翟 帅

（郑州航空工业管理学院法学院 郑州 450046）（onlyzhaishuai＠163．com）

1 问题的提出

在信息社会，个人信息是重要的社会基础资源．信息采集和信息交换的基础在于它们能够优化决策［1］．商业组织通过消费信息的比对分析，拟定恰当之经营策略，利于创造巨额的商业利润；政府机构透过居民信息的采集甄别，制定科学的法律政策；个体交往基于准确的个人信息，能够节约交易成本，降低“信息鸿沟”带来的风险；公益性组织如医院、研究机构通过对众多个体信息的追踪分析、对比研究可以有效寻求解决生理及社会问题之方案．信息乃支撑政治、经济及社会决策的重要命脉［2］．个人信息所蕴含的巨大商业价值、管理价值、交往价值以及研究价值，促使个人信息成为各类社会主体竞相争夺的对象．

通信手段与网络技术的快速发展推动了个人信息的透明化，便利了获取与利用个人信息的同时亦催生了侵犯个人信息的可能．由于信息传播方式的革命性变化，传统媒体所具有的自净与过滤功能被解构［3］．在不同目的的驱动下，过度收集、不当存储、擅自披露、恶意滥用、非法交易等行为造成信息主体人身与财产的损害，加之对互联网系统安全措施的不信任产生顾虑，使信息化社会信息共享与自由流动的制度建设中个人信息保护成为亟需解决的课题．没有个人信息的保护，公民在信息社会的思想与行动自由就无法保障［4］．信息是信息时代的中心问题，应该被纳入法学理论的研究视野［5］．当前我国对于信息保护已有了实定法基础，但立法散见于众多法律法规及规章条例，行业分割严重，欠缺体系性与整体性，如《宪法》《未成年人保护法》《妇女权益保护法》《消费者权益保护法》《电信条例》《互联网信息服务管理办法》《居民身份证法》《传染病防治法》《邮电法》等均有规定．尤其对于个人信息保护的立法模式以及规制范围等基础性内容尚未取得统一认识，无法有效提炼回应当下严峻的司法实务困境的操作性措施，难以保障个人信息安全，更罔论推进信息共享的有序发展．个人信息保护法立法涉及各个不同利益集团间复杂的关系，在制定过程中较难取得一致性意见．在立法模式、使用范围、行为方式、执行机构、特定行业信息、跨境信息流通以及与其他部门法关系等诸多方面存在较大争议，导致个人信息保护呈现出“碎片化”现象．自2003年国务院委托相关专家起草《个人信息保护法》启动立法程序，至今已过去10余年，期间我国经济社会环境，尤其是网络科技与电子商务发展，对个人信息的使用与侵害出现了新的类型，当务之急在于理论上深入讨论和及时因应客观情势提取立法规范的素材，而非形式上的法律，否则将徒增尴尬，欲速不达．同时，依托信息科技的电子商务推动了经营全球化，利用与传递个人信息逐步迈出一国之藩篱，对于法律调整速度尚未与科技进步同步的我国，为避免个人信息保护标准与国际组织、发达国家产生的失衡而引发的标准战争（standards war），借鉴与总结域外个人信息保护立法模式与规制范围的经验与教训，成为我国立法政策上的当务之急．

2 域外个人信息保护之立法模式

信息，是指可供通信系统传输和处理的可以识别和获取的对象．个人信息，意指源于个人生理或社会活动生成的可供识别来源主体的任何符号，多与个人资料、个人数据、个体资讯等概念相混同适用．随着信息储存与处理技术的发展，信息利用过程产生的争议日渐严峻，逐渐引起各国关注，设置各异的权利形态予以规制．整体看，个人信息权基于其特殊的客体、行权方式，与藉由传统人格权、隐私权、信息自决权对个人信息进行保护，从理论基础与实施效果上看均属间接保护，都存在不同的难以克服的缺陷．因此，当今各国立法重点逐渐倾向直接对信息的保护，专门进行冠以“个人信息保护”的立法．在欧洲，比较流行的观点仍然是将个人信息作为一项独立的权利对待［6］．和任何一个学科一样，对法律及其性质、体系、内部结构和具体规则可以从不同的角度加以理解和定义，因而存在不同的流派和争论［7］．虽然多数发达国家与地区对个人信息进行专门立法保护，盖因法治传统差异而采取不同之立法模式，大致有综合立法模式、部门立法模式以及安全港立法模式．

