数字档案利用中个人信息保护的困境与破局＊

苗运卫 王 玮

（1.东南大学法学院，江苏南京，211189；2.华南理工大学法学院，广东广州，510006）

当前，档案工作正在经历数字化转型，需要积极引入数字技术来变革传统档案利用模式，对内容与形式进行数字化创新，以提高档案利用的智能化、现代化水平。[1］数字档案与个人信息具有高度契合性，故而在数字档案利用过程中，时刻存在个人信息权益受损的风险。《个人信息保护法》是我国个人信息保护领域的专门性立法，能够应用到档案工作中，充实档案利用中个人信息保护的规范基础。[2］但数字档案利用中仍存在未能有效落实个人信息保护规则的问题。因此，本文在厘清数字档案利用与个人信息保护的逻辑关系基础上，对数字档案利用中存在的个人信息保护困境予以分析，并提出针对性的解决措施。

一、 数字档案利用与个人信息保护的关系阐释

1. 数字档案是档案工作数字化转型的体现

档案工作的数字化转型，是一场从理念到实践、从价值到目标的深刻技术革命，在于以数字化方式推进档案事业的体系建设。[3］其中，数字档案既表现为既有档案从纸质载体向数据载体的转变，形成数字档案的“存量”变革，又表现为从既有数据资源中生成具有保存价值的档案，形成数字档案的“增量”发展。

2. 数字档案广泛涉及个人信息内容

在“档案属于一种信息资源”的基本共识下[4］，个人信息成为档案内容的重要组成部分。档案数字化转型在扩大档案资源规模、优化档案服务质量与提升档案利用价值的同时，加速了个人信息的收集与利用，导致个人信息保护面临更为严峻的挑战。

3. 数字档案利用与个人信息保护的利益平衡

由于个人信息承载着多元主体的利益诉求，如何平衡个人信息保护和利用成为个人信息制度建构的关注重点。作为一种个人信息处理方式，数字档案利用所涉个人信息的利益诉求进一步转化为数字档案利用和个人信息保护的平衡需要[5］，而其本质是个人利益与公共利益之间的平衡。

个人信息保护的出发点是维护个人权益。同时，数字档案中的个人信息本就承载一定的公共利益，体现为个人信息的展示内容、身份认证、连接匹配和声誉评价等社会功能[6］，以此确保数字档案利用的基本运转。因此，对数字档案中个人信息予以何种方式与限度的保护，需要立足于个人利益和公共利益平衡的基本立场。

二、 数字档案利用中个人信息保护的现实困境

1. 告知同意规则落实不充分

告知同意规则对于个人信息保护而言具有基础性地位，但数字档案利用中的个人信息处理过程，存在告知同意规则落实不充分的困境。一方面，个人信息处理中存在告知不足问题。在数字档案利用中，所涉个人信息随着数字档案载体在档案机构与档案用户间流转，数字技术使得这一流转过程更为快速与隐蔽，告知与否成为档案机构不受约束的自由选择，而非应当履行的义务内容。此时，档案机构通常将履行法定职责作为理由，来免于告知个人信息的处理情况。

另一方面，个人信息处理中存在同意受限问题。在数字档案利用中，告知不足使得个人无法对档案机构处理个人信息作出同意与否的意思表示。在以技术优势加速推动档案开放利用的进程中，获取同意将扩大成本投入与影响利用效率，因此档案机构并无主动获取个人同意的强烈意愿。[7］此外，以数字档案利用承载的公共利益作为处理个人信息的合法性基础，也使得档案机构能够处理个人信息而无需获得个人同意。

2. 敏感个人信息保护不严格

敏感个人信息一旦遭到不当处理，将对个人造成更为严重的损害，因此需要进行强化保护。数字档案包含大量的敏感个人信息[8］，但在进行开放利用时，要求更为严格的信息处理规则却难以得到遵循。

首先，敏感个人信息的处理需要符合特定目的。数字档案中的此类信息形成于档案生成环节，此时个人信息的处理目的为保障档案的原始性、真实性与完整性，然而一旦进入利用环节，敏感个人信息的处理将出现缺乏明确目的、逾越原有目的、变更既定目的等问题。其次，处理敏感个人信息需要具备必要性。但以敏感个人信息作为档案组成部分，来推导数字档案利用具备处理必要性，或以数字档案利用的公益性作为敏感个人信息的合理处理事由，来突破必要性规则的限制，都会使敏感个人信息的处理必要性要求无法发挥实质功效。最后，当敏感个人信息的既有保护措施适用于数字档案利用场景时，形式化的内容审查难以界定数字档案中的敏感个人信息，一刀切的封闭管理与实现数字档案的利用价值相悖，去私密化的信息节录又可能导致数字档案丧失原始意义。[9］

3. 个人信息保护责任不明确

在个人信息保护领域，不同性质的立法均规定了法律责任内容，从而形成个人信息保护的法律责任体系，以此规范个人信息处理行为，保护个人信息主体权益。但当档案中的个人信息保护问题引起重视后，《档案法》与个人信息保护立法的责任制度衔接，数字档案利用中个人信息保护的责任主体统一，以及针对不当处理个人信息的责任适用顺位等问题，将引发个人信息保护责任的混乱。

