俄罗斯关于个人资料保护的立法与处理(2)

三、俄罗斯法上个人资料处理的原则、条件与分类

　　(一) 个人资料处理的原则

　　根据俄罗斯个资法第5条规定, 个人资料处理有七项原则。

　　第一, 合法与公平原则, 即“个人资料处理应当在合法和公平的基础上进行”。

　　第二, 目的限制原则, 即“个人资料处理应当仅限于为达致具体的事先确定的合法目的。不允许与个人资料收集目的不相容的个人资料处理”。也就是说, 个人资料的处理目的必须具备具体性、事先确定性和合法性三项特征, 同时, 禁止违背个人资料收集目的的个人资料处理行为。

　　第三, 禁止数据库混合原则, 也就是“不允许将包含个人资料的为相互不相容目的而进行个人资料处理的数据库混合”。

　　第四, 只能处理符合处理目的之数据原则, 即“只有符合处理目的的个人资料才应当被处理”。

　　第五, 内容和范围限制原则, 也就是“所处理的个人资料的内容和范围应当符合所提出的处理目的。所处理的个人资料相对于所提出的处理目的不应当为多余的”。

　　第六, 资料质素原则, 即“在处理个人资料时应当保障个人资料的准确性、完整性, 而在必要的情况下还应当保障对个人资料处理目的而言的时效性。处理人应当采取必要措施保障对不完整或不准确的资料进行删除或者更正”, 意味着要求个人资料要具备准确性和完整性两个一般要求, 在特定情况下, 还要具备个人资料的时效性的特殊要求。这一点对删除权的存在和行使具有极为重要的意义, 而且在这里不是规定个人资料主体的权利, 而是规定处理人的基本义务。

　　第七, 禁止永久保存原则, 即“个人资料的保存应当以可以确定个人资料主体的形式进行, 不得超过个人资料处理目的所要求的时限, 但联邦法律、个人资料主体作为合同受益人或者保证人的合同有不同规定的除外。所处理的个人资料在处理目的达成或者在达成此类目的之必要性丧失时, 应当删除或匿名化, 但联邦法律有不同规定的除外”。一方面是关于保存时限的一般性规定, 即不得超过个人资料处理目的所要求的期限, 在这方面允许当事人可以合同规定不同期限;另一方面是在目的达成或者目的达成必要性丧失时的强制性删除或者匿名化要求, 只有联邦法律 (排除俄罗斯联邦主体的立法) 才可规定例外。

　　(二) 个人资料处理的条件

　　个人资料处理的条件, 是指在遵守前述规定的原则和规则的前提下在哪些情况下允许对个人资料进行处理。俄罗斯个资法第6条第1款规定了12种情形: (1) 经个人资料主体同意而进行的个人资料的处理; (2) 为达致俄罗斯联邦国际条约或法律规定的目的, 为履行和完成俄罗斯联邦立法赋予处理人的职能、权限和义务所必要的个人资料的处理; (3) 由于个人参加宪法诉讼、民事诉讼、行政诉讼、刑事诉讼、仲裁诉讼而进行的个人资料的处理; (4) 为履行司法文书所必要的个人资料的处理, 即为履行司法文书、其他机关或负责人的依照俄罗斯联邦强制执行立法应当履行的文书而进行的个人资料的处理; (5) 为履行联邦执行权力机关、国家非预算基金机关、俄罗斯联邦主体执行权力机关、地方自治机关的权限, 以及参与提供相应国家服务和自治市服务的组织的职能所必要的个人资料的处理; (6) 为履行个人资料主体作为受益人或保证人的合同, 为缔结按照个人资料主体提议的合同或个人资料主体将作为受益人或保证人的合同所必要的个人资料的处理; (7) 如果不可能取得个人资料主体的同意, 为保护其生命、健康或其他重大生存利益 (иныежизненноважныеинтересы) 所必要的个人资料的处理; (8) 为处理人或第三人行使权利和合法利益, 以及为达致重大社会目的所必要的个人资料的处理, 其条件是在此情况下不得侵犯个人资料主体的权利和自由; (9) 为记者从事职业活动和 (或) 大众信息传媒从事合法活动, 以及为科学、文学或创作活动所必要的个人资料的处理, 其条件是在此情况下不得侵犯个人资料主体的权利和合法利益; (10) 为统计或其他研究性目的进行的个人资料的处理, 其条件是必须将个人资料做匿名化处理; (11) 对个人资料主体提供或按照其要求提供给不限定范围的人获取的个人资料 (也就是个人资料主体使之成为可以公开获取的个人资料) 的处理; (12) 对依照联邦法律应当公布或强制披露的个人资料的处理。

