郑曦：刑事诉讼个人信息保护论纲
点击蓝字丨关注我们
郑曦：北京外国语大学法学院教授、硕士生导师，法学博士、博士后，主要研究领域刑事诉讼法学。近年来在《中外法学》《比较法研究》《政法论坛》《当代法学》等CSSCI期刊发表学术论文30余篇，著有《警察暂时性人身限制权研究》《侦查讯问程序研究》 《The Power of the Police in China》等中英文独著，主持国家社会科学基金项目、教育部人文社会科学基金项目、北京市社会科学基金项目、中国法学会部级课题、中国博士后科学基金面上资助项目等省部级以上课题7项，入选北京市法学会“百名法学英才”、北京外国语大学“中青年卓越人才支持计划”等人才项目。
本文原载《当代法学》2021年第2期，转载对注释与参考文献进行了省略。
摘要
信息时代下刑事诉讼领域与其他领域一样存在保护个人信息的需要，然而目前我国相关法律规定零散，且重视对公权力机关的授权，忽视对公民的赋权。为确立和完善刑事诉讼个人信息保护机制，应处理好刑事诉讼信息收集使用中的权利义务与权力责任、信息收集使用的公开透明要求与刑事诉讼封闭秘密特征、个人信息保护利益与预防打击犯罪目标及公众知情权这几组关系。根据区分对待原则、目的限制与比例原则、准确性原则，应当对信息主体赋予前提性权利、程序性权利和反制性权利，对公权力机关（信息控制和处理者）科以告知义务、协助义务和信息安全保障责任，并通过确立信息收集使用行为的司法令状和内部监管并立体系，设置独立的信息监管机构，构建侵犯信息权利的惩戒和赔偿机制等，提供保护个人信息的保障措施和救济途径，建立起我国的刑事诉讼个人信息保护机制。
关键词
刑事诉讼；个人信息保护；信息主体；公权力机关
一、问题的提出
人类跨越了口语传播时代、文字与印刷传播时代而进入了信息时代。在这个新时代下,信息以前所未有的数量和速度传播，给人们的生活带来了便利。但与此同时，人们的一言一行，无论在现实生活还是在虚拟世界里，都被监控并以信息的形式被记录、存储、传递和使用；作为个体的人对于自己的信息无力掌握，被困在“数字化圆形监狱之中。为了从此种困境中突围，人们越来越重视个人信息保护问题，许多国家或地区（特别是欧盟）出台了大量关于保护个人信息的法律文件，最典型的即为欧盟《一般数据保护条例》（General Data Protection Regulation，以下简称“GDPR”）。
刑事诉讼中同样存在个人信息使用问题。在刑事诉讼这样一场政府与被追诉人的“决斗”中，个人信息已成为信息时代下政府方追诉犯罪的最强大武器。政府方运用强大的技术能力，大量收集公民的个人信息，以此为基础建立起各类数据库，并在具体个案中将相关个人信息用于刑事追诉。由于刑事诉讼以国家强制力为后盾，刑事诉讼中个人信息的收集使用与其他诉讼行为相似，往往具有显著的强制性特征，甚至通常是违背作为个体的信息主体的意志的，因而在此过程中，“对公民个人信息的干预广度、深度都远远超越公民个人、商业机构、社会机构其强度也大于民商事领域或者政府行政领域。而各个数据库之间根据“互联互通”的共享要求而进行的数据流动，也必然导致个人数据泄露的风险和隐私保护问题。
然而，迁就于刑事诉讼预防和打击犯罪的需求，刑事诉讼中的个人信息保护问题常常被刻意回避。一方面，各国都不断地赋予政府方强大的收集使用个人信息之权力，例如将电子监控、手机定位、远程电子数据提取、网络搜查等技术侦查手段合法化；另一方面，个人信息保护的专门法律常对刑事诉讼采取“视而不见”的态度，往往将刑事司法排除于其适用范围之外如此一来，刑事诉讼领域相较于民商事或政府行政领域，在个人信息保护问题上成为了“木桶短板”，与信息时代下个人信息保护的社会整体需求形成强烈反差。
事实上，刑事诉讼中确有个人信息保护之需。在诉讼发生前，基于风险防控理念的预测警务需以海量收集公民个人信息为前提，此类信息一旦被用于其他目的则后果不堪设想。在诉讼过程中，政府方实施秘密监控，网络搜查等针对个人信息的强制取证行为，无论在对象、范围还是在取证方式上都需要予以限制，否则可能超出刑事诉讼的目的限制。在诉讼完成后，刑事被害人、被确定为无罪之人、证人或其他诉讼参与人，都有与刑事案件“脱钩”的心理需求，可能主张被遗忘权而请求删除其与刑事案件发生关联的相关个人信息；即便对于被定罪的罪犯，出于促进其回归社会的目的，也有引入被遗忘权封存犯罪记录的必要性。
