网络服务提供者“双重义务”的内在冲突及协调路径

唐云阳

四川大学 法学院,四川 成都 610207

一、问题提出

随着个人信息处理方式的数字化转变,构建与数字时代相适应的个人信息保护路径,已经成为全球共识及核心问题[1]。有关数字化转型下个人信息保护研究的重要性既在学界和实务界引起激烈研讨,也在国家安全层面得到重视(1)参见《中国共产党第二十次全国代表大会报告》第十一条“推进国家安全体系和能力现代化,坚决维护国家安全和社会稳定”,该部分单独强调了要“加强个人信息保护”,并将其纳入国家安全体系。。然而,私法领域的侵权行为及保护路径虽已成为个人信息保护领域的核心命题,并颇具成效,但在侵权风险更高的刑事诉讼领域,个人信息保护的现实诉求却未得到应有重视。《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)所规定的网络服务提供者侦查协助义务优位运行,加剧了其与个人信息保护义务的内在张力,如何缓和网络服务提供者的“双重义务”冲突,并使个人信息各项权利有效契合刑事诉讼的程序特质,是当前个人信息保护研究的难点与热点。

现有研究对刑事诉讼中个人信息保护虽已形成部分成果,既有宏观层面的“权利体系”考察,如《中华人民共和国刑事诉讼法》(以下简称《刑事诉讼法》)中个人信息保护的权力基础、权利位阶、权力构造及权利正当化和体系化等内容,也有微观层面的“权利束”研究,如被告人被遗忘权、知情权、数据访问权等权利事项,也对刑事侦查中个人信息调取与信息保护的关系进行了部分探讨,但对网络服务提供者合规视域下个人信息保护义务与侦查协助义务间的逻辑关系、内在冲突等特定问题缺乏专门研究,不利于个人信息保护中权利话语的纵深发展。

究其缘由,部分研究认为网络服务提供者的侦查协助义务与个人信息保护义务并不存在实质冲突,因此无需将目光聚焦双重义务间的冲突与协调,而更应确保刑事司法领域的有效调取。当前对网络服务提供者双重义务间无实质冲突的认识主要存在三种观点:其一,以侦查“强制说”和“任意说”为论证框架,将侦查机关向网络服务提供者调取个人信息的行为定性为一种任意性侦查措施。在此种立场下,侦查协助调取对网络信息用户的基本权利并不会造成实质侵害,因此强调个人信息的有效调取。其二,以侦查协助义务与个人信息保护义务间的“兼容性”为论证框架,将网络服务提供者与侦查机关在个人信息保护上的目标指向同一与共同义务(2)网络服务提供者与侦查机关属于个人信息处理者序列,二者具备个人信息处理者的共同义务,如安全保障、采取补救措施及通知等义务。作为兼容的外在表现形式。在此种立场上,侦查协助调取与个人信息保护间的兼容性能够有效缓解双重义务间的实质冲突,以此突出犯罪控制层面的个人信息潜力挖掘。其三,以“必要代价说”为论证框架,将侦查机关调取及处理个人信息的行为视为公民私权(权利)向国家公权(权力)的有限让渡,以及以个人隐私、数据信息换取安全与秩序稳定被视为“必要的代价”。

然而,“任意侦查说”忽视了现代法治国家对侦查措施区分的一般标准,即“侵犯重要利益说”或“基本权利干预说”,因而难以定性为单一的任意侦查措施,其需要与个人信息的不同表现形态、承载的不同法律权利及个人权益相适应,并据此设置调取个人信息的法律控制梯度[2]。“义务兼容说”则忽视了“网络信息业者所承担的双重义务并非总是能够兼容,二者间相互关系与其自身经营策略、外部政策及制度环境密切相关”[3],兼容的局部性并不能掩盖实质的冲突,个人信息保护义务并不因协助调取的公益追求而被选择性牺牲。而“必要代价说”忽视了权益交易的对价性,个人信息权利让渡具有局部性及有限性,让渡前提是推定侦查机关对个人信息的正当化使用以及对法律程序的遵循。现有规范下的侦查调取因具备某种强制性、概括性及优先性等特征,可能会超出必要对价而发生义务冲突。

可见,与民法领域个人信息保护制度相比较,“基于国家安全、社会安全等例外事由遮蔽下的刑事司法领域的个人信息保护已经成为个人信息保护整体制度的短板”[4],对隐私权以及个人信息权利的干预长期处于法律规制的除外空间而未受到应有重视(3)典型表现为中国非法证据排除规则主要严格排除言词类证据,对干预个人隐私或个人信息权的技术侦查措施并未列为证据排除的范围。。随着网络犯罪呈现高发多发态势,侦查机关信息调取需求日益扩增,对网络服务提供者的依赖性渐趋强化,侦查协助义务与个人信息保护义务间的张力关系可能会持续加剧。

据此,本文试图分析双重义务间的相互逻辑关系,解释刑事司法中网络服务提供者侦查协助义务优位性的现实原因及适用障碍,归纳个人信息保护法与刑事司法融合下的义务冲突现状,并探寻“个人对个人信息保护的利益、信息业者对个人信息利用的利益和国家管理社会的公共利益之间的三方平衡”[5]。

二、网络服务提供者侦查协助义务与个人信息保护义务的逻辑关系

在个人信息保护视域下,网络服务提供者身兼双重角色,既要充当个人信息保护的“守门人”,确保用户信息收集、储存、合规性使用以及个人信息的权益保护,侧重于盈利性需求与私权保障,又要扮演侦查办案执法的“协助者”,确保侦查机关能够有效获取案件所需的个人信息数据,强调公共利益与整体安全目标。两种不同义务及利益诉求指向背道而驰的价值方向,也隐藏着公民权利与国家权力的互动关系及“二元博弈”,从而营造出公私合作过程中网络服务提供者双重义务的“压制”与“锁定”效应,即侦查协助义务在“压制”个人信息保护的同时,个人信息保护规范也可能“锁定”侦查协助义务。

(一)侦查协助义务对个人信息保护的压制

一是侦查执法调取的信息类型不同,将会对公民基本权利产生不同程度的干预。一般而言,对不可识别身份类或非内容信息类的电子数据调取,通常并不会对公民人身权、人格权及财产权形成强烈干预,因此一般划分为任意侦查。而对于内容信息类、敏感信息类或隐私信息类等电子数据的调取,对公民基本权利的侵害风险及干预程度则会大幅增加,也将会受到更为严格的事先审批、事中监督及事后审查,因此通常定性为强制侦查。以美国为例,侦查机关若仅调取或搜集网络信息用户的基本注册信息,仅需大陪审团签发的传票即可实施。但调取搜集网络信息用户的邮件内容、语音信息等通信信息,则必须依据法院签发的刑事案件搜查证而为之,否则予以禁止[6]。因此,依据侦查协助调取所干预的信息类型差异,对个人信息保护及其权益的干预程度也应具备梯度划分。在此视角上,网络服务提供者侦查协助义务对其个人信息保护形成层级化的干预力。