综合立法模式又称统一立法模式，是指对于所有国家机关和社会主体采集、存储以及利用个人信息统一立法，对公法领域和私法领域个人资料保护统一规范，打破不同部门的分割现状，其实质是“政府管制为主、行业自律为辅”．1970年德国黑森州制定了世界第1部综合性个人资料保护法．随后，联邦德国于1976年制定了《个人资料保护法》，全面系统地制定了个人信息保护规范，并在2003年为适应欧盟个人信息保护立法改革的需要进行了修正．1995年欧盟议会及欧盟理事会制定的《关于保护个人资料处理与自由流通指令》（EU Data Protection Directive），也采取了综合的立法模式．《指令》的颁布为欧盟各国个人信息的保护提供了具体的思路和最低的标准，但立法模式及具体规则交由各国国内法决定．同时，《指令》提出第三国隐私权保护只有达至欧盟委员会认可的标准（An Adequate Level of Protection），方得从欧盟向其国内进行跨境个人信息的传递，立法政策的溢出效果（spillover effects）促使非欧盟国家提升本国个人信息保护的立法．OECD于1980年颁布《管理保护个人隐私及跨国界流通个人资料指导纲要》（OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data），亦以统一立法的思路列举了隐私权保护的八大原则，指导各国立法实践．1998年英国颁布《个人资料保护法》对个人信息的保护进行综合立法，该法可操作性较低，在适用上基本被特殊行业立法所“架空”．加拿大“Personal Information Protection and Electronic Documents Act”亦采取综合立法模式．如1992年“Trade Union and Labour Relations Act”在劳动领域的个人信息保护优先适用．我国台湾地区2004年颁布《个人资料保护法》，亦采取统一立法模式，分别在第16条和第19条规定了公务机关和非公务机关收集、利用和处理个人资料之规范．

部门立法模式又称分散立法，是指各个部门根据行业特质或不同领域需求分别对个人信息保护立法，公法领域和私法领域分别立法加以调整，没有关于个人信息保护的基本法．申言之，采取单项立法模式．美国1974年颁布“The Privacy Act of 1974”，美国将个人信息保护领域分为公共领域和私人领域．公共领域的立法主要是防止政府侵犯个人隐私权的行为；私人领域的立法则是政府行为之外对信息隐私权的保护［8］．在公共领域，鉴于政府权力过大，侵害公民信息隐私更为隐蔽，因而以立法的方式规制政府收集、利用和处理个人信息，确认政府收集个人信息的基本原则．在私人领域，对于个人信息的保护依赖市场自我调节，主要以行业自律的方式对个人信息进行保护．2003年《日本行政机关个人资料保护法》亦仅规制行政机关利用个人信息，二者均不涉及私人领域．对于私法领域，以自主规范为原则，但对金融、医疗卫生以及通信领域进行单独立法．亚太经合组织2004年通过《隐私权保护框架》，主要对电子商务发展过程中收集、利用以及传递个人信息的基本原则加以宣示．

美国后期发现如果采取国家立法模式可能桎梏科技信息企业的发展，并抑制对信息的共享与使用，而完全采取自律模式又不能有力保护个人信息，因而逐渐过渡到安全港模式．安全港模式是指国家并不进行个人信息保护立法，而是将此项任务交由行业组织进行自律规范，再经由相应主管部门审查认可后即具有法律效力，遵守自律规则即意味着遵守法律的立法模式，其实质是“行业自律为主、政府管制为辅”．如《公平信用报告法》（Fair Credit Reporting Act）、《金融隐 私权法》（Right to Financial Privacy Act）、《录像隐私保护法》（Video Privacy Protection Act）等数十个相关领域隐私保护法案相继颁行．当然，如果联邦贸易委员会审查发现其所批准的自律规范不足以保护个人信息隐私权，即可加以撤销．

