孫禎鋒

(上海交通大學(xué) 凱原法學(xué)院，上海 200030)

0 引言

隨著數(shù)字化時代的到來，數(shù)據(jù)的價值愈加顯要。2020年3月30日，中共中央、國務(wù)院發(fā)布《關(guān)于構(gòu)建更加完善的要素市場化配置體制機制的意見》，將數(shù)據(jù)作為一種新興要素與土地要素、勞動力要素、資本要素、技術(shù)要素并列。在國際競爭局勢愈演愈烈的情形下，如何合理利用數(shù)據(jù)、發(fā)揮數(shù)據(jù)的巨大價值是未來國家發(fā)展的核心議題。其中，科學(xué)研究是數(shù)據(jù)利用的一個重要領(lǐng)域，能夠大規(guī)模處理數(shù)據(jù)將是第四次工業(yè)革命時代科學(xué)研究迭代更新的主要標(biāo)志。然而，科學(xué)研究中大量處理數(shù)據(jù)對個人數(shù)據(jù)主體權(quán)利的侵害成為一個無法回避的問題。只有有效保障數(shù)據(jù)主體的合法權(quán)利，才能贏得數(shù)據(jù)主體的信任，科學(xué)研究才具有可持續(xù)性，“科技是第一生產(chǎn)力”的效應(yīng)才能得到充分發(fā)揮。因此，當(dāng)科學(xué)研究的公益性與個人數(shù)據(jù)包含的個人權(quán)利發(fā)生激烈碰撞時，法律需要在不同權(quán)益之間折沖權(quán)衡，以達到雙贏效果。換言之，當(dāng)科學(xué)研究以公共利益為名處理個人數(shù)據(jù)時，應(yīng)當(dāng)秉持何種法律界限？回答這一重要問題具有緊迫的現(xiàn)實意義，需要慎重對待和深入研究。

1 作為一種數(shù)據(jù)應(yīng)用場景的科學(xué)研究

在大數(shù)據(jù)時代，科學(xué)研究成為一種典型的數(shù)據(jù)應(yīng)用場景[1]。各式各樣的移動應(yīng)用程序、物聯(lián)網(wǎng)技術(shù)和智能設(shè)備聚集了海量個人數(shù)據(jù)，這些數(shù)據(jù)包含與個人休戚相關(guān)的最細(xì)微數(shù)據(jù)點。在先進的技術(shù)條件下，可以對這些數(shù)據(jù)進行前所未有的細(xì)致分析，以挖掘其對于科學(xué)研究所具有的巨大潛在價值。例如，新冠疫情防控中通過健康碼等移動應(yīng)用程序廣泛獲取感染者、密切接觸者以及普通人群的位置數(shù)據(jù)和健康數(shù)據(jù)，既可以監(jiān)測和研究傳染病的傳播趨勢與變異模式，也能有效提供疾病篩查、疫苗接種等公共衛(wèi)生事務(wù)所需信息。此外，個人數(shù)據(jù)還在常規(guī)研究中廣泛使用，如分析心理行為、確定遺傳和環(huán)境因素的致病性等。英國的一項研究對小孩出生時家庭住址是否接近高壓電源線與其兒童期患癌風(fēng)險的相關(guān)性進行調(diào)查，從5個癌癥登記處獲得31 000名年齡介于0～14歲之間的兒童出生信息，對照病例之后初步得出正相關(guān)結(jié)論，而進一步的研究還需要處理更大規(guī)模數(shù)據(jù)[2]。

科學(xué)研究的數(shù)據(jù)來源多由研究者從研究對象處獲取，也可以借助相關(guān)數(shù)據(jù)庫獲得?？茖W(xué)研究處理的個人數(shù)據(jù)類型既包括一般個人數(shù)據(jù)，也包括敏感個人數(shù)據(jù)。以生物醫(yī)學(xué)研究為例，可穿戴設(shè)備等數(shù)字技術(shù)、在線網(wǎng)絡(luò)查詢痕跡、醫(yī)學(xué)檢查或電子健康記錄均可以提供大量數(shù)據(jù)，數(shù)據(jù)類型包括但不限于軀體、血液、腫瘤樣本、細(xì)胞、DNA、體液、排泄物等身體數(shù)據(jù)，病歷、健康檢查記錄、藥物清單等診療數(shù)據(jù)，以及飲食習(xí)慣、睡眠時間、步數(shù)、定位信息等私生活數(shù)據(jù)。藉由這些個人數(shù)據(jù)，有關(guān)性或心理健康、酗酒或濫用藥物、終止妊娠等敏感型研究得以進行。

根據(jù)海倫·尼森鮑姆(Helen Nissenbaum)提出的場景理論，科學(xué)研究處理個人數(shù)據(jù)具有豐富的場景內(nèi)涵。場景理論將個人數(shù)據(jù)保護與特定情境下的個人數(shù)據(jù)流通規(guī)范連結(jié)起來，作為評估數(shù)據(jù)在行動者之間流動的基礎(chǔ)架構(gòu)，有助于確認(rèn)和解釋為何在某種情況下某些數(shù)據(jù)流動的模式是可以接受的，而在另外一種情境下卻受到質(zhì)疑[3]。在尼森鮑姆的研究中，其重點闡述了參與者(actors)、數(shù)據(jù)信息種類(information type)、傳輸原則(transmission principle)等要素[4]。在此理論架構(gòu)下，對于個人數(shù)據(jù)利用的評價無法脫離其所處場景。在科學(xué)研究中，研究機構(gòu)、研究人員與數(shù)據(jù)主體之間既具有共同利益，又秉持不同立場。科學(xué)研究取得醫(yī)療進步、公共管理效能提升等效益，研究人員與數(shù)據(jù)主體都是受惠者。但是，當(dāng)科學(xué)研究處理個人數(shù)據(jù)損害到數(shù)據(jù)主體的權(quán)利時，就會形成利益對抗。此外，科學(xué)研究可以處理的數(shù)據(jù)類型和數(shù)據(jù)范圍，以及處理過程中需要遵循的合法性要件，都將對數(shù)據(jù)應(yīng)用場景的整體圖景產(chǎn)生影響。因此，作為一種數(shù)據(jù)應(yīng)用場景，科學(xué)研究需要全面整體地綜合考慮數(shù)據(jù)主體自主意志、研究者合理注意義務(wù)以及數(shù)據(jù)處理過程中的合法性要求，推動科學(xué)研究持續(xù)健康發(fā)展。

