世界反興奮劑機構最新《隱私與個人信息保護國際標準》變化及其缺陷解讀

李睿智

為了支持作為世界反興奮劑規(guī)劃的全球性基礎文件的 《世界反興奮劑條例》（World Anti-Doping Code，WADC），世界反興奮劑機構（World Anti-Doping Agency，WADA）就反興奮劑活動涉及的部分專門事項制定了強制性國際標準?！峨[私與個人信息保護國際標準》（International Standard for Protection ofPrivacy and Personal Information，ISPPPI）就是針對反興奮劑語境下個人信息保護問題而制定的一項國際標準。該標準于2009年5月9日首次通過，并于當年7月1日正式生效，于2015年和2018年進行過兩度修訂。2021年1月1日，再度修訂的ISPPPI將隨2021年實施版WADC一同生效?？紤]到世界范圍內不同反興奮劑組織所適用的法律提供的數據保護水平存在差異，ISPPPI為反興奮劑活動中個人信息的處理提供最低標準。ISPPPI的主體內容為反興奮劑活動中個人信息處理所涉的權利和義務，此次修訂不僅在格式和表述方面進行了完善，也對權利和義務的實質內容作出了調整。但在修訂后的ISPPPI中，一些問題依然存在，且產生了新的缺陷。

1 概述：ISPPPI下的權利與義務

盡管WADA成立于非歐盟成員國瑞士，且將數據庫設立在加拿大蒙特利爾，因而在數據保護方面首先受到瑞士、加拿大以及加拿大魁北克省相關法律的約束，但ISPPPI自2009年生效的初版起就表明，該標準在制定時主要參考的是歐盟《數據保護指令》（Directive 95/46/ec on the Protection of Individuals with Regard to the Processing of Personal Data and on the Free Movement of Such Data）。自2018年實施版ISPPPI起，ISPPPI的主要參考文件更換為《通用數據保 護 條 例 》 （General Data Protection Regulation，GDPR），因此本文的解讀亦基于GDPR。ISPPPI涉及的主體主要為參賽者或其他當事人、反興奮劑組織、第三方代理（third-party agent）以及第三方（third party），其中參賽者或其他個人、反興奮劑組織以及第三方代理與ISPPPI下規(guī)定的權利與義務相關。

1.1 權利主體：參賽者和其他個人

ISPPPI旨在為反興奮劑活動中所處理的個人信息提供保護，受保護的主體為參賽者以及參與有組織體育活動或與有組織體育活動相關的其他個人。依照WADC的定義，參賽者指任何運動員或運動員輔助人員。為便于表述，本文以 “信息主體”指代ISPPPI下的受保護主體。參照GDPR，ISPPPI下信息主體主要享有知情權（right to information）、獲取權（right to access）、糾正權（right to rectification）、限制處理權 （right to restriction of processing）和刪除權（right to erasure）。

信息主體享有的知情權主要規(guī)定在第7條 “確保向參賽者或其他當事人提供適當的信息”。依據該條，反興奮劑組織應當在向個人信息主體收集個人信息之時或之前，以信息主體易于理解的方式，提供與信息處理相關的信息，包括收集信息的反興奮劑組織及聯系方式、將被處理的個人信息類型、個人信息的使用目的、個人信息的潛在接收者類別等。需要注意的是，如果向信息主體作出相關信息的通知可能破壞反興奮劑程序的完整性，反興奮劑組織可以在合理范圍內延遲或暫停發(fā)出通知。另外，依照第6.2條，在基于同意處理個人信息的情況下，反興奮劑組織還應告知拒絕同意或撤回同意的后果。

