俄罗斯关于个人资料保护的立法与处理(5)

　(六) 个人资料处理的通知 (处理人登记簿)

　　处理人在开始处理个人资料之前有义务就自己实施个人资料处理之意图通知个人资料主体权利保护主管机关 (第22条第1款) 。个人资料主体权利保护主管机关在收到个人资料处理通知之日起30日内将第22条第3款指明的信息以及前述通知提交的日期载入处理人登记簿。处理人登记簿中包含的信息除处理个人资料时保障个人资料安全的手段的信息外, 均为公众可获取的信息 (第22条第4款) 。在提交的第22条第3款规定的信息不完整或者不准确时, 个人资料主体权利保护主管机关有权在载入处理人登记簿之前要求处理人更正所提交的信息 (第22条第6款) 。在第22条第3款规定的信息变更, 以及个人资料处理终止时, 处理人有义务在自此类变更产生之日或个人资料处理终止之日起10个工作日内就此通知个人资料主体权利保护主管机关 (第22条第7款) 。值得注意的是, 处理人并不承担与个人资料主体权利保护主管机关审查个人资料处理通知有关的以及与将信息载入处理人登记簿有关的费用 (第22条第5款) 。

　　处理人的通知可以纸质文件或电子文件呈送并由被授权者签署。通知应当包含如下信息: (1) 处理人的名称 (姓、名、父称) 、地址; (2) 个人资料处理的目的; (3) 个人资料的类别; (4) 其个人资料被处理主体的类别; (5) 个人资料处理的法律依据; (6) 个人资料行为的清单, 对处理人所使用的个人资料处理方法的一般描述; (7) 对保障履行本联邦法律规定义务的措施和在处理个人资料时保障个人资料安全的措施的描述, 包括是否存在加密 (密码) 设备的信息以及这些设备的名称; (8) 负责组织个人资料处理的自然人的姓、名、父称或者法人的名称, 以及其联络电话号码、通信地址和电子邮箱地址; (9) 个人资料处理的开始日期; (10) 个人资料处理的终止期限或者条件; (11) 在处理进程中是否存在跨境个人资料移转; (12) 包含俄罗斯联邦公民之个人资料信息的数据库所在地的信息; (13) 依照俄罗斯联邦政府规定的个人资料保护要求保障个人资料安全的信息 (第22条第3款) 。

　　通知的义务可以被豁免, 在以下情况下, 处理人有权无须通知个人资料主体权利保护主管机关而处理个人资料: (1) 依照劳动立法进行的个人资料处理; (2) 对由于缔结个人资料主体作为当事人的合同而取得的个人资料的处理, 但未经个人资料主体同意不得传播, 也不得向第三人提供, 且由处理人仅用于履行前述合同和与个人资料主体缔结合同; (3) 对属于社会团体或宗教组织成员 (参加者) 的个人资料, 且由相应社会团体或宗教组织依据俄罗斯联邦立法为其设立文件规定的合法目的而进行的处理, 其条件是未经个人资料主体书面同意个人资料不得被传播或向第三人披露; (4) 对个人资料主体使之成为公众可获取的个人资料之处理; (5) 对仅包括个人资料主体之姓、名和父称之个人资料的处理; (6) 为办理个人资料主体一次性进出处理人所在区域的出入证目的, 或其他类似目的的个人资料处理; (7) 对载入依照联邦法律具有国家自动化信息系统身份的个人资料信息系统, 以及载入为保护国家安全和公共秩序为目的而建立的国家个人资料信息系统的个人资料的处理; (8) 对依照联邦法律或规定个人资料处理时保障个人资料安全和遵守个人资料主体权利的其他规范性法律文件, 不使用自动化设备进行的个人资料处理; (9) 在俄罗斯联邦交通安全立法规定的情况下, 为保障交通综合体的稳定安全运行, 保护交通综合体领域免受非法侵入行为的个人、社会和国家之利益目的而进行的个人资料处理。

　　(七) 专责组织个人资料处理的人:个人资料专员制度

　　在俄罗斯个资法的修改中, 加入了专门负责组织个人资料处理的人 (Лица, ответственныезаорганизациюобработкиперсональныхданныхворганизациях) 的规定 (第22.1条) , 属于作为法人的处理人中的“个人资料专员”的制度。