此外，信息时代下各国都在推进司法信息化进程，大量的个人信息被公权力机关收集、存储，并用于包括刑事诉讼在内的各种诉讼活动中。然而存储于司法信息化系统中的个人信息，与存储于普通网络运营商处的个人信息一样，存在遭遇攻击、系统故障、人员操作失误等可能性，面临着个人信息泄露的风险，可能给信息主体的隐私、财产甚至人身安全造成重大的影响。这种担心并非杞人忧天，2019年英国就发生了司法信息化技术故障致使系统崩溃、审判和相关工作停滞、数据库损坏并出现数据丢失风险的重大事故，让人们对存储于司法信息化系统中的公民个人信息安全产生了怀疑。在此种现实下，保障刑事诉讼中收集的个人信息之安全，成为刑事诉讼的重要需求。
二、刑事诉讼个人信息保护立法的现状与问题
考虑到刑事诉讼中个人信息保护的现实需要，近些年来，一些国家和地区迈出了刑事诉讼个人信息保护立法的脚步。根据《欧洲人权公约》第8条保护“私生活和家庭生活受到尊重的权利”的精神，2016年欧洲议会和欧盟理事会颁布了《关于保护自然人针对主管当局为预防、调查、侦破或检控刑事罪行或执行刑事刑罚而使用个人数据，和有关该数据的自由流动，以及撤销理事会第2008/977/JHA号架构决定的2016/680号指令》（以下简称为“欧盟2016/680号指 令”），较为系统地规定了刑事诉讼中的个人信息保护问题；2018年又颁布了《警察部门使用个人数据实务指南》，规定警察部门执法中的个人信息保护问题。美国则采用判例法的方式，通过刑事诉讼个人信息保护论纲2012年的“琼斯案”和2018年的“卡朋特案以宪法第四修正案对公民隐私权的保障为路径，确立了政府对公民实施定位（包括GPS定位或手机定位）时的个人信息保护规则。
我国并无针对刑事诉讼中个人信息保护问题的专门立法。《刑事诉讼法》中与个人信息保护直接相关的只有第54条关于涉及个人隐私的证据应当保密的规定，第64条关于公检法不公开证人、鉴定人、被害人个人信息的规定，第152条关于技术侦查中获悉的个人隐私应当保密的规定等。但值得注意的是，2016年最高人民法院、最高人民检察院和公安部《关于办理刑事案件收 集提取和审查判断电子数据若干问题的规定》（以下简称“2016两院一部《电子数据规定》”）和2019年公安部《公安机关办理刑事案件电子数据取证规则》（以下简称“2019公安部《电子数据取证规则》”）对于电子数据类证据收集使用程序的细致规定，体现了个人信息保护的理 念。例如，两个文件均规定，电子数据涉及个人隐私的应当保密，2019公安部《电子数据取证规则》第52条规定禁止进行可能泄露公民信息的电子数据侦查实验。此外《国家情报法》《反恐怖主义法》及其他相关法律也有关于各自涉及刑事诉讼领域内个人信息保护的规定。
我国目前关于刑事诉讼个人信息保护的规定主要存在两方面问题。第一，零散而不成体系。如前文所述，无论在《刑事诉讼法》还是其他法律法规中，涉及个人信息的规定只见于少数散落的条文中。相较于欧盟2016/680号指令的系统规定，我国的相关规定缺乏系统性，导致实践中“九龙治水”、施行不畅。对此问题，可以考虑在未来《刑事诉讼法》修改时专章规定个人信息保护问题，或者在个人信息保护的专门法律中设置专章规定刑事司法中的个人信息保护问题。第二，对公权力机关的授权多于对公民的赋权。上述涉及刑事诉讼的法律中有大量授权公权力机 关收集使用公民个人信息的规定，例如技术侦查制度、电子数据在线调取等，亦有公民或组织配 合义务之规定，如《网络安全法》第28条规定网络运营者应当为公安机关、国家安全机关依法 维护国家安全和侦查犯罪的活动提供技术支持和协助，但是缺少对刑事诉讼中公民个人信息权利 的赋权性规定，难以实现权利对权力的制约。
三、刑事诉讼个人信息保护需平衡的几组关系
（一）权利与义务、权力与责任
