泄露的额外途径”[49]。反对借鉴欧盟模式的学者将对个人信息的公法保护机制评价为，“反映了依赖管理的国家主义视角……”[50]他们认为“个人数据保护法的主体应是民商法”，而个人数据保护法也“不应被塑造为个人数据处理的管理法，而应当是个人数据处理的权利法、交易法，属于民商法范畴”[51]。在这种私法保护模式下，个人信息保护法应包含的制度规则也应与欧盟法和德国法迥然不同：首先，个人信息保护法应主要是任意性而非强制性规则。该法应首先确认个人对信息的权利，但在绝大多数情况下，个人可选择放弃其信息权，只有在当事人之间对于信息处理没有约定时，信息保护法的规则才能予以适用。其次，个人信息保护法调整的主要是个人数据主体与个人数据处理者之间围绕个人数据处理而产生的民事权利义务关系。尽管个人数据处理者除民事处理者之外，还包含政府机构，但政府机构应准用与民事主体同样的规则。最后，个人信息保护法主要依靠民事救济机制实现，行政手段和刑罚处罚都只是补充。[52]

事实上，上述反对意见更多地是受美国模式的影响。美国没有类似于德国专门的《个人信息保护法》，未设专门的个人信息保护机构，没有申报登记程序，对违反个人信息保护的行为也主要依赖民事诉讼解决。相比之下，欧盟国家将信息保护视为公法范畴，美国的路径则建立在“私权和自由主义管理的原则基础之上”[53]。在美国，信息权并未被确认为普遍性的人权，美国法也认为对于个人信息的保护，只有在存在不能避免的风险，且市场的确无法自我纠正时，国家才有介入的权力。[54]此外，美国在信息保护领域“轻管制”的特点，还尤其体现于对“行业自律”的倚重上。对于那些未被单项信息保护立法涉及的行业、组织，美国一般采取行业自律的方式，即通过自我约束来达到对个人信息的保护；美国法也确信，“从事个人数据处理的行业本身有足够的能力和动力来加强个人数据保护”[55]，“如果过度限制数据采集和传播，将会抑制经济活动”[56]，企业因此被赋予相当的自主权，可自主采取个人数据保护措施。

然而，主张私法保护的学者显然忽略了如下问题：首先，主张个人信息保护的主体是公法保护，并非要强化政府在此领域的管制，弱化信息的自由流通。事实上，欧盟国家之所以强调个人信息保护的公法属性，原因就在于相对于私人机构，政府机构才是数据处理的“老大哥”，是可能侵犯公民信息自决的最大危险。也正因如此，欧盟国家的信息保护立法都首先从规范和限制政府搜集和使用数据开始，之后才将规范对象慢慢拓展至私人机构。以德国法为例，即使信息保护法同时覆盖政府和私人机构，但政府和私人机构在信息处理方面适用的规则也不尽相同。[57]这种区别处理并非是给予政府优待，相反是对政府的信息处理行为施加了相较于私人更为严格的管制。[58]鉴于我国对个人信息公法保护的制度阙如，如果未来的《个人信息保护法》被定位为民法，政府会因此仍旧游离于法律的约束和控制之外，个人信息保护的系统规制也会因此凸显重大缺失。其次，主张私法保护的学者虽然也认为信息自决权是“一般人格权”的延伸，但却将作为信息自决权基础的宪法“人格权”错误地与民法上的“一般人格权”混同，因此得出信息自决权作为民事权利的一种，应主要由民法保护的结论。事实上，信息自决权从肇始之初就被定位为宪法基本权，其功能主要用以对抗国家的不当干预，尽管宪法基本权的实现也要依赖于民事立法，但这并不意味着其主要通过民事立法来实现。最后，对行政申报、许可和登记制度的反对也无法成为反对使用公法手段进行个人信息保护的合理理由。如果说僵化严苛的许可和申报可能会阻滞信息的自由流通，那么未来在具体管制模式的选择上也可进行宽严有别的多样化和差异性处理。以欧盟各成员国为例，尽管它们依照欧盟指令均已规定了相应的申报程序和审查程序，但具体的实施方法却差别很大。德国就用企业隐私管来替代强制登记制度，而且还规定了种种豁免。而现代公法也已发展出了诸多更柔软、更多元的规制方式，“公私合作”“公私协力”也已成为现代公法的流行趋势，这些方式都可灵活运用于信息保护领域。相反，美国在信息保护领域的“轻管制”模式也在相当程度上依赖于其成熟的市场机制以及在此机制下培育出的自律的市场主体；这也使美国经验带有较强的地域性，因此，其是否能为我国借鉴仍需仔细斟酌。