2 科學(xué)研究處理個人數(shù)據(jù)引致的權(quán)益沖突

科學(xué)研究是一項以認(rèn)識世界、探索世界、改造世界為目的的公益事業(yè)[5]。1945年，美國科學(xué)研究與開發(fā)辦公室主任萬尼瓦爾·布什(Vannevar Bush)向時任美國總統(tǒng)羅斯福提交《科學(xué)：沒有止境的前沿》報告，認(rèn)為沒有科學(xué)進步就無法保障國民健康、生活水平、就業(yè)和國家安全。這份報告在此后的幾十年里成為美國科學(xué)研究和創(chuàng)新的指導(dǎo)方針[6]。在大數(shù)據(jù)時代，科學(xué)研究的公益效應(yīng)被進一步放大。科學(xué)研究通過大量數(shù)據(jù)的匯聚、分析、使用，可以準(zhǔn)確描述、精準(zhǔn)預(yù)測，以快速、高效地作出決斷。例如，數(shù)字技術(shù)與醫(yī)學(xué)研究相結(jié)合催生出一個新的醫(yī)學(xué)領(lǐng)域——數(shù)字健康，可以有效監(jiān)測人們的健康狀況、及早推斷健康問題、幫助患者應(yīng)對突發(fā)情況、對不同患者提供個性化治療方案、降低醫(yī)療成本并改進效率以及促進醫(yī)學(xué)發(fā)現(xiàn)和加速藥物開發(fā)。研制的數(shù)字藥丸與患者胃液接觸后會激活微電路，可以告知外部傳感器患者是否以及應(yīng)何時服用藥物[7]。大數(shù)據(jù)與公共管理學(xué)相結(jié)合，可以造就社會信用評級、預(yù)測性執(zhí)法等新型治理手段，引導(dǎo)治理的重心由事中與事后轉(zhuǎn)向事前預(yù)防，有效降低治理成本、提升治理效能，我國疫情管理的顯著成效一定程度上歸功于數(shù)字技術(shù)應(yīng)用于應(yīng)急管理。

然而，科學(xué)研究對于個人數(shù)據(jù)的廣泛處理也會侵犯個人數(shù)據(jù)權(quán)利?？此破胀ǖ臄?shù)據(jù)可以用來對個人行為加以推斷和預(yù)判，哪怕是一天之內(nèi)行走步數(shù)這類簡單數(shù)據(jù)，也可以揭示下班后員工是否真的病倒在床[8]。更遑論美國曾經(jīng)開展的臭名昭著的“塔斯基吉梅毒實驗”，造成“醫(yī)學(xué)種族主義”(Medical racism)的破壞性效應(yīng)[9]?？茖W(xué)研究所用數(shù)據(jù)可能包含最敏感的個人信息，如果人們知道其個人數(shù)據(jù)可能用于涉及動物、胚胎干細(xì)胞、針對特定性能開發(fā)避孕藥或基因測試等研究，他們就會選擇使用匿名數(shù)據(jù)[10]。因此，科學(xué)研究要確保數(shù)據(jù)安全性，若公眾喪失對科學(xué)研究的信任，那么，研究的可持續(xù)性就會被打破。盡管如此，科學(xué)研究中不當(dāng)處理個人數(shù)據(jù)的情形并不鮮見。以基因信息的不當(dāng)處理為例，在公共部門和私營部門的推動下，基因數(shù)據(jù)集聚規(guī)模日益擴大。英國100K基因組隊列(the 100K genomes cohort)的目標(biāo)是到2017年對國家醫(yī)療服務(wù)體系(NHS)中的10萬癌癥患者基因組進行測序；美國精準(zhǔn)醫(yī)學(xué)計劃收集100萬美國人的樣本、表型和臨床數(shù)據(jù)，其百萬退伍軍人計劃構(gòu)成目前世界上最大的基因組數(shù)據(jù)庫；截至2015年6月，基因檢測公司23&Me已收集超過100萬用戶數(shù)據(jù)并進行基因分型[7]。然而，2018年11月賀建奎事件引發(fā)激烈的研究倫理爭議，表明科學(xué)界對于基因數(shù)據(jù)并沒有形成完善的保護和處理機制。此外，自Moore v. Regents of the University of California案以來，科研機構(gòu)假借研究之名或者展開與個體需求無關(guān)的研究向營銷公司、制藥企業(yè)等第三方出售個人數(shù)據(jù)以及研究成果不當(dāng)獲利的情形時有發(fā)生[11]。

有研究認(rèn)為個人信息保護涉及的個人權(quán)利呈同心圓狀的差序格局：由內(nèi)而外，以人性尊嚴(yán)為核心，依次為一般人格權(quán)、個別人格權(quán)之隱私權(quán)、隱私權(quán)中之信息隱私權(quán)，最后是信息自主決定權(quán)[12]。就科學(xué)研究而言，除個人權(quán)利外，個人信息處理中還包含研究人員和研究機構(gòu)研究自由的權(quán)利以及公共利益。根據(jù)已有研究，研究自由面臨兩方面限制：一是公共利益，二是他人的權(quán)利和自由[13]。因此，科學(xué)研究對于個人數(shù)據(jù)的處理涉及多重權(quán)益沖突，其中，最為根本的是個人權(quán)利與公共利益的沖突。有研究將這種矛盾稱為“道德倫理問題上的不對稱性”(an ethically problematic asymmetry)[14]：一方面，人們普遍認(rèn)識到將個人數(shù)據(jù)用于科學(xué)研究對于促進公共利益具有重要意義；另一方面，科學(xué)研究濫用個人數(shù)據(jù)會損害個人一系列權(quán)利。加之在目前發(fā)展趨勢下，國家不可能罔顧公共利益需求而禁止科學(xué)研究使用個人數(shù)據(jù)。2020年德國聯(lián)邦教育和研究部發(fā)起醫(yī)學(xué)信息學(xué)計劃 (MII)，各大學(xué)醫(yī)院的生物樣本庫聯(lián)合成立了德國生物樣本庫協(xié)會 (GBA)，負(fù)責(zé)科學(xué)研究以及常規(guī)臨床護理中生物樣本的采樣、儲存和供給；同時期荷蘭大學(xué)醫(yī)院協(xié)會協(xié)同荷蘭衛(wèi)生、福利和體育部資助數(shù)據(jù)研究計劃，研究人員可通過全國組織細(xì)胞病理學(xué)登記處 (PALGA) 獲取臨床護理過程中收集的生物樣本[15]。可見，大規(guī)模以及常態(tài)化使用個人數(shù)據(jù)進行研究已成為各國科研發(fā)展共同趨勢。

