尚权推荐SHANGQUAN RECOMMENDATION

摘要

一、问题的提出

传统认知中的犯罪侦破方式常被称为人力密集型侦查模式，侦查人员立足于既往的办案经验对案件蛛丝马迹进行剖析梳理。近年来为应对数量不断攀升的技术型犯罪、网络犯罪，侦查领域积极接纳新兴技术，延伸出以数字空间为场景、以数据为载体、以算法为工具、以数据价值为目标的大数据侦查模式。大数据技术成果转化也逐渐成熟，我国公安部主导的“金盾工程”“天网工程”“雪亮工程”等大数据平台为侦查实践提供了有力的技术支撑。

     不同于传统侦查，大数据侦查具有事前预防、高效省力、深挖余罪等多项优势，但也更易对公民基本权利产生侵犯。权力的无序扩张可能会使大数据侦查演变为一种“超级侦查权”，无形中忽视了技术所带来的风险隐患。遗憾的是，对于如何平衡好大数据侦查中惩罚犯罪与保障人权的关系以及具体的权利冲突，现行刑事诉讼立法处于滞后状态，理论探讨与实践操作也不曾有定论。尤其是对于刑事诉讼中个人信息的保护，这一关键问题似乎成为了法律规制的例外。相较于刑事诉讼立法对于个人信息保护的迟滞，其他领域关于个人信息的立法保护正在有序完善与强化。我国《民法典》在总则编与人格权编分别设置了第111条为原则性条款和“隐私和个人信息保护”专章。《个人信息保护法》也自2021年底正式实施。当前我国正在逐步建立起一个法律法规、行业规范、技术标准为一体的多维度、综合性个人信息保护制度框架，因而亟需刑事诉讼领域的加入。

     鉴于私法领域个人信息保护体系的发展，面对公权力对个人信息的渴求与私主体权利的维护这一矛盾，刑事诉讼应对这一问题予以回应，探索二者在该领域达致平衡的进路。因此，需要针对侦查活动对大数据技术高涨的热情，通过法律层面的明确对其加以指导和管控，释明新技术中蕴含的风险要素，发现刑事侦查中对个人信息保护的缺失，并对渐步膨胀的侦查权形成必要规制。

二、大数据侦查中个人信息面临既存风险

 通过了解大数据侦查的运作逻辑可知，海量的个人信息数据会在公民日常利用网络进行沟通、交易、工作等过程中产生，而这就成为了大数据侦查能够作用的关键素材，侦查机关通过对个人信息数据的收集、共享与挖掘，发现可疑情况、查获线索证据，以此来证明案件事实。5但是，对个人信息的挖掘与利用在所难免地会带来风险，且这种非接触的、无形的侦查技术对个人信息的侵犯具有“隐秘性”，使得发现与救济都存在极大的困难。

     （一）海量有价信息带来道德风险

      一旦某件事物有利可图，就不可避免会有许多人趋之若鹜，哪怕以身犯险。个人信息在技术或情景的加持下能够产生巨大的利益，因此，当海量个人信息集聚的时候，道德风险也随之产生。一方面，第三方网络服务提供者可能泄露个人信息。侦查机关本质上属于国家公务机关，不可能对所需的技术活动进行大包大揽，在大数据侦查中与第三方商业主体的合作是必然的。

      然而，由于目前对网络服务提供者的监管也处于摸索阶段，且合作资格没有充分实现动态审查，难免会产生网络服务提供者泄露个人信息的情况。如2020年，帮助执法机构进行嫌疑人照片匹配的美国公司Clearview AI就因缺乏透明度和其他安全漏洞而受到审查。此外，从经济角度看，合作主体是否愿意为保障个人信息数据的安全牺牲部分收益、投入充足的资金建立保护系统，规避安全漏洞也是一大需要考虑的问题。另一方面，侦查机关存储数据面临内外部双重风险。从内部来看，侦查人员存在扩张收集与利用信息的可能。实践中，公检案件侦办人员普遍面临巨大压力，侦查的性质、案件追查的黄金时间、程序要求与繁复的文书工作使得侦查人员天然存在扩张使用侦查权力的倾向。从外部来看，蕴含巨大商业价值的大数据资源库必然会招致犯罪分子的攻击，据学者调研，网络病毒攻击的众矢之的不是一般商业主体，反而是政府研究机构等权威性部门的信息系统。在曾轰动一时的“徐玉玉案”中，犯罪分子杜天禹就通过植入木马窃取山东省考生信息64万余条，此类病毒通过披皮文件、链接的方式自动植入系统，一旦绕过信息库的安全防护，将造成难以估量的损失。

