內(nèi)容提要：在刑事訴訟中，個人信息權不符合以正當程序權為核心的刑事訴訟人權特征，其所涵蓋的被遺忘權、數(shù)據(jù)訪問權亦不具有獨立的訴訟權利屬性。個人信息的獨立權利論缺乏正當性根據(jù)，不宜作為刑事訴訟中個人信息的保護模式?；谛淌略V訟利益衡量的特殊性和刑事訴訟人權的個體性與消極性，刑事訴訟中個人信息保護應針對的是集合性一般信息向私密性敏感信息的轉(zhuǎn)化風險，具體表現(xiàn)為個人信息不受過度收集的權利。相應地，個人信息保護也應通過對信息性隱私權的概念解讀進入刑事訴訟視野，即采取依附型保護模式。對此，應通過適度引入個人信息保護的基礎原則和限制概括性取證來應對新興權利訴求對刑事司法制度的沖擊與挑戰(zhàn)。
關鍵詞：個人信息 基本權利 《個人信息保護法》 依附型保護
一、問題的提出
近年來，個人信息保護或許是最具爭議性的法學研究議題與最具復雜性的司法實踐難題。一方面，基于數(shù)據(jù)跨境流通的利益考量，世界各國均對個人信息的法律保護問題進行了深入的理論探討與立法研究，數(shù)據(jù)立法的普遍化和域外適用擴張現(xiàn)象凸顯，這也引發(fā)了國內(nèi)學者對于個人信息保護的持續(xù)關注。另一方面，最初在私法領域誕生的個人信息保護問題逐漸開始向諸如刑法、行政法等公法領域擴張，個人信息保護大有成為“領域法學”的發(fā)展趨勢。2021年11月1日起《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)開始實施，該法第1條明確規(guī)定：“為了保護個人信息權益，規(guī)范個人信息處理活動，促進個人信息合理利用，根據(jù)憲法，制定本法。”因此，如何根據(jù)個人信息保護的發(fā)展趨勢，構建出一套保障數(shù)據(jù)權利、促進數(shù)據(jù)流通的法律制度框架，成為當前理論研究和司法實踐迫切需要解決的難題。
“我國似乎已經(jīng)初步建立起法律法規(guī)、行業(yè)規(guī)范、技術標準為一體的多層次、綜合性個人信息保護制度框架”。但與民商法領域?qū)€人信息的私法保護、行政法領域?qū)φ姓袨榈募s束相比，“基于國家安全、社會安全等例外事由遮蔽下的刑事司法、執(zhí)法領域的個人信息保護已經(jīng)成為個人信息保護整體制度的短板”。雖然國家安全與個人權利存在利益性質(zhì)和價值位階上的差別，但刑事司法并非以保障國家安全為唯一的價值追求，安全與權利的矛盾沖突也絕非司法常態(tài)。若從追訴犯罪的公共利益與保障公民權利的矛盾沖突視角來看，刑事司法也不應是個人信息保護的制度禁區(qū)。我國個人信息保護的立法也并未排斥國家機關的個人信息處理行為。《個人信息保護法》第33條規(guī)定：“國家機關處理個人信息的活動，適用本法；本節(jié)有特別規(guī)定的，適用本節(jié)規(guī)定。”公安司法機關作為國家機關自然也應遵循《個人信息保護法》的基本原則和特殊規(guī)則。刑事訴訟應如何保護個人信息就是本文研究的重點問題。
盡管加強對個人信息的法律保護已經(jīng)成為學界的共識，但對于刑事訴訟而言，仍然面臨著什么是個人信息保護的權利基礎以及應通過何種方式予以保護等基礎理論爭議。這不僅關乎個人信息在刑事訴訟中的性質(zhì)定位問題，也決定了刑事訴訟應采取何種形式和在何種程度上保護個人信息。上述爭議可以表現(xiàn)為以下四個問題：私法上區(qū)分個人信息與隱私的現(xiàn)實考量和理論意義是否可以直接適用于規(guī)范國家公權力的刑事司法領域？若在刑事訴訟中引入個人信息權，其是否應屬于獨立的訴訟人權或訴訟權利？個人信息能否作為隱私權的組成部分納入“傳統(tǒng)人權保障”的輻射范圍？刑事訴訟應如何處理信息化時代背景下“新興權利”的保護訴求？對這些問題的回答需要以刑事訴訟中個人信息保護的特殊性為前提，以個人信息保護的權屬論為基礎，以具體的制度設計為解決方案。
圍繞上述問題，本文第二部分將總結個人信息保護的利益衡量要素以及刑事司法活動的特殊性，即刑事訴訟中個人信息保護的利益論。第三部分將總結目前學界提出的將個人信息作為刑事訴訟中獨立權利的觀點，并反思獨立權利論存在的問題，即刑事訴訟中個人信息保護的權屬論。第四部分將提出我國刑事訴訟應如何保護個人信息的解決方案，即刑事訴訟中個人信息保護的制度論。
二、刑事訴訟中個人信息保護的利益衡量
個人信息保護逐漸從私法領域向公法領域擴張，成為一個橫跨公私法領域的研究問題。目前學者提出的綜合保護或公私保護理念回答了個人信息在整體法律制度中應通過何種路徑予以保護的問題，體現(xiàn)了個人信息的多元法益基礎，也成為建立激勵相容型個人信息保護法的理由所在。因此，個人信息保護背后必然面臨著多種利益的博弈與衡量。然而，復雜的利益格局無法掩蓋不同部門法中個人信息保護的特殊性，即應區(qū)分專門法中的個人信息保護和部門法中的個人信息保護，遵循“統(tǒng)一立法、分類保護”的思路。對于個人信息保護而言，無論是公法還是私法均是處理不同主體的利益訴求與利益沖突。因此，如何看待利益衡量問題對于探討刑事訴訟中個人信息保護的特殊性具有重要意義。
(一)個人信息保護中的利益衡量問題
個人信息的含義根據(jù)討論背景和語境的不同有所差異，這決定了在不同部門法領域中個人信息的利益衡量要素和判斷標準也存在本質(zhì)區(qū)別。在私法領域中，個人信息保護先后面臨著如何區(qū)分隱私與個人信息以及個人信息是權利還是權益的兩大爭議。目前學界關于前者的認識基本達成一致，即個人信息與隱私權和而不同，“隱私權是信息能力平等的主體間的交往行為。個人信息保護為信息處理者對個人信息的處理行為”。后者的爭論則仍在繼續(xù)。若主張個人信息屬于具體的人格權，那么個人信息權就屬于自主控制型權利，也就具有了具體人格權的支配性和排他性。此時，個人信息保護的利益衡量問題就轉(zhuǎn)化為信息主體享有的人格尊嚴和自由利益與其他自然人主體言論自由利益、法人或其他組織經(jīng)濟利益之間的協(xié)調(diào)問題，利益衡量的判斷標準也應以保障、尊重民事權利為重點。若主張個人信息屬于受法律保護的一般人格權利益，則否定了個人信息權的支配性與排他性。此時，私法領域的個人信息保護主要依靠的是侵權法救濟。“換言之，只要個人信息的利用行為不侵害主體的合法利益，信息控制者的利用行為就具有了合法性。”
但無論是區(qū)分隱私保護與個人信息保護還是對個人信息法律性質(zhì)的討論，若僅限于民商法領域的話，個人信息保護與利用均屬于平等民事主體之間的利益沖突問題，既無法針對具有持續(xù)性不平等信息收集能力的主體，也不涉及民事主體利益在面對國家安全、追訴犯罪以及社會管理等高位階利益時的妥協(xié)與讓步。國家機關也并未直接以利益主體的身份介入信息主體與義務主體之間的利益衡量之中，而是作為中立的第三方以立法規(guī)范或司法裁判指引的方式對上述利益沖突進行協(xié)調(diào)。
僅從私法領域來看，個人信息保護中對抗的是平等民事主體，通常是以停止侵害、排除妨礙、消除危險、賠償損失等民事責任作為制裁救濟手段。然而，個人信息蘊含的公共管理價值促使國家也成為個人信息的收集、使用主體。由此自然催生出公法介入個人信息保護的現(xiàn)實需求。在公法領域中，個人信息的意思自治性和主體平等性等個體價值被縮限，交互性、分享性等公共價值被放大，形成了“個人信息受保護權—國家保護義務”的理論分析框架。其中，個人信息受保護權的防御權功能對應著國家消極義務，即嚴格限定基于公共利益需要收集和使用個人信息的范圍。個人信息受保護權的客觀法功能對應著國家積極義務，即國家必須創(chuàng)造和維護有利于實現(xiàn)個人信息保護的制度環(huán)境。因此，在公法領域的利益衡量中，個人信息保護面對的是公共利益。此時，國家機關可能身兼?zhèn)€人信息的侵權方和個人信息保護的制度建設者兩種身份，兩種身份的協(xié)調(diào)則有賴于國家保護義務的落實。正因如此，我國憲法學者主張在基本權利層面上，“個人信息保護法律體系是以作為憲法基本權利的個人信息受保護權為概念基礎”。
由此可見，雖然個人信息保護涉及國家、企業(yè)和個人三者的關系，但私法保護僅是平等民事主體的利益衡量問題，公法保護則可以協(xié)調(diào)個人信息受保護權和國家保護義務之間的利益沖突，從而與私法保護互為補充。根據(jù)行為性質(zhì)以及法律調(diào)整關系的不同，兩者討論的利益衡量也存在衡量對象、衡量標準上的差異。對于刑事訴訟而言，如何在公法和程序法的雙重定位下實現(xiàn)對個人信息的保護，顯然與上述民商事領域討論并無直接關系，基于社會管理目的產(chǎn)生的公共利益與基于追訴犯罪目的產(chǎn)生的公共利益也存在本質(zhì)區(qū)別，有必要單獨予以論述。
(二)刑事訴訟中個人信息保護的特殊性
刑事訴訟中個人信息保護的特殊性應為“合理限制性”而非“完全排除性”。一方面，刑事司法同樣面對著平衡保護個人信息和利用個人信息的基本矛盾，即個人信息保護的利益衡量問題。另一方面，刑事司法對個人信息保護也具有特殊性，主要表現(xiàn)在利益衡量中利益形態(tài)和利益選擇的特殊性。
在傳統(tǒng)理論研究中，刑事訴訟中的利益往往被分為國家及社會利益、某一社會方面的總體利益和個別利益。“當不同利益發(fā)生沖突應予以權衡時，應以權衡的結果是否利于國家及社會的根本利益作為選擇的標準。”然而，只有將不同性質(zhì)的利益置于同一層次上才具備選擇的基本前提，上述分類方式和權衡標準僅體現(xiàn)了刑事訴訟中不同利益之間的服從關系，而非利益選擇。對此，有學者提出了國家和社會利益、犯罪嫌疑人和被告人利益以及被害人利益的劃分方式，并指出立法者在進行利益選擇時，并不總是完全保護一種利益而放棄另一種利益，而是將對立著的兩種利益都進行適當?shù)囊种?，使得利益選擇達到一種動態(tài)的均衡。
在個人信息保護的問題上，以往許多國家的個人信息保護法均將國家安全作為一項常見的適用例外加以排除，以保證執(zhí)法機關的執(zhí)法活動不受外界的干預和影響。但隨著個人信息與公民生活的聯(lián)系日益緊密，國家安全或追訴犯罪需要與個人信息保護的利益服從關系也并非絕對，如近年來各國刑事判決中頻繁引用的馬賽克理論(mosaic theory)認為：“個人信息如同馬賽克拼圖一般，乍看微不足道、瑣碎的圖案，拼聚一起呈現(xiàn)一個寬廣、全面的圖像。個人對于零碎的信息或許主觀上并沒有隱私權遭受侵害之感受，但大量信息累積仍會對個人隱私權產(chǎn)生嚴重危害。”在刑事司法中，個人信息與隱私之間的界限愈發(fā)模糊。與此同時，追訴犯罪背后的公共利益具有緊急性和重要性，這又使刑事訴訟中的個人信息保護應不同于民商法或行政法領域的個人信息保護。因此，刑事訴訟中個人信息保護的特殊性應從“完全排除”的例外性走向“合理限制”的層次性。
