□ 法治日報全媒體記者 朱寧寧
伴隨全球進入大數據管理時代，網絡化、電子化政府開始出現，國家機關處理個人信息的行為在世界各國已成為常態。可以說，國家機關已成為目前最主要、最重要的個人信息處理者。
不久前提請審議的個人信息保護法草案在第二章第三節設立專節，專門對國家機關如何處理個人信息進行了規定。草案第三十五條規定，國家機關為履行法定職責處理個人信息，應當依照本法規定向個人告知並取得同意。第三十六條規定，國家機關不得公開或者向他人提供其處理的個人信息，法律、行政法規另有規定或者取得個人同意的除外。
把國家機關納入個人信息保護法的調整範圍，被視為草案的亮點之一。一些業內專家在接受《法治日報》記者採訪時指出，對國家機關進行專門規定十分必要，也具有很強的現實意義，值得充分肯定。但目前草案的相關規定仍比較原則，尤其是缺少國家機關之間共享個人信息的具體規定，建議進一步細化、明確，予以必要的制約和限制。
應設立專門管理制度及負責人員
「國家機關是個人信息最大的處理者和持有者，只有規範好了國家機關的個人信息處理行為和保障其安全，才能真正保護好個人信息。」中國人民大學法學院教授張新寶認為，草案專門對國家機關作出規定十分有必要。
張新寶同時指出，針對國家機關收集利用個人信息，除了要對與其他非國家機關處理者相同的問題進行研究之外，還需要對國家機關在個人信息處理和利用各個環節特殊的問題進行考量，比如，出於公共利益目的依法收集的個人信息的範圍、安全制度等。「因此，在國家機關處理個人信息這一問題上，需要有專門的管理制度、專門的負責人員。」張新寶說。
值得注意的是，為了社會管理需要，一些國家機關共享了很多個人信息。應當看到，這種共享行為既有利於信息資源整合，又可以提高行政效率，方便當事人辦事。但與此同時也引發是否為政府機關履行法定職責所必須、是否符合個人信息的收集和使用規則的質疑和擔心。
鑑於此，張新寶認為，草案有必要進一步明確國家機關之間涉及個人信息的信息共享規則。這些規則既包括同級共享的規則，也包括上下級共享的規則，還應包括異地共享等規則。
「總之，國家機關在處理個人信息的時候，應嚴格遵守法律原則和制度，立法也需要制定更具體的規定，來保證政府機關正確履行職責和保護個人信息，實現個人權益保護與國家依法履行職權之間的平衡。」張新寶說。
應明確國家機關侵犯個人信息法律責任
「從目前的草案看，個人信息保護法的基本原則也適用於國家機關。換言之，國家機關作為個人信息處理者也要遵守相關法律規定。對此首先要予以充分肯定。但草案目前的規定還略顯單薄。」北京大學法學院教授王錫鋅認為，怎麼處理好公共利益、公共安全和保護個人信息的關係，是國家機關處理個人信息的關鍵問題。
在王錫鋅看來，草案目前的一個短板就是沒有規定相應的國家機關侵犯個人信息的法律責任。「目前的處理方式只能由上級機關對相關責任人進行處分。但這種處理方式並不是法律責任，而是單位的內部決定。這就意味著，即便個人信息受侵害的自然人對該處分不滿意也無法提起訴訟尋求救濟。」
鑑於此，王錫鋅建議，立法中應增加一些基本的原則性的法律責任方面的規定，為今後制定專門的實施細則提供上位法依據，避免出現制定細則時隨意的情況發生。
「國家機關跟非國家機關作為個人信息處理者，有很大的不同。國家機關處理信息本身是履行職責，為了公共安全，服務於公共利益甚至國家利益，因此，立法時必須要把國家利益、公共利益作為很重要的變量進行考慮，但是同時也要注意平衡對個人信息權益的保護。」王錫鋅說。
此外，還有一個需要關注的難點是，國家機關處理個人信息的時候，如果跟個人之間發生爭議，是屬於行政爭議還是民事爭議？是通過行政程序處理還是民事程序處理，也是較為複雜的問題，王錫鋅認為立法時也應該有規定。而國家機關處理信息如果侵權的話，到底適用民事侵權責任還是行政國家賠償責任，立法也要進行明確。
建議明確具體監管機構及其職責
除了進一步細化國家機關處理個人信息的規則，有關國家機關的監管職責也是此次個人信息保護立法各方予以關注的話題。關於個人信息保護的監管部門及其職責問題也是立法焦點。
在實踐中經常會有一種現象，很多用戶在個人信息權益受侵害時並不清楚究竟要到哪個部門去投訴，存在著很多部門好像都在管、但是出了事之後又不知道該找誰的現象。
「之所以出現這種現象，與目前監管部門的法定職責不是特別清晰不無關係。」北京大學法學院教授薛軍認為，監管部門及其職責問題必須要明確。只有明確了具體監管部門，公民在個人權益受侵害的時候才會知道究竟是哪個部門來管、可以向哪個機構投訴、哪個機關有義務來反饋等等。「目前歐盟在此問題上實行了『一站式』監管，職權高度清晰，整個體制非常有執行力。我們可以適當地對這種監管體制進行借鑑。」薛軍認為。
草案第五十八條規定，國家網信部門和國務院有關部門按照職責權限組織制定個人信息保護相關規則、標準，推進個人信息保護社會化服務體系建設，支持有關機構開展個人信息保護評估、認證服務。
「要防止認證、評估等服務變成某些部門變相斂財收費的工具。比如，指定必須去一些關係密切的第三方機構做認證才可以，這樣就會給企業帶來很重的負擔。」除了要明確監管機構職責，薛軍認為還要特別警惕所謂的變相監管套利的問題。
薛軍建議，立法時應明確不得以檢查、認證等為藉口亂收費、重複收費。特別是要禁止指定特定的機構或部門進行認證的行為。同時，還要給企業相應的救濟權利。比如，企業因相關活動必須要進行相關評估，但卻遭到拒絕不予認證，此時應當賦予企業申請複議等權利。「草案目前這方面的規定還不是很夠，應予以進一步明確。」薛軍說。