    （二）信息数据共享存在失序风险

     “十三五”规划《建议》提出，要“实施国家大数据战略，推进数据资源开放共享”，各级公安机关也都在积极响应政策号召，统筹部署以期共享数据资源。如“防控一体化”大平台，使用内部网络就能“一键式查询”特定主体的全面信息。信息共享分为外部与内部两种方式。在外部共享当中，首先是公安机关与网络服务提供者之间的大数据侦查平台联合共建。对专业性技术的要求以及成本的有限使借助网络服务提供者的数据资源与技术便成为了不二之选。其次是公安机关与其他行政机关的信息共享。例如公安侦查机关与监狱部门的数据共享就能实现对惯犯、改造效果差的罪犯等强社会危险性人员的高效数据侦查。再次是公安机关内部的信息共享。此模式即传统认知中的公安内网系统，但大数据侦查在原有基础上对信息共享范围又提出了脱域性的要求，如此能够打通数据壁垒，有效回应当前公安机关同类案、同团伙案因信息交流闭塞而导致破案率低的痛点。

      然而，海量数据资源的沟通共享成为了信息安全的软肋，加之尚未建立有效的监管体系，使得个人信息失序风险陡然升高。“共享”作为一种能节约个体、群体双重成本的经济模式固有其优势，但共享天然具有的共有属性也使其难逃公地悲剧的陷阱。在当前的大数据侦查语境之下，如若信息的共享者之间没有明确的权责分项，则共享行为及其后果便会无人承担。对此，上层法律或司法部门若没有明确的指导，基层侦查机关很难通过自发的沟通对信息共享进行有序管控。一方面，公安机关与网络服务提供者以及其他行政机关之间的信息合作几乎都通过内部协议来实现，其往往仅通过上级报批一项行政程序审查，缺乏后续监督。并且，这种数据流通往往不公开具体的数据流向以及数据后续销毁等程序，缺乏透明度。另一方面，公安机关的内部信息共享主要体现在数据库权限授予上，对于信息查询权限、信息使用流程、后续保障等规定存在缺失。在实践中，对数据库的使用往往只设置身份权限审核，监督机制存在于侦查机关内部进行，缺少中立第三方或其他外部力量，因而其往往会过于宽松、流于形式。

（三）技术黑箱包含隐秘性误判风险

要想在海量数据中筛选出有效信息、追溯犯罪行为需要一整套算法机制的支撑。在预警方面，可通过数据积累进行风险标记，或构建模型实时监测风险要素。如手机应用Soul联合公安部第三研究所，利用大数据等技术动态风控以打击“杀猪盘”诈骗。在打击方面，可以通过算法进行关联数据的挖掘，实现对关键线索或有效证据的获取。譬如以重大嫌疑人员为锚点，利用“社会面智能安防系统”WIFI嗅探功能碰撞数据，发现关键身份信息；又如通过数据挖掘技术显示树状经济关系链路。

