欧盟警务领域个人数据权限制规则及其启示

栾兴良

（中南财经政法大学刑事司法学院 湖北 武汉 430073 ）

1 引言

高度依赖个人数据是大数据警务的重要特征。为满足某些执法需求，警务部门超出数据保护的一般限度收集和处理个人数据，进而构成对个人数据权限制的情况时有发生。在法治社会中，对个人数据权的限制通常是基于法律的行动，其制度设计的初衷在于通过对个人数据权益的克减，来保障具有压倒性优势的公共利益或他人的利益与自由。由于警务活动具有较强的紧急性、对抗性、保密性等特征，警务部门天然地倾向于限制个人数据权利，而为了保护个人数据权免受不法限制或侵害，需对相关警务行为进行有效规范。

欧盟是警务领域个人数据保护的先行者，其通过宪制性文件与数据保护次级立法构建了以依法原则、必要原则、相称原则、尊重权利本质原则为主要内容的权利限制规则，缓解了个人数据处理与保护之间的深层次紧张关系。2021年8月20日十三届全国人大常委会第三十次会议表决通过的《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）中并未有效回应这一规制需要，其宽泛的授权式条款为警务部门以履行法定职责为由过度收集和处理个人数据留存有法律空间。因此，有必要从比较法视野出发，审视和借鉴欧盟经验做法，就我国警务领域个人信息权限制规则的构建展开讨论。

2 欧盟警务领域个人数据权限制规则的法理逻辑

欧盟警务领域个人数据权限制规则是对个人数据保护与警务利用关系的二次调整。该制度将相对权的限制作为调整对象，以利益衡量为方法，通过对个人数据权利、数据保护原则与数据处理义务的限缩、克减或豁免实现场景化目标。

2.1 权利限制的前提条件：个人数据权的非绝对权性质

个人数据权的非绝对权性质是对其进行限制的前提条件。关于个人数据权的性质存在两种基本观点：第一种观点认为个人数据权是个人信息自决权，只要收集或处理个人数据即构成对个人数据权的干预。个人信息自决权强调个人对其数据的绝对控制，意在防止奥威尔式的“老大哥”国度的出现，毕竟当国家收集、整合或存储个人数据时，那些所涉的个人数据都是重要的[1]。该观点将个人数据权绝对化，忽略了个人数据的公共属性与工具属性，与当前数字社会的信息实践不符。即使在个人信息自决权的诞生地德国，“信息自决”的概念也为后来的判决和学说所修正。第二种观点认为个人数据权是一种积极的、许可性的权利[2]，该权利不禁止对个人数据的收集与处理，而是在个人数据处理与保护之间寻求平衡，以达致“公平信息实践”。

欧盟警务领域的数据保护立法体现了第二种观点。从欧盟数据保护次级立法来看，自前欧盟时代（欧委会）到晚近欧盟的数据保护立法，均抱持“在利用中保护，在保护中利用”的基本立场，无不宣示要促进个人数据利用（流动）与个人权利保护的双重目标。这种互相冲突的立法目标的设定反映了个人数据权的非绝对权性质。而从欧盟数据保护的宪制性文件来看，《欧盟基本权利宪章》（以下简称《宪章》）作为个人数据权的“创造者”，其第8条的内容及整体文本结构可以推导出个人数据权的非绝对权性质，正如欧盟数据保护专员公署在《评估限制个人数据保护基本权利措施的必要性：工具包》中所明示的：“这项权利不是绝对的，可以受到限制，但这些限制必须符合《宪章》第52（1）条规定的要求。”

从两者关系来看，欧盟数据保护次级立法是《宪章》第8条的重要立法基础，并构成其解释语境[3]。推导可知，《宪章》对个人数据权的定性与前者相一致。综上所述，个人数据权的主要目的不是防止政府干预，而是确保在其处理个人数据时遵守某些法律条件。换言之，这项权利并不意味着政府（或任何其他方）通过放弃处理而不干预这项权利[4]。

2.2 权利限制的正当性基础：利益衡量

个人数据权限制的正当性源自公共利益或他人利益对个人数据权益的比较优势。因此，对个人数据权的限制必须通过利益衡量检验，根据检验结果决定个人数据权益是否对比较权益让步，以及让步的范围与程度。第一步，立法者在立法过程中进行的利益衡量，目标是筛选、划定个人数据权比较利益的类型、范围及衡量规则。第二步，执法者或司法者在个案中引入实质性因素，按照法定原则进行利益衡量的检验，以决定对个人数据权是否采取限制，或已采取的限制合法与否。

