刑事诉讼法与个人信息保护法的衔接

卞建林 钱 程

“十三五”规划以来，党和国家高度重视国家大数据战略的实施，全面推进信息数据技术在社会各领域的深度应用，助力产业转型升级、推动社会治理方式创新。在信息化与数字化带来经济增长、生活便捷等红利的同时，公民个人信息保护与数据安全问题日益突出，公权主体与私权主体处理公民个人信息的规模不断扩大、程度不断加深，存在侵犯个人信息权、隐私权的可能，存在造成信息泄露、威胁信息安全的风险。党的十八届四中全会以来，我国高度重视个人信息保护，全面推进此领域立法。2021 年《个人信息保护法》通过，以公私法合体的立法形式初步构建我国个人信息保护的法律框架。相较于民法、行政法等领域对个人信息保护制度的热议，刑事诉讼领域稍显冷淡，理论层面探讨较为宏观，制度层面未对个人信息保护问题予以针对性规定，也未调适现有刑事诉讼中公安司法机关处理个人信息的相关规定使其与《个人信息保护法》中规则相衔接。但刑事程序现实运行中，公安司法机关收集、使用个人信息的行为从未停止，个人信息处理过程中公权力与私权利之间的碰撞也难以避免。刑事诉讼以控制犯罪为主要任务，其维护的国家社会利益具有优位性，个人信息保护往往被惩罚犯罪、维护国家与社会安全的重要目标所淹没。刑事诉讼中公安司法机关信息处理行为以刑事执法权与刑事司法权为后盾，广泛收集、使用、公开个人信息，以侦查机关为代表的公权机关存在借助信息技术不当行使权力，过度干预公民个人信息权利的风险。故而，有必要妥当处理《刑事诉讼法》与《个人信息保护法》的关系，在刑事诉讼领域适当引入《个人信息保护法》中信息保护规则，以规范刑事诉讼中的个人信息处理行为，维护个人信息主体的人格利益，遏制数字时代刑事执法、司法权的不当扩张。

一、《刑事诉讼法》与《个人信息保护法》的关系

《个人信息保护法》是保护个人信息的基本立法，明确规定信息保护的基本原则和基本制度，包括实体规范与程序规范，在此基础上，由相关单行立法根据不同行业领域的特点制定相应规定，形成个人信息保护的法律体系。〔1〕参见周汉华：《个人信息保护的法律定位》，《法商研究》2020 年第3 期。个人信息保护法与刑事诉讼法是衔接适用关系，而非排除适用关系，厘清二者关系，需要注意以下几点。

其一，《个人信息保护法》是个人信息保护领域以及整个网络信息法律体系的基本法律，并非民法、行政法等基本法律的下位法。《个人信息保护法》与《刑事诉讼法》均为基本法律，两法形成同位并存关系，而非隶属关系，基本法律之间的衔接适用应通过相互设置转介条款进行指引等方式实现。〔2〕参见龙卫球：《〈个人信息保护法〉的基本法定位与保护功能——基于新法体系形成及其展开的分析》，《现代法学》2021 年第5 期。其二，我国《个人信息保护法》根据宪法制定，是保障和落实宪法权利的法律，用于规范信息处理活动，保护公民的个人信息权利。数字时代，个人信息承载信息主体的人格尊严，在刑事诉讼领域公民个人信息权利同样受到宪法和法律的保护，因刑事司法的高度强制性，公民个人信息权利更易遭到公权机关不当信息处理行为的侵害，此领域个人信息权利保护的必要性更加突出。其三，《个人信息保护法》以公私法合体的立法形式对信息处理行为进行规范，不仅调整私主体之间的法律关系，也规范公权力对公民信息的处理行为。〔3〕参见裴炜：《国家机关处理个人信息的保护义务——兼评〈个人信息保护法〉》，公众号网络法前沿https：//mp.weixin.qq.com/s?src=11×tamp=1688262498&ver=4625&signature=tqMgeIcqDGAG3asmSTTDWMpRqPMiE dsMJIfWslRQXMvJI7yvqavgCK5zeTCERj7sn7EnPqT6Yn0w1BnjsElZADApij1WXVSxRiTUiBdl6JRf0＊qbMdpjMJ2NE7e3zl3 N&new=1，最后访问日期：2023 年3 月1 日。现行《个人信息保护法》明确规定国家机关处理公民信息的特殊规则，且未对刑事司法领域进行排除适用，故而刑事诉讼中公安司法机关处理个人信息应遵守个人信息保护法的相应规定。但是，刑事诉讼的强制性、封闭性、相对秘密性决定个人信息处理中公开透明、知情同意等原则规则难以绝对适用，必然存在限缩适用的情况。

从域外立法例看，个人信息保护与刑事司法融合衔接的立法方式主要有两种，一种是在个人信息保护立法中设置刑事司法程序中信息保护条款，另一种是进行刑事诉讼中个人信息保护的专门立法。〔4〕参见郭烁、杨默涵：《受限、契合与独立：论刑事诉讼数据处理原则》，《北京航空航天大学学报》（社会科学版）2022 年第4 期。如2016 年欧盟出台《关于有权机构在预防、调查、侦查、或批捕犯罪嫌疑人或执行刑事处罚中个人保护和有关数据自由流通的指令》（Directive（EU）2016/680），对刑事司法领域个人信息处理规则与保护规则进行专门立法。德国刑事诉讼法则以专编形式对刑事诉讼中个人信息存储使用行为进行规定，包括逾越刑事程序目的将个人信息移作他用、刑事诉讼中个人信息处理规则等内容。〔5〕参见林钰雄：《刑事程序中的个资保护——德国刑事诉讼法第8 编（§§474-499StPO）逐条释义》，《刑事政策与犯罪研究论文集（2019 年）》第22 期，第201 页。以上两种立法方式均明确刑事诉讼中个人信息处理规则，在刑事司法中信息保护路径较为清晰。我国刑事司法领域信息保护制度发展尚处于起步阶段，《个人信息保护法》本身并未排除刑事诉讼领域的适用，但是也没有明确设置适用于刑事诉讼场域的个人信息处理规则与个人信息保护条款。我国刑事诉讼法属于传统型刑事诉讼立法，主要针对物理性诉讼场域进行程序设置，尚未将信息数字技术对刑事程序的挑战予以明确的立法回应，缺乏刑事诉讼中信息保护的专门条款。强化我国刑事诉讼领域个人信息保护制度建设，需要有效衔接刑事诉讼法与个人信息保护法，将个人信息保护制度适度引入刑事诉讼领域，在制度层面回应公安司法机关处理个人信息行为的合法性根据问题，在刑事诉讼场域引入个人信息保护规则，实现公权机关信息处理行为的有效规制。