利用個人數(shù)據(jù)進行科學(xué)研究的價值與風(fēng)險并存，目前的中心問題不是是否應(yīng)將數(shù)據(jù)用于研究，而是如何以尊重道德和隱私為基本原則獲取科學(xué)研究收益[16]?？茖W(xué)研究本就不是法外之地，當(dāng)其可能對研究對象或其他相關(guān)人員造成侵害時，法律需要適時介入并為之設(shè)定界限，而且這種限制本身也應(yīng)恪守法律規(guī)定。

3 我國科學(xué)研究處理個人數(shù)據(jù)的法律規(guī)制現(xiàn)狀及問題

3.1 《中華人民共和國個人信息保護法》

2021年8月20日，第十三屆全國人民代表大會常務(wù)委員會第三十次會議正式通過《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)，為個人信息保護領(lǐng)域奠定了法制基礎(chǔ)。但是，縱覽全部條文，《個人信息保護法》并沒有就“科學(xué)研究”目的作出直接規(guī)定。在《草案》(一審稿)出臺前，有學(xué)者呼吁將“偵查機關(guān)進行刑事偵查所必要的；為支持學(xué)術(shù)研究工作或統(tǒng)計項目而進行的個人信息比對；為得到統(tǒng)計資料……”[17]等作為國家公權(quán)機關(guān)可進行信息比對的理由，試圖從另一側(cè)面規(guī)定“目的限制”的例外，但最終提交審議的草案中并未包含突破目的限制使用個人信息的例外情形。從目前的規(guī)范內(nèi)容來看，其并未允諾收集目的之外的其它延伸目的的使用。無論是公權(quán)機關(guān)還是私人主體如欲突破目的限制，都必須重新獲得信息主體的同意。因此，為學(xué)術(shù)研究、藝術(shù)表達、文學(xué)創(chuàng)作等目的處理個人信息的活動，面臨豁免適用目的限制原則的問題，有待國家相關(guān)部門出臺細(xì)則予以規(guī)范[18]。

從規(guī)范釋義的潛在空間來看，與科學(xué)研究行為可能相關(guān)的條文包括：第5～9條確立了個人信息處理的一般原則，強調(diào)處理方式要“合法、正當(dāng)”，規(guī)定了誠信原則、目的明確合理原則、限制利用原則、公開透明原則、信息準(zhǔn)確原則、信息安全原則等。第13條第(六)項規(guī)定：“為公共利益實施新聞報道、輿論監(jiān)督等行為在合理的范圍內(nèi)處理個人信息?！钡?8條第2款規(guī)定：“只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護措施的情形下，方可處理敏感個人信息?！绷硗猓?2條進一步規(guī)定：“法律、行政法規(guī)規(guī)定處理敏感個人信息應(yīng)當(dāng)取得相關(guān)行政許可或者作出其它限制的，從其規(guī)定?！睆奈牧x上看，如果科學(xué)研究一體遵循第5～9條個人信息處理一般原則，則科學(xué)研究與其它數(shù)據(jù)處理行為沒有任何分別而且科學(xué)研究將會受到嚴(yán)格限制；如果將科學(xué)研究納入第13條的“公共利益”范疇，則可以在“合理的范圍內(nèi)”處理信息；如果科學(xué)研究屬于第28條“特定的目的”，則需要兼具“充分的必要性”才可以處理敏感個人信息。

根據(jù)上述分析，《個人信息保護法》中關(guān)于科學(xué)研究規(guī)定的缺位可能產(chǎn)生兩方面后果：一是科學(xué)研究與一般數(shù)據(jù)利用目的處于同等位階，科學(xué)研究所需相對寬松的發(fā)展條件得不到保障；二是即使對科學(xué)研究進行文義解釋，歸入“公共利益”或“特定的目的”范疇，科學(xué)研究處理個人信息的法定條件依然模糊難辨。

3.2 其它相關(guān)規(guī)范

在以北大法寶為主的學(xué)術(shù)網(wǎng)站上，通過關(guān)鍵詞“科學(xué)研究”“學(xué)術(shù)”“個人信息”“個人數(shù)據(jù)”進行組合檢索和閱讀篩選，發(fā)現(xiàn)我國法規(guī)范中直接調(diào)控科學(xué)研究處理信息行為的并不多見。現(xiàn)對法律、司法解釋、規(guī)范性文件層面涉及的法規(guī)范及其內(nèi)容分別加以概述。

3.2.1 憲法、民法典與《中華人民共和國科學(xué)技術(shù)進步法》

憲法分別在第20條和第47條提及科學(xué)研究，均表現(xiàn)出國家對于科學(xué)研究的正向激勵態(tài)度。尤其是第47條規(guī)定“公民有進行科學(xué)研究……的自由”，以及國家鼓勵和幫助從事科學(xué)等有益于人民的創(chuàng)造性工作。學(xué)界普遍將第47條作為公民學(xué)術(shù)自由權(quán)的憲法依據(jù)，同時，認(rèn)可憲法第51條為公民基本權(quán)利的限制條款。根據(jù)第51條的規(guī)定，公共利益構(gòu)成學(xué)術(shù)自由的外在界限，他人權(quán)利和自由構(gòu)成學(xué)術(shù)自由的內(nèi)在界限。與此規(guī)范意旨相近，民法典第1009條與《中華人民共和國科學(xué)技術(shù)進步法》第29條均作出了不得違背公共利益與倫理道德等基本價值的底線設(shè)定。此外，民法典第1020條第(一)項還規(guī)定，在必要范圍內(nèi)使用肖像權(quán)人已經(jīng)公開的肖像進行課堂教學(xué)或者科學(xué)研究等可以不經(jīng)肖像權(quán)人同意。

3.2.2 司法解釋

2020年最新修正的最高人民法院司法解釋《關(guān)于審理利用信息網(wǎng)絡(luò)侵害人身權(quán)益民事糾紛案件適用法律若干問題的規(guī)定》第12條第3款規(guī)定：“學(xué)校、科研機構(gòu)等基于公共利益為學(xué)術(shù)研究或者統(tǒng)計的目的，經(jīng)自然人書面同意，且公開的方式不足以識別特定自然人”，可以不予承擔(dān)利用網(wǎng)絡(luò)公開個人信息造成他人損害的侵權(quán)責(zé)任。此處，“公共利益+權(quán)利人書面同意+公開的方式不足以識別特定自然人”構(gòu)成科學(xué)研究公開個人信息的責(zé)任豁免條件。

3.2.3 規(guī)范性文件

規(guī)制內(nèi)容直接關(guān)涉科學(xué)研究的規(guī)范性文件目前主要有兩部：一是《涉及人的生物醫(yī)學(xué)研究倫理審查辦法》，其是與科學(xué)研究直接相關(guān)的部門規(guī)章，其中第18條規(guī)定了涉及人的生物醫(yī)學(xué)研究應(yīng)當(dāng)符合的六大倫理原則，在控制風(fēng)險原則中提出“將受試者人身安全、健康權(quán)益放在優(yōu)先地位，其次才是科學(xué)和社會利益”的指導(dǎo)理念。此外，該辦法第四章對“知情同意”辟專章加以規(guī)定，對知情同意作出嚴(yán)格要求。