在第一步中，确定比较利益是首要任务。通常来说，入围的利益类型对个人数据权具有理论上的凌驾性优势。从欧盟的相关立法来看，警务领域个人数据权的比较利益包括国家安全，公共安全，预防、调查、侦查和起诉或执行刑事犯罪，保护他人的利益和自由等 。这些比较利益被认为反映了欧盟普遍的价值观，但究其实质是其承载了普遍的公共安全利益或他人利益，是立法者“两害相权取其轻”的结果，是立法功利主义的体现。除了对比较利益的廓清，立法者还建构了利益衡量的原则，以规范利益衡量的过程。但由于“法律原则并非普遍适用，只是基于实质公正而处在个案中的评价。”[5]因此，原则的检验只能留待执法与司法环节完成。在此意义上，立法的利益衡量结果表现为静态的“文本正义”。

第二步的利益衡量任务由执法者或司法者完成，其过程表现为：将个案中对个人数据权益干扰的范围、程度和强度，与数据处理所欲实现目标进行比较，通过优势/劣势或利益/成本的评估分析，以决定个人数据权益的限制与否。若警务部门追求的合法利益具有比较优势且数据处理合乎比例，可以对个人数据权进行限制。反之，若警务部门追求的合法利益没有超过个人数据权益或数据处理不合比例，则不应限制个人数据权。在此意义上，第二步利益衡量的结果表现为动态的“实践正义”。

在欧盟的法律语境中，个人数据权限制的利益衡量是立法、执法与司法三者动态互动的复杂过程。立法框定利益衡量的范围与原则，司法在适用法律过程中又创设新的规则并转换为立法或执法指南，从而使利益衡量的规则趋向精细化与复杂化。

2.3 权利限制的可行性：个人数据权的可限制性

第一，个人数据权的技术逻辑决定了其是一种可量化或可拆分的权利形式。所谓可量化是指从其权利客体——数据——的技术特征来看，无论数据收集、数据保存、数据利用，乃至数据传输等环节皆可根据处理场景的需要，选择必要之收集量、保存时间及传输次数等。所谓可分拆，是指数据处理者可根据需要仅选择数据处理的某一环节，进而只影响个人数据权利簇中的某一权利，而非所有权利。概言之，数据处理的技术特性决定了个人数据权存在较大的限制空间。

第二，个人数据权是由知情权、访问权、纠正权、被遗忘权等一簇松散权利组成的权利簇，依法对其中某一权利进行限制并不影响其他权利的行使。例如，《欧洲委员会部长委员会关于保护公共部门电子数据库中个人隐私的第（74）29号决议》附件第5条最早只规定了对知情权的限制，而未提及其他权利。而晚近的《欧洲议会和理事会2016年4月27日关于主管当局为预防、侦查、调查或起诉刑事犯罪或执行刑事处罚的目的而处理个人数据以及关于此类数据的自由移动方面保护自然人并废除理事会2008/977/JHA框架决定的(EU) 2016/680指令》（以下简称《警察数据保护指令》）对每一项个人数据权利都规定了几近一致的权利限制条款，警察部门可以对全部或部分权利进行限制。

第三，除对数据主体权利的限制外，个人数据权限制还包括对数据保护原则、数据处理者义务全部或部分的克减或豁免。历史地看，《个人数据自动化处理中的个人保护公约》（以下简称《108号公约》）第9条最早规定了对数据保护原则与数据权利簇的双重克减。至《宪章》时，数据保护原则成为个人数据权的应有之意[6]，对数据保护原则的排除或克减即构成对个人数据权之限制。此外，个人数据权利多属于请求权，其实现程度取决于法律对数据处理者义务的设定及其对义务的履行。《警察数据保护指令》以义务描述权利的表达切入，极好地印证了上述关系。在此意义上，对数据处理者义务全部或部分地排除、豁免亦是对个人数据权的实质限制。

综上所述，个人数据权具有丰富的可限制层次，以及灵活的可分拆性，可与警察职权形成多组的权力义务对应关系，因此，存在向公共安全利益或他人利益进行权利让步的空间。

3 欧盟警务领域个人数据权限制规则的构造

欧洲在1974年颁发的个人数据保护文件已意识到必须严格控制对个人数据权益的限制 。个人数据权限制规则以超出一般数据保护限度的数据处理为调整对象，旨在实现警务目标的过程中为个人数据权益保护提供第二层次的防御。

