歐盟機(jī)構(gòu)關(guān)于限制數(shù)據(jù)主體權(quán)利的新動(dòng)向

【摘 要】 為保護(hù)歐盟成員國(guó)國(guó)民的個(gè)人數(shù)據(jù)，歐盟通過(guò)了數(shù)項(xiàng)法規(guī)，為個(gè)人數(shù)據(jù)數(shù)據(jù)保護(hù)提供了充分的法律框架。與此同時(shí)，歐盟也意識(shí)到在維護(hù)國(guó)家安全等某些特殊情況下，需要對(duì)個(gè)人的數(shù)據(jù)保護(hù)權(quán)利加以限制，以實(shí)現(xiàn)個(gè)人保護(hù)與國(guó)家社會(huì)利益保護(hù)間的平衡。2020年3月，歐洲數(shù)據(jù)保護(hù)主管發(fā)布了 《關(guān)于第2018/1725號(hào)條例第25條以及限制數(shù)據(jù)主體權(quán)利的內(nèi)部規(guī)則的指南》，該指南對(duì)2018年發(fā)布的《關(guān)于在歐盟機(jī)構(gòu)、機(jī)關(guān)、辦公室和辦事處處理個(gè)人數(shù)據(jù)方面對(duì)自然人的保護(hù)以及這些數(shù)據(jù)的自由流動(dòng)，并廢除（EC）第 45/2001 號(hào)條例和（EC）第 1247/2002 號(hào)決定的條例》（下文簡(jiǎn)稱“第2018/1725 號(hào)條例”）第25條的規(guī)定進(jìn)行完善，對(duì)如何擬定和執(zhí)行內(nèi)部規(guī)則以限制數(shù)據(jù)主體權(quán)利進(jìn)行了具體規(guī)定并提供了相關(guān)范本。

【關(guān)鍵詞】 歐洲數(shù)據(jù)保護(hù)主管 個(gè)人數(shù)據(jù)保護(hù) 必要性

比例性

一、出臺(tái)背景及目的

個(gè)人數(shù)據(jù)保護(hù)是歐盟賦予成員國(guó)公民的的一項(xiàng)基本權(quán)利。《歐盟基本權(quán)利憲章》（以下簡(jiǎn)稱“憲章”）第8條規(guī)定了數(shù)據(jù)的查詢權(quán)和更正權(quán)，第45/2001號(hào)法規(guī)（《關(guān)于在社區(qū)機(jī)構(gòu)和團(tuán)體處理個(gè)人數(shù)據(jù)以及此類數(shù)據(jù)的自由流動(dòng)的方面對(duì)個(gè)人保護(hù)的條例》）規(guī)定了數(shù)據(jù)主體的反對(duì)權(quán)和刪除權(quán)。為了保護(hù)數(shù)據(jù)主體的權(quán)利，2016年 4 月 14 日，歐盟議會(huì)和歐盟理事會(huì)發(fā)布了《通用數(shù)據(jù)保護(hù)條例》（GDPR），條例制定了個(gè)人數(shù)據(jù)保護(hù)的一般規(guī)則。2018年11 月 21 日，歐洲議會(huì)和歐盟理事會(huì)發(fā)布了第2018/1725 號(hào)條例[1]，規(guī)制了歐盟機(jī)構(gòu)、機(jī)關(guān)、辦公室和辦事處處理個(gè)人數(shù)據(jù)方面對(duì)自然人的保護(hù)。第2018/1725號(hào)條例的發(fā)布，是歐盟為數(shù)字時(shí)代數(shù)據(jù)保護(hù)制定全面框架的又一個(gè)重要步驟，這使歐盟機(jī)構(gòu)能夠以身作則，采取積極的必要的步驟和行動(dòng)，確保個(gè)人數(shù)據(jù)處理的整體安全環(huán)境。第2018/1725 號(hào)條例第25條的標(biāo)題為“限制”，即當(dāng)出現(xiàn)第25條第1款列出的情形，包括成員國(guó)的國(guó)家安全，公共安全或國(guó)防;預(yù)防，調(diào)查，偵查和起訴刑事犯罪或執(zhí)行刑事處罰等，歐盟機(jī)構(gòu)可能會(huì)限制數(shù)據(jù)主體的權(quán)利。歐盟機(jī)構(gòu)應(yīng)當(dāng)僅在必要且始終基于法律規(guī)定的情況下采用此類限制，或者在沒(méi)有此類法律規(guī)定的情況下，在與歐盟機(jī)構(gòu)有關(guān)的事項(xiàng)上，應(yīng)以歐盟機(jī)構(gòu)的內(nèi)部規(guī)則為基礎(chǔ)采用此類限制。