权利与义务、权力与责任的对应是基本的法理，在刑事诉讼中讨论个人信息保护问题，也无法回避这两组关系。如上文所述，我国的相关法律在这一问题上较为强调公权力机关收集使用公民个人信息的权力和公民配合此种公权力行为的义务，对于公民个人的信息权利和公权力机关滥用权力的责任规定不足，因此强化这两方面的规定是刑事诉讼中实现对个人信息保护之关键。
一方面，应明确公民，特别是作为信息主体的公民，所享有的信息权利。欧盟相关法律对此规定最为明确：作为普遍适用于社会生活各个领域个人信息保护的纲领性法律，GDPR第三章专章规定了数据主体的权利，罗列了包括访问权、更正权、擦除权（被遗忘权）、限制处理权、数据携带权、反对权在内的一系列权利，并规定了权利行使的相关限制；专门针对刑事司法的欧盟2016/680号指令也在正文第三章规定了数据获得权、更正权、删除权、救济权等权利；甚至作为指引警察收集使用个人信息行为的《警察部门使用个人数据实务指南》也在第6条对信息主 体的权利进行了详细描述。通过对公民个人特别是信息主体的赋权，可以提高其对抗公权力机关收集使用个人信息权力的能力，是实现刑事诉讼中在个人信息问题上缩小控辩力量差距、防止“新的强权专断与不平等现象”、保障"与主体尊严相适应的平等权利”的不二选择。
另一方面，应当对公权力机关科以个人信息保护方面更严格的责任。权责应当相统一，在授予公权力机关在刑事诉讼中收集使用公民个人信息的权利同时，也应明确规定其应当承担的保障个人信息安全之责任。然而我国的相关法律法规在这个问题上显然规定不够，无论《刑事诉讼 法》、2016两院一部《电子数据规定》、2019公安部《电子数据取证规则》，还是《国家情报法》《反恐怖主义法》，都只有关于相关国家机关及其工作人员“应当保密”或者“不得泄露”个人信息的原则性、宣示性规定，缺乏细化的制度规范。在此问题上，欧盟的规定同样值得我们借鉴：2016/680号指令正文第四章规定了控制者和处理者的相关责任，包括保密责任、记录责任、风险评估责任、数据安全保障责任等等。为公权力机关规定明确而具体的责任，有助于确保其不至于过度滥用权力，从而降低刑事诉讼中个人信息失控的风险。
（二）个人信息收集使用的公开透明要求与刑事诉讼封闭秘密特征
明确了公民的信息权利和公权力机关的责任之后，就应以公开透明的方式收集使用个人信息，令信息主体知悉其个人信息被收集使用的事实，以保障上述权利的行使及责任的履行。只有当个人信息被公开透明地收集使用，信息主体才能够获知其个人信息被收集使用的事实，才有行使相关信息权利之可能，也才能令公权力机关依法履行信息保护之职责。从某种意义上看，公开透明是个人信息保护的前提性原则，因此欧盟GDPR第5条在关于个人信息处理原则罗列中，提出的第一项原则即为“合法、公正、透明”。然而刑事诉讼却具有一定的封闭性和秘密性，尤其在侦查程序中，这方面的特性表现得十分突出。这种封闭性和秘密性具有一定合理性，但是却与个人信息收集使用的公开透明要求发生矛盾，刑事诉讼公权力机关，特别是侦查机关，欲向被追诉人公开收集使用其个人信息之事实和内容时，就不得不考虑可能带来的风险，需谨慎为之。
有鉴于此，在刑事诉讼中强调对个人信息的保护，必须平衡个人信息收集使用的公开透明要求与刑事诉讼自身的封闭秘密特征的关系，以免顾此失彼。第一，在原则性要求上，刑事诉讼中应限缩公开透明之要求，向封闭秘密的刑事诉讼既有特征适当妥协，以满足刑事侦查和追诉的要求。基于此种认识，相较于GDPR将透明性列为首要原则之规定，针对刑事司法的欧盟2016/680号指令虽在序言第26项要求针对自然人的个人数据使用程序应当合法、公正和透明，但在正文第4条原则性规定中保留了“合法、公正”原则、删去了 “透明”要求。第二，在公开收集使用个人信息事实的时间方面，可以适当延迟至侦查工作基本完成或侦查阶段结束后，从而保障刑事侦查这一具有最强烈封闭秘密特性阶段的工作顺利完成。我国关于辩方阅卷权的规定即采用此种方式，《刑事诉讼法》第40条将阅卷的时间规定为“自人民检察院对案件审查起诉之日起”。第三，在公开收集使用个人信息事实的内容方面，在涉及某当事人的个人信息与其他当事人的个人信息交织的情形下，例如在共同犯罪案件中同案嫌疑人信息交织时，收集使用该信息的 公权力机关有权根据具体情况决定向该特定当事人公开信息的内容和范围。