二、刑事诉讼中个人信息处理行为的合法性依据

无论是何种属性的信息处理者，进行公民个人信息处理均应当具有明确的合法性依据。“个人信息的处理活动，从客观上来说，就是对自然人的个人信息权益的侵入或影响，如果没有合法的根据或者合法的理由，那么，该处理活动就是侵害个人信息权益的不法行为。”〔6〕参见程啸：《个人信息保护法理解与适用》，中国法制出版社2021 年版，第115 页。相较于其他领域的信息处理行为，刑事诉讼中公安司法机关的信息处理行为对公民权利的限制程度高、干预力度大，若无合法根据的限制，则恣意处理公民信息、过度限制公民权利的风险更大。从信息处理角度分析，刑事诉讼是一个收集信息、分析信息、根据信息还原案件事实，并在此基础上适用法律定罪量刑的过程。〔7〕参见裴炜：《刑事诉讼中的个人信息保护探讨——基于公民信息保护整体框架》，《人民检察》2021 年第14 期。公安司法机关处理个人信息的行为包括但不限于收集、存储、修改、使用、加工、传输、提供、公开、删除等形式。部分信息处理行为在刑事诉讼层面具备法律授权，如侦查机关通过法定侦查措施获取信息，此信息收集行为隶属侦查措施，合法性依据明确。但是仍存在大量信息处理行为在刑事诉讼层面缺乏法律依据，在个人信息保护法层面公安司法机关信息处理行为的合法性根据也较为模糊。为规范信息处理行为，有效衔接两法适用，应对此问题予以明确。

（一）刑事诉讼中信息处理的合法性根据不明

《个人信息保护法》第13 条规定了七种信息处理的合法性依据，但能否以此作为国家机关处理个人信息的合法依据尚无定论。国家机关处理个人信息行为与私权主体处理个人信息的行为在处理目的、行为属性、处理方式等方面均存在差异。《个人信息保护法》第33 条至37 条对国家机关处理个人信息作出特别规定，但没有明示国家机关处理个人信息的合法依据是否限于“为履行法定职责或者法定义务所必需”，在未排除第13 条规定的其他六种情形作为合法依据的情况下也没有规定这六种情形在国家机关处理信息的场景中如何启用。学界对于国家机关处理个人信息的合法依据的讨论主要存在“一元说”“叠加说”“多元说”三种观点。“一元说”将履行法定职责作为国家机关处理个人信息唯一的合法依据；“叠加说”以“依法履职+其他合法性依据”作为合法依据；“多元说”则主张国家机关处理信息具有多种合法依据，不限于依法履职这一种，也不以其作为基本前提。依照“多元说”观点，《个人信息保护法》第13 条规定的七种情形原则上均可作为国家机关处理信息的合法依据，但具体适用情形与适用条件仍需立法层面进一步细化规定。〔8〕参见彭錞：《论国家机关处理个人信息的合法性基础》，《比较法研究》2022 年第1 期。我国个人信息保护制度以公私法合体方式构建，制度内容以调整私权主体间的信息处理关系为重点，相较于私权主体处理个人信息的法律规范，公权主体处理信息的规范内容尚不成熟。目前制度规定“具有很强的‘象征性立法’色彩”，〔9〕参见王锡锌：《行政机关处理个人信息活动的合法性分析框架》，《比较法研究》2022 年第3 期。即虽然在立法层面已经关注公权机关处理个人信息存在信息主体权益侵害风险，有必要对处理行为予以法律规制，并以专节对国家机关处理个人信息规则进行规定，但是制度规定并不成熟，难以发挥有效指导实践的作用。对于国家机关处理个人信息的合法依据这一基本问题，理论层面尚存争议，《个人信息保护法》现有规定不足以明确解释。

公安司法机关属于国家机关，原则上刑事诉讼中公安司法机关处理个人信息应当遵守《个人信息保护法》的相关规定，其信息处理行为应当具备合法性依据。结合以上分析，除履行法定职责外，《个人信息保护法》第13 条规定的其他六种合法依据可否适用于公安司法机关信息处理行为并不明确。《个人信息保护法》第34 条具有转授权条款的色彩，如果法律、行政法规对国家机关处理个人信息进行授权，则该机关应当按照其规定的相应权限与程序进行信息处理，法律、行政法规的授权能够为信息处理行为提供补充性的合法依据。〔10〕参见程雷：《刑事诉讼中适用〈个人信息保护法〉相关问题研究》，《现代法学》2023 年第1 期。但是目前《刑事诉讼法》对公安司法机关处理个人信息行为也没有进行明确、充分的授权，《刑事诉讼法》第115 条对公安机关在侦查活动中收集调取信息行为进行授权，但内容过于单薄，无法起到基本授权与初步规范的作用。《公安机关执法细则》第16-02 款对公安机关初步信息分析行为进行授权，但此规定属于公安系统内部规定，法律层级过低，其内容不能作为侦查机关干预措施的授权规定。刑事诉讼中信息分析、信息使用、信息共享等处理行为基本处于没有法律授权的状态，在刑事诉讼法律规范中难以为信息处理行为寻找合法性依据。公安司法机关干预公民基本权利行为的授权通常不能交由司法解释和部门规章来完成，以《刑事诉讼法》进行明确授权是法律保留原则的基本要求，是保障干预行为合法性的基础性条件。目前刑事程序法层面信息处理的合法性依据并不明确，现有规定难以起到充分授权、有效规范信息处理行为的作用。