首先，刑事訴訟對個人信息的保護主體應區(qū)分犯罪嫌疑人、被告人和其他訴訟參與人。從權力關系來看，雖然犯罪嫌疑人、被告人與其他訴訟參與人均有配合刑事司法機關的義務，但兩者義務的表現(xiàn)形式并不相同。犯罪嫌疑人、被告人的配合義務在于刑事司法機關可以基于正當目的對其享有的基本權利進行限制，此時犯罪嫌疑人、被告人與刑事司法機關呈現(xiàn)出“權利克減”關系。“其他訴訟參與人與刑事司法機關或表現(xiàn)為一種委托代理關系，即國家追訴犯罪的一切權力來自公民與政府之間的契約或委托”；或者表現(xiàn)為公民對國家的協(xié)助義務和可豁免權利，如刑事訴訟中的證人作證義務和作證豁免權。因此，當其他訴訟參與人的個人信息利益與公共利益產(chǎn)生沖突，如被害人應如實向公安司法機關陳述案件事實、接受公安司法機關對其進行的人身檢查以及審判公開、出庭作證對證人、被害人個人信息的披露以及隨之而來的“二次傷害”風險等時，刑事司法機關超越“配合目的”收集、公布其他訴訟參與人個人信息的行為不符合“必要性”要求。
其次，刑事訴訟中犯罪嫌疑人、被告人的個人信息保護存在基本權利和公共利益兩種屬性。在刑事訴訟的利益衡量中，公共利益與基本權利成為利益衡量的典型對象。因此，刑事訴訟中犯罪嫌疑人、被告人的個人信息保護是指當刑事司法機關基于追訴犯罪的目的收集個人信息時，其行為的正當性取決于公共利益和基本權利衡量后的結果是否適當和行為的實施過程是否正當，即結果的適當性和過程的正當性。具體而言，刑事訴訟中犯罪嫌疑人、被告人享有的權利分為由憲法規(guī)定的權利和基于防御追訴權的權利。前者與公共利益屬于異質(zhì)利益衡量，無法從單純從結果上得出利益衡量是否妥當?shù)慕Y論，刑事司法機關對于消極性權利應履行消極性義務。后者在于維護國家承諾的法治秩序與正當程序，有著為履行社會任務和實現(xiàn)公共價值而存在的必要。該權利與公共利益屬于同質(zhì)利益衡量，基于追訴犯罪目而衍生出的公共利益對其具有優(yōu)位性，刑事司法機關對于積極性權利應提供必要的程序保障。
最后，刑事訴訟中個人信息保護的利益衡量調(diào)整的是基于追訴犯罪目的的國家公權力與刑事訴訟當事人個人利益之間的矛盾沖突。因此，一方面，偵查人員基于預防犯罪目的或社會管理目的收集個人信息的行為，如設立大規(guī)模的公共視頻監(jiān)控、警務系統(tǒng)對個人信息的登記、儲存等警務信息管理和預測警務行為均不屬于刑事訴訟的調(diào)整范圍而應歸為警察行政法。對于上述個人信息，刑事司法機關主要是通過“調(diào)取”來進行二次收集、使用。因此，規(guī)制的重點在于“二次收集、使用”的調(diào)取行為，而非基于行政管理目的的收集、儲存行為。另一方面，刑事司法機關因信息管理系統(tǒng)存在漏洞造成大量個人信息不當泄露的行為也不屬于刑事訴訟中個人信息的保護問題，而是刑事司法機關作為個人信息保護的行政機關所應承擔的行政責任問題。
可以看出，隨著個人信息保護進入公法領域，平等民事主體之間的利益衡量規(guī)則無法直接適用于政府行政執(zhí)法行為。由此，私法上個人信息權的內(nèi)涵被縮限為“個人信息受保護權”，國家機關一方面身負不得侵犯的消極義務，此時個人信息受保護權的主觀面向往往會與憲法上的隱私權、通信秘密權產(chǎn)生競合；另一方面負有構建有利于個人信息保護環(huán)境的積極義務。然而，上述區(qū)分在刑事訴訟領域進一步被縮限。第一，刑事訴訟是依照法定程序，解決嫌疑人、被告人刑事責任問題的活動，刑事訴訟中基本權利所構建的客觀法秩序也僅體現(xiàn)在刑事程序內(nèi)，因此，刑事訴訟既無法規(guī)范商業(yè)性組織的“準數(shù)據(jù)權力”，也無法限制履行公共職能主體的“公共數(shù)據(jù)權力”。目前學界討論的公共監(jiān)控、人臉識別的風險問題更多屬于警察行政領域，而非刑事偵查。第二，即使是在刑事訴訟程序內(nèi)，犯罪嫌疑人、被告人享有的個人信息利益也僅表現(xiàn)為單純的敏感信息和由非敏感性信息集合形成的間接敏感信息。
三、刑事訴訟中個人信息保護的獨立權利論及反思
刑事訴訟中個人信息保護的特殊性僅能得出“刑事司法對個人信息保護應從完全排除走向合理限制”這一理念。但在上述論述過程中，筆者并未區(qū)分使用個人信息和隱私這兩個概念，而是將個人信息作為兩者的代稱論述刑事訴訟保護個人信息(隱私)的特殊性。為深入論證刑事訴訟應如何保護個人信息，還需要對刑事訴訟中個人信息權究竟應歸屬于何種權利進行考察。
(一)刑事訴訟中個人信息保護的獨立權利論
如何將個人信息保護的理念落實到具體刑事訴訟制度之中有賴于明確個人信息的權屬，即在個人信息上設定的權利屬于何種權利以及歸屬于誰的問題。在這一問題上，個人信息保護的獨立權利論尤為值得關注。
目前刑訴學界論證個人信息權的獨立性主要分為以下三種觀點：第一，由于隱私權存在保護對象的局限性、保護方式的消極性以及保護邊界的模糊性三種弊端，需要確立個人信息權的基本權利屬性對隱私權保障的弊端進行補足。該觀點認為，個人信息權利之所以具有獨立性是因為隱私權保護存在無法避免的漏洞。第二，應將個人信息權歸屬于《憲法》中未列舉的基本權利，這既是域外國家的普遍做法，也可以從我國《憲法》中人格尊嚴、通訊秘密與自由以及不受非法搜查權利推導出來。因此，個人信息權屬于刑事訴訟中的獨立人權。第三，刑事訴訟中個人信息權與刑事訴訟權利在權利結構上具有高度近似性，個人信息權完全具有刑事訴訟權利概念屬性，個人信息權屬于承載公民其他人格利益的第三層級訴訟權利。該觀點主要從權利結構和權利特征方面將個人信息權歸為訴訟權利。
在信息化時代，公民對個人信息保護具有強烈的權利需求是一個不證自明的問題。然而，在刑事訴訟中，權利需求是否必然會轉(zhuǎn)化為新興權利則有待進一步論證。在法理層面上，新興權利的成立并不能直接由權利需求推導而出，否則必然會引發(fā)權利泛化的消極影響。一項新興權利之所能夠得到證成，需要從權利的內(nèi)在理由和外在理論分別進行論述。并且，“人權概念是在社會發(fā)展過程中形成的對人在經(jīng)濟、文化、政治活動中的本質(zhì)進行抽象化的產(chǎn)物”。刑事訴訟理論無法單獨證成個人信息權的人權屬性。因此，從理論上證成個人信息權屬于獨立權利至少需要處理以下兩個問題：第一，個人信息權是獨立的基本權利還是獨立的訴訟權利？第二，個人信息權與隱私權是否存在根本區(qū)別？本文認為前兩種觀點對個人信息權屬于基本權利的論證并不充分，而將個人信息權視為第三層次訴訟權利的觀點既無法抵御公權力對個人信息權的不當干預，也無法證成諸如被遺忘權、數(shù)據(jù)訪問權的獨立性。
(二)權利性質(zhì)：個人信息權不具有獨立的刑事訴訟人權屬性
從民商法領域來看，個人信息權具有以知情同意為基礎的積極權能，如知情權、同意性、訪問權、可攜帶權和利用收益權和以刪除權為代表的消極權能，如更正權、限制權、反對權以及被遺忘權。這些附屬權利使個人信息權成為與隱私權不同的綜合性權利。然而，上述私法權利的合理性并不能直接成為刑事訴訟人權的正當性依據(jù)。
“人權是一種應然的理念，也是一種制度性的事實，還是一種現(xiàn)實的社會關系本身。”若想主張個人信息權屬于刑事訴訟中的人權，應先論證其在憲法上的基本權利地位。對此，有法理學者認為信息存在方式、權利發(fā)展的數(shù)據(jù)信息生態(tài)和信息時代的社會解組共同促使數(shù)字人權成為第四代人權。但該觀點同時也面臨著數(shù)字人權不符合“人的尊嚴”標準和“最低限度基礎性”標準的質(zhì)疑。數(shù)字人權的概念成立與否尚處于爭論的焦點，難以將其直接作為論述依據(jù)證明個人信息權的刑事訴訟人權屬性。即使從比較法的經(jīng)驗觀察，認為歐洲國家將個人信息權確立為刑事訴訟人權的觀點也有待商榷。歐洲國家雖然將個人信息保護上升至基本權利或人權保護的層面上，但根據(jù)歐洲委員會《個人數(shù)據(jù)自動化處理中的個人保護公約》的規(guī)定，個人信息并非是全面的、絕對的支配權，而是“控制并處理該數(shù)據(jù)的權利”，即個人信息的受保護權(the right to protection of personal data)。對此，高富平教授強調(diào)：“在研究和借鑒歐洲個人數(shù)據(jù)保護制度時，必須尊重一個基本事實，即個人信息保護權必須受到其他基本權利的限制，必須在其他基本權利獲取充分保障的框架中才能得以行使。個人數(shù)據(jù)保護權本質(zhì)上體現(xiàn)為一組寬泛的原則和詳細的行為規(guī)范。”這與刑事訴訟中人權的概念存在根本區(qū)別。
實際上，憲法的基本權利和刑事訴訟人權并非是完全一致的概念。雖然刑事訴訟的人權來源于憲法基本權利的規(guī)定，但在人權保障對象、具體范圍與基本權利仍存在區(qū)別。第一，刑事訴訟中的人權具體應屬于消極人權而非積極人權。在刑事訴訟中，人權保障之所以能夠與控制犯罪成為相同位階的價值追求，原因就在于人權的最低限度性和普遍性。上述兩個特性決定了人權在任何國家、任何案件類型以及任何刑事訴訟階段均具有相同含義和地位，這樣方可有效發(fā)揮其抵御國家公權力的消極作用。因此，以知情同意為基礎的個人信息積極權能無法被刑事訴訟人權的消極性容納。第二，人權是犯罪嫌疑人、被告人享有的權利，特指正當程序權。憲法人權一般存在實體性權利、程序性權利和復合性權利三種形式。在刑事訴訟中，人權的實體性權利應表述為不受國家機關任意侵犯的生命、自由、財產(chǎn)以及隱私的權利，即正當程序權利。因此，已被定罪或被錯誤定罪的公民并不屬于刑事訴訟中的犯罪嫌疑人、被告人，其對刑事司法機關主張的被遺忘權和更正權即使具有消極性也不屬于刑事訴訟中的人權。若從刑事訴訟人權的概念來檢視個人信息權，只有犯罪嫌疑人、被告人的消極權能才屬于刑事訴訟人權的保障范疇，但在消極人權上個人信息權與隱私權又難以完全分離，這就導致個人信息權即使存在部分刑事訴訟人權屬性，也不具備獨立于隱私權的地位。
(三)權利位階：個人信息權不應作為獨立的訴訟權利
