郝铁川：国家机关公开刑事被追诉人个人信息法律分析
郝铁川
目次
一、问题的提出
二、“最小必要”基本原则和个人信息去标识化、匿名化
三、目前我国相关法律规范性文件的缺陷
(一)部分规定不统一
(二)部分规定脱离实际
(三)部分规定不健全
(四)部分规定不合理
四、关于妥善公开刑事被追诉人个人信息的建议
附 论
内容摘要
“最小必要”是我国《个人信息保护法》第6条所规定的国家机关公开个人信息必须遵守的基本原则。个人信息是一个由系列要素构成的、缺一不可的整体,只有整体地保护个人的有关信息,才能贯彻无罪推定原则,避免人们对刑事被追诉人的身份识别;才能避免对有关人士权益和社会公众利益的伤害。目前我国国家机关对刑事被追诉人个人信息公开的法律规范性文件存在明显的缺陷。应该进一步规范刑事被追诉人个人信息公开相关工作,制定国家行政机关、司法机关等对刑事被追诉人个人信息公开和屏蔽的相关规则,完善对个人信息的保护。
关键词
国家机关 刑事被追诉人 个人信息 最小必要
一、问题的提出
“风乍起,吹皱一池春水。”2022年5月3日早上9点,某著名媒体客户端发表了一则报道:“杭州市国家安全局对涉嫌利用网络从事危害国家安全活动人员马某依法采取刑事强制措施。”消息称,2022年4月25日,杭州市国家安全局依法对勾结境外反华敌对势力,涉嫌从事煽动分裂国家、煽动颠覆国家政权等危害国家安全活动的马某采取刑事强制措施,目前此案正在深入调查中。把这则消息报道中的杭州、网络、马某、境外势力等关键词联系起来,人们轻而易举地联想到杭州的著名企业家马云。资本市场很快作出了反应。5月3日一早,港股早盘低开低走,阿里巴巴股价一度跌超9%,以当日最低价92.5港元计算,相比上一个交易日收盘价,总市值一度缩水2082亿港元。
或许最初发布这则消息的媒体感到了“马某”产生的蝴蝶效应,大概在9:30左右,媒体客户端将刑事被追诉人“马某”修改为“马某某”,然后其他媒体跟着转载“马某某”版本。9:40,环球网播发“马某某”版本,央视新闻直播间也播出电视新闻“马某某”版本。知名媒体人胡锡进也在微博发布消息,称:据老胡向权威部门确认,杭州市国家安全局抓的是“马某某”,不是“马某”,写“马某”的报道都是不准确的。
经过这么一番补救,这则涉及刑事被追诉人“马某”消息报道的风浪才渐渐平息。但笔者觉得,这一不大不小的风波给我们提出了一个问题:按照《民法典》第999条规定,为公共利益实施新闻报道、舆论监督等行为的,可以合理使用民事主体的姓名、名称、肖像、个人信息等;使用不合理侵害民事主体人格权的,应当依法承担民事责任。因此,国家机关应该对刑事被追诉人的个人信息合理公开,否则,不仅会对刑事被追诉人带来不应有的伤害,还会对其他人造成“飞来横祸”。特别是他们当中的上市公司的董事长、监事长、总经理等企业家们,因为他们所管理的企业往往具有区域、全国乃至全球影响,有些是当地支柱产业的代表,他们企业的股票涉及到千家万户的利益。尽管中国证监会《上市公司信息披露管理办法》规定了发生可能对上市公司证券及其衍生品种交易产生较大影响的重大事件,上市公司应当立即披露(一般是两个交易日之内)的制度,但在当前“有效市场”水平不高的情况下,很多百姓股民很难对这些信息及时作出甄别,未必能理性地作出投资决策,所以国家机关信息公开中如果存在足以令人判断涉及上市公司重大事件的信息时,难以避免引起较大股市风波。
其实,因为国家机关信息公开不当,给公民个人信息权带来一定损害,这一问题已经引发社会多年持续性关注。2013年1月14日《法制日报》“侵犯公民个人信息应当追究责任”一文报道:在2012年3月举行的十一届全国人大五次会议期间,秦希燕等32位代表提出关于修改《治安管理处罚法》,增设侵犯个人信息行政法律责任条款的议案。代表们指出,有关国家机关对公民个人信息的泄露现象较为普遍,侵权行为时有发生,当前刑事及民事法律追责范围有限、时间长、成本高、效果差。建议修改《治安管理处罚法》,建立侵犯个人信息的行政追责机制,确保有效打击侵犯个人信息的违法行为。对这一问题,全国人大内务司法委员会赞同追究侵犯公民个人信息违法行为的法律责任。鉴于侵权行为的多样性和追究法律责任的形式的差异性,建议有关部门围绕代表议案提出全面保护公民个人信息的法律措施。
因此,这次“杭州市国家安全局对涉嫌利用网络从事危害国家安全活动人员马某依法采取刑事强制措施”报道引发的风波,把国家执法机关如何合理公开刑事被追诉人的信息,更为突出地摆到了公众的面前,也成为学术界必须研究的一个现实课题。
二、“最小必要”基本原则和个人信息去标识化、匿名化