3.1 制度目标：保障个人权利

如果说欧洲在商业领域创立和推动个人数据权的动机是协助欧洲消费者转向本土企业，具有明显的工具主义色彩的话[7]，那么其在警务与刑事司法领域对个人数据权的推崇则更具权利保护的意蕴。

欧盟有关自由、安全和司法领域的政策发轫于坦佩雷欧洲理事会会议，在欧盟看来，自由、安全和司法这一领域与基本权利互为表里。一方面，自由、安全和司法是享有权利和自由的条件。“人们有权期望联盟解决严重犯罪对其自由和合法权利的威胁。”“欧盟必须保证高度的安全，以便能够充分行使各项自由。”因此，“建立自由、安全和司法领域是新标题‘欧洲公民权’的核心内容。”[8]另一方面，欧洲在该领域的一体化是建立在严格保护基本权利概念之上的。例如，《坦佩雷欧洲理事会1999年10月15日和16日主席结论》指出，在打击洗钱的特别行动中，应在适当考虑数据保护的情况下，加快现有金融情报机构之间关于可疑交易的信息交流。接续坦佩雷方案的“海牙计划”延续了这一精神，该计划的目标是提高欧盟及其成员国的共同能力，以保证基本权利、最低限度的程序保障和诉诸法律的机会[9]。其后的欧盟警察和刑事司法领域数据保护立法均持同样立场。《理事会2008年11月27日关于在刑事事务的警察和司法合作框架下处理个人数据的保护的第2008/977/JHA号框架决定》（以下简称《欧盟第2008/977/JHA号框架决定》）序言（3）规定，立法应促进刑事事项中的警察和司法合作，以提高其效率、合法性和遵守基本权利，特别是隐私权和个人数据权。《里斯本条约》后制定的《警察数据保护指令》更是在序言开篇即宣示个人数据权是一项基本权利。

由此可见，无论是在第三支柱结构下抑或是《里斯本条约》之后，个人数据保护始终是警务领域个人数据处理的制度目标而非制度工具。而且随着警务领域数据保护立法的演进，个人数据权逐渐成为法律保护的首要目标，这与欧盟在商业领域推动个人数据权的动机存在本质上的不同。欧盟警务领域个人数据权限制规则系对个人数据处理与保护关系的二次调整，意在为个人数据处理划定边界，防止警察可能存在的恣意滥权，破坏“信息实践”的“公平”状态。在此意义上，欧盟警务领域个人数据权限制规则亦是对保障个人权利目标的落实，是权利保障制度，而不是限制权利的制度。

3.2 制度内容：以法律原则为核心的规范设计

欧盟警务领域个人数据权限制规则由法律原则和法律规则两类规范组成，其中，法律原则是核心，法律规则是对法律原则的落实。

在《宪章》之前，法律文本所列个人数据权限制之限制原则主要包括依法原则与必要原则。这两项原则最早由1950年《欧洲人权公约》第8条所规定，后为1981年《108号公约》、1987年《关于成员国管理警察部门个人数据使用的建议》与1995年《关于个人数据处理和此类数据自由流动方面的个人保护的第95/46/EC号指令》所沿袭。2000年《宪章》在依法和必要原则的基础上增加了尊重权利本质与相称原则。2002年《欧洲议会和理事会2002年7月12日关于处理个人数据和保护电子通信部门隐私的第2002/58/EC号指令》除规定《宪章》所列原则外，还强调了《欧洲联盟条约》规定的民主原则 、尊重基本权利原则。2006年《欧洲议会和理事会2006年3月15日关于保留与提供公共可用电子通信服务或公共通信网络有关的生成或处理的数据并修订第2002/58/EC号指令的第2006/24/EC号指令》（以下简称《数据保留指令》）在序言中系统地重申了上述条约或指令规定的原则。2008年《欧盟第2008/977/JHA号框架决定》序言（48）指出，本决定遵守《宪章》特别承认的原则。2016年《警察数据保护指令》未规定尊重权利本质，但新增了“尊重有关自然人的基本权利和合法利益”的内容。2018年《警察部门使用个人数据的实用指南》在《108号公约》的基础上增加了相称原则。2018年出台的《108号公约+》的相关条款与《宪章》第52条一致。总体而言，欧盟警务领域个人数据权限制之限制原则包括以下几方面。