首先，就档案中的个人信息保护问题，《档案法》与《个人信息保护法》互相引致，应当同时适用。[10］但二者在法律责任条款中规定的责任内容存在一定区别：在规制对象方面，《个人信息保护法》惩处的是违法处理个人信息行为，而《档案法》则惩处档案工作中的违法行为，在针对涉及个人信息的数字档案利用行为时，二者的侧重点并不相同；在规制力度方面，对于能够同时适用《档案法》与《个人信息保护法》的违法行为，相较而言，根据《个人信息保护法》确认的责任后果更为严重，如在罚款数额上，量罚幅度更大。其次，个人信息保护立法以个人信息处理者的一元责任主体架构，来规范信息业者和国家机关的个人信息处理活动，但在档案机构改革形成的“局馆分立”格局下[11］，负有个人信息保护法律责任的主体包括主管档案工作的档案局与负责档案开放利用的档案馆，因此数字档案利用和个人信息保护中的法律责任主体有待进一步统一。最后，个人信息保护立法规定了违法处理个人信息的法律责任体系，包括民事、行政与刑事责任，但个人信息属于公权益还是私权益的属性争议，导致适用保护个人信息的法律规范存在分歧，这将在数字档案利用中引发确定个人信息保护的法律责任类型的难题。

三、 数字档案利用中个人信息保护困境的应对措施

1. 落实告知同意规则

鉴于档案工作的公益性，告知同意规则的落实，需要立足于数字档案利用与个人信息保护的利益平衡立场，既要避免个人信息绝对支配阻碍其发挥正常的社会功能，又要防范个人信息社会控制导致个人的合法权益受损。一方面，档案机构应当将数字档案中所涉个人信息的情况告知个人，但结合档案工作性质，告知应被限制为“有限度的告知”：一是有限度的告知方式，出于数字档案利用的效率追求与成本考虑，对于一般性的个人信息可以采取以处理规则进行概括告知的方式，并且在数字档案形成阶段即完成个人信息的告知义务；二是有限度的告知内容，若是此时的个人信息为已公开的个人信息，或个人信息随数字档案用于保密事项等，则无需告知个人。

另一方面，个人同意规则的功效也需在数字档案利用中分类讨论。一是区分数字档案利用类型，基于公共利益和法定职责的数字档案利用构成同意的豁免事由，但档案工作中的公共利益与法定职责应当具体化，并与个人信息具有直接关联性。二是区分数字档案利用的个人信息类型，按照个人信息的私密程度对个人信息进行分类，并根据不同个人信息类型确定同意的功能地位。[12］其中，若数字档案利用涉及的是社会性的个人信息，则无需征求个人同意。

2. 强化敏感个人信息保护

数字档案利用中的敏感个人信息需要进行强化保护，适用严格的告知同意规则，具体而言：一是更为丰富的告知内容，尤其需要将处理敏感个人信息可能产生的影响告知个人；二是更为谨慎的同意方式，包括同意、默示同意或拟制同意等征得个人同意的变通方式，不应适用于敏感个人信息的处理。

当然，敏感个人信息保护并不排斥对其合理利用，但在数字档案利用过程中需要明确具体规则。私密性的个人信息在随数字档案载体而被利用时，应当征得个人的单独同意。若此时对个人信息的处理具有必要性而又无法征得个人同意，则可以通过去私密性来实现数字档案的利用。私人性的档案个人信息存在无需获得个人同意的合理使用空间，但需要激活特定目的和充分必要性的约束功能，将此时的处理行为限定为合同所需、职责所需、应急所需等法定情形，并通过履行告知义务来允许个人的程序参与，以维护自身的正当权益。

3. 厘清个人信息保护责任

在涉及个人信息的数字档案利用中，《档案法》与个人信息保护立法需要进行规范协同，从而适用最为契合的法律责任。当违反规范的重点在于涉及个人信息的档案载体与档案行为时，应按照《档案法》的规定来确定法律责任，而违反规范的行为针对的是档案中的个人信息时，则运用个人信息保护立法中的法律责任来加以规制。此外，在数字档案利用过程中，档案文化事业机构属于个人信息处理者，应当承担不当开放个人信息和未尽保护义务的法律责任。档案用户同样作为个人信息处理者，但其主要承担不当利用或再次处理个人信息的法律责任。

数字档案利用中个人信息保护的法律责任类型包含民事、行政和刑事责任，需要在法秩序统一原理下形成公私法一体化保护规则。一是当数字档案利用对个人信息权益造成损害时，个人能够按照《民法典》中的权益救济方式，来追究个人信息处理者的民事责任。二是对于数字档案利用中的个人信息违法行为，根据《个人信息保护法》规定，由档案主管部门对档案文化事业机构或档案用户落实行政责任。三是当个人信息处理行为构成犯罪时，适用《刑法》的规定，以侵犯公民个人信息罪追究刑事责任。

4. 构建配套保障机制

第一，构建数字档案利用中个人信息的全程监管机制。一方面，要监管数字档案中个人信息的形成过程，确保各类信息的有效录入，对其中所涉及个人信息按照规范要求采取告知同意等措施。另一方面，要监管数字档案利用中的个人信息处理过程，借助档案开放利用平台来实现全程留痕与实时检测。

第二，构建数字档案利用中个人信息的重点监管机制。就重点监管内容而言，要强化对敏感个人信息的保护，严格规范涉及敏感个人信息的数字档案利用过程。就重点监管对象而言，对于不同的档案使用人群应当予以分类，并建立数字档案利用的失信惩戒机制来规范个人信息处理行为。

第三，构建数字档案利用中个人信息的技术监管机制。数字技术既是数字档案利用的监管方式，也是其中需要被监管的对象。应当开展与数字档案利用相关的硬件检测与软件维护，并警惕数字档案利用中人工智能技术应用可能导致的个人信息泄露与违规处理问题。