上述信息公开报道虽然隐去了犯罪嫌疑人的“名”,但为什么还令人识别为“马云”呢?这是因为自然人的个人信息不能只限于“姓”这一项,而是一个由系列要素构成的、缺一不可的整体。即使不透露刑事被追诉人的姓名,人们也可以通过其它被公开的个人信息,识别出被追诉人的身份。对此,北京市第一中级人民法院在“霍建华诉广州网易计算机系统有限公司等名誉权纠纷案”二审民事判决书中作了合理合法的阐释:判断公开信息的书面言论的指向性至少包括两个方面:第一个方面,是该书面言论所表达的指向,主要判断该言论是“特指”还是“泛指”,是“明指”还是“暗指”。第二个方面,是信息受众在受领表达后所理解的指向,主要判断受领的言论信息是否具有理解上的确定性或对应性。由此,通过综合考虑公开信息言论的表达与第三人受领理解的指向最终判定是否指向原告。如果涉诉信息文字是“特指”某个人,但未直接点出姓名,则在信息言论指向性上属于“暗指”,就需要进一步判断该信息言论提及的个人特征要素与原告所具有的是否全部相符,而且这些“暗指”的个人特征要素是否具有可识别的显著性,是否足以让第三人意识到该“暗指”的信息言论传播与原告具有直接或高度的对应性,以至于被理解为特意用来指称原告。如果皆是,就应当认定该涉诉信息文字指向了原告。在“暗指”的情况下,提供的个人要素特征越多,同时满足这些要素总和的人就越少,甚至可能达到唯一的程度,那么,就越容易锁定并识别特定个人。即使未达到唯一的程度,如果同时满足这些要素总和的人是如此之少,而某特定个人在其中的名气或其他个性特征是如此之显著,以至于一般合理之人在依据这些要素总和进行判断时,很大程度上会合理地将该指向信息与该显著之人直接或高度对应,那么,就可以判定这些信息指向了该显著之人。
上述法院的判决书揭示了个人信息公开的多少,与社会大众识别信息中主人身份的难易之间的相关性。即:提供的个人信息特征越多,同时满足这些信息特征总和的人就越少,甚至可能达到唯一的程度,那么,就越容易锁定并识别特定个人。“马某”风波兴起的原因,就是那则信息透露出来的马某的个人信息特征比较多,而马云在互联网产业中的名气非常显著,导致人们把前述新闻信息中依法被采取刑事强制措施的“马某”识别为马云。
按照国际社会的通常理解,个人信息资料范围(或称个人隐私内容)是指自然人的姓名、出生年月日、身份证号码、特征、指纹、婚姻、家庭、受教育水平、职业、健康状况、病历、财务情况、社会活动等足以令一般人识别该人的资料。其内涵主要有三:一是自然人,如姓名、曾用名、性别等。二是附属于该自然人的特征,以及与自然人联系在一起的特定事实,如身份证号码、车牌号、房屋产权证书等。三是其他足以让常人识别该自然人的资料,如独特的外貌特征、某领域的唯一优胜者等。为什么上述新闻中的“马某”导致人们判断是马云呢?因为这则消息中有三个关键词:马某,杭州,网络。这三个关键词有自然人马某的姓、有马某生活工作所在的城市、有马某从事的职业(网络),如果仅仅有其中一个关键词,人们就难以判断出刑事被追诉人是谁,但三个关键词联系在一起,常人凭着判断能力即可轻易识别刑事被追诉人是谁。假若去掉刑事被追诉人“马某”,改为“某嫌疑人”,避免上述风波的几率就大大提高。如果再去掉“网络”,那么几乎不再有人会判断出刑事被追诉人是谁。这就是国际社会为何要把自然人隐私内容规定为上述三个方面的原因。事实已经证明,只有同时保护上述刑事被追诉人三个方面的个人信息资料,才能完整地保护一个人的身份、姓名信息。
中国的司法界对国际社会关于个人信息资料范围的规定是有所借鉴的。早在1995年1月,最高人民法院就在《关于胡秋生、娄良英等八人诉彭拜、漓江出版社名誉权纠纷案的复函》中提出,案涉小说“虽未写明原告的真实姓名和住址,但在人物特征有了明显指向的情况下,侮辱了原告或披露了有损其名誉的家庭隐私”。我国人民检察院在公布法院判决完毕后的起诉书时,也注意屏蔽被告人的个人信息。如2014年6月20日最高人民检察院第十二届检察委员会第二十四次会议通过的《人民检察院案件信息公开工作规定(试行)》(以下简称“2014年《规定》”)第20条规定,人民检察院在案件信息公开系统上发布法律文书,应当屏蔽下列内容:自然人的家庭住址、通讯方式、身份证号码、银行账号、健康状况等个人信息;未成年人的相关信息;法人以及其他组织的银行账号;涉及国家秘密、商业秘密、个人隐私的信息;根据文书表述的内容可以直接推理或者符合逻辑地推理出属于需要屏蔽的信息的;其他不宜公开的内容。2021年8月19日最高人民检察院第十三届检察委员会第七十一次会议通过的《人民检察院案件信息公开工作规定》(以下简称“2021年《规定》”)第五章“法律文书公开”第20条第2款规定,对不起诉决定书中的被不起诉人的姓名应当视情做隐名处理;第22条第1款规定,人民检察院在“12309中国检察网”公开法律文书,应当屏蔽下列内容:与公众了解案情无关的自然人信息,如:家庭住址、通讯方式、公民身份号码(身份证号码)、社交账号、银行账号、健康状况、车牌号码、动产或不动产权属证书编号、工作单位等。这就表明个人信息范围不能仅仅限于姓名,因为即使信息公开中不提犯罪嫌疑人、被告人的姓名,人们凭着其他两个方面的个人信息也可判断出他或她是谁。应该指出的是,人民检察院这些关于法律文书公开时应屏蔽有关自然人信息的规定,是将刑事被追诉人排除在外的,但至少表明人民检察院是注意到了公布自然人个人信息时应采取最小必要原则。