3.2.1 依法原则

欧盟法院的判例法指出，依法原则包含两个质量标准：可预见标准与明确标准。按照可预见标准，规定限制数据主体权利或控制者义务范围的立法措施对数据主体来说确实可见。在时间上没有确切限制的限制，可追溯适用或受制于未定义的条件，不符合可预见性标准[10]。明确标准则要求个人充分理解数据控制者有权进行任何权利限制的情况和条件。在此两项标准基础上，《警察部门使用个人数据的实用指南》增加了可访问标准，即相关法律应该公开，个人可以访问与查阅。

3.2.2 尊重权利本质

“权利本质代表着一项基本权利不可触及的核心或内核，不能被削弱、限制或干涉。”[11]权利本质的创设旨在为基本权利的限制划定边界，防止以权利限制之名行侵犯权利之实。由于欧洲人权法院与欧盟法院在绝对权理论与相对权理论之间的徘徊往复，使得权利本质随着判例法的演进而呈现复杂迂回的样态，远未形成明确的判断标准。当权利本质的模糊性投射到个人数据权时，这一问题或被进一步放大。在《宪章》之前，数据保护通常被定义为隐私权的一个方面，或作为旨在保护自决权和人类尊严等上层权利的中介工具。而在《宪章》之后，数据保护的路径依赖导致对之前隐私权制度习惯产生粘性[12]，个人数据权与隐私权关系难以厘清，相关判例法堪比迷宫，曲折而不知终点[13]，而这种复杂关系增加了对个人数据权本质判断的难度。

3.2.3 比例原则

欧盟警务领域数据保护立法规定的比例原则是裂变且变异的“四阶说”比例原则。谓之裂变，是因为相关立法没有规定典型意义的比例原则，而是分别规定了合法目标（第一阶）、必要原则（第三阶）与相称原则（第二阶和第四阶），或为利益衡量之对象，或为利益衡量之规则，均属手段与目的关系之范畴，是比例原则解构之果。谓之变异，是因为相称原则吸收了适当原则和均衡原则，并调整了检验的次序，必要原则在先，而适当原则在后。当然，在欧盟的司法实践中，必要性和相称性的概念有一些重叠，而且根据评价对象，这两个测试可能同时进行，甚至以相反的顺序进行。

3.2.4 适当考虑相关自然人权利和合法利益

《警察数据保护指令》首次规定了适当考虑相关自然人权利和合法利益的原则。从立法的承继关系来看，该原则某种程度上是对“保护数据主体的权利和自由”这一权利限制目标的改造。藉由权利限制的目标向权利限制原则的转换，《警察数据保护指令》将保护数据主体这一理念扩展至所有的限制数据权利的情形，使之成为相关利益平衡过程中的必要考量因素，而不再局限于某一适用情形。另外，从保护范围来看，“相关自然人”不仅包括数据主体，还包括权利限制可能涉及的第三人，从而扩大了保护范围。在此意义上，该原则补强了比例原则中公民基本权利的权重，体现出保障个人权利的价值取向。

3.2.5 程序正当原则

欧洲人权法院认为“虽然《欧洲人权公约》第8条没有明确的程序要求，但干预措施所涉及的决策过程必须是公平的，并确保适当尊重第8条所保障的利益。”[14]同样，尽管《宪章》第52条没有规定权利限制的程序，但欧盟法院在阐述《数据保留指令》三个重大缺陷时指出，“获取数据的标准不客观，缺乏程序性保护；例如，获取数据不需要法院或独立行政机构进行事先审查。”[15]显然法院将符合程序正当原则作为权利限制的条件。《警察数据保护指令》等数据保护次级立法较为重视程序对数据主体权利的保障作用。例如，将权利限制行为规定为要式行为，规定了数据权利的间接行使程序、救济告知程序、数据控制者的举证责任等。

概括来看，欧盟警务领域个人数据权限制之限制原则是以法律原则为核心的制度设计，数量上呈现动态扩张的趋势。法律原则的优势体现在以下几方面：首先，法律原则的适用是对个案依价值判断进行法益衡量而得出结论的，契合了个人信息处理与保护之间利益衡量的需求；其次，个人数据权限制的适用情形多属于公共利益的范畴，鉴于目标利益的优先地位，特别是在“制止刑事犯罪”方面的特殊要求，法律原则有助于通过立法、执法与司法将个人数据权限制进一步场景化；最后，“原则所起的一种作用应该是证明违反规则为正当”，以法律原则为核心的权利限制规则正是为权利限制提供正当性的制度设计。