二是侦查协助义务的概括性越宽泛,越会对个人信息保护形成不可控的侵害风险。现有规范并未明确侦查协助的范围、程度以及限制事项等内容,这就导致该条款措施授权功能明显,而具体指引功能不彰,成为一种调取概括条款,在刑事侦查领域,主要表现有三:第一,侦查协助义务的概括性,容易给侦查机关滥用调取措施以及调取信息后的侵权风险提供空间。具体而言,得益于侦查协助义务具体程序的规范空白,侦查机关的调取行为并未受到严格限制,其既可裁量决定采取干预性强或弱的调取措施,也可自由选择调取内容的信息类型,不受限于单一的信息类型调取、固定的调取措施强度以及特定的信息调取范围及方式。第二,侦查协助义务的模糊性,可能致使侦查机关对个人信息类型及其权利种类的干预强度难以确定。侦查机关向网络服务提供者搜集的用户信息范围越广,其所涉及的权利种类及信息类型就越多,所能够拼凑、挖掘、分析出的个人可识别信息、隐私或敏感信息的可能性越高,对公民基本权利侵犯的风险性越大,程度越高(4)如2015年出台的《美国自由法》第二百零一条就明确要求监听设备要依附于具体的特定物品,从而防范及限制侦查调取的不可控风险及权利侵犯。。第三,侦查协助义务的笼统性,可能导致侦查机关调取强制力的扩张。一方面,规范的笼统性为侦查机关不加区分式的信息调取提供行权依据,即可自由裁量采取动态信息的搜集、一体式或全覆盖式的信息调取,侦查调取强制力得以扩张的同时对公民基本权利造成更大的风险;另一方面,协助义务的笼统性在扩张义务履行强制力的同时,对网络服务提供者而言,基于个人信息保护义务拒绝或延迟履行侦查协助义务的例外性空间受到严重压缩,加剧了网络服务提供者的数据合规风险。从此意义上看,侦查协助义务压制了个人信息保护义务的有效执行。

(二)个人信息保护义务对侦查协助的锁定

在交易成本理论中,“锁定是指当一方对另一方产生依赖时,这等于授权对方在关系中更多的自主的选择权”[7]。具体到刑事司法领域,一方面,刑事侦查的数据信息调取要求全面性、高效性与准确性,而网络服务提供者占有或控制的用户信息广泛,对自身业务的用户数据类型、数据状态、信息分布状况及保密等级较为熟悉;另一方面,“信息技术的发展与互联网的普及使得政府执法同时面临技术与法律上的壁垒”[8],侦查办案的数据信息需求对网络服务提供者产生了较大的依赖性,并推动其顺势成为侦查活动的信息收集与提供主体。这就赋予网络服务提供者基于技术优势而获取部分自主选择权,并对侦查协助义务进行部分“锁定”。

一是依据个人信息类型差异区分侦查调取的要求。如前所述,个人非识别性的一般信息与敏感(隐私)信息、非内容信息与内容信息分别对应不同的基本权利,对其进行调取,可能造成不同程度的侵权风险及侵害。与之对应,基于对个人信息保护的需要,网络服务提供者提供的不同信息类型也会“锁定”轻重不同的案件情形、强弱不等的侦查调取措施以及宽严不一的程序控制,不能超出目的、措施及程序对应的法定范畴进行调取,从而形成个人信息调取的法律层级控制。

二是依据个人信息处理目的确定侦查协助的情形。《个人信息保护法》第三十四条规定,侦查机关向网络服务提供者调取并处理个人信息,应当依照法律、行政法规规定的权限、程序进行,不得超出履行法定职责所必需的范围和限度。此处的权限及法定职责应作限缩解释,而不宜做扩大解释,否则会导致侦查协助义务强制力的无序扩张。也就是说,调取个人信息的目的应严格限定为“履行法定职责之需要”,非法定职责应排除在外,从而限制协助调取范围。另外,依据调取个人信息的紧急状态,如在紧急重大事件或犯罪、重要领域的监测和防控、侦查即将或者正在发生的轻微犯罪、常规报送等不同情形下,网络服务提供者可基于个人信息保护目的,合理决定侦查协助的范围或时间。

三是依据调取请求的具体情形赋予网络服务提供者部分自决权。侦查机关向网络服务提供者提起侦查协助要求时,并非必须或完全遵循,也应存在例外性空间,即可基于对个人用户信息保护的考虑,进行双重义务间的利益衡量,并赋予其一定范围内的灵活变动权。如赋予网络服务提供者在合法、正当理由下的拒绝配合权或延迟协助权,这是避免条文执行僵化与有效缓和网络服务提供者双重义务紧张关系的重要手段。在此情形下,网络服务提供者的个人信息保护义务对侦查协助义务形成某种锁定效应,即对有序调取中个人信息保护义务的“解锁”和对无序调取中侦查协助义务的“锁定”。

三、网络服务提供者侦查协助义务优位运行的现实原因及适用障碍

在中国,网络服务提供者侦查协助义务的优先性确立较晚,也并非开始就具有优先执行力,总体经历了从模糊性向条文性的转变,这是长期博弈后的均衡结果。然而,该结果并未对义务冲突的协调发挥实质性作用。

(一)侦查协助义务优位确立的现实原因

一是历史的“教训”及其阻碍。《个人信息保护法》出台之前,《中华人民共和国网络安全法》(以下简称《网络安全法》)和《中华人民共和国数据安全法》(以下简称《数据安全法》)对侦查协助义务与个人信息保护义务采取平行的立法模式和分而治之的治理方式。前者是指条文上仅确立了两种义务的成立性规定,但并未明确解决义务冲突的协调性规范,两种义务的并行适用使得网络服务提供者陷入义务履行上的抉择困境,以至于实践中义务冲突的频发。如《网络安全法》既规定网络运营者应当为侦查活动提供技术支持和协助(第二十八条),同时也要求网络运营者应加强用户信息的安全保障义务,并设置不同的法律责任(第六十四条、第六十九条),但暂未明确个人信息安全保障义务与侦查协助义务发生冲突后的协调办法。后者是指受限于规范上的义务平行立法模式,网络服务提供者所承担的侦查协助义务尚未与其承担的个人信息保护义务形成融洽的协调体系及互补结构,相关规范仍局限于“保护归保护,协助归协助”的立法思路[6]。两种义务在立法条文中均呈现出强化之势,却对两种义务交叉区域的处理方式刻意回避,这导致网络服务提供者陷入数据违规责任与阻碍执法责任的两难局面。