同样,2016年7月25日,最高人民法院审判委员会第1689次会议通过的《最高人民法院关于人民法院在互联网公布裁判文书的规定》第10条规定,人民法院在互联网公布裁判文书时,应当删除下列信息:一是当事人的家庭住址、通讯方式、身份证号码、银行账号、健康状况、车牌号码、动产或不动产权属证书编号等个人信息,删除后用符号“×”作部分替代;二是法人以及其他组织的银行账号、车牌号码、动产或不动产权属证书编号等个人信息;三是涉及商业秘密的信息;四是家事、人格权益等纠纷中涉及的个人信息;五是涉及技术侦查措施的信息;六是人民法院认为不宜公开的其他信息。最高人民法院的这个规定既体现了当事人个人信息范围的广泛性,也表明人民法院对公开个人信息采取的是克制态度。
国家机关在为了公共利益需要而公布自然人个人信息时应该采取克制(即非必要不公开)态度,这是我国《个人信息保护法》的要求。该法第6条第1款规定:“处理个人信息应当具有明确、合理的目的,并应当与处理目的直接相关,采取对个人权益影响最小的方式。”第2款规定:“收集个人信息,应当限于实现处理目的的最小范围,不得过度收集个人信息。”这一条被称为“最小必要”原则,它贯穿于我国一系列公民个人信息保护的法律法规和规章之中。它是个人信息处理应遵循的核心原则,其中处理目的方面“最小范围”,是禁止“过度收集个人信息”的根本前提,因为个人信息处理者只有在严格遵守处理目的的“最小范围”的前提下,即“非必要不收集”的情况下,才能确保其采取对个人权益影响最小的方式。这里虽然说的是公民个人信息的收集,但笔者觉得“最小必要”原则同样适用于公民个人信息的透露。因为透露比收集带来的影响更大,不仅直接关系到被透露者的生活和工作,还会影响到被透露者的家人。全国人大常委会法工委经济法室的同志在解读《个人信息保护法》时,特意指出个人信息保护法借鉴了国际经验,立足于我国实际情况,强调处理个人信息应当遵循合法、正当、必要和诚信原则,具有明确、合理的目的并与处理目的直接相关,采取对个人权益影响最小的方式,限于实现处理目的的最小范围,公开处理规则,保证信息质量,采取安全保护措施等。这些原则应当贯穿于个人信息处理的全过程、各环节。
不仅《个人信息保护法》这样规定“最小必要”原则,我国《网络安全法》中也规定“网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则”。2021年2月国家工信部发布《App收集使用个人信息最小必要评估规范》,规章标题中就写明“最小必要”原则。2021年4月工信部发布了《移动互联网应用程序个人信息保护管理暂行规定》公开征求意见稿,其中第7条规定,从事APP个人信息处理活动的,应当具有明确、合理的目的,并遵循最小必要原则,不得从事超出用户同意范围或者与服务场景无关的个人信息处理活动。这一切表明,我国自然人个人信息公开的基本原则是“最小必要”。“最小必要原则”体现了我国《宪法》第33条第3款“国家尊重和保障人权”规定的要求。
从发展趋势来看,“最小必要原则”正在成为国际社会的主流意见。欧盟《通用数据保护条例》(General Data Protection Regulation,简称GDPR)规定了政府获取个人信息应当遵循最小化原则。联合国的一些文件(如《数字时代的隐私权:联合国人权事务高级专员办事处的报告,A/HRC/27/37》)提及了对公民进行数据监控时,应明确其作为对隐私权的限制,对于实现合理目标而言必须是必要的,并且与目标相称,采用侵入性最小的办法。它还引述了人权事务委员会在关于《公民权利和政治权利国际公约》第12条的第27号一般性意见(CCPR / C / 21 / Rev.1 / Add.9)中关于国内法在何种程度上可限制公民权利的相关评述。
“最小必要原则”之外,我国《个人信息保护法》第51条规定,个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等,采取六项措施确保个人信息处理活动符合法律、行政法规的规定,其中包括去标识化和匿名化这两项安全技术措施。第73条第3款规定,去标识化是指个人信息经过处理,使其在不借助额外信息的情况下无法识别特定自然人的过程。第73条第4款规定,匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程。该定义中的“不能复原”主要采取两种方法:一是删除个人信息包含的个人描述部分,包括将描述部分替换为其他描述部分,或者使用具有不可恢复的方法等;二是删除所述个人信息中所包含的全部标识符,包括将标识符替换为其他描述部分,或者使用具有不可恢复的方法等。