獨立權利論從個人信息權的權利內(nèi)容和權利性質(zhì)上論述其屬于刑事訴訟人權的觀點缺乏合理性。對此，有學者通過降低個人信息權的權利位階來論證其獨立性。具體表現(xiàn)為，首先，將個人信息權解釋為程序性、可放棄的訴訟權利，以此避免個人信息權與人權概念的矛盾沖突。其次，根據(jù)利益位階分析法，將個人信息權歸類到關系訴訟參與人除生命、自由、健康之外的其他人格利益的第三層級權利。個人信息權一方面需要為第一層級的生命、自由、健康權讓步，在與公共利益的衡量中也處于劣勢；另一方面，其主體也從犯罪嫌疑人、被告人擴展至全部的訴訟參與人。最后，個人信息權作為獨立訴訟權利的必要性在于其涵蓋的具體權利已具備規(guī)范基礎，如數(shù)據(jù)訪問權與閱卷權、被遺忘權與犯罪記錄封存等。但筆者認為，個人信息權難以通過低位階的訴訟權利進入刑事訴訟法。
第一，數(shù)據(jù)訪問權與閱卷權、被遺忘權與犯罪記錄封存并不存在對應關系。就數(shù)據(jù)訪問權而言，歐盟《一般數(shù)據(jù)保護條例》第15條規(guī)定：“數(shù)據(jù)主體應當且有權從數(shù)據(jù)控制者處得知，其個人數(shù)據(jù)是否正在被處理，如果正在被處理的話，數(shù)據(jù)主體有權訪問個人數(shù)據(jù)并獲知相關信息，如處理的目的、個人數(shù)據(jù)類型、儲存期限、數(shù)據(jù)主體所擁有的相關權利等。”可以看出，數(shù)據(jù)訪問權是數(shù)據(jù)主體對其個人信息所擁有的權利，具體表現(xiàn)為“對個人信息相關活動的知情權”。然而，根據(jù)《刑事訴訟法》第40條規(guī)定，辯護律師查閱、摘抄、復制的是全部案卷材料，其中既包括犯罪嫌疑人、被告人的供述，也包括偵查人員收集的控方證據(jù)。從個人信息的概念屬性來看，控方證據(jù)顯然難以被歸入數(shù)據(jù)訪問權的對象之中。因此，數(shù)據(jù)訪問權與閱卷權的關系，并非主張者提出的“數(shù)據(jù)訪問權在適用范圍和適用對象上大于閱卷權”。若從電子閱卷或網(wǎng)上閱卷的行為方式來看，數(shù)據(jù)訪問僅表現(xiàn)為電子化、在線化的閱卷行為，而不具有獨立的權利屬性。從《個人信息保護法》的規(guī)定來看，數(shù)據(jù)訪問僅停留在“防止未經(jīng)授權的訪問行為”，而非確立個人信息持有人的訪問權利。
第二，就被遺忘權而言，被遺忘權的創(chuàng)新之處在于給予已經(jīng)被公開的信息撤退回隱私域的可能。從權利性質(zhì)來看，被遺忘權并非是一種價值取向，而是通過引入“被遺忘”的利益訴求來達到利益衡量和沖突解決的功能。在刑事訴訟中，被遺忘權的主體被分為已被定罪之人、被害人、無辜者以及證人和其他訴訟參與人，客體則是新聞媒體和刑事司法機關。然而，上述主體的利益訴求均難以證成刑事訴訟中被遺忘權的正當性。對于被害人、證人和其他訴訟參與人而言，其享有的并非是針對已公開信息的被遺忘權而是在公開信息時的知情同意或申請不公開的權利。對于無辜者而言，無辜者申請刪除的是錯誤定罪信息，而非經(jīng)同意公開的信息，并不屬于被遺忘權的利益衡量對象。已被定罪之人要求新聞媒體刪除相關信息雖然屬于被遺忘權，但新聞媒體并非刑事司法機關，該權利自然不屬于刑事訴訟中的被遺忘權。已被定罪之人而言，其向刑事司法機關申請刪除相關定罪信息時，面對的是信息主體回歸社會的期待利益與基于社會管理的公共利益。此時，刑事司法機關保存或公開其犯罪記錄并非是基于追訴犯罪的目的，而是基于公共知情權、預防犯罪等社會管理目的。因此，被遺忘權也不具有獨立的刑事訴訟權利屬性。
更為重要的是，第三層級的權利位階無法彰顯信息主體的利益訴求。在利益衡量的過程中，個人信息權的低位階性往往使其被公共利益過度限制。但正如上文所述，在刑事訴訟中，只有個人信息保護具有公共利益屬性時，才存在同質(zhì)利益的衡量問題。當個人信息作為權利予以保護時，其所承載的個人利益與追訴犯罪的國家、社會利益屬于同一位階上的兩種異質(zhì)利益，利益衡量的正當性在于程序是否正當而非衡量結果是否適當。
四、刑事訴訟中個人信息保護的依附性制度構建
對于兼具私人利益價值和公共流通價值的個人信息而言，公法在構建平衡商業(yè)價值和私人利益的個人信息有序流通秩序、確立以個人信息受保護權和國家保護義務為框架的權力保護模式等問題上具有不可替代的地位。刑事訴訟作為具有公法屬性的部門法和保障實體法準確實施、維護程序正義的程序法，是否也應主動適應個人信息保護綜合化、基礎化的這種理論趨勢自然成為值得探討的理論問題。公安、司法機關可以通過追訴侵犯公民個人信息的相關犯罪來達到救濟被害人、威懾潛在犯罪行為以保護個人信息的目的。但與此同時，刑事追訴也存在收集、分析以及披露個人信息的實踐需求。此時，公安司法機關與個人信息主體便處于公權力與個人信息利益的對立兩方，以追訴犯罪為己任的國家機關自然就有轉(zhuǎn)化為侵犯個人信息利益主體的風險。并且需要注意的是，當公安司法機關超越配合義務的合理范圍時，被害人、證人以及其他訴訟參與人的身份已經(jīng)發(fā)生實質(zhì)轉(zhuǎn)變，成為刑事訴訟程序中公權力的干預對象，與犯罪嫌疑人、被告人具有同等重要的保護地位。個人信息的利益論說明刑事訴訟有保護個人信息的必要性，但相較于民商事領域和行政執(zhí)法領域而言，個人信息保護應受到追訴犯罪的利益限制。個人信息的權屬論則說明，在刑事訴訟中個人信息權不具備刑事訴訟人權的屬性，訴諸低位階訴訟權利的做法也無法證成其作為訴訟權利的獨立性。由此而來的問題是，刑事訴訟如何應對個人信息保護帶來的挑戰(zhàn)。
(一)刑事訴訟中個人信息權的核心
在刑事訴訟中，個人信息權保護的應是信息主體不被過度收集的權利。個人信息一般被分為敏感信息和一般信息，其中敏感信息通常被認為是構成個人隱私的信息，而一般信息則是指不構成隱私的信息。因此，僅從信息內(nèi)容上看，個人信息的概念外延大于隱私信息。對于刑事訴訟而言，隱私權作為憲法的基本權利通常被轉(zhuǎn)化為“不受任意搜查、扣押”的刑事訴訟人權，進而將通訊監(jiān)聽等實時監(jiān)控行為納入正當程序原則的規(guī)范領域。由此看來，隱私信息本就屬于刑事訴訟中隱私權的保障范圍，并不存在新的理念沖擊。
但隨著數(shù)據(jù)收集、分析技術的更新迭代，一般信息和敏感信息的界限也愈發(fā)模糊，刑事司法機關通過大量收集相同種類或不同種類的一般信息，往往可以得到涉及犯罪嫌疑人、被告人隱私的敏感信息，此時個人信息權的重要性就凸顯出來。如何去規(guī)范這種針對非隱私信息的長期性、廣泛性的收集成為傳統(tǒng)隱私權難以應對的難題。與此同時，刑事司法機關通過算法對不同種類的個人信息進行自動分析的做法，也有混淆行政執(zhí)法和刑事偵查界限的風險。因此，本文認為個人信息權在刑事訴訟中的本質(zhì)在于保障信息主體不受過度收集權利。
域外國家是也在此基礎上對個人信息進行保護。如2018年美國聯(lián)邦最高法院在Carpenter案的判決中就指出，手機的歷史基站信息與銀行賬戶、手機號碼等常規(guī)第三方商業(yè)信息不同，具有隱蔽性、連續(xù)性、回溯性等特性。對此，聯(lián)邦憲法第四修正案的保護范疇也應擴大到手機定位信息上。偵查人員在沒有搜查證的情況收集手機基站信息的做法違憲。在本案中，偵查人員從第三方機構調(diào)取了犯罪嫌疑人12，898個手機基站信息。從傳統(tǒng)偵查理論來看，第三方機構的信息屬于商業(yè)信息，根據(jù)第三方準則應屬于隱私合理期待權的例外。但Carpenter案的多數(shù)意見認為，手機基站定位信息記錄提供了一個窺視他人生活的便捷窗口，五年的數(shù)據(jù)保留期也給予了警察接觸此前未知信息的機會。因此，偵查人員過度調(diào)取個人信息的做法使其獲得的未知信息超出“商業(yè)信息”范疇，也就不適用第三方例外的準則。
偵查人員自行收集個人信息的行為不應超過必要的限度。如2017年日本最高裁判所在GPS偵查案的判決中指出：“GPS 偵查的實施必然會伴隨著對個人活動持續(xù)、全面地掌握，可能會對隱私權造成侵害。此外，將可能造成上述侵害的設備秘密安裝在私人物品上的做法，不同于偵查人員在公共道路上肉眼觀察或拍照攝影等方法，應屬于運用公權力入侵私人領域的偵查行為。”對此，日本學界認為雖然公共區(qū)域內(nèi)的活動通常屬于刑事訴訟中隱私權保障的例外，但偵查人員持續(xù)、全面地收集位置信息，從而依托于信息分析映射出“人物像”時，就有入侵公民私人領域的侵權風險。具體應從強制偵查立法主義出發(fā)，通過立法限定偵查人員對位置信息的收集時間和范圍。
與“不受過度收集”相比，不受分析權利并非是刑事訴訟中個人信息保護的核心。原因在于，刑事訴訟中的個人信息保護針對的是可能存在的信息濫用和隱私干預風險。在傳統(tǒng)偵查活動中，偵查人員通過現(xiàn)場勘查、調(diào)查訪問以及摸底排查等任意偵查行為收集的案件信息，經(jīng)過案情分析同樣有知悉隱私信息的可能性，信息技術的發(fā)展僅是提高了分析行為的可能性，并沒有改變該行為的性質(zhì)。為了防范這種以“任意偵查”之名行“強制偵查”之實的做法，刑事訴訟法應規(guī)制的是前端的過度收集行為，而非分析行為。
綜上所述，在刑事訴訟中，個人信息權主要表現(xiàn)為不受過度收集的權利。刑事司法機關對于“一般信息”的廣泛收集可能使相關結論具有隱私信息的屬性，從而沖擊了以傳統(tǒng)隱私權為基礎構建的刑事訴訟規(guī)則，這也是刑事訴訟保護個人信息的本質(zhì)所在。
(二)個人信息權的依附型入法路徑
現(xiàn)代社會對“過度收集”行為的警惕是為了防范大規(guī)模收集個人信息行為背后可能帶來的隱私權干預風險。個人信息權對刑事訴訟的沖擊在于將“隱私權的實際侵害性”轉(zhuǎn)化為“隱私權的干預風險性”。然而，從權利內(nèi)容來看，不受過度收集針對的是“一般信息”，與傳統(tǒng)隱私權保護的敏感信息并不相同。那么對于這種新興權利應如何予以保護則涉及刑事訴訟中新興權利的入法路徑問題。
在權利時代，新興權利的出現(xiàn)是公民權利意識彰顯的具體表現(xiàn)。一項新興權利的出現(xiàn)代表著權利主張由少數(shù)人的訴求變?yōu)槎鄶?shù)人的共識，從而具備了法律保護的社會基礎。新興權利的入法路徑則反映出法律對待公民權利訴求的態(tài)度。在法治實踐中，根據(jù)新興權利是否可以直接而快速地入法，可以將入法路徑分為兩類：一是激進式入法路徑，即新興權利被直接寫入法律條文；二是漸進式入法路徑，即新興權利通過自然演進的方式，平和而緩慢地進入法治體系。對于刑事訴訟而言，激進式入法路徑通常針對的是程序性權利，如簡易程序選擇權、閱卷權以及上訴權等。原因在于，上述程序性權利多屬于積極性權利，直接引入刑事訴訟法的權利成本較低，國家機關對此負擔的積極義務和消極義務均可保持在一個平衡的狀態(tài)。以簡易程序選擇權為例，被告人和辯護律師申請簡易程序，法院進行形式審查即可。在簡易程序的適用上，被告人選擇適用簡易程序和反悔均存在適用范圍、條件和程序的限制。因此，對于程序性權利這種積極性權利通過立法賦予權利地位的同時，對其進行合理限制即可實現(xiàn)“權利保障”和“防止權利濫用”的雙重目的。