但令人担忧的是，不仅信息瑕疵可能导致误判的产生，算法的独立自主性更使得公民只能处于侵权过程的后置位，无从提前做出应对。首先，数据挖掘技术的效果有赖于数据质量。有学者认为应用一致性、正确性、完整性和最小性四个标准衡量数据质量，然官方主体难以为数据质量背书，如美国联邦调查局的背调数据库中，数以万计的信用报告存在错误。其次，大数据侦查潜藏“算法黑箱”。当前在司法中运用的大数据模型自主学习迭代能力有限，侦查人员无意识附加的主观认知会长期存在其中，影响数据筛选与结果判断。加之在模型运行过程中，其具有充分的自主性，存在不可知的部分，就像AI作画的流程即使设计者本人也无法知晓。2016年美国威斯康辛州的“卢米斯案”中被告人就质疑初审量刑时应用COMPAS的潜在风险，虽然州最高法院以初审法院仅以COMPAS的结果作为参考而非决定性因素为由驳回了上诉，但其也没能回应算法不公开的合理性。再次，传统侦查手段常常是可视化的、接触性的，因而侦查机关对个人权利的侵犯往往会留下蛛丝马迹。例如，暴力逼供必然会造成肢体上的伤痕。而在大数据侦查中，极易对个人信息造成不可知的侵犯，公民只能在实在的损害结果出现后溯源被侵权的过程。

三、大数据侦查中个人信息系统保护缺失

针对上述大数据侦查存在的天然风险，无论是立法还是司法实务都没有作出充分的回应，缺乏风险控制措施与缓冲地带。这种缺失显著存在于公权力规制与私权利接纳两个层面，如若不予回应，将会为公权力的无序扩张打开大门，也会对个人生活的安定性造成不利影响。

    （一）公权力规制：法律对于技术化的侦查权回应不足

      针对大数据侦查中个人信息保护面临的诸多现实风险，我国相关法律制度并没有明确地、成体系地对其进行管控与规制。在个人信息保护法领域，《民法典》等对于个人信息的保护都仅着眼于民事侵权的范围。且在诉讼理论当中，权利的适当让渡是合法合理的，对于个人信息的保护要让位于刑事侦查、调查。《数据安全法》第6条规定“公安机关承担数据安全监管职责”；第35条规定“公安机关因侦查犯罪的需要调取数据，应当经过严格的审批手续，依法进行。”《个人信息保护法》第34条规定“国家机关为履行法定职责处理个人信息，应当依照法律规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。”由此可见，两部法律虽然意识到了公权力机关处理个人信息应当担负相应责任，规定了公安机关在职权范围内具有安全监管和保护义务，但对于更为关键的问题即个人信息权利让渡的范围与程度没有回答，对于具体的程序性问题作出了空白性的规定。

      在刑事诉讼领域，一方面，对大数据侦查的规范与限制仍建立在传统思路上。其对个人信息保护的着眼点还囿于传统体系下对隐私的保护，例如《刑事诉讼法》第64条规定公检法机关对证人、被害人个人信息的保密义务。对于实施大数据侦查行为的审批与监督也往往归于技术侦查之列，按《刑事诉讼法》第151条的规定需获得审批才能实施。另一方面，有关规定较为分散，缺乏体系。《公安机关执法细则（第三版）》第十六章单列查询、检索、对比数据为一项网上侦查措施，但此处仅作了赋权的规定，对于这一措施的施行程序并未提及，且该文件并不是法律文件，只是公安机关内部规范。2016 年“两高一部”《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》对程序进行了细化。但在该规定中，一方面强制侦查与任意侦查未被明确区分，另一方面赋予侦查机关收集提取电子数据的权力却未予以合理制约，这些都为实际操作中的随意性提供了空间，导致个人信息被恣意干预的风险增加。以及后续2019年出台的公安部《关于公安机关办理刑事案件电子数据取证规则》，以及2021年的《人民法院在线诉讼规则》都将焦点放在了提升数据质量、提高侦查效率以及智能化诉讼衔接之上，而对于技术的规范限制、对个人信息的保护仍旧处于被忽视的地位，这些亟须得到立法或司法的回应。

     （二）私权利接纳：刑事诉讼对个人信息权利保护缺失

      通常认为，对公民个人的私法保护与公法保护有着不同内核，前者为权利保护，而后者为权力限制。在个人信息的保护当中，二者应当是一个问题的两个方面。因此，除了对大数据侦查行为提出程序性规制，还应当考量个人信息权在我国刑事诉讼制度中的融合情况，赋予诉讼主体信息权利。

