理解并明确个人信息保保护的义务与责任

（一）目的限制原则

目的限制原则对个人信息控制权的实现非常重要。数据保护工作组指出，通过同意规则与删除权的行使实现的个人信息控制权，只有在信息主体完全认识到信息处理的目的时才有意义。^[17]

目的限制原则有两个因素：特定的目的与一致的用途。^[18]在特定目的下，只能在具体、明确、合法的目的用途下采集个人信息，这需要确定信息在每一次请求使用中的处理目的。^[19]如果信息被进一步处理，新的目的用途必须明确^[20]，即如果信息控制者希望获得同意的事项区别于此前已取得同意的事项范围，则需要向用户做出单独明确的说明。一致用途的原则禁止信息处理的目的与采集时确立的目的不一致的情形下对信息作进一步处理。^[21]

欧委会草案规定，当信息进一步处理不满足目的一致性的要求时，如果能符合信息处理的法定理由的要求，则信息控制者可以对信息展开进一步处理。这严重削弱了目的一致性要求的重要性。^[22]虽然欧委会草案中的第5（b）款重申了《数据保护指令》中的目的限制原则，但在目的不一致的情况下，对信息的进一步处理导致的结果在指令与草案的框架下是截然不同的。在《数据保护指令》的框架下，目的不一致情况下的信息处理是非法的且应被禁止，而欧委会草案第6（4）款则允许在目的不一致的情况下对信息作进一步的处理，并为信息控制者提供了新的处理信息的法律依据。数据保护工作组解释这样的变化意味着“总有可能通过简单地确定一个新的信息处理的法律依据的方式填补目的一致性的要求”^[23]，如改变与信息主体间的合同条款或删除相应条款段落的方式。^[24]

欧委会草案第6（4）款的除外规定不仅删除了目的限制原则的实质内核^[25]，同时也宣告了信息处理中保障个人控制权实现的目的限制原则的破产。《通用数据保护条例》最终删除了欧委会草案第6（4）条的例外规定。

（二）信息的处理需符合主体的合理期待

在立法改革向着财产权方向迈进的论述中，简单提及了信息控制者合法的信息处理利益。此部分论述将展示立法对信息控制者合法的信息处理利益规定的全貌。(www.xing528.com)

《数据保护指令》第7（f）允许数据处理在“信息控制者为了追求合法利益”时进行，“除非该利益被第1（1）款所保护的信息主体的基本权利与自由的利益所超越”。该条款的适用明显需要解释，需要在合法的利益与信息主体的基本权利与自由的利益之间进行权衡，比如在业务的开展与对隐私、信息自决与个人信息控制权的保护之间。

不论是欧委会草案，抑或是2016《通用数据保护条例》，在同一个条款——第6（1）（f）项，即在平衡信息控制者合法利益时，并不是与信息主体的个人信息权的保护平衡，而是与“需要给予保护的信息主体的基本权利与自由的利益”的平衡。这呈现出一种较弱保护的状态。信息控制者合法的利益成为一个标准，欧委会草案下的该标准比较容易满足，因为对信息主体基本权利与自由的保护范围明显比信息主体隐私、个人信息自决的保护范围窄。同时，这个平衡标准在适用上是比较模糊的，会产生一些偏向信息产业利益的结果。另外，信息控制者实际上从一开始就扮演了平衡两者间利益关系的裁判者的角色，而信息保护机构与法院的平衡则是在事后进行的。虽然欧盟在数据信息保护方面处于领头羊的地位，但它仍然是比较稚嫩的，其并没有为利益平衡的实践操作提供指引。从目前的情况来看，也并不清楚欧委会是否能够在各种类型的信息处理面前，制定出足够精确的指引来。^[26]

而相较委员会草案，《通用数据保护条例》在这一问题上进行了补充。通过引入信息主体合理期待的标准，对信息控制者为追求合法的信息处理利益的目的进行的信息处理或其向第三方披露，由第三方进行的信息处理进行平衡。在信息控制者与信息主体的关系上，信息控制者对个人信息的处理需符合信息主体的合理期待。《通用数据保护条例》叙文第50条的指引及第6（4）款的规定则表明，只有在信息进一步处理的目的与信息原初收集的目的一致时，信息才能被进一步处理。为了判断信息进一步处理的目的是否与最初收集个人信息的目的相符，信息控制者在已符合所有原初处理的合法性要求后，应特别考虑，进一步处理的目的与最初收集个人信息的目的之间的联系[第6（4）（a）项]，收集个人信息的背景第6（4）（b）项，特别是信息主体基于其与信息控制者间关系的合理期待（叙文第50条），个人信息的性质第6（4）（c）项，预期进一步处理产生的后果第6（4）（d）项，以及在最初及预期进一步处理信息的操作中，是否存在适当的保护措施第6（4）（e）项。叙文第47条指出，无论如何，合法利益的存在需要仔细评估，包括信息主体是否可以在收集个人信息的时间和范围内，合理预期可能发生为某一目的的处理。而根据叙文第26条的阐释应可推知，当信息的处理是以不能识别的匿名方式进行时，满足了信息主体对信息控制者合法处理个人信息的合理期待。“合理期待”的标准会不会提高信息主体的地位还有待观察。当然，有学者批评“合理期待”的标准实质上陷入了一种循环论证。同时，人们对自身信息、隐私的合理期待是需要通过法律保护的方式才能予以实现的。^[27]“合理标准”成效的检验成为一个实践问题，需留待时间来考证。

（三）一般情形下禁止处理敏感信息的原则

《通用数据保护条例》第9（1）款规定，禁止对敏感个人信息进行处理，包括可以揭示个人种族、政治倾向、宗教及哲学信仰、商业团体成员资格、能确定地识别出个体身份的基因、生物信息及关涉个人健康与性生活、性倾向的隐私信息等。

敏感个人信息的特殊性在于，作为一般法则，禁止处理敏感数据，除非特定的例外条件能够满足〔第9（2）款的规定〕。这些例外条件包括信息主体的明确同意，或者信息主体已经将上述信息公开；为了建立、履行或者保护合法的诉求必须处理上述敏感信息；为了公共利益的需要，或者与公共利益相关的归档、科学、历史或者统计目的之用。但总体的原则是，这些对于敏感数据处理的例外情况的解释将会非常狭窄。