3.3 制度实施：以独立监管机构与司法审查为核心的权利保障实施机制

在欧盟的法律语境中，个人数据权限制规则是在立法、执法、监管与司法等主体间复杂的动态互动中实现的，其中，独立监管机构与司法审查发挥了关键的保障性作用。

《警察数据保护指令》第47条规定，成员国应设立一个或多个独立监管机构，监管机构享有调查权、纠正权、咨询权等广泛权力。在个人数据权免受不法限制方面，独立监管机构扮演着至关重要的角色：首先，数据主体权利受到限制时可以向监管机构投诉。该指令第15、16条规定，当数据控制者限制数据主体的访问权、纠正权与删除权时 ，应告知其向监管机构投诉的权利；其次，数据主体权利受到限制时可由监管机构代为行使。代之行使后，“监管机构应至少告知数据当事人，监管机构已进行了所有必要的验证或审查。监管机构还应将其寻求司法补救的权利告知数据主体。”再次，监管机构享有责令告知权。当控制者未将个人数据泄露事件告知数据主体时，监管机构可根据情况责令其告知；最后，减损数据保护水平向第三国或国际组织转移个人数据的，应向监管机构提供相关文件。例如，为防止对第三国公共秩序或公共安全造成严重和迫在眉睫的风险，即使不符合数据保护要求，也可以向其传输数据，但应向监管机构提供转移记录的文件。从运行情况来看，《EDPB对欧盟委员会根据第62条评估数据保护执法指令（LED）的稿件》所列数据显示，有关访问权及访问权限制的案件占总投诉案件的比例最高，涉及数据保护原则的投诉也占相当比重[16]。这直观地反映出独立监管机构在个人数据权免受非法限制方面的重要作用。

欧洲人权法院和欧盟法院是个人数据权的“终极守护者”，对相关立法、执法及监管活动具有制衡作用。具体而言，两大法院的判例法在欧盟数据权利保护体系中扮演了解释乃至创造个人数据权限制规则的角色。例如，前者提出“法”的质量标准，明晰依法原则的内涵；后者对“程序保障”的创造性解释。透过“法官造法”，权利限制规则得以具体化、明确化、完整化，为欧盟相关数据立法、执法与监管提供了判例指引。例如，欧洲数据保护专员公署制定的《EDPS关于评估限制隐私权和保护个人数据基本权利的措施的相称性的指南》《评估限制个人数据保护基本权利的措施的必要性：工具包》正是在总结判例法的基础上为欧盟立法机构评估新立法措施提供的核对表。甚至《宪章》的部分权利限制规则也来自判例法。从某种意义上而言，欧盟法院及欧洲人权法院的判例法是推动个人数据权限制规则立法演进的基本动力与原则创制的主要源泉。

4 欧盟警务领域个人数据权限制规则的启示

虽然中欧警务领域个人数据权限制规则在宪制基础、法律依据、实施机制等方面存在较大差异，但这并不妨碍我国立足于本国法治境况，对欧盟相关有益理念与制度参考借鉴。

4.1 明确个人信息权的相对权性质与宪法位阶

首先要明确个人信息权的非绝对权性质，摒弃“收集、处理个人信息即等于干预个人信息权”的权利认知范式。欧盟法院最近的判例引起了人们的关注，在这些判例中，欧盟法院打算根据德国模式从《宪章》中推导出一项全面的信息自决权[17]。换言之，欧盟法院正悄然转换对权利性质的定性。这一司法动向或许会影响未来警务部门个人信息利用的范围与边界。我国《个人信息保护法》第1条确立了“在保护中利用，在利用中保护”的立法理念，几乎明示了个人信息权的相对权性质。但学界对此仍存有争议，争议主要表现为对个人信息保护权属基础的不同认识。私法学者更倾向于将个人信息权益定性为绝对权性质的私权，进而主张以民事权利作为个人信息保护立法的基点[18]。公法学者则认为个人信息保护立法应以国家负有的保护义务为基础展开，进而提出以非支配权性质个人信息受保护权为立法基点[19]。警务领域的个人信息处理关涉个人与国家之关系，若以绝对权性质的民事权利为权利基础，会过度限制警务部门的个人信息利用，影响其职责的良好实现。而以非支配权的个人信息权为权利基础，则可透过国家多元保护义务的展开，实现警务部门个人信息保护与处理的平衡。