二是國家質(zhì)量監(jiān)督檢驗檢疫總局和國家標(biāo)準(zhǔn)化管理委員會發(fā)布的《信息安全技術(shù)——健康醫(yī)療數(shù)據(jù)安全指南》，第7-b-4規(guī)定數(shù)據(jù)控制者“用于科學(xué)研究、醫(yī)學(xué)/健康教育、公共衛(wèi)生或醫(yī)療保健操作目的的受限制數(shù)據(jù)集”在沒有獲得主體的授權(quán)時可以使用或披露相應(yīng)個人健康醫(yī)療數(shù)據(jù)。在臨床研究中，第11.4.4.2-a-2規(guī)定“申辦者出于公共利益開展統(tǒng)計或?qū)W術(shù)研究所必要，且其對外提供學(xué)術(shù)研究或描述的結(jié)果時，對結(jié)果中包含的個人信息進行去標(biāo)識化處理的，不需要獲得受試者知情同意”。“科學(xué)研究目的+去識別化處理”構(gòu)成數(shù)據(jù)主體授權(quán)或同意的例外情形。

3.3 現(xiàn)行法制中存在的問題分析

觀察上述法規(guī)范，我國既定法制中對于科學(xué)研究行為的規(guī)制呈零星分布狀態(tài)，遠(yuǎn)遠(yuǎn)未臻體系化?？v使包含科學(xué)研究處理個人信息內(nèi)容的法規(guī)范，也缺少穩(wěn)妥權(quán)衡科學(xué)研究目的與個人數(shù)據(jù)保護的法律機制。首先，作為個人信息保護領(lǐng)域的基本法，無論是直接的條文內(nèi)容還是規(guī)范解釋，《個人信息保護法》都未能為科學(xué)研究處理個人數(shù)據(jù)提供明確、妥適的指引。其它法規(guī)范中也未見對科學(xué)研究目的予以“另眼相待”，科學(xué)研究相較于一般數(shù)據(jù)利用場景所應(yīng)有的“特權(quán)地位”無法得到有效保障，對于科研行為的嚴(yán)苛規(guī)定不利于科學(xué)研究長足發(fā)展。其次，對比現(xiàn)有法規(guī)范內(nèi)容，對于同類科研行為的法律規(guī)制有時呈現(xiàn)不一致情形。在幾部規(guī)范性文件之間，既有規(guī)定簽署知情同意書、承擔(dān)詳細(xì)的說明義務(wù)、使用目的變更時需要重新獲取知情同意的嚴(yán)格要求，也有規(guī)定利用去識別化數(shù)據(jù)開展研究無需征得信息主體授權(quán)或者同意的寬松要求。這種錯位狀況亟待體系化梳理和規(guī)范整合，否則難以發(fā)揮整體有效的指引作用。再次，法規(guī)范中多次出現(xiàn)的“公共利益”“合理的范圍”“充分的必要性”等措辭以及不確定性法律概念的使用，使得科學(xué)研究處理數(shù)據(jù)的行為要件呈現(xiàn)模糊狀態(tài)，也使得研究人員和數(shù)據(jù)主體無所適從。這需要對科學(xué)研究處理個人信息的具體類型進行條分縷析，通過行為要件的設(shè)置限定不確定概念的內(nèi)涵和外延。最后，法規(guī)范中缺少專門的數(shù)據(jù)處理監(jiān)管機關(guān)以及比較完善的監(jiān)督機制。盡管既有法規(guī)中已經(jīng)設(shè)有“倫理委員會”等機構(gòu)，但這些機構(gòu)的職能偏向于一端，要么側(cè)重于科學(xué)研究活動保障，要么側(cè)重于個人數(shù)據(jù)保護，鮮有能夠兼顧和平衡二者的督責(zé)機構(gòu)，而且監(jiān)管機構(gòu)的職權(quán)獨立性不足，監(jiān)管實效性難以保障。

4 域外法制比較考察

據(jù)聯(lián)合國貿(mào)易和發(fā)展會議(UNCTAD)統(tǒng)計，194個國家中有128個已經(jīng)制定了保護數(shù)據(jù)和隱私的立法。其中，非洲和亞洲的水平相當(dāng)，有55%的國家通過了此類立法，包括23個最不發(fā)達國家[19]。整體而言，既有立法呈現(xiàn)出兩種法律模式，一種是以美國為代表的隱私法模式，一種是以歐盟為代表的數(shù)據(jù)保護法或信息保護法模式[20]。前者較為小眾，目前僅包括美國、加拿大、澳大利亞、新西蘭等少數(shù)幾個國家，他們將個人數(shù)據(jù)處理中的主體權(quán)利納入國內(nèi)成熟的隱私法保護體系，毋須在隱私法之外另行立法；后者得到大多數(shù)國家的采行，將個人數(shù)據(jù)處理中的權(quán)利視為公民基本權(quán)利，確立了與隱私法并行的數(shù)據(jù)保護法模式。兩種法律模式的分別采納源于各國法制傳統(tǒng)和對個人數(shù)據(jù)處理中主體權(quán)利的不同法律定位。新中國成立以來，我國法律體系總體上屬于大陸法系，同時，《中華人民共和國個人信息保護法》已經(jīng)全國人大常委會審議通過。因此，我國法制傳統(tǒng)和法律模式都傾向于數(shù)據(jù)保護法模式。為此，本文引介歐盟《一般數(shù)據(jù)保護條例》[21]中關(guān)于科學(xué)研究的規(guī)范譜系以及德國、日本等國家個人數(shù)據(jù)保護法相應(yīng)內(nèi)容，并加以比較討論。

4.1 法規(guī)范的定位

從法規(guī)范的設(shè)置路徑來看，個人數(shù)據(jù)保護法對于科學(xué)研究的法律規(guī)制存在3種定位：一是“基本法”，只做基本的原則性規(guī)定，具體規(guī)則由行政規(guī)定、各行業(yè)準(zhǔn)則以及軟法規(guī)范予以落實；二是專項法，對科學(xué)研究處理數(shù)據(jù)行為進行全面的體系性和集中性規(guī)定；三是“空白法”，不作任何直接性規(guī)定。例如，歐盟《一般數(shù)據(jù)保護條例》采取基本法定位，有6個條文8款內(nèi)容對“科學(xué)或歷史研究”進行規(guī)定，并于第89條第2款授予歐盟所屬國國內(nèi)立法的有限調(diào)整權(quán)。日本在個人信息保護法立法時，對于是否應(yīng)將醫(yī)療研究、學(xué)術(shù)研究以及媒體與宗教政治團體加以規(guī)范引起巨大爭議，最終立法時將其排除在外[22]。2020年修訂的日本《個人信息保護法》[23]第76條依然規(guī)定，“以供學(xué)術(shù)研究之用為目的”的個人信息處理行為排除適用該法第四章關(guān)于個人信息處理的一系列義務(wù)性規(guī)定。