     个人信息权能够以赋权的形式保障诉讼主体对个人信息的自主、自治与自决。在技术赋能下侦查权不断挤占个人信息权利空间的情况下，私权利主体却缺乏相应的法律武器与之产生制衡。个人信息权利向刑事诉讼中的融合仍需面临几点特殊问题。一则，其调整的关系与私法领域中私人主体间的平等结构有着较大的不同，大数据侦查中则需要调和的为权力与权利间的非对称结构。二则，侦查中的个人信息权与人身、自由高度挂钩，如若身份、行踪等信息被错误处理，可能致使无辜的人被拘传或羁押。三则，这一权利的行使应当受到限缩与调整。目前，现行刑事诉讼制度对赋予诉讼主体积极的个人信息权这一命题没有作出回应，个人信息权既不能作为具体诉讼权利在诉讼中得以行使，也很难用某项诉讼权利对其诉求进行涵盖。关于是否以及如何将个人信息权作为一项诉讼权利引入刑事诉讼制度中学界仍处于讨论过程中。有些学者从宏观方面进行了论证，其根据以色列学者海雷尔的观点，认为个人信息权的诉求能够与诉讼权利的结构样态相契合，因而论证出将个人信息权纳入刑事诉讼权利体系是符合法律逻辑的。同时还有人提出可以从宪法高度对个人信息权进行解释，形成匹配各个部门法的保护体系。也有学者从更加微观的层面出发，从个人信息权中分化出知悉权、数据访问权、被遗忘权等单项权利。但综合而言，目前对于上述几点特殊问题的论证是不足的，现有零星的法律保护也都将重点放在了对权力的限制之上。

四、大数据侦查中个人信息保护的模式选择

对于如何实现刑事诉讼制度与个人信息保护制度的对接融合，我国司法实践中积累了部分自发性的实践经验，理论界也进行了许多的探讨。对此，本文将结合域外更为长期的、系统化的司法经验，比较考量不同模式的优劣，寻找适合我国的改革进路。

（一）立法模式：刑事诉讼法框架内的融合

立法层面主要存在两种模式，一种是将刑事诉讼中的个人信息保护进行单独立法，形成独立的预测警务制度。较为典型的是欧盟于2016年制定《以犯罪预防、调查、侦查、起诉或刑罚执行为目的的个人数据保护指令》（Directive(EU)2016/680，下文简称为《2016/680号指令》），其为原不适用于刑事领域的个人信息保护制度搭建了通往形式程序的桥梁。《2016/680号指令》对刑事侦查中“个人数据”“数据处理”的概念都以法律的形式予以确认界定，并对个人信息权利的细分、程序性事项以及相应责任与事后救济都实现了涵盖。

另一种则是在刑事诉讼框架内通过对个人信息的保护实现。此种模式只是在原有法律框架下的调整与完善，相较于单独的立法更具可接受性。以美国为例，其通过宪法第四修正案对执法机构获取刑事证据进行了限制，这种限制主要表现在对国家利益、公共利益和个人信息等方面的平衡追求。在判例方面，美国在2014年的“莱利案”中确认了对私人手机中存储信息拥有合理隐私期待，最高法院认为警察在没有搜查许可证的情况下获得被捕人员手机内有关枪支、毒品等关键证据的行为是极具侵犯性、敏感性的侵权。在2018年的“卡朋特案”中又进一步指明公民对一定次数以及范围内的手机基站位置信息具有隐私期待，警察必须依据合理目的，向法院申请搜查令后方能获取相关数据。可见在数字信息时代必须正确对待手机等电子设备中关于涉及个人隐私信息保护的必要性。

当前，我国《刑事诉讼法》正在朝着法典化方向发展，个人信息领域也有了专门的《个人信息保护法》，因而从立法技术的角度考量，在二者衔接的过程中不宜在刑诉法之外提出同级的立法。可以在《刑事诉讼法》中确立个人信息保护的原则性、纲领性条文，辅以侦查部门出台专门的程序规范，共同实现对大数据侦查中风险的规制与平衡。