然而，自第2018/1725 號(hào)條例生效以來(lái)，由于第25條對(duì)數(shù)據(jù)主體權(quán)利的限制的規(guī)定較為模糊，因此在執(zhí)行層面曾多次遭到數(shù)據(jù)主體的質(zhì)疑和投訴。為了明確歐盟機(jī)構(gòu)何時(shí)可以對(duì)數(shù)據(jù)主體進(jìn)行限制，以及如何制訂限制數(shù)據(jù)主體權(quán)利的內(nèi)部規(guī)則，確保限制的必要性和比例性，EDPS發(fā)布了《關(guān)于第2018/1725號(hào)條例第25條的指南以及限制數(shù)據(jù)主體權(quán)利的內(nèi)部規(guī)則》。

二、主要內(nèi)容

（一）框架

該指南的結(jié)構(gòu)如下：第一，EDPS強(qiáng)調(diào)了數(shù)據(jù)保護(hù)是歐盟民主國(guó)家的基本權(quán)利，因此在歐盟機(jī)構(gòu)在限制數(shù)據(jù)主體的權(quán)利時(shí)應(yīng)當(dāng)有法律依據(jù)或者內(nèi)部規(guī)則做支撐。第二，指南對(duì)第2018/1725 號(hào)條例第25條對(duì)限制的規(guī)定做了進(jìn)一步的明確，包括限制是什么，哪些權(quán)利可能受到限制的影響，限制的條件。第三，指南對(duì)限制數(shù)據(jù)主體權(quán)利的內(nèi)部規(guī)則的制訂和執(zhí)行進(jìn)行了具體規(guī)定，并提供了相關(guān)的模型[2]。

（二）對(duì)第2018/1725 號(hào)條例第25條的完善

第2018/1725 號(hào)條例第25條規(guī)定的限制不意味著要?jiǎng)儕Z數(shù)據(jù)主體權(quán)利，限制本身就是一種臨時(shí)措施，當(dāng)證明限制條件成立的情況不再存在時(shí)，歐盟機(jī)構(gòu)必須“歸還”數(shù)據(jù)主體的權(quán)利。當(dāng)歐盟機(jī)構(gòu)對(duì)數(shù)據(jù)主體實(shí)行限制時(shí)，數(shù)據(jù)主體的知情權(quán)、查閱權(quán)、更正權(quán)、刪除權(quán)、反對(duì)權(quán)、數(shù)據(jù)移植權(quán)利、電子通信機(jī)密性等權(quán)利可能受到影響，例如在歐洲反欺詐辦公室（OLAF）展開(kāi)調(diào)查過(guò)程中，可以暫時(shí)限制數(shù)據(jù)主體的知情權(quán)、查閱權(quán)、更正權(quán)和刪除權(quán);在任何階段，數(shù)據(jù)主體始終有權(quán)提出反對(duì)權(quán)，但是，歐盟機(jī)構(gòu)必須檢查反對(duì)意見(jiàn)，并可能需要證明存在令人信服的合理理由從而不接受反對(duì)意見(jiàn);在進(jìn)行恐怖活動(dòng)等危害國(guó)家安全的調(diào)查時(shí)，歐盟機(jī)構(gòu)可能會(huì)限制電子通信的機(jī)密性。