从相关文本内容看，综合立法模式对个人信息保护提出了较为全面明确的标准，虽然可以提供解决个人信息保护的操作性规范，但存在4个方面不足：一是过于依赖国家权力的介入，桎梏了社会行业组织的力量，社会治理的成本与效果并不能匹配．二是对于公法领域与私人领域统一立法，有时为了调和二者之间的体质差异，不能不进行柔性处理，跨领域规范过于原则．三是对于特殊行业适法性欠缺，某些行业基于自身的特殊性需要以特别规范进行规制，综合立法模式不得不进行1次或多次授权立法．授权立法不能没有标准和节制，被授予的权力不能再转授，这是公认的法律原则［9］．四是模糊了权利保护的界限，由于公法领域与私人领域共用1套规范，对于权利性质的解读造成一定迷惑，不利于理论探讨．部门立法模式虽可以对政府利用公权力收集和处理个人信息加以控制，但在私人领域依赖市场自律调节，在企业占据市场支配地位的营商环境下有利用自己优势地位收集和不当利用个人信息的机会主义，而行业组织的自律又在主体性质上决定了其无法有效约束企业行为，致使促进信息流通与共享的初衷难以实现．我国目前的局面属于分散立法模式，虽然可以避免统一立法的“一刀切”但也产生个人信息保护体系的错综复杂，保护标准不一甚至冲突的后果．安全港立法模式既避免了国家立法的武断，又兼顾了行业的特性，并以国家审查作为宏观控制，可以对个人信息进行双重保护．因而，我国今后可以遵循安全港立法模式，加强规范政府收集和利用个人信息行为，同时针对个人信息保护较为迫切并发展比较成熟的行业，如新闻业、资料卫生业、银行金融业、邮电通信业以及互联网行业进行行业自律，由国家对其标准进行审查．

3 域外个人信息保护之规制范围

个人信息保护的前提是基于概念的科学界定，否则潜在的相关争议势必层出不穷，也会造成司法实践的不顺畅．为避免实用上的争议，相关国家及组织在专门立法中均对个人信息（资料）进行了定义，阐述个人信息之实质内涵与可能外延．整体看，关于个人信息（资料）之定义有列举加概括式以及概括式2种立法例，同时在一般个人信息之上列举了敏感信息，并设定了更为严格的收集与利用要件．

3．1 个人信息保护规制范围之立法例

列举加概括式的立法例，该种立法例通常将典型的个人信息进行列举，并在最后进行兜底定义，避免列举的不完备．但由于各国立法考量因素不同，对于列举的典型个人信息不尽相同．日本《行政机关个人资料保护法》第2条第2款规定个人资料系关于生存个人的信息，包含姓名及出生年月日及其他根据记录能识别的个人信息［10］．我国台湾地区采取列举加概括式立法例，《个人资料保护法》第2条第1款规定：即个人资料指自然人之姓名、出生年月日、国民身份证统一编号、护照号码、特征、指纹、婚姻、家庭、教育、职业病历、医疗、基因、性生活、健康检查、犯罪前科、联络方式、财务情况、社会活动及其他得以直接或间接方式识别的个人资料．美国“The Privacy Act of 1974”指出个人资料是行政机关保存的关于个人任何项目、群组信息，包括但不限于教育、财务、医疗、犯罪或职业履历，以及包含个人姓名、识别号码、特征以及其他表征特征的指纹、声纹或照片．

概括式的立法例，并不列举典型的个人信息形态，而仅对个人信息进行定义，将是否符合定义的个人信息之判断交由行政机关或司法机关进行．1995欧洲议会暨欧盟理事会《关于保护个人资料处理与自由流通指令》采取概括式立法例，将个人资料定义为有关识别或可识别之个人任何信息．为解释上的必要，并将“可识别”描述为得直接或间接识别的个人信息，尤其通过身份证号以及1个或多个与其身体、生理、精神、经济、文化或社会身份关联的多种因素加以确定．OECD《管理保护个人隐私及跨国界流通个人资料指导纲要》，与《指令》定义一致．联邦德国《个人资料保护法》第3条第1款规定：（个人资料）是指任何关于识别或可识别资料主体的个人或具体情况信息．英国《个人资料保护法》第1条将个人资料定义为“有关识别或可识别之个人任何信息”．