（二）权利基础：个人信息权利的引入细化

关于刑事司法中应恪守以隐私权为限度的保护还是接纳个人信息权的保护，目前的探讨多倾向于后者。较之对个人信息权的保护，隐私权保护呈现出一种“面窄而度深”的特点，只保护具有隐私合理期待的个人信息。面对不断迭代的侦查技术与新的权利保护格局，这种严格而深度的保护呈现出不少的弊端。一方面，在保护的内容上容易忽视隐私信息与非隐私信息界限的模糊性与动态的流通性。对隐私信息判断的二分化使之不具有动态的缓冲区域，易造成实务中非此即彼的界定难题。另一方面，隐私权本质上是一种消极的防御性权利，强调个人秘密不被非法收集。其权利的行使只能诉诸事后的损失填平。同时，对其的保护阶段也仅限于第一次信息收集行为，在此行为之后隐私权就已耗尽。基于此，就需要对该模式做出了扩展性处理。如美国通过判例对隐私权的内涵与外延进行适当扩张。除通过“莱利案”“卡朋特案”对隐私的范畴进行了合理扩大之外，美国各级法院还在实践中援引了“马赛克理论”。该理论认为若干非重大的信息片段，通过聚合效应能形成具有重要价值的信息，而美国司法系统接纳了这一理论，加强了对于“敏感但未定密”的信息重视程度，相应的对信息的保护也开始扩展至信息收集与信息分析两个阶段。

相较于隐私权保护模式，以个人信息为基础进行的保护呈现出“面宽而度浅”的特点。结合原有的隐私保护制度，对个人信息的保护就为非私密、非关键的信息保护提供了缓冲区，具有明显的优势。一方面，这种保护是全方面、全周期的。其保护的信息不仅涵盖了如私人存款流水、取向等隐私性、个别性、非自动处理化的信息，还包含如IP地址、社交网站帖子、存储照片等一般性、集合性、自动处理化的信息。以欧盟为例，《2016/680号指令》第3条规定可知，其对数据处理行为的延续过程进行了充分的考量，实现了全周期覆盖，例如马尔珀案中，被告人作为未被定罪的罪犯，认为司法机关在其被释放后，仍将其DNA样本和指纹信息留存在数据库中违反了隐私权，该诉求也得到了欧洲人权法院的支持。个人信息的保护能够为公民提供更为充分的保障。

我国现行诉讼制度一直秉持对个人隐私的严格保护，有涉及当事人隐私的不公开审理制度、对其他诉讼参与人的隐私信息保障制度。如若为了保障隐私程度不足的信息而对原有隐私之概念进行扩张会对现行程序造成压力，因此在权利基础的选择上应接纳个人信息权利，将其用以承接隐私权无法涵盖的溢出需求。

（三）保护方式：契合权利基础的使用逻辑

根据保护权利基础的不同还分化出了两种不同的权利保护方式。一为禁止逻辑（Prohibitive Logic），即以禁止处理隐私信息为原则，以允许处理为例外的“法无允许皆禁止”方式。这就要求国家机关要采集、处理公民的隐私信息必须提供正当理由，经过合法程序。对这一逻辑的选择是与选择以隐私权为保护基础紧密关联的。隐私权不同于一般个人信息，其具有很强的秘密性与脆弱性，一旦隐私受到侵害，结果往往涉及人格尊严、生活安定并具有不可逆转性，因此法律容许隐私权对公权机关秉持更高的敏感度和排斥度。

二为与个人信息权相契合的使用逻辑（Channelling Logic），即以允许使用为原则，以限制使用为例外的“法无禁止皆可为”方式。刑事案件中，国家机关要处理公民的个人信息几乎是按照个人信息保护法领域的底线制度而进行的，仅需满足必要性原则的要求。个人信息权对于使用行为并非排斥态度，其以信息自决为权利追求。相应地，对其进行的保护侧重点就放在了监管与引导有关机关合法、必要地使用个人信息之上。欧盟的《2016/680号指令》就开门见山地明确了应当在具体明确、合法的目的上收集、处理个人信息。