（二）刑事诉讼中个人信息处理的合法性回应

解决刑事诉讼中公安司法机关处理个人信息行为的合法性问题，宜从刑事诉讼法律规定有效授权与个人信息法律制度适当引入两方面展开。

其一，在刑事诉讼制度中对公安司法机关信息处理行为进行明确授权，通过概括授权与具体授权为信息处理行为提供合法性依据。刑事诉讼实践中公安司法机关处理个人信息的方式繁多，难以一一列举进行具体授权，大量处理行为以一般信息为处理对象，多数初步信息处理行为不涉及公民隐私领域，以概括授权条款的规定方式可以起到对权力进行基本授权与初步规范的作用，即在《刑事诉讼法》中规定：“公安机关、人民检察院以及人民法院在办理刑事案件过程中，可以通过收集、存储、使用、加工、传输、提供、公开、删除等方式处理个人信息。”此概括性条款授权处理信息的对象限于公民一般信息，如果处理公民敏感隐私信息，则不能援引概括授权条款作为权力行使依据，必须以具体授权条款作为法律依据。〔11〕参见王仲羊：《刑事诉讼中个人信息的权利保护》，《中国刑事法杂志》2022 年第3 期。同时，完善公安司法机关处理个人信息的具体授权条款，重点完善侦查机关强制性侦查措施的具体授权条款。近年来，数字信息技术广泛应用于刑事侦查活动，传统侦查措施的授权条款难以为新型信息侦查措施提供法律支持和程序规范，目前侦查领域具体授权条款的数量和规范密度不足，〔12〕参见艾明：《刑事诉讼法中的侦查概括条款》，《法学研究》2017 年第4 期。应适当增加具体授权条款的数量，提升具体授权条款的规范密度，对侦查机关干预个人信息的行为进行有效的程序规制。侦查机关处理个人信息的具体授权条款应当依据权力干预行为的强度进行层级化设置，具体授权条款应当对权力行使的主体、目的、对象、方式、程序等方面作出明确规定，在适用条件、适用对象、适用程序等方面进行符合比例原则的设置。

其二，在个人信息保护制度中对刑事诉讼中公安司法机关信息处理行为的合法性问题予以回应，将《个人信息保护法》中信息处理行为的合法依据适度引入刑事诉讼领域，全面解决刑事执法、司法机关处理个人信息的合法依据问题。对于国家机关处理个人信息合法依据的论争，“一元说”与“叠加说”均存在文义解释层面的问题，“多元说”在现行立法例中通过解释能够得到支持。〔13〕同前注［8］。《个人信息保护法》第33 条至第37 条对国家机关处理个人信息规则作出特别规定，并未以明示方式排除第13 条所规定的履行法定职责、义务外其他六种合法依据。第33 条规定“本节有特别规定的，适用本节规定”，故未作出特别规定的，则适用一般性规定。第34、35 条对以履行法定职责作为合法依据的国家机关处理信息行为作出遵守法定权限、法定程序以及履行告知义务的规定，未将合法依据限定为仅履行法定职责这一种类型。且参考域外立法例，欧盟《通用数据保护条例》（Regulation（EU）2016/679）、欧盟《关于有权机构在预防、调查、侦查或批捕犯罪嫌疑人或执行刑事处罚中个人保护和有关数据自由流通的指令》（Directive（EU）2016/680）等规定多数采纳“多元说”，即公权处理个人信息存在多种合法根据，不限于履行法定职责。本文认为，国家机关处理个人信息的合法性依据应采纳“多元说”，除履行法定职责外，《个人信息保护法》第13 条规定的其他情形也可作为合法依据。

聚焦于刑事诉讼领域，公安司法机关处理个人信息的合法性依据主要体现为“为履行法定职责或者法定义务所必需”与“取得个人的同意”，即“基于法定许可的处理”与“基于同意的处理”。〔14〕同前注［6］，第115 页。《个人信息保护法》层面国家机关的范围广泛，包括立法、司法、行政、监察等机关，以及依法承担公共管理职能的组织，其中行政机关基于社会管理职责所处理的个人信息类型最为丰富、信息规模最为庞大，制度层面多元的合法基础为执法活动提供依据，以有效应对现实执法中信息处理行为的多样性与处理场景的复杂性。相较于行政执法活动中的信息处理，刑事诉讼中公安司法机关处理个人信息行为的目的类型比较单一，原则上均是履行法定职责、义务所需，即在不同诉讼阶段为实现刑事诉讼惩罚犯罪、保障人权而进行必要的信息收集、使用、公开等处理行为。刑事诉讼中信息处理行为具有较高强制性，对公民个人信息权与隐私权存在不当干预风险，需要在法律明确授权的基础上进行，行政法规、部门规章授权资格不足。所以，刑事诉讼中公安司法机关处理信息行为的主要合法依据是履行法定职责或者法定义务所必需，对公民基本权利形成干预的信息处理行为需要得到法律明确授权，此信息处理行为的合法依据属于“基于法定许可的处理”。判断信息处理行为是否符合履行职责、义务所必需，需要运用比例原则，结合信息处理的具体场景进行判断。“基于同意的处理”同样可作为合法依据适用于刑事诉讼领域，如果信息主体基于自愿、理性判断同意公安司法机关采取必要的措施处理其个人信息，则此信息处理行为具备合法性。权利主体明示同意，适当让渡或放弃权利可以构成公权力运行的正当基础，这一点在搜查制度中可以得到佐证。搜查措施适用过程中，权利人同意搜查措施行使能够转变搜查措施的属性，即若相对人同意侦查机关进行搜查，则侦查措施为任意性措施，无需搜查证即可进行；〔15〕参见宋英辉等：《刑事诉讼原理》，北京大学出版社2014 年版，第188 页。若无相对人同意，侦查机关经批准或依职权进行搜查，则属于适用强制性侦查措施。〔16〕参见孙长永：《侦查程序与人权——比较法考察》，方正出版社2000 年版，第93 页。