　　在个人资料处理问题上, 还有一些特别的要求, 如对国家保护对象及其家庭成员的个人资料的处理要考虑相应特别立法的规定, 对特种个人资料和生物个人资料规定了专门条款。

　　处理人除了亲自处理个人资料外, 在联邦法律没有不同规定的情况下, 还允许经个人资料主体同意依据与他人缔结的合同委托他人处理, 包括国家订货契约或自治市订货契约, 以及通过国家机关或自治市机关作出相应的文件而委托他人处理。依照处理人的委托从事个人资料处理的人, 有义务遵循个资法规定的个人资料处理原则和规则。在处理人的委托中应当规定由实施个人资料处理的人实施的个人资料行为 (业务) 清单和处理目的, 应当规定该人对个人资料保密的义务并保障个人资料在处理中的安全, 还应当指明保护所处理的个人资料的要求 (第6条第3款) 。依据处理人的委托从事个人资料处理的人没有义务取得个人资料主体对处理其个人资料的同意 (第6条第4款) 。在处理人和受处理人委托处理个人资料的人之间, “处理人对该人的行为向个人资料主体承担责任。受处理人委托实施个人资料处理的人向处理人承担责任” (第6条第5款) , 也就是说, 受委托人仅向委托人承担责任, 而处理人 (委托人) 向个人资料主体承担责任, 而受委托人不对个人资料主体直接承担责任。

　　(三) 个人资料处理的分类

　　在俄罗斯法上, 限制获取的信息作为一项法律制度, 涵盖了包括但不限于个人资料在内的多项信息制度, 如国家秘密、职务秘密、职业秘密、商业秘密、发明的实质性信息等。

　　俄罗斯个资法对个人资料的分类包括四类:公众可获取的个人资料 (公开个人资料) 、普通个人资料、特种个人资料和生物个人资料。实际上根据是否限制对资料的获取, 只能分为两种:公开资料和限制获取的资料, 但是为了对存在特定风险的个人资料的处理更为严格和审慎, 尽可能地为个人敏感资料创造安全的环境, 俄罗斯个资法将特种个人资料和生物个人资料单独作为独立的个人资料类型予以更加严格的法律调整。无论是哪种个人资料, 在个人资料法上, 处理人和其他取得对个人资料之获取的人原则上都负有保密义务, 有义务不得向第三人披露, 也不得未经个人资料主体同意而传播个人资料, 除非联邦法律有不同规定 (第7条) 。

　　1. 公众可获取的个人资料 (公开个人资料)

　　公开个人资料 (открытаяинформация) , 也被称为公众可获取的个人资料 (Общедоступныеисточникиперсональныхданных) , 指为了保障信息目的而建立的公众可获取的个人资料来源, 包括指南、地址簿、传记、书目、电话簿、私人广告等。这是信息法上的新制度, 是为了保障信息、保障的目的而建立的制度。可以纳入公众可获取的个人资料来源的个人资料须经个人资料主体书面同意, 通常包括其姓、名、父称, 出生年份和地点, 地址, 用户号码, 职业信息以及其他由个人资料主体提供的个人资料。该制度的特点在于, 个人资料主体的信息应当在任何时候都按照个人资料主体的要求以及法院判决或其他主管国家机关的决定而从公众可获取的个人资料来源中删除。

　　2. 普通个人资料

　　普通个人资料, 实际上并没有明确列举, 也没有明确的概念。但是从俄罗斯个资法第8—11条可以看出, 在公开个人资料、特种个人资料, 以及生物个人资料之外的个人资料, 就是所谓的普通个人资料, 因为在针对这三种有特别制度规定的个人资料之外, 还规定了一般性的对个人资料处理的同意原则, 而对特种个人资料和生物个人资料在此基础上提出了更加严厉的要求。