此外，个人信息权是以宪法上国家保护义务为基础的，那是否意味着该权利为宪法权利呢？我国宪法文本未直接规定个人信息权，在宪法解释机制运行不畅的情况下，现有宪法条款的可援引性仍停留在理论探讨的层面，能否转为宪法实践尚不可知。个人信息权宪法规定的阙如已造成对其权利位阶认识的争议，引起理论上的混乱。个人信息处理在尊重权利到侵犯权利之间存在广泛的限制空间，将其纳入宪法权利，有助于将个人信息权限制纳入基本权利限制的规制体系。另外，考虑到国际警务合作对个人信息保护充分性的要求 ，赋予个人信息权以宪法权利位阶可与国际数据保护立法接轨，有助于开展国际警务执法协作。

与个人信息权的宪法地位紧密相关的还有权利本质的概念。权利本质是欧盟及其成员国重要的宪法概念，其功能在于划定公共机构限制个人信息的边界，防止“过度限制”。我国宪法没有规定这一概念，《个人信息保护法》第2条规定，“……，任何组织、个人不得侵害自然人的个人信息权益。”这一规定可发挥类似“权利本质”的作用，但又不能替代权利本质的概念。前者适用于个人信息处理的一切场景，而权利本质的概念则主要规范对基本权利的限制；前者是法律之规定，后者为宪法或宪制性文件的规定，保护效力不同。从我国警务领域信息实践的规制需求来看，引入权利本质的概念具有一定的现实意义。一方面，与欧盟情况相似，我国警务领域对个人信息权的过度限制首先表现在立法领域，例如《中华人民共和国网络安全法》《中华人民共和国反恐怖主义法》（以下简称《反恐法》）授权电子信息发送服务提供者随意监控公民的私人信息，有侵犯个人信息权之嫌疑。在宪法层面引入权利本质的概念，有助于防范立法权对包括个人信息权在内的基本权利的保护。另一方面，权利本质理论可以为“侵权”的判断提供标准，有助于个人信息权司法救济制度的完善。但也应看到，当前引入权利本质概念也存在一定问题。在宪法解释机制不健全而且宪法未进入司法适用的情况下，用抽象的权利本质概念承载个人信息权之保障重任，缺少制度支点与发力点。

4.2 确认公民权利的优先地位

警务领域个人信息权限制规则存在公民权利优先还是警务目标优先两种选择。就我国而言，无论从规制警务部门个人信息权限制泛化的需求出发，抑或立足于个人信息保护法之目的，相关制度的设计与实施都应确认公民权利的优先地位，既要防止将个人信息权益绝对化的过度保护，更要防止警务部门对个人信息权限制的失范。

个人信息是大数据警务的基本要素，对个人信息的规模化收集与处理是大数据警务运行的必要条件。欧盟经验表明，警务部门对数据主体权利的限制，以及对数据保护原则的克减是警务信息实践的常态。当前我国大数据警务正处于持续探索发展阶段，从警务政策到警务实践均遵循效率优先的发展逻辑，重视警务目标的实现，但往往会漠视个人数据权益的保护。例如，有地方公安机关针对流动人口进行指纹及DNA血样采集，涉嫌违反敏感个人信息的处理规则。还有地方公安机关将个人的籍贯、职业等信息作为预测卖淫行为的关联数据，但并未赋予相关个人知情权、解释权乃至反对权等。总体来看，我国警务信息实践偏离了个人信息保护与利用相平衡的逻辑进路，对公民权利的保障亟待加强。

我国《个人信息保护法》第1条列举了三个立法目的，分别是“保护个人信息权益”“规范个人信息处理活动”“促进个人信息合理利用”。目的一和目的二是一体两面，目的二服务于目的一；目的三则是另一目标。以上立法目的的排序凸显了立法者在个人信息利用与保护之间优先保护权益的价值选择。遗憾的是，该法有关个人信息权限制的规定与立法目的存在某种程度上的悖离。《个人信息保护法》第18、35条仅列明了权利限制的条件，但其中“妨碍国家机关履行法定职责”的限制条件过于宽泛，在其他权利限制原则缺位的情况下，极易由权利限制的条件异化为限制权利的依据。立法目的对法律规范的设计与解释具有统领作用，未来我国《个人信息保护法》应在立法目的引领下，通过完善权利限制之限制原则来保障公民权利优先地位的实现。