个人信息中的哪些内容需要去标识化呢?《个人信息保护法》第28条给出了“敏感个人信息”的定义,即所谓敏感个人信息,一是那些一旦泄露或者非法使用,容易使自然人的人格尊严受到侵害的个人信息;二是一旦泄露或者非法使用,会使自然人的人身、财产安全受到危害的那些个人信息,包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息,还有不满十四周岁未成年人的个人信息。这一条采用了“个人信息被泄露或者非法使用+危害后果+列举重要敏感个人信息”的立法技术,同时将不满十四周岁未成年人的个人信息也纳入了“敏感个人信息”给予重点保护。国家市场监督管理总局、中国国家标准化管理委员会2019年8月30日联合发布的《信息安全技术 个人信息去标识化指南》将标识符分为直接标识符和准标识符两种。常见的直接标识主要有:姓名,身份证号码,护照号,驾照号,地址;电子邮件地址;电话号码;传真号码;银行卡号码;车牌号码;车辆识别号码;社会保险号码;健康卡号码;病历号码;设备标识符;生物识别码;互联网协议(IP)地址号和网络通用资源定位符(UPS)等。准标识符主要有:性别;出生日期或年龄;事件日期(例如入院、手术、出院、访问)、地点(例如邮政编码、建筑名称)、族裔血统、出生国、语言,原住民身份;可见的少数民族地位;职业;婚姻状况;受教育水平;上学年限;犯罪历史;总收入和宗教信仰等。可以看出,《个人信息保护法》和《信息安全技术 个人信息去标识化指南》在关于应予保护的个人信息范围方面的规定,是完全一致的。它给我们执法和司法部门向社会透露涉嫌行政违法者及刑事被追诉人的个人信息时,提供了一个重要的参考或遵循规则。
去标识化和匿名化有什么区别?经过去标识化处理后的信息,原则上属于个人信息,仍具有一定的识别性。而《个人信息保护法》规定的匿名化,是指“无法识别特定自然人且不能复原”的处理过程。根据《个人信息保护法》第4条,匿名化处理后的信息不属于个人信息,匿名化信息完全不具有识别性。一般而言,匿名化处理信息的有用性低于去标识化的处理信息。
笔者认为,为了坚持无罪推定原则和最小必要原则,对刑事被追诉人的个人信息的保护应该去标识化和匿名化并重。在侦查阶段,采取匿名化办法;在起诉和宣判阶段,则采取一些去标识化办法。只有这样,才能使得刑事被追诉人的个人信息在法院判决生效之前得到保护,使其本人及其家属不受歧视;同时也兼顾了社会大众一定的知情权。
三、目前我国相关法律规范性文件的缺陷
(一)部分规定不统一
对犯罪嫌疑人和被告人的姓名如何隐蔽处理的规定不统一。例如,公安机关没有明确规定重大案件信息发布中是否可以透露成年犯罪嫌疑人的姓名等个人资料。2018年8月23日公安部出台的《公安机关执法公开规定》,第16条规定了在一般情况下,犯罪嫌疑人的以下有关情况不向社会公开,而只向控告人、被害人、被侵害人或者其家属公开:办案单位名称和联系方式;刑事案件立案、破案、移送起诉等情况,对犯罪嫌疑人采取刑事强制措施的种类和期限;有关这些信息的查询方式等。但根据第10条规定,公安机关应当向社会公开涉及公共利益、社会高度关注的重大案事件调查进展和处理结果,这没有排除对犯罪嫌疑人姓名等情况公开的可能。特别是一些公安机关在法院没有宣判的情况下,在对破获某案、抓捕犯罪嫌疑人的有功人员进行表彰的同时公开了犯罪嫌疑人的姓名。如2005年8月17日《青岛晚报》一则“重特大刑案半年破六起,有功单位和个人受表彰”报道,在“2·24”特大抢劫杀人案中,经过49天的艰苦工作,公安机关于4月13日将犯罪嫌疑人张传国、郭利刚擒获;在“博易通运动网”网络赌球案中,经过3个月的艰苦奋战,公安机关于3月26日一举将该赌博网站青岛地区总代理王某等14名犯罪嫌疑人抓获;在“1·11”跨省连环杀人案中,1月20日,青岛市公安局根据安徽警方在侦破一起杀人案时发现并提供的线索,查获犯罪嫌疑人刘庆友……
对成年被告人是否可以做隐名处理,人民检察院先是规定对犯罪嫌疑人的姓名不可公布,后来又允许公布。2014年《规定》和2021年《规定》都有所规定,但却有重大变化:2014年《规定》第19条规定了在两种法律文书上可以对两类被告人做隐名处理,即:一是不起诉决定书中的被不起诉人,二是被判处三年有期徒刑以下刑罚以及免予刑事处罚、且不属于累犯或者惯犯的被告人。而2021年《规定》第20条去掉了上述第二种情形,只保留了第一种情形。
这样一来,公安机关对犯罪嫌疑人姓名的公开,与检察院对不起诉决定书中被不起诉人可以做隐名处理的规定,就发生了冲突。此外,公安机关、检察机关两家没有就犯罪嫌疑人、被告人的姓名是否向媒体公开而作出一致性的规定,难免在实践中出现彼此不一致的地方,因而不利于保护犯罪嫌疑人和被告人的个人信息。