二是司法个案的推动。以滴滴顺风车司机杀人案为例(5)中华人民共和国最高人民法院.浙江乐清“滴滴顺风车司机杀人案”罪犯钟元被执行死刑[EB/OL].(2019-08-30)[2022-12-02].https://www.court.gov.cn/zixun-xiangqing-179952.html.,社会公众对于钟某构成抢劫、强奸及非法剥夺他人生命等犯罪并无过多争议,舆论反而聚焦滴滴平台是否能以个人信息保护为由,特别是敏感信息、隐私信息等可识别信息,拒绝协助公安机关调取犯罪嫌疑人的个人信息,或者是否有权延迟回应[9]。该问题背后涉及多方主体的利益权衡。一方面,承认网络服务提供者个人信息保护义务的优先性,虽有利于用户信息的安全以及降低网络服务提供者的数据合规风险,但同时可能阻碍侦查办案以及不利于被害人一方的权利维护;另一方面,若肯定侦查协助义务的优先性,由于调取行为本身及调取信息后的处理风险不可控,个人信息的安全难以有效保障,可能引发数据合规风险以及公众对侦查强制力扩张的恐慌。另外,“网络服务企业在社会治理中承担的事务越多,就越容易以‘公共利益’之名驱逐‘个人权利’。因为就数量计算而言,个人利益很难胜过公共利益”[10]。因此,公益保护及安全维稳以一种总体政策要求在义务协调中得到贯彻与优位执行。

三是侦查协助义务是对网络服务提供者个人信息保护虚假意图的制约。当前,中国总体犯罪趋势发生了从“城市吸引犯罪”向“网络吸引犯罪”的结构性变化,违法犯罪寄生于网络平台生态系统较为普遍[11]。而个人信息的聚集以及交叉融合所形成的巨量“信息束”极可能诱发网络服务提供者的信息犯罪倾向并为其提供便利,如滴滴公司涉嫌违法收集个人信息及危害国家安全的巨额处罚案(6)国家互联网信息办公室.国家互联网信息办公室对滴滴全球股份有限公司依法作出网络安全审查相关行政处罚的决定[EB/OL].(2022-07-21)[2022-11-30].http://www.cac.gov.cn/2022-07/21/c_1660021534306352.htm.,就是信息聚合违法适用的典型表现。个人信息保护义务可能成为“商业主体”过度盈利化追求及其违法犯罪的合法外衣,而侦查协助义务既是对特定犯罪中公民个人信息权益的有效维护及救济手段,也是对个人信息违规处理的常态化威慑及监督机制。从此种意义上讲,侦查协助义务是防止及规制网络服务提供者滥用个人信息保护名义进行违规信息处理的重要手段。

也许是吸取了“现实教训”及个案影响,《个人信息保护法》充分考虑到网络服务提供者个人信息保护义务与侦查协助义务的紧张关系,因此其第十三条(同意原则之履行法定职责或义务之例外)、第十八条(告知原则之法定或紧急之例外)及第三十五条(告知原则之妨碍履行法定职责之例外)设计了义务冲突的解决办法,即侦查协助义务优先履行。但从具体规范上看,侦查协助义务的优先性仅是一种形式化的确立,并未实质性解决义务冲突问题,甚至导致个人信息的侦查调取产生更大的侵权风险。

(二)侦查协助义务优位运行的适用障碍

尽管侦查协助义务优先性对义务冲突协调是一种高度助益的制度设定,但在具体执行中也存在较为严重的适用障碍。这一结果,部分源于该条文具有的守成取向,部分出自其二元博弈结构中所固有的刚性因素,还有部分则来自与其控制功能相关的限度。

一是侦查协助义务优位制度的守成性。立法过程往往是缓慢而棘手的,而且立法者通常倾向于对即时性政治利益作出快速反应,而对修正过时的法律或使充满传统因素的司法法律现代化等问题反应迟钝[12]421。这一现象在网络服务提供者双重义务的冲突协调上尤其突出。一方面,面对不断演变的恐怖主义和高科技犯罪,国家往往会通过法治化确保“安全优先型”网络监控权力及手段的正当性,对于隐私保护为主的个人信息保护则位居其后[13]。具体到刑事侦查领域,确立侦查协助义务的优先性,确保国家机关执法权的上位利益是前述价值序位的权衡结果,这是制度守成的形式要件。另一方面,在确立侦查协助义务优先性的前提下,又不明确侦查协助在具体机制、规则及程序层面的详细内容,意欲通过形式化的确立赋予执法上的自由裁量权,并为“无阻化”的侦查调取提供有力依据,这是制度守成的实质要件。

然而,制度守成在为侦查协助及打击犯罪带来便利的同时,也产生了大量的灰色地带。网络服务提供者的数据合规风险与个人信息保护要求间的张力反而扩大,尤其在受到外部力量强烈干预时,这种制度守成将会激发紧缩的连锁反应。如在遭遇信息泄露犯罪、高发的网络信息犯罪以及以用户信息为对象的其他严重犯罪时,侦查机关往往强调侦查需要及办案需求,而个人信息保护则处于被压制一方。

二是侦查协助义务优位制度的刚性。之所以将其定性为刚性,在于两种义务发生冲突时必须优先履行侦查协助义务。目前,网络服务提供者并无拒绝或延迟配合的权利依据,主要表现为:一方面,在《个人信息保护法》出台前,由于并未明确双重义务间的优先性问题,网络服务提供者尚可以个人信息保护及数据合规等理由拒绝或延迟配合协助,侦查机关不具备强制要求网络服务提供者履行义务的法定依据,其在协助调取的时间及范围上尚存部分自决空间。然而,协助义务优先性确立后,义务冲突的解决路径经“法定”也具有了确定性与强制性。“对于公安司法机关,只要符合法律规定的合理目的,在信息准入层面公安司法机关基本不存在获取信息的实质性障碍”[14],网络服务提供者除不可抗力或其他客观不能因素外,应当不延迟且充分地配合协助,否则会承担相应法律责任。另一方面,除可能造成数据合规风险外,侦查协助义务的无偿性可能增强网络服务提供者的非自愿性,从而加剧协助刚性。网络服务提供者在“为刑事司法机关提供数据或技术协助时,无论是建立起常规性的协助机制以及时接收、审查和响应诉讼要求,还是在个案中配合具体诉讼措施,均会引发相应的协助成本”[9],甚至超出合理范围的合规成本。然而,网络服务提供者作为执法“辅助人”时,由于诉讼身份的规范缺失,尚不能将其纳入证人范畴,自然也难以适用证人作证补助的规定。在协助调取范围扩大化、调取强制力严格化的基础上,网络服务提供者的协助负担呈现不断强化的整体态势,无偿协助会加剧其非自愿性以及潜在抵制,尤其是在部分国家施行侦查协助费用机制的对比下(7)如欧盟《刑事电子证据收集和保全令条例(草案)》专门规定了网络信息业者可申请费用报销;美国联邦法律规定政府部门在向个人或组织获取通信内容记录或其他特定信息时,应当支付合理的信息搜索、收集、分析等费用;德国《电信法》规定对于通信运营商提供协助监控服务所产生的费用,联邦政府有权根据具有法律效力的条例做出安排,要求德国联邦议院和德国联邦参议院同意进行适当的补偿。,此种不均衡将激化两种义务及主体间的矛盾冲突。