　　作为法人的处理人任命负责组织个人资料处理的人。负责组织个人资料处理的人直接从作为组织的法人执行机关取得指示并向其报告工作。处理人有义务向负责组织个人资料处理的人提供该法第22条第3款规定的信息。负责个人资料处理的人负有以下义务: (1) 实施对处理人及其工作人员遵守俄罗斯联邦个人资料立法, 包括对遵守个人资料保护要求的内部监督; (2) 引起处理人的工作人员对俄罗斯联邦个人资料立法、就个人资料处理问题的本地文件的规定, 以及对保护个人资料的要求的重视; (3) 组织接收和处理个人资料主体或其代理人的来访来函, 并 (或) 对接收和处理此类来访来函实施监督。

　　在该制度中, 负责个人资料事务处理的人具有独立的法律地位, 他虽然是由作为处理人的法人所任命, 且是从法人执行机关取得指示并向其报告工作的, 但是其法律义务却是直接来自于法律的规定, 更重要的是其作为个人资料处理事务的内部监督者的地位是立法直接赋予的, 这构成了俄罗斯个人资料制度自动实施机制中极为重要的一环。

　　六、个人资料处理的国家监督与监察:个人资料主体权利保护主管机关

　　在国家对个人资料处理的监督和监察问题上, 也即在个人资料主体权利保护主管机关 (Уполномоченныйорганпозащитеправсубъектовперсональныхданных) 的问题上, 俄罗斯个资法并没有追随欧盟设立独立保护机关的做法, 而是以附设在联邦执行权力机关 (行政机关) 内的方式设立个人资料主体权利保护主管机关 (以下简称保护机关) 。

　　(一) 保护机关的法律地位与活动方式

　　根据俄罗斯个资法的规定, “履行对个人资料处理是否符合俄罗斯联邦在个人资料领域中立法的要求的监督和监察的联邦执行权力机关为个人资料主体权利保护主管机关” (第23条第1款) 。这就意味着在俄罗斯个人资料主体权利保护主管机关是联邦执行权力机关, 即联邦行政机关, 而且是不具有独立法律地位的联邦行政机关, 也意味着该项事务属于联邦管辖事务, 而非俄罗斯联邦主体和地方自治的管辖事务。因此, 在预算拨款的来源上, “对个人资料主体权利保护主管机关的拨款从联邦预算资金中拨付” (同条第8款) 。

　　尽管保护机关并非独立的机关, 但是其活动方式却体现了较高的法律地位:一是保护机关每年要向俄罗斯联邦总统、俄罗斯联邦政府和由国家杜马与联邦委员会构成的联邦大会 (也就是俄罗斯联邦国会) 提交工作报告;二是该报告应当在大众信息传媒上公布 (同条第7款) 。

　　(二) 保护机关的职责与职权

　　保护机关的职责为“保障、组织和实施对个人资料处理的国家监督和监察”, 也就是“保障、组织和实施对个人资料处理是否符合本联邦法律以及依照该法通过的规范性法律文件的要求之国家监督与监察” (第23条第1.1款) 。主要的工作方式为“处理个人资料主体关于个人资料的内容和处理方式是否符合其处理目的, 并作出相应的决定” (同条第2款) , 但是该决定并非终局性的, 而是行政性的, 因此可以其“决定可以依照司法程序提起诉讼” (同条第6款) 。

　　保护机关在履行职责的过程中, 享有以下职权: (1) 向自然人或法人索取为履行自己权限所必要的信息并无偿取得该信息; (2) 实施对包含在个人资料处理通知中信息的审查, 或延请其他国家机关在其权限范围内进行此种审查; (3) 要求处理人更正、封存或销毁不真实或以非法途径取得的个人资料; (4) 按照联邦立法规定的程序限制获取违反个人资料领域俄罗斯联邦立法处理的信息; (5) 依照联邦立法规定的程序采取终止或终止违反本联邦法律处理个人资料的措施; (6) 向法院提起诉讼以保护个人资料主体的权利, 包括保护不特定范围人群的权利, 并在法院代表个人资料主体利益; (7) 向负责安全保障领域中联邦执行权力机关和反技术侦查与信息技术保护领域中联邦执行权力机关针对其活动领域发送关于采取安全领域保障措施的信息; (8) 向负责处理人活动许可的机关发出审查按照俄罗斯联邦立法规定的程序采取暂停其活动或注销其相应许可的措施问题的建议, 如果许可从事此类活动的条件是禁止未经个人资料主体书面同意不得将个人资料移转给第三人的话; (9) 向检察机关、其他护法机关移交材料, 以决定是否依据管辖根据侵犯个人资料主体权利的犯罪行为的特征启动刑事案件; (10) 向俄罗斯联邦政府提出完善个人资料主体权利保护的规范性法律调整的建议; (11) 对因过错违反本联邦法律的人处以行政责任 (第23条第3款) 。