然而，不受過度收集這種消極性權利難以通過直接立法的方式進入刑事訴訟法。原因在于，消極性權利具有刑事訴訟人權屬性，應是犯罪嫌疑人、被告人在刑事訴訟中享有的最低限度保障。對于這類權利，刑事司法機關不僅需要負擔消極義務，即不得任意侵犯的義務；還需要履行積極義務，即通過刑事訴訟程序為其權利侵害提供救濟。從可行性上看，權利入法的成本極高。而從傳統(tǒng)規(guī)范基礎來看，信息隱私權是圍繞著空間、事物、主體三個維度展開的個人本位權利。信息性隱私權在空間上保護的是個人獨處的安寧權，在事物上保護的是對于私人而言具有親密性、敏感性的事物，在主體上保護的是信息主體的控制權。個人信息不受過度收集權利可以歸為信息隱私權的主體維度，從而具有隱私權的人權地位。因此，消極性權利可以采取漸進式入法路徑，以嫁接的方式將其解釋為刑事訴訟中的信息隱私權。
(三)刑事訴訟中個人信息保護的制度構建
刑事訴訟中個人信息保護應以“不受過度收集權利”為規(guī)范對象，以信息性隱私權為保障對象，從而將公權力對一般信息的過度收集行為納入刑事訴訟法的規(guī)制對象之中。在此基礎上，刑事訴訟應適度引入個人信息保護法的基本原則，嚴格限制概括性取證行為帶來的取證對象泛化問題。
1.貫徹落實《個人信息保護法》的基本原則
第一，知情同意原則的區(qū)分適用?！秱€人信息保護法》第14條規(guī)定：“基于個人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出。法律、行政法規(guī)規(guī)定處理個人信息應當取得個人單獨同意或者書面同意的，從其規(guī)定。個人信息的處理目的、處理方式和處理的個人信息種類發(fā)生變更的，應當重新取得個人同意。”知情同意是個人信息收集、儲存、使用、加工、公開等活動的前提條件之一。對于刑事訴訟而言，偵查秘密原則和履行法定職責或法定義務往往使刑事司法成為知情同意原則的適用例外。但本文認為，應針對不同主體區(qū)分知情與同意原則的適用條件。第一步，應對知情同意原則進行區(qū)分。在刑事訴訟中，知情權是犯罪嫌疑人、被告人基礎性權利，公安司法機關的告知義務原則上只能延后并不能免除，除非涉及國家秘密和危及國家安全。同意則具有授權或權利放棄意義，主要是為了協(xié)助公安司法機關處理個人信息而存在的。第二步，在個人信息的收集、儲存、使用環(huán)節(jié)，犯罪嫌疑人、被告人的知情同意根據(jù)偵查機關實施行為的性質(zhì)而有所差異。當偵查人員通過強制偵查收集個人信息時，由于該類偵查行為對公民權利的干預程度較高，應盡可能通過告知的方式來獲取犯罪嫌疑人、被告人的同意，從而使強制偵查轉(zhuǎn)化為經(jīng)同意型偵查。只有當告知可能嚴重影響偵查效率或違反偵查秘密原則時，方可事后告知。在個人信息的公開環(huán)節(jié)，犯罪嫌疑人、被告人應知悉司法公開的內(nèi)容，但是否獲取其自愿同意對于司法公開不具有決定性影響。其他訴訟參與人對是否司法公開以及司法公開的內(nèi)容均有知情同意的權利。
第二，合目的性原則的嚴格審查。在刑事訴訟中，合目的性原則不僅是比例原則的基本要求，也是銜接刑事訴訟程序內(nèi)外個人信息保護的指導思想?！秱€人信息保護法》第6條規(guī)定：“處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式。收集個人信息，應當限于實現(xiàn)處理目的的最小范圍，不得過度收集個人信息。”在刑事訴訟中，個人信息的處理目的主要分為基于國家安全的預防犯罪目的、追訴犯罪目的和司法公開目的，三者與個人信息的合目的原則呈現(xiàn)出逐漸緊密的關系。首先，基于國家安全的預防犯罪目的，刑事司法機關可以基于預防目的事前收集、比對和使用個人信息。此時個人信息與處理目的的關聯(lián)度應當采取較為寬泛的解讀方式，但收集的個人信息僅供預防國家安全犯罪使用，不得他用。其次，基于追訴犯罪目的，刑事司法機關可以通過正當程序收集個人信息。此時個人信息具有特定性，即犯罪嫌疑人的個人信息。因此，刑事司法機關不得基于預防犯罪目的收集不特定人員的個人信息，應遵循“最小范圍”的條件限制。最后，當刑事司法基于司法公開目的進行個人信息處理時，“由于司法公開的本質(zhì)是在有限時空條件下針對特定主體的公開，既不得影響法官獨立、公正行使審判權，也不得過分暴露當事人的隱私及個人信息”。因此，刑事司法機關基于司法公開目的披露個人信息時，應盡可能保護刑事訴訟當事人的個人信息。在判斷是否與處理目的“有關”時，應采取較為嚴格的判斷標準。
2.刑事訴訟應重點限制概括性收集行為
在刑事訴訟中，個人信息保護更多表現(xiàn)為針對風險的前置性保護，如防范偵查人員通過任意偵查大量收集一般信息從而獲得隱私信息。因此，刑事訴訟對于個人信息保護的重點在于收集、使用。在理想狀態(tài)下，應既限制偵查人員概括性收集個人信息，又限制偵查人員的利用個人信息進行分析。然而，現(xiàn)實情況是，公安司法機關的數(shù)據(jù)分析、處理行為均屬于內(nèi)部活動，表現(xiàn)為案情分析、會議研討、自由心證等。這種對已有證據(jù)或情報的分析過程就如同“算法”一樣必然是不公開的。事實上，即使是域外國家也并未將案件分析過程作為個人信息保護的重點。對于刑事訴訟而言，個人信息保護的重點在于如何限制概括性收集行為，而非分析行為。具體表現(xiàn)為：第一，在偵查過程中，過度收集個人信息在拓展偵查取證范圍的同時，也可能會催生出侵犯公民隱私權和財產(chǎn)權的新型風險，“尤其體現(xiàn)在電子數(shù)據(jù)搜查、扣押中概括式取證方式對偵查對象特定性原則的沖擊。”對此，應盡可能地限制偵查人員收集個人信息的概括性，具體可通過保障犯罪嫌疑人的知情權和明確偵查取證的相關性來予以完善。當偵查人員通過任意偵查收集個人信息時，由于此類偵查措施的干預程度較低，在收集時無須經(jīng)過數(shù)據(jù)主體的同意。但鑒于對一般信息“不受過度收集權利”的保護，偵查人員仍須事后告知犯罪嫌疑人。對于被害人和其他訴訟參與人而言，刑事司法機關收集、儲存以及使用其個人信息均須在知情同意的基礎上。當偵查人員收集個人信息時，原則上可識別性個人信息必須與案件事實具有清晰的相關性，偵查人員不得基于預測犯罪目的或因偵查取證的技術能力不足而概括性收集個人信息。第二，在刑事審判過程中，“我國刑事遠程審判的實踐探索歷時十余載，已初步實現(xiàn)了對于訴訟形態(tài)的外部改造——以網(wǎng)絡信息化技術拓展了法庭的運作空間”。由線下到線上、線下相結合的審判方式改革必然會使審判機關擴大對個人信息的收集廣度和深度，對此也應予以限制。具體而言，在遠程審判的身份認證上，應以確認訴訟主體身份真實為限，不得過度收集訴訟主體諸如指紋、人臉識別等生物信息。在證據(jù)審查上，應依照《刑事訴訟法》規(guī)定的證據(jù)種類進行審查，避免與案件無關或具有品格傾向的證據(jù)借由電子數(shù)據(jù)進入法庭審判之中。在審判過程中，審判機關收集和公開的個人信息也應僅限于身份審查、證據(jù)材料、法律文書中涉及的個人信息。
?。▍峭?，北京大學法學院訴訟法專業(yè)博士研究生。）
Abstract：In criminal procedure，the right to personal information does not conform to the human rights characteristics of criminal procedure centered on due process right，in which the right to be forgotten and the right to access data possess no attributes of independent litigation right.The theory of the independent right to personal information lacks a legitimate basis and should not be used as the protection model of personal information in criminal proceedings.Given the particularity of interest measurement and the individuality and negativity of human rights in criminal procedure，the protection of personal information in the criminal procedure should be aimed at the risk of transformation from collective general information to private sensitive information.Specifically，it is the right of personal information not to be excessively collected.Accordingly，the personal information protection should be included in the scope of criminal procedure by the conceptual interpretation of the informational privacy，i.e.，the dependency protection model.In this regard，the criminal proceeding should appropriately introduce the basic principles of personal information protection and the limited general forensic to deal with the impact and challenge of emerging right claim on the criminal justice system.