　　对普通个人资料的处理来说, 较为重要的问题是关于个人资料主体对处理其个人资料的同意。

　　个人资料主体在同意提供和撤回问题上享有完全的自由。“个人资料主体自由地以自己的意愿为自己的利益做出提供个人资料的决定和给予处理其个人资料的同意。处理个人资料的同意应当是具体、知情和自觉的” (第9条第1款) 。处理个人资料的同意可以由个人资料主体或其代理人以任何可以证明取得同意之事实的形式提供, 在从个人资料主体代理人处取得处理个人资料之同意时, 该代理人以个人资料主体的名义给予同意的权限由处理人审查。个人资料处理的同意可以由个人资料主体撤回。在撤回的情况下, 处理人不得继续处理, 但在存在该法第6条第1款第2—11项以及第10条第2款和第11条第2款时, 允许无须个人资料主体的同意继续处理个人资料, 且可以从非为个人资料主体的人取得个人资料 (第9条第3、8款) (参看前文部分和下文部分) 。处理人承担对取得个人资料主体的同意和存在无须个人资料主体同意而处理其个人资料的理由的证明义务 (第9条第2—3款) 。

　　对于个人资料主体的同意有形式和内容上的要求。在联邦法律规定的情况下, 个人资料处理须经个人资料主体书面同意。在这里, 依照联邦电子签名法签署的电子文件形式的同意, 等同于包含个人资料主体亲笔签名的在纸质载体上的书面同意。书面同意应当包括以下内容: (1) 个人资料主体的姓、名、父称, 地址, 基本身份证明文件的编号、签发日期和签发机关信息; (2) (在从个人资料主体代理人取得同意的情况下) 个人资料主体代理人的姓、名、父称, 地址, 基本身份证明文件的编号、签发日期和签发机关信息, 授权委托书或其他证明其代理人权限的必备条件; (3) 取得个人资料主体同意的处理人的名称或姓、名、父称及地址; (4) 个人资料处理的目的; (5) 个人资料主体同意处理的个人资料清单; (6) 如果处理是委托给他人的, 依照处理人委托实施个人资料处理的人的名称或者姓、名、父称及地址; (7) 同意实施的个人资料行为的清单, 对处理人所使用的个人资料处理方式的一般描述; (8) 个人资料主体同意的有效期限及撤回的方式; (9) 个人资料主体签名 (第9条第4款) 。

　　在个人资料主体无行为能力时, 处理其个人资料的同意由其法定代理人提供;在个人资料主体死亡时, 处理其个人资料的同意由其继承人提供, 但该同意已经由个人资料主体生前提供的除外 (第9条第6—7款) 。

　　3. 特种个人资料

　　特种个人资料制度的目的主要是加强对特种个人资料 (Специальныекатегорииперсональныхданных) 的保护和明确允许处理特种个人资料的情形。

　　俄罗斯个资法将特种个人资料列入原则上禁止处理的范畴, 仅在例外的情况下才允许处理。此类特种个人资料包括涉及种族归属、民族归属、政治观点、宗教或哲学信念、健康状况、性生活的个人资料 (第10条第1款) , 以及犯罪前科 (同条第3款) 。而且, 在法律允许处理的例外情况下进行的特种个人资料处理, 在导致其进行处理的原因消除后应当立即终止, 但联邦法律有不同规定的除外 (第10条第4款) 。

