需要知道与合理期待-多伦多大学保护学生个人信息的实践及启示

1、    “需要知道”与“合理期待”多伦多大学保护学生个人信息的实践及启示     摘要：个人信息保护随着信息社会的来临愈发显得重要和迫切。多伦多大学保护个人信息的重要法律来源即覆盖安大略省公立大学的个人信息自由与隐私法，学校在个人信息保护实践中遵循了“需要知道”与“合理期待”两个基本原则，为保护个人信息建立了各项具体存在的制度。我国大学应树立保护学生个人信息的意识，并逐步使自身行为6治化、制度化、有序化。 关键词：“需要知道”，“合理期待”，多伦多大学，学生个人信息保护 个人信息的保护是近半个世纪以来随着信息社会的发展而日益

2、“放大”的问题。无论是政府部门、商业机构，还是非商业机构甚或个人等都有可能收集、保存、公开、利用他人的个人信息。就大学而言，基于教学和管理的需要而收集、保存、公开、利用学生在校期间的大量信息和记录，如姓名、性别、奖惩记录、成绩等；同时大学生本人、第三方主体（如用人单位、政府部门等）等还会基于某些正当需要获取相应的个人信息。大学应该如何收集、保存、利用、公开学生的个人信息，关碍大学和相关部门正常职能的发挥和学生合法权益的维护。笔者籍着在多伦多大学访学之际，就其保护学生个人信息的实践及启示撰文，以期为我国高校保护学生个人信息提供思考。 一、个人信息及其大学生的个人信息的范畴厘清 

3、;个人信息这一概念，目前在理论、立法和司法上还存在不同的表述。在立法上，就存在个人信息、个人数据（个人资料）和隐私之别。尽管如此，随着信息社会的推进和电子商务的袭来，“个人信息”已经成为能体现技术中立且涵盖甚广的术语，传统隐私也已经泛化为信息隐私。欧盟1995年个人数据保护指令以个人数据作为其基本范畴，其所谓的个人数据，是指任何与一个明确的自然人或可识别的自然人（数据主体）身份有关的信息，其中，“可识别的人”是指可以直接或间接识别的人，尤其是借助于身份证号码或其他一些有关身体、心理、精神、经济、文化或社会身份等特定因素可以直接或间接识别其身份的信息。世界经济发展与合作组织（oecd）理事会19

4、80年在渥太华部长会议上通过了关于规制个人隐私保护与跨境个人数据流通的建议，其中所谓个人数据，是指任何可以或能够辨别出来与某一个人有关的信息。加拿大与美国一样，传统上将个人信息作为隐私对待，但在信息时代的语境中，立法部门为此专门制定了个人信息保护法。加拿大1983年施行的隐私法（privacy act）第三条通过列举的方式规定了8项个人信息的类型，分别是：名字、年龄、体重、身高；医疗记录；收入及消费和购买习惯；种族、血统、肤色；血型、dna、手印；婚姻状况和宗教信仰；教育背景；家庭住址与电话号码。2000年通过的个人信息保护与电子文档（personal information protecti

5、on and electronic document，简称pipea）第二条规定，个人信息就是识别个人的信息，但是不包括机构雇员的姓名、工作职务、工作地址、办公室电话等。我国2008年公布的个人信息法（草案）（以下简称草案）规定，个人信息是一切可以识别本人的信息的总和，但公民的个人不良信息不属于保护范围。纵观前述的立法例，尽管国际上关于个人信息的表述稍有区别，但在界定上趋于一致。笔者赞同我国草案的表述，个人信息就是一切可以识别本人的信息的总和，包括公民的基本情况信息、健康信息、学习和工作履历记录、生活和消费习惯等。 大学生的个人信息主要针对大学生这个特殊的群体，其个人信息就是一切识别

6、大学生本人的信息的总和，具体表现为大学生的基本情况信息，如姓名、性别、年龄、体重、身高、学号、家庭住址、家庭成员、寝室号码、专业方向、宗教信仰、性取向、婚姻状况、电话、电子邮箱、信用卡信息等；大学生的健康信息，如血型、就诊或者患病记录；大学生的学业记录，如平常表现、学术评定、在校期间的奖惩情况、就业单位；大学生的消费、购物和上网习惯等。大学生的个人信息就是自己的画像，是自己人格的组成部分，蕴含着人格尊严，同时也具有资源属性，具有财产价值。基于此，大学生的个人信息应予以保护。 二、大学保护学生个人信息的典型模式：以多伦多大学为例 多伦多大学坐落于加拿大多伦多市，始建于1827