（三）个人信息保护利益与预防打击犯罪目标及公众知情权
预防和打击犯罪，是刑事诉讼的核心目标之一，然而在刑事诉讼中强调对个人信息的保护，难免对预防打击犯罪这一传统价值产生一定冲击。另外刑事诉讼中若肯认个人信息保护的利益，也可能影响公众知情权的行使，在一定程度上对公共安全的价值造成影响。
个人信息保护利益与预防打击犯罪目标的冲突可能体现在刑事诉讼的事前、事中和事后。其一，信息时代下犯罪预测、危险性评估等犯罪控制活动已然前移至刑事诉讼立案之前，在此过程中个人信息的大量采集、相关数据库的普遍构建和使用，为刑事诉讼启动之后的顺利进行、特别是为针对犯罪有效追诉打下了基础，但也增加了个人信息失控的风险，尤其是公权力机关滥用公民个人信息的风险。其二，在刑事诉讼过程中，强调对公民个人信息的保护，例如倘若严格遵循传统个人信息保护法律的公开透明原则，要求公权力机关依照“告知一同意”的方式收集使用个人信息，则将给证据的取得、转移、分享、使用等造成巨大挑战，从而增加控诉犯罪和定罪的难度。其三，基于保护其个人信息的需求，相关公民可能要求在刑事诉讼完成后对案件相关信息例如犯罪记录等进行封存甚至删除，如此一来难免削弱国家对特定人员特别是被定罪的罪犯的后 续跟踪、管控的能力。
个人信息保护利益与公众知情权的冲突则主要体现在刑事诉讼的事中和事后。在刑事诉讼过程中或诉讼完成后，社会公众有了解案件情况的权利，例如可以通过新闻报道了解案情、通过法院信息公开网站查询相关裁判文书等。然而基于个人信息保护的需要，新闻报道可能被限制、犯罪记录可能被封存或删除，使得公众针对特定案件的知情权无从实现，甚至在一定程度上带来公共安全的隐忧。此种冲突及其带来的问题在性犯罪类案件中表现得尤其明显：若向公众公开被定罪的性侵罪犯信息，则该罪犯将因一次犯罪而永远贴上性侵犯的标签，个人信息永远失控；若禁止性侵罪犯信息公开，则公众对此不知情可能导致发生同类犯罪的风险，例如美国著名的“梅根案”“杰西卡案”皆是如此。
解决刑事诉讼中个人信息保护与预防打击犯罪目标及公众知情权的冲突，应当通过分析不同价值背后所承载的利益、并通过权衡不同利益的重要性明确不同价值的位阶关系，从而确定优先顺序。例如犯罪控制事关公民的生命、自由等核心利益，属于刑事诉讼的基础性、核心价值，个人信息保护虽重要，但毕竟与人的生命健康关系较远、与社会全体成员的关系度也较弱，因此预防打击犯罪原则上应当相对于个人信息保护具有优先性。
四、刑事诉讼个人信息保护的基本原则
（一）区分对待原则
刑事诉讼涉及之人及其个人信息的种类繁多，若不对其进行区分，欲“一勺炫”地进行个人信息保护，则此种制度不但在理论上容易混淆模糊，而且在实践中也难以运用。因此，刑事诉讼中的个人信息保护制度必须针对不同的主体和信息确立区分对待原则。
第一，区分不同类型的信息主体。不同类型的诉讼参与人，在刑事诉讼中居于不同的地位、享有或承担不同的诉讼权利和义务。就个人信息保护一事而言，区分不同类型的信息主体，是因为各类信息主体对个人信息保护有不同的需求，也与刑事诉讼区分不同类型诉讼参与人的逻辑一脉相承。正因如此，欧盟2016/680号指令第6条将信息主体区分为四类：1.有可靠根据相信其已经实施犯罪或是即将实施犯罪之人，2.已被定罪之人，3.被害人或根据特定事实被认为可能 是犯罪被害人之人，4.其他人，例如证人、提供信息之人等。针对不同类型的信息主体，基于其不同需求以及与刑事诉讼关系的紧密程度差异，应当适用不同的个人信息保护规则。