综上，为遏制国家对于个人信息的滥用以及防堵监控国家的出现，未来的《个人信息保护法》绝不应仅被定位为处理数据拥有者与数据使用者的民事法律规范。尽管在立法模式上，我国或许同样可效仿欧盟和德国的立法模式，对国家机关和民事主体收集、储存、处理和利用个人信息的法律规则予以统一规范，但国家责任和行政义务仍旧应成为这部立法的核心内容。

(三)在个人信息保护中实现利益：平衡髙标准还是低要求？

个人信息保护的目的在于实现信息主体对于个人信息的控制，但值得注意的是，我们已生活在信息化时代之下，如果对于个人信息实施过度的控制，势必会限制个人数据的自由流转，放弃信息技术为经济和个人发展所带来的福利。正因如此，才有学者论断说，“个人数据保护法的成功，取决于在数据保护与数据流动这两种利益之间如何实现恰当平衡”[59]。

然而，“恰当平衡”只是法律人的一种美好构想。从各国的实践来看，在信息保护立法中，无一不是根据本国特点，或是更偏重于信息保护，或是更强调信息流通，而这两种趋向同样以欧盟和美国为代表。从趋向的价值来看，“欧盟对于个人信息权利的保护更严格，而美国则对数据的自由流动更关切”[60]。欧盟将个人信息自决确认为一种宪法权利，因此给予最高强度的保障，即使政府基于国家安全、国防防务以及犯罪追究的原因，也不能当然地违反个人信息保护原则。而美国即使同样主张尊重个人隐私、提倡数据保护，但却并未因此牺牲信息经济和信息技术所带来的利益。实践中，为了“反恐”、新闻自由，甚至商业效率，个人数据保护规则在美国可以被轻易突破。此外，对大多数企业而言，美国法均未施以信息保护的限制，而是高度倚重行业自律。从这个意义上说，欧盟对于个人信息保护采取的是“高标准”，而美国显然是“低要求”。

上述高标准和低要求同样呈现出明显的优缺点。欧盟模式尽管对公民的信息自决予以高度保障，却造成高昂的数据保护成本，同时也严重限制了信息的流通。有学者因此批评说，“欧盟高估了信息技术带来的潜在隐私风险，却又低估了信息技术给个人带来的福利”，有学者甚至断言，“欧洲的数据保护法正处于与全球网络商务的现实相脱节的危险之中”[61]。而美国模式虽然有助于信息流通，却在很多时候都凸显个人信息保护的严重不足。

鉴于欧盟的高标准和美国的低要求各自突出的优点和劣势，我国学者基本都建议未来的《个人信息保护法》的保护标准应“取法其中”，在欧盟和美国之间取“中间数”；简言之，就是比美国严、比欧盟宽。[62]但具体如何操作才能兼收两者的优点，又避免两者的缺陷，目前的研究仍旧略显粗放。事实上，究竟采高标准还是取低要求，与一国既往的信息保护水平、信息技术的发展、政府与企业和自律能力、行业的管制标准等诸项因素密切相关。因此，我国究竟应如何确定最终的标准，还需对相关因素进行系统评估后稳妥安排。在既有研究中，也有学者粗略地指出了未来确定保护标准时应予考虑的因素：例如，是否对公共机构和商业机构在数据保护方面进行区别对待？是否应对政府进行严格约束，但对商业机构则降低标准，强化行业自律？在对商业机构进行约束时，是否同样应考虑信息技术的经济利益，避免对信息产业造成严重冲击？[63]上述因素都值得我们在最终确定信息保护标准时认真思考，并在妥善筹划的基础上尽可能地对信息保护和信息流通进行利益平衡。

结论

信息自决权的实质在于信息主体自由地决定其个人信息何时、何地、以何种方式被收集、储存、处理以及利用。这一权利经由德国联邦宪法法院所提出，迄今已成为德国法关于个人信息公法保护制度的理论基础。信息自决权概念的提出与个人信息的公法保护，都在于防堵和避免信息化时代下“监控国家”的可能与风险，而这一点对于我国同样重要。为保障个人在数据化时代下的完整人格，防止国家藉由信息技术对私人领域的侵扰和挤压，我们同样须在私法保护之外，重视和纳入对个人信息的公法保护。也正是在这个意义上，德国经验对我们系统构建个人信息公法保护制度带来有益启示。这些经验同样为我们未来《个人信息保护法》的制定提供多样化参考。