信息主體享有的獲取權主要由ISPPPI第11.1條至第11.3條規(guī)定。依照第11.1條，個人有權向反興奮劑組織確認其個人信息是否正在接受處理，并有權獲取第7.1條下規(guī)定的相關信息，以及相關信息的副本，該項權利受到法律規(guī)定以及反興奮劑體系的完整性的限制。同時，依照第11.2條和第11.3條，如因個人信息性質方面的原因導致反興奮劑組織在向個人提供其要求獲得的信息時付出不成比例的成本和精力，則反興奮劑組織可以拒絕個人的信息獲取請求。

信息主體還享有糾正權、限制處理權和刪除權。依照ISPPPI第5.3條，反興奮劑組織負有保證個人信息準確、完整和及時更新的責任?；诖?，第11.4條規(guī)定，不準確、不完整或過度（excessive）的信息應當酌情被更正、修改、凍結（block）或刪除。其中，“過度”一詞結合ISPPPI所規(guī)定的類似GDPR下的目的限制原則，應理解為超出反興奮劑的目的[1]；“凍結”一詞結合WADA發(fā)布的《ISPPPI隱私保護指南》[2]，應理解為反興奮劑組織不再處理個人信息，類似于GDPR下的限制處理權的內容。此外，以下條款中也有信息主體享有個人信息的刪除權的規(guī)定：（1）依照ISPPPI第10.2條，一旦個人信息不再與反興奮劑組織履行WADC或各國際標準規(guī)定的義務相關，或者適用的法律、法規(guī)或強制法律程序沒有另有規(guī)定，應將個人信息刪除、銷毀或永久匿名；（2）依照第 6.2（b）條，信息主體可以撤回對個人信息處理作出的同意，結合第10.2條，應當對個人信息予以刪除、銷毀或永久匿名。

綜上可以發(fā)現，反興奮劑語境下信息主體對于個人信息享有的權利內容相對有限，但要注意的是，ISPPPI僅為反興奮劑組織在反興奮劑活動中處理個人信息應當遵循的最低標準，在所適用的法律超出ISPPPI規(guī)定的規(guī)則或標準時應當適用法律規(guī)定，其中就包括信息主體依照適用的隱私和數據保護法可能享有的其他權利。

1.2 義務主體：反興奮劑組織和第三方代理

依照ISPPPI第4.1條，ISPPPI規(guī)定的是反興奮劑組織及其第三方代理在反興奮劑活動中處理個人信息時應當適用的最低要求。依照該條，反興奮劑語境下個人信息保護的義務主體是反興奮劑組織及其第三方代理。根據WADC定義，反興奮劑組織是指WADA，以及負責為啟動、實施或執(zhí)行興奮劑管制過程中任何部分的工作而制定規(guī)則的WADC簽約方。根據ISPPPI定義，第三方代理是指在反興奮劑組織自身開展的反興奮劑活動中，經委托等方式受雇代表反興奮劑組織處理個人信息的任何當事人，包括但不限于受委托的第三方和任何分包商。

從條款內容來看，ISPPPI主要規(guī)制的是決定進行反興奮劑活動的反興奮劑組織，類似于GDPR下的控制者。除確保前述信息主體的權利得到實現外，ISPPPI下處理個人信息的反興奮劑組織負有的義務可以歸納為有關信息處理的組織保障義務以及信息處理過程中的義務兩大方面。

在有關信息處理的組織保障方面，反興奮劑組織應當制定基于ISPPPI的內部政策和程序 （第4.3條），包括關于確保個人信息的安全保留和最終銷毀的計劃和程序（第10.3條），以及處理信息主體投訴的程序（第11.5條）。反興奮劑組織應當采用所有必要的安全措施防止信息泄露（第9.1條），這些安全措施應當將信息敏感性納入考量（第9.2條）。反興奮劑組織應定期評估其對敏感個人信息和行蹤信息的處理情況，以確定處理的合比例性和風險，并評估為降低相關參賽者的風險而可以采取的任何措施（第9.6條）。人員方面，反興奮劑組織須指定一名負責遵守ISPPPI和所有適用的相關法律的人員（第4.5條）。反興奮劑組織須確保自己的工作人員僅在需要知道時獲取個人信息（第9.1條釋義），應確保處理個人信息的工作人員遵守保密義務（第9.7條）。另外，反興奮劑組織可以通過委托等方式雇傭代表其處理個人信息的第三方代理（如IT服務提供商、實驗室、外部專家、受委托的第三方、興奮劑管制協(xié)調員和外部興奮劑管制工作人員），在選擇第三方代理時須依照適用的法律和ISPPPI選擇在技術安全措施和組織措施方面具有保證的第三方代理（第9.4條），同時應對第三方代理采取合同控制和技術控制的手段，以履行對于個人信息保護負有的持續(xù)性責任（第9.3條）。

