引言:个人信息保护法兴起的社会与科技背景

        随着社会与科技的发展，传统的零散保护模式不再能满足公民对保护个人信息安全的要求，从而导致了20 世纪70 年代全球大规模个人信息保护立法运动的出现。如果说零星规范属于实质意义上的个人信息保护法规范，那么作为部门法意义上的个人信息保护法之勃兴发端于形式意义上的个人信息保护法的出现。全球第一部以“资料保护法”命名的法律是1970 年的德国《黑森州资料保护法》。虽然该法只是州层面的立法，但却由于其“全球第一”的地位广受关注。在该法实施之后的短短数年内，各国掀起了制定个人信息保护法的热潮。例如，瑞典于1973 年通过了《资料法》，奥地利于1978 年通过了《联邦资料保护法》。至1977 年，德国联邦政府颁布了《联邦资料保护法》，将联邦层面的个人信息保护问题进行了统一规范。 

        各国立法者为何选择了几乎相同的时间，竞相颁布个人信息保护方面的立法呢? 这一现象可以从社会需求与科技发展两个角度进行分析。从社会需求的角度看，20 世纪70 年代的欧美，正处在第二次世界大战阴影已经散去的时期，国家作为战争机器的角色逐渐被国家的福利职责所取代。无论是教育系统的建设，保障系统的完善，基础设施的改进还是居民社区的规划，都要求国家更细致地搜集公民的个人信息，从而更富效率地肩负起作为管理者和福利提供者的任务。从科技发展的角度来分析，自动化信息处理技术的发展，也助长了国家收集、储存、处理和利用信息的主动性，并提高了信息行为①的效率。以上两项因素的叠加，导致了公民个人信息大量被采集的社会现实。而20 世纪70 年代，恰巧是公民意识高涨的年代。无论是有过二战经历的老一辈公民，还是二战后成长起来的新一代公民，都敏感地意识到了国家掌握个人信息的潜在危险。这种对生活在“老大哥”( big brother) 监视之下的恐惧之心，促成了立法者关注国家以福利为理由采集、处理公民个人信息的行为。正是在这样的时代背景之下，最初的个人信息保护立法几乎都是以规范国家行为作为立法宗旨的。 

        我国现阶段虽然还不具备系统的个人信息保护立法，但社会需求和立法者的态度都表明: 制定系统的个人信息保护立法是我国下阶段立法任务的重要组成部分。为便于我国将来的立法吸收他国成果，有必要以史为鉴，探求在个人信息立法方面有着丰富经验的他国的相关法律制度变迁过程。当然，欧美的个人信息保护立法，甚至不同欧洲成员国的个人信息保护立法，相互之间是存在显著差异。想在一篇文章中分析每个国家的经验和历史，则必须牺牲背景资料的翔实性和分析的深入性。故本文的策略是: 确定一国经验作为研究对象，选取特定视角开展分析。在个人信息保护法领域，德国先后扮演了先驱、研究者和异议者的角色。作为先驱，在德国的土地上出现过第一部以“资料保护法①”命名的法典。作为研究者，德国学术界就个人信息保护问题进行的研究汗牛充栋。作为异议者，德国至今仍保持区别对待公权力机关和市场主体的信息行为的立法模式，从而有别于欧盟1995 年《资料保护指令》对公私领域信息行为一视同仁的做法，结果遭遇了欧盟2000 年对其提起的《资料保护指令》转化不力的诉讼。鉴于德国在个人信息保护立法方面的典型性，本文主要以德国个人信息保护立法的发展进程为出发点，力图勾勒其发展轨迹，尤其是对待公、私领域信息行为的态度变迁，希望能从公、私一体还是公、私分立的角度探悉各种个人信息保护立法模式的利弊。

一、1977 年《联邦资料保护法》 

        如前所述，和其他欧洲国家一样，德国于20 世纪70 年代制定个人信息保护法的主要动因在于试图控制国家对公民个人信息的处理。与之相关联的一个问题是: 非国家机关采取的信息行为是否也应当受到个人信息保护法的规范呢? 当时在德国学界存在不同的学说。根据这些学说对个人信息保护法是否、以及应当在何种程度上调整私人领域信息行为看法的分歧，可以将其分为四类: 

        我们不妨将第一种观点称为“法典公法属性说”。该说认为，只有国家机关采取的信息行为才会对公民造成现实的危害，非国家机关的信息行为只是其经济活动的一部分，对公民不存在消极影响。相应地，立法无须对非国家机关的信息行为进行规范。个人信息保护法的目的应当局限于规范国家机关的信息行为，调整的社会关系是行政主体与行政相对人间的关系。时至当时为止，并没有出现过私人企业严重侵犯公民私生活领域的事件。况且，由于国家机关间存在信息共享的需求，因此国家有可能建立中央化的庞大个人信息数据库。而私人企业间的竞争关系决定了企业间没有信息共享的动力，因而不会出现对公民隐私权危害巨大的联合个人信息库。〔1〕这是最极端限定个人信息保护法范围的一种学说。该派学者受工业界影响较大，认为根本无须通过立法对非国家机关的信息行为进行规制。其目的明显在于排除或尽量推迟立法对企业处理消费者个人信息行为的干预。〔2〕 