鑒于個人信息類型龐雜，科學(xué)研究只是處理個人數(shù)據(jù)的一種較為特殊的應(yīng)用場景，對其進行專項法式的規(guī)范設(shè)定不具有可行性?！翱瞻追ā蓖耆珶o涉科學(xué)研究，不利于保障科學(xué)研究的應(yīng)有地位和公益事業(yè)開展。因此，基本法定位同時輔以較低位階的其它相關(guān)規(guī)范的立法路徑被大多數(shù)國家采納。

4.2 可處理的數(shù)據(jù)范圍

目前已通過的個人數(shù)據(jù)保護法尚沒有出現(xiàn)完全禁止科學(xué)研究處理某類數(shù)據(jù)的規(guī)定。通行的模式是立法中先對個人數(shù)據(jù)進行類型區(qū)分，然后，規(guī)定科學(xué)研究在處理不同類型的數(shù)據(jù)時需要遵循不同的合法性條件。一般而言，對于一般個人數(shù)據(jù)，科學(xué)研究毋須采取任何措施即可直接處理；對于敏感個人數(shù)據(jù)，則需要履行不同程度的處理義務(wù)。如歐盟《一般數(shù)據(jù)保護條例》第9條第1款規(guī)定“對于顯示種族或民族背景、政治觀念、宗教或哲學(xué)信仰或工會成員的個人數(shù)據(jù)、基因數(shù)據(jù)、為了特定識別自然人的生物性數(shù)據(jù)以及與自然人健康、個人性生活或性取向相關(guān)的數(shù)據(jù)，應(yīng)當(dāng)禁止處理”，但是，隨后第2款第(j)項解除了第1款對“科學(xué)或歷史研究目的”的限制，盡管需要依法采取第89條第1款設(shè)定的防護措施。

由于科學(xué)研究所具有的公益性且基于研究者表意自由的考慮，立法的趨向是不在個人數(shù)據(jù)類型和范圍上對科學(xué)研究進行絕對限制，對數(shù)據(jù)處理行為施加限制條件，從而為科學(xué)研究創(chuàng)造寬松環(huán)境。

4.3 目的限制原則的適用

目的限制原則主要體現(xiàn)在數(shù)據(jù)處理的兩個階段：一是數(shù)據(jù)收集目的明確，收集者以不遲于收集時間為時間節(jié)點確定數(shù)據(jù)收集目的；二是數(shù)據(jù)利用階段的使用目的不得突破收集時確定的初始目的。除此之外，還包括儲存期限的限制，數(shù)據(jù)儲存期限不得超過實現(xiàn)其處理目的所必需的時間[24]。歐盟《一般數(shù)據(jù)保護條例》第5條第1款規(guī)定了包括合法性、合理性和透明性，目的限制，數(shù)據(jù)最小化，準(zhǔn)確性，限期儲存，數(shù)據(jù)完整性與保密性在內(nèi)的6項個人數(shù)據(jù)處理基本原則。但是，第1款的(b)項排除目的限制原則對于科學(xué)研究的適用。同時，第1款的(e)項規(guī)定，用作科學(xué)研究目的的能夠識別數(shù)據(jù)主體的個人數(shù)據(jù)不受儲存期限的約束。至此，歐盟《一般數(shù)據(jù)保護條例》在數(shù)據(jù)處理目的上對科學(xué)研究給予例外豁免。

日本《個人信息保護法》第15條規(guī)定：“個人信息處理者在處理個人信息時，應(yīng)當(dāng)盡可能地將使用該個人信息的目的特定”，從而確立個人信息處理的目的限制原則。但是，該法第76條第3款將學(xué)術(shù)研究移出了目的限制原則的適用范圍。

科學(xué)研究的創(chuàng)新性源于其不確定性，新材料的發(fā)現(xiàn)或者研究方法的改進都會改變當(dāng)初特定的研究目的，如果對其數(shù)據(jù)處理行為進行嚴(yán)格的目的限定則可能抑制科學(xué)研究的活力。因此，不受目的限制原則的拘束成為域外立法的主流模式。

4.4 數(shù)據(jù)主體同意的規(guī)定

歐盟《一般數(shù)據(jù)保護條例》第4條第(11)項將“同意”界定為數(shù)據(jù)主體出于自由意志以聲明或者積極行為作出的允許個人數(shù)據(jù)被處理的意思表示。同時，第7條第3款賦予數(shù)據(jù)主體隨時撤回同意的權(quán)利。可見歐盟對于同意條件的嚴(yán)格要求。但是，歐盟沒有就科學(xué)研究處理個人數(shù)據(jù)的同意要件作出直接規(guī)定?！兑话銛?shù)據(jù)保護條例》第6條第1款規(guī)定了數(shù)據(jù)處理的6項合法性要件，滿足其一即為合法：同意、契約、履行法定義務(wù)、維護核心利益、公共利益或行政任務(wù)、正當(dāng)利益。有研究將該條內(nèi)容解讀為合法性要件的雙階構(gòu)造：第一階為同意作為獨立要件；第二階為“其他事由+必要性”的復(fù)合要件模式，通過必要性關(guān)聯(lián)補足主體意志的流失[25]。在六項要件中，能夠作為科學(xué)研究合法性依據(jù)的包括同意、公共利益以及正當(dāng)利益。那么，同意要件如何作用于科學(xué)研究行為呢？鑒于科學(xué)研究不受目的限制原則的拘束，同意要件的約束力隨之減弱。從文義上看，當(dāng)科學(xué)研究于目的外處理個人數(shù)據(jù)時，數(shù)據(jù)主體無法知情，同意也就無從談起；當(dāng)科學(xué)研究于約定目的內(nèi)處理個人數(shù)據(jù)時，同意的適用條件仍需要遵循條例的規(guī)定。但是，舉重以明輕，目的外處理尚且不需要同意，目的內(nèi)處理是否需要征求同意頗為可疑?？傮w而言，歐盟弱化了同意要件適用于科學(xué)研究行為的拘束力。

