解读《个人信息保护法》的基础与体系

近日，中央财经大学法学院法治中国论坛、中财策略大数据法制公益讲座第十五期隆重举办，讲座特邀北京航空航天大学法学院院长龙卫球教授莅临分享《<个人信息保护法>的基础与体系》主题讲座。本期讲座由北京市金融服务法学研究会、中央财经大学金融服务法研究中心主办，北京策略律师事务所协办；由法学院尹飞院长致欢迎辞、邢会强教授担任主持，包括陈华彬教授、刘权副教授、武腾副教授、朱晓峰副教授及北京策略律师事务所合伙人刘卉博士在内的百余名教师、学生及实务界人士参与其中。

尹飞院长与邢会强教授

讲座伊始，龙卫球教授首先阐述了我国颁布《个人信息保护法》的时代意义，指出该法是新法时代的序章，是数字化时代重要的现实利益立法，符合新型国际立法趋势。“《个人信息保护法》是建设网络强国、维护新时代广大人民群众利益的一部基石立法，对于《网络安全法》《数据安全法》等网络信息立法做出了重要的体系完成。”随后，他总结了《个人信息保护法》立法的三个必要性：是进一步加强个人信息保护法制保障的客观要求，是维护网络空间良好生态的现实需要，是促进数字经济健康发展的重要举措。

龙教授认为《个人信息保护法》的基础可从四个方面探讨。首先，它是以保护为功能定位的新法。该法第1条开宗明义，明确把“保护”放在首位。紧接着第2条又明确宣示“自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益”，继续强化了该法作为保护法的设计要求和基本追求。

其次，《个人信息保护法》是与民刑基本法具有并行地位的新型领域基本法。“该法第1条直接标示‘根据宪法，制定本法’，这是我国现行网络法律中的唯一一部。这不仅将其设定为独立的网络信息领域的基本法，也使之成为具有与刑法、民法基本法同等地位的领域基本法。”由此，《个人信息保护法》和刑民基本法形成了一种并存交叉关系，更多地、通过相互的转介条款来进行指引或衔接。

再者，《个人信息保护法》是行为规范和技术规范并重的法，它不仅规范个人信息处理活动中的行为，也在相当范围规范相关技术活动，发挥着技术监管和规训作用。具体包括《个人信息保护法》第24、26、61、66条等。“这背后的原因在于，个人信息保护问题本质上是智能新技术发展和应用的负效应的一部分，基于标本兼治的需要，必须将行为治理与科技治理结合。”龙教授这样解释到。

最后，《个人信息保护法》还是数据主权法，是秉持数据主权和国际竞争意识的新法。这鲜明地表现为总则部分的“长臂管辖”制度以及跨境个人处理的双重保护规则。这些行为规范和监管规则反映了个人信息保护置身数据主权和数字经济国际化的复杂矛盾，兼具了保护个人信息和维护数据主权与竞争的规范复杂性。

对于《个人信息保护法》的体系，龙教授认为其遵循的基本逻辑是作为与个人信息活动特点相适应的保护法的体系而展开的，具体体现为“处理行为规范+自然人关于个人信息的权利+个人信息处理者的义务+管理保护规范+特殊法律责任”的五位一体的综合治理。他指出，这一基本逻辑经历了一定的历史进程。“早期以权利规定为本位，重点提倡权利人自主行权，以事后侵权责任的救济为主要保护的自主管理模式经实践证明是失灵的，难以达到法律设立的预期。”因此，《个人信息保护法》做出了有针对性的改进。

一方面，该法完善了自主管理的基础，引入了更加完备、细化的可操作的处理行为规范；另一方面，以保护为目的，引入了必要的外力威压。由此，《个人信息保护法》最终体现为一种以综合保护为特点的新型法律体系。

明确《个人信息保护法》体系展开的基本逻辑之后，龙教授继续分享了体系中两个非常重要的关联内容。《个人信息保护法》构成了对民法典的重要修补。具体表现为：对个人信息概念进行了修补、将删除明确纳入到个人信息处理的范围；确认和完善《民法典》已经规定的有关个人信息的权利的同时，增加了大量的权利项；此外还对个人信息处理者的义务进行了修补和增加，既有私法义务规范，更有《民法典》所未有的管理义务规范，既囊括了非基于公共职能的个人信息处理者的义务，也包含了政府机关等承担公共职能的机构及其工作人员的义务，形成了一个处理场景和安全风险密切结合的多组不同性质义务配合的体系。

其次，《个人信息保护法》建立强化了治理保护的新机制。主要包括确立了有强度的积极管理制度和特殊法律责任，分别对应该法的第六章和第七章。但他也特别提及，“我国并不建立新的个人信息保护专门管理机构，而是采取了对现有管理主体赋权管理方式，这样地权力相当于准司法权或执法权，对此应予以一定的节制。”特殊法律责任方面，他认为第66条最为重要，规定了一种新型治理式的行政责任，体现出与传统行政责任不同的特点。

分享的最后，龙卫球教授围绕整场讲座内容，提出了正确把握《个人信息保护法》的结论，即把握好四个基础，全面认识该法的定位、价值和体系适用关系；把握好保护内部体系的整体与局部的关系；把握好管理部门之间的分工和协同的关系；把握好特殊法律责任的适用条件和处罚程序；把握好境外处理活动的管辖和个人信息跨境管理。

在评议环节，陈华彬教授提出了关于《个人信息保护法》与《民法典》关系的不同看法。刘权副教授结合自身的研究心得，认为龙教授对《个人信息保护法》的基本定位有益且灵活，他指出相比于《民法典》，《个人信息保护法》以一种积极治理的姿态出现，依托规则优势形成了许多治理的新机制，但这其中也存在一些值得探讨的问题，如当前统筹协调和分工负责的机制就可能会衍生传统的多头管理、多头执法问题。武腾副教授认同主讲人龙教授分享中的启发性，鼓励与会者们超越传统部门法思维对个人信息保护法做一个全面的把握与理解。

提问环节中，与会者就《个人信息保护法》中的科技治理与科技创新之间的关系进行发问，龙卫球教授回应认为，第一代的科技法主要是一种市场科技法，即把市科技发明转变为权利。然而随着对科技创新的鼓励，日新月异的科技带来的风险已经到了必须治理的地步，而个人信息保护法本身就是风险法的一小部分，规制适度、科技向善与科技的发展应协调共存。主持人邢会强教授则提问了关于数据权属和数据用益权的问题，龙教授表示这一问题非常前沿且极具争议性，他介绍了当前将数据分为个人衍生数据、企业收集的公共数据、企业自有数据、增值数据集四种类型的基本思路，比对了通过物权、知识产权路径解决这一问题的方案，以宏阔视野极大启发了现场听众。