反興奮劑組織在ISPPPI下負有的義務還集中在信息處理過程方面。反興奮劑組織應當在相關和合比例，且不違反適用的法律、法規(guī)或強制法律程序的情況下，基于反興奮劑的目的處理個人信息 （第5.1條至第5.3條），同時負有公平處理個人信息并保證其準確、完整和及時更新的義務（第5.4條）；須維護個人信息處理的記錄（第4.4條）；應當在收集個人信息之前或之時，使用清晰明了的語言，以與個人信息相關的參賽者或其他當事人易于理解的方式和格式（第7.3條），向信息主體提供與個人信息處理有關的信息（第7.1條），且應答復信息主體關于信息處理的問題，只有在例外的情況下可以推遲或暫停提供信息（第7.2條）；個人信息處理須基于有效的合法性基礎，由信息處理時與信息主體具有首要關系的反興奮劑組織負責建立合法性基礎（第6.1條）。如反興奮劑組織基于同意處理個人信息，則須向信息主體額外告知部分信息（第6.2條），并應在處理敏感個人信息時獲得明示同意 （第6.3條）；在參賽者因年齡、精神能力或法律承認的其他合法原因而不能提供知情同意的情況下，應向參賽者的法定代表人、監(jiān)護人或其他具有資格的代表尋求同意（第6.4條）。反興奮劑組織可與3類主體共享個人信息，即其他反興奮劑組織、第三方代理和第三方：就其他反興奮劑組織而言，如個人信息對其履行WADC、國際標準以及適用法律所規(guī)定的義務是必要的，則反興奮劑組織可以向其披露個人信息 （第8.1條），但在另一些情況下不應作出披露 （第8.2條）；就第三方代理而言，反興奮劑組織與其共享個人信息時，除適當控制外，還應確保個人信息僅在該第三方代理代表反興奮劑組織時或者在該第三方代理的被授權或雇傭的范圍內進行處理 （第9.3條）；就第三方而言，反興奮劑組織可在有限的3種情況下向其披露個人信息（第8.3條）。一旦發(fā)生對信息主體權益具有重大影響的信息泄露，負責的反興奮劑組織應向受影響的信息主體作出通知，并采取補救措施（第9.5條）。反興奮劑組織應當在ISPPPI附件A中規(guī)定的保留時間內保留個人信息，在附件A中沒有規(guī)定的情況下根據某些原則 （第10.2條、第10.3條和第10.5條）予以保留，并在可行的情況下確定明確的保留時間（第10.1條）。需要強調的是，反興奮劑組織應確保僅在個人信息仍然與反興奮劑組織履行WADC或各國際標準規(guī)定的義務相關，或者適用的法律、法規(guī)或強制法律程序另有要求的情況下，保留個人信息；一旦個人信息不再用于這些目的，應將其刪除、銷毀或永久匿名（第10.3條）。