2018年8月14日通過的巴西《通用數(shù)據(jù)保護法》第11條第II(c)項規(guī)定，在數(shù)據(jù)主體沒有給予同意的情況下，“敏感個人數(shù)據(jù)+科學(xué)研究目的+匿名化處理”為必不可少的合法條件。處理一般個人數(shù)據(jù)對是否同意不作要求。2021年2月9日審議的越南《個人數(shù)據(jù)保護法》(草案)第12條第1款規(guī)定，對于加密數(shù)據(jù)開展科學(xué)研究不需要征求同意。該條第4款規(guī)定：“若未獲得同意，科學(xué)研究的數(shù)據(jù)處理應(yīng)采取如下相關(guān)措施：承諾；安全措施；具有保護數(shù)據(jù)的物理設(shè)備；設(shè)有保護數(shù)據(jù)的專門部門；個人數(shù)據(jù)保護委員會已對上述措施進行書面確認(rèn)[26]。”

綜上，在科學(xué)研究中，同意要件仍存在適用空間。對于具有識別力的個人數(shù)據(jù)需要征求主體同意或者采取替代性措施，對于不具有識別力的個人數(shù)據(jù)無需獲取同意?？傮w而言，在目的限制原則被豁免適用的情形下，同意的約束力正趨于弱化。

4.5 數(shù)據(jù)主體權(quán)利的克減

歐盟《一般數(shù)據(jù)保護條例》對科學(xué)研究的價值與個人數(shù)據(jù)權(quán)利進行兩相權(quán)衡后作出折沖的規(guī)定。條例第14條規(guī)定當(dāng)告知義務(wù)不可能履行或者需要付出不相稱努力時，科學(xué)研究收集數(shù)據(jù)可以免于告知，對數(shù)據(jù)主體的知情權(quán)施加限制。第89條第2款規(guī)定，當(dāng)該條例第15、16、18、21 條所規(guī)定的訪問權(quán)、更正權(quán)、限制處理權(quán)與反對權(quán)徹底阻礙或嚴(yán)重阻礙科研目的時，成員國法律可以對數(shù)據(jù)主體的上述權(quán)利予以克減，同時，克減方案需滿足兩個條件：一是此類克減對于實現(xiàn)科研目的是必要的；二是克減需要符合第89條第1款規(guī)定的情形與防護措施。

2019年11月20日修正的《德國聯(lián)邦數(shù)據(jù)保護法》第27條第(2)項重申了《一般數(shù)據(jù)保護條例》第89條第2款對數(shù)據(jù)主體權(quán)利的克減方案，并且進一步規(guī)定當(dāng)個人數(shù)據(jù)為科學(xué)研究目的所必需且答復(fù)查詢將產(chǎn)生不合比例的費用時，不得依據(jù)《一般數(shù)據(jù)保護條例》第15條主張訪問權(quán)，此處也沒有要求符合第89條第1款所規(guī)定的情形與防護措施。此外，《德國聯(lián)邦數(shù)據(jù)保護法》第36條重述了《一般數(shù)據(jù)保護條例》第21條第1項的反對權(quán)，即當(dāng)超過個人法益的緊迫公共利益或法定義務(wù)出現(xiàn)時，數(shù)據(jù)主體的反對權(quán)將被壓制[27]。

域外法制基本認(rèn)可了科研行為對于個人數(shù)據(jù)權(quán)利的克減，只是在克減的權(quán)利類型和克減程度方面做法不一。目前的共識是，對于數(shù)據(jù)主體的權(quán)利克減不僅要符合法定的前提條件，還應(yīng)采取相應(yīng)防護措施。

4.6 技術(shù)性與組織性保障措施

歐盟《一般數(shù)據(jù)保護條例》第89條第1款規(guī)定：“為了實現(xiàn)公共利益、科學(xué)或歷史研究或統(tǒng)計目的而處理，應(yīng)當(dāng)采取符合本條例的恰當(dāng)防護措施，保障數(shù)據(jù)主體的權(quán)利與自由。這些防護措施應(yīng)當(dāng)確保，為了保證數(shù)據(jù)最小化原則，已經(jīng)采取技術(shù)與組織性的措施。”可見，《一般數(shù)據(jù)保護條例》采取防護措施的直接目的是確保數(shù)據(jù)最小化，措施的類型包括技術(shù)性措施和組織性措施。至于包括哪些具體措施，條例沒有詳加規(guī)定。從第89條第1款后半段“這些措施可以包括匿名化”的表述來看，匿名化是可以采取的技術(shù)措施。此外，組織性措施包括兩個部分：一是條例第四章第四部分規(guī)定的“數(shù)據(jù)保護官”，屬于數(shù)據(jù)控制者和處理者委任的內(nèi)部自律性組織；二是條例第六章規(guī)定的“獨立監(jiān)管機構(gòu)”，從外部對數(shù)據(jù)控制者和處理者的行為進行監(jiān)督。數(shù)據(jù)保護官和獨立監(jiān)管機構(gòu)內(nèi)外配合，保證條例在歐盟實施的一致性。

與歐盟層面的規(guī)定相較，德國設(shè)定的保護措施更為細(xì)致?！兜聡?lián)邦數(shù)據(jù)保護法》第27條第(1)項規(guī)定，當(dāng)科學(xué)研究可以處理《一般數(shù)據(jù)保護條例》第9條第1項所稱的敏感個人數(shù)據(jù)時，處理者應(yīng)依據(jù)該法第22條第(2)項第2句采行特定且適當(dāng)?shù)拇胧┚S護數(shù)據(jù)主體權(quán)益?！兜聡?lián)邦數(shù)據(jù)保護法》第22條第(2)項共包括10則內(nèi)容，規(guī)定的具體措施如下：記錄數(shù)據(jù)處理過程以確保透明度和可回溯性；提高處理參與者的認(rèn)知水平；任命數(shù)據(jù)保護官；認(rèn)證處理者訪問數(shù)據(jù)的權(quán)限；數(shù)據(jù)的假名化處理；數(shù)據(jù)加密；確保與處理個人數(shù)據(jù)有關(guān)的系統(tǒng)及其服務(wù)能力；對防護措施進行經(jīng)常性查核、評估；確保目的外處理或傳輸數(shù)據(jù)的特殊程序規(guī)范符合《一般數(shù)據(jù)保護條例》和《德國聯(lián)邦數(shù)據(jù)保護法》的要求[27]。

當(dāng)前，科學(xué)研究處理個人數(shù)據(jù)的保障性措施包括技術(shù)性措施和組織性措施，兩類措施的具體類型還處于探索之中。德國的防護措施周密而系統(tǒng)，但是，是否對科學(xué)研究過于嚴(yán)苛尚存疑慮。

5 我國科學(xué)研究處理個人數(shù)據(jù)的規(guī)范建構(gòu)