三、刑事诉讼中个人信息保护规则的引入适用

《个人信息保护法》中多数个人信息处理规则与刑事诉讼中公安司法机关处理公民个人信息要求相契合，应当在刑事司法领域确立并在实践中加强贯彻，如合法、正当、必要原则，信息质量原则与责任、安全原则。但是刑事诉讼中信息处理行为存在特殊性，个人信息保护规则需要结合刑事诉讼活动的高度强制性与相对封闭性特征进行适当调整，比较典型地体现为限缩适用目的限制原则、公开透明原则以及知情同意规则。同时，还应当适当引入规制信息自动化决策规则以及个人信息保存期限规则，在保障刑事诉讼顺利进行的同时，有效规范公安司法机关信息处理行为，维护信息主体合法权益。

（一）引入合法、正当、必要原则

《个人信息保护法》第5 条规定，处理个人信息应当遵循合法、正当、必要原则，合法、正当、必要三个方面分别评价个人信息处理的形式合法性、目的正当性和手段必要性。〔17〕参见刘权：《论个人信息处理的合法、正当、必要原则》，《法学家》2021 年第5 期。《个人信息保护法》第34 条规定，国家机关处理个人信息应当遵守法定原则与比例原则，这与第5 条合法、正当、必要原则内容相契合。刑事诉讼中公安司法机关和办案人员处理个人信息应当遵守合法、正当、必要这一基本要求，在行使职权干预公民个人信息权利过程中应当严格遵守法定原则与比例原则，在法律明确授权下采取合比例的干预措施。

程序合法性原则与比例原则是刑事诉讼领域重要的原则，在刑事司法领域公安司法机关依职权处理个人信息的场景中，个人信息处理的合法原则与刑事程序合法性原则相对应，要求公安司法机关在具备法律授权的前提下进行信息处理，处理方式、处理时限、具体程序等方面均应遵守法律规定，不得违法处理信息数据。公安司法机关如果违法收集获取、分析使用、存储保留、公示披露个人信息，可能导致其承担程序无效、纪律惩戒等法律后果。个人信息处理的正当、必要原则与比例原则相对应，强调公安司法机关干预个人信息与履行法定职责之间应保持均衡关系，保障公权机关信息处理行为具有目的正当性和手段必要性。刑事诉讼中，公安司法机关处理个人信息在具备形式合法性的前提下，应当通过比例原则的三个子原则对公安司法机关处理个人信息的行为进行衡量，即适当性、必要性、均衡性。刑事诉讼中公权机关干预个人信息的行为存在侵害公民隐私权等基本权利的风险，故而处理个人信息必须恪守必要限度，降低信息干预行为对公民正常生活的影响，避免对公民个人信息权、隐私权形成过度干预进而造成权利侵害。

（二）引入信息质量原则与责任、安全原则

刑事诉讼中公权机关处理个人信息应当坚持信息质量原则与责任、安全原则，保证刑事执法、司法活动中数据的准确性、完整性、安全性，公安司法机关对其信息处理行为负有责任，应当保障信息数据的安全性，并承担因其不当处理行为造成损害结果所引发的法律责任。

《个人信息保护法》第8 条规定，处理个人信息应当保证个人信息的质量。信息处理者通过采取对比、整合等信息处理行为可以在一定程度上重建特定信息主体在特定阶段存在的某种特性或状态，如征信机构分析用户各项信息呈现其信贷偿还能力。信息数据的准确与完整程度深刻影响信息处理者对特定信息主体某种特征或状态的重建效果，进而影响重建所产生的法律效果。如果处理的基础信息数据存在错误、遗漏，那么处理后所形成的对信息主体特性、状态的认知也并不准确，在此基础上很大程度上导致所产生的法律效果有失公允。因此信息处理者应当保障信息质量，处理的信息数据必须是完整且准确的。〔18〕同前注［6］，第97 页。信息质量原则也称为信息准确性原则，要求信息处理者在处理个人信息过程中应保证个人信息的准确性和完整性，一方面通过采取积极措施检查核验其所处理的信息质量，保障信息的准确与完整，另一方面保障信息主体行使访问查询、更正修改等权利，对不准确、不完整的信息进行修正。刑事诉讼中公安司法机关和办案人员处理个人信息应当坚守信息质量原则，保证所处理的信息的准确性与完整性。在刑事诉讼中，信息数据的质量问题不仅影响特定信息主体的信息权益，还影响案件实体问题认定和程序发展走向。刑事司法容错性很低，任何执法、司法活动中存在错误信息均可能影响刑事案件审理，诱发程序错误或实体错误风险。在刑事诉讼程序这一信息处理场景中，信息数据存在质量问题会对刑事司法公正性造成沉重打击。〔19〕同前注［4］。作为刑事证据的信息如果不准确，有瑕疵甚至有错误的证据进入刑事诉讼程序，案件证据可能无法形成完整证据链甚至形成错误的证据链，会严重阻碍刑事司法机关对犯罪行为的打击与控制，甚至造成冤假错案。刑事诉讼中，公安司法机关处理个人信息要保持数据准确且完整，通过自我监督核查与信息主体查询异议两个途径对所控制、处理的信息进行检查，保证信息质量，对不准确、不完整的信息进行修正、补充、更新。