　　允许处理的例外情况包括: (1) 个人资料主体书面同意处理自己的个人资料; (2) 个人资料主体使个人资料成为公众可获取资料, 其分为由于履行有关遣返的俄罗斯联邦国际条约所必要的个人资料处理与依照俄罗斯联邦全俄居民登记法进行的个人资料处理, 以及依照俄罗斯联邦国家社会救助立法、劳动立法和退休立法进行的个人资料处理三个方面; (3) 为了保护个人资料主体的生命、健康或其他重大生存利益, 以及他人的生命、健康或其他重大生存利益, 且不可能取得个人资料主体的同意; (4) 出于医学预防目的, 为进行医疗诊断、提供医疗和医疗社会服务进行的个人资料处理, 其条件是个人资料处理是由职业性从事医疗活动的人并依照俄罗斯联邦立法负有保守医生秘密的人进行; (5) 由相应依据俄罗斯联邦立法进行活动的社会团体或者宗教组织为了达致其设立文件规定的合法目的而对社会团体或者宗教组织成员个人资料的处理, 其条件是个人资料未经个人资料主体书面同意不得传播; (6) 为设立或者行使个人资料主体或第三人的权利所必要的个人资料处理, 由于进行司法审判而进行的个人资料处理亦同; (7) 依照俄罗斯联邦国防、安全、反恐、交通安全、反腐败、业务搜索活动、强制执行、刑事强制执行立法而进行的个人资料处理, 包含由检察机关为进行监察监督而对在俄罗斯联邦立法规定的情形下取得个人资料的处理; (8) 依照强制保险立法和保险立法而进行的个人资料处理; (9) 在俄罗斯联邦立法规定的情况下由国家机关、自治市机关或组织为安置无父母监护儿童在寄养家庭的教养而进行的个人资料处理; (10) 依照俄罗斯联邦国籍法而进行的个人资料处理 (第10条第2款) 。值得注意的是, 对于犯罪前科的个人资料的处理可以由国家机关或自治市机关在依照俄罗斯联邦立法赋予的权限范围内处理, 以及由他人在联邦法律规定的情形下并依照其规定的程序处理 (第10条第3款) 。

　　4. 生物个人资料

　　所谓生物个人资料 (Биометрическиеперсональныеданные) , 是指“可以据以查明人的身份的表征人的身体特征和生物特征”。在生物个人资料被处理人用以查明个人资料主体的身份时, 仅可在存在个人资料主体书面同意时方可处理 (第11条第1款) 。例外的允许无须个人资料主体同意而进行生物个人资料处理的情形为:由于履行关于遣返的俄罗斯联邦国际条约, 由于进行司法审判和执行司法文书, 以及在俄罗斯联邦国防、安全、反恐、交通安全、反腐败、业务搜索活动、国家公务、刑事执行、出入境程序、国籍立法规定的情形 (第11条第2款) 。

　　(四) 个人资料的跨境移转

　　个人资料的跨境移转是个人资料处理行为之一种, 由于其涉及个人资料主体权利国际保护问题, 因此成为个人资料法关注的基本问题。

　　俄罗斯个人资料跨境移转制度, 与欧盟关于在自动化处理个人资料时保护自然人的公约相衔接, 区分转入国是否为欧盟公约成员国, 是否能够保障有效保护个人资料主体权利的标准, 建立了一个由作为欧盟公约当事国的外国国家、能够有效保障个人资料主体权利的外国国家和不能有效保障个人资料主体权利的外国国家构成的不同层级的跨境保护机制。

　　原则上在作为欧盟公约成员国的外国国家境内以及在能够保障有效保护个人资料主体权利的外国国家境内, 可以依照俄罗斯个资法进行个人资料跨境移转, 但是该移转可以为了保护俄罗斯联邦宪政制度基础、道德、公民的健康、权利和合法利益, 保障国家防务和国家安全而予以禁止或者限制 (第12条第1款) 。

　　个人资料主体权利主管保护机关负责批准不是欧盟公约成员国, 但能够有效保障个人资料主体权利的外国国家名单。其标准为虽然该国不是欧盟公约成员国, 但是在该国有有效的法规范和所适用的个人资料安全措施符合前述公约的规定 (第12条第2款) 。可见在这里所采取的标准是以欧盟公约的保护水平和规则作为实质性标准。而且, 处理人在开始实施个人资料跨境移转之前有义务确保个人资料移入国能有效保障个人资料主体权利的保护 (同条第3款) 。

　　对于不能有效保障对个人资料主体权利保护的外国国家, 仅在以下五种情形下才允许进行个人资料的跨境转入: (1) 存在个人资料主体对其个人资料跨境转移的书面同意; (2) 俄罗斯联邦国际条约规定的情形; (3) 联邦法律规定的为保护俄罗斯联邦宪政制度基础, 保障国家防务和国家安全, 以及保障交通综合体的稳定和完全运行, 保护个人、社会和国家在交通综合体免受非法干涉领域内的利益的情形; (4) 履行个人资料主体作为当事人的合同; (5) 在无法取得个人资料主体书面同意时保护个人资料主体或他人的生命、健康、其他重大生存利益 (第12条第4款) 。