如今，以歐盟《一般數(shù)據(jù)保護條例》為代表的數(shù)據(jù)保護立法為科學(xué)研究處理個人數(shù)據(jù)行為搭建了相對完整的規(guī)范體系。中國可以在明確所要解決問題的基礎(chǔ)上辯證地借鑒域外法制經(jīng)驗，總體思路上，個人數(shù)據(jù)保護法的本質(zhì)是行為法，保護數(shù)據(jù)處理行為中的個人權(quán)益，而非單純地保護個人權(quán)利。在明晰數(shù)據(jù)保護規(guī)則法律定位的基礎(chǔ)上，厘清數(shù)據(jù)處理行為的合法性要件是解決科學(xué)研究中權(quán)益沖突的允正中道。

5.1 基本法與專門法的規(guī)范定位和體系構(gòu)造

科學(xué)研究等處理個人數(shù)據(jù)的公益目的應(yīng)納入《個人信息保護法》的正式條文之中，此舉能夠明晰科研行為在法律上的定位，意義有二：一是對科學(xué)研究活動的重視，也是對科學(xué)研究作為特殊數(shù)據(jù)應(yīng)用場景的價值宣示；二是對科學(xué)研究處理個人數(shù)據(jù)行為的豁免條件予以規(guī)定，通過限制與例外的規(guī)范設(shè)置為各類具體研究行為提供基準(zhǔn)性指引。在個人信息保護法提供“基本法定位”之后，規(guī)范各類具體研究行為的專門法需要根據(jù)各自情形提供更加細(xì)致的規(guī)則。這些規(guī)則可以在個人信息保護法的規(guī)定區(qū)間內(nèi)進行適度調(diào)整，但是，不能突破個人信息保護法設(shè)定的合法邊界。各項專門法橫向之間也需要銜接搭配，在出現(xiàn)重復(fù)或者沖突時需要及時清理規(guī)整，以維護科學(xué)研究法律規(guī)制的體系性效應(yīng)。目前我國《涉及人的生物醫(yī)學(xué)研究倫理審查辦法》與《信息安全技術(shù)——健康醫(yī)療數(shù)據(jù)安全指南》均是醫(yī)學(xué)研究方面的具體規(guī)定，其它類型研究處理數(shù)據(jù)行為的法律調(diào)控還需要補強。

個人信息保護法提供基礎(chǔ)依據(jù)的作用不容忽視，這可能是域外大多數(shù)個人數(shù)據(jù)保護立法例中對科學(xué)研究進行直接規(guī)定的原因。我國個人信息保護法可以借鑒這一法制經(jīng)驗，為科學(xué)研究中的個人數(shù)據(jù)保護提供價值準(zhǔn)則。

5.2 激勵相容取向下數(shù)據(jù)處理行為要件的重塑

無論何種數(shù)據(jù)應(yīng)用場景，在保護數(shù)據(jù)主體個人權(quán)利的基礎(chǔ)上同時為數(shù)據(jù)控制者和處理者設(shè)定適度義務(wù)是促進利用激勵與保護激勵進而達成激勵相容的基本途徑[28]。此外，數(shù)據(jù)技術(shù)進步也會影響數(shù)據(jù)處理中的權(quán)益衡量，數(shù)據(jù)處理的法律條件有適時調(diào)整的必要。

5.2.1 數(shù)據(jù)處理者的義務(wù)豁免

基于公益擴展的考慮，科學(xué)研究者處理個人數(shù)據(jù)可以獲得特別的優(yōu)待。首先，對于科學(xué)研究者可以處理的個人數(shù)據(jù)類別不作限制。因為每一種數(shù)據(jù)的研究結(jié)果都具有對公共利益帶來不確定增益的潛在可能性。其次，目的限制原則的豁免適用。科學(xué)研究的旨趣在于探索不確定性中的規(guī)律性，往往是一個從完全不確定到相對不確定的過程。因此，科學(xué)研究豁免適用目的限制原則是釋放研究可能性的有益之舉。最后，對科學(xué)研究者的義務(wù)豁免需要保持最低限度，因而研究者要擔(dān)負(fù)基本的研究注意義務(wù)。歐盟對于一般數(shù)據(jù)應(yīng)用場景中的目的限制原則呈現(xiàn)“窄進寬出”的雙階構(gòu)造：在數(shù)據(jù)收集階段，遵循“合法、特定、明確”的約定目的；在數(shù)據(jù)利用階段，約定目的與不背離約定目的的額外目的都在許可范圍內(nèi)，以實現(xiàn)信息保護與流動的平衡[29]。不背離約定目的雖然放寬了目的限制，但是，仍然要接受“合理期待”或“平衡測試”等標(biāo)準(zhǔn)的限定。依此而言，當(dāng)科學(xué)研究者漠視基本常識、有違數(shù)據(jù)適當(dāng)性使用規(guī)定時，將會受到監(jiān)管機構(gòu)的審查和懲處。

5.2.2 數(shù)據(jù)主體同意要件更新及其權(quán)利克減的合比例性控制

域外同意的適用條件是根據(jù)數(shù)據(jù)識別力判斷同意與否，對同意的形態(tài)本身未作深入考究。隨著數(shù)字技術(shù)的發(fā)展，傳統(tǒng)全有全無式的僵化的同意形態(tài)遭致批評。有研究提出寬泛同意(broad consent)模式，即由數(shù)據(jù)主體一次性同意后續(xù)研究對其個人數(shù)據(jù)的使用，盡管后續(xù)研究還需要通過研究審查機構(gòu)的批準(zhǔn)[30]。實際上，包括世界醫(yī)學(xué)協(xié)會、國際醫(yī)學(xué)科學(xué)組織理事會和世界衛(wèi)生組織在內(nèi)的國際衛(wèi)生研究管理機構(gòu)已批準(zhǔn)將寬泛同意作為一種可接受的替代方案[31]。作為使醫(yī)學(xué)數(shù)據(jù)二次研究合法化的一種手段，寬泛同意模式在德國和荷蘭得到越來越廣泛的采用，參與者作出一攬子同意的動機包括利他主義、互惠、團結(jié)和感恩[15]。面對寬泛同意可能將同意的實質(zhì)功能消釋掉的危險，有研究提出動態(tài)同意(dynamic consent)模式，不再將同意視為一次性事件，而是一種隨著變化的環(huán)境持續(xù)協(xié)商、調(diào)整的過程，參與者可以隨著研究進展自由選擇同意加入 (opt in) 或退出 (opt out)，還可以根據(jù)自己的偏好選擇接收信息處理的幅度[32]。這對于研究中數(shù)據(jù)主體參與度、研究過程透明度都有很高的要求。同意是一個正在發(fā)展中的概念，隨著科學(xué)研究處理個人數(shù)據(jù)類型化的逐步清晰，分類同意 (tiered consent)和分層同意(layered consent)模式的精確適用更能凸顯同意的效能。