(二)部分规定脱离实际
现在公安机关对社会危害性较大、社会关注度较高的案件中刑事被追诉人的身份予以透露的规定,虽具一定合理性,但脱离了实际。一般来说,对那些案件恶性程度较高和社会大众关注程度较高的案件,公布犯罪嫌疑人的身份,以满足社会的知情权,是合乎情理的,因此《公安机关执法公开规定》第5条规定了公安机关对涉及公共利益、公众普遍关注、需要社会知晓的执法信息,应当主动向社会公开;第10条规定了公安机关应当向社会公开涉及公共利益、社会高度关注的重大案事件调查进展和处理结果,以及公安机关开展打击整治违法犯罪活动的重大决策。这两条规定虽然没有明确说可以公开犯罪嫌疑人的身份,但不少公安机关正是根据这些规定,在侦查阶段结束后、起诉前就公开了犯罪嫌疑人的姓名、身份等,理由就是社会高度关注、案情恶性较大等。
但笔者认为,在现阶段司法公信力尚待努力提高的情况下还是人权为大,以不公开犯罪嫌疑人的姓名、身份为宜。主要原因是:流行已久的“公安侦查起点错、检察起诉跟着错、法院判决错到底”的侦查中心主义残余,还有待进一步肃清,比如近年暴露出来的呼格吉勒图案就是如此。公、检、法三家相互制约的原则过去时常在司法实践中难以奏效的问题,中央领导同志多次强调要制定一套贯彻落实公、检、法三家相互制约原则的具体办法。近几年,根据党中央的指示,中央政法委已经制定了一些关于公、检、法三家相互制约的文件。但是,以审判为中心的刑事诉讼制度改革刚刚起步不久,解决侦查中心主义的残余任重道远。特别是近一两年来,人们有一种以审判为中心的刑事诉讼制度改革放慢了脚步的感觉。
实行一种什么样的制度,不仅要看其理论价值,还要看其现实需要程度。公开一些恶性大、社会关注度高的案件中的犯罪嫌疑人的身份,满足社会大众的知情权,本来是一件合理的、必要的事情。但如果是在刑讯逼供、有罪推定、起点错、步步错、错到底的办案环境中,这样对嫌疑人身份的公开,可能会对受冤屈的嫌疑人带来二次伤害。所以我们不仅要做正确的事,还要正确地做事。
(三)部分规定不健全
对可以保护的刑事被追诉人的个人信息资料没有作出屏蔽规定。例如,根据2021年《规定》第23条,被告人的姓名、出生日期、性别、住所地所属县区等是要公开的。公开姓名、当事人住所所属县区是有道理的,但公开当事人的出生日期、性别等有什么必要呢?特别是女性的年龄在国际社会普遍被当作隐私,受到尊重,有什么必要公布呢?对非公众人物的刑事被追诉人,公布其个人信息越多,越不有利于其今后重新做人,另外还容易对其亲属带来一定伤害。
(四)部分规定不合理
虽然在公布刑事被追诉人的姓名时,规定只公布其姓氏、而不公布其名字,但由于同时还公布了刑事被追诉人的其他个人信息资料,因此,人们把公布的刑事被追诉人的一系列个人信息联系起来,就容易识别刑事被追诉人是谁。例如,2022年4月,国家监察委员会、最高人民检察院首次联合发布5起行贿犯罪典型案例,对被告人的性别、出生年月日、民族、除了某路某号之外的住所所在地等都予以披露,如案例二浙江贵某贵金属有限公司、李某某单位行贿案,国家监察委员会、最高人民检察院列举出了这些信息:被告单位浙江贵某贵金属有限公司(以下简称“贵某公司”),民营企业,单位所在地浙江省仙居县某某街道某某工业园区。被告人李某某,男,1972年9月21日出生,汉族,贵某公司法定代表人。笔者认为,单单根据上面某一个信息是很难识别出被告人的,但若把企业所在地、公司基本信息、被告人职务、性别、出生年月日这些信息联系起来,人们会很容易地识别出被告人的姓名。
从法理上来说,国家监察机关和检察机关公布的这些刑事被追诉人,是法院还未宣判的被告人,因此,不能排除其中一些人最后可能被宣判无罪,但过早地让社会知道其姓名,会对最后被判无罪的人及其家属带来不应有的伤害。
四、关于妥善公开刑事被追诉人个人信息的建议
过去,笔者曾撰文提出,对自然人的个人信息应该分为三个层次,一是对普通自然人的个人信息采取最大保护原则,二是对各类明星等公众人物的隐私采取相对保护原则,三是对官员的个人信息采取最低保护原则。现在笔者仍坚持这些基本观点。所以,笔者认为我国监察机关公开公务人员留置对象的姓名,没有什么不妥,因为行使公权力的人员理应受到社会严格的监督,也许留置调查之后未作处分,但公开其姓名也是必要的。但对非公务人员的刑事被追诉人的个人信息相对于公务人员来说,应该得到较多保护。主要原因如下:
第一,这是无罪推定原则的要求。这些刑事被追诉人毕竟是以未经法院宣判生效的身份公布的,从法理上来说,按照无罪推定原则,在法官判决之前,一个人是不能被称为罪犯的。只要还不能断定他已经侵犯了给予他公共保护的法律,社会就不能取消对他的公共保护。在检察机关决定起诉之前,犯罪嫌疑人有可能被无罪释放、有罪不起诉等;在法院宣判前,被告人有可能被判决无罪。因此,不管是对犯罪嫌疑人和被告人的人权保护,还是尽可能地避免和减小对其家属的影响或伤害,都要对犯罪嫌疑人和被告人的个人信息做最大限度的不公开。