第二，区分一般信息和敏感信息。根据我国的国家标准GB/T35273-2017《信息安全技术个人信息安全规范》第3.2项的定义，敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息，包括“身份证件号码、个人生物识别信息、银行账号、通信记录和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14岁以下（含）儿童的个人信息等”区分一般信息和具有高度敏感性、私密性的敏感信息，方能根据信息的不同属性制定不同的保护规则。例如欧盟GDPR第9条直接规定原则上禁止收集使用敏感信息。刑事诉讼领域内的一般信息和敏感信息的区分应与民商事或其他领域有所区别，刑事诉讼中的敏感信息应限于涉及种族或民族背景、政治理念、宗教信仰、性取向等的信息，这些信息通常与特定个案的处理关系不大，而对于防止该信息主体受到歧视性或其他不公平对待的意义重大，因此除非有法定的事由，不得在刑事诉讼中收集使用。
第三，区分事实信息和个人评价信息。事实信息是基于事实的、对某一事项的描述，例如个人定位信息、个人生物识别信息等，具有客观性；而个人评价信息往往与当下之具体刑事诉讼无直接的关联性而带来主观评判色彩。刑事诉讼中的个人评价信息主要涉及以往品行信息、性生活方式或性名声等信息，若不当使用可能引起对办案人员的误导。可以参照品格证据规则对此类信息进行必要的使用限制，主要用于弹劾被告人或证人可信性以及对被定罪罪犯的量刑，而非针对被告人的定罪。
（二）目的限制与比例原则
刑事诉讼中针对个人信息保护的目的限制原则，是指对个人信息的收集使用必须遵循刑事诉讼侦查、起诉和审判的目的，相关个人信息不得被用于刑事诉讼之外的其他目的，例如满足个人窥私欲、用于政治斗争等。目的限制原则包括信息收集的合目的性和信息使用的合目的性两方面要求。以刑事诉讼目的限制个人信息收集使用的方式，这一原则对于有效保护个人信息具有核心意义。欧盟2016/680号指令序言第29项即要求“个人数据应在本指令限定的目的范围内被 特定化、明确、合法地收集，且不得被用于预防、侦查、发现、起诉犯罪或执行刑罚的目的之外的其他不当目的”。我国对于与个人信息收集使用密切相关的技术侦查制度也有目的限制的要求，《刑事诉讼法》第152条第3款规定：“采取技术侦查措施获取的材料，只能用于对犯罪的侦查、起诉和审判，不得用于其他用途。”
目的限制原则实际要求收集使用的信息与案件具有关联性；从证据的视角看，要求被作为证据收集使用的个人信息应当与案件具有实质联系且具有证明性。具体而言，目的限制原则对于个人信息的收集使用有以下三方面要求：第一，收集个人信息应当基于刑事诉讼的目的，特别是在证据法意义上，取证时必须根据案件需要收集相关个人信息，防止取证行为的恣意性。第二，使用个人信息应当符合刑事诉讼目的，包括相关个人信息的存储、传递、共享等，都应以刑事侦查、追诉、审判为目标，否则不得进行。第三，刑事诉讼目的不存在后应及时停止使用并封存或删除相关个人信息，例如针对涉及个人信息的技术侦查制度，我国《刑事诉讼法》第152条第2 款规定：“对采取技术侦查措施获取的与案件无关的材料，必须及时销毁”。
从实质上看，目的限制原则即是比例原则下辖三原则之一的适当性原则，要求公权力行为需以法律规定的目的为指向，且有利于该目标的实现。事实上，比例原则的其他两个下位原则也同样适用于刑事诉讼中的个人信息保护制度。其一，必要性原则或最小侵害原则要求，公权力以对公民权利最小侵害之方式行事，在有若干种行为方式之选择时，刑事诉讼中公权力机关收集使用公民个人信息时，也应当尽量选择侵害最小的那种方式进行。其二，根据狭义比例原则，需在公权力行为方式与其欲达到的目的之间进行衡量而实现合理的比例关系，在刑事诉讼中收集使用公民个人信息也应如此，避免权与责、权利与义务之间的失衡。可见，以比例原则特别是目的限制原则对刑事诉讼中个人信息收集使用行为进行规制，有助于实现公权力行使与权利保障之间的协调，从而避免“大炮打鸟”情形的出现，因此应当为制度设计者所充分重视。
（三）准确性原则