从各国个人资料的定义看，在下列方面各国立法较为一致：其一，仅涉及自然人主体，不涉及组织；其二，该自然人必须以生存者为限，个人资料立法的动因在于保护人格的完整与自由，只得由生存自然人行使，对于侵害死者的个人资料之行为，往往通过名誉权的维护加以救济；其三，资料具有可识别性，即虽未明确指名道姓，但基于相关信息可以确定揭露、识别或联系到特定的主体．当然，能够确定特定的主体，并不以主体真实姓名为限，若通过笔名或艺名可以确定，仍认为是个人资料．关于识别的方式，无非以直接或间接的方式．直接方式即可通过信息较为简单地联系锁定特定主体，不需要过多推敲，如身份证号、电话号码、肖像等信息．间接的方式即有赖于相关信息的组合、辨别、对照，得以确定特定主体，例如，新闻报道中记述“矛盾文学奖史上最年轻获奖者”，依据相关记录辨别可以确定主体无虞．从本质上看，个人资料的核心在于与保护主体的勾连，任何信息可归属于个人资料其原因在于与主体的联系并可被识别，通过此种信息的分析，可将主体予以特定化，否则仅是单纯的信息．对于互联网巨量的信息，既有与特定个人联系的信息，也有仅与虚拟用户关联的信息，还有与任何用户都无关的信息．与个人资料脱连的信息，并不会造成特定主体隐私权遭受侵害，不属于个人信息保护之中的个人资料．换言之，即使通过详细列举的方式明定各种类型之信息，若不具备与主体连接的特性，亦不能称之为个人资料．在司法实务中必须采取目的性限缩解释，不得认为法条所列举的各类型信息当然成为法律保护个人资料．

我国传统民法无法给出解决个人信息保护难题的可行方案，虽然在理论上对个人信息权属性与外延仍在探讨之中．但基于比较法经验，以个人信息保护的专门立法为依据，方能够全面积极回应社会之需求，弥补人格权与隐私权对个人信息保护的不足．我国在制定个人资料保护法中必须认识到这一问题，无论采取列举加概括式立法例，还是采取概括式立法例，均应将“可识别性”作为认定个人资料核心要素．同时，为了照顾一般民众之理解和提升行政与司法效率，在明确个人信息的可识别性与关联性特质之外，可以采取典型个人信息样态的列举．《中华人民共和国个人信息保护法（专家建议稿）》将个人信息定义为：个人信息是指与一个身份已经被识别或身份可以被识别的自然人相关的任何信息，包括个人姓名、住址、出生日期、身份证号码、医疗记录、人事记录、照片等单独或与其他信息对照可以识别特定的个人的信息［11］．这一定义应当说是较为精准和科学的，但在典型个人信息列举上可以进行相应扩展，并非局限于这几种类型．

3．2 敏感个人信息之特殊保护

1995欧洲议会暨欧盟理事会《关于保护个人资料处理与自由流通指令》第8条第1项与第5项特别声明了敏感信息：种族、血缘、政治倾向、宗教、信仰、工会成员、医疗、性生活以及与犯罪、有罪刑事判决等资料，仅在政府控制或法律提供适当保护措施之时方得收集与利用．联邦德国《个人资料保护法》规定：种族、血缘、政治观点、宗教及哲学信仰、政党、健康状况和性生活作为敏感信息．英国《个人资料保护法》将种族、政治观点、宗教信仰及类似信仰、工会成员、身体及精神健康、性生活、犯罪前科等视为敏感信息．我国台湾地区《个人资料保护法》将医疗、基因、性生活、犯罪前科及健康检查等列入敏感信息．当然，对于有些国家如日本，在个人资料保护的基本法中并未区分一般个人信息与敏感性个人信息，而是依特别法的规定进行特殊保护．

