美国隐私保护法案和隐私保护框架详解

（一）美国隐私法的缘起

早在1890年，沃伦与布兰代斯就在《哈佛法律评论》上发表《论隐私权》一文。对流言蜚语愈发感兴趣的媒体，未得到人们的授权同意，随意将私人事务予以披露，使得沃伦与布兰代斯呼吁，美国普通法应承认隐私权是一项独立的权利。文章开篇提到，法律应为个人的财产与人身提供充分保护，这一保护的范围需要跟随政治、经济、社会的发展不时重新予以调整与界定……社会的发展与文明的进步让人们认识到，生活中仅有小部分的痛苦、愉悦、收益来自物质世界，人们的精神世界、感情需要得到法律的保护与承认。法律从对生命、有形财产的实际妨碍、暴力侵占提供保护到对无形财产、思想情感提供救济，在对新权利不断予以确认的过程中，普通法也在其永恒的青春中不断成长……^[39]直接促成沃伦与布兰代斯对隐私问题深入思考的起因源自初代便携式照相机的发明与商业手段的变化。在这篇论文中，他们宣称：“最近的发明与商业应用将人们的目光吸引到个人隐私权的保护上来……‘不受打扰’的权利应得到保障……很多技术发明威胁到了隐私权，‘窃窃私语被公之于众’的预言可能成为现实。”^[40]沃伦与布兰代斯的这篇文章具有开创性，它的基本理念是将隐私视作人格权的一部分，是“独处的权利”，是人类价值的缩影。到20世纪中期，针对美国当时的社会经济环境以及日益严重的侵犯隐私问题，有学者提议建立普遍性的隐私保护法，即建立涵盖从政府到个人的多层次、多方位的公民隐私权。^[41]可以说，这样的主张在当时极富预见性。

1939年以前，民事法庭并未将对隐私权的侵犯作为公民可以在法院提起诉讼的正当理由。直到1939年，美国《侵权法重述》（第一次）才承认隐私权是一项独立的权利，无正当理由严重侵犯个人隐私的行为才被纳入可起诉的诉因中。^[42]隐私权在不同案件中呈现的类型各不相同。到1960年，学者普雷瑟（William L.Prosser）将隐私侵权的主要类型区分为四类：第一，行为侵犯个人私人空间或私人事务，即侵扰他人安宁的隐私侵权；第二，公开他人私人事务的隐私侵权；第三，公开个人信息以便丑化他人形象的隐私侵权；第四，为私人利益而擅自使用他人的姓名或肖像的隐私侵权。^[43]普雷瑟对隐私权所包含的四种利益的概括总结影响甚广，此分类被采纳进《侵权法重述》（第二次）中。^[44]《侵权法重述》（第二次）第652条所呈现的四种隐私利益可简略概括为：“侵入侵权”（652B），“盗用侵权”（652C），“公开私生活侵权”（652D）和“扭曲他人形象侵权”（652E）。即便《侵权法重述》（第二次）对隐私侵权的类型进行了明确划分，但鉴于当今社会因商业目的而大范围采集、使用、散播个人信息的现象依然严重，上述四款规定似乎无法很好地解决隐私问题，因此遭受了诸多的批评。1965年，格鲁斯沃德诉康涅狄格州案（Griswold v.Connecticut）标志着美国宪法隐私权的确立。^[45]随后，1976年沃伦诉罗伊（Whalen v.Roe）案，则成为宪法隐私权保护加强的标志性案件。^[46]该案成为美国历史上第一次承认宪法上隐私权包括信息隐私和自决隐私的案件。而在之后，美国国会也制定了诸多成文法律来调整信息取得、储存与传播的问题。

（二）美国隐私法的发展——公平信息实践法则

当今社会，伴随着科学技术的日新月异，信息技术也获得了长足的发展，它被更加普遍地应用到政府工作和私人生活中。基于此，全世界各地的政策制定者们开始重新审视信息技术对个人隐私的影响——无论是积极的还是消极的。1973年，美国卫生、教育与福利部（United States Department of Health，Education and Welfare，简称HEW）发布了一份题为《录音、计算机与公民权利》（Records，Computers，and the Rights of Citizens）的报告，针对“自动化个人数据系统可能导致的不良后果”等问题进行了详细的分析和论证。对此，报告提出建立信息使用保障措施的建议，也就是后来著名的“公平信息实践法则”——该法则成为今天信息保护制度的奠基石。

在个人信息保护的基本措施方面，“公平信息实践法则”作了明确和清晰的规定。譬如，针对信息主体而言，个人有权知晓自己的哪些信息被收集，这些被收集的信息将被如何使用，有权拒绝他人使用与其相关的信息，同时，也有权纠正不准确的信息。而针对信息收集主体，则规定如下：信息收集机构有义务保证信息采集的可靠性并保护信息的安全。1974年，美国出台《隐私法》，其中的主要内容和原则规定皆源自“公平信息实践法则”。因此可以说，“公平信息实践法则”构成了《隐私法》的基础。^[47]

