俄罗斯关于个人资料保护的立法与处理(3)

四、个人资料主体的权利

　　俄罗斯学者认为, 非物质利益主观民事权利的内容通常有三种:请求权、积极行动权和诉权。积极行动权可能由多个权限构成。个人资料主体的权利是一个由多项权利构成的权利束。主要包括四种:一是获取其个人资料的权利;二是在为推销市场上的商品、工作和服务, 以及为进行政治鼓动时的权利;三是在仅依据自动化个人数据处理做出决定时的权利;四是对处理人作为或者不作为的申诉权利。

　　(一) 个人资料主体获取其个人资料的权利

　　1. 个人资料主体取得涉及其个人资料处理的信息的权利

　　个人资料主体有权获取以下信息: (1) 确认处理人处理其个人资料的事实; (2) 处理个人资料的法律依据和目的; (3) 个人资料处理的目的和处理人所使用的方式; (4) 处理人的名称和所在地, 可能依据与处理人之间的合同或依据联邦法律获取个人资料或向其披露个人资料的人 (处理人的工作人员除外) 的信息; (5) 被处理的属于个人资料主体的个人资料, 取得的来源, 但联邦法律规定了提供这些资料的其他程序的除外; (6) 个人资料处理的期限, 包括保存期限; (7) 个人资料主体行使联邦法律规定权利的程序; (8) 已经实施或预定的跨境资料移转的信息; (9) 如果处理是委托或将委托某人的话, 受处理人委托实施个人资料处理的人的名称或姓、名、父称和地址; (10) 本联邦法律或者其他联邦法律规定的其他资料 (第14条第1、7款) 。

　　对前述资料的形式、内容和提供方式, 俄罗斯个资法也有具体的规定。该类资料“应当以可获取的方式由处理人提供给个人资料主体, 而且其中不得包含属于他人的个人资料, 但对披露该类个人资料有合法利益存在的情形除外 (第14条第2款) ”。该类资料“在个人资料主体或其代理人来访或收到其来函时提供给个人资料主体或其代理人”, 来函应当包括证明个人资料主体或其代理人身份的基本证明文件, 文件签发日期和签发机关的信息, 证明个人资料主体参加与处理人之间关系的信息 (合同编号、合同缔结日期、有条件的口头名称和 (或) 其他信息) , 以及以其他方式证明处理人处理个人资料的事实的信息, 个人资料主体或其代理人的签名。函件可以电子文件形式提交并经依照俄罗斯联邦立法的电子签名签署 (第14条第3款) 。

　　获取前述资料的权利可以再次行使。在前述信息以及所处理的个人资料已经按其来函提供个人资料主体了解的情况下, 个人资料主体有权在不早于第一次到访或发出第一次函件之后30日内再次造访处理人或向其发出第二次函件以取得前述信息和了解此类个人资料, 但依照联邦法律、规范性法律文件或个人资料主体作为其受益人或保证人的合同规定了更短期限的除外。由于处理初次来访而没有提供完整的此类信息和 (或) 所处理的个人资料, 个人资料主体有权在前述期限届满之前再次造访处理人或向其发送第二次函件以便获取前述信息以及了解所处理的个人资料。第二次去函除了包含前述规定的信息之外还应当说明再次来函的理由 (第14条第4—5款) 。处理人有权拒绝履行不符合规定条件的第二次来函。该拒绝应当叙明理由。处理人承担证明其拒绝履行第二次来函之合理性的义务 (第14条第6款) 。

　　值得注意的是, 获取个人资料的权利是可以被限制的。在以下情况下可以依照联邦法律予以限制: (1) 个人资料处理, 包括对因业务搜索、反侦察和侦查活动而取得的个人资料的处理, 是为了国家防务、国家安全和维护法律秩序而进行的; (2) 个人资料处理是因怀疑个人资料主体实施犯罪行为而由对其执行拘留的机关, 或对个人资料主体提起刑事指控的机关, 以及对个人资料主体采取诉前强制措施的机关进行的, 但俄罗斯联邦刑事诉讼立法规定允许嫌疑人或被指控者了解此类个人资料的情形除外; (3) 依照反犯罪途径收入合法化 (反洗钱) 立法和资助恐怖主义立法的个人资料处理; (4) 个人资料主体获取其个人资料将侵犯第三人权利和合法利益; (5) 个人资料处理是在俄罗斯联邦交通安全立法规定的情况下为保障交通综合体稳定安全运作, 保护个人、社会和国家在交通综合体免受非法干涉领域的利益而实施的 (第14条第8款) 。