以列举的方式明定敏感的个人信息存在以下应予注意的问题：一是何种信息应被列入敏感信息，这是立法需要慎重考虑的［12］．德国经历人种歧视和种族残杀的悲痛历史，对于种族和血缘等识别人种的个人信息列为敏感信息是有着审慎的态度．对于我国历来主张和实施民族团结，各民族一律平等政策，实践中长期在各种信息填报上要求将“民族”信息作为必须写明的事项，民众也习以为常，因而“民族”与“血缘”在我国可否作为敏感信息笔者持否定的态度．二是敏感信息的内涵如何科学界定．或许因为文化传统与法律传统的差异，欧洲诸国对于宗教与信仰能够清晰地加以界分，我国长期将宗教与信仰合并使用，将宗教与信仰进行界分的立法技术存在较大难度．三是特殊的敏感信息与一般个人信息之间如何区分，才不至于造成法律适用上的困惑．我国台湾地区将“医疗”、“健康检查”列为敏感信息，而“病历”作为一般个人信息，这给实务带来极大的不便．且不论医疗与健康检查之区分，单就医疗、健康检查与其过程中的物质载体——病历——存在天然的联系，实属难以清除甄别，使行政机关及司法机关在适用相关概念时不得不小心慎重．因而，我们在立法过程中除非能够在定义上科学地区分相关个人信息样态的区别，否则尽量避免在类型区分上的过细．四是如何避免实务中规避敏感个人信息的替代模式．例如，由于女性面临着“孕期、产期、哺乳期”问题，会给组织工作带来一定的影响．不少组织在招聘女性的过程中会着重关注该求职女性是否结婚并孕子，是否结婚，是否有男朋友，是否有结婚规划等等，并在基本技能或条件差不多的情形下，优先考虑已婚已育的女性，其次考虑已婚未育的女性，最后才是未婚未育的女性．组织招聘中并不会直接以敏感性信息“性生活”进行询问，以规避法律风险．对于敏感信息的替代，立法不得不重点关注．立法技术本身并无对错之分，却存在优劣之别，唯有结合特定的法律传统以及法学教育背景，才能作出何种立法技术更有适应性的判断［13］．具有可识别性的个人身份信息能够识别公民个体，进而能够将公民个人信息进行分类，形成公民个人身份信息系统“资源”［14］．在我国法治语境下为促进个人信息的流通与共享，促进经济社会发展，应将个人信息划分为不同层次，即基本个人信息与敏感个人信息．对于基本个人信息如姓名、民族、出生年月、政治面貌、证件号码、婚姻状态、教育背景、职业经历、受到的奖惩以及相关的通信方式，各类组织仅需尽到一般注意义务即可收集与利用．对于敏感个人信息如身体健康（尤其是病历）、家庭关系、怀孕计划、政治信仰、犯罪前科、财务状况、前任职薪酬、性经历以及特殊行业的特殊信息需求等信息，各类组织在尽到较高注意义务之后（如征求书面同意并履行特定保护措施），方得进行收集与利用．个人信息保护的二分法才能更好地调适公平与效率间的关系，避免厚此薄彼，又能强化对个人信息的保护．

4 个人信息之合理利用

市民社会是各个成员作为独立的单个人的联合，因而就是在抽象普遍中的联合．这种联合是通过社会成员的需要，通过保障人身和财产的法律制度和通过维护他们特殊利益和公共利益的外部秩序建立起来的［15］．鉴于个人资料对个人人格自由与完整具有重大意义，对个人资料的收集、处理与利用确有必要加以限制保护，但群体生活也必须考量社会共同生活的便利及发展，若对个人资料无限保护，将有碍社会进步，相当于课以相对人无限之义务．因而，有必要对个人资料保护范围进行适当的限定，在一定范围内允许合理利用个人资料．将大量彼此不同、而且本身极度复杂的生活事件，以明了的方式予以归类，用清晰易辨的要素加以描述，并赋予其法律意义上相同者同样的法律效果，正是法律的任务所在［16］．基于对各国立法实践的总结与提炼，以下几种利用个人资料之情形在我国今后立法中应予重视，应明确例外适用的规范标准或构成要件，防止适法上的困境．