Keywords：Personal Information；Basic Rights；Personal Information Protection Law；Dependency Protection
(責任編輯 杜 磊)
關鍵詞：個人信息 基本權利 《個人信息保護法》 依附型保護
一、問題的提出
近年來，個人信息保護或許是最具爭議性的法學研究議題與最具復雜性的司法實踐難題。一方面，基于數(shù)據(jù)跨境流通的利益考量，世界各國均對個人信息的法律保護問題進行了深入的理論探討與立法研究，數(shù)據(jù)立法的普遍化和域外適用擴張現(xiàn)象凸顯，這也引發(fā)了國內(nèi)學者對于個人信息保護的持續(xù)關注。另一方面，最初在私法領域誕生的個人信息保護問題逐漸開始向諸如刑法、行政法等公法領域擴張，個人信息保護大有成為“領域法學”的發(fā)展趨勢。2021年11月1日起《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)開始實施，該法第1條明確規(guī)定：“為了保護個人信息權益，規(guī)范個人信息處理活動，促進個人信息合理利用，根據(jù)憲法，制定本法。”因此，如何根據(jù)個人信息保護的發(fā)展趨勢，構建出一套保障數(shù)據(jù)權利、促進數(shù)據(jù)流通的法律制度框架，成為當前理論研究和司法實踐迫切需要解決的難題。
“我國似乎已經(jīng)初步建立起法律法規(guī)、行業(yè)規(guī)范、技術標準為一體的多層次、綜合性個人信息保護制度框架”。但與民商法領域?qū)€人信息的私法保護、行政法領域?qū)φ姓袨榈募s束相比，“基于國家安全、社會安全等例外事由遮蔽下的刑事司法、執(zhí)法領域的個人信息保護已經(jīng)成為個人信息保護整體制度的短板”。雖然國家安全與個人權利存在利益性質(zhì)和價值位階上的差別，但刑事司法并非以保障國家安全為唯一的價值追求，安全與權利的矛盾沖突也絕非司法常態(tài)。若從追訴犯罪的公共利益與保障公民權利的矛盾沖突視角來看，刑事司法也不應是個人信息保護的制度禁區(qū)。我國個人信息保護的立法也并未排斥國家機關的個人信息處理行為。《個人信息保護法》第33條規(guī)定：“國家機關處理個人信息的活動，適用本法；本節(jié)有特別規(guī)定的，適用本節(jié)規(guī)定。”公安司法機關作為國家機關自然也應遵循《個人信息保護法》的基本原則和特殊規(guī)則。刑事訴訟應如何保護個人信息就是本文研究的重點問題。
盡管加強對個人信息的法律保護已經(jīng)成為學界的共識，但對于刑事訴訟而言，仍然面臨著什么是個人信息保護的權利基礎以及應通過何種方式予以保護等基礎理論爭議。這不僅關乎個人信息在刑事訴訟中的性質(zhì)定位問題，也決定了刑事訴訟應采取何種形式和在何種程度上保護個人信息。上述爭議可以表現(xiàn)為以下四個問題：私法上區(qū)分個人信息與隱私的現(xiàn)實考量和理論意義是否可以直接適用于規(guī)范國家公權力的刑事司法領域？若在刑事訴訟中引入個人信息權，其是否應屬于獨立的訴訟人權或訴訟權利？個人信息能否作為隱私權的組成部分納入“傳統(tǒng)人權保障”的輻射范圍？刑事訴訟應如何處理信息化時代背景下“新興權利”的保護訴求？對這些問題的回答需要以刑事訴訟中個人信息保護的特殊性為前提，以個人信息保護的權屬論為基礎，以具體的制度設計為解決方案。
圍繞上述問題，本文第二部分將總結個人信息保護的利益衡量要素以及刑事司法活動的特殊性，即刑事訴訟中個人信息保護的利益論。第三部分將總結目前學界提出的將個人信息作為刑事訴訟中獨立權利的觀點，并反思獨立權利論存在的問題，即刑事訴訟中個人信息保護的權屬論。第四部分將提出我國刑事訴訟應如何保護個人信息的解決方案，即刑事訴訟中個人信息保護的制度論。
二、刑事訴訟中個人信息保護的利益衡量
個人信息保護逐漸從私法領域向公法領域擴張，成為一個橫跨公私法領域的研究問題。目前學者提出的綜合保護或公私保護理念回答了個人信息在整體法律制度中應通過何種路徑予以保護的問題，體現(xiàn)了個人信息的多元法益基礎，也成為建立激勵相容型個人信息保護法的理由所在。因此，個人信息保護背后必然面臨著多種利益的博弈與衡量。然而，復雜的利益格局無法掩蓋不同部門法中個人信息保護的特殊性，即應區(qū)分專門法中的個人信息保護和部門法中的個人信息保護，遵循“統(tǒng)一立法、分類保護”的思路。對于個人信息保護而言，無論是公法還是私法均是處理不同主體的利益訴求與利益沖突。因此，如何看待利益衡量問題對于探討刑事訴訟中個人信息保護的特殊性具有重要意義。
(一)個人信息保護中的利益衡量問題
個人信息的含義根據(jù)討論背景和語境的不同有所差異，這決定了在不同部門法領域中個人信息的利益衡量要素和判斷標準也存在本質(zhì)區(qū)別。在私法領域中，個人信息保護先后面臨著如何區(qū)分隱私與個人信息以及個人信息是權利還是權益的兩大爭議。目前學界關于前者的認識基本達成一致，即個人信息與隱私權和而不同，“隱私權是信息能力平等的主體間的交往行為。個人信息保護為信息處理者對個人信息的處理行為”。后者的爭論則仍在繼續(xù)。若主張個人信息屬于具體的人格權，那么個人信息權就屬于自主控制型權利，也就具有了具體人格權的支配性和排他性。此時，個人信息保護的利益衡量問題就轉(zhuǎn)化為信息主體享有的人格尊嚴和自由利益與其他自然人主體言論自由利益、法人或其他組織經(jīng)濟利益之間的協(xié)調(diào)問題，利益衡量的判斷標準也應以保障、尊重民事權利為重點。若主張個人信息屬于受法律保護的一般人格權利益，則否定了個人信息權的支配性與排他性。此時，私法領域的個人信息保護主要依靠的是侵權法救濟。“換言之，只要個人信息的利用行為不侵害主體的合法利益，信息控制者的利用行為就具有了合法性。”
但無論是區(qū)分隱私保護與個人信息保護還是對個人信息法律性質(zhì)的討論，若僅限于民商法領域的話，個人信息保護與利用均屬于平等民事主體之間的利益沖突問題，既無法針對具有持續(xù)性不平等信息收集能力的主體，也不涉及民事主體利益在面對國家安全、追訴犯罪以及社會管理等高位階利益時的妥協(xié)與讓步。國家機關也并未直接以利益主體的身份介入信息主體與義務主體之間的利益衡量之中，而是作為中立的第三方以立法規(guī)范或司法裁判指引的方式對上述利益沖突進行協(xié)調(diào)。
僅從私法領域來看，個人信息保護中對抗的是平等民事主體，通常是以停止侵害、排除妨礙、消除危險、賠償損失等民事責任作為制裁救濟手段。然而，個人信息蘊含的公共管理價值促使國家也成為個人信息的收集、使用主體。由此自然催生出公法介入個人信息保護的現(xiàn)實需求。在公法領域中，個人信息的意思自治性和主體平等性等個體價值被縮限，交互性、分享性等公共價值被放大，形成了“個人信息受保護權—國家保護義務”的理論分析框架。其中，個人信息受保護權的防御權功能對應著國家消極義務，即嚴格限定基于公共利益需要收集和使用個人信息的范圍。個人信息受保護權的客觀法功能對應著國家積極義務，即國家必須創(chuàng)造和維護有利于實現(xiàn)個人信息保護的制度環(huán)境。因此，在公法領域的利益衡量中，個人信息保護面對的是公共利益。此時，國家機關可能身兼?zhèn)€人信息的侵權方和個人信息保護的制度建設者兩種身份，兩種身份的協(xié)調(diào)則有賴于國家保護義務的落實。正因如此，我國憲法學者主張在基本權利層面上，“個人信息保護法律體系是以作為憲法基本權利的個人信息受保護權為概念基礎”。
由此可見，雖然個人信息保護涉及國家、企業(yè)和個人三者的關系，但私法保護僅是平等民事主體的利益衡量問題，公法保護則可以協(xié)調(diào)個人信息受保護權和國家保護義務之間的利益沖突，從而與私法保護互為補充。根據(jù)行為性質(zhì)以及法律調(diào)整關系的不同，兩者討論的利益衡量也存在衡量對象、衡量標準上的差異。對于刑事訴訟而言，如何在公法和程序法的雙重定位下實現(xiàn)對個人信息的保護，顯然與上述民商事領域討論并無直接關系，基于社會管理目的產(chǎn)生的公共利益與基于追訴犯罪目的產(chǎn)生的公共利益也存在本質(zhì)區(qū)別，有必要單獨予以論述。
(二)刑事訴訟中個人信息保護的特殊性
刑事訴訟中個人信息保護的特殊性應為“合理限制性”而非“完全排除性”。一方面，刑事司法同樣面對著平衡保護個人信息和利用個人信息的基本矛盾，即個人信息保護的利益衡量問題。另一方面，刑事司法對個人信息保護也具有特殊性，主要表現(xiàn)在利益衡量中利益形態(tài)和利益選擇的特殊性。
在傳統(tǒng)理論研究中，刑事訴訟中的利益往往被分為國家及社會利益、某一社會方面的總體利益和個別利益。“當不同利益發(fā)生沖突應予以權衡時，應以權衡的結果是否利于國家及社會的根本利益作為選擇的標準。”然而，只有將不同性質(zhì)的利益置于同一層次上才具備選擇的基本前提，上述分類方式和權衡標準僅體現(xiàn)了刑事訴訟中不同利益之間的服從關系，而非利益選擇。對此，有學者提出了國家和社會利益、犯罪嫌疑人和被告人利益以及被害人利益的劃分方式，并指出立法者在進行利益選擇時，并不總是完全保護一種利益而放棄另一種利益，而是將對立著的兩種利益都進行適當?shù)囊种?，使得利益選擇達到一種動態(tài)的均衡。
在個人信息保護的問題上，以往許多國家的個人信息保護法均將國家安全作為一項常見的適用例外加以排除，以保證執(zhí)法機關的執(zhí)法活動不受外界的干預和影響。但隨著個人信息與公民生活的聯(lián)系日益緊密，國家安全或追訴犯罪需要與個人信息保護的利益服從關系也并非絕對，如近年來各國刑事判決中頻繁引用的馬賽克理論(mosaic theory)認為：“個人信息如同馬賽克拼圖一般，乍看微不足道、瑣碎的圖案，拼聚一起呈現(xiàn)一個寬廣、全面的圖像。個人對于零碎的信息或許主觀上并沒有隱私權遭受侵害之感受，但大量信息累積仍會對個人隱私權產(chǎn)生嚴重危害。”在刑事司法中，個人信息與隱私之間的界限愈發(fā)模糊。與此同時，追訴犯罪背后的公共利益具有緊急性和重要性，這又使刑事訴訟中的個人信息保護應不同于民商法或行政法領域的個人信息保護。因此，刑事訴訟中個人信息保護的特殊性應從“完全排除”的例外性走向“合理限制”的層次性。