        上述第一种学说并未得到大多数德国学者的赞同。大部分学者认为: 无论是国家机关还是非国家机关，其信息行为都存在威胁公民权利的可能性②。因此，个人信息保护法的调整对象应该既包括国家机关的信息行为，也包括非国家机关的信息行为。不过，在如何处理这两类调整对象的关系上，学者们又因观点不同细分为“侧重非国家机关信息行为说”、“统一调控说”与“分别立法说”。 

        第二种学说，即“侧重非国家机关信息行为说”，是与上述第一种学说截然相反的学说。〔3〕持这种学说的学者认为，尽管截至当时(20 世纪70 年代) 为止，私人企业侵犯公民个人信息的现象尚未引起公众关注，但这并非由于非国家机关滥用个人信息的现象不严重，而是根源于消费者缺乏知情权，对自己的信息被经营者滥用的情形尚不了解。其实，企业掌握消费者个人信息的程度甚至可能超过了政府掌握公民个人信息的程度。伴随信息自动化处理技术日新月异的发展，完全可以想象，如果对这些非国家机关设立的个人信息数据库不予规范，任其发展，其对个人信息的侵蚀不容忽视，甚至可能超过国家机关的信息行为带来的负面效应。所以，个人信息保护法不仅必须将非国家机关的个人信息处理行为纳入调整范围，而且必须将其作为调整重点。事实证明，该派学者对事实的猜测是正确的。在《联邦资料保护法》的立法过程中，非国家机关建立的大规模个人信息数据库陆续被曝光并引起广泛关注。但是，该派学者主张对将个人信息保护法的调整重点放在非国家机关处理个人信息行为上的观点，并没有被立法者采纳。 

        第三种学说可被称为“统一调控说”。该派学者认为，无论是国家机关还是非国家机关，都在收集、处理、储存和利用个人信息。而且，两种主体的行为都对信息来源主体造成了影响。所以，将非国家机关的信息行为排除于个人信息保护法之外的观点是错误的。一部完整而有效的个人信息保护法，必须将公、私领域的个人信息处理行为都纳入调整对象。就此而言，该派学者和持第二种观点的学者并无二致。区别在于，该派学者认为，公、私领域的信息行为应当受到统一调整。立法者的任务应当是抽象出个人信息保护法的原则，并将原则通过法条体现出来。这些原则和法条既适用于公法领域的个人信息处理行为，也适用于企业对消费者的个人信息处理行为。这一观点得到了很多个人信息保护法学界最具影响力的人物的支持，并因此成为了欧共体1995 年制订的《资料保护指令》( Directive 95 /46 /EC on the protection of individuals with regard to the processing of personal data and on the free movement of such data) 选择的模式①。 

        第四种观点是“分别立法说”。该派学者一方面同意“侧重非国家机关行为说”和“统一调控说”的看法，即无论公法领域还是私法领域的个人信息处理行为都应当受到调整，从而避免作为个人信息自决权在某一领域被置于危险境地。但该说认为，不能因为公、私领域都存在保护需求，就忽视公、私领域个人信息处理行为的个性化差异。而且，并无有力的论据表明个人信息在私法领域受到了比公法领域更大的威胁，也没有充分的理由说明为何对私法领域的调控应当比对公法领域的调控更加严格。最好的办法是: 具体问题具体分析。为了避免一刀切式的统一立法对经济领域的过度干预，应当对公、私领域的信息行为分别进行立法。立法者无须先入为主地预设一个领域的保护水平必须高于另一领域，而是应当根据两个领域的不同特点，在不同问题上做出不同规定。持这种观点的主要是持自由经济主义观点的学者。 

        上述四种观点中的第一种观点，即将个人信息保护法的调整对象局限于国家行为的观点，从一开始就受到了德国立法者的明确反对。〔4〕事实上，上个世纪70 年代的德国经济领域已经存在为数不少，规模不小的个人信息数据库。〔5〕这些数据库主要集中于两个领域: 一是用人单位建立的劳动者个人信息数据库，二是征信机构设立的消费者个人信用数据库。其中用人单位运用各种各样的个人信息系统，其目的不仅在于采集员工信息，计算薪酬，同时还在于监督员工的工作态度和工作绩效，采用档案系统对员工的能力进行比较，从而达到对“人力资源和智力资源”的优化利用。〔6〕征信领域的个人信息处理程度也日益提高。以德国最大的征信机构，即“信用安全保护协会②”为例，截至1974 年为止，该协会已经搜集了2200 万人的个人信息，并在该年度提供了超过1700万次个人信用信息查询。〔7〕 