權(quán)利減損程度也會影響數(shù)據(jù)主體對于科學(xué)研究的信任度。數(shù)據(jù)處理中的權(quán)益沖突在所難免，保持合比例性是公共利益與個人權(quán)利之間的應(yīng)然界限。最佳情形是科研行為包含的公益性足夠突出，同時，對個人權(quán)利的影響微乎其微。在比例性并不明顯時需要進行比例性評估，要求科研人員證明所研究的內(nèi)容可以滿足緊迫的社會需求并且對個人權(quán)利的減損不超過實現(xiàn)研究目的所必需的程度?！秱€人信息保護法》第四章專章規(guī)定了“個人在個人信息處理活動中的權(quán)利”，第44-48條分別規(guī)定了知情權(quán)、決定權(quán)(反對權(quán))、訪問權(quán)、更正權(quán)、刪除權(quán)、解釋說明權(quán)，同時規(guī)定存在“法律、行政法規(guī)規(guī)定的其他情形”時可以對知情權(quán)、決定權(quán)(反對權(quán))、訪問權(quán)、刪除權(quán)予以克減?？茖W(xué)研究處理個人數(shù)據(jù)對于個人各類權(quán)利均可以克減，但是，克減程度需要通過比例性評估視具體情形而定。

5.3 保障性措施的輔助設(shè)置

對于數(shù)據(jù)處理的保障性措施，《個人信息保護法》已經(jīng)作出一般性規(guī)定。科學(xué)研究處理個人數(shù)據(jù)行為可以在適用一般性規(guī)定的基礎(chǔ)上進行個性化局部調(diào)整和規(guī)范創(chuàng)新。

《個人信息保護法》第4條規(guī)定“匿名化處理后的信息”不屬于該法所界定的“個人信息”范圍；第51條第(三)項規(guī)定信息處理者負(fù)有“采取相應(yīng)的加密、去標(biāo)識化等安全技術(shù)措施”的義務(wù)；第73條第(三)、(四)項分別解釋了去標(biāo)識化和匿名化的含義?？傮w而言，《草案》只對技術(shù)性措施作出概括性規(guī)定，對噪音添加、屬性交換、差分隱私、數(shù)據(jù)聚合等具體技術(shù)手段未作要求。這可能是因為技術(shù)性措施不僅僅承載不可被識別的技術(shù)判斷，同時，隱含相當(dāng)程度的價值權(quán)衡——不對識別可能性進行過分細(xì)致和嚴(yán)苛的要求，為信息處理和流通保留必要空間。技術(shù)性措施具有復(fù)合屬性，同時，隨著數(shù)字技術(shù)的發(fā)展，數(shù)據(jù)識別標(biāo)準(zhǔn)是動態(tài)變化的，因此，受到時間、技術(shù)條件等情境規(guī)定性的約束。在科學(xué)研究中，對于不同研究類型不能一味地要求絕對地去識別化，符合當(dāng)時情境下不能識別或者不損害數(shù)據(jù)主體權(quán)益情形下識別可能性極低的經(jīng)處理數(shù)據(jù)均為可接受的情況。此外，隨著技術(shù)的發(fā)展，再識別的風(fēng)險日益突出。除全面清除個人標(biāo)識符外，還需要定期評估和監(jiān)測是否存在新的風(fēng)險以及已采取的技術(shù)手段是否有更新和調(diào)整的必要。

對于組織性保障措施，《個人信息保護法》第58條規(guī)定提供基礎(chǔ)性互聯(lián)網(wǎng)平臺服務(wù)的個人信息處理者應(yīng)“成立主要由外部成員組成的獨立機構(gòu)，對個人信息處理活動進行監(jiān)督”。第六章對“履行個人信息保護職責(zé)的部門”進行專章規(guī)定，其中，第60條規(guī)定了國家網(wǎng)信部門統(tǒng)籌協(xié)調(diào)下的職責(zé)部門組織體系。此間的問題有二：一是科學(xué)研究的自律性組織設(shè)置不足，既有研究倫理審查機構(gòu)的審查重點并非個人數(shù)據(jù)處理，而是一般性的倫理道德評價；二是個人信息保護職責(zé)部門未包括科研行為的專門監(jiān)督機構(gòu)，并且其主要組成人員多為政府部門工作者，缺少能夠?qū)茖W(xué)研究進行專業(yè)把控的科學(xué)專家。對此，在內(nèi)部自律性組織建設(shè)中，需要在大學(xué)或者研究機構(gòu)中設(shè)置個人數(shù)據(jù)處理風(fēng)險的事前評估與認(rèn)證機構(gòu)，促進數(shù)據(jù)侵害風(fēng)險的內(nèi)部過濾和消化；在外部監(jiān)管機構(gòu)設(shè)置中，應(yīng)逐步建立科學(xué)研究的專職獨立監(jiān)管機構(gòu)，提升科學(xué)研究處理數(shù)據(jù)的審查和監(jiān)督能力。

6 結(jié)語

在大數(shù)據(jù)時代浪潮下，數(shù)字經(jīng)濟的迅猛發(fā)展格外亮眼。相對而言，科學(xué)研究處理個人數(shù)據(jù)的應(yīng)用場景未獲得應(yīng)有的重視。面對個人數(shù)據(jù)保護與數(shù)據(jù)利用的張力，需要轉(zhuǎn)變現(xiàn)行法制中不確定法律概念架構(gòu)下的模糊規(guī)制立場，轉(zhuǎn)而細(xì)致梳理和建構(gòu)科學(xué)研究中數(shù)據(jù)處理的合法性要件，確立科學(xué)研究處理個人數(shù)據(jù)的應(yīng)然法律界限。首先，在個人信息保護法作出基本規(guī)定的基礎(chǔ)上結(jié)合專門法的規(guī)范設(shè)計確立科學(xué)研究處理個人數(shù)據(jù)的規(guī)范體系。其次，妥適配置數(shù)據(jù)處理者的義務(wù)范圍和數(shù)據(jù)主體的個人權(quán)利比重，構(gòu)筑激勵相容的數(shù)據(jù)處理行為要件。最后，通過完善技術(shù)性和組織性保障措施確保數(shù)據(jù)處理規(guī)范有序。此外，法律規(guī)制體系需要摒棄封閉和僵化的觀念，秉持開放和革新的立場，唯有如此才能在數(shù)字技術(shù)不斷進步的趨勢下保持充足的回應(yīng)力。