《个人信息保护法》第9 条规定个人信息处理的责任、安全原则，明确信息处理者对其信息处理活动负有责任，应保障信息数据的安全，并承担其不当处理行为造成损害结果所引发的法律责任。信息处理者是信息处理活动的首要责任主体，在刑事诉讼中，公安司法机关作为最核心的信息处理者，应当对其信息处理行为负责，综合考量信息处理目的、对象、范围、方式以及可能存在的权利侵害风险与数据安全风险，采取合法、正当、必要的信息处理措施。如果公安司法机关违法处理公民个人信息，需要承担相应的法律责任。信息安全原则也称为保密原则，要求信息处理者采取必要措施保障信息安全。刑事诉讼程序存在较高程度的封闭性和秘密性，刑事程序中的信息数据对安全性要求很高，公安司法机关在信息处理过程中，应当采取必要的信息安全保障措施，依具体场景中信息类型与层级差异、信息安全保护标准差异，采取信息加密技术、信息匿名处理技术等措施，防止信息损毁、丢失、泄露。随着区块链取证在刑事案件中的广泛应用，公安司法机关处理信息的安全性越发提升，相较于传统的以光盘作为载体存储运输证据材料方式，运用区块链技术进行数据加密更为安全。

（三）限缩适用目的限制原则

目的限制原则贯穿于个人信息处理活动始终，〔20〕参见程啸：《论我国个人信息保护法的基本原则》，《国家检察官学院学报》2021 年第5 期。理论界将目的限制原则称为个人信息保护法上的“帝王条款”。〔21〕参见李慧宗：《个人资料保护法上的帝王条款——目的拘束原则》，《法令月刊》2013 年第1 期。《个人信息保护法》第6 条规定目的限制原则，即个人信息的收集和利用均应限于最初确立的目的，且该目的应当是明确、合理的，信息处理活动应当始终与该目的保持一致，并以公平合理的处理方式进行。但是目的限制原则难以直接应用于刑事诉讼中，目前公安司法机关存在大量超越信息收集目的的信息处理行为，严格意义上与个人信息保护的目的限制原则存在冲突。刑事诉讼中超越信息收集初始目的进行使用个人信息主要涉及四种特殊场景：一是网络信息服务业者等第三方主体将基于经营目的收集个人信息提供给公安司法机关用于刑事程序中使用；二是行政机关为一般执法活动收集的个人信息进入刑事程序中使用；三是侦查机关为特定犯罪收集的个人信息用于犯罪预防或行政执法目的使用；四是本案中收集的个人信息用于他案刑事程序使用。〔22〕参见裴炜：《个人信息保护法与刑事司法的分离与融合》，《中国政法大学学报》2020 年第5 期。目的限制原则要求个人信息处理具有特定、明确的目的，处理行为原则上不得超越处理的初始目的，刑事诉讼中超越信息处理初始目的用作其他目的进行处理的行为，从信息保护层面看存在违反原则问题。但是刑事程序中信息使用行为很难严格按照个人信息保护法中目的限制原则进行。一方面，刑事程序中公权机关信息使用行为的正当性源于刑事程序法授权，公权机关基于履行法定义务而采取特定信息处理行为，不同于私法领域信息处理行为的正当性多以信息主体知情同意支撑。故而，公安司法机关变更目的进行信息处理在正当性层面能够自洽。另一方面，基于刑事诉讼惩罚犯罪这一目的实现，以及刑事诉讼效率的紧迫要求，刑事程序中超越信息处理初始目的进行使用，具有必要性与合理性。且刑事侦查活动有时具有一定的随机性与尝试性，在案件调查过程中存在应用信息对比、信息碰撞等分析方式“撞”出可能存在的线索的情况，或者在大数据技术分析辅助下发现传统侦查方式难以发现的异常节点数据，为进一步侦查提供帮助。这种情况下信息处理行为的目的可能与《个人信息保护法》中要求的严格的目的限制原则存在差距。〔23〕同前注［4］。

需要注意的是，这也并不意味着在刑事诉讼领域个人信息处理的目的限制原则被排除适用，此原则对于规范公安司法机关信息处理行为与强化刑事诉讼中个人信息保护意义重大。刑事诉讼领域公安司法机关处理个人信息应当遵守目的限制原则，即基于刑事诉讼目的处理个人信息，将处理行为的影响范围、影响程度尽可能限于可以实现处理目的的最小范围、最低程度，不得过度处理信息。鉴于目的限制原则难以严格、完整地导入刑事诉讼场景中，需要对个人信息处理的目的限制原则进行适度限缩后导入刑事诉讼程序，以规范公安司法机关信息处理行为，避免过度处理公民个人信息、侵犯公民权利。其一，刑事诉讼中公安司法机关处理个人信息应当符合刑事诉讼目的，即基于惩罚犯罪、保障人权目的启动信息处理程序，不得基于行政执法目的或常态性维稳目的启动刑事诉讼中信息干预行为。刑事诉讼中公权机关的信息处理行为应当符合所在诉讼阶段的诉讼任务与目的，不得超出诉讼阶段任务的需要进行过度处理。如侦查阶段公安机关所采取的信息处理行为仅服务于侦查阶段调查案件事实、收集获取证据的任务，且此信息处理行为应当与其办理的具体、特定案件相关。其二，刑事诉讼中公安司法机关处理个人信息的目的应当是明确的，能够以明示、清晰的方式呈现，且有具体的限定范围，不能是隐匿的、含混的、毫无限制的。以侦查机关处理信息为例，侦查机关启动信息收集程序或信息分析程序应当具有明确、具体的目的，比如通过发动信息收集行为能够获取证据，或者通过运用数据分析措施能够帮助确定犯罪嫌疑人。不得在缺乏明确目的的情况下，滥用数据处理技术进行信息数据概括性获取与掠夺式拷贝，大规模、海量级处理公民个人信息。其三，刑事诉讼中公安司法机关处理个人信息的目的应当是合理且必要的，将信息处理范围限制为可实现信息处理目的的最小范围。具体而言，公安司法机关所欲采取的信息处理措施应当与实现信息处理目的直接相关，若缺失此信息则处理目的可能无法实现；在多种可达信息处理目的的方式中，信息处理者应尽可能减少处理个人信息的体量与次数，处理个人信息的频率应是实现处理的目的的最小化频率，间接获取的个人信息应当是所必需的最小数量，尽可能地降低对信息主体信息利益的干预。