        主流观点反对将个人信息保护法的调整范围局限于国家行为，除了基于对上述社会事实的担忧，还根源于德国法学理论界宪法③理念的转变。很长一段时间内，起着宪法作用的基本法被认为是个人用以排除公权力侵入私生活的防御性武器。而随着国家角色从令人生畏的“老大哥”向提供福利的“守夜人”的转变，宪法的意义也逐渐发生了变化。宪法提供给公民的基本权利不再局限于排除国家的不当侵扰，还意味着享受由国家负责保障的正当秩序。宪法的基本功能发生了从防御性到保护性的延展。所谓宪法的防御性功能，是指宪法赋予私人保障个人空间免受公权力入侵的权利; 所谓宪法的保护性功能，是指如果个别民事主体的权利受到了其他民事主体的不当侵害，则国家必须挺身而出，承担起维持民事主体间公平秩序的职责。宪法功能的这一发展，可谓是从单一性功能到双重性功能的发展，即既要保护公民免受来自国家的侵扰，同时也要保护他们免受来自其他平等主体的侵犯。宪法功能的这一拓展影响到了一般人格权的范围。也就是说，当把个人保护自己的信息免受侵犯的权利看做一项一般人格权时，立法者既有义务保障该权利免受来自公权力的威胁，同样也有义务保护该权利不被其他民事主体滥用。〔8〕 

        在上述宪法理论发展的背景下，1977 年的《联邦资料保护法》不仅对国家机关的信息行为进行了规范，而且在同一部法律中对非公有领域的信息行为一并进行了调整。在德国联邦资料保护专员Hans P．Bull 看来，这种统一调控的模式“不过是公民基本权利的具体化”。〔9〕1977 年的德国《联邦资料保护法》对公私领域的信息行为规定了相同的原则: 除非得到信息主体的授权，否则禁止采集他人个人信息。诚然，这一原则有着诸多例外。例如，在信息主体缺乏意思表示能力时，或者信息处理者的信息处理行为是为了履行其公共职能时，信息行为无须信息主体的授权即具有法律正当性。但例外的存在并不能否认原则的效力，德国通过确认禁止处理个人信息的原则，对公、私领域的信息行为设立了统一的苛刻前提，从而选择了与美国“除非法律明文禁止，否则信息行为合法”截然相反的立法模式。

二、1990 年《联邦资料保护法》 

        ( 一) 动因: 1983 年联邦法院人口普查案判决 

        1977 年，德国制订了首部《联邦资料保护法》。不过，关于个人信息保护的争论并没有随着新法的生效而结束。实际上，新法实施仅数月，执政党和反对党均就修改《联邦资料保护法》提出了看法。〔10〕但在该法实施后的数年内，讨论并未取得实质性进展。直到1983 年德国联邦宪法法院做出在个人信息保护史上具有里程碑意义的人口普查案判决( BverfGE65，1 － Volkszaehlung． ) ，个人信息保护法才重新成为法学家和立法者的讨论重心。 

        需要说明的是，“人口普查案”并非联邦宪法法院就个人信息保护问题做出的第一起判决。实际上，早在1970 年代，宪法法院就在“小型人口普查案”( BverfGE 27，1 ( 7) – Mikrozensus) 中对个人信息保护问题有所论述。但是联邦宪法法院在“小型人口普查案”中仅仅认定，涉及公民私密生活的个人信息应当受到保护，不容来自外界的侵犯。也就是说，“小型人口普查案”所确认的个人信息保护范围并不包括所有与个人信息有关的行为，而是局限于其中的一小部分。而人口普查案涉及的个人信息保护问题更加广泛。该案的审查对象是德国议会于1983 年通过的《人口普查法》。根据该法，新一次人口普查的登记事项扩展到了民族、职业、住址以及就业状况。虽然政府登记这些事项的动机完全合法，即从人口统计学和社会学的角度对公民的分布状况和社区构成进行细致的了解，从而为社会立法和经济立法提供依据，但该法展示的国家全面搜集公民个人信息的意图仍然在民众中引起了强烈反响。在公民权利意识高涨的社会背景之下，批评德国个人信息保护状况堪忧的声音一直存在。随着《人口普查法》的通过，批评意见终于找到了具体的反对对象。各个社会团体对《人口普查法》的质疑越来越强烈，反对之声最后直达德国联邦宪法法院。 

        联邦宪法法院的审理结果是: 一方面确认了人口普查行为本身的合法性，但另一方面对普查涉及的信息行为提出了要求。联邦宪法法院认为，《人口普查法》的不足在于，没有将采集个人信息之目的与使用个人信息之目的区分开来，而这种混淆目的的行为是违宪的。此外，法院认为《人口普查法》中涉及信息行为的程序规范存在缺陷。立法者应当进一步完善信息收集、存储、处理和利用的程序规范。 

