二元责任主体架构下国家机关处理个人信息的规则建构

王 爽

(东南大学 法学院，江苏 南京 211189)

大数据时代，数据不仅成为信息业者的生产要素和行动指南(1)本文所称的信息业者是指专门以信息的收集、处理、储存、利用和传输为主要业务的信息服务提供者。参见张新宝《从隐私到个人信息：利益再衡量的理论与制度安排》，载《中国法学》2015年第3期。在不同法律中表述有所不同，例如《网络安全法》称之为网络运营者，本文以信息业者作统一指代。，也成为各国政府的基础性战略资源。[1]处理个人信息已然演变成公权力运行的基本手段之一，国家机关也成为最大的个人信息处理者。[2]通过梳理现有的法律、行政法规、部门规章等有关个人信息保护的规范性文件可以发现，针对国家机关处理个人信息的立法规范经历了从规范缺位到将国家机关与信息业者置于同一规范框架之下的一元化路径的演变历程。

《全国人大常委会关于加强网络信息保护的决定》规范的仅包括网络服务提供者和企事业单位的个人信息处理行为，而未提及国家机关的相关行为。《网络安全法》(以下简称《网安法》)第40～45条规定了网络运营者的个人信息保护职责，同样忽视了国家机关的相关责任。[3]《民法典》第110条规定的“任何组织”虽同时囊括国家机关和信息业者，但采用的仍是个人信息责任主体一元化的制度进路，即用同一套规则规制国家机关和信息业者处理个人信息的行为，使二者遵循同等的严格程度和行为路径，而未根据主体特性“分而治之”。……