三是侦查协助义务法定优先执行在规范控制的限度方面存在失控风险。明确侦查协助义务法定优先的目的在于反对和防止义务冲突时的无序状态。然而,“人们在运用一些服务于有益目的的制度的时候有可能超越这些制度的法定范围,所以在某些历史条件下可能会发生把管理变强制、把控制变压制的现象”[12]422。由于侦查协助义务优先适用的具体规则、机制的缺失,协调私人权利和政府权力冲突的制衡原则变得过分严厉和僵化,而协助内容及程序的空洞使得侦查机关的调取行为及调取后的处理行为充满不确定性而难以控制,其结果往往具有破坏性,并极易造成紧张、摩擦和突变。因此,侦查协助优先既不能强制要求网络服务提供者在能力范围之外承担执法协助义务,更不能以此为由要求其承担相应责任[15],否则容易导致双重义务的交叉地带成为权力失控区,《个人信息保护法》这一颇具助益的协调路径的预期目的也会遭到扼杀。

四、网络服务提供者侦查协助义务与个人信息保护义务的内在冲突

网络服务提供者的多重身份对应双重义务,一种义务作为公民基本权利延伸,因此将个人信息保护作为合规核心;另一种义务作为执法权力延伸,因此将公共利益或社会安全视为社会治理共同体的必要职责。但义务差异并不是冲突的内在根源,而是不同义务所指向的目标相左,一种义务的履行伴随着对另一种义务利益的抑制。

(一)侦查协助义务与个人信息保护义务的告知责任冲突

在司法实践中,侦查机关向网络服务提供者调取个人信息时,可能出于妨碍侦查的考虑,或对个人的非直接性调取,通常不会告知公民《个人信息保护法》第十七条第一款之事项(8)参见《个人信息保护法》第十七条:“个人信息处理者在处理个人信息前,应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项:(一)个人信息处理者的名称或者姓名和联系方式;(二)个人信息的处理目的、处理方式,处理的个人信息种类、保存期限;(三)个人行使本法规定权利的方式和程序;(四)法律、行政法规规定应当告知的其他事项。”。而对于网络服务提供者来说,作为个人信息的直接处理者及“守门人”,则必须遵循个人信息处理规则,其核心在于告知同意义务和信义义务。由于协助侦查机关调取信息属于履行法定义务,因此同意义务可被《个人信息保护法》所豁免(第十三条),但网络服务提供者履行侦查协助义务的同时,是否具备对网络信息用户的告知豁免却并不明确。尽管《个人信息保护法》规定了两种告知豁免机制——法律或行政法规要求保密或不需告知(第十八条第一款)、妨碍国家机关履行法定职责(第三十五条),但其并未解决履行执法协助义务是否可以免除或限制网络服务提供者告知义务的问题。

就前一种告知豁免情形而言,刑事诉讼法及相关行政法规中对网络服务提供者因履行侦查协助义务而免除告知的情形存在规范空白,此种豁免自然难以适用于刑事诉讼措施。如《公安机关办理刑事案件电子数据取证规则》第四十一条仅规定侦查调取需通知电子数据持有人、网络服务提供者或者有关部门执行,但并未明确网络服务提供者应否告知网络信息用户或享有告知豁免,这一状况也在2022年《关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见》中得以延续。尽管《刑事诉讼法》第一百五十二条第四款规定:“公安机关依法采取技术侦查措施,有关单位和个人应当配合,并对有关情况予以保密”,这种情形虽可纳入因履行执法协助义务而免除网络服务提供者告知义务的范畴,但信息调取并不等同于技术侦查,其具备任意侦查和强制侦查的双重属性,在刑事诉讼视域下告知豁免仅适用于强制性程度等同或超出技术侦查强度的信息调取行为,而对小于技术侦查强度但仍属强制措施的信息调取时,网络服务提供者能否因执法协助义务而免除告知义务尚未明确。

就后一种告知豁免情形而言,在缺少法律、行政法规依据的情况下,告知是否妨碍国家机关履行法定职责成为告知豁免的补充机制,但对于网络服务提供者以妨碍执法为由拒绝告知的情形并未得到刑事诉讼法明确授权。尽管《个人信息保护法》第三十五条规定的是国家机关的告知豁免,但由于网络服务提供者告知也可能妨碍侦查机关履行法定职责,此种情形一般也要求其保密或延缓告知,从而构成告知豁免的事项。然而,网络服务提供者以妨碍执法为由拒绝告知直接关系着公民基本权利,此类妨碍法定职责履行的事项也须由《刑事诉讼法》予以明确,否则会使得干预公民基本权利的侦查措施脱离有效控制。如《刑事诉讼法》第八十五条的拘留后免除通知条款、第七十五条的特殊犯罪指定监视居住条款以及第一百五十二条技术侦查的保密条款,都是因“法定情形”才获得告知豁免的授权。然而,在《刑事诉讼法》和相关行政法规中却难以探寻到有关网络服务提供者因妨碍履行法定职责而免予告知的规定。

《个人信息保护法》第十八条虽然设置了网络服务提供者执法协助义务的告知豁免条款,但其并未与《刑事诉讼法》或相关行政法规进行有效衔接,刑事诉讼中缺乏个人数据保护的专门立法,这就导致《个人信息保护法》赋予网络服务提供者的告知豁免机制处于搁置状态,难以具体适用。此种情形下,网络服务提供者无疑陷入两种法律责任的合规困境,不告知公民信息处理的事项可能因违背《个人信息保护法》而承担民事责任或运营风险(9)网络服务提供者的运营风险表现为:当用户从侦查机关处知晓本人的个人信息及其隐私被调取及处理(紧急状态消失后侦查机关直接告知的情形),但却未接收来自网络服务提供者的任何告知,可能会因此丧失信任而失去用户基础,加剧网络服务提供者数据合规及存续风险。,而告知公民侦查调取信息则又可能因妨碍侦查职责履行而面临行政或刑事追责,从而形成告知责任豁免上的冲突。

(二)侦查协助概括性与个人信息处理目的限制性要求相矛盾

《个人信息保护法》第六条规定,处理个人信息必须遵循目的限制原则,侦查调取目的及处理行为应当符合目的限制性原则的要求,信息调取需尽量明确行为之目的,以便于网络服务提供者的合规审查以及对义务冲突的协调。然而,侦查调取目的符合个人信息处理目的限制原则首先是一种规范上的要求与表现,但具体于司法实践中,可能因协助事项、范围及程序的概括性而产生矛盾风险。缘由在于,一方面要求侦查调取目的的明确性,而另一方面却要求侦查调取目的的保密性。当然,侦查协助的概括性与个人信息处理目的限制性并不存在全面冲突和绝对冲突,二者仅是一种局部性和相对性冲突。当网络服务提供者向侦查机关协助调取的个人信息处理严格按照初始或约定目的使用时,或者变更后之目的与约定目的具有直接或间接联系时,那么可认为侦查调取目的符合个人信息处理的目的限制原则。二者间的冲突表现如下:

一方面,如前所述,执法协助义务中的侦查调取是一种概括授权条款,具有概括性、模糊性及笼统性的特质,该行为并不严格区分调取的个人信息类型(内容信息或非内容信息)、状态(动态或静态信息)及信息主体(犯罪嫌疑人或其他人员的信息)[3],而调取事项及内容的概括性则直接蕴含着调取目的不确定性或任意性。恰成对照,个人信息处理目的限制性原则要求,对干预或限制公民基本权利的侦查调取行为的目的应进行严格限制,包括调取目的具体性限制、明确性限制、合法性限制以及使用目的限制性。这几种目的限制与具有秘密性特质的概括调取措施存在紧张关系,甚至进一步挤压目的限制原则的适用空间,突出表现为调取目的告知的模糊性或保密性、初始目的与后续目的不一致、目的变更不告知等情形。在这一视角下,侦查机关向网络服务提供者的个人信息调取可能脱离约定乃至法定的目的限制,从而产生“约定目的外”的处理风险。

另一方面,《个人信息保护法》就目的限制原则设置了较为完备的具体义务要求和若干基本原则予以指导,为司法适用及实践解释预留了充足空间,然而“‘合法、正当、必要’作为基本原则内涵太过丰富和抽象,不通过解释难以指导具体实践”[16]。告知义务中“明示使用个人信息目的”的构成要件也存在解释争议与裁量空间,目的限制原则的具体规定显得过于宽松。这就导致在目的限制原则的实践理解与适用中,侦查机关会大量使用模糊、宽泛的词汇来表述其约定目的,最大程度保证数据信息调取的全面性,并降低其自身的法律风险。如基于侦查秘密性的需要或有碍侦查的考量,在调取个人信息时侦查机关不告知或模糊告知调取目的是一种常态。在这一视角上,目的限制原则的本体局限性也成为侦查调取目的及其使用突破限制原则的重要缘由。

(三)侦查协助的强制性与个人信息内部合规审查要求相排斥

“建立信息安全管理制度,并有完备、可行的信息安全保护措施是衡量一个企业数据保护能力的重要参考依据。”[17]在扮演多重角色承担多重义务的前提下,网络服务提供者需要依托内部合规审查予以抵抗合规风险,但从目前的制度规范及实践现状看,其能否基于内部合规审查结果予以拒绝或延迟配合侦查协助义务仍存有较大争议。

从世界范围内大型互联网服务提供商的实践来看,答案是肯定的。大多数网络服务提供者在面临侦查机关协助调取申请时会提出部分请求,如调取申请方式要求,推特、谷歌、微软等公司均设立了专门的数据调取在线申请平台以及其他联系方式,以便其确认申请者身份及调取事项;又如数据调取申请格式要求,根据欧洲刑警组织2021年发布的SIRIUS项目第三次报告,在自愿合作的情况下,侦查机关应使用标准化模型表单进行数据资料的保存及披露要求,并遵循适用的法律规定。再如数据调取理由的要求,该报告还依托实证访谈归纳了网络服务提供者延迟或拒绝配合侦查调取义务的主要理由,如过于宽泛的调取申请、法律依据缺失或不正确、调取请求发送给错误的法律相对人、申请不符合程序要求、没有数据可用等9类情形(10)参见SIRIUS EU Digital Evidence Situation Report(3rd Annual Report)2021.。因此,从法理和个人信息保护角度上说,网络服务提供者履行侦查协助义务并不能直接以减损公民隐私权为必要代价,合理的内部合规审查结果能够成为拒绝或延迟配合侦查机关数据调取义务的正当理由,这也是被大多数互联网服务提供商所认可且实践的做法。

中国相关数据立法虽然已规定针对侦查调取格式的部分要求,如调取需出具调取证据通知书和调取清单,并注明调取电子数据的相关事项及目的。但是,网络服务提供者合规审查结果尚未成为拒绝或延迟配合侦查协助义务的法定依据,即使在侦查协助优位制度确立前,其拒绝或延迟配合侦查调取的决定也是在义务冲突解决办法存有争议下的利己性解读,而非明确的法律依据。另外,因侦查调取阶段的前移、脱离告知同意规则以及打击犯罪与维护安全的特定要求,侦查协助义务并未给网络服务提供者留足合规审查空间,反而具备优先执行的强制性。因此,一方面在法理上排斥因侦查调取而牺牲个人信息权益,另一方面在法律上又排斥因个人信息权益保护而阻碍侦查活动的有效开展,这也形成了双重义务间的冲突现状。

(四)侦查协助的最大化与个人信息处理最小必要范围相背离

证据收集的全面性是侦查工作的基本原则及重要保障,这一原则在侦查机关向网络服务提供者调取数据时也应得到普遍遵循。一方面,侦查机关向网络服务提供者调取信息时通常倾向于大规模的数据收集,以保证证据材料的充分性;另一方面,侦查机关会要求服务于刑事侦查的数据存留义务、审查监控义务、披露义务、技术协助义务及共享义务进行全面扩张,如个人信息存留日期的延长、解密范围与幅度的扩大、信息的最大化披露以及以侦查执法为核心的数据信息收集、共享及治理平台的全面建构等。因此,侦查协助义务往往呈现出一种扩大化、常态化及多主体参与执法的强化趋势,不免引发过度收集与滥用的危险(11)数据被收集、隐私被泄露……首次亮相的个人信息保护法草案如何捍卫你我信息安全?[EB/OL].(2020-10-13)[2022-11-30].http://www.xinhuanet.com/politics/2020-10/13/c_1126601902.htm.。

与之相反,在《个人信息保护法》领域,个人信息保护是其建构的基础与核心,而“最有效的隐私保护机制,是最小化所收集和保存的、可能引起危险的材料”(12)20世纪中后期,美国法学家亚瑟·米勒(Arthur Miller)提出了这一影响深远的观点。。因此,《个人信息保护法》强调信息收集的适当性、目的最小范围及最小必要。欧盟《通用数据保护条例》(GDPR)也强调“充分、相关且应先于处理目的所需的最小限度内”[18]34,这是最小化原则的规范体现。该原则对所有个人信息处理行为提出两点基本要求:一方面,在能够实现侦查目标的前提下,侦查调取行为应采取对公民个人权益影响最小的方式处理个人信息;另一方面,侦查调取行为及后续处理活动不能超出目的限制而对个人权益造成不必要的影响。该原则下,数据调取范围应为最小必要而非概括性复制,解密技术协助应当特定有限而非全面覆盖,数据留存时间应合理固定而不可无限延长、信息披露应适当而不可过度超出办案需要。可见,在《个人信息保护法》和刑事诉讼法交叉衔接领域,以隐私保护为代表的安全保障机制被普遍认可并日益强化,但在特定情形下,该机制对侦查取证活动顺利开展形成不同程度的阻碍力,这也加剧了个人信息最小必要原则与侦查协助义务最大化间的关系背离。