        联邦宪法法院关于《人口普查法》的判决之重要性绝不仅限于对《人口普查法》本身的合宪性做出判断。该判决更为深刻的影响在于，联邦宪法法院通过表达对当时个人信息保护状况的担忧，凸显了修改《联邦资料保护法》的必要性，从而推动了个人信息保护法领域的讨论。同时，联邦宪法法院在判决中确认的信息行为应当遵循的基本原则，直到今天仍深刻地影响着个人信息保护法学界与实务界。宪法法院在判决中提及从《德国基本法》第2 条中推导出的“信息自决权( Recht auf informationelle Selbstbestimmung)”，即每个公民原则上都享有自主决定是否提供其个人信息以及如何利用其个人信息的权利。这一概念虽非该判决首创，但却经由该判决取得了广泛的认同和深远的影响。“人口普查案”的判决远远超出了联邦宪法法院之前涉及个人信息保护的判决的局限，将个人信息自决权认定为宪法意义上的基本人权，故而该判决对个人信息保护的影响深远而全面。判决确立的个人信息保护基本原则是: 只要是信息行为，无论由谁采取，形式如何，均应受到法律的制约。考虑到进行信息处理的民事主体具有的强大的经济能力和社会能力，这些非国家机关的信息处理主体给公民信息自决权造成的威胁毫不逊于国家机关的威胁。〔11〕既然联邦宪法法院将个人信息自决权上升为宪法意义上的基本权利，就意味着对这项权利的任何侵蚀或限制都同样必须具备宪法认可的理由。这一认识为《联邦资料保护法》后续的修改奠定了思想基础。 

        ( 二) 结果: 对《联邦资料保护法》的改革 

        在联邦宪法法院判决的影响下，立法者对《联邦资料保护法》进行了修改。 

        在修改过程中，有学者再次将双轨制的保护模式提上讨论日程。他们认为，应当将民事领域的个人信息保护规则从《联邦资料保护法》中抽离出来，单独制定规则。〔12〕其论据为: 公、私领域的信息行为在利益格局上存在质的差别。就公法领域而言，信息处理主体的处理行为乃基于其公共职责，其本身对信息处理行为不享有法律上的利益。即在信息行为的双方关系中，只有一方享有基本法上的权利，另一方则不享有。与此相反，私法领域中的信息主体和信息处理主体均享有法律承认的利益: 即一方面，信息主体享有信息自决权，但另一方面，作为信息处理主体的企业享有经营自由、意思自治、财产不可侵犯等权利。为了避免一刀切的保护模式忽略民事领域信息处理者的合法权益，应当对公、私领域的信息行为分别立法。〔13〕但这种提议并未得到太多的附和。 #p#分页标题#e#

        修改后的《联邦资料保护法》( 以下称“《1990 年联邦资料保护法》”) 维持了对公、私领域信息行为的分别规范。立法者一方面继续将重点放在对国家机关信息行为的规范上，另一方面也加强了对民事领域信息行为的规范，从而在一定意义上缩小了公、私领域信息行为规则间的差距。具体而言，《1990 年联邦资料保护法》对公、私领域的差别待遇主要体现在以下两个方面: 第一是使用范围: 修改后的《联邦资料保护法》不仅规制国家机关针对“资料”进行的行为，而且规范其针对“档案”进行的行为。而在民事领域，个人信息保护法的规制对象局限于非国家机关针对“资料”进行的行为，而不包括其针对“档案”进行的行为。第二是保护原则: 国家机关一切信息行为的所有阶段都受到目的特定原则的约束，而民事领域的信息行为并不一般性地受到此原则的拘束。

三、2001 年《联邦资料保护法》 

        ( 一) 动因: 欧盟《资料保护指令》 

        就在德国颁布新《联邦资料保护法》的1990 年，欧共体委员会也颁布了其第一稿《资料保护指令草案》。最初的草案对公私领域的信息行为分别对待。不过，经过两年的讨论和修改，在欧共体委员会1992年10 月公布的新一稿草案中，欧洲议会要求对公、私领域信息行为进行统一保护的意见占据了上风。如同新一稿草案的理由所阐述的: 无论信息行为发生在什么领域，“都应当受到相同的保护”。 