出于捍卫无罪推定原则的目的,国际社会是反对国家机关、新闻媒体在信息公开中违反无罪推定原则的。法国《刑事诉讼法》第13条第1款、法国《刑法》第35条、法国2000年修订的《民法典》第516条等对此都作了明确的规定。
德国的情况是,为了践行无罪推定原则和加强犯罪嫌疑人人格权的保护,媒体一般不对刑事案件审判前的被告人实名报道,而是自己根据习惯去对刑事案件被告人的身份加以化名,在司法流程和审判的报道中灵活地使用化名。
第二,这是个人信息权保护原则的要求。国际社会普遍的看法是认为包括隐私权在内的个人信息权是一项基本的人权和基本的宪法性权利。我国《宪法》历来秉持不修改就不修改的原则,因而在宪法公民基本权利方面没有增加个人信息权,但我们从《宪法》第33条所规定的国家尊重和保障人权、第38条规定的公民的人格尊严不受侵犯、第39条规定的公民的住宅不受侵犯,以及第40条规定的公民的通信自由和通信秘密受法律保护等条款中,是能够得出对个人信息权的保护完全符合我国宪法原则和宗旨的结论。所以,《个人信息保护法》第1条就表明是依据宪法制定该法的。同样,虽然《刑事诉讼法》没有明确规定个人信息权,但从《刑事诉讼法》第2条关于刑事诉讼法的任务是尊重和保障人权,保护公民的人身权利、财产权利、民主权利和其他权利的规定中,我们也可以推断出个人信息权作为一项重要的人权,是受刑事诉讼法保护的,被告人作为刑事诉讼法律关系中的诉讼参与人的个人信息权,是应该得到尊重和保障的。我国《民法典》第1039条则明确规定,国家机关、承担行政职能的法定机构及其工作人员对于履行职责过程中知悉的自然人的隐私和个人信息,应当予以保密,不得泄露或者向他人非法提供。
此外,国际社会始终关注犯罪嫌疑人和被告人的隐私权保护问题。欧洲委员会的部长委员会通过的向成员国提出的“第R(2003)13号建议案”,即《在刑事诉讼程序中通过媒体公开信息的建议案》的“原则8”中非常明确地指出:关于犯罪嫌疑人、刑事被告人、已定罪者或其他刑事诉讼当事人的信息,应该按照国际社会保护隐私权利的原则加以尊重。对未成年人或其他弱势群体,以及受害人、证人和嫌疑犯、被告及已定罪者的家属的隐私权,更应特别保护。执法司法机关必须认真评估公开犯罪嫌疑人、刑事被告人、已定罪者或其他刑事诉讼当事人的信息后,可能对他们的生活和工作产生的不利影响。
《德国新闻法》第8条第1款第1项规定,在对犯罪、调查或者审判进行报道时,新闻媒体披露的信息不应当使犯罪行为人的身份暴露。德国新闻界在其自律规则——德国新闻委员会下设的德国报业评议会于2006年颁布实施的《新闻行为准则》第8条规定:新闻界应当尊重私人生活及私密的人类领域。在报道事故、犯罪活动、刑事调查或法庭诉讼时,不应发表罪犯或受害者的姓名或者照片。在任何时候、任何情况下,都必须就公众在获取信息的权益与该信息所涉及的个人隐私之间达成一个平衡。在德国,保护个人信息权被给予了明显的优势地位。但是,当个人信息权与更高的公众利益发生冲突时,刑事被追诉人的姓名和信息可以公开,这是基于利益衡量的结果。
与德国大体相同的是,奥地利、瑞士的相关法律规定了刑事被追诉人的姓名和照片在判决做出之前不能被随意传播的一般性原则。
第三,这是打造良好营商环境的需要。近年来,一方面是企业家犯罪率在增高,另一方面企业家涉及的冤假错案也不少。因此,国家非常重视对企业家犯罪案件的甄别平反工作。据北京师范大学中国企业家犯罪预防研究中心发布的报告,2016年新发生企业家犯罪案件1458例,涉案企业家共计1827人,人数是5年前的6.7倍。但司法实践表明,发生在企业家身上的冤假错案又是较多的。2016年11月27日《中共中央、国务院关于完善产权保护制度依法保护产权的意见》明确提出要求,要抓紧甄别纠正一批社会反映强烈的产权纠纷申诉案件,对确属事实不清、证据不足、适用法律错误的错案冤案,必须依法予以纠正并赔偿当事人的损失。同年11月28日,针对上述《意见》,国家发展改革委有关负责人接受媒体采访时表示,由于历史原因,我国仍存在一些法律制度规定和执法司法实践对不同所有制产权保护不够同等,对非公有产权的保护弱于对公有特别是国有产权的保护。改革开放以来,虽然我国司法对产权的保护力度不断加大,但一些地方由于司法不够公平、不够规范导致产权受到侵害的现象仍然存在。为了维护法律尊严和司法权威,经济案件中的错案冤案应依法予以纠正,尤其是对社会反响较大、存在较多疑点的案件,甄别和纠正一些典型案例,有利于给社会以法治引导,唤起社会各界对保护产权的普遍认知,让人民群众感受到公平正义。
我国“十四五”规划纲要提出,“十四五”时期,我国将健全支持民营企业发展的法治环境。为了贯彻落实对企业特别是民营企业的保护,2020年最高人民检察院开始在江苏张家港等地检察院开展企业合规改革试点工作,2022年4月最高人民检察院会同全国工商联正式宣布涉案企业合规改革试点在全国检察机关全面推开。从刑事激励的角度来看企业合规,是指国家通过刑事出罪以及从宽处理的方式激励企业建立合规制度。
