個人信息保護國家標準司法適用面臨的問題及應對路徑

武丹/制圖

作者|李謙

責編|薛應軍

正文共2991個字，預計閱讀需9分鐘▼

11月24日，全國網絡安全標準化技術委員會發布《個人信息保護 個人信息識別指南（征求意見稿）》《個人信息保護 個人信息去標識化指南（征求意見稿）》《個人信息保護 個人信息匿名化指南（征求意見稿）》3項網絡安全標準實踐指南，面向社會公開征求意見。這是全國網絡安全標準化技術委員會繼今年8月就《個人信息保護國家標準體系（2025版）（征求意見稿）》公開征求意見，組織制定個人信息保護系列標準，為個人信息處理者提供具體、可操作的實施細則的又一重要舉措。

近年來，隨著人工智能等數智技術的廣泛應用，國家標準已成為個人信息保護的重要工具，正重塑個人信息保護的治理結構。作為個人信息保護的重要力量，司法裁判要準確適用個人信息保護國家標準，有助于合理、有效應對個人信息侵害風險，提高個人信息保護能力，依法保護個人信息權益，規范個人信息處理活動，促進個人信息合理利用。比如，《個人信息保護國家標準體系》以個人信息權益保護為核心，對涉及個人信息相關的技術、服務、管理、系統等內容進行標準化設定，包括獲取、存儲、使用、加工、傳輸、提供、公開、刪除等個人信息處理行為。這一標準體系是司法工作人員理解個人信息處理行為規范內涵的重要抓手，也是增強個人信息保護案件釋法說理的有力素材。如何提高個人信息保護國家標準司法適用的準確性和有效性，值得關注。

個人信息保護國家標準司法適用面臨的問題

作為司法工作人員釋法說理的主要工具，個人信息保護國家標準在適用過程中，通常會遇到規范性、適配性和有效性三方面問題。

第一，司法適用個人信息保護國家標準的規范性有待加強。個人信息保護國家標準大多為推薦性國家標準。這使得其適用的效力很少在個人信息保護案件釋法說理中得到充分彰顯。大多個人信息保護案件因擔心引用標準可能引發當事人或社會對其效力的質疑，通常較少直接援引未獲強制效力的技術標準。

第二，司法適用個人信息保護國家標準的適配性有待提升。一些個人信息保護案件援引相關技術標準，既未指明其具體內容，也沒有依據特定法律法規的條文進行釋法說理。其在釋法說理時，僅提及個人信息保護國家標準的名稱，沒有就涉及的標準內容及其法律法規的轉致情形進行論證。

第三，司法適用個人信息保護國家標準的有效性有待解決。不同的個人信息保護國家標準，可能對于同一個人信息保護事項具有效力，但一些個人信息保護案件就同一個人信息保護事項，僅列舉一個國家標準進行釋法說理。這從國家標準適用的有效性來看，還有待列舉其他相關的國家標準加以闡釋或進一步說明。

個人信息保護國家標準司法適用問題的原因分析

第一，尚無完整的個人信息保護國家標準司法適用的方案。理論上，尚缺少對個人信息保護國家標準司法適用的方法論建構，其規范性由哪些要素組成，如何從理論上實現規范性等還缺乏系統研究。實踐上，個人信息保護國家標準司法適用僅出現在部分案件中，尚沒有就適用個人信息保護國家標準的規范性形成一致的思路。

第二，尚未充分形成國家標準與法律法規的銜接機制。作為推薦性標準的個人信息保護國家標準，在融入釋法說理的裁判文書過程中，需要依托法律法規的具體條款。個人信息保護轉致條款的解釋與適用，是個人信息保護國家標準得以融入的重要機制。目前，從學術研究及司法實踐看，尚未在國家標準與法律法規之間建立環環相扣的銜接機制。

第三，尚缺乏對國家標準之間“競合”內容的充分研究。一些個人信息保護案件的爭議焦點，亟待運用多個國家標準進行司法裁判。例如，涉及人臉識別數據案件的釋法說理，需要運用個人信息保護的“一般標準”和人臉識別數據/技術的“特別標準”。如何選擇適用，這可能涉及標準的“競合”問題。