　　值得注意的是, 根据2011年的法律修改, 增加了保护机关的国际合作职能, “实施与外国国家的个人资料主体权利保护主管机关的合作, 包括关于个人资料主体权利保护信息的国际交换, 批准有效保障个人资料主体权利保护外国国家名单” (第23条第5.1款) 。

　　由此可见, 保护机关的职权较为广泛, 既包括在国内事务中的职责, 也承担了国际合作与交流方面的职责;既包括了在行政领域中的职权, 也包括了在法院中代表个人资料主体利益而提起诉讼的权力;既包括自己独立做出处以行政责任决定的权力, 也包括了与其他行政机关相衔接处理行政事务 (如中止或撤销许可) 、与其他司法机关衔接转入刑事诉讼程序等;既包括行政事务的处理职权, 也包括了提出改善法律调整的建议、提供信息等职权。总体而言, 保护机关的职权较为全面细致, 实现了行政机关之间以及与司法机关和联邦政府之间的工作衔接。

　　(三) 保护机关的义务

　　个人资料主体权利保护主管机关负有义务: (1) 对在履行自己工作中获悉的个人资料负有保密义务 (第23条第4款) ; (2) 依照本联邦法律和其他联邦法律的要求组织个人资料主体权利保护; (3) 审理公民和法人就与个人资料处理有关问题的投诉和来访, 并在自己的职权范围内根据对前述投诉和来访的审理结果做出决定; (3) 负责办理处理人登记簿事务; (4) 实施完善个人资料主体权利的保护措施; (5) 依照俄罗斯联邦立法规定程序, 根据负责安全保障领域联邦执行权力机关、负责国家保护领域中联邦执行权力机关或者负责反技术侦查和信息技术保护领域中联邦执行权力机关的意见采取终止或终止个人数据处理的措施; (6) 就其来访或者来函向国家机关以及个人资料主体提供个人资料主体权利保护领域中事务状况信息; (7) 履行俄罗斯联邦立法规定的其他义务 (第23条第5款) 。

　　七、结语

　　从上可知, 俄罗斯个人资料法虽然以《在自动化处理个人类资料时保护自然人欧盟公约》为标准, 但也有自己鲜明的特色, 值得中国在制定个人资料法时予以关注和借鉴。

　　第一, 在个人资料法的适用范围上涵盖了非自动化处理个人资料的情形, 明确排除了对构成国家秘密的个人资料处理的适用, 允许以国家安全和公共秩序为目的限制个人资料主体对其个人资料的获取。

　　第二, 在个人资料法的内容建构上, 明确了个人资料主体的权利内容, 建立了庞大细密严实的处理人义务群, 设置了处理人登记簿制度, 以此保障个人资料主体和处理人以及国家 (社会) 之间的利益平衡。尤其是占据个人资料法最大篇幅的处理人义务规范是俄罗斯个资法的创新。

　　第三, 在个人资料法的实施机制上, 明确提出了俄罗斯联邦公民个人资料保存的本地化要求, 在作为法人的处理人内部设立个人资料专员制度, 在国家的监督监察机制上, 创设了非独立的属于行政机关性质的个人资料主体权利保护主管机关的模式, 而非欧盟式的作为独立机构的个人资料主体保护主管机关模式, 由此创新构成了俄罗斯个人资料法的鲜明特色, 特别是本国公民个人资料保存的本地化要求也成为西方世界批评和攻击俄罗斯的对象和理由。