对于这两种不同的逻辑，我国刑事诉讼程序应结合隐私与个人信息双层权利基础对其进行衔接调和。对于《刑事诉讼法》中明确保护的隐私信息，侦查机关应遵循禁止逻辑，列明侦查权行使的正面清单，切不可过限行使；对于刑事程序承认保护的个人信息则可以建立负面清单，指明绝对不可为、相对不可为行为，保障侦查活动的顺利进行。

五、大数据侦查与个人信息保护的平衡进路

规范大数据侦查的风险是为了大数据侦查能够在良好的框架下更加自由高效地施展拳脚，因此在规范措施上一方面要行之有效，另一方面也绝不可矫枉过正，过分阻碍大数据侦查在实践中的应用。结合刑事诉讼价值平衡理论的观念，针对上述风险及规制缺失，在公权力层面实现侦查权力的控制，在私权利层面发挥个人信息主体的能动作用，实现双向合力。

   （一）理念重塑：权力控制与权利之能动平衡

      我国刑事诉讼的构造呈现出较为显著的职权主义色彩，在这一语境下，私权利让位于公权力行使的思想深入人心，某些情况下甚至会异化为对私权利的过度挤压。尤其在侦查阶段，不仅公安机关与被侦查人之间呈现出不平衡的对抗状态，国家安全、社会稳定等理由常成为采集、处理个人信息不当扩张的背书，因此，要实现刑事诉讼框架内对个人信息的保护就要再次阐释二者之关系。“惩罚犯罪”意在保障无辜的人不受犯罪侵害，而“保障人权”则从正面提出了对诉讼参与人及案外无关人员的保护要求。保障诉讼参与人依法享有的诉讼权利反过来“是揭露、证实犯罪、保障刑事诉讼顺利进行的必要条件”。我国的刑事诉讼法框架也拥有纳入个人信息保护的空间，如《刑事诉讼法》第54条、第152条之规定，显而易见地对于涉及个人人格、财产的重要信息持积极的保护态度。

      一方面是刑事侦查对个人信息保护空间的挤占，一方面是个人信息保护的强烈诉求。在大数据侦查中，可以挖掘发现犯罪嫌疑人身份、位置、通信、行动轨迹等多类线索信息，繁杂的碎片化元数据被汇聚在一起后，通过结构化处理又指向更深入的关键隐秘性信息，完成精准描绘，这一信息发现过程也恰契合刑事诉讼对案件真相的揭示。虽然《个人信息保护法》第55条对敏感信息处理作了事前评估要求，但大规模数据挖掘使得难以对是否会从大量个人信息中挖掘出隐私信息进行事前判断。可以说，数据首要价值背后仍有源源不断的价值能够被发掘，其中涵盖了商业价值、道德价值甚至政治价值。同时，以《民法典》与《个人信息保护法》为核心构建起的个人信息保护体系逐步搭建，在刑事追查中个人信息保护加权是毋庸置疑的。当然，侦查阶段有专门的追查犯罪任务，实务中的办案人员也面临着巨大的破案压力，基于追诉成本的经济考量也不能出现为保护个人信息而因噎废食的现象。

      基于上述理念，笔者认为现阶段在技术红利向司法红利转型的过程中，大数据侦查的落地与个人信息保护的平衡点并非一个恒定的数值或一条确切的规范，而应当是个案或具体情况中依据程序合法原则与行为比例原则划定的动态判准。也正因如此，下文提出对权力的规制与权利的吸纳，赋予二者在大数据侦查领域博弈的空间。