        1995 年10 月24 日，欧盟《资料保护指令》得以通过。成员国有义务在三年的过渡期内将指令的要求转化为国内法。但是，直到1998 年10 月24 日，德国仍旧维持了严格区分公、私领域信息行为的《1990年联邦资料保护法》，而且将规制的重点放在对国家机关涉及个人信息的行为上。这种做法遭致了欧盟对德国转化指令不力，尤其是对私人领域的信息行为规制不够严格，保护标准过低的指责。2000 年1 月，欧盟针对德国提起了诉讼，诉称德国没能在规定的过渡期内将《资料保护指令》的保护标准转化为国内法。其实，德国立法者维持《1990 年联邦资料保护法》侧重规范国家机关信息行为，而对非国家机关信息行为给予较多自由空间的做法，并非因为德国立法者刻意坚持旧有模式，而是因为其在短暂的过渡期内无法完成符合要求的修改。欧盟提起的诉讼加剧了德国立法者的紧迫感。他们放弃了一步到位地修改旧有法律的打算，转而以尽快达到《资料保护指令》的最低要求为目标，对《1990 年联邦资料保护法》进行了小幅度的修改。2001 年5 月23 日，德国议会通过了修改后的《联邦资料保护法》( 以下简称“《2001年联邦资料保护法》”) 。作为一次迫不得已、匆匆忙忙的改革的产物，这部法律带有明显的临时性。按照个人信息保护法元老Simitis 的说法，立法者是怀揣着“不久之后将其取而代之的意图”〔10〕100通过改革法案的。 

        (二) 进一步的统一化 

        相较于《1990 年联邦资料保护法》，《2001 年联邦资料保护法》扩大了个人信息保护法的适用范围。扩大首先表现在对人效力方面: 《2001 年联邦资料保护法》首次将非公有领域的、非商业性的信息行为纳入调整范围( § 1 II 3 BDSG2001) 。按照《2001 年联邦资料保护法》第1 条第2 款第3 项，非国家机关采取的以下个人信息处理、利用或收集行为原则上应该受到规范: 第一，借助信息处理工具进行的行为; 第二，行为对象是非自动化信息的行为; 第三，行为结果是非自动化信息的行为。以上原则只有一项例外，即如果行为目的在于为自身或家庭采集、处理、利用信息，则《联邦资料保护法》不适用。 

        适用范围的扩大还表现在加强规范力度方面，具体而言是指将以下三个原则的适用范围从国家机关扩大到了非国家机关。第一个原则是禁止收集原则。根据《1990 年联邦资料保护法》，只有国家机关才受到禁止收集个人信息原则的制约，而非国家机关在收集个人信息时仅受诚信原则的制约。而根据《2001年联邦资料保护法》第4 条第1 款，非国家机关也受到禁止收集个人信息原则的制约。在这一点上，公、私领域不再存在差别，非国家机关在收集个人信息时原则上不再享有比国家机关更大的自由。第二个原则是直接收集原则。根据《1990 年联邦资料保护法》，只有国家机关在收集个人信息时才受到直接采集原则的限制，而根据《2001 年联邦资料保护法》，公、私主体在收集个人时一视同仁地需要受制于该原则。而且，非国家机关在收集个人信息时与国家机关一样负有向信息来源人进行说明的义务。第三个原则是目的特定原则。目的特定原则意味着，信息处理主体只能在具有合法且明确的目的时方可收集个人信息，且不得通过不符合目的的方式处理这些个人信息。根据《1990 年联邦资料保护法》，该原则只对国家机关的信息行为生效，而对非国家机关的信息行为不具有拘束力。但由于欧盟《资料保护指令》第6 条第1 款第b 项将这项原则确定为了个人信息保护法的基本原则，且并未将其适用范围局限于国家机关的个人信息行为，因此《2001 年联邦资料保护法》在民事领域的个人信息处理方面也引入了该原则，从而提升了目的特定原则的地位，加强了对非国家机关信息行为的约束。 

        总体而言，《2001 年联邦资料保护法》是欧盟《资料保护指令》在德国国内进行转化的产物。这一转化对德国立法者而言一直意味着巨大的压力，因为修改前的德国法律在对非国家机关信息行为方面的规制远远弱于欧盟《资料保护指令》的要求。易言之，修改前的德国个人信息保护法整体保护水平低于欧盟指标。修改后的《2001 年联邦资料保护法》基本符合了欧盟的要求，相比于修改前的旧法而言，新法对个人信息保护的整体水平大有提高。