2018年1月最高人民法院专门颁布了《关于充分发挥审判职能作用,为企业家创新创业营造良好法治环境的通知》,要求进一步加大涉企业家产权冤错案件的甄别、纠正工作力度,对于涉企业家产权错案冤案,要依法及时再审,尽快纠正。这些举动,反映出了当前企业家确实面临较高的错判刑事法律风险。在这样的背景下,对刑事被追诉人的个人信息的适当保护,确有必要。
有的观点可能认为,鉴于上市公司具有公众属性,尽管上市公司企业家并非公务人员,其隐私也只能受到较低程度的保护。事实上,在英国最高法院于2022年2月判决的Bloomberg v ZXC一案([2022]UKSC 5)中,被诉侵犯犯罪嫌疑人隐私的媒体正是这么主张的。但如英国最高法院在判决书中提出的,在评估犯罪嫌疑人的合理隐私期待时应综合考虑犯罪嫌疑人身份、隐私泄露后的影响等多方因素;“尽管原告作为积极参与大型上市公司业务的商人,相较一般私人主体而言确实应能够承受更大限度的批评,”“我们也可以预想到,当其受到刑事调查的信息被公开后,相较一般的私人主体,这样一个大型上市公司的商人会遭受更大损害。”
基于以上原因,笔者提出如下建议:第一,公安机关在案件发布会时,一般不要透露检察院尚未起诉、法院尚未判决的犯罪嫌疑人的姓名。在公开关于刑事被追诉人的法律文书中,除了公务人员和公众人物之外,其他刑事被追诉人的姓和名不再出现,就用“某犯罪嫌疑人”和“某被告人”代替。第二,在公开关于刑事被追诉人的法律文书中,对刑事被追诉人的出生年月日、居住地的社区街道、职业、民族等个人信息尽量不公开,或者说应采取最低公开原则,避免人们通过被公开的一连串个人信息就可以识别出刑事被追诉人的姓名、身份。第三,对于人民检察院在办理涉企犯罪案件时,交由第三方监督评估机制管理委员会进行调查、评估、监督和考察的企业情况,尽量不予公开。因为检察机关对这些企业最后并非一定予以起诉、定罪。第四,根据我国《个人信息保护法》第34条规定,有关部门应该制定国家行政机关、司法机关等对刑事被追诉人个人信息公开和屏蔽的相关规则。
笔者注意到域外一些国家对刑事被追诉人的个人信息的保护经历了一个由严格到松弛的过程。例如,英国2010年以后允许对刑事被追诉人的姓名等个人信息公开报道等。但是,中国的国情与域外不同,尊重和保护刑事被追诉人的个人信息的历史比较短,市场上的同行竞争经常出现挖掘对手个人信息,编织虚假事实,引导公权力介入,达到阻挠对手上市、拿到订单等事例。因此,在社会主义初级阶段,对刑事被追诉人和法人的个体信息予以最大限度保护,有利于社会经济和人权事业的发展。
附 论
本文中心议题是讨论刑事被追诉人的身份公开问题,但为了强化笔者所主张的不赞成公开刑事被追诉人的身份的观点,附带论述了国际社会对生效裁判文书公开罪犯个人信息的审慎公开做法。
在域外,除了美国对刑事被追诉人和犯罪人身份信息较为公开外,其他国家普遍将犯罪人的犯罪信息视为隐私,采取不公开或审慎公开的做法。
根据相关研究,欧盟很多国家对有犯罪前科的人的犯罪记录是不允许报道的,体现了这些国家对犯罪人免受社会歧视的重视。欧洲委员会的部长委员会第R(2003)13号建议案《在刑事诉讼程序中通过媒体公开信息的建议案》中的“原则18——媒体报道法院判决结束后的情况”指出,为了不妨碍那些已在服刑的罪犯重新融入社会,公约第8条规定的保护隐私的权利应包括保护这些人在法院判决结束后与其先前罪行有关的身份的权利。司法公正管理的一部分应当是允许那些已服刑人员重新融入社会。因此,原则18建议根据《欧洲人权公约》第8条规定的保护隐私的权利,将这些人的身份和他们以前的罪行视为隐私。从实践运行的情况来看,欧盟司法委员会在其出具的2011—2012《欧洲各国司法——媒体——社会的关系报告》调查的结论中指出,除了英格兰和威尔士外,所有国家都会把裁判文书中的个人信息隐去之后再在网上公开。裁判文书对隐去个人信息的方式也是多种多样的,一些国家仅公开涉罪人员的姓氏,一些国家则以英文字母代替涉罪人员的姓名。欧盟司法委员会认为隐去裁判文书中作为非法律职业人士的当事人的姓名,比如刑事案件中的被告人,以保护其隐私是非常重要的,并建议法院制定隐去裁判文书个人信息的工作指南,同时开发一套能快速隐去裁判文书中当事人身份信息的软件。2018年5月25日,欧洲联盟出台《通用数据保护条例》(GDPR)。2019年7月8日,英国信息监管局发表声明说,英国航空公司因为违反《一般数据保护条例》被罚1.8339亿英镑。有媒体评说该法在欧洲是里程碑式的个人隐私保护法案,是互联网诞生以来的最大变革,它的目的是通过更严厉的法律,保护欧盟所有公民的数据隐私安全,这一法案的影响将遍及全球。因此,有学者说欧美国家放松了对包括刑事被追诉人的个人信息保护力度,可能是片面的。