限制數(shù)據(jù)主體權(quán)利的因素有三個(gè)，一是必要性和比例性檢驗(yàn);二是需要法律依據(jù)，三是限制的依據(jù)。關(guān)于必要性和比例性檢驗(yàn)，EDPS已頒布一系列相關(guān)指南，歐盟機(jī)構(gòu)在限制數(shù)據(jù)主體權(quán)利時(shí)應(yīng)依據(jù)指南展開(kāi)必要性和相關(guān)性測(cè)試，有關(guān)個(gè)人數(shù)據(jù)保護(hù)的限制必須僅在嚴(yán)格必要的范圍內(nèi)適用。由于測(cè)試必要性是測(cè)試比例性的前提，若歐盟機(jī)構(gòu)所設(shè)想的措施未通過(guò)必要性測(cè)試，則無(wú)需檢查其比例性。關(guān)于需要法律依據(jù)，指南指出被廢止的條例即第45/2001條例直接以第20條為依據(jù)進(jìn)行限制，即如果是出于預(yù)防、調(diào)查、偵查和起訴刑事犯罪或成員國(guó)或歐洲共同體的重要經(jīng)濟(jì)或金融利益等原因，社區(qū)機(jī)構(gòu)和團(tuán)體可以限制數(shù)據(jù)主體的權(quán)利。而第2018/1725號(hào)條例與第45/2001條例不同，其規(guī)定限制要以法律為基礎(chǔ)，對(duì)于與歐盟機(jī)構(gòu)有關(guān)的事項(xiàng)，沒(méi)有法律基礎(chǔ)的，則以歐盟機(jī)構(gòu)的內(nèi)部規(guī)則為基礎(chǔ)。關(guān)于限制的依據(jù)，指南對(duì)第2018/1725號(hào)條例第25條列舉的每一項(xiàng)限制依據(jù)都予以了解釋，如預(yù)防、調(diào)查、偵查和起訴刑事犯罪或執(zhí)行刑事處罰，包括維護(hù)和預(yù)防對(duì)公共安全的威脅，對(duì)于該項(xiàng)限制數(shù)據(jù)主體權(quán)利的依據(jù)，指南指出第2018/1725號(hào)條例在第45/2001號(hào)條例的基礎(chǔ)上對(duì)適用范圍進(jìn)行了拓展，即只要與預(yù)防或調(diào)查犯罪行為有聯(lián)系，就必須將其廣義地解釋為涵蓋行政詢問(wèn)，紀(jì)律處分程序或歐洲反腐敗辦公室（OLAF）調(diào)查，從而對(duì)數(shù)據(jù)主體的權(quán)利進(jìn)行限制。歐盟機(jī)構(gòu)應(yīng)確保在其網(wǎng)站上發(fā)布一份正式的數(shù)據(jù)保護(hù)通知，告知潛在的數(shù)據(jù)主體其權(quán)利可能受到的臨時(shí)限制。在預(yù)防、調(diào)查、發(fā)現(xiàn)和起訴受管制職業(yè)的道德違規(guī)行這項(xiàng)限制依據(jù)中，指南還特別指出，在反騷擾的調(diào)查程序中，此前出于保護(hù)受害者的目的，歐盟機(jī)構(gòu)會(huì)根據(jù)第45/2001號(hào)條例第20條規(guī)定的限制來(lái)限制被指控的騷擾者獲取其自身數(shù)據(jù)的權(quán)利。但依據(jù)第2018/1725號(hào)條例第25條，歐盟機(jī)構(gòu)不能直接限制騷擾者的查閱權(quán)，而應(yīng)在個(gè)案的基礎(chǔ)上加以處理，以平衡所謂的騷擾者的權(quán)利與對(duì)潛在受害者的保護(hù)之間的關(guān)系。

（三）內(nèi)部規(guī)則的制訂和執(zhí)行

關(guān)于內(nèi)部規(guī)則的制訂，從理論層面來(lái)講，指南提供了內(nèi)部規(guī)則的一些范本，但歐盟機(jī)構(gòu)可根據(jù)特定需求量身定制內(nèi)部規(guī)則。在制訂內(nèi)部規(guī)則時(shí)，歐盟機(jī)構(gòu)需要向數(shù)據(jù)保護(hù)官（DPO）和EDPS咨詢，內(nèi)部規(guī)則制訂后須經(jīng)歐盟機(jī)構(gòu)的最高管理級(jí)別同意才能通過(guò)。一旦通過(guò)，內(nèi)部規(guī)則必須在《歐盟官方公報(bào)》以及該機(jī)構(gòu)的網(wǎng)站上發(fā)布。從實(shí)踐層面來(lái)講，內(nèi)部規(guī)則應(yīng)提及進(jìn)行限制的目的、適用限制的個(gè)人數(shù)據(jù)類別、限制的權(quán)利并盡可能將三者聯(lián)系起來(lái)。例如，在反騷擾的調(diào)查程序中，歐盟機(jī)構(gòu)可能會(huì)限制被指控騷擾者對(duì)開(kāi)始調(diào)查的決定、調(diào)查的初步結(jié)果等數(shù)據(jù)類別的查閱權(quán)和刪除權(quán)，這是保護(hù)被騷擾者所必需的。此外，內(nèi)部規(guī)則還應(yīng)注明權(quán)利限制的時(shí)間，并規(guī)定審查關(guān)于限制的既定決定的定期措施，如限制時(shí)間可以計(jì)算為處理操作的持續(xù)時(shí)間加上潛在訴訟的時(shí)間，歐盟機(jī)構(gòu)應(yīng)每六個(gè)月審查限制措施，以確保其理由仍然有效。