四、德国个人信息保护法现状 

        以上分析涉及的是德国个人信息保护法中最重要的部分，即《联邦资料保护法》。这部法律在德国个人信息保护法领域起着基本法的作用。但重要不等于全面。事实上，除了这部法，德国还存在其他个人信息保护方面的立法: 一是州层面的地方立法，二是针对具体行业个人信息保护问题进行的专门立法。当然，在德国社会生活中起着重要作用的教会也与时俱进地颁布了个人信息保护方面的规则，包括罗马天主教会颁布的《资料保护令》和新教颁布的《德国新教资料保护法》。以上补充规则，尤其是地方立法和部门立法，分别从空间和部门的角度对作为个人信息保护基本法的《2001 年联邦资料保护法》起到了补充作用。美国911 事件之后，反恐成为了西方各国政府的重要任务。以反恐之名，德国采取了一系列措施，扩大了国家机关收集或处理个人信息的权限。例如，2002 年，德国议会通过了《打击恐怖主义法》; 2007年，议会又通过了《打击恐怖主义补充法》; 2007 年11 月1 日起，新的旅行护照开始存储所有人的指纹;2007 年12 月21 日，议会通过了《电信监视法》。一系列针对国家机关信息行为的特殊规范，越来越有架空《联邦资料保护法》第二章“国家机关的资料行为”之规则的趋势。当然，在民事领域，德国也存在着《电信法》和《电信资料保护法》等专门法案，但相较于国家机关信息行为规则支离破碎的状况而言，《联邦资料保护法》第三章“非国家机关的资料行为”规则基本保持了其完整性和直接适用性。〔14〕

五、对我国个人信息保护法模式选择的启示 

        从以上对德国个人信息保护法发展轨迹的简洁勾勒中可以看出: 涉及公、私领域分治还是统一的争论始终是个人信息保护理论研究的重点之一。从最初的1970 年黑森州《资料保护法》仅仅规范国家机关的信息处理行为，到之后的1977 年和1990 年《联邦资料保护法》均坚持将公、私领域差别对待的态度，直到受公私一体保护模式的《欧盟资料保护指令》影响的《2001 年联邦资料保护法》出台，方缩小了公、私分立保护模式的差距。但进入21 世纪之后，德国又因为反恐而出台了不少涉及国家机关信息行为的特别条例，重新拉大了公、私领域保护模式的距离。可以说，德国对公、私领域信息行为的态度，经过了“差别巨大———差异缩小———差距重新扩大”的过程，德国个人信息保护法的发展，是典型的“螺旋式上升，波浪式前进”，在否定之否定中不断完善，以适应现实需要的过程。 

        根据我国《全国人大常委会立法规划》，第十一届全国人大常委会任期内提请审议的49 件立法草案中不包括个人信息保护法。个人信息保护尚属“由有关方面继续开展论证，视情况做出安排”的事项。由此可见，我国目前正处于制定个人信息保护法的前期理论研究阶段。未来的个人信息法的调整范围有多广，采用哪种调整模式，都是需要慎重研究的问题。 

        就调整范围而言，如同本文第一部分分析的，个人信息保护法在德国的发展经历了从部分到全面的过程。个人信息保护法在德国出现的动因是公民惧怕国家权力的过度膨胀侵蚀了属于公民自由支配的空间。与这种思想相对应，德国最初的《黑森州资料保护法》仅仅涵盖了对国家机关信息行为的规范。在联邦层面的个人信息保护法制定的整个过程之中，也一直存在将个人信息保护法局限于调控公权力的观点。 

        审视我国的需求: 就社会需求而言，无论是国家机关还是非国家机关，都因其收集、存储、处理和利用个人信息的行为对个人信息安全产生影响，并且都有可能通过滥用个人信息危害到信息主体的生活安宁、就业机会、经济状况以及生活的其他方面。所以从现实需求的角度出发，我国将来制定的个人信息保护法应当既规范公权力机关的信息行为，也规范市场经营者的信息行为。而且，从我国已有的涉及个人信息保护的法律来看，刑法中新设的非法收集、泻露公民个人信息罪的主体既可以是在国家机关，也可以是市场经营者中的自然人。在《消费者权利保护法》修改稿的第二稿中，也已经加入了保护消费者个人信息权的相关条款。可见，立法者并不打算将个人信息保护行为限定在公权力机关行使职权的范围之内。无论从理论还是实践的角度，将来的个人信息保护法都应当涵盖公、私两个领域。 

        在确定了个人信息保护法的调控范围之后，接下来需要考虑的就是立法模式问题。本文第一部分提及了德国《联邦资料保护法》制定过程中的种种学说。即使就个人信息保护法的调整范围达成了共识，因对调整模式的看法不同，仍然存在三种学说: 一是主张对公、私领域完全不加区分、一视同仁的统一模式说; 二是主张分别立法，并对公权力机关的信息行为采取严格规制的学说; 三是对公、私领域分别立法，并将对市场经营者的信息行为进行调控作为重点的学说。 

        采取统一模式说的典范是欧盟《资料保护指令》。该指令采取了不区分公、私领域，只就信息行为必须适用的原则性问题做出规定的模式。至于如果特定行业在信息行为方面超过了《资料保护指令》的调整范围，或者如果需要做出例外规定，这些任务都由专门性指令来完成。《资料保护指令》起着个人信息保护领域基本法的作用。这种模式的优势在于，一方面，结构简单，较之公、私领域分别对待的法典结构更易于为公众了解。另一方面，留给成员国更大的自由空间，便于成员国接受并允许成员国根据自身情况制定更细致的规定。毕竟，个人保护法的发展与社会发展、科技进步的关系特别紧密，而作为欧盟立法的《资料保护指令》难以频繁修改以适应形势的变化。因此留给国内立法更大的空间有利于法条适应社会现实的需求。 