五、网络服务提供者侦查协助义务与个人信息保护义务的协调路径

从实践观察,网络服务提供者侦查协助义务优位性的确立只能对双重义务冲突提供一个形式性和初步化的解决方案,并未有效改善双重义务间的紧张关系。前述对网络服务提供者双重义务内在冲突及逻辑关系的有效识别,事实上也探寻出协调冲突的大致方向,即对侦查协助调取采取程序和实体上的双重规制可能成为相对合理的方式。

(一)路径选择:程序规制与实体指导的双重调控

实际上,网络服务提供者侦查协助义务与个人信息保护义务间并不存在绝对冲突,而具有相对兼容性。一方面,网络服务提供者侦查协助义务的履行不能罔顾个人信息保护,使之陷入“完全排除”的危境,而要考虑对公民个人基本权利的干预及自身的合规风险;另一方面,也不能过度强调网络服务提供者的个人信息保护义务,而应受到“合理限制”的调度,以确保侦查工作的顺利开展。因此,双重义务间的冲突协调既不能陷入顾此失彼的“单一路径”,也无法做到完全融洽的利益衡平,而应在义务交叉区域探寻一种相对融洽的状态,即个人信息保护要求和侦查协助目的间的相互兼顾与妥协。实现该目标需采取一种体系化的思路,即程序设计与实体指导的双重调控。

一是构建侦查协助调取的规范程序。针对潜在的义务冲突及利益偏向,首先应明确程序设计,通过程序预防或者前置性程序的方式尽量避免义务冲突的实际发生,在冲突发生前允许网络服务提供者予以介入并进行内部审查,将其消灭在萌芽状态。这就要求逐步建立起专门性和体系化的侦查调取程序规范,减少因调取程序模糊导致的协助不能或争议。如建立并完善线上申请调取程序、调取申请告知程序、合规审查程序等,确保网络服务提供者能够对不符合法定调取之情形进行识别筛选、纠正排除,从而实现数据的有效调取与数据合规的共洽,这是协调冲突的必要依托。

二是引入实体性原则予以调和指导。在双重义务的利益权衡上,则需要透过法学方法探究争议条款的原理及价值后予以定夺。一方面,侦查协助义务规则层面的缺失并不意味侦查机关可依据良好政策的观点完全自由裁量,而是仍有义务遵循社会秩序所承认的一般原则,即使部分原则并未得到法律明确阐释或正式表示,但其对侦查裁量具备实质性限制。具体而言,可依据必要性、适当性及平衡性为核心的比例原则作为实践调和机制,充分考量目的与手段、最后手段与常规作为、行为与目的间合比例性关系[19],从而选择合理适度的调取手段、调取强度及调取范围,网络服务提供者也可据此作出拒绝或延迟配合、严格保密或适度告知等决定。另一方面,具体分析个案调取中个人信息保护法益与侦查协助公益的价值位阶,因为履行具有较高或同等价值的义务,将可能使牺牲另一种义务为代价被正当化[20]504。对于冲突义务间价值高低判断问题,可立足于合理性与合法性基础对义务的紧迫性、义务的可弥补性及义务的可实施性等事项权衡[21]。另外,为保护相对重要的整体利益而限制相对次要的个人权益,必须审查对相对次要的基本权利限制是否过度,也要判断对相对重要的整体利益保护是否充分,即需要同时进行过度禁止审查和不足禁止审查[22]。两种路径相辅相成,是缓解双重义务紧张关系的关键方式。

三是明确双重调控的认知前提。依托双重调控举措化解前述诸多障碍,需明确三个贯穿机制及程序建构始终的认知前提,以避免因认知偏差导致调控不力或协调偏差。第一,侦查协助义务优先性并非铁律,公民将个人信息委托于网络服务提供者处理并不意味着对数据权利的放弃或丧失,仍具有权利处分的持续性;第二,侦查调取行为并不因非直接接触公民个人信息而被直接定性为任意侦查措施,而应视调取信息承载之权益大小综合而定;第三,侦查协助义务并非要求网络服务提供者无条件服从,而是有具体条件、有明确程序的有序履行。

(二)程序规制:以侦查调取合规为核心的分类审查

侦查机关申请调取个人数据时,承担多重义务的网络服务提供者事先通过内部机制进行个案的合规审查及义务平衡,有利于提前发现违法违规风险,并作出及时有效的补救调适。

1.审查侦查调取行为的法律属性

针对侦查调取的干预程度及信息类型,网络服务提供者应当审查侦查调取行为是任意性抑或强制性调取措施,对于调取措施的不同法律属性,法律规制条件差异较大。

一是任意性调取措施的一般审查。在调取方式上,若信息调取主体通过网络服务提供者的审查同意,侦查协助义务则体现调取行为的合意性,为侦查机关处理个人信息提供正当性依据。在调取的个人信息类型上,如果调取仅涉及非身份性信息、非内容信息或脱敏化信息等,也应归属于任意侦查行为。在这两种情形下,只要侦查调取主体履行必要的申请调取程序,并不违反调取类型、范围及数据合规等相关规定,网络服务提供者则应提供协助,此种性质的信息调取一般并不会对公民基本权利造成严重干预。

二是强制性调取措施的严格审查。在以下情形下,任意调取与强制调取可能会发生转化:在调取方式上,如果侦查机关未明确信息调取范围或类型,直接要求网络服务提供者对其留存信息进行全面解密或概括式调取,则视为超出侦查协助义务的合规范畴;若侦查机关未取得合意而强行调取第三方留存信息,应视为强制侦查。在调取信息的类型上,如果调取范围涉及公民个人的敏感信息且并未告知用户,鉴于该调取行为可能对公民基本权益造成严重干预或侵害,应将其归为强制性措施。针对前述情形,网络服务提供者需严格审查强制性调取行为是否符合适用的主体、条件以及程序。如在大陆法系国家,强制性侦查行为必须符合法律规定的事实要件和形式要件,并且一般需由法官事先书面签发令状才可为之[23]282-287,且该令状本身要有“具体而明确之事实”,在执行令状之后仍须受到法官的审查[24]。又如在中国,强制性侦查措施不得于立案前行使。若网络服务提供者经审查认为不符合强制调取的特定要求,则其应遵守对用户的信义义务、忠诚义务及合规义务,拒绝侦查机关不合理的调取请求,或者要求其补全相关要件后再行申请。这也是《个人信息保护法》第五条诚信原则、第六条使用限制原则的核心内涵与基本要求。