盡管從 ISPPPI第4.1條來看，ISPPPI的義務主體應包含第三方代理，但ISPPPI下明確提及第三方代理的義務的僅有第9.3條及釋義，且并未設定第三方代理的直接義務。依照第9條，根據反興奮劑組織采取的合同和技術等適當控制，第三方代理應僅在代表反興奮劑組織時，或者在其授權或雇傭范圍內進行個人信息處理。依照第9.3條釋義，第三方代理根據與反興奮劑組織訂立的合同，可能承擔一些具體的義務，如僅根據反興奮劑組織的書面指示處理個人信息，（包括工作人員在內）對所處理的個人信息負有保密義務，對個人信息實施適當的技術安全措施和組織措施等。換言之，第三方代理的義務實際來源自與反興奮劑組織之間的合同，因此第三方代理難以被視為ISPPPI下真正的義務主體。

綜合來看，ISPPPI的設置從各方面體現了其主要參照的GDPR的要求，為反興奮劑活動中信息處理主體設置了較為嚴格的義務，也為信息主體提供了較為充分的保護。

2 2021年實施版ISPPPI的新變化

2021年實施版ISPPPI的正文分為兩個部分，第一部分包含第1條至第3條，就標準的簡介、范圍、WADC條款以及定義作出規(guī)定；第二部分包含第4條至第11條，從8個方面規(guī)定了反興奮劑活動中個人信息處理的標準。以下按照ISPPPI的這一劃分，就其格式、表述及實質內容方面的重要變化進行說明。

2.1 格式和表述方面的變化

2.1.1 ISPPPI第一部分的變化

2021年實施版ISPPPI刪除了前言部分，格式上與WADA其他的反興奮劑國際標準進行了統(tǒng)一。前言原有內容移入了第1條“簡介和范圍”和新增的第3.4條“解釋”（Interpretation）中。第 2條“WADC 條款”僅保留了WADC第14條的條款名，刪去了條款內容，形式上趨于簡潔化。ISPPPI第3條經增補后分為定義和解釋兩個部分，第3.1條至第3.3條分別為來自WADC和 《檢查與調查國際標準》的定義，以及ISPPPI下的專門定義。其中，第3.1條下所列舉的WADC定義在更新后，數量由原先的4條擴充為24條；第3.2條為新增條款，援引了3條《檢查與調查國際標準》下的定義；第3.3條“ISPPPI專門定義”在數量上沒有變化。新增的第3.4條“解釋”就ISPPPI的語言版本、所適用的法律原則、釋義的效力、條款的援引以及附件的效力作出了規(guī)定。與第2條的簡化相反，2021年實施版ISPPPI第3條趨于“復雜化”，這是因為相比WADC第14條，各項定義直接出現在ISPPPI的條款中，予以增補反而有助于對ISPPPI的理解。

2.1.2 ISPPPI第二部分的變化

第二部分中，2021年實施版ISPPPI在格式和表述方面主要進行了查漏補缺。第4.4條將第三方代理補充為對個人信息的披露對象，即個人信息的披露對象包含其他反興奮劑組織、第三方和第三方代理3類主體。第5條標題為“處理相關和合比例的個人信息”，上一版ISPPPI中該條款采取的是“相關”或是“適當（appropriate）和相關”的表述，2021 年實施版ISPPPI相應進行了補充或替換，統(tǒng)一為“相關和合比例”，強調比例原則在個人信息處理中的作用。鑒于信息保護主體包括參賽者和其他當事人，部分原本僅包含參賽者的條款補充了 “其他當事人”。另外，2021年實施版ISPPPI這一部分對條款中出現的一些詞語或詞組進行了大小寫的調整，對術語進行了強調，如第5.3（c）條中的結果管理（results management替換為Results Management）和第 5.4條中的處理（processed修改為Processed）；對此前誤作術語的普通詞語或詞組進行了修正，如第7.2條中的第三方（Third Parties變?yōu)閠hird parties）和第9.5條中的后果（Consequences變?yōu)?consequences）。