（四）限缩适用公开透明原则与知情同意规则

我国《个人信息保护法》第7 条规定，处理个人信息应当遵循公开透明原则，第14 条至第17 条规定个人信息处理的知情同意规则。根据公开透明原则与知情同意规则要求，信息处理者处理个人信息应当告知信息主体以下内容：信息处理者或其他参与处理活动主体的身份；处理个人信息的目的；其他必要的信息，包括信息的接受者或接受者类别、收集信息时要求回答的问题是自愿还是强制以及未能回答问题的可能后果、信息主体对其本人信息享有访问和修改的权利。〔24〕参见个人信息保护课题组：《个人信息保护国际比较研究》，中国金融出版社2021 年版，第34 页。《个人信息保护法》设置信息处理公开透明原则与知情同意规则目的在于保障信息主体权益，使其免遭信息不当处理。刑事司法活动的高度强制性、适度封闭性与公开透明原则、知情同意规则所要求的信息处理活动的公开性、自愿性存在一定程度的冲突，目前刑事诉讼中个人信息处理难以完全适用公开透明原则与知情同意规则。

刑事诉讼中公开透明原则与知情同意规则难以适用主要有以下原因：其一，刑事诉讼具有一定的封闭性和秘密性，刑事诉讼中的公权机关，特别是侦查机关，公开其信息处理活动存在阻碍侦查、无法实现控制犯罪目的的风险和可能。〔25〕参见郑曦：《刑事诉讼个人信息保护论纲》，《当代法学》2021 年第2 期。为避免出现犯罪嫌疑人、被告人逃匿、毁灭证据等阻碍诉讼进行的情况，侦查活动秉持不公开原则，不得披露侦查活动的内容，对犯罪嫌疑人、被告人的知情权进行较大程度的限制。侦查机关采取的限制公民人身自由的强制措施，搜查、扣押、冻结等限制财产权的侦查措施以及技术侦查等干预隐私权、个人信息权的措施在程序启动与运行过程中具有不同程度的秘密性，存在延迟告知甚至不告知被追诉方的现实操作。其二，刑事诉讼中公安司法机关处理公民个人信息行为的合法性主要源于履行法定职责义务，而非信息主体知情同意。刑事诉讼中公安司法机关依职权启动的干预措施具有高度强制性，为实现追诉犯罪、维护安全的目的，对被追诉人的权利进行适度限制。这种权利限制是适度限制，并非完全剥夺，但并不以被限制的相对人的意志为转移。若以信息主体知情同意作为信息处理条件，大量犯罪嫌疑人、被告人为阻止侦查措施启动，必然不同意对其信息进行收集、分析、使用，如此则侦查活动难以进行。其三，刑事证据具有稀缺性和不可替代性，具有刑事证据作用的信息数据如果以信息主体知情同意作为收集使用条件，则会造成刑事取证难度过大、成本过高，在有限的时间内难以实现必要的证据收集调取，可能造成案件无法侦破，阻碍实体正义实现。〔26〕参见卫跃宁、赵晨怡：《论个人信息的刑事法律保护——以告知同意原则的合理引入为视角》，《福建警察学院学报》2022 年第6 期。

在刑事诉讼中，尤其侦查阶段，大量、密集的信息处理行为虽并非全部、绝对秘密进行，但是按照个人信息保护所要求的信息处理完全公开透明也并不可能。牺牲刑事诉讼惩罚犯罪目的实现全面绝对的个人信息保护，既无正当性也无必要性。个人信息处理的公开透明原则与知情同意规则不能完全配适于刑事诉讼过程，但是并不意味着此原则排除刑事司法领域适用。公开透明原则依然是规范公权力机关信息处理行为的重要指导原则，公民的知情同意权依然是个人信息权利束中重要的基础性权利，对于公民行使更正删除等权利具有重要意义，应当予以较高程度保护。刑事诉讼中信息处理行为的不公开有其范围与限度，并非全部、绝对不公开。故而，应当对公开透明原则与知情同意规则进行适度调适，结合刑事诉讼信息处理场景的特殊性进行限缩适用。

《个人信息保护法》对国家机关在处理个人信息的知情同意原则进行限缩，为国家机关处理信息的告知义务设置法定例外和酌定例外的情形。法定例外强调的是法律、行政法规明确要求的保密或免除告知义务；酌定例外主要涉及两种情形：其一是第18 条第2 款规定的紧急情况；其二是第35 条规定的妨碍履行法定职责的情况。〔27〕同前注［3］。在刑事诉讼领域，应当结合公安司法机关处理的个人信息类型、处理方式、涉及具体阶段、干预的价值利益等因素差异，设置知情同意规则及其例外条款。在限缩适用知情同意规则时，应当“遵循法益优位原则”，〔28〕同前注［26］。在刑事诉讼个案中衡量限制公民个人信息权利与所欲达到利益维护之间的比例关系，当干预措施能够实现更重要的法益时，信息主体对公安司法机关的干预行为负有容忍义务，其知情同意权被适度限制，知情同意规则被限缩适用。对于公安司法机关处理个人信息过程中应当履行告知义务的情形以及义务限缩或免除的情形，均应当在《刑事诉讼法》中明确规定，不得以模糊性、概括性方式规定，在实践中压缩信息主体知情权行使的现实空间。在刑事诉讼制度中，应当进行“告知、延后告知、不告知”的阶层化制度设计，以清晰且具体的方式规定延后告知与不告知的适用情形，以有效规范公安司法机关干预公民知情权的行为，要求信息干预行为保持在适当、必要的限度之内。〔29〕参见裴炜、张桂贤：《论刑事诉讼中个人信息保护的知情规则》，《成都理工大学学报》（社会科学版）2022年第4 期。