首先，刑事訴訟對個人信息的保護主體應區(qū)分犯罪嫌疑人、被告人和其他訴訟參與人。從權力關系來看，雖然犯罪嫌疑人、被告人與其他訴訟參與人均有配合刑事司法機關的義務，但兩者義務的表現(xiàn)形式并不相同。犯罪嫌疑人、被告人的配合義務在于刑事司法機關可以基于正當目的對其享有的基本權利進行限制，此時犯罪嫌疑人、被告人與刑事司法機關呈現(xiàn)出“權利克減”關系。“其他訴訟參與人與刑事司法機關或表現(xiàn)為一種委托代理關系，即國家追訴犯罪的一切權力來自公民與政府之間的契約或委托”；或者表現(xiàn)為公民對國家的協(xié)助義務和可豁免權利，如刑事訴訟中的證人作證義務和作證豁免權。因此，當其他訴訟參與人的個人信息利益與公共利益產(chǎn)生沖突，如被害人應如實向公安司法機關陳述案件事實、接受公安司法機關對其進行的人身檢查以及審判公開、出庭作證對證人、被害人個人信息的披露以及隨之而來的“二次傷害”風險等時，刑事司法機關超越“配合目的”收集、公布其他訴訟參與人個人信息的行為不符合“必要性”要求。
其次，刑事訴訟中犯罪嫌疑人、被告人的個人信息保護存在基本權利和公共利益兩種屬性。在刑事訴訟的利益衡量中，公共利益與基本權利成為利益衡量的典型對象。因此，刑事訴訟中犯罪嫌疑人、被告人的個人信息保護是指當刑事司法機關基于追訴犯罪的目的收集個人信息時，其行為的正當性取決于公共利益和基本權利衡量后的結果是否適當和行為的實施過程是否正當，即結果的適當性和過程的正當性。具體而言，刑事訴訟中犯罪嫌疑人、被告人享有的權利分為由憲法規(guī)定的權利和基于防御追訴權的權利。前者與公共利益屬于異質(zhì)利益衡量，無法從單純從結果上得出利益衡量是否妥當?shù)慕Y論，刑事司法機關對于消極性權利應履行消極性義務。后者在于維護國家承諾的法治秩序與正當程序，有著為履行社會任務和實現(xiàn)公共價值而存在的必要。該權利與公共利益屬于同質(zhì)利益衡量，基于追訴犯罪目而衍生出的公共利益對其具有優(yōu)位性，刑事司法機關對于積極性權利應提供必要的程序保障。
最后，刑事訴訟中個人信息保護的利益衡量調(diào)整的是基于追訴犯罪目的的國家公權力與刑事訴訟當事人個人利益之間的矛盾沖突。因此，一方面，偵查人員基于預防犯罪目的或社會管理目的收集個人信息的行為，如設立大規(guī)模的公共視頻監(jiān)控、警務系統(tǒng)對個人信息的登記、儲存等警務信息管理和預測警務行為均不屬于刑事訴訟的調(diào)整范圍而應歸為警察行政法。對于上述個人信息，刑事司法機關主要是通過“調(diào)取”來進行二次收集、使用。因此，規(guī)制的重點在于“二次收集、使用”的調(diào)取行為，而非基于行政管理目的的收集、儲存行為。另一方面，刑事司法機關因信息管理系統(tǒng)存在漏洞造成大量個人信息不當泄露的行為也不屬于刑事訴訟中個人信息的保護問題，而是刑事司法機關作為個人信息保護的行政機關所應承擔的行政責任問題。
可以看出，隨著個人信息保護進入公法領域，平等民事主體之間的利益衡量規(guī)則無法直接適用于政府行政執(zhí)法行為。由此，私法上個人信息權的內(nèi)涵被縮限為“個人信息受保護權”，國家機關一方面身負不得侵犯的消極義務，此時個人信息受保護權的主觀面向往往會與憲法上的隱私權、通信秘密權產(chǎn)生競合；另一方面負有構建有利于個人信息保護環(huán)境的積極義務。然而，上述區(qū)分在刑事訴訟領域進一步被縮限。第一，刑事訴訟是依照法定程序，解決嫌疑人、被告人刑事責任問題的活動，刑事訴訟中基本權利所構建的客觀法秩序也僅體現(xiàn)在刑事程序內(nèi)，因此，刑事訴訟既無法規(guī)范商業(yè)性組織的“準數(shù)據(jù)權力”，也無法限制履行公共職能主體的“公共數(shù)據(jù)權力”。目前學界討論的公共監(jiān)控、人臉識別的風險問題更多屬于警察行政領域，而非刑事偵查。第二，即使是在刑事訴訟程序內(nèi)，犯罪嫌疑人、被告人享有的個人信息利益也僅表現(xiàn)為單純的敏感信息和由非敏感性信息集合形成的間接敏感信息。
三、刑事訴訟中個人信息保護的獨立權利論及反思
刑事訴訟中個人信息保護的特殊性僅能得出“刑事司法對個人信息保護應從完全排除走向合理限制”這一理念。但在上述論述過程中，筆者并未區(qū)分使用個人信息和隱私這兩個概念，而是將個人信息作為兩者的代稱論述刑事訴訟保護個人信息(隱私)的特殊性。為深入論證刑事訴訟應如何保護個人信息，還需要對刑事訴訟中個人信息權究竟應歸屬于何種權利進行考察。
(一)刑事訴訟中個人信息保護的獨立權利論
如何將個人信息保護的理念落實到具體刑事訴訟制度之中有賴于明確個人信息的權屬，即在個人信息上設定的權利屬于何種權利以及歸屬于誰的問題。在這一問題上，個人信息保護的獨立權利論尤為值得關注。
目前刑訴學界論證個人信息權的獨立性主要分為以下三種觀點：第一，由于隱私權存在保護對象的局限性、保護方式的消極性以及保護邊界的模糊性三種弊端，需要確立個人信息權的基本權利屬性對隱私權保障的弊端進行補足。該觀點認為，個人信息權利之所以具有獨立性是因為隱私權保護存在無法避免的漏洞。第二，應將個人信息權歸屬于《憲法》中未列舉的基本權利，這既是域外國家的普遍做法，也可以從我國《憲法》中人格尊嚴、通訊秘密與自由以及不受非法搜查權利推導出來。因此，個人信息權屬于刑事訴訟中的獨立人權。第三，刑事訴訟中個人信息權與刑事訴訟權利在權利結構上具有高度近似性，個人信息權完全具有刑事訴訟權利概念屬性，個人信息權屬于承載公民其他人格利益的第三層級訴訟權利。該觀點主要從權利結構和權利特征方面將個人信息權歸為訴訟權利。
在信息化時代，公民對個人信息保護具有強烈的權利需求是一個不證自明的問題。然而，在刑事訴訟中，權利需求是否必然會轉(zhuǎn)化為新興權利則有待進一步論證。在法理層面上，新興權利的成立并不能直接由權利需求推導而出，否則必然會引發(fā)權利泛化的消極影響。一項新興權利之所能夠得到證成，需要從權利的內(nèi)在理由和外在理論分別進行論述。并且，“人權概念是在社會發(fā)展過程中形成的對人在經(jīng)濟、文化、政治活動中的本質(zhì)進行抽象化的產(chǎn)物”。刑事訴訟理論無法單獨證成個人信息權的人權屬性。因此，從理論上證成個人信息權屬于獨立權利至少需要處理以下兩個問題：第一，個人信息權是獨立的基本權利還是獨立的訴訟權利？第二，個人信息權與隱私權是否存在根本區(qū)別？本文認為前兩種觀點對個人信息權屬于基本權利的論證并不充分，而將個人信息權視為第三層次訴訟權利的觀點既無法抵御公權力對個人信息權的不當干預，也無法證成諸如被遺忘權、數(shù)據(jù)訪問權的獨立性。
(二)權利性質(zhì)：個人信息權不具有獨立的刑事訴訟人權屬性
從民商法領域來看，個人信息權具有以知情同意為基礎的積極權能，如知情權、同意性、訪問權、可攜帶權和利用收益權和以刪除權為代表的消極權能，如更正權、限制權、反對權以及被遺忘權。這些附屬權利使個人信息權成為與隱私權不同的綜合性權利。然而，上述私法權利的合理性并不能直接成為刑事訴訟人權的正當性依據(jù)。
“人權是一種應然的理念，也是一種制度性的事實，還是一種現(xiàn)實的社會關系本身。”若想主張個人信息權屬于刑事訴訟中的人權，應先論證其在憲法上的基本權利地位。對此，有法理學者認為信息存在方式、權利發(fā)展的數(shù)據(jù)信息生態(tài)和信息時代的社會解組共同促使數(shù)字人權成為第四代人權。但該觀點同時也面臨著數(shù)字人權不符合“人的尊嚴”標準和“最低限度基礎性”標準的質(zhì)疑。數(shù)字人權的概念成立與否尚處于爭論的焦點，難以將其直接作為論述依據(jù)證明個人信息權的刑事訴訟人權屬性。即使從比較法的經(jīng)驗觀察，認為歐洲國家將個人信息權確立為刑事訴訟人權的觀點也有待商榷。歐洲國家雖然將個人信息保護上升至基本權利或人權保護的層面上，但根據(jù)歐洲委員會《個人數(shù)據(jù)自動化處理中的個人保護公約》的規(guī)定，個人信息并非是全面的、絕對的支配權，而是“控制并處理該數(shù)據(jù)的權利”，即個人信息的受保護權(the right to protection of personal data)。對此，高富平教授強調(diào)：“在研究和借鑒歐洲個人數(shù)據(jù)保護制度時，必須尊重一個基本事實，即個人信息保護權必須受到其他基本權利的限制，必須在其他基本權利獲取充分保障的框架中才能得以行使。個人數(shù)據(jù)保護權本質(zhì)上體現(xiàn)為一組寬泛的原則和詳細的行為規(guī)范。”這與刑事訴訟中人權的概念存在根本區(qū)別。
實際上，憲法的基本權利和刑事訴訟人權并非是完全一致的概念。雖然刑事訴訟的人權來源于憲法基本權利的規(guī)定，但在人權保障對象、具體范圍與基本權利仍存在區(qū)別。第一，刑事訴訟中的人權具體應屬于消極人權而非積極人權。在刑事訴訟中，人權保障之所以能夠與控制犯罪成為相同位階的價值追求，原因就在于人權的最低限度性和普遍性。上述兩個特性決定了人權在任何國家、任何案件類型以及任何刑事訴訟階段均具有相同含義和地位，這樣方可有效發(fā)揮其抵御國家公權力的消極作用。因此，以知情同意為基礎的個人信息積極權能無法被刑事訴訟人權的消極性容納。第二，人權是犯罪嫌疑人、被告人享有的權利，特指正當程序權。憲法人權一般存在實體性權利、程序性權利和復合性權利三種形式。在刑事訴訟中，人權的實體性權利應表述為不受國家機關任意侵犯的生命、自由、財產(chǎn)以及隱私的權利，即正當程序權利。因此，已被定罪或被錯誤定罪的公民并不屬于刑事訴訟中的犯罪嫌疑人、被告人，其對刑事司法機關主張的被遺忘權和更正權即使具有消極性也不屬于刑事訴訟中的人權。若從刑事訴訟人權的概念來檢視個人信息權，只有犯罪嫌疑人、被告人的消極權能才屬于刑事訴訟人權的保障范疇，但在消極人權上個人信息權與隱私權又難以完全分離，這就導致個人信息權即使存在部分刑事訴訟人權屬性，也不具備獨立于隱私權的地位。
(三)權利位階：個人信息權不應作為獨立的訴訟權利
獨立權利論從個人信息權的權利內(nèi)容和權利性質(zhì)上論述其屬于刑事訴訟人權的觀點缺乏合理性。對此，有學者通過降低個人信息權的權利位階來論證其獨立性。具體表現(xiàn)為，首先，將個人信息權解釋為程序性、可放棄的訴訟權利，以此避免個人信息權與人權概念的矛盾沖突。其次，根據(jù)利益位階分析法，將個人信息權歸類到關系訴訟參與人除生命、自由、健康之外的其他人格利益的第三層級權利。個人信息權一方面需要為第一層級的生命、自由、健康權讓步，在與公共利益的衡量中也處于劣勢；另一方面，其主體也從犯罪嫌疑人、被告人擴展至全部的訴訟參與人。最后，個人信息權作為獨立訴訟權利的必要性在于其涵蓋的具體權利已具備規(guī)范基礎，如數(shù)據(jù)訪問權與閱卷權、被遺忘權與犯罪記錄封存等。但筆者認為，個人信息權難以通過低位階的訴訟權利進入刑事訴訟法。