        与欧盟《资料保护指令》的模式不同，德国《联邦资料保护法》现行的模式是在同一部法典中采取“总分总”的格局，对公、私领域的信息行为均加以规范。《联邦资料保护法》的第一章是“总则”规定，第二章对公权力机关的信息行为进行规范，第三章对市场主体的信息行为进行规范，最后在第四章和第五章再列举一些不区分公私领域的特殊规定。这种模式类似于我国现行《公司法》对有限责任公司和股份有限公司的规定。优点在于: 第一，具有全面性，尽量将所有涉及个人信息保护的问题都在一部法中进行规范，便于公众了解和实施。第二，兼顾个体性，尊重了公、私领域信息行为有差异的现实，通过分章规范在一定程度上照顾了公、私领域信息行为的个性。 

        究竟是公私一体、还是公私分治的模式更适合我国采用呢? 要回答这一问题，需要选取一个恰当的模式评判标准。这一标准应该是: 哪种模式更有效地反映了公、私领域信息行为的关系? 如果公、私领域信息行为的共性大于个性，自然欧盟指令采取的公、私不分之调控模式更加简洁明了，便于适用。但如果公私领域的信息行为的差异远远超过了共性，则一体调控的模式将失之笼统，违背公、私领域的具体调控要求。那么，公、私领域的信息行为是否应该适用相同的方式进行调控呢? 诚然，公、私领域信息行为间存在共性。信息保护法领域的大部分原则在公、私领域都得以相同适用，例如目的明确原则、信息安全原则、信息品质原则等。但整个个人信息保护法的基石性原则，即禁止收集原则，在公、私领域的适用存在巨大的差异。 

        所谓禁止收集原则，是整个德国个人信息保护法的出发点。即除非法律另有规定，否则禁止收集、处理个人信息。这一原则在欧盟《资料保护指令》中也有体现。欧盟《资料保护指令》第7 条规定: “除非满足下列条件，否则不得进行个人资料处理: ……”①德国《联邦资料保护法》第4 条第1 款规定: “除非本法或其他法律允许或授权，或者取得信息主体的同意，否则不得收集、处理、利用个人信息。”即欧盟指令和德国《联邦资料保护法》在原则上均禁止收集信息。 

        但禁止收集不过是原则。法律施行过程中，能为行为主体提供更明确指导的往往是例外。而正是在例外条款的拟定方面，公、私一体的欧盟模式和公、私分明的德国模式间存在巨大差异。欧盟《资料保护指令》没有区分公私领域，统一在第7 条规定了6 种例外，即信息主体同意、履行合同义务、承担法律职能、保障重大利益、维护公共利益和实现正当利益。由于指令设立的是信息保护的最低标准，所以成员国在转化时只要不增加例外就达到了指令的要求。换言之，面对欧盟提供的6 种例外，成员国有多种选择:他们可以将部分例外适用于公共领域，部分例外适用于私人领域; 也可以将所有的例外都适用于公、私两个领域。如果将所有例外都适用于公、私两个领域，则意味着国家机关不得收集个人信息的禁止性规定，可以通过信息的主体的同意而得到豁免。正是在这一点上，欧盟的做法和德国的做法有着泾渭分明的区别。 

        德国《联邦资料保护法》对禁止收集原则的例外，区分了公、私领域并做出了不同规定。在私法领域，信息主体的同意是信息处理主体是否可以处理其信息的关键条件。也就是说，对于禁止非国家机关收集个人信息的原则，主要是从“信息主体同意”的角度来设置例外的。而对禁止国家机关处理个人信息的原则，主要是从“职责必须”的角度来设置的。换言之，在公法领域，只要是国家机关为履行其公共职责所必须，无须信息主体同意国家机关即可收集个人信息; 另一方面，如果不是履行国家机关公共职责所必须的，即使信息主体同意，国家机关也不得收集个人信息。 

        公、私领域的这一区别根源于两个领域中信息主体和信息处理主体力量对比的不同。在私法领域，信息主体与信息处理主体的力量对比相对均衡，信息主体可以通过做出真实的意思表示来行使信息自决权。但在公法领域，信息处理主体处于行政主体地位，信息主体则处于行政相对人地位，二者并不平等。即使信息主体做出了同意信息处理主体采集信息的意思表示，也很难考察这一意思表示是否是基于对公权力的畏惧做出的，其真实性有多大。如果以信息主体的同意作为国家机关采集信息的合法性基础，表面上似乎尊重了信息主体的信息自决权，实则侵犯了公民保卫自身信息的权利。〔8〕 