除非涉及国家秘密和危及国家安全等特殊因素，原则上，公安司法机关履行告知义务只能延后不能免除。告知内容可分为内容告知和行为告知，内容告知包括告知信息处理者基本信息、处理个人信息的目的、方式以及留存期限、所依据的法律规定以及诉讼主体享有的权利救济途径等内容；行为告知则仅告知信息主体发生信息处理行为这一情况。目前我国刑事诉讼制度中存在保障诉讼主体知情权的内容，但是保护范围较窄，未形成全面系统保护。根据刑事诉讼不同阶段、不同场景存在信息告知时间与告知内容的差异，未来宜构建“告知—延迟告知—不告知”的信息主体知情权保障体系。〔30〕同前注［22］。其一，告知包括概括告知与特定告知两种情况，概括告知是向不特定范围的公民主体告知，以公告、公示等方式进行。特定告知是对特定公民主体进行内容告知或行为告知，主要告知对象为被告人等诉讼参与人以及利害关系人。在涉及需告知对象人数众多、难以逐个告知的案件中，可以通过概括告知实现信息主体知情权保障，概括告知包括特定时间向社会公示、公安司法机关进行信息披露等方式。〔31〕参见陈刚：《解释与规制：程序法定主义下的大数据侦查》，《法学杂志》2020 年第12 期。其二，延迟告知主要针对侦查程序中如果存在法定有碍侦查事由，则采取延迟告知方式，以便事后被追诉人等能够请求权利救济。其三，不告知主要针对刑事诉讼程序中没有必要进行告知以及告知会严重影响刑事诉讼活动正常进行的信息，不允许案件办案主体以外的人知情。〔32〕同前注［11］。

（五）引入规制信息自动化决策规则

《个人信息保护法》第24 条对信息处理者利用信息进行自动化决策作出规定，规范自动化决策行为，要求信息处理者履行解释说明义务，必要情况下不得进行自动化决策，以保护信息主体权益免受自动化决策的危害。刑事诉讼领域也存在公安司法机关应用信息系统自动化决策的情况，如公安机关利用大数据技术进行犯罪预测，法院系统开发智能系统辅助审判等。目前我国刑事司法实践中将应用信息自动化决策作为办案辅助工具，但是自动化决策依然对公安司法人员的现实决策产生重要影响。相较于民商事领域自动化决策引发的不公正待遇，刑事诉讼中不当应用信息自动化决策引发的差异化对待信息主体造成的后果更为严重。以人工智能系统应用于刑事审判活动为例，算法作为人工智能的驱动引擎，其偏见与隐蔽可能增加司法决策不公的风险。一方面，目前司法数据的数量和质量尚未达到海量优质的标准，基于不完整不优质的数据基础进行分析训练恐难以准确提炼、分析总结司法决策规律。在机器学习过程中，算法工程师、供应商甚至是法院也难免有意或无意地植入价值偏见，故而种族、性别、地域、职业等方面偏见影响算法设计，增添司法决策不公平、不正义的风险。美国卢米斯诉威斯康辛州案中量刑辅助工具COMPAS 是否存在算法歧视就饱受争议，智能系统多大程度上影响法官裁判尚未可知，这些不可知性为司法决策的公平正义埋下公信隐患。〔33〕参见卞建林：《人工智能时代我国刑事诉讼制度的机遇与挑战》，《江淮论坛》2020 年第4 期。另一方面，智能系统的分析、决策过程缺乏可交互性和学习结果不可预知性，信息主体无法看到程序运行的具体过程。因商业秘密保护的需要，科技公司不对外公布智能办案系统源代码，算法内在工作机制并不透明。缘何大数据学习的结果形成此种模型而非彼种难以解释，不接受质询、不提供解释和相对人救济。算法的不透明和难以阐释性与司法裁判的公开透明、注重阐释说理相悖，“算法黑箱使得司法决策系统进行裁判时的说理和论证变得无法审阅”。〔34〕参见周尚君、伍茜：《人工智能司法决策的可能与限度》，《华东政法大学学报》2019 年第1 期。

刑事诉讼中并没有对公安司法机关应用信息自动化决策进行规制，《个人信息保护法》规范信息处理者自动化决策的规则尚未引入，公民个人信息权利规范也未引入，信息主体无法行使解释说明权，要求信息处理者对其算法进行释明或者直接拒绝信息处理者对其信息进行自动化处理。这在刑事诉讼中会加剧控辩之间的信息不对称、资源不对等的问题。在数字刑事司法的现实生态中，国家居于数据垄断地位，权力机关之间以提升社会管理职能为目的进行信息收集，逐步强化数据仓库建设、联机分析以及数据挖掘，实现数据信息共享。如上海刑事案件智能辅助办案系统连通公检法三机关的办案平台，实行办案数据开放共享，这一系统研发之初就将辩护方剥离于司法智能系统，未对辩方数据进行有效收集录入。在信息获取层面，辩方难以获得与国家机关相同的权限和资源。在信息使用层面，公安司法机关具有持续性的数据技术优势，且目前没有被要求向辩方说明是否应用信息系统辅助决策，更无从谈及解释说明算法应用的原理、依据，算法黑箱导致辩方难以对信息自动决策的合理性进行质疑，辩方难以实现有效辩护，控辩双方能力的失衡会动摇公正审判的结构稳定性，损害被追诉人权利。