　　2. 更正、封存和销毁个人资料的权利和要求处理人采取措施保护自己权利的权利

　　个人资料主体有权在其个人资料不完整、陈旧、不准确、非法取得时或非为所申明的处理目的所必要时要求处理人更正、封存或销毁其个人资料, 以及采取法律规定的措施保护自己的权利 (第14条第1款) 。如果处理人拒绝更正, 则可能会承担传播不实贬损性信息的责任。在俄罗斯联邦最高法院的司法实践中曾确认“欧洲人权法院在其判决中所使用的诽谤 (диффамация) 的概念等同于俄罗斯联邦民法典第152条所包含的传播不实的贬损性信息的概念”。

　　相比较以促进独联体成员国立法统一化为目的的《独联体成员国示范个人资料法》而言[13], 俄罗斯个资法没有更进一步区分更正、封存和销毁所针对的具体情形。根据《示范个人资料法》第12条第4—6款的规定, 在存在相应文件证实的理由时, 个人资料主体有权要求资料持有人修改自己的个人资料;在个人资料主体发现其不准确或对个人资料处理的合法性提出争议时, 则有权要求持有人封存这些资料;在查明个人资料处理存在非法行为时, 个人资料主体有权要求赔偿损失。但是, 均没有在规定何种情况下可以销毁这些资料。而且也没有规定删除权的问题。这是留待被遗忘权立法予以处理的问题[10]。

　　(二) 个人资料主体在为推销市场上的商品、工作和服务, 以及为进行政治鼓动时的权利

　　根据俄罗斯个资法第15条, 只有在经个人资料主体事先同意的条件下, 才允许通过借助于通讯设备直接联系潜在的消费者以推销市场上的商品、工作和服务, 以及为了进行政治鼓动目的的个人资料处理。如果处理者不能证明已经取得该同意, 则前述个人资料处理被视为未经个人资料主体事先同意。处理人有义务按照个人资料主体的要求立即终止处理其个人资料。

　　(三) 个人资料主体在仅依据自动化个人数据处理作出决定时的权利

　　原则上, 俄罗斯个资法禁止仅依据自动化个人资料处理作出对个人资料主体产生法律后果或以其他方式影响其权利和合法利益的决定 (第16条第1款) 。但是, 存在两种例外情形:一是存在个人资料主体的书面同意时;二是在联邦法律规定的情况下, 且该法律规定了保障个人资料主体权利和合法利益的措施 (同条第2款) 。在此情况下, 处理人负有四项义务: (1) 向个人资料主体解释仅依据自动化个人资料处理作出决定的程序和该决定可能的法律后果; (2) 提供针对该决定提出异议的可能性; (3) 解释个人资料主体保护自己权利和合法利益的程序; (4) 处理人有义务在自收到个人资料主体异议之日起30日内审处异议并就该异议的审处结果通知个人资料主体 (第16条第3、4款) (57) 。

　　(四) 个人资料主体对处理人作为或者不作为的权利

　　如果个人资料主体认为处理人对其个人资料的处理违反个资法的要求或以其他方式侵犯其权利和自由, 则个人资料主体有权就处理人的作为和不作为向个人资料主体权利保护主管机关提出投诉或依照司法程序提起诉讼。个人资料主体有权保护自己的权利和合法利益, 包括依照司法程序要求赔偿损失和 (或) 精神损害赔偿 (第17条) 。

　　根据俄罗斯个资法的规定, 包括处理人在内的“因过错违反本联邦法律要求的人, 均承担俄罗斯联邦立法规定的责任”, 而且“由于侵犯其权利、违反本联邦法律规定个人资料处理规则, 以及违反本联邦法律规定保护个人资料的要求而给个人资料主体造成的精神损害, 应当依照俄罗斯联邦立法予以赔偿”, “精神损害赔偿独立于财产损害赔偿和给个人资料主体造成的损失的赔偿” (第24条) 。有关精神损害赔偿的一般规定和特别规范, 应当以俄罗斯联邦民法典第151条和第1099—1101条的规定为基本渊源。

　　五、处理人的义务

　　个人资料处理人的义务, 是俄罗斯个资法立法的重点问题。有关处理人义务规范的比重占到了整个个资法近一半的篇幅, 是所有个资法诸章中篇幅最大的一章, 处理人的义务及其履行机制构成了俄罗斯个人资料法律制度实施中最庞大最复杂也是最重要的部分。