4．1 无关职业且未获利之私人生活行为

群体生活仰赖相互交往，为便于联系所进行的诸如建立手机通信录、微信聊天群、邮箱联系人等收集、存储及传递个人信息等行为，系单纯私人生活且与职业行为无关，一般不会造成个人资料主体利益受损，在立法中应予排除个人资料保护范围之外．否则，无端抬高私人生活的成本，造成不便．但诸如学校建立通信录，研究会建立信息档案，涉及个人资料的收集、存储及传递，并非单纯的生活行为，应予以规范．《指令》第3条第2项规定：因单纯个人或家庭活动涉及个人资料处理不适用指令，但是与职业无关的私人生活行为也会因家庭成员的特殊性受到其他主体关注，私人生活或家庭生活中信息的收集与传递可能因部分成员受到引诱擅自出卖此种信息．因而，《欧盟指令（修正草案）》第2条第2项之d对此予以关注，将因单纯个人或家庭获得行为涉及个人资料处理进一步加以限制，在处理个人资料中不得有利益之获得，即“on the free movement”，否则，仍有适用《指令》之空间．这种立法指导思想既照顾到私人和家庭生活的便利，也谨慎地排除了可能存在的侵权空间，对今后我国立法具有重大的参考意义．

4．2 个人自决行为

个人自决行为多系个人信息经自主决定予以公开，使他人得以获悉其个人信息，本人应已预见其行为所带来之影响．在“Katz V．United States”一案，美国联邦最高法院论及个人明知自我行为会将个人信息暴露于公众目光之下，即使事实上并未引起他人注意，但对于所曝光的信息，本人丧失了合理的隐私期待（reasonable expectation of privacy）．在日常生活中广泛地存在此类行为，如为了扩展人脉，个人将其名片交递给他人保存抑或为扩大交际在互联网上公布自己的照片、联系方式等信息．为了避免责任引火烧身，不少通信软件在个人信息公开时设定了选择程序，个人有权可以选择对所有人公开信息或是选择部分群体进行信息公开，以及在个人资料填报之时对各类信息的填写充分交由当事人自决，减少强制填写的内容．我国台湾地区《个人资料保护法》第51条第1款第2项规定于公开场所或公开活动中收集、处理或利用未与其他个人资料结合的影音资料，不适用于本法．当然，如果公布合照、集体录像等，须经其他当事人同意，否则构成侵犯隐私权或违反个人资料保护法．2007年Google公司进行Street View，在网络上展示城市街道实时景况，方便旅行者观光，受到极大的关注．但细心者发现在许多路人、门牌号码、车牌号码甚至许多不雅行为均被展示出来，虽然Google公司辩称此举有利于社会公共利益，但在利益权衡之后，被加拿大、日本等国家予以约谈，要求进行删除或马赛克处理，以防止个人资料的不当散播．对于经个人自决行为所已经公开的个人资料，虽可以为他人获取和储存，但并不意味着丧失了法律的保护，尤其在网络迅速发展的今天，许多业已经当事人自愿或非法披露的个人信息，若再次传播利用（secondary use），会对当事人造成二次不良影响．因此，当事人有权要求业已公开的个人信息不被非法传递与再次公开的权利，即当事人有被遗忘之权利（the right to be forgotten and to erasure）．2016年欧盟颁布《一般数据保护法规》（The EU General Data Protection Regulation，GDPR），引入“被遗忘权”等新型权利，增强网络用户对个人信息的“控制力”．

4．3 为公共利益且与必要限度内之行为

英国《个人资料保护法》附录2第5条规定：“为实现公平正义”、“基于公共利益执行职能”，且具有必要性时收集与利用个人资料方得不受本法限制．联邦德国《个人资料保护法》亦有“为避免公共健康等重大不利益、公共安全威胁或为保护公共安全等重大利益时”，方可不受本法限制．日本《行政机关个人资料保护法》第8条第2款第2项规定：政府机关在执行法定任务，并具有相当理由和在必要限度内，才不受本法约束．我国台湾地区《个人资料保护法》也设置有“为增进公共利益”之例外适用条款．