在刑事诉讼中有必要适当引入《个人信息保护法》第24 条规定的信息自动化决策规则，对公安司法机关利用个人信息进行自动化决策的行为进行规制。这一规定在刑事诉讼领域具有两方面规范效力：其一，在刑事诉讼中，如果公安司法机关利用个人信息进行自动化决策，并将决策结果用作采取干预公民权利措施的依据或参考因素，作为信息处理者的公权机关负有解释说明义务。当信息主体要求信息处理者公开其信息自动化决策所应用的算法，并予以明确解释时，信息处理者应当履行解释说明义务。〔35〕同前注［10］。这一规范效力与信息主体享有的解释说明权能够有效衔接，保障信息主体在刑事诉讼中对自动化决策的知情权，在有效理解算法运行、决策产生原理的基础上，进一步行使刑事程序中享有的其他诉讼权利。其二，明确要求公安司法机关不能仅以自动化处理结果作为其采取决策的依据。在数字信息技术与刑事诉讼程序深入融合的现实背景下，欲完全剥离自动化决策所产生的影响几无可能。但是在刑事司法活动中，任何智能技术都不能取代自然人的判断，应当坚持公安司法机关办案人员自主决策，可以参考利用信息自动化处理形成的结果，但是不能被自动化结果“绑架”，最终决策必须由自然人作出，并对其负责。

（六）引入个人信息保存期限规则

我国《个人信息保护法》第19 条对个人信息保存期限进行概括性规定：除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。制度层面设置个人信息保存期限规则目的在于通过限制信息处理时间规范信息处理行为，保护公民个人信息权益。信息处理者不能基于一次信息收集行为获得永久性处理公民信息的权限，在其初始信息处理目的达成后，应当对信息进行删除销毁，不得永久保存以备后用。信息处理者长时间、持续性地保存公民信息存在不当干预公民信息权益的可能，也会提高信息存储成本以及信息泄露风险，所以信息保存的期限应当尽可能缩短。目前刑事诉讼中没有明确适用公民个人信息保存期限规则，《刑事诉讼法》第152 条要求及时销毁采取技术侦查措施获取的与案件无关的材料，与信息保存期限制度存在一定程度的契合。但是“及时销毁”仅限于技术侦查措施，公安司法机关其他信息处理措施并未受其限制，且“及时销毁”表述笼统，难以作为明确的信息保存期限规则规范公安司法机关信息保存行为，督促公权机关及时删除保存的公民信息。刑事诉讼中大量信息留存于公安司法机关的纸质材料、数据库/集，有些信息被永久留存，有些信息在系统更新、数据更新过程中被删除。一方面，刑事诉讼程序结束，大量信息已无留存必要，长期保存会增大信息存储成本，且存在信息泄露损害信息主体权益的风险。另一方面，刑事诉讼中信息主体本身存在与刑事案件“脱钩”的诉求，但是刑事诉讼制度层面没有设置信息保存期限，也缺乏直接行使信息删除权的机制。与案件已无关联的公民个人信息长期留存于刑事司法数据库中使信息主体难以摆脱刑事诉讼的影响，隐私权、个人信息权难以恢复到不受干预的状态。

《个人信息保护法》第19 条设置的个人信息保存期限规则与个人信息保护的目的限制原则要求一致，个人信息处理应采取对个人权益影响最小的方式，个人信息的保存期限也应限制为可达处理目的所必要的最短时间，一旦超过保存期限，原则上应当删除此信息。〔36〕同前注［6］，第189 页。刑事诉讼领域应当引入个人信息保存期限规则，以消解公权机关以一次信息收集行为附带产生永久留存信息以备使用的不合比例的结果。刑事诉讼中个人信息留存的期限设置应当区分使用的信息类型、信息主体类型、使用信息的目的等因素，进行差异化、合比例的使用期限设计。具体而言：其一，对一般信息与敏感隐私信息设置不同的留存期限，原则上敏感隐私信息留存期限应当短于一般信息的留存期限，超过信息保存期限，信息控制主体应当主动删除。其二，对被追诉人以及其他诉讼参与人的信息设置不同的留存期限，原则上被追诉人的信息留存期限最长，但是如果刑事程序以撤销案件、不起诉、作出无罪裁判终结，犯罪嫌疑人、被告人的信息应当及时删除，不能将其与已定罪人信息等同处理，长期留存使用。证人、被害人等诉讼参与人的信息留存期限也应当设置较短的期限，如果基于预防犯罪、强化管理等使用目的留存使用信息可以采取去标识化处理后留存使用。其三，基于特定目的、特定事由，公安司法机关可以延长刑事诉讼中个人信息留存使用期限，如重大犯罪案件中信息留存使用期限可延长，但是延长时间应当明确限定，不得以多次延长的方式实质性地永久留存使用公民个人信息。

结语

在刑事诉讼信息数字化改革过程中，公安司法机关通过广泛且深度的公权力行为干预公民个人权益以进行犯罪治理与防控，刑事诉讼中个人信息保护问题因数字信息技术与刑事诉讼程序的高度融合变得越发突出，成为新时代刑事诉讼领域的重要议题。我国刑事诉讼规范中信息保护内容生成于传统的、物理性质的社会环境，而非数字化、信息化环境，对数字技术带来的冲击尚未进行有效制度反应，应对个人信息保护的要求尚显不足。目前围绕刑事诉讼中个人信息保护的研究聚焦于是否应当将个人信息权作为新型权利导入刑事诉讼，以及如何规制信息侦查措施避免过度干预公民个人信息权，但对于《个人信息保护法》中现有制度如何在刑事诉讼中适用缺乏足够的研究。《个人信息保护法》未将刑事司法领域排除适用，强化刑事诉讼领域个人信息保护必然面临的是此领域如何适用个人信息保护法层面确立的规则。本文对刑事诉讼中引入适用个人信息处理规则进行初步探讨，但依然存在较大研究缺口，如未成年人个人信息处理规则在刑事诉讼中如何引入，个人信息跨境提供的规则在刑事取证中如何适用等，为保障刑事诉讼法与个人信息保护法顺利衔接适用，发挥个人信息保护制度在刑事司法领域的应有价值，这些问题均有待于进一步研究和探讨。