　　主要包括: (1) 处理人收集个人资料时的义务; (2) 处理人保障履行本联邦法律规定义务的措施; (3) 在个人资料处理时保障个人资料安全的措施; (4) 处理人在个人资料主体来访或在收到个人资料主体或其代理人以及个人资料主体权利保护主管机关来函时的义务; (5) 处理人消除处理个人资料时违反立法的行为, 更正、封存和销毁个人资料的义务; (6) 个人资料处理的通知; (7) 专责组织个人资料处理的人 (个人资料专员) 。

　　(一) 处理人在收集个人资料时的义务

　　根据俄罗斯个资法第18条, 处理人在收集个人资料时的义务主要有四项。

　　第一, 依照请求提供法定信息的义务。“处理人在收集个人资料时有义务按照个人资料主体的请求向其提供本联邦法律第14条第7款规定的信息” (第1款) 。

　　第二, 解释拒绝提供个人资料法律后果的义务。“如果提供个人资料根据联邦法律是强制性的, 则处理人有义务向个人资料主体解释拒绝提供其个人资料的法律后果” (第2款) 。

　　第三, 自第三方取得个人资料时提供法定信息的义务。“如果个人资料不是从个人资料主体取得的, 处理人在开始处理此类个人资料时有义务向个人资料主体提供以下信息: (1) 处理人或其代理人的名称或姓、名、父称和地址; (2) 个人资料处理的目的和法律依据; (3) 个人资料的预定使用人; (4) 本联邦法律规定个人资料主体的权利; (5) 个人资料的来源” (第3款) 。该项义务在以下情况下可以豁免: (1) 个人资料主体已经被相应处理人通知所实施个人资料处理; (2) 个人资料是由处理人依据联邦法律或由于履行个人资料主体作为受益人或保证人的合同而取得; (3) 个人资料是由个人资料主体使之成为公众可获取的或从公众可获取来源而取得; (4) 处理人为统计或其他研究性目的, 为从事记者职业活动或科学、文学或其他创作性活动而进行个人资料处理, 且在此时不侵犯个人资料主体权利和合法利益; (5) 向个人资料主体提供本条第3款规定的信息侵犯第三人的权利和合法利益 (第4款) 。

　　第四, 俄罗斯联邦公民个人资料的本地化保存义务。也就是, 在包括通过电子信息通讯网络“Internet”收集个人资料时, 处理人有义务保障通过使用俄罗斯联邦境内的数据库记录、体系化、积累、保存、更正 (更新、更改) 、提取俄罗斯联邦公民个人资料 (第5款) , 其例外是在为履行国际条约或者法定职能、权限和义务, 为参与诉讼、履行司法文件, 以及为从事记者与大众信息传媒的职业活动与各种创作活动而处理个人资料的情形。有评论认为, 这是对Facebook、推特等美国社交网站的排挤[14]。

　　值得注意的是, 这一规定与中国《网络安全法》第37条相比有较大的不同:第一, 在个人资料的保护范围方面, 俄罗斯法的适用范围大于中国法的规定。俄罗斯强调的是所有处理人收集和产生的所有涉及俄罗斯联邦公民的个人资料均应实现本地化存储, 而中国《网络安全法》则只强调关键信息基础设施的运营者在中国境内收集和产生的个人信息要履行本地化存储义务。第二, 在本地化存储的范围方面, 中国法的范围要远远大于俄罗斯法的规定。俄罗斯个资法仅强调俄罗斯联邦公民个人资料, 而中国立法强调的是“在中华人民共和国境内运营中收集和产生的个人信息和重要数据”。可见, 中国法要求本地化存储的范围更大, 不限于是本国公民的个人信息, 即使是在中国境内收集和产生的外国公民或无国籍公民的个人信息也在该规定的效力射程之内, 而且除了本国境内收集和产生的个人信息之外, 重要数据也在本地化存储的义务之列, 所谓重要数据的定义和范围并没有立法规定, 尚有待进一步明确。存储本地化的要求具有强烈的反“信息殖民主义”[15]的色彩, 也具有强烈的彰显国家网络主权[16]、信息主权[17], 强化以国家行政管理为主的网络管理体制[18]意味。对该问题国际上缺乏统一的共识, 如何避免因过分强调立法的国家权力性[19]和所谓的国情而阻碍国际信息流通与国际电子商务的发展, 值得深入思考。