2.审查侦查调取对象的身份信息

在刑事司法中,对犯罪嫌疑人(被告人)与其他诉讼参与人基本权利的干预强度存有较大差异,对犯罪嫌疑人(被告人)所介入范围、干预强度、权利侵害程度更大,法律对其保护有所让步,而对其他诉讼参与人的强制性则明显降低。如强制性侦查措施仅能针对犯罪嫌疑人实施,而不可对证人、被害人及其他诉讼参与人施加。因此,在出于合理执法目的处理个人数据时,应尽可能区分不同数据主体及其相关数据,以区别处理。如英国《数据保护法》第三十八条第三款就区分了涉嫌犯有或即将犯有刑事罪的人、被判犯有刑事罪的人、可能成为刑事犯罪受害者的人、证人或其他了解犯罪情况的人。《刑事诉讼法》也规定“强制措施的适用对象应为犯罪嫌疑人,对于诉讼参与人和案外人不得采用强制措施”。

在对调取对象进行审查后,若为侦查机关对证人或被害人等其他诉讼参与人的隐私或内容信息的调取,原则上应遵循个人信息保护法的“告知同意”规则及其他相关原则的制约。在不妨碍刑事侦查办案的前提下,网络服务提供者应将侦查调取信息的情形告知被调取人,而对犯罪嫌疑人相关信息的侦查调取,可能并不需严格遵循“告知同意”规则,但仍要遵循比例性原则。若侦查调取的信息涉及或构成紧急情势,如面临恐怖主义犯罪、国家安全犯罪及有组织涉黑犯罪的紧急情境时,侦查调取行为可突破调取对象的强度层级控制,具体表现为审查程序的迅速性、相关授权及条件的事后审查、高强度措施的“下沉适用”等。经审查符合紧急情形的,可以优先、从速且充分地满足侦查协助义务,但紧急情势消失后的合理期间内应当对个人信息进行相关保障。此外,主体身份的事先审查也能防范因身份伪造的线上调取行为,有效避免公民个人隐私泄露及侦查秘密泄露或证据毁损的风险。

3.审查侦查调取程序的规范要素

在域外,调取程序的规范要求构成侦查协助的豁免理由之一,因不符合侦查调取程序而被拒绝或延迟配合的情况并不少见。中国虽然尚未确立其法定豁免地位,但也存在相关调取程序要求。如《公安机关办理刑事案件电子数据取证规则》第十九条、二十六条、四十一条既规定了调取电子数据的格式要求,也规定了部分调取告知程序以及数据持有人或控制者的确认程序。然而,实践中虽存在一套隐性的调取程序规范,但尚未形成体系化。下一步需要在制度规范上明确数据调取程序的具体内容及条件,从而为网络服务提供者及侦查调取机关提供清晰的程序指引规范。具体审查事项如下:

其一,审查是否提交书面的信息调取单,调取单是否满足法定的格式化规范模板,相关法律文书可以采用数据电文形式,但禁止使用口头告知的方式调取数据信息,如谷歌和亚马逊要求严格填写紧急执法信息请求表、SIRIUS项目中要求填写执法请求标准化模型表单;其二,审查调取依据是否合法,不具备明确的调取依据或违背法定程序的调取一般会被拒绝配合,如申请调取并非出自侦查执法之法定目的、调取行为并未经负责人审批授权等;其三,审查调取内容是否明确,调取内容的模糊性不利于数据的准确性,如调取事由,是涉嫌犯罪还是违法,是调取犯罪嫌疑人还是其他相关人的信息等;其四,审查调取信息的类型,是拷贝调取全部信息,还是敏感信息、内容信息或非内容信息,抑或要求协助全部或局部的信息解密或者信息披露;其五,审查是否要求网络服务提供者保密,包括保密的时间、保密的理由或法定依据等。经审查,侦查调取不符合相关法律的程序规范要求,应当对其予以告知纠正或延迟配合,待具备条件后再行配合。这些事项的明确及其审查,是个人信息处理目的明确化、调取范围适当化以及处理行为合法正当化的重要保障。

(三)合理例外:网络服务提供者侦查协助义务的豁免机制

向网络服务提供者调取公民数据时,虽然网络信息用户的数据权益并不会因侦查调取而灭失,但其对数据权益的权利主张或救济能力可能因侦查调取而弱化。究其缘由,网络服务提供者往往因不具备某些豁免机制而始终处于被动地位,致使其长期处于个人信息权益保护与侦查协助义务的抉择困境。确立网络服务提供者告知豁免和协助豁免的基本意义在于使其能够最大程度免受来自公民个人和侦查机关的双重压力,消除其担心受到法律责任追究的顾虑,以推动个人信息保护和侦查公益维护的相对性融洽。

1.确立网络服务提供者对个人信息调取告知的豁免机制

司法实践中,网络服务提供者出于个人信息保护及合规风险向网络信息用户告知调取情形虽存在但并不多见。究其缘由,侦查调取保密性义务的概括性延伸以及刑事追责的风险认知使得网络服务提供者“瞻前顾后”。然而,从刑事侦查领域观察,此种概括性的保密义务可能难以构成不予告知网络信息用户调取情形的依据。具体而言,对于直接作用于犯罪嫌疑人的讯问、搜查、查封扣押等侦查措施,均会通知相对人,或出示证件告明理由,或要求见证人在场,而仅在实施高强度的技术侦查措施时,才要求相关单位及个人遵循保密义务。可见,刑事诉讼中的保密义务具有特定性,并非只要涉及侦查办案就要负担保密义务,而应分类处理。

第一,若信息调取表现为一种任意性侦查措施,那么网络服务提供者并不承担《刑事诉讼法》中的保密义务,而应告知网络信息用户侦查调取之情形;若信息调取表现为一种强制性侦查措施,且该调取措施的强度及干预度基本与技术侦查措施相持平,如为侦查办案需要网络服务提供者进行必要的通信、行程监控协助,则可要求其严守保密义务,暂不告知网络信息用户。第二,虽然在形式要件上信息调取行为并不直接作用于网络信息用户,但在实质要件上,间接调取和直接调取对其权利干预及作用力几乎一致,调取措施是否直接作用于网络信息用户并不能成为告知与否的决定要素。

有鉴于此,为更好协调网络服务提供者侦查协助义务与个人信息保护义务在告知上的模糊与争议,中国应逐步确立起信息调取告知的豁免机制。

其一,在《个人信息保护法》或《刑事诉讼法》中应明确网络服务提供者履行告知义务而免于法律追责的规定。侦查机关向网络服务提供者调取公民信息,除法定保密或阻碍执法外,或未明确需要保密时,应当允许其基于个人信息保护义务向网络信息用户告知侦查调取情形,并豁免其因告知而可能干扰侦查的不确定风险,这应成为一般案件协助调取的告知常态。