虽然欧盟国家与美国在隐私权保护方面的规定略有差异，但它们的基本框架都建立在“公平信息实践法则”之上，同时都将隐私权视为一项基本的人权。在保护措施方面，欧盟国家采取的是自上而下的模式，即全面限制对个人信息的使用，尤其对信息控制者使用信息须征得信息主体的同意提出了明确要求。反观美国，通常是在特定领域进行立法，如在医疗保障、金融、教育、信用体系等特别领域，通过对特定风险进行特定管控的方式来规制信息的收集与使用。因此在美国，很少有能够适用于全领域的普适性规则。也正是基于此，产品与服务的创新及数据信息的跨领域使用才获得了发展的空间。对于国际公约与诸多部门法而言，“公平信息实践法则”成为它们的共同思路和指导方针。2004年，亚太经合组织成员签署通过了《亚洲太平洋经济合作组织隐私权法则》（Asia Pacific Economic Cooperation Privacy Principles），“公平信息实践法则”被正式编入其中。该文件构成美国—瑞士、美国—欧盟间安全港框架的基础。

（三）特定行业下隐私保护的特别立法

1968年的《全面犯罪控制和街道安全法》（Omnibus Crime Control and Safe Streets Act of 1968）对使用电子监听设备收集信息的活动进行规范。

1970年，《公平信用报告法案》（Fair Credit Reporting Act）出台。该法案的宗旨在于推进隐私保护，具体措施方面试图促进信用报告机构更加公平和准确地收集信息。通常情况下，信用报告机构所收集的信息往往用于征信报告、雇员职业背景调查、租户筛查等方面，而这些报告和调查具有泄露私人信息以及对个人的生活、工作产生不利影响的可能性。鉴于此，该法案规定，在依据报告采取不利于当事人的措施时，信用报告机构等应尽到相应的告知义务，从而在一定程度上限制了这些机构对此类信息的使用。该法案将访问、更正个人信息的权利赋予个人，并要求提供消费者报告的公司确保信息的准确与完整。虽然该法案在禁止信用报告机构滥用信息方面做出了详细和明确的规定，但其对信息披露范围的限制并不严格，因此，难以有效保障信息的隐秘性。譬如，信息披露可以在如下情况下进行，有较为正当和合理的理由相信，信息使用方使用信息是出于信息主体申请了工作、保险或其他政府福利或为了正当的商业需要时。或许是考虑到《公平信用报告法案》如上的不足之处，1996年出台的《消费者信用报告法案》（The Consumer Credit Reporting Act of 1996）对其做出了重大修改和调整，变化主要呈现在下述五个方面：第一，扩大消费者报告范围之外的金融信息，这将便于同一机构的内部各分支机构间可以更多地共享商业交易信息；第二，对信用报告机构在何种情况下可以提供调查性报告或信用报告进行了新的限制；第三，确立了对以招揽客户为目的的信用报告的新的事前审查规则；第四，为最大程度保障信息提供方提供给消费者报告机构的信息的准确性，为信息提供方设立了新义务；第五，加大了民刑事方面的惩罚力度。

1970年的《犯罪控制法》要求各州采取措施，保护与规范其刑事记录中的信息。

1974年的《家庭教育权利和隐私权法案》（Family Educational Rights and Privacy Act）则对学校向第三方披露学生信息做出严格限制。学生的成绩记录、家长的财务情况以及学生的保密推荐信皆在《家庭教育权利和隐私权法案》的保护范围之列。此法案规定，未经年满18周岁以上的学生本人同意或学生家长的书面同意，任何教育机构非法披露学生教育记录的，联邦将不再给予其相应的资金资助。同时，该法也规定了无需经过同意的例外情形。需要注意的是，该法的救济手段是有限的。在信息遭到非法披露后，学生和家长的首要救济途径是向当地教育部门的行政长官投诉，申请侵权方改正不法行为。如果学生和家长对处理方案不满意，其可向教育部长申诉。而针对此类违法行为，教育部长所采取的唯一惩戒手段只是中断对教育机构的联邦资助。除此之外，该法没有创设任何私法上的救济 措施。^[48](www.xing528.com)

1978年《财务隐私权法案》（Right to Financial Privacy Act）出台，该法案的出台是对1976年美国政府诉米勒一案（United States v.Miller）判决的回应。^[49]该法案规定了联邦部门查询银行记录的方式，明确载明政府获取信息的程序，消费者享有知情权与提出质疑的权利。需要注意的是，该法并没禁止金融机构向政府披露用户个人信息，事实上，银行也经常向政府部门报告反常的交易。依据此法案的规定，如果向政府部门披露的仅仅是客户的姓名、地址、银行账号和账户类型，则不必通知客户。^[50]