關(guān)于內(nèi)部規(guī)則的執(zhí)行，歐盟機(jī)構(gòu)必須告知數(shù)據(jù)主體可能對(duì)其施加限制，并在歐盟機(jī)構(gòu)的網(wǎng)站上發(fā)布通用數(shù)據(jù)保護(hù)通知。數(shù)據(jù)主體應(yīng)該意識(shí)到，如果他們牽涉到行政或刑事等調(diào)查程序中，在此期間可能會(huì)被限制數(shù)據(jù)權(quán)利。但數(shù)據(jù)主體應(yīng)該享有了解限制數(shù)據(jù)權(quán)利的目的以及向EDPS投訴的權(quán)利。在調(diào)查的初步階段完成之后，數(shù)據(jù)主體應(yīng)收到特定的數(shù)據(jù)保護(hù)通知，例如數(shù)據(jù)保護(hù)通知可能會(huì)限制訪問(wèn)調(diào)查文件或潛在騷擾受害者指控的文件的權(quán)利，并在可能的情況下指出權(quán)利完全恢復(fù)的期限。一旦證明限制的理由不再成立，歐盟機(jī)構(gòu)應(yīng)以特定的數(shù)據(jù)保護(hù)通知的形式及時(shí)通知數(shù)據(jù)主體，數(shù)據(jù)主體有權(quán)知道對(duì)他們的限制已到期，權(quán)利得到恢復(fù)。如果數(shù)據(jù)主體特別要求在特定調(diào)查的非常關(guān)鍵的時(shí)刻行使某項(xiàng)權(quán)利，歐盟機(jī)構(gòu)應(yīng)盡可能將限制的主要原因告知數(shù)據(jù)主體。但是，如果將限制的主要原因告知數(shù)據(jù)主體會(huì)妨礙限制的效果，那么告知數(shù)據(jù)主體限制的主要原因和他們可向EDPS提出投訴的權(quán)利的時(shí)間可以推遲。

三、評(píng)價(jià)

由于數(shù)據(jù)保護(hù)是歐盟的一項(xiàng)基本權(quán)利，其中包括查閱權(quán)，更正權(quán)，刪除權(quán)等多項(xiàng)權(quán)利，嚴(yán)格尊重?cái)?shù)據(jù)主體的這些權(quán)利是數(shù)據(jù)保護(hù)的實(shí)質(zhì)。憲章第52條第1款規(guī)定了對(duì)行使憲章所承認(rèn)的權(quán)利和自由的任何限制都必須由法律規(guī)定，這與《歐洲人權(quán)公約》（ECtHR）第8條第2款中的依法行事相對(duì)應(yīng)。因此歐盟機(jī)構(gòu)在制訂內(nèi)部規(guī)則對(duì)數(shù)據(jù)主體施加限制時(shí)必須要嚴(yán)格遵守法律，并與法治兼容。內(nèi)部規(guī)則對(duì)限制內(nèi)容的規(guī)定必須足夠清晰明確，以使數(shù)據(jù)主體充分了解歐盟機(jī)構(gòu)有權(quán)采取任何此類限制措施的情況和條件。