2.2 2021年實施版ISPPPI實質內容變化

2.2.1 ISPPPI第一部分的變化

本文僅就2021年實施版ISPPPI中ISPPPI專門定義的重要變化進行總結。2021年實施版ISPPPI調整了“個人信息”的定義，明確ISPPPI僅適用于為進行反興奮劑活動的而處理的個人信息?！疤幚怼倍x中，增補了“獲取”作為個人信息的處理方式之一。上一版 ISPPPI下，“信息泄露（Security Breach）”的定義為“對電子、硬拷貝或其他形式的個人信息的非經授權或非法處理（包括獲?。蚴菍π畔⑾到y(tǒng)的干擾，從而危及個人信息的隱私、安全、機密性、可用性或完整性”；2021年實施版ISPPPI下，該定義經修改后更為接近GDPR中的定義，指“對電子、硬拷貝或其他形式的個人信息造成遺失、失竊、損壞，或者未經授權和/或非法處理，或是干擾信息系統(tǒng)，從而危及個人信息的隱私、安全、保密性、可用性或完整性的安全破壞行為（Breach of security）”?！暗谌酱怼痹x中用于舉例說明的第一處分包人（Subcontractor）替換為WADC新增術語“受委托的第三方”。

2.2.2 ISPPPI第二部分的變化

2021年實施版ISPPPI第5.3條規(guī)定，反興奮劑組織可以基于某些僅與反興奮劑有關的目的處理個人信息，前提是進行了適當的評估。2021年實施版第5.3（d）條釋義針對第5.3條所指的“其他反興奮劑目的”增加了“開展和促進反興奮劑教育和研究”以及“反興奮劑程序的分析與改進”作為示例，理由是這些目的是由WADC或其他國際標準許可或要求的，無需就其與反興奮劑的相關性進行專門評估。

就第6條而言，2018年實施版ISPPPI中的第6.1條將“同意”單列，與有效合法性基礎并列作為處理個人信息的基礎，有效合法性基礎包括遵守法律義務、執(zhí)行公共利益任務、實質性公共利益（必要時）、履行合同和保護個人的重大利益；2021年實施版第6.1條則將“同意”歸入了有效合法性基礎，同時增設了“公共衛(wèi)生”作為有效合法性基礎。WADA在針對2021年實施版WADC和國際標準修訂發(fā)布的指南中指出，第6條作出的這些修改是為與諸多法域（特別是歐洲）下的數據處理法律框架相適應[3]。相應地，第6條標題由“依照法律或根據同意處理個人信息”修改為“基于有效的合法性基礎處理個人信息”，同時增強了與強調依照國際標準和適用法律處理個人信息的第4條之間的差異性。

第8.3條反興奮劑組織據以向第三方披露個人信息的第3項條件下，增加了對“職業(yè)行為規(guī)則違規(guī)”的偵查、調查或檢控，這一改動是基于利益相關者向專業(yè)監(jiān)管機構披露有關興奮劑違規(guī)的信息的經驗[3]。

第9.3條釋義是關于反興奮劑組織對第三方代理實施的合同控制的進一步說明，依照2018年實施版表述（...that include,inter alia,...），該條釋義列舉的是反興奮劑組織與第三方代理訂立的合同中必須包含的條款內容。2021年實施版ISPPPI列舉的條款內容未變，但經修改后變?yōu)楹贤翱梢宰们椤卑@些條款內容（...that can include,as appropriate,...）。換言之，2021年實施版ISPPPI第9.3條釋義提高了反興奮劑組織與第三方代理訂立合同時的靈活性。2021年實施版ISPPPI第9.6條將敏感個人信息處理的定期評估的具體周期要求刪除，并增設釋義，強調反興奮劑組織應當靈活采取適當的頻率進行評估。

第10條明確了在反興奮劑組織必須使用ISPPPI的附件A作為確定保留期限的首要參考的同時，該條規(guī)定的一般保留標準仍適用于附件當中未作特別規(guī)定的記錄或情況的保留。