    （二）监管权责：监管接触两端的责任明晰

      首先，应确立专门信息监管部门，提供独立性保障。虽然参考欧盟《2016/680号指令》可见设立专门监督机关的可行性，但鉴于我国的司法体制，在刑事司法体制内将检察机关作为信息保护机构更具科学性。检察机关是作为客观中立的存在，我国《刑事诉讼法》第5条规定检察院对有罪、无罪、罪轻、罪重证据要进行一并收集。这种客观中立赋予了检察机关在侦查行为与个人信息保护之间矛盾的问题中避免单向度判断的视角。这一方式也是最为经济的选择。在确立检察机关的监督身份同时，还要保证“它们应不受直接或间接的外部影响，不得接受任何人的指示。”这也恰与我国检察机关的外部独立相契合。

      其次，应当明确信息接触者权责。对于网络服务提供者而言，要侧重对其义务的明确。网络服务提供者与侦查机关合作，事前必须主动接受资格的审查，全面、真实、详细地提供自身情况信息与技术成熟度佐证；合作过程中，要做到定期自检、动态监管，及时发现病毒防御、系统补丁等技术层面的安全薄弱环节并在合理范围内投入资金、人力进行技术升级，同时要为监督机关提供便利；在出现问题后，应当在技术服务范围内进行救济。对于侦查机关而言，要明确规定其应当承担的义务和禁止性行为，在合法、合目的基础上尽可能发挥大数据侦查的效用。一方面，侦查机关应当充分保障信息主体的知情权，为信息主体行使其他权利提供基础。其告知的阶段与内容还应实现差异化。为保障信息主体访问权、更改权等的实现，侦查机关应尽配合义务，即“配合信息主体行使权利”。另一方面，依据《数据安全法》第四章数据安全保护义务第27条规定，数据处理主体有义务构建数据安全管理制度，通过体系管理与具体措施实现对个人信息的保障。这要求侦查机关按照合目的性和比例性的要求收集、处理个人信息；明确层级保密制度；建立合理的追责机制，当发现信息泄露、结果错误时，尽快采取补救措施减轻事故后果。

    （三）权利体系：刑事诉讼对个人信息权的接纳尝试

      相较于单方面的公权力控制，个人信息权是一种积极的、控制性的权利，其给予了当事人发挥主观能动性的可能，而无须消极等待公权力主体的作为。个人信息权的内涵与外延与刑事诉讼权利的结构样态相契合，从法律逻辑上而言将其融入刑事诉讼制度中是可行的。由于在新兴权利的保护中，可以适当通过对宪法相关基本权利进行解释将该权利体现的利益纳入基本权利中，因此，《刑事诉讼法》也可顺承这一理念，将个人信息权所包含的具体权利通过司法解释或公安机关行为规范的方式，吸纳进入对侦查阶段的规范内。

      一方面，应对刑事诉讼中个人信息的范围予以厘定，实现分级保护。首先，应区分不同的权利主体。刑事诉讼不仅涉及诉讼参与人，在大数据侦查的语境之下还涉及与案件并无关联的信息主体。以证人与鉴定人为例，证人往往亲历了案件的发生，而鉴定人则与案件发生过程无关，因此在信息获取程度、保护程度上要做出区分。其次，要对个人信息的基本种类、隐私程度提出分级标准。个人信息可以分为一般信息和敏感信息，后者是指一旦遭到泄露或修改即能切实对主体造成不良影响的个人信息。参照现有通信保护的模式，可将经常应用于各类场景与服务中、呈现出半公开化的通信方式信息、出生年月信息、社交照片信息等标记为隐秘程度较低的信息，而不常使用、非必要公开的个人资产状况信息、性格信息、非他人可见的记录信息等可标记为私密程度较高的信息。此外，根据“马赛克理论”还可针对信息定性总结构建场景分析方法。另一方面，在能够引入个人信息权的基础之上，刑事诉讼中对个人信息权下分的细化权利可以包含以下几类。一为知情权，知情是其他各类权利行使的先决条件。对于如何平衡公开透明原则与刑事侦查封闭秘密性这一对矛盾，可尝试构建“告知—延迟告知—不告知”层级化制度。例如，可于公安机关技术侦查相关规范中加入“对于跨区案件、流窜案件、社会影响重大的案件可以不告知，对于无关联犯罪的案件可在侦查结束后告知”的规定。二为数据访问权，保障控辩双方不因信息获取能力差距而产生的实质不对等，防范因数据失真而引发的司法错误，同时加快案卷电子化、证据电子化的进程。三为数据更正、限制处理权。应在侦查中明确，当信息主体发现侦查机关掌握的信息出现不正确不完整、状态不确定等情况时，有权要求侦查机关实施更正或放弃处理。四为被遗忘权，由信息主体向信息控制者发出删除信息的请求达致权利效果。可以考虑信息主体在公共生活中扮演的角色、信息的性质、来源以及信息经过的时长来确定被遗忘权是否能够成立。在刑事诉讼中可设置当侦查处理信息的特定目的消失或期限届满，信息主体即可通过要求其删除相关数据的机制。