第一，數(shù)據(jù)訪問權與閱卷權、被遺忘權與犯罪記錄封存并不存在對應關系。就數(shù)據(jù)訪問權而言，歐盟《一般數(shù)據(jù)保護條例》第15條規(guī)定：“數(shù)據(jù)主體應當且有權從數(shù)據(jù)控制者處得知，其個人數(shù)據(jù)是否正在被處理，如果正在被處理的話，數(shù)據(jù)主體有權訪問個人數(shù)據(jù)并獲知相關信息，如處理的目的、個人數(shù)據(jù)類型、儲存期限、數(shù)據(jù)主體所擁有的相關權利等。”可以看出，數(shù)據(jù)訪問權是數(shù)據(jù)主體對其個人信息所擁有的權利，具體表現(xiàn)為“對個人信息相關活動的知情權”。然而，根據(jù)《刑事訴訟法》第40條規(guī)定，辯護律師查閱、摘抄、復制的是全部案卷材料，其中既包括犯罪嫌疑人、被告人的供述，也包括偵查人員收集的控方證據(jù)。從個人信息的概念屬性來看，控方證據(jù)顯然難以被歸入數(shù)據(jù)訪問權的對象之中。因此，數(shù)據(jù)訪問權與閱卷權的關系，并非主張者提出的“數(shù)據(jù)訪問權在適用范圍和適用對象上大于閱卷權”。若從電子閱卷或網(wǎng)上閱卷的行為方式來看，數(shù)據(jù)訪問僅表現(xiàn)為電子化、在線化的閱卷行為，而不具有獨立的權利屬性。從《個人信息保護法》的規(guī)定來看，數(shù)據(jù)訪問僅停留在“防止未經(jīng)授權的訪問行為”，而非確立個人信息持有人的訪問權利。
第二，就被遺忘權而言，被遺忘權的創(chuàng)新之處在于給予已經(jīng)被公開的信息撤退回隱私域的可能。從權利性質(zhì)來看，被遺忘權并非是一種價值取向，而是通過引入“被遺忘”的利益訴求來達到利益衡量和沖突解決的功能。在刑事訴訟中，被遺忘權的主體被分為已被定罪之人、被害人、無辜者以及證人和其他訴訟參與人，客體則是新聞媒體和刑事司法機關。然而，上述主體的利益訴求均難以證成刑事訴訟中被遺忘權的正當性。對于被害人、證人和其他訴訟參與人而言，其享有的并非是針對已公開信息的被遺忘權而是在公開信息時的知情同意或申請不公開的權利。對于無辜者而言，無辜者申請刪除的是錯誤定罪信息，而非經(jīng)同意公開的信息，并不屬于被遺忘權的利益衡量對象。已被定罪之人要求新聞媒體刪除相關信息雖然屬于被遺忘權，但新聞媒體并非刑事司法機關，該權利自然不屬于刑事訴訟中的被遺忘權。已被定罪之人而言，其向刑事司法機關申請刪除相關定罪信息時，面對的是信息主體回歸社會的期待利益與基于社會管理的公共利益。此時，刑事司法機關保存或公開其犯罪記錄并非是基于追訴犯罪的目的，而是基于公共知情權、預防犯罪等社會管理目的。因此，被遺忘權也不具有獨立的刑事訴訟權利屬性。
更為重要的是，第三層級的權利位階無法彰顯信息主體的利益訴求。在利益衡量的過程中，個人信息權的低位階性往往使其被公共利益過度限制。但正如上文所述，在刑事訴訟中，只有個人信息保護具有公共利益屬性時，才存在同質(zhì)利益的衡量問題。當個人信息作為權利予以保護時，其所承載的個人利益與追訴犯罪的國家、社會利益屬于同一位階上的兩種異質(zhì)利益，利益衡量的正當性在于程序是否正當而非衡量結果是否適當。
四、刑事訴訟中個人信息保護的依附性制度構建
對于兼具私人利益價值和公共流通價值的個人信息而言，公法在構建平衡商業(yè)價值和私人利益的個人信息有序流通秩序、確立以個人信息受保護權和國家保護義務為框架的權力保護模式等問題上具有不可替代的地位。刑事訴訟作為具有公法屬性的部門法和保障實體法準確實施、維護程序正義的程序法，是否也應主動適應個人信息保護綜合化、基礎化的這種理論趨勢自然成為值得探討的理論問題。公安、司法機關可以通過追訴侵犯公民個人信息的相關犯罪來達到救濟被害人、威懾潛在犯罪行為以保護個人信息的目的。但與此同時，刑事追訴也存在收集、分析以及披露個人信息的實踐需求。此時，公安司法機關與個人信息主體便處于公權力與個人信息利益的對立兩方，以追訴犯罪為己任的國家機關自然就有轉(zhuǎn)化為侵犯個人信息利益主體的風險。并且需要注意的是，當公安司法機關超越配合義務的合理范圍時，被害人、證人以及其他訴訟參與人的身份已經(jīng)發(fā)生實質(zhì)轉(zhuǎn)變，成為刑事訴訟程序中公權力的干預對象，與犯罪嫌疑人、被告人具有同等重要的保護地位。個人信息的利益論說明刑事訴訟有保護個人信息的必要性，但相較于民商事領域和行政執(zhí)法領域而言，個人信息保護應受到追訴犯罪的利益限制。個人信息的權屬論則說明，在刑事訴訟中個人信息權不具備刑事訴訟人權的屬性，訴諸低位階訴訟權利的做法也無法證成其作為訴訟權利的獨立性。由此而來的問題是，刑事訴訟如何應對個人信息保護帶來的挑戰(zhàn)。
(一)刑事訴訟中個人信息權的核心
在刑事訴訟中，個人信息權保護的應是信息主體不被過度收集的權利。個人信息一般被分為敏感信息和一般信息，其中敏感信息通常被認為是構成個人隱私的信息，而一般信息則是指不構成隱私的信息。因此，僅從信息內(nèi)容上看，個人信息的概念外延大于隱私信息。對于刑事訴訟而言，隱私權作為憲法的基本權利通常被轉(zhuǎn)化為“不受任意搜查、扣押”的刑事訴訟人權，進而將通訊監(jiān)聽等實時監(jiān)控行為納入正當程序原則的規(guī)范領域。由此看來，隱私信息本就屬于刑事訴訟中隱私權的保障范圍，并不存在新的理念沖擊。
但隨著數(shù)據(jù)收集、分析技術的更新迭代，一般信息和敏感信息的界限也愈發(fā)模糊，刑事司法機關通過大量收集相同種類或不同種類的一般信息，往往可以得到涉及犯罪嫌疑人、被告人隱私的敏感信息，此時個人信息權的重要性就凸顯出來。如何去規(guī)范這種針對非隱私信息的長期性、廣泛性的收集成為傳統(tǒng)隱私權難以應對的難題。與此同時，刑事司法機關通過算法對不同種類的個人信息進行自動分析的做法，也有混淆行政執(zhí)法和刑事偵查界限的風險。因此，本文認為個人信息權在刑事訴訟中的本質(zhì)在于保障信息主體不受過度收集權利。
域外國家是也在此基礎上對個人信息進行保護。如2018年美國聯(lián)邦最高法院在Carpenter案的判決中就指出，手機的歷史基站信息與銀行賬戶、手機號碼等常規(guī)第三方商業(yè)信息不同，具有隱蔽性、連續(xù)性、回溯性等特性。對此，聯(lián)邦憲法第四修正案的保護范疇也應擴大到手機定位信息上。偵查人員在沒有搜查證的情況收集手機基站信息的做法違憲。在本案中，偵查人員從第三方機構調(diào)取了犯罪嫌疑人12，898個手機基站信息。從傳統(tǒng)偵查理論來看，第三方機構的信息屬于商業(yè)信息，根據(jù)第三方準則應屬于隱私合理期待權的例外。但Carpenter案的多數(shù)意見認為，手機基站定位信息記錄提供了一個窺視他人生活的便捷窗口，五年的數(shù)據(jù)保留期也給予了警察接觸此前未知信息的機會。因此，偵查人員過度調(diào)取個人信息的做法使其獲得的未知信息超出“商業(yè)信息”范疇，也就不適用第三方例外的準則。
偵查人員自行收集個人信息的行為不應超過必要的限度。如2017年日本最高裁判所在GPS偵查案的判決中指出：“GPS 偵查的實施必然會伴隨著對個人活動持續(xù)、全面地掌握，可能會對隱私權造成侵害。此外，將可能造成上述侵害的設備秘密安裝在私人物品上的做法，不同于偵查人員在公共道路上肉眼觀察或拍照攝影等方法，應屬于運用公權力入侵私人領域的偵查行為。”對此，日本學界認為雖然公共區(qū)域內(nèi)的活動通常屬于刑事訴訟中隱私權保障的例外，但偵查人員持續(xù)、全面地收集位置信息，從而依托于信息分析映射出“人物像”時，就有入侵公民私人領域的侵權風險。具體應從強制偵查立法主義出發(fā)，通過立法限定偵查人員對位置信息的收集時間和范圍。
與“不受過度收集”相比，不受分析權利并非是刑事訴訟中個人信息保護的核心。原因在于，刑事訴訟中的個人信息保護針對的是可能存在的信息濫用和隱私干預風險。在傳統(tǒng)偵查活動中，偵查人員通過現(xiàn)場勘查、調(diào)查訪問以及摸底排查等任意偵查行為收集的案件信息，經(jīng)過案情分析同樣有知悉隱私信息的可能性，信息技術的發(fā)展僅是提高了分析行為的可能性，并沒有改變該行為的性質(zhì)。為了防范這種以“任意偵查”之名行“強制偵查”之實的做法，刑事訴訟法應規(guī)制的是前端的過度收集行為，而非分析行為。
綜上所述，在刑事訴訟中，個人信息權主要表現(xiàn)為不受過度收集的權利。刑事司法機關對于“一般信息”的廣泛收集可能使相關結論具有隱私信息的屬性，從而沖擊了以傳統(tǒng)隱私權為基礎構建的刑事訴訟規(guī)則，這也是刑事訴訟保護個人信息的本質(zhì)所在。
(二)個人信息權的依附型入法路徑
現(xiàn)代社會對“過度收集”行為的警惕是為了防范大規(guī)模收集個人信息行為背后可能帶來的隱私權干預風險。個人信息權對刑事訴訟的沖擊在于將“隱私權的實際侵害性”轉(zhuǎn)化為“隱私權的干預風險性”。然而，從權利內(nèi)容來看，不受過度收集針對的是“一般信息”，與傳統(tǒng)隱私權保護的敏感信息并不相同。那么對于這種新興權利應如何予以保護則涉及刑事訴訟中新興權利的入法路徑問題。
在權利時代，新興權利的出現(xiàn)是公民權利意識彰顯的具體表現(xiàn)。一項新興權利的出現(xiàn)代表著權利主張由少數(shù)人的訴求變?yōu)槎鄶?shù)人的共識，從而具備了法律保護的社會基礎。新興權利的入法路徑則反映出法律對待公民權利訴求的態(tài)度。在法治實踐中，根據(jù)新興權利是否可以直接而快速地入法，可以將入法路徑分為兩類：一是激進式入法路徑，即新興權利被直接寫入法律條文；二是漸進式入法路徑，即新興權利通過自然演進的方式，平和而緩慢地進入法治體系。對于刑事訴訟而言，激進式入法路徑通常針對的是程序性權利，如簡易程序選擇權、閱卷權以及上訴權等。原因在于，上述程序性權利多屬于積極性權利，直接引入刑事訴訟法的權利成本較低，國家機關對此負擔的積極義務和消極義務均可保持在一個平衡的狀態(tài)。以簡易程序選擇權為例，被告人和辯護律師申請簡易程序，法院進行形式審查即可。在簡易程序的適用上，被告人選擇適用簡易程序和反悔均存在適用范圍、條件和程序的限制。因此，對于程序性權利這種積極性權利通過立法賦予權利地位的同時，對其進行合理限制即可實現(xiàn)“權利保障”和“防止權利濫用”的雙重目的。