4.3 完善以法律原则为核心的个人信息权限制规则

第一，依法原则。基本权利被法律限制所虚化的现象，其错不在法律保留，而在基本权利的其他限制要件的缺位，从而使依法变为合宪地限制基本权利的充分条件。正如欧盟《数据保留指令》所呈现的那样，尽管它的目标合法，并且制定了保护留存数据的措施，但依然被欧盟法院认为“实际上是对整个欧洲人口基本权利的干涉”。当前我国《个人信息保护法》对个人信息权克减的规定正属于这种情形：立法徒有法律、行政法规保留 ，却未规定其他权利限制原则，但同样不能据此否定依法原则的权利保障作用。贯彻依法原则应注意两个方面：一是区分法律保留的层次。刑事领域的个人信息权限制应仅限于法律保留，治安行政管理领域的个人信息权限制可由行政法规保留，同时禁止以内部执法指引为依据限制个人信息权；二是相关立法应符合明确性标准与可预见性标准，减少概括式规定，并健全其他限制条件。

第二，比例原则。比例原则乃其他限制条件之核心。笔者在这里采纳四阶说比例原则，重点论述第一阶合法目标。我国宪法规定的权利限制的一般目标包括国家的、集体的利益和其他公民合法的自由和权利，特别目标包括国家安全或者追查刑事犯罪的需要。《个人信息保护法》区分了适用情形和合法目标，前者依据法律、行政法规的规定，后者为“排除对国家机关履行法定职责的妨碍”。考虑到我国大数据警务运行对个人信息的规模化、高频性利用，宪法确立的一般目标与《个人信息保护法》规定的合法目标过于笼统概括，而宪法特别目标条款的调整范围又较为有限。

借鉴欧盟经验并结合我国执法实践，第一阶合法目标“排除对国家机关履行法定职责的妨碍”可具化为：①国家安全。其内涵及涵盖范围以国家安全法第4条第2款为准；②公共安全。主要包括生产安全、食品药品安全、生物安全及自然灾害引发的安全 ；③监察调查。其内涵及范围以监察法第11条及其他相关条款为准；④警务执法。警务执法目标范围以《中华人民共和国人民警察法》（以下简称《警察法》）第2章的规定为准，实践中可参考警察部门的权力清单确定；⑤他人的权利与自由。该目标主要指在各种调查程序中保护证人等第三人的权利。第二阶、第三阶、第四阶可采用通说，这里不再赘述。需要说明的是，欧盟数据保护专员公署对适当原则的发展经验可供借鉴，即适当原则的检验要对现有的类似或相同目的措施的有效性进行系统评估。当前警务部门正前所未有地陷入对信息监控的过度依赖，该项评估有助于理性地对待个人信息的收集与处理的功用，减少泛化的个人信息权限制。例如，针对重点犯罪嫌疑人的措施可能比大规模监控个人的措施更为经济、有效。

第三，正当程序原则。《个人信息保护法》第34条规定，国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行。从该条可以推导出，警务部门的个人信息权限制应遵循程序正当原则。“作为专门立法，我国《个人信息保护法》最为聚焦的议题始终是以互联网企业为代表的企业对个人信息的收集与利用，”[20]而忽略对权利限制的规定，寄望在其他法律、行政法规中寻求个人信息权限制的程序控制恐难奏效。我国已发生多起因个人信息权的程序保障不足而引发的错捕乃至当事人自杀的案件，因此，健全个人信息权限制的控制程序确有必要。在现行个人信息保护立法体系下，作为权宜之计，可率先对《公安机关公民个人信息安全管理规定》《公安部关于建立健全公安机关执法全流程记录机制的意见》相关程序条款进行修改完善；未来可在《中华人民共和国刑事诉讼法》（以下简称《刑事诉讼法》）《警察法》《个人信息保护法》等立法中增加相关程序规定。

4.4 建立多元的实施机制

我国没有设立专门的数据保护监管部门，人民法院与欧洲两大法院的地位也不相同，立法、执法、监管与司法在个人信息权限制方面尚未形成良性的制度互动，因此，我国不应照搬欧盟以监管与司法为核心的实施模式，而应立足于中国的权力架构建立多元的实施机制。