准确性原则要求刑事诉讼中有关公权力机关对个人信息的收集使用应保证此种信息的准确性，即在收集、存储、传递、共享、使用的每一个步骤都要采取必要措施保证信息的准确。这一原则看似理所当然，但在实际运用中并不容易：刑事诉讼由于具有上文所述的封闭性、秘密性特征，个人信息收集使用的公开透明性被适当限缩，特别在侦查阶段信息的收集使用往往是侦查机关单方性的行为，即便存在个人信息有误的情形也很难被发现。一旦个人信息发生错误，在司法信息化的背景下，随着大数据、人工智能等技术的运用，瑕疵可能被无限放大。因此，为实现个人信息收集使用的准确性，有必要保障信息主体的知情权（但如上文所述，为保障侦查这一高度秘密性的程序顺利完成，对信息主体的告知可以适当延迟至侦查工作基本完成或侦查阶段结束后），进而通过信息主体的参与，及时更新、更正、删除不准确的个人信息。
首先，对于已过时的信息应及时更新。刑事案件的处理，特别是疑难重大案件的诉讼过程，需要经历较长时间，在此期间，一些信息难免过时，倘若发现此种情形，应当及时更新，以免过时信息对案件的处理造成误导。
其次，对于仍有使用价值的不准确信息应及时更正。对不准确信息的更正固然可以来自于办案机关自行发现错误后的纠错行为，但更重要的是来自于信息主体发现信息有误后向办案机关提出的纠错申请。欧盟GDPR第16条规定信息主体享有更正权，可以要求信息控制者及时更正其不准确的个人信息，也可以通过提供补充声明等方式主动补充不完整的个人信息；欧盟2016/ 680号指令第16条也规定了信息主体有更正和补充不准确或不完整信息的权利。赋予信息主体要求更正不准确信息的权利，是因信息主体对其个人信息的准确性最为了解，也是保障其作为诉讼参与人的参与权的题中之义，但该权利的实现有赖于对其个人信息被收集使用知情这一前提。
再次，对于已无使用必要的不准确信息应及时删除。有必要更正的不准确信息限于与案件处理有关、符合刑事诉讼目的、仍有使用价值者，但对于不符合上述条件的信息，则应及时删除。GDPR第17条规定数据主体在“数据使用不再必须、数据主体撤回同意、数据主体反对使用该数据、数据被非法使用、法律明确规定需删除数据、儿童特殊保护”六类情形下可以要求删除相关数据，在刑事诉讼中，不再必须、非法使用、法律明确规定、特殊保护等情形可以成为删除已无使用必要的不准确信息的充分必要条件。
五、我国刑事诉讼个人信息保护的制度构建
（一）信息主体的权利
如上文所述，我国当前关于刑事诉讼个人信息保护的相关法律存在两方面问题，一是零散而不成体系，二是对公权力机关的授权多于对公民的赋权。对于第一个问题，可以考虑在《刑事诉讼法》修改时以专章规定个人信息保护问题，或者在个人信息保护专门法律中专章规定刑事诉讼中相关问题。对于第二个问题，则需要从加强对作为信息主体的公民的赋权和对公权力机关科以更严格责任两方面着手加以解决。
刑事诉讼中信息主体主要应当享有三类权利：前提性权利、程序性权利和反制性权利。首先，前提性权利主要是信息主体知悉其个人信息被收集使用的权利。“知情同意”是个人信息保护领域的基本原则，对加强个人自决或程序意义上的授权具有正当性，我国《网络安全法》第41条即明确规定网络运营者收集使用个人信息应当明示并经信息主体同意，体现出法律保障公民信息自决的基本态度。在刑事诉讼领域，尽管个人的信息自决因刑事诉讼的国家强制性特征而受到限制，但“知情同意”仍有意义和适用空间。如上文所述，可以适当延迟告知的时间，在秘密性最强的侦查工作基本完成或侦查阶段结束后告知信息主体其个人信息被收集使用的事实；而信息主体知悉这一事实后，方有可能决定同意或反对此种收集使用其个人信息的行为，并根据法律规定主张和行使其他信息权利。因此，信息主体的知悉权在刑事诉讼中仍然必要且重要，成为其他权利实现的前提。
其次，信息主体在诉讼过程中查阅访问相关数据的权利是其在个人信息保护方面最主要的程序性权利。GDPR第15条即明确规定了数据访问权，其内涵在于信息主体可以从信息控制者处确认其个人信息是否被使用的事实、并由此查询访问相关数据，专门用于刑事司法的欧盟2016/680号指令第14、15条也有相关规定。查阅访问数据的权利对于信息主体、特别是被追诉人而言“生死攸关”，只有当辩方有权查询访问相关个人数据时，方能对公权力机关所掌握的信息和证据有充分了解，辩护才能有的放矢。我国《刑事诉讼法》第40条虽规定了辩方的阅卷权，准许辩护人查阅、摘抄、复制案卷材料，但此种阅卷权无论在适用范围、对象、实际效果方面都与数据访问权存在差距，例如只适用于“案卷材料”即诉讼文书和证据材料，难以适应司法信息化带来的刑事诉讼个人信息收集使用方式的变化，故而应考虑对其进行改造，实现阅卷权向数据访问权的进阶。
