个人数据处理行为人的概念界定与划分问题
——基于欧盟范式对我国立法的启示

王 腾，汪金兰

(安徽大学 法学院，合肥 236001)

个人数据(信息)(1)一般而言,个人数据与个人信息可以混同使用，尤其是描述相关保护性立法。严格意义上个人数据与个人信息概念不相同：个人数据是个人信息的载体，个人数据不仅仅包括个人信息，还包括私密信息及其他数据。保护法中的行为实施主体是重要概念，必须清晰明确地定义以协助自然人在实践中行使权利，为数据处理行为人提供活动准则，并为监管机构确定监管对象与范围。数据处理行为人的概念与划分在国际社会上并不统一，各国对个人数据权利性质的理解不同，政策利益追求各异，以及与其他国内法权益尤其是言论自由、知情权之间需要平衡，客观上造成个人数据保护法在国际范围内的“巴尔干化”[1] 64，即分裂化、碎片化，易产生管辖权冲突。欧盟数据保护法律法规的制定为全球提供了数据保护的欧洲范式，控制者与代表其处理数据的处理者，构成并列的处理行为二元主体框架，相关概念客观上影响了其他国家数据保护法的制定与修改。

多数国家和地区实行数据处理双主体(非并列二元主体)加处理活动外第三人的立法模式，概念内涵基本沿用欧盟范式。如美国《加州隐私权法案(草案)》(CPRA)中的“企业”(business)与日本《个人信息保护法》中的“个人信息处理经营者”是数据处理的主要主体，均强调经营者属性。印度《2019个人信息保护法案》将数据处理的主要行为人定义为“个人数据受托人”(fiduciary)，试图将自然人与控制者关系重塑为一种经典的受托人与受益人的关系[2]，但实际并未产生特殊法律意义。……