行政黑名单中相对人个人信息保护的困境及解决途径

（中国人民公安大学 北京 100038）

1 行政黑名单制度的内涵

行政黑名单制度，是指行政机关针对失信相对人，根据失信相对人的违法失信行为的严重程度，将其列入行政机关制定的黑名单，对社会进行公布，从而限制相对人一定行为或者权利的社会治理手段。实际上，行政黑名单与其他黑名单存在如下区别：首先，行政黑名单与其他黑名单制定主体不同，行政黑名单是由行政机关制定和公开，而司法黑名单、行业、企业的黑名单分别由法院系统、各行业协会以及企业制定和公开；其次，制定的目的不同，行政机关制定行政黑名单的目的是满足行政机关的行政管理工作，而法院系统制定黑名单的目的是解决执行难的问题，所以法院系统制定的黑名单又称为失信被执行人名单，而企业或者行业制定的黑名单是为了维持行业协会之间的正常运转。

在行政法学界，行政黑名单制度归于具体行政行为基本没有太大争议，但是对行政黑名单制度的具体行政行为的种类，出现不同的观点。例如胡建淼教授认为，行政黑名单制度从其法律属性处罚，应当定性为行政处罚，并且属于《行政处罚法》中的其他行政处罚方式[1]。此外，还有学者认为行政黑名单制度属于行政强制，但是这种行政强制不属于法规范意义上的行政强制，而属于“间接强制”或者属于“事实上的强制”[2]。相较于行政处罚中的警告与罚款，行政黑名单制度的惩戒性比警告或者罚款更加突出，相对于行政拘留，行政黑名单制度并非直接限制相对人的人身自由，而是通过公开失信相对人部分个人信息、限制出行工具的使用或者其他手段间接限制相对人一定程度的自由，因此行政黑名单制度兼顾声誉罚和人身罚的特点。

2 行政黑名单制度对于保护个人信息的困境

2.1 缺少系统的、易于操作的法律

放眼各国保护个人信息的手段，立法是保护个人信息手段中最基础、最直接的。近年来，我国将保障个人信息的视野转移到立法层面，经过不断的研究与探索，我国在个人信息保护的立法不断进步，但是我国个人信息立法技术与美国和欧盟国家相比，还存在较大差距，需要学习欧盟国家和美国在制定个人信息保护立法的优点。通过法条检索工具，将关键词列为个人信息，所搜索出的相关法条数量并不少，但是这些条文零散分布在法律、地方性法规等规范文件之中。这些条文规定的既分散，且针对个人信息保护规定的过于原则，缺乏可操作性，所以我国在个人信息保护立法方面仍缺少一部系统的、有针对性的并且易于操作的法律，而2003 年开始起草的《个人信息保护法》至今未出台，使得个人信息保护在立法方面仍是未成体系状态。因此，在缺少统一立法的情形下，行政机关制定行政、公开行政黑名单没有统一的标准，容易不当公开相对人个人信息，并侵害其合法权益造成损害。

2.2 缺少监督机关及完整的监督机制

第一，我国对行政机关的监督方式，主要是以上下级监督和内部自行监督为主，但在个人信息保护的监督中，仅仅依靠上下级之间的监督与行政机关内部的监督达不到有效监督目的，不能保障监督效果。行政机关作为行政黑名单的制定主体，同样是监督主体，既是制定者又是监督者，往往监督的结果不能使相对人信服。因此在大数据时代，行政机关虽然是加强网络安全管理、个人信息保护的重要监管力量，但仅依靠自身是远不够的。由于个人信息范围广泛、技术性强的特点，因此需要建立专门监督机构，在行政机关内部进行自我纠错的同时，通过专门机构进行外部监督。但是根据目前我国个人信息监管途径来看，我国尚未建立个人信息保护的专门监督机关[3]。

第二，监督机制方面，我国重视事前与事后的监督，而忽视事中监督。缺少个人信息保护的事中监督，意味着监督缺少必要的监督环节，造成个人信息保护的监督制度不完善。

2.3 救济途径尚未完善

行政复议、行政诉讼以及行政赔偿是行政法上最主要的救济方式。由于立法存在滞后性，依据现行的行政救济相关的规定，相对人个人信息保护受到行政机关的侵害，是否可以提起行政复议、行政诉讼以及行政赔偿并没有明确规定。因此行政黑名单的制定公开行政主体侵犯相对人个人信息权利，相对人在寻求救济上缺少完善的救济手段。

3 失信相对人个人信息的保护路径

通过上述对失信相对人个人信息保护的困境进行分析，可以将失信相对人个人信息保护路径从立法层面、监管层面、救济制度层面以及技术层面进行展开。

3.1 制定符合国情且具有可操作性的个人信息保护法律

美国和欧盟国家在个人信息保护立法方面在世界中处于领先地位，尽管二者在个人信息保护立法上选择了截然不同的模式，但美国和欧盟都已经建立了完善的个人信息保护法律体系。此外，欧盟与美国除制定原则性的个人信息保护法律外，为适应不断发展的大数据、个人信息方面的技术，美国颁布了专门行业中个人信息保护的法律，在欧盟则启动新的立法程序。