一般而言，为公共利益而例外适用个人信息保护法的主体多为政府机关．对于公共利益这一本身具有模糊性的概念，应当进行必要的限制．对于政府机关，所有机关的行为均可纳入为公共利益的目的范畴，这样就给政府机关不当收集和利用个人信息寻找到“正当化”理由，纵容政府机关的不正当行为．一个负责任的政府必须准备证明它所做的任何事情的正当性，特别是当它限制公民自由的时候［17］．笔者认为，对于为公共利益之目的之例外行为，应符合比例原则的精神．比例原则的价值追求在于通过规制公共权力行使的手段和强度，规范国家恰当地行使人民赋予的权力，在公共利益与个体利益之间作出适当的平衡．想要借规范来规整特定生活领域的立法者，在立法时就必须受规范的企图、正义或合目的性考量的指引［18］．整体看，比例原则强调手段与目的不得错位，因而各国均在为公共利益目的之上设置了必要的限制条件．联邦德国《个人资料保护法》14条第2款第5项规定为公共利益行为应符合特定主体之利益，且特定主体在获悉后亦不会拒绝．日本《行政机关个人资料保护法》第21条第3款规定为保护个人生命、财产与人身，并取得当事人同意存在困难之时．我国台湾地区《个人资料保护法》规定为避免个人生命、财产与人身之危险，且有利于当事人权利．当然，除了必要性限制外，也要进行相应的时间限制，否则合理利用制度将成为法律非地，架空基本保护规范．

4．4 法令行为

法令行为，即法令明确规定的特殊主体信息必须予以主动披露的规范要求，其本质也是权利保障的实质与利益衡量的对比．法律是平衡利益的制度设计，是对存有冲突的利益格局所进行价值衡量和选择的结果，从公民权利保护出发限制公权力还是权利对抗中的正义性要求都仰赖于目的和手段之间的数量关系．如依公司治理的要求，各国与地区均在公司法与证券法中规定董监高公布其个人信息，持股比例以及个人履历是其法定之职责；以及选举中候选人公布其个人财产、经历均是必须履行的法定程序．再如国家对于部分关涉公共安全维护的行为（购买火车票、酒店住宿等）采取实名制，实行实名制政策不仅要求有关部门在宏观层面上对整个公共秩序肩负起更全面的保障责任，而且要求其在微观层面对个人的信息安全以及基于此的人身权益，履行和提供更深入细致的保护义务［19］．在此过程中对业已公布的个人信息，其他主体可以予以收集和储存．同个人自决行为一致的是，基于法令要求予以公示的信息，相关利益主体仅得收集与储存，并非意味着恣意的利用．

4．5 特殊行业的适用例外

由于某些行业具有特定的业务要求，必须使用个人资料．例如，新闻出版、电视广播等媒体，因公众的信赖，必须正确传递信息，通过新闻报道即可识别特定主体．为避免媒体行业的发展限制，许多国家均对此行业收集和使用个人资料加以豁免．加拿大“Personal Information Protection and Electronic Documents Act”第7条规定：为新闻报道、文学著述（指传记文学）为目的而收集个人资料不受本法调整．再如，对于律师进行的尽职调查活动，必然要收集与分析特定主体各方面之信息，从而降低受雇方在交易中的风险．以及相当数量的学术研究，均涉及对特定主体信息的分析．

特殊行业的适用例外其精髓仍是比例原则作为分析工具或评价方法的扩展适用，其差异仅在于私法中的适用强度不同于公法领域．宪法上人权保障原则，排除基于统治关系正当性的合目的性与必要性原则，与民法最为接近的应属蕴含了法益权衡的比例原则，将原本公益与人权间的衡量转移到人权与人权之间并无不妥［20］．权利主体间的利益冲突最终要寻找到一个适当的平衡点，如何使利益与损失的配置达至妥适的比例是私法领域解决问题的焦点．谁若根据目的、手段和附带后果来作为他行为的取向，而且同时既把手段与目的，也把目的与附带后果，以及最后把各种可能的目的相比较，作出合乎理性的权衡，这就是合乎目的理性的行为［21］．一方当事人行使权利明显与民法规范预设的利益分配格局产生距离时，影响社会生活的安定，此种权利的行使必然受到一定程度的调整，由此产生具体的利益衡量问题．若第三方收集与利用特定主体之个人信息，有高于个人信息保护的价值判断时，可不适用个人信息保护规范．这种例外规定可以参考我国《著作权法》关于著作权合理利用制度．“合理利用”制度抗辩个人信息保护，其本质仍在于利益权衡．因而，对于特殊行业在收集与利用个人信息中不得随意传播、进行匿名化处理、妥善保存等必要义务不得免除．