再次，还应赋予信息主体更正权、被遗忘权、限制处理权等反制性权利，用于实现对公权力机关收集使用个人信息权力的制约。当信息主体发现公权力机关所掌握的信息存在不准确或不完整的情形时，有权要求其更正该信息、或有权对不完整的信息进行补充，从而行使更正权；当个人信息不再有被合法使用之需、或先前的使用是基于信息主体的同意而此时同意被撤回，则信息主体有权要求个人信息的控制者删除此类信息，从而行使其被遗忘权；当信息主体对被收集使用的个人信息的准确性提出质疑、而该信息的准确性尚在查证过程中，或者该个人信息需被保全而作为证据使用时，信息主体有权要求只有在其同意时公权力机关才能使用该信息，从而行使其限制处理权。上述三项权利无论在GDPR第三章第三节中还是专门适用于刑事司法的欧盟2016/680号指令第16条中都有规定，被用于反制作为个人信息控制者的公权力机关收集使用个人信息的权力，实现权利对权力的制约。我国在构建刑事诉讼个人信息保护制度时也可以参考引入这三项权利，尤其是更正权和被遗忘权，从而在公民信息权利和公权力机关特别是侦诉机关收集使用信息权力之间实现平衡，促进控辩平等对抗在刑事诉讼个人信息领域的实现。
（二）公权力机关（信息控制和处理者）的义务与责任
在刑事诉讼中，包括侦查、起诉、审判机关在内的公权力机关出于刑事诉讼的目的行使收集使用个人信息的权力，是主要的个人信息控制者和处理者，应当履行对应的义务和责任。具体而言包括两个方面，一是相对于信息主体的信息权利而承担的对应义务，主要包括告知义务和协助义务，二是基于控制和处理信息权力而承担的信息安全保障责任。
对应于信息主体权利的义务中的第一类告知义务，与信息主体的前提性权利知悉权相对应，要求公权力机关告知信息主体其个人信息被收集使用。具体而言有三方面要求：1.在告知时间方面，由于刑事诉讼固有的秘密性和封闭性特征，如上文所述，此种告知可以延迟至秘密性最强的侦查工作基本完成或侦查阶段结束后，但根据案件情况，应允许和鼓励公权力机关尽早告知；2.在告知的内容方面，作为信息的控制者和处理者，公权力机关除告知信息主体其个人信息被收集使用的概况性事实之外，还应告知收集使用个人信息的法律依据、被收集使用的个人信息的具体内容、收集使用个人信息的目的和法律意义（例如可能被用作针对该信息主体的控诉证据等）、以及告知信息主体因此享有的相关权利和救济途径；3.在告知的方式方面，此种告知应以书面文件（包括电子文件）等可留痕方式进行，以便后续程序中查证。第二类协助义务是公权力机关为信息主体行使权利提供便利的义务，例如针对数据访问权而为信息主体获取相关数据提 供数据库访问权限、提供数据副本，针对更正权而根据信息主体的要求修正不准确信息、补充不完整信息，针对被遗忘权而依法删除已无合法使用必要或已被撤回使用许可的信息，针对限制处 理权而将其处理使用相关信息的行为置于信息主体的“监控”之下等等。
基于控制和处理信息权力的信息安全保障责任主要包括四项：保密责任、记录责任、风险评估责任、信息泄露后的通知和告知责任。第一，尽管刑事诉讼中公权力机关收集使用个人信息相对于信息主体而言仍应遵循透明性这一个人信息保护基本原理而履行告知义务，但其收集使用的信息、尤其是敏感个人信息应当对其他人严格保密，以防被用于刑事诉讼之外的其他目的。为保障此种保密责任的实现，公权力机关应采取必要的措施保证信息处理的安全，例如传输和存储个人信息时采用加密等措施、对大量接触个人信息的人员进行背景审查、设置使用特殊数据的授权触发机制、对特定数据进行“匿名化”处理等。第二，对于收集使用个人信息的过程应当予以全程记录，例如欧盟2016/680号指令第25条要求以日志形式记录个人信息处理的过程，其目的即在于以便日后审查。