43、数据与数据保护：概念、主体及管辖权解析

数据与数据保护：概念、主体及管辖权解析

1. 数据处理与保护概述

数据保护相关法案主要针对个人数据的处理活动。个人数据的处理涵盖了一系列操作，法案中对处理的定义为对信息或信息集合执行一个或多个特定操作，具体示例包括：
- 收集、记录、组织、结构化或存储；
- 调整或更改；
- 检索、咨询或使用；
- 通过传输、传播或以其他方式提供进行披露；
- 限制、擦除或销毁。

不过，这并非处理的全部范畴，法案和《通用数据保护条例》（GDPR）使用了“诸如”这样的表述，所以很难确切界定哪些与个人数据相关的操作不构成处理。

在过往案例中，对处理的定义有不同解读。例如在 Johnson v Medical Defence Union 案中，上诉法院认为处理应限于全部或部分通过自动方式进行，或者是与相关文件系统中的数据处理有关。风险评估员对计算机记录的选择以及决定将哪些信息输入自动系统的过程，并非自动操作，而是基于人为判断，因此不构成处理。这一案例与 Campbell v MGN Ltd 案有所区别，后者对处理的定义更为宽泛，认为处理涵盖获取和使用信息等一系列操作。

在互联网环境下，信息披露是处理概念中一个关键活动。互联网使得信息披露变得极为便捷，常见的信息披露方式有两种：一是使用邮件服务器向多个电子邮件地址群发；二是将信息放置在互联网易访问区域，如上传到 FTP 站点或发布在网站上。前者由提供者主动发送信息，接收者被动接收；后者接收者主动检索信息，提供者处于被动状态。如今，在网页上发布个人数据或上传到 FTP 站点无疑构成披露。如 R v Brown 案和 Lindqvist 案都对披露和处理的概念进行了阐释，表明在考虑涉及互联