我国的个人信息保护立法，首先需要厘清个人信息与其他易混淆的概念，以及明确行政机关制定、公开行政黑名单涉及个人信息的公开范围，规定个人信息公开时，行政机关需要遵守的程序，例如进行事先审查，明确个人信息公开的主体是否合法、是否符合个人信息保护的基本原则、是否遵守个人信息公开的告知、听证程序等。特别是公开失信相对人的个人信息，更需要谨慎对待，防止过度公开和不当公开的情形。其次，确立适合我国国情的个人信息保护应当遵守的原则，个人信息保护应遵循的基本原则早在1980 年OECD 公布的《关于隐私保护和个人数据跨疆界流动的指导原则》中有所体现，其中规定的八项原则具有权威影响力，对我国个人信息立法具有一定指导意义[4]。

个人信息保护的法律制定中需要对能够收集、公开个人信息的主体范围进行限制，而现阶段我国可以收集、公开失信相对人的行政主体过多，易造成失信相对人的个人信息的泄露。此外，行政黑名单制度不但需要限制制定、公开失信相对人个人信息的行政主体，而且需要与之相配套的程序保障，我国应当在制定个人信息保护的法律同时辅以严格的程序规定，例如说明理由、听取意见、必要时听证等程序，构成个人信息保护的完整程序规定。但是，法律的制定需要时间，通过多次讨论、研究才可以出台，因此在制定个人信息保护法的空档期中，可以先由国务院制定个人信息保护的法规，对收集、公开失信相对人的行政主体进行限制，规范可公开的范围，并且制定收集、公开个人信息的程序，保障程序的完整性，使下级行政机关有章可循。

3.2 明确个人信息保护的监管主体及监督方式

首先，应当明确个人信息保护的监督主体。失信相对人的个人信息保护需要设置有效的监督部门对负有制定和公开行政黑名单的行政机关进行监督和管理，因此在制定个人信息保护法时，应当考虑监管机关的设置。目前我国对个人信息保护的监督主要工信部负责，所以我国在设置个人信息保护的监督机关时，可以由工信部作为主要监督部门，在各地设置个人信息监管部门，由工信部垂直领导，实现个人信息保护的有效监督。

其次，完善个人信息保护监督部门的监督方式。按照以往的监督方式，监督的重心放在事后，忽视事前和事中的监督。因此在明确个人信息保护监督机关的职责的同时完善监督方式，将监督贯穿于个人信息保护的全过程，即行政主体在制定公开行政黑名单前，经过监督部门的审查，符合法律规定的方可公开；在事中，行政机关公开后由负责公开的行政机关与监督机关共同负责事中的个人信息保护，及时对公开主体的不当行政行为进行纠错，对侵犯失信相对人个人信息的行为进行严厉打击处理，追究其行政责任或刑事责任；在事后，失信相对人履行行政机关确定的义务后，及时消除已公开的相对人个人信息，防止失信相对人的个人信息泄露。

3.3 完善个人信息保护的救济制度

在信息爆炸式增长的年代，行政机关在公开行政黑名单惩戒失信相对人时，稍有不慎就会侵犯相对人的个人信息合法权益，只有建立完善的个人信息保护救济制度，才能充分保障失信相对人的个人信息权利。行政主体在制定、公开行政黑名单时，若侵犯相对人的合法权益，相对人除对侵犯其个人信息的违法人提起民事诉讼之外，行政机关也应当在存在过错的部分承担相应责任。因此完善个人信息保护的救济制度需要探索民事、行政、刑事三种救济途径的有效衔接。

3.4 完善个人信息保护的技术手段

行政机关在制作和公开失信相对人的个人信息时，公开的只是相对人个人信息的一部分，但是行政机关收集的相对人个人信息涵盖的范围较广，远超过公开的部分，而未公开的部分储存在行政机关内部设备中。随着大数据等技术的飞速发展，黑客侵入计算机系统、行政机关内部网络存在的漏洞等都会导致相对人个人信息的泄露，并且这些导致个人信息泄露的因素不能也不可能完全杜绝，因此在技术层面建立数据泄露通知制度，对于行政机关预防和及时制止个人信息泄露具有重要意义[5]。这一制度不但可以帮助行政机关对侵犯个人信息的违法者进行追溯、降低执法成本。此外，在技术层面还可以建立个人信息相关数据的处理登记制度，利用登记手段，可以监督内部机关工作人员是否存在泄漏个人信息的行为，这一制度实质上属于备案的一种，将处理个人信息数据的控制者针对个人信息所作出的行为及时上传到监管部门。法律手段与技术手段相结合，共同保护失信相对人的个人信息。

4 结语

行政黑名单制度的设计初衷是通过社会舆论、限制其一定权利等手段迫使相对人及时履行行政机关所确定的义务。行政主体在利用失信相对人的个人信息时很可能造成信息泄露，使相对人个人信息受到侵害，所以我国需要适应本土特点的个人信息保护立法、行之有效的监督程序和救济制度，并且在技术层面，需要科研人员不断探索，设计出有利于保护个人信息的技术手段，综合多种手段，推进我国信用社会的发展以及保障个人信息的安全。