然而，不受過度收集這種消極性權利難以通過直接立法的方式進入刑事訴訟法。原因在于，消極性權利具有刑事訴訟人權屬性，應是犯罪嫌疑人、被告人在刑事訴訟中享有的最低限度保障。對于這類權利，刑事司法機關不僅需要負擔消極義務，即不得任意侵犯的義務；還需要履行積極義務，即通過刑事訴訟程序為其權利侵害提供救濟。從可行性上看，權利入法的成本極高。而從傳統(tǒng)規(guī)范基礎來看，信息隱私權是圍繞著空間、事物、主體三個維度展開的個人本位權利。信息性隱私權在空間上保護的是個人獨處的安寧權，在事物上保護的是對于私人而言具有親密性、敏感性的事物，在主體上保護的是信息主體的控制權。個人信息不受過度收集權利可以歸為信息隱私權的主體維度，從而具有隱私權的人權地位。因此，消極性權利可以采取漸進式入法路徑，以嫁接的方式將其解釋為刑事訴訟中的信息隱私權。
(三)刑事訴訟中個人信息保護的制度構建
刑事訴訟中個人信息保護應以“不受過度收集權利”為規(guī)范對象，以信息性隱私權為保障對象，從而將公權力對一般信息的過度收集行為納入刑事訴訟法的規(guī)制對象之中。在此基礎上，刑事訴訟應適度引入個人信息保護法的基本原則，嚴格限制概括性取證行為帶來的取證對象泛化問題。
1.貫徹落實《個人信息保護法》的基本原則
第一，知情同意原則的區(qū)分適用?！秱€人信息保護法》第14條規(guī)定：“基于個人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出。法律、行政法規(guī)規(guī)定處理個人信息應當取得個人單獨同意或者書面同意的，從其規(guī)定。個人信息的處理目的、處理方式和處理的個人信息種類發(fā)生變更的，應當重新取得個人同意。”知情同意是個人信息收集、儲存、使用、加工、公開等活動的前提條件之一。對于刑事訴訟而言，偵查秘密原則和履行法定職責或法定義務往往使刑事司法成為知情同意原則的適用例外。但本文認為，應針對不同主體區(qū)分知情與同意原則的適用條件。第一步，應對知情同意原則進行區(qū)分。在刑事訴訟中，知情權是犯罪嫌疑人、被告人基礎性權利，公安司法機關的告知義務原則上只能延后并不能免除，除非涉及國家秘密和危及國家安全。同意則具有授權或權利放棄意義，主要是為了協(xié)助公安司法機關處理個人信息而存在的。第二步，在個人信息的收集、儲存、使用環(huán)節(jié)，犯罪嫌疑人、被告人的知情同意根據(jù)偵查機關實施行為的性質(zhì)而有所差異。當偵查人員通過強制偵查收集個人信息時，由于該類偵查行為對公民權利的干預程度較高，應盡可能通過告知的方式來獲取犯罪嫌疑人、被告人的同意，從而使強制偵查轉(zhuǎn)化為經(jīng)同意型偵查。只有當告知可能嚴重影響偵查效率或違反偵查秘密原則時，方可事后告知。在個人信息的公開環(huán)節(jié)，犯罪嫌疑人、被告人應知悉司法公開的內(nèi)容，但是否獲取其自愿同意對于司法公開不具有決定性影響。其他訴訟參與人對是否司法公開以及司法公開的內(nèi)容均有知情同意的權利。
第二，合目的性原則的嚴格審查。在刑事訴訟中，合目的性原則不僅是比例原則的基本要求，也是銜接刑事訴訟程序內(nèi)外個人信息保護的指導思想?！秱€人信息保護法》第6條規(guī)定：“處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式。收集個人信息，應當限于實現(xiàn)處理目的的最小范圍，不得過度收集個人信息。”在刑事訴訟中，個人信息的處理目的主要分為基于國家安全的預防犯罪目的、追訴犯罪目的和司法公開目的，三者與個人信息的合目的原則呈現(xiàn)出逐漸緊密的關系。首先，基于國家安全的預防犯罪目的，刑事司法機關可以基于預防目的事前收集、比對和使用個人信息。此時個人信息與處理目的的關聯(lián)度應當采取較為寬泛的解讀方式，但收集的個人信息僅供預防國家安全犯罪使用，不得他用。其次，基于追訴犯罪目的，刑事司法機關可以通過正當程序收集個人信息。此時個人信息具有特定性，即犯罪嫌疑人的個人信息。因此，刑事司法機關不得基于預防犯罪目的收集不特定人員的個人信息，應遵循“最小范圍”的條件限制。最后，當刑事司法基于司法公開目的進行個人信息處理時，“由于司法公開的本質(zhì)是在有限時空條件下針對特定主體的公開，既不得影響法官獨立、公正行使審判權，也不得過分暴露當事人的隱私及個人信息”。因此，刑事司法機關基于司法公開目的披露個人信息時，應盡可能保護刑事訴訟當事人的個人信息。在判斷是否與處理目的“有關”時，應采取較為嚴格的判斷標準。
2.刑事訴訟應重點限制概括性收集行為
在刑事訴訟中，個人信息保護更多表現(xiàn)為針對風險的前置性保護，如防范偵查人員通過任意偵查大量收集一般信息從而獲得隱私信息。因此，刑事訴訟對于個人信息保護的重點在于收集、使用。在理想狀態(tài)下，應既限制偵查人員概括性收集個人信息，又限制偵查人員的利用個人信息進行分析。然而，現(xiàn)實情況是，公安司法機關的數(shù)據(jù)分析、處理行為均屬于內(nèi)部活動，表現(xiàn)為案情分析、會議研討、自由心證等。這種對已有證據(jù)或情報的分析過程就如同“算法”一樣必然是不公開的。事實上，即使是域外國家也并未將案件分析過程作為個人信息保護的重點。對于刑事訴訟而言，個人信息保護的重點在于如何限制概括性收集行為，而非分析行為。具體表現(xiàn)為：第一，在偵查過程中，過度收集個人信息在拓展偵查取證范圍的同時，也可能會催生出侵犯公民隱私權和財產(chǎn)權的新型風險，“尤其體現(xiàn)在電子數(shù)據(jù)搜查、扣押中概括式取證方式對偵查對象特定性原則的沖擊。”對此，應盡可能地限制偵查人員收集個人信息的概括性，具體可通過保障犯罪嫌疑人的知情權和明確偵查取證的相關性來予以完善。當偵查人員通過任意偵查收集個人信息時，由于此類偵查措施的干預程度較低，在收集時無須經(jīng)過數(shù)據(jù)主體的同意。但鑒于對一般信息“不受過度收集權利”的保護，偵查人員仍須事后告知犯罪嫌疑人。對于被害人和其他訴訟參與人而言，刑事司法機關收集、儲存以及使用其個人信息均須在知情同意的基礎上。當偵查人員收集個人信息時，原則上可識別性個人信息必須與案件事實具有清晰的相關性，偵查人員不得基于預測犯罪目的或因偵查取證的技術能力不足而概括性收集個人信息。第二，在刑事審判過程中，“我國刑事遠程審判的實踐探索歷時十余載，已初步實現(xiàn)了對于訴訟形態(tài)的外部改造——以網(wǎng)絡信息化技術拓展了法庭的運作空間”。由線下到線上、線下相結合的審判方式改革必然會使審判機關擴大對個人信息的收集廣度和深度，對此也應予以限制。具體而言，在遠程審判的身份認證上，應以確認訴訟主體身份真實為限，不得過度收集訴訟主體諸如指紋、人臉識別等生物信息。在證據(jù)審查上，應依照《刑事訴訟法》規(guī)定的證據(jù)種類進行審查，避免與案件無關或具有品格傾向的證據(jù)借由電子數(shù)據(jù)進入法庭審判之中。在審判過程中，審判機關收集和公開的個人信息也應僅限于身份審查、證據(jù)材料、法律文書中涉及的個人信息。
?。▍峭?，北京大學法學院訴訟法專業(yè)博士研究生。）
Abstract：In criminal procedure，the right to personal information does not conform to the human rights characteristics of criminal procedure centered on due process right，in which the right to be forgotten and the right to access data possess no attributes of independent litigation right.The theory of the independent right to personal information lacks a legitimate basis and should not be used as the protection model of personal information in criminal proceedings.Given the particularity of interest measurement and the individuality and negativity of human rights in criminal procedure，the protection of personal information in the criminal procedure should be aimed at the risk of transformation from collective general information to private sensitive information.Specifically，it is the right of personal information not to be excessively collected.Accordingly，the personal information protection should be included in the scope of criminal procedure by the conceptual interpretation of the informational privacy，i.e.，the dependency protection model.In this regard，the criminal proceeding should appropriately introduce the basic principles of personal information protection and the limited general forensic to deal with the impact and challenge of emerging right claim on the criminal justice system.
Keywords：Personal Information；Basic Rights；Personal Information Protection Law；Dependency Protection
(責任編輯 杜 磊)
京公網(wǎng)安備 11010102003980號