根據(jù)歐洲法院的判例，對(duì)數(shù)據(jù)主體權(quán)利的一切限制必須只在絕對(duì)必要的情況下適用，因此在制訂內(nèi)部規(guī)章之前，歐盟機(jī)構(gòu)必須逐案進(jìn)行必要性和比例性測(cè)試，對(duì)此可參照2020年1月28日EDPS發(fā)布的《EDPS必要性和比例性快速指南》[3]。關(guān)于必要性評(píng)估，歐盟機(jī)構(gòu)應(yīng)當(dāng)制定限制權(quán)利的事實(shí)說(shuō)明;分析限制影響的基本權(quán)利，是否會(huì)對(duì)公民的隱私權(quán)和以及其他權(quán)利造成影響;確定限制的目的，可能是包括維護(hù)公共利益的需要或保護(hù)他人權(quán)利和自由的需要從而選擇有效且傷害性最小的限制方案。關(guān)于比例性評(píng)估，歐盟機(jī)構(gòu)應(yīng)當(dāng)評(píng)估限制目的的重要性以及采取的限制是否能達(dá)到該目的;其次應(yīng)當(dāng)評(píng)估限制的范圍、程度和強(qiáng)度，如果措施未達(dá)比例性要求，則應(yīng)通過(guò)減少個(gè)人數(shù)據(jù)處理的范圍或程度，引入失效條款或到期期限等措施保證符合比例性要求。出于EDPS和DPO問(wèn)責(zé)的目的，指南規(guī)定歐盟機(jī)構(gòu)應(yīng)當(dāng)說(shuō)明實(shí)施限制的原因，以及必要性和相稱性檢驗(yàn)的結(jié)果。另外，指南還規(guī)定歐盟機(jī)構(gòu)應(yīng)就第2018/1725號(hào)條例第25條的適用情況定期編寫評(píng)估報(bào)告，這些規(guī)定能夠保證歐盟機(jī)構(gòu)對(duì)數(shù)據(jù)主體的限制始終符合必要性和比例性要求。

還需要特別注意的是，由于目前新型冠狀病毒正在全球廣泛傳播，2020年4月21日，歐盟數(shù)據(jù)保護(hù)委員會(huì)（EDPB）通過(guò)了《Covid-19疫情背景下為科學(xué)研究目的使用健康數(shù)據(jù)指南》。該指南指出科學(xué)研究目的應(yīng)包括在公共衛(wèi)生領(lǐng)域進(jìn)行的符合公眾利益的研究。在對(duì)特定人群的疾病和癥狀進(jìn)展進(jìn)行調(diào)查以維護(hù)公共安全時(shí)，研究人員仍需征得數(shù)據(jù)主體的同意，研究人員也應(yīng)當(dāng)認(rèn)識(shí)到，數(shù)據(jù)主體必須有可能在任何時(shí)候撤回同意，如果數(shù)據(jù)撤回同意且研究人員沒(méi)有其他處理數(shù)據(jù)的合法依據(jù)，研究人員應(yīng)當(dāng)刪除數(shù)據(jù)。因此，雖然第2018/1725號(hào)條例第25（1）（a）條規(guī)定出于維護(hù)公共安全的目的，歐盟機(jī)構(gòu)可對(duì)數(shù)據(jù)主體的知情權(quán)進(jìn)行限制，但歐盟機(jī)構(gòu)在依據(jù)《關(guān)于第2018/1725號(hào)條例第25條以及限制數(shù)據(jù)主體權(quán)利的內(nèi)部規(guī)則的指南》限制數(shù)據(jù)主體權(quán)利的過(guò)程中，還應(yīng)充分考慮一些特殊情形，如在限制新型冠狀病毒潛在和確診感染者的數(shù)據(jù)權(quán)利時(shí)，歐盟機(jī)構(gòu)還應(yīng)當(dāng)參照EDPB發(fā)布的相關(guān)指南，以充分平衡歐盟機(jī)構(gòu)對(duì)數(shù)據(jù)主體權(quán)利的限制以及對(duì)數(shù)據(jù)主體權(quán)利的保障之間的關(guān)系，從而進(jìn)一步完善歐盟數(shù)據(jù)保護(hù)框架。

【參考文獻(xiàn)】

[1] European Parliament [EB/OL].https：//eur-lex.europa.eu/legal-content/en/TXT/？uri=CELEX：32018R1725. 2020年4月2日

[2] European Data Protection Supervisor [EB/OL]. https：//edps.europa.eu/data-protection/our-work/publications/guidelines/guidance-art-25-regulation-20181725_en. 2020年4月2日

[3] European Data Protection Supervisor [EB/OL]. https：//edps.europa.eu/sites/edp/files/publication/20-01-28_edps_quickguide_en.pdf. 2020年4月4日

[4] European Data Protection Board [EB/OL]. https：//edpb.europa.eu/our-work-tools/our-documents/mandate-processing-health-data-research-purposes-context-covid-19_en. 2020年4月4日

作者簡(jiǎn)介：吳悅舒（19950324）女，漢族，廣東韶關(guān)人，單位：西安交通大學(xué)法學(xué)院，研究生學(xué)歷，法學(xué)專業(yè)，研究方向：國(guó)際投資法