在进入互联网时代后,德国判例制度也走向了数字化,提高了判例及相关裁判文书向社会公开的比率。但判例公开化原则和限制之一,就是保护诉讼参加人的个人信息。这种保护体现在两个方面:首先,要对诉讼参加人的私人信息做技术处理,以保护其个人信息不被滥用。这类需要做隐没或者删除处理的信息,包括诉讼参加人的姓名、住址等。其次,如果当事人为未成年人,则不能公开其裁判文书。《德国少年法院法》第6条规定,不能公开未满18周岁的当事人的案件的判决结果。因此,目前在德国,有关未成年人的裁判文书没有上网。
而我国《最高人民法院关于人民法院在互联网公布裁判文书的规定》第4条只是规定了人民法院作出的裁判文书有下列情形之一的,不在互联网公布:(一)涉及国家秘密的;(二)未成年人犯罪的;(三)以调解方式结案或者确认人民调解协议效力的,但为保护国家利益、社会公共利益、他人合法权益确有必要公开的除外;(四)离婚诉讼或者涉及未成年子女抚养、监护的;(五)人民法院认为不宜在互联网公布的其他情形。据此,互联网公开的裁判文书中当事人的身份信息可以公布无疑。
因此,国际社会的主流意见是重视在公开裁判文书时尽量保护当事人的个人信息,主要原因是为了使当事人更好地回归社会、重新做人,更好地修复被违法行为损坏的社会关系,避免其亲属受到影响。有的学者提出域外一些国家对刑事被追诉人个人信息的保护力度有降低趋势,但“橘生淮南则为橘,橘生淮北则为枳”,我们不能简单地照搬某些域外国家的做法,而应从中国社会现阶段的实际需要出发。正如邓小平同志指出的那样,我们这个国家有几千年封建社会的历史,缺乏社会主义的民主和社会主义的法制。中国封建社会的历史比较长,留给我们的民主法治传统很少,“三纲五常”为核心的正统法律思想极大地遏制了人权意识的发育,“一损俱损”的宗法家族制度使得株连制度大为横行。所以,消除封建主义残余是我们的一个艰巨任务,“矫枉必须过正”,我们只有采取对自然人个人信息较之域外更为严厉的保护措施,才能有助于人们树立强烈的人权意识,彻底肃清封建主义蔑视人格的遗毒。
中国的历史具有“法之不行,自上犯之”的传统。国家机关是个人信息最大的处理者和持有者,只有规范好了国家机关的个人信息处理行为和保障其安全,才能真正保护好个人信息。个人信息保护法的基本原则也适用于国家机关。换言之,国家机关作为个人信息处理者也要遵守相关法律规定。公民的个人信息来自国家机关的侵害近年来一直是个人信息保护的主要障碍。因此,我们只有对国家机关提出更为严厉的保护公民个人信息的责任,才能确保公民个人信息的最大保护目的的实现。
中国的历史还具有不尊重刑事被追诉人和犯人“剩余权利”的传统。上个世纪七十年代末,李步云教授和徐炳同志在《人民日报》发表了一篇《论罪犯的法律地位》一文,提出罪犯仍有一些法定权利未被剥夺,政府和社会应予尊重和保护。文章发表后的短短一个星期之内,作者和报社接到了数千封读者来信,斥责李步云、徐炳一文的观点,疾呼所谓“犯人还有什么权利?!这不是让犯人造反吗?”“罪犯还有权利,立场到哪里去了?!”迄今,在我国个别地区仍然存在对一些未经法院判决有罪的人“游街示众”、对“老赖”的子女求学就业实行株连等现象,因此,在这样的情况下,只有对刑事被追诉人和犯人的个人信息实行合法的最大保护,才能培育社会关于人权的司法保障意识。
2022年7月28日,中共中央宣传部举行“中国这十年”系列主题新闻发布会,介绍党的十八大以来全面依法治国取得的成就。有记者询问个人信息保护方面的立法问题,提出中国是否会出台其他保护个人隐私的法律时,全国人大常委会委员、法制工作委员会副主任许安标当即表示,我国《个人信息保护法》在实施中,存在许多条款需要制定配套性规定,例如,公共场所图像采集管理、个人信息安全管理、个人信息出境安全评估等有关具体制度,对于这样一些配套制度,有关部门已经出台或者正在抓紧起草、制定。由于个人信息保护涉及的领域非常广泛,我国有关部门会在相关具体立法中,更进一步完善有关制度,织密织牢个人信息保护的法律制度,切实保障公民的权利。这一信息表明,我国保障公民个人信息的法网不是松了,而是愈来愈紧,这是符合中国的历史和现实需要的。
中国还处于社会主义初级阶段,我们的依法治国总体上还是社会主义初级阶段的依法治国,到2035年我们基本建成法治国家、法治政府和法治社会,基本实现国家治理体系和治理能力现代化,那时我们将迈入社会主义中级阶段的依法治国;到2050年我们建成了社会主义法治现代化强国,实现了国家治理体系和治理能力的现代化,我们将迈入社会主义高级阶段、发达阶段的依法治国。所以,全面依法治国还在路上,保障人权任重道远。
END
（责任编辑：蔡 颖）
精
彩
推
荐
点击左下角“阅读原文”跳转到《荆楚法学》杂志网上投审稿平台，可以在线投稿！