        基于以上对个人信息收集基本原则及其例外在公私领域不同的适用情况，可以看出，德国的区别对待模式更加符合不同领域内个人信息保护的具体要求。这一看法也得到了其他学者的支持。〔15〕作为对信息处理技术迅猛发展和公民权利意识日益增强的社会现实的回应，我国的个人信息保护立法势在必行。而将来的个人信息保护法，也应当采用“总分总”的篇章结构: 即首先界定适用范围、术语含义和基本原则，该部分内容对公、私领域同样适用。继而分章规定国家机关和非国家机关在个人信息收集、存储、处理和利用方面的要求，最后再统一规定法律责任机制。这样的立法技术，既可以将个人信息保护的基本问题法典化，又兼顾了不同领域的不同特点，在立法的公平和效率之间求得了平衡。 #p#分页标题#e#


注释：
① 为行文简洁，本文以“信息行为”指代以个人信息为客体的各种行为，包括对个人信息的收集、存储、处理、利用等行为。
②本文不区分“个人信息”、“信息”或“资料”在含义上的细微差别，而是以符合中文表达习惯为准则，根据具体语境的要求，交替使用以上概念。例如在涉及外国法律翻译时，采取尽量忠于原文的直译法。德国的相关法律原文名为Bundesdatenschutzgesetz，其中的Daten意为“数据、资料”，故笔者将其称为《德国联邦资料保护法》，而不称为德国联邦个人信息保护法。但在进行分析、论述时，往往直接使用“个人信息”这一概念，因为“个人信息”比“资料”更符合中文的表达习惯，更能直接、准确地描述该类法律规范针对的客体。
③例如，德国联邦政府在资料保护法之立法理由中就对否定说表示了明确的反对，并指出公私领域的信息行为都具有威胁公民私生活的危险性。参见本文参考文献〔4〕。
④统一立法模式最有力的支持者当属德国个人信息保护法元老Spiros Simitis。Spiros Simitis 是希腊裔的德国法学教授，其弟弟Konstantinos Simitis 曾于1996 年至2004 年任希腊总理。Spiros Simitis 常年任教于法兰克福大学，参与了1970 年《黑森州资料保护法》和1977年《联邦资料保护法》的制订。1975 年至1991 年担任在资料保护方面以立法前沿、学术活跃著称的德国黑森州的资料保护专员。1977年被邀请担任新设立的联邦资料保护专员一职，但Simitis 以该职位的人员配备不足，且与内政部联系过于紧密为由拒绝接受任命。1992年至1996 年担任欧洲委员会( Council of Europe) 资料保护专家委员会主席。Simitis 一贯主张对公私领域的资料保护统一立法，并认为这是资料保护法现代化的必要条件。
⑤Schutzgemeinschaft der Kreditsicherheit． 简称Schufa。
⑥德国并无名为宪法的法典，但其《基本法》( Grundgesetz) 实际上充任了宪法的角色，所以，以下将基本法称为德国的宪法。


参考文献
〔1 〕Schimmel /Steinmueller， Rechtspolitische Problemstellung des Datenschutzes / /Dammann /Karhausen /Müller /Steinmueller
( Hrsg． ) ，Datenbank und Datenschutz，Frankfurt /New York，1974．
〔2〕Liedtke，Bundesdatenschutzgesetz: Eine Fallstudie zum Gesetzgebungsprozess，Muenchen，1980． ．
〔3〕Podlech，Prinzipien des Datenschutzes，in : Killian /Lenk /Steinmüller ( Hrsg． ) ，Datenschutz，10． Brunnstein in Hoffmann /Tietze
/Podlech，Nummerierte Bürger，Wuppertal1975．
〔4〕Die amtliche Begruendung zum Entwurf der Bundesregierung fuer ein Gesetz zum Schutz vor Missbrauch personenbezogener Daten
bei der Datenverarbeitung vom 20． 9． 1973，BT － Ds． 7 /1027．
〔5〕Meister，Datenschutz im Zivilrecht，Gummersbach，1977．
〔6〕Bull，Datenschutz，Informationsrecht und Rechtspolitik，Berlin，2005．
〔7〕Meister，BB，1976．
〔8〕Buchner，Informationelle Selbstbestimmung im Privatrecht，Mohr Siebeck，2006．
〔9〕Bull，ZRP 1975．
〔10〕Simitis，BDSG ( M) ，3． ed，Munich，2003．
〔11〕Simitis，NJW 1984．
〔12〕Drews，RDV 1987．
〔13〕Zoellner，RDV 1985．
〔14〕Bergmann /Moehrle /Herb，Stuttgart，2009，Systematik．
〔15〕周汉华． 个人信息保护法( 专家建议稿) 及立法研究报告〔M〕． 北京: 法律出版社，2006．
〔16〕齐爱民． 中华人民共和国个人信息保护法示范法草案学者建议稿〔J〕． 河北法学，2005，( 6) : 2 － 5．