第一，宪法层面的实施。“限制基本权利行使的条件是《宪章》最重要的特征之一，因为它们决定了可以有效地享有这些权利的程度。”[21]我国宪法虽未直接规定个人信息权，但个人信息权“限制之限制”乏力的主因不在于宪法规定的阙如，而在于宪法解释机制的运行不畅与宪法在司法适用中的缺位。这导致很难通过既有的宪法运行机制将概括抽象的宪法规定转化为完善的个人信息权限制规则。此外，违宪审查机制的不健全，造成对立法机构侵犯或过度限制个人信息权问题的无解。更为复杂的是，“我国基本权利限制形式要件的空缺，难谓出于制宪者的疏忽，而更应被视为制宪者的有意选择。”“制宪者始终对宪法中限制权利和自由的附带条款抱有警惕。”[22]这也决定了我国不可能照搬欧盟模式。未来宪法有关基本权利限制规则的修改要兼顾理念与目标、目标与手段之关系，为包括个人信息权在内的宪法权利限制提供防御机制。

第二，立法层面的实施。一方面，立法对个人信息权的限制要遵守权利限制规则，以公民权利保障为价值导向，对拟议的警务领域个人信息权的限制措施是否符合权利限制条件进行审查，防止立法本身对个人信息权的过度限制或侵犯；另一方面，立法应健全对警务领域个人信息权限制规则的规定。《个人信息保护法》作为专门立法应设一般性条款对此进行调整，立法内容的完善可参考前文4.3之内容。同时《警察法》《反恐法》等调整警务活动的主要立法，应健全个人信息权限制规则，封堵相关立法漏洞。

第三，执法层面的实施。警务执法部门职能的广泛性及执法方式对个人信息的依赖性，决定了警务领域是侵犯个人信息权的重灾区，实践中权利限制情形多数与警务执法有关即是明证。因此，就我国而言，执法层面对个人信息权限制规则的实施水平决定了警务领域个人“有效地享有这些权利的程度。”承前所述，目前我国有关立法规定尚不健全，借助适当的组织措施可以补强执法层面的实施效果。具体而言，一方面，在部门规章、执法规范或执法指南中，增加或完善个人信息权的限制条件与限制原则的规定，强化组织内部控制；另一方面，通过技术措施来预防或控制警务部门对个人信息的过度收集和处理，防止个人信息权限制的泛化。

第四，司法层面的实施。与欧盟法院、欧洲人权法院在个人数据保护中的强势地位不同，我国法院对个人信息权的保障作用仍有待加强，而主要症结在于法官对适用法律原则的排斥或回避。个人信息权限制规则适用的本质是对个人信息权限制所追求的警务目标与个人信息权之间进行的价值权衡，要求法官“承担详细说明或证立其依据各种实质性因素权衡适用原则的过程，以及依据原则作出个案判决的理由。”但我国法官较为喜欢具体的条文规定而不是法律原则，加之长期以来有权解释限缩了法官在个案中的解释权力，法官怠于甚至恐于将法律原则适用于案件的审判。由此，法律原则适用对法官证立的要求与我国法官对法律原则适用的躲闪形成强烈反差。解决这一问题，要正确定位“法官解释”与“判例解释”在我国司法解释体制中的地位，一方面，给予法官以制度性信任，使法官有勇气在法律原则的适用上充分行使裁量权；另一方面，在保留现行最高人民法院规范性司法解释的同时，承认最高人民法院判例解释的拘束力。

5 余论

截至目前，欧盟成员国尚未全部完成《警察数据保护指令》的国内法转换，从过往欧盟指令的国内法转换实践及2021年《EDPB对欧盟委员会根据第62条评估数据保护执法指令（LED）的稿件》所载情况来看，欧盟警务领域个人数据权限制规则面临着国内立法转换带来的不确定性与保护水平的差异。此外，《欧盟通用数据保护条例》与《警察数据保护指令》的分立增加了警务领域个人数据权限制规则适用的复杂性。从目前的制度运行来看，欧盟警务领域个人数据权限制规则更多依赖《欧洲人权公约》《宪章》等宪制性文件的司法适用予以实现。我国开展警务领域个人数据权限制制度的构建，既要借鉴欧盟有益的经验，同时也更应关注我国自身的发展境况。除前文所列问题外，诸如我国《个人信息保护法》的调整对象包括公私两种机构，统一信息保护立法模式下要解决相关制度建构如何进行场景兼容的问题；《个人信息保护法》与《刑事诉讼法》《警察法》《反恐法》等立法有关个人信息权限制的规定如何衔接、转换与适用问题；如何对警务行政执法管理与刑事侦查中的个人信息权限制进行区别化规制，这几方面是进一步完善我国警务领域个人信息权限制规则亟需厘清的重要问题，亦是未来进一步深化相关研究可着重关注的选题方向。