其二,明确网络服务提供者履行侦查协助义务而豁免个人信息告知责任。当协助信息调取的案件涉及法定保密,或可能妨碍侦查,或紧急情形时,由于侦查协助义务具备特定性或紧急性,应优先保障侦查利益诉求的实现。此时,网络服务提供者不告知或暂缓告知网络信息用户具有法定依据,应当免除其对公民个人信息的调取告知责任,打消其“后顾之忧”,从而保证调取的充分性及配合度。

其三,明确紧急情形消失后的及时告知。《个人信息保护法》第十八条第二款虽然确立了紧急情形下国家机关的告知豁免机制,但此种豁免仅是一种暂缓告知机制,并不具有终局效力,一般在妨碍侦查或危害公民生命财产等紧急情形消失后,应恢复对相对人的知情权益保障。此外,还应建立起针对特殊情形的审查判断和运行机制,以避免因判断标准模糊及争议而引发权利的不当干预,这也是保障信息调取相对人及利害关系人及时作出风险防控、权利申请的基本要求。

其四,明确网络服务提供者告知的方式。基于侦查情势的不同,就告知内容而言,网络服务提供者应依具体情形而区别适用形式告知和实质告知。前者指仅告知个人信息已被调取,后者指除形式告知外,还应告知信息调取的事项和目的,二者交叉适用确保告知方式的灵活性。

其五,明确网络服务提供者豁免的限度。网络服务提供者滥用告知豁免或协助豁免可能会造成不良影响,如告知豁免的滥用可能会侵害公民个人的知情权及数据处理权,而协助豁免的滥用不利于侦查个案正义与社会整体安全的保障。对于伪造豁免理由、故意拖延等情形,应当对其处以行业惩戒或法律责任追究。

2.确立网络服务提供者侦查协助义务履行的豁免机制

从域外大多数规范看,网络服务提供者针对侦查机关的信息调取行为普遍设置了豁免机制或者限制机制,这既为其内部合规及个人信息保护提供了有力依据,也倒逼侦查机关调取行为的规范性及合理性,对协调双重义务的冲突意义颇大。如《GOOGLE隐私权政策》中规定“Google对于政府机构要求提供用户数据的申请,无论是何种类型的要求,法律团队都会逐一审核。如果相应要求过于宽泛或不符合正确的流程,通常都会予以回绝”(13)GOOGLE隐私权政策[EB/OL].(2022-10-04)[2022-12-02].https://policies.google.cn/privacy?hl=zh-CN.。又如在微软《2021年执法请求报告(7—12月)》中,针对25 182份执法请求,有25.18%的侦查协助请求因不符合法律规定而被拒绝披露,有18.97%的执法请求因没有找到任何数据资料而被拒绝(14)Law enforcement requests report 2021[EB/OL].(2022-09-15)[2022-12-02].https://www.microsoft.com/en-us/corporate-responsibility/law-enforcement-requests-report?rtc=1.。

有鉴于此,设置侦查协助中的合理豁免对中国网络服务提供者双重义务的协调具有重要意义。具体建构如下:其一,明确网络服务提供者豁免的理由。由于中国尚未建立协助义务的豁免条款,因此需在考虑本国实际的基础上审慎借鉴部分合理正当的条款,以应对实践争议问题。如网络服务提供者因不具备相关数据而“内容不能”,或因执法机构因不符合法律规定而“法定不能”,或因执法机构发送协助调取申请的相对人错误而“主体不能”,或因协助调取请求过于宽泛而“概括不能”,再因紧急情势而“客观不能”等。为回应实践的复杂性及突发性,还可设置协助义务的豁免兜底条款——“其他有正当理由的情形”,以“列举式条款”和“兜底式条款”的周延性规范,确保该机制有效适用。

其二,明确网络服务提供者协助调取义务豁免的形式。依据前述豁免理由,网络服务提供者针对侦查调取申请可作出拒绝配合和延迟配合的通知,但其理应以书面形式正式告知侦查机关拒绝或延迟配合的充分理由,未能提供理由则不能获得豁免效果。此外,待拒绝配合或延迟配合的依据发生变更时,网络服务提供者可主动告知协助调取或侦查机关主动申请调取。

其三,网络服务提供者对侦查调取协助义务的豁免毕竟是特殊情形,具有局部性和特定性,而在常规情形下更多为配合侦查调取申请。考虑到网络服务提供者的配合积极性及协助尽责性,完全适用侦查协助的费用豁免机制可能并不利于信息调取的及时及准确,侦查机关应当考虑其协助成本及资源投入,分具体情形向其支付协助费用,包括常规费用和额外费用,或者针对因协助配合良好而帮助有效破案或警情预测的网络服务提供者颁布相关荣誉奖章并予以公示等,又或者以业务形式有偿向侦查机关提供特定数据及相关分析服务,从而将网络服务提供者协助调取的费用负担转移给办案机关[3]。

3.确立信息调取主体的使用限制例外

在个人信息侦查调取上,网络服务提供者个人信息保护义务和侦查协助义务是一对相辅相成的组合概念,因此在明确网络服务提供者告知豁免和侦查协助义务豁免的同时,侦查机关向网络服务提供者调取个人信息也应具备相应的豁免或例外机制,这也是缓和双重义务冲突的协调重点。以侦查调取信息的使用限制为例,《个人信息保护法》第五～九条构建了个人信息收集、使用的原则体系,其中最为关键的原则之一即“目的限制性原则”,它要求调取主体对信息的后续处理不得违反与网络服务提供者间约定或法定之目的。这一做法在一定程度上限制了侦查机关对个人信息的非法收集和滥用,但是不能违反约定目的使用并不意味着必须与约定目的完全一致。在某些情况下,“以不同之目的进行后续处理,并不一定意味着与约定目的相违背”[16],也可能是相互契合的。

因此,放宽侦查机关对调取信息的使用目的限制,有限度地允许额外目的之生成,具备合理的法理依据。一方面,允许实际使用行为与约定目的存在一定出入,是侦查机关对调取信息的灵活处理及有效利用的重要举措,也是保证侦查职责及义务顺利履行的重要手段;另一方面,因公共利益、紧急情形以及侦查办案需要等特殊情形下,可能存在网络服务提供者和侦查机关难以预料的其他重要价值,若不允许所调取信息用于此额外目的,可能导致信息调取目的落空,乃至妨碍侦查。当然,此种额外目的也必须受到相应限制,以防止个人信息的任意处理,如额外目的应当与初始目的具有联系,当个人信息为隐私或内容信息时,还应当与初始目的具备直接联系。又如,变更后的使用目的不得超出一定合理范围,且必须与变更之前的目的具有正当的联系。