7、年，是北美大陆最古老的大学之一，也是世界上最重要的研究型大学之一。该校秉承“像大树一样茁壮成长”（as a tree through the ages）的校训，其教学和管理处处体现“以学生为主”的细腻情怀和办学理念。具体到学生个人信息的保护方面，以安大略省信息自由和隐私保护法为法律指导，本着“需要知道”和“合理期待”的两大基本原则，精心设计各项制度，广泛宣传，充分注重校方和学生对于个人信息的利益衡平来收集、保存、利用学生的个人信息。 （一）安大略省信息自由和隐私保护法：多伦多大学保护学生个人信息的法律依据 加拿大是联邦体制，按宪法规定联邦政府和全国各省政府拥有各自的司法管辖

8、区。1867年的宪法第九十二章授予加拿大各省政府对地方贸易、财产和民事权利的专有司法权。基于对这种权力分割的认可，安大略省在1990制定了信息自由与隐私保护法（freedom of information and protection of privacy act，简称fippa）（1990）、地方政府信息自由与隐私法（municipal freedom of information and protection of privacy act）（1990）以规制省级政府部门等公权力机构掌握的个人信息的保护和获取。但该法真正覆盖安大略省的包括多伦多大学、瑞尔森大学、女王大学、西安大略大学等公立大

9、学是在2006年6月10日以后，即2006年6月10日以后，作为公立大学的多伦多大学在收集、利用、存储、公开学生个人信息时应遵守fippa的规定。 fippa法共分5部分，有70个条文。第一部分之前表述的是有关该法的目的、适用范畴、条款中涉及的术语解释等内容。第一部分是“行政管理”；第二部分是“信息自由”，涉及获取记录的种类、例外、程序以及对于即将出版或者公开的信息的获取；第三部分是个人隐私的保护，包括收集、保有信息、利用和公开个人信息、个人信息银行、获取信息和纠正信息；第四部分是有关当事人如何请求予以保护；第五部分是一般条款。 （二）“需要知道”和“合理期待”：多伦多大学

10、保护学生个人信息的两个基本原则 1.“需要知道”：收集、分享、公开、利用学生个人信息的界限。在多伦多大学制定的保护学生个人信息的实践手册中，明确将“需要知道”作为教职人员收集、分享、公开、利用学生个人信息的根本准则。“需要知道”由以下几个方面决定：第一，个人信息只能提供给大学的高级管理人员、雇员、咨询师或者代理机构；第二，仅仅因为工作的需要而获得学生个人记录；第三，在实现大学功能的要求下，公开是必须和正确的。多伦多大学的学生个人信息主要是“学生信息贮藏中心”（repository of student information）在收集和管理。凡登陆该中心网页的学生被明确告知依法收集个人

11、信息。据了解，学生在每学期开学报到时会在教务部门签订一张关于涉及大学对自己个人信息收集、分享、保存、利用的协议书，内容非常详尽，包括关于教务人员、教学人员、学校的机构收集、分享、利用、分享信息的种种规定。另外，学生每参加一个学术项目，也会在参加之前签订关于收集信息和分享信息的协议书。学校作为一个教学和管理机构，通过“需要知道”获取学生的个人信息，如果不属于“需要知道”的范畴，则不得收集、分享、利用、保存学生的个人信息。 2.“合理期待”：多伦多大学的学生对个人信息保护的边界。在加拿大法律中，“合理的隐私期待保护”主要适用于刑法典第四部分的刑事诉讼保护隐私领域。法庭旨在寻求学生对隐私保

12、护的合理期待和学校基于维护秩序和纪律的利益的精美平衡。1998年，加拿大最高法院在r.v.m.（m.r.）一案中的判决认为，“合理的隐私期待尽管存在，但是在某些情形下会减少。学校中的学生的合理隐私期待确定应该比其他情形下要少。因此学生的合理隐私期待会显著减少。”这表明，基于对教学秩序、财产安全等方面的考虑，特别是警察搜查学生的书包和柜子是不被视为侵犯了学生的隐私权。在侵权法中，“合理的隐私期待”同样也存在。特别是公众场合，如课堂、学术报告厅等，如果有网络直播或者摄像，教师要先行告知本次教学或者讨论需要向公众公开，学生可以选择“opt-in”（进入）或者“opt-out”（退出），如选择“opt

13、-in”，则表明放弃自己的部分隐私。换句话说，此时学生对自己的隐私只能有“合理的隐私期待”。该原则主要源于学生与学校的特殊关系，学生对自己的个人信息不能苛求学校过重的保护，否则将影响学校的正常运作。基于此，学生只能要求“合理的隐私期待”。美国著名的隐私法专家、乔治华盛顿大学法学院丹尼尔·所咯娃教授认为，保护隐私应与促进信息流动相一致，“过多的秘密信息对信息社会也是一种危害”。 （三）信息自由和隐私保护办公室：多伦多大学保护个人信息的主要机构 加拿大与美国等国保护隐私有很大不同的一点就是，加拿大根据隐私法和个人信息保护与电子文档的规定，设立了统一的隐私专员办公室。该