     （四）权利救济：实现追溯与补偿衔接的损失控制

     《个人信息保护法》第61条规定了信息主体可以通过投诉、举报向履行个人信息保护职责的部门寻求救济；《刑事诉讼法》第56条、57条规定了针对非法取证行为的制裁措施。但显然这些规定都缺乏针对性，仍需要深入细化以指导具体实践。基于此，可以从以下几个方面构建刑事诉讼中的个人信息权利救济路径：第一，要建立操作留痕机制。操作痕迹是判断技术行为合法与否的重要证据，因此实现留痕、建立操作日志，允许侦查行为结束后的回溯，能够发现信息不当使用或滥用行为，同时也可以倒逼侦查过程中的操作规范化进行。当然，操作留痕的建立应当建立在不过分加重侦查人员心理负担的基础上，对适当瑕疵与合理行为予以包容。第二，及时阻断侵权行为或风险。一方面，侦查机关有义务主动报告信息侵权情况并及时阻断。另一方面，要为信息主体行使删除权提供充分的空间与保障，允许个人发挥主观能动性阻断信息处理后的存储风险。第三，衔接非法证据排除制度。若侵犯公民个人信息权的行为满足《刑事诉讼法》第56条规定的“不符合法定程序”“可能严重影响司法公正”“不能补正或者作出合理解释”情形之一的，允许权利主体申请排除非法证据，经过合法性审查后，若情节严重，应当予以排除，如此，可以用证据的有效性倒逼侦查机关合理适用大数据侦查技术。第四，完善补偿机制。根据《国家赔偿法》的规定，当前对刑事诉讼中的国家赔偿主要限定在严重侵犯个人生命健康、自由或财产的范围内。可以考虑参考欧盟《2016/680号指令》对受到侵害的数据权利主体获得司法赔偿的权利进行保障。亦可以在不扩张国家赔偿范围的情况下应当对侦查机关的一般侵权实现过渡，考虑引入赔礼道歉、以填平损失为原则的经济补偿等方式。通过多种追溯、救济方式的落实与相互作用，积极构建起能够覆盖全流程的动态救济机制。

六、结语

2023年9月，全国人大常委会发表2023年度立法工作计划，《刑事诉讼法》再修改被提上了日程。现阶段在刑事诉讼法中直接对个人信息保护作出回应或许并不现实，但在刑事诉讼框架之下，积极回应司法实践中科技发展与司法的融合现象是应然层面的总体导向。其中，科技赋能侦查将公权力对公民的信息收集与利用变成了一个辐射大多数人的共性问题，对于实然层面公权力机关不当触碰甚至侵犯公民个人信息的现实，刑事诉讼应当通过制度之完善充分发挥其作为“小宪法”的保障作用。当然，实现大数据侦查与个人信息保护的平衡还有其他诸多讨论告乏。例如，人本主义层面的目标异化、权利异化、主体异化、伦理异化、客体异化、情感异化等风险挑战探讨不深。未来，理论界与实务界仍需积极形成有效互动，相互促进融合为立法与实践提供理论智识。