第11.1條增加了“法定例外情形”“與反興奮劑體系的完整性相沖突”以及“與反興奮劑組織確立法律主張的能力相沖突”作為信息主體實現獲取權的限制。同時，該釋義也進行了增補，明確個人依照適用的隱私和數據保護法可享有額外權利，如個人請求行使權利，應當主要由當時與個人具有首要關系的反興奮劑組織負責接收和答復，WADA予以配合。

綜合來看，2021年實施版ISPPPI的修訂可歸納為3個方面：其一，提高其作為一份WADC締約方強制遵守的文件的規(guī)范性和可讀性，并與新版WADC保持一致；其二，反映反興奮劑實踐需求，提高反興奮劑組織遵守部分義務時的靈活性；其三，部分條款經修訂后更為貼近GDPR的相關規(guī)定。相較于2018年實施版ISPPPI，2021年實施版ISPPPI整體而言更加完善，但依然存在一些問題和缺陷，其中有部分在之前版本中就已存在，還有部分則是由此次修訂所產生。

3 2021年實施版ISPPPI存在的問題和缺陷

2021年實施版ISPPPI在格式和表述方面進行了一些調整，在一定程度上確實提高了標準的可讀性，然而在格式和表述上仍存在問題。格式方面，第5條和第10條出現條款序號錯誤。表述方面，部分涉及 “處理個人信息”的條款仍采取非術語表述（Handling），包括第二部分標題和第9.3條釋義。從ISPPPI旨在為個人信息提供隱私保護以及個人信息釋義所列舉的個人信息類型來看，ISPPPI規(guī)定中涉及信息主體的“當事人”（Person）應全部限縮理解為自然人（Natural Person）。通過第 3部分“定義和解釋”下的第3.1條可知，ISPPPI所采取的 “當事人”（Person）定義來源于WADC，指“自然人、組織或其他實體”，但該定義相較于ISPPPI下的實際范圍更廣；與此同時，ISPPPI卻僅在有限的條款（第4.2條釋義和第9.5條）中采取了自然人這一表述，未能在整個文件中實現統(tǒng)一。ISPPPI所保護的信息主體包括參賽者和其他當事人，然而一些兩者明顯應當同時出現的條款卻遺漏了“其他當事人”這一類主體，如第 4.5條、第 5.4條、第 6.1條釋義、第 7.1（f）條、第7.2條及釋義、第7.3條釋義以及第9.7條。為解決這一問題，可以考慮參照GDPR的做法定義“信息主體”術語，在兩類主體應當同時出現的條款中使用，從而避免遺漏。另外，ISPPPI將反興奮劑組織應確保工作人員遵守保密義務的義務單列為第9條下的第7款，同時卻將反興奮劑組織確保工作人員合規(guī)獲取個人信息并遵守保密義務的義務置于第9.1條（關于采取安全保障措施的要求）的釋義下，這一做法也是不妥的，應當將對同一類主體的要求置于相近的條款。考慮到2021年實施版ISPPPI的“處理”經修訂后增加了“獲取”這一類方式，因此第9.7條和第9.1條釋義的內容實際上存在一定程度的交叉，第9.1條釋義更適于作為第9.7條的釋義。第10.1條規(guī)定 “反興奮劑組織應根據以下原則保留附件A中沒有規(guī)定保留期限的個人信息”，然而其后的條款中，僅第10.2條和第10.5條可認為是與保留“沒有規(guī)定保留期限的個人信息”直接相關，第10.3條和第10.4條實際上是適用于所有個人信息的保留的規(guī)定（即無論附件A是否規(guī)定保留期限），因此第10條內部的順序安排是不合理的，應當予以調整。