我国也应有此种全程记录之规定，特别对公安机关收集个人信息的行为，应全程记录，并根据此种记录由公安机关法制部门及时审查此种行为的合法性。第三，公权力收集使用公民个人信息时，应当评估此种收集使用行为可能带来的风险，特别是可能给该公民的隐私、财产、人身权利带来的风险，从而按照目的限制与比例原则的要求进行价值衡量。GDPR第35条规定了信息控制者和处理者的此项责任，欧盟2016/680号指令第27条也有类似规定，我 国在构建刑事诉讼个人信息保护制度时亦可对公权力机关科以此项责任，以避免给公民权利造成 过大的伤害。第四，在已经发生个人信息泄露事故时，作为信息控制者和处理者应当及时通知和 报告，一是向主管部门报告，其目的在于尽快采取补救措施减轻事故后果；二是向信息主体报告，以便其了解因此可能带来的人身伤害、财产损失等方面的风险，及时做好准备或寻求保护。对于信息泄露后的通知和告知责任，我国《网络安全法》第42条针对网络运营者已有规定，在刑事诉讼中也应加以明确。
（三）提供保护个人信息的保障措施和救济途径
为确保刑事诉讼中的个人信息安全，需提供必要的保障措施和救济途径，主要有确立信息收集使用行为的司法令状和内部监管并立体系、设置独立的信息监管机构、构建侵犯信息权利的惩戒和赔偿机制等三方面内容。
第一，确立信息收集行为的司法令状和内部监管并立体系。对于收集个人信息的行为，应有事前之监管。可以按照收集信息行为的性质，作出司法令状与内部监管方式的区分。其中针对特定犯罪嫌疑人、以刑事侦查为目的的信息收集行为，符合隐私期待“主客观双重判断标准”，实际上构成对该特定犯罪嫌疑人的搜查，应当根据令状主义之原理，由独立的司法官员签发。例如美国联邦最高法院在2018年的“卡朋特案”中认为，即便通过第三方获取公民的手机定位信息，仍构成宪法第四修正案所指的搜查，需要遵循令状原则。除此之外，刑事诉讼中针对其他诉讼参与人的信息收集行为或者针对不特定对象的信息收集行为，可以通过内部监管的方式，由收集信息的机构内部监管部门或机构，如公安法制部门，进行监督。但我国目前的实际情况是针对信息收集行为，只有内部监管而无司法令状制度。例如2019公安部《电子数据取证规则》第41条规定，需要调取电子数据时，办案部门负责人批准，开具《调取证据通知书》。从法治国权力监督制约的要求看，仅靠内部监管显然不够，将刑事诉讼中针对特定犯罪嫌疑人的信息收集行为的事前批准权交于司法，既契合“以审判为中心”的要求，又可以构建出司法令状和内部监管并立的符合实际需要的制度。而从具体制度设置方面，司法令状主义要求可以在现实中先妥协，由享有侦查监督权的人民检察院签发“准令状”，随着司法改革的进程逐步完善，最终由人民法院行使此种权力。
第二，设置独立的信息监管机构。为实现对公权力机关收集使用个人信息行为的监管、保障公民的信息权利，也为解决上文所述发生个人信息泄露事故向哪一“主管部门”报告的问题，有必要设立独立的信息安全监管机构。欧盟2016/680号指令第6章已经要求成员国针对刑事司法设置独立的信息监管机构，而对于我国而言，尽管确定独立的信息监管机构具有必要性，但由哪一机构承担此种独立监管权仍有疑异。《网络安全法》第45条规定的“依法负有网络安全监督管理职责的部门”主要是国家网信部门，但网信部门业务范围毕竟与刑事诉讼关系较远，对于刑事诉讼中个人信息收集使用的特点难以把握。从相对合理主义的理念出发，目前较为适当的选择是将刑事诉讼中信息监管的权责交由检察机关。尽管这可能引发独立性不足的疑虑，但从检察机关“国家法律监督机关”的定位看，其“客观官署”的性质是为立法者所认可的。加之监察体制改革后其加强法律监督职能的需要,将此种信息监管的权责交给检察机关行使，其履职的动力较大、也有足够的人力资源行使此项权责。但从长远来看，仍需要最终建立一个专门的、独立的刑事诉讼信息监管机构或部门，由其负责刑事诉讼中的信息安全监测监督、处理投诉、提供指导等工作。
相关阅读 ·
商品书目 ·
微信号 : DigitalLaw_ECUPL
探寻数字法治逻辑
展望数字正义图景
数字法治战略合作伙伴：理财魔方
北京市竞天公诚律师事务所上海分所