刑事诉讼中个人信息保护的模式及优化

　　党的二十大报告强调，加强个人信息保护。但由于侦查秘密原则与国家安全利益的考量，刑事诉讼中的个人信息保护较少有人关注。随着个人信息保护法等信息网络法律法规的实施，在刑事诉讼中加强个人信息保护已成为学界共识。如何在刑事诉讼中保护个人信息？笔者基于权利保护与义务保护两种模式试对此进行探讨。

　　刑事诉讼中个人信息的权利保护模式

　　个人信息的权利保护模式是指通过赋予诉讼主体个人信息权利的方式保护个人信息。该模式主要来源于私法领域，与私法领域中“私人物品—信息自决—积极赋权”的逻辑相契合。个人信息保护法第一条增加“根据宪法，制定本法”的表述，为权利保护模式从私法领域向公法领域的迁延提供了规范依据。此外，权利保护模式体现在诸多刑事诉讼规范性文件中，具备深厚的制度根基。但个人信息权利保护模式还存在一定理论障碍，具体体现在以下三个方面：

　　首先，个人信息权利的确权必要性不足。面对私法领域“权利论”与“利益论”的争议，个人信息保护法最终选择“利益论”立场，没有建立一种排他性、支配性的个人信息权。笔者认为，在个人信息保护法已经使用“个人信息权益”情况下，如果刑事诉讼旨在引入一项具有完整独立内涵的个人信息权利而非权益，需要足够的制度与理论支撑。此外，公法领域的“国家义务论”摒弃权利保护模式，而是以义务保护或权力规范方式主导个人信息保护的实践。这种理念更贴近我国刑事诉讼的程序特质，在此情况下，权利保护模式面临必要性危机，个人信息权的生成空间也被进一步压缩。

　　其次，个人信息权利的权利结构不清。一方面，个人信息权的价值结构不清，学界目前存在“单层结构说”“双层结构说”两种观点，前者主张个人信息的权利价值在于捍卫个人对于自身信息的支配与控制，即个人信息的自主决定是一项值得追求的价值；后者认为保护个人信息的根本目的在于维护人的尊严和自由，法律仅将个人信息权益作为一种手段性或工具性权利。在刑事诉讼中保护个人信息是否仅是追求实体价值的手段？保障诉讼主体的信息自决是不是要达到的目的？笔者认为，个人信息权内部价值结构不明不仅影响刑事诉讼中保护个人信息的正当性，还干扰个人信息自决价值的独立性判断。另一方面，个人信息权的体系结构不清。对于个人信息权与其组成部分的具体权利之间的逻辑关系，私法学者认为后者是个人信息权的具体权能，公法学者认为具体权利是具有工具性、过程性、场景性的权利束。然而，个人信息保护法在第一条使用了“个人信息权益”术语，却在第四章运用了“个人在个人信息处理活动中的权利”的措辞。前者出现在个人信息保护法总则部分，但以“权益”为落脚点；后者虽然出现在分则部分，却以“权利”为中心词。这使得刑事诉讼中个人信息权的内部体系结构不明。

　　最后，个人信息权利的行使限度不明。一是权利范围不明。个人信息保护法中的各项具体权利是否均能引入刑事诉讼活动，值得探讨。二是权利内容不明。个人信息保护法中的具体权利是否在内容要件上需要与刑事诉讼活动保持一致？三是权利限制要件不明。个人信息权需要根据打击犯罪的需求进行必要限缩，但具体的行权边界与限缩程度不明。

　　刑事诉讼中个人信息的义务保护模式

　　个人信息的义务保护模式是指通过赋予公权力机关国家保护义务的方式保护个人信息。该模式主要形成于公法领域，与公法领域“公共物品—公共利益—国家义务”的逻辑一脉相承。义务保护模式契合我国刑事诉讼中职权主义的传统，具有丰富的规范基础。在消极义务方面，刑事诉讼法第五十二条规定的“严禁刑讯逼供和以威胁、引诱、欺骗以及其他非法方法收集证据”体现了刑事司法机关对个人信息处理权力的自我规范与限缩。在积极义务方面，刑事诉讼法赋予公权力机关大量告知义务。例如，告知犯罪嫌疑人有权委托辩护人（第三十四条）、告知被害人复查决定（第一百八十条）、告知当事人申请回避（第一百九十条）等。然而，由于我国刑事诉讼中个人信息保护规则尚未完善，义务保护模式中也存在如下问题：

　　首先，义务保护模式采取间接保护而非直接保护。一方面，保护客体具有间接性。刑事诉讼程序并未将个人信息作为直接的保护对象，而是通过保护个人隐私、国家秘密、商业秘密与电子数据等客体的方式间接实现保护个人信息的效果。另一方面，保护目的具有间接性。尽管个人信息穿插于线索、材料、证据、卷宗之中，个人信息处理活动也贯穿于刑事诉讼的全流程，但是保护个人信息并非刑事诉讼程序的制度目的，而只是间接发挥的制度功能。