1986年《电子通讯隐私法》（Electronic Communications Privacy Act）将截取电子通讯的行为界定为犯罪，并将因此造成的对隐私的侵犯纳入到民事救济的范畴。《电子通讯隐私法》的立法目的是希望在新的通讯与信息技术带来的巨大变化下，明确隐私权保护的范畴与标准。在保护范围方面，该法案作了进一步扩展规定，将原先在1968年《全面犯罪控制和街道安全法》中的保护范围扩大到包括通过电子手段进行传播的通讯在内。受到保护的新技术包括电子邮件、计算机间的通讯、移动电话间的通讯等。

1988年《视频隐私保护法案》（Video Privacy Protection Act）禁止录像带经营者披露顾客购买或租借了何种录像带信息的行为。该部法律的制定出于对一起媒体事件的回应。媒体公布了波克（Robert Bork）法官在获得最高法院法官候选人提名期间所租借的电影录像带信息，在这一背景下，国会通过了这部立法，以限制获得消费者购买或租借录像带信息的行为。这使得任何视频录像磁带提供商，披露正常业务流程之外的租赁信息，最高可被责成2500美元的实际损害赔偿责任。

电信领域，1996年出台的《电讯法》（Telecommunication Act）规定电讯经营者有保守客户财产信息秘密的义务。

1996年出台的《健康保险携带与责任法案》（Health Insurance Portability and Accountability Act）则规定，使用和披露个人健康信息的主体只能是那些在法案中被明确界定的特定主体。^[51]

1998年，第一部针对儿童网上隐私问题的法律《儿童网上隐私保护法》（Children’s Online Privacy Protection Act）出台，该法律同时也是第一部对网络服务经营者与网站运营商处理个人信息活动进行专门规制的联邦法。该法案规定，网络服务经营者与网站运营商收集并使用13周岁以下儿童个人信息的行为必须获得儿童父母的同意。该法案的目的是保护网络创新，促进与保障互联网能够提供越来越多的网上内容与服务供儿童使用，同时也确保父母全方位参与到儿童网上活动过程中，并对线上所有采集儿童信息的行为有所知晓。

就金融领域而言，1999年《金融服务现代化法案》[Financial Services Modernization Act of 1999），亦称《格雷姆-里奇-比利雷法》（Gramm-Leach-Bliley Act）]则要求金融机构既要尊重客户隐私也要保护客户非公共信息的安全，这是1999年克林顿政府颁布的一项以金融混业经营为核心的美国联邦法案，该规定出台的目的是为了减少对金融机构间相互联合共同提供金融服务或产品的限制。该规定允许企业间联合以提供全线金融产品，这必然会导致私人财务数据在不同公司间共享。立法后期，这个问题成为隐私权保护者关注的重点，这促成了该法第五部分关于数据隐私的规定——要求金融机构尊重客户隐私，保护客户个人信息的安全和隐秘性。采取欺骗手段（如以提供服务为借口）获取私人消费者金融信息属于联邦法律认定的犯罪行为，最高可判处5年监禁。金融机构需要向客户履行通知的义务，与此同时还需向客户提供选择退出的机制，使客户能够选择是否允许他人对其个人信息进行二次使用。^[52]《金融服务现代化法案》还规定了通知与选择退出权的例外，允许金融机构在向关联公司披露信息时无需通知披露事实也无需提供选择退出的机会。其中最重要的有：（1）对关联机构的披露；（2）对提供服务的非关联公司的披露；（3）八项“安全港”例外。^[53]《金融服务现代化法案》中与通知和选择退出相关的义务只适用于向“非关联的第三方”披露的情形，私人财务信息可以在金融机构及其关联公司中自由流动。例外规定实质上许可了大量对个人财产信息的二次使用。

（四）隐私法和信息自由法的关系

1974年的《隐私法案》（Privacy Act of 1974）是美国第一部对个人隐私进行规范的综合性联邦立法。它对政府行政部门如何在收集、处理个人信息的活动中保护个人隐私进行了规范，该法还允许信息主体查阅联邦政府部门记录中与本人相关的信息。

1966年美国国会通过了《信息自由法》（Freedom of Information Act），该法案要求政府各部门向公众提供复制和查阅信息的便利。该法规定的获取信息的程序相对简单，适格的申请人向政府部门提出要求，只要要求合理正当，政府部门就应提供相关信息，除非相关信息属于信息自由法规定的例外情形，如552（b）（6）条规定的人事和医疗信息，对这些信息进行披露显然会侵犯个人隐私，该条的设立是为了防止不必要的信息披露导致个人受伤害或遭遇尴尬。^[54]再如552（b）（7）条款规定，虽然为了执法需要收集相关信息，然而，收集的信息可能会导致如下情形时，政府部门不应向申请人提供：（A）对执法程序产生不利影响；（B）剥夺个人获得公正审判的机会；（C）侵犯个人隐私；（D）泄露秘密信息提供者的身份；（E）泄露法律调查的技术或程序；（F）对他人人身安全造成威胁。

由于在《信息自由法》保障公众能获得信息的规定与隐私法对隐私的保护之间存在着固有的矛盾，因此《隐私法案》明确规定，依据《信息自由法》必须披露的信息，属于《隐私法案》保护的例外情形，此情形下，信息自由法中要求的披露将不受隐私法的约束。