除此之外，2021實施版ISPPPI在實質內容方面也存在一定缺陷，其中最突出的是第三方代理的“隱身”問題。ISPPPI一方面指出該標準同時適用于反興奮劑組織及其第三方代理，另一方面卻未對第三方代理這一類義務主體設定義務。誠然，考慮到第三方代理的類型以及ISPPPI作為行業(yè)規(guī)范區(qū)別于法律的本質，ISPPPI難以直接約束第三方代理，因而未在條款正文中為其設定義務，而是采取要求反興奮劑組織予以合同控制這一間接做法，是可以理解的。但從ISPPPI現有條款來看，這一做法存在亟待解決的缺陷。ISPPPI第9.3條釋義經修改后，將原本強制要求包含的第三方代理合同內容，改為酌情包含，從而提高了反興奮劑組織訂立合同時的靈活性，但由于ISPPPI缺少關于第三方代理義務的條款，此舉進一步降低了信息主體對于第三方代理負有的保護義務的確定性。此外，第11.5條關于投訴程序的規(guī)定也僅考量了反興奮劑組織未能遵守ISPPPI的情況，而未考量第三方代理代表反興奮劑組織處理個人信息時發(fā)生違規(guī)的情況。綜合來看，在第三方代理違反信息保護義務時，信息主體既難以依據具有確定性的義務內容判斷違規(guī)的發(fā)生及程度，亦無法依據ISPPPI尋求救濟，由此可能免除反興奮劑組織對于第三方代理違規(guī)應當承擔的責任。為解決上述缺陷，可能的做法是：修改與個人信息處理要求直接相關的條款，刪去“反興奮劑組織”這一主語，改以“個人信息”或“個人信息處理”作為主語，并沿用2018年實施版ISPPPI第9.3條釋義做法，即在允許在第三方代理合同中設定其他條款的同時，規(guī)定必須包含的條款內容 （如上述與個人信息處理要求直接相關的ISPPPI條款），從而為信息主體判斷第三方代理的違規(guī)提供參考。并且應在第11.5條中規(guī)定，對第三方代理違規(guī)行為的投訴由反興奮劑組織受理和解決。

除第三方代理義務的缺陷外，ISPPPI在實質內容方面還存在其他缺陷。ISPPPI通過第11.1條釋義強調，參賽者或其他個人依照適用的隱私和數據保護法可能享有其他權利，對于此類請求，接收和答復的主要責任由當時與個人具有首要關系的反興奮劑組織承擔。然而，依照第7.1條規(guī)定，ISPPPI僅要求反興奮劑組織告知信息主體其依照ISPPPI享有的權利，而未提及額外權利，這對于信息主體的權利保護是不夠充分的。另外，依照第11.4條參照的GDPR第19條規(guī)定，控制者對于個人信息狀態(tài)變化的通知義務應包含其披露信息的所有接收者，ISPPPI第11.4條卻僅提及“其他反興奮劑組織”，而未考慮同樣可能作為信息接收者的“第三方代理”和“第三方”。

4 結語

聯合國人權理事會曾指出，體育賽事有助于增進對人權原則的認識和理解[4]。換言之，體育賽事的全球化推動了人權事業(yè)的全球化。與之相類似，體育領域對于反興奮劑語境下個人信息保護問題的關切，對于推動世界范圍內的個人信息保護的發(fā)展同樣具有積極意義。根據聯合國貿易和發(fā)展會議收集的數據，截至2019年3月，107個國家通過立法為個人數據和隱私提供保護，僅占全世界國家總數的58%；除12%的國家缺少相關數據外，仍有21%的國家尚未就此進行立法，10%的國家的有關立法尚在草案階段[5]。這一數據意味著不同國家的參賽者依據國內法所享有的個人信息保護水平存在客觀差距，而WADA參照包括目前公認的最為先進的GDPR在內的數據保護文件所制定的ISPPPI，不僅能夠在一定程度上消弭這一差距，也能夠為數據保護水平較弱國家起到示范和啟示作用。因此，ISPPPI極具積極意義。但在此同時，應當對其存在的缺陷和問題進行修正和完善，以在提高這一標準的確定性和權威性的同時，為信息主體提供更為合理的保護。