　　其次，义务保护模式采取片面保护而非全面保护。一是保护客体的片面性。刑事诉讼中个人信息的保护客体主要是隐私信息与通信信息，却对其他个人信息的关注明显不足。二是保护环节的片面性。义务保护模式容易陷入“收集中心主义”的制度误区，将个人信息处理片面理解为收集、获取个人信息的行为，而未能覆盖个人信息处理的全周期，无法规制分析、存储等环节中的数据风险。保护环节的片面性未能建立个人信息处理的完整概念，漠视其他个人信息处理活动独立的程序地位，损害了义务保护模式程序规制的周延性。三是保护方式的片面性。刑事诉讼多将保护个人信息作为程序设计的例外规定，呈现出“例外保护，原则不保护”的制度特征。例如，刑事诉讼法第一百二十二条、第二百零七条将补充或者改正权利的对象限定为讯问笔录与法庭笔录。此外，当事人无法对其他错误及过时的个人信息行使更正权。

　　最后，义务保护模式采取消极保护而非积极保护。我国刑事诉讼程序片面关注个人信息保护国家义务中的消极义务，导致积极义务的功能不彰。一是片面重视保密义务。片面重视保密义务实质上是一种安全思维的过度反应，而非出于保护个人信息的制度目的，甚至会产生弱化权利的后果。二是不重视积极义务的行使效果。告知义务作为典型的积极义务，对于保障当事人的知情权意义重大，但刑事诉讼法仅规定国家机关负有告知义务，对于告知的方法、形式以及不告知的后果等缺乏详细表述与落地措施。三是缺乏违反积极义务的制裁性措施。例如，侦查机关未告知犯罪嫌疑人可以委托辩护律师并非法定或者酌定的非法证据排除事项。四是缺乏积极义务的沟通互动机制。积极保护义务中缺乏“权利—权力”的互动设计，呈现出浓厚的职权主义色彩。例如，法定不公开审理案件的范围由法院自行解释，当事人既缺乏左右审判状态的选择权，也不享有提出异议的权利。

　　刑事诉讼中个人信息保护模式的制度优化

　　权利保护模式的制度优化需要回应既有学说提出的确权化质疑，处理好个人信息权与个人信息权益、隐私权、个人信息受保护权、具体权利之间的逻辑关系。

　　首先，准确识别个人信息权的制度功能。刑事诉讼中的个人信息权具有实体与程序双重功能。在实体功能方面，导入个人信息权主要是为了保障诉讼主体个人信息的自决、正确与安全。在程序功能方面，导入个人信息权的具体权利能够发挥保障参与、制衡权力与规制风险的工具性功能。

　　其次，厘清个人信息权的权利性质。对此，需要辩证看待“利益保护论”和“国家义务论”的学术观点，中和个人信息控制权与个人信息受保护权的极端立场。一方面，刑事诉讼中的个人信息权不等于个人信息控制权，也无须采用个人信息权益的规范表达。另一方面，刑事诉讼中的个人信息权不等于个人信息受保护权。

　　最后，限制个人信息权的行使程度。我国可以借鉴欧盟的相关经验，具体方案可分为对全部权利的整体限制与对个别权利的特定限制。一方面，建立直接行使与间接行使相结合的权利运用模式，从整体上限制个人信息权利。如果权利的行使可能危害国家安全、公共安全、被害人、证人等的人身安全，可能存在有碍侦查的情形，主管当局可以完全或者部分限制信息主体的具体权利，并对限制的原因提供解释。另一方面，对于个别权利的特定限制需要结合不同权利的运作情况。例如，危害国家安全犯罪、严重暴力犯罪、性犯罪等重罪案件的罪犯不得申请行使删除权。

　　针对个人信息国家保护义务间接性、片面性、消极性的特征，应从消极义务与积极义务两个方面进行制度优化。

　　在消极义务方面，权力机关不仅应当意识到自己是侵犯个人信息的重要风险源，而且应当强调个人信息处理的工具理性与价值理性。一方面，优化消极义务需要健全个人信息处理的授权机制，为权力行使提供指南与边界。对此，应综合运用概括授权与特别授权的方法：处理一般信息、公开信息的行为应由概括授权条款予以规定。如果刑事诉讼活动涉及对于隐私信息或敏感信息的处理，概括授权条款无法满足规范性要求时，那么需要援引特别授权条款。另一方面，优化消极义务需要限制对于个人信息的概括性处理，区分个人信息处理的不同场景。例如，根据刑事诉讼的特点将信息主体分为犯罪嫌疑人、被告人、罪犯、经法定程序宣告无罪之人、被害人、证人等其他诉讼参与人，并以此为基础进行层级化的制度设计。

　　在积极义务方面，权力机关需要发挥基本权利客观法秩序的作用，积极主动改善个人信息保护的生态环境，为保护个人信息提供必要的制度供给。当前，刑事诉讼中积极义务的开展关键在于建立刑事诉讼法与个人信息保护法之间的协调互动机制，尽快出台相关司法解释，以立法方式将个人信息保护正式纳入刑事诉讼程序，为个人信息保护提供制度性保障。例如，个人信息保护法规定的告知义务就属于积极义务的一种。对此，应当吸收个人信息保护法的规范经验，建立秘密侦查的事后告知规则，落实告知的形式要件，限制性解释告知例外规则。

　　（作者单位：西南政法大学刑事侦查学院）