14、办公室是一个独立于政府、直接向国会汇报工作的独立调查机构，拥有独立的调查、审计、受理个人申诉的权力，其目标是使政府更加开放、问责、保护公民隐私权。各省也相应设立了类似的隐私专员办公室。在多伦多大学，校长是隐私保护的法定代表人。在具体操作上，隐私保护政策的进一步详细制定和施行则主要集中由主管学术的教务副校长领导的信息自由和隐私保护办公室负责。该办公室设立主任1名、协调员1名，主任是各项涉及学生个人信息请求的最后决定者，同时也是负责与安大略省信息与隐私专员联系的联络官，包括申诉、隐私事项和咨询。与学校隐私保护办公室相对应，多伦多大学的14个院系都设有专门的信息自由与隐私保护办公室，负责处理本学院的

15、涉及个人信息保护的事项。 （四）大众和行政管理人员获取信息以及隐私保护指南：多伦多大学保护学生个人信息的制度框架集合 2008年8月19日多伦多大学教务处网站上发布了最新的大众和行政管理人员获取信息和隐私保护指南手册。该手册总共48页，分6个部分，其中“section two”详尽阐述了学校对于教师和学校行政人员如何收集、分享、利用学生个人信息的各项制度和建议，包括收集制度、使用和公开制度、保存制度、隐私事件回应制度、信息种类划分制度、个人信息和其他秘密信息的安全制度、记录管理制度、记录会议制度、清除桌面信息制度、安全毁灭个人信息和记录制度。除了该手册外，教务处组织相关人员

16、经过调查总结后提出了17个教职工和学生彼此最关心的涉及交作业、公布分数、考勤、邮件回复等方面收集和利用、分享个人信息的问题，并发放相应的宣传资料，同时上传至教务处网页上，供全校师生和其他需要查询和获取学生个人信息的人员参考。 三、启示 笔者在访学期间与多伦多大学fipp办公室主任雷菲尔·伊斯克纳兹先生交流后认为，多伦多大学保护学生个人信息实践是富有成效的，充分平衡了学校和学生各自的需要，对于我国高校实现依法治教、建立现代大学制度具有一定启示。 （一）认识的高度：大学生个人信息权是一项基本人权 加拿大权利和自由宪章第七条规定，“每一个人享有个人生

17、命、自由和安全的权利，这种权利除了为了基本正义的需要不得加以剥夺”。该条款被认定为加拿大宪法中保护隐私权的来源。1995年，加拿大最高法院通过r.v. oconner一案确立了如何平衡原告的隐私保护与被告的请求公开记录的正当性。另外，第八款规定，“每个人享有安全权，反对不合理的搜查和扣押”。该条主要保护个人隐私的“合理期待权”。我们看到，加拿大将公民的隐私认定为个人的人格尊严，是一个人之所以为人的基本要素，不可或缺。基于这样的认识，加拿大针对政府、商业机构、非商业机构、个人等收集、使用、分享个人信息的行为进行了规定，以保护这项基本人权。 （二）完善的法律制度：有效保护大学生个人信息的

18、关键 加拿大是世界上第二个制定隐私法的国家。随着信息化时代的来临，传统隐私的概念正逐步融于个人信息的表达中。加拿大针对个人隐私和信息受到的威胁和挑战，特别是一些私权力部门，如金融、保险、房地产部门、网络服务商等不法收集和泄露个人信息的情形，于2000年制定piped法。而各省和地区则依据宪法的规定纷纷制定了相应的规制公权力部门，如各级省政府、市政府、大学等部门获取和收集信息的法律，部分省还率先制定了规制私权力部门获取或者收集信息的法律。所以，权利与自由宪章、宪法、隐私法、个人信息保护与电子文档、刑法典、侵权法、以及各省制定的法律，另外还有加拿大参与的国际组织和签订的关于保护个人信息的

19、协议这些法律文件逐步形成了对公民个人隐私或者个人信息的全面保护。除此之外，加拿大还专门设有隐私专员以监督、纠正、查处各项违反个人信息获取或者收集的行为。这些完备的法律体系和独特的保护机构有效地保护了公民的个人信息。 （三）规范的实践：保护大学生个人信息的根本 笔者通过网络了解了加拿大的一些著名大学，如蒙特利尔大学、英属哥伦比亚大学、约克大学、女王大学，阿尔伯塔大学等，发现在这些大学教务处的网页上都有非常完善和详尽的保护个人信息的规定。其做法与多伦多大学基本类似，都对关于学生个人信息的收集、分享、利用、保留等有明确的指示。安大略省的信息自由与隐私保护法虽然适用于安大略省的所有公立大学，但是大学生的个人信息、个人记录如何界定，如何收集，如何申请