個人信息保護國家標準司法適用問題的應對路徑

個人信息保護國家標準司法適用問題的成因多樣，難以通過單一維度的治理路徑得到破解。有必要依托現有個人信息保護國家標準體系，著力建構技術標準、法律法規與釋法說理協同適配的應對路徑。

優化技術標準的實施路徑。第一，理論上應逐步探索個人信息保護國家標準的司法適用方法論。個人信息保護國家標準實施不是一經選擇就適用所有問題，而是包含技術標準的識別與選取、法律法規的轉致、技術標準的引用等多個階段的動態過程。理論上建構方法論旨在為司法工作人員提供一套邏輯嚴密的工具，力圖破解從個人信息保護國家標準“能否援引”到“如何選取”再到“如何說理”的一系列問題。第二，實務上應逐步細化個人信息保護國家標準的釋法說理步驟。就個人信息保護案件中涉及的“知情—同意”規則的應用、個人信息處理必要性原則中“必要”的判斷、個人信息“識別性”的認定等一系列事項，細化相關技術標準的實施方案。第三，借助人工智能等數智技術，輔助完善技術標準實施的圖譜。盡管目前尚無完整一致的技術標準實施路徑，但在理論研究和實踐探索中，可以借助人工智能等數智技術為司法工作人員提供相對清晰的“思維導圖”和“適用步驟”，并為其有效解決個人信息保護案件的爭議焦點提供智能化支撐。

探索技術標準的說理路徑。第一，可按照個人信息保護國家標準融入司法裁判的方式及發揮的作用，確立技術標準的說理路徑。個人信息保護國家標準司法適用的目標不同，決定了技術標準的說理路徑有所區別。有些個人信息保護案件需要結合國家標準來闡明個人信息的概念及范圍；有些個人信息保護案件需要結合國家標準來論證企業采取的技術措施是否符合合規要求；有些個人信息保護案件需要結合國家標準來判斷特定個人信息處理行為是否合法。不同案件所涉及的問題影響不同技術標準司法適用的方法與方案，因此，要形成技術標準的不同說理路徑。第二，就技術標準的競合、復合適用等問題，提供詳盡的說理內容。技術標準的競合，可按照形式要件和實質要件來選擇需要適用的個人信息保護國家標準。形式要件關注國家標準的效力，實質要件則關注國家標準所涉內容與待解決事項的匹配度。技術標準的復合適用意味著運用一個國家標準或者多個國家標準中的多個條款。對于技術標準的競合及復合適用等問題，要在理論和實務上進行體系化研究，盡可能提供詳盡的說理方案。

彰顯技術標準的功能指向。第一，提煉個人信息保護國家標準在司法適用中的功能指向。一方面，設定相應個人信息處理的行為標準。這既包括企業處理個人信息的行為標準，還包括相關機構管理個人信息的行為標準。另一方面，確定合規要件的技術要求。比如，準確適用我國個人信息保護法涉及的“安全技術措施”“保護措施”表述，要結合相關個人信息保護國家標準，綜合判斷企業采取的“安全技術措施”“保護措施”是否達到合規條件。第二，確立個人信息保護國家標準司法適用的激勵制度。個人信息保護國家標準司法適用，是技術標準與法律法規的一場深度對話，應以法治思維與標準化原理為指引，進一步提升司法工作人員準確適用技術標準的積極性。

總體而言，要發揮個人信息保護國家標準的作用，科學地進行司法適用，既加強技術標準實施，又提升個人信息保護案件釋法說理的方式。應全面、系統、準確把握個人信息保護國家標準司法適用的原理與步驟，力爭建立一套面向司法適用的方法論，進而有效解決個人信息保護案件的司法適用難題。

本文為2024—2025年度江蘇省司法廳法治科研項目“江蘇發展新質生產力的法治需求研究”（項目編號：2024jssf03）的階段性研究成果。

（作者單位：南京師范大學中國法治現代化研究院）