然而，无论事前应急立法如何发展，总会百密一疏，正所谓计划赶不上变化，所以事后免责面向永远保有一席之地。

摘要:  备案审查结果的溯及力问题是整个备案审查制度的收官之笔，关系到法秩序稳定和公民权利保护等重大法律价值，亟需填补立法空白。备案审查结果是否有溯及力，往往影响公民的重大权利，实践中出现的若干案例，已经引起了社会关注和多方争议。

[lv] 参见莫于川、林鸿潮：《论当代行政法上的信赖保护原则》，载《法商研究》2004年第5期。这种信赖利益之所以要受到保护，导源于法治原则下法律的权威性、国家公权力应履行保护公民基本权利的职责[lv]，以及尊重个人根据已公布的法律理性选择自身行为的自治地位。这主要分两种情况：第一，对被告不利的司法裁判有溯及力。再次，信赖利益必须成立，如果以欺诈、胁迫等方式获得受益则可以撤销。例如前述德国的溯及既往模式，规定了若干不溯及既往情况，与我国台湾地区实行的不溯及既往但特殊情况溯及例外规定具有极大的相似性。

[xxxiv]笔者认为，行政机关做出行政行为时，虽然判断所依据的法律规范是否违反上位法并不是它的法定义务，事后法律规范被撤销同理也不能归咎于行政机关，但这仍然无法否认该行政行为从做出之日起所适用的法律就存在瑕疵，所以此种情况更不适于归入合法行政行为范畴，否则违反行政合法性原则。笔者认为，关于谁有溯及力问题，可以从以下几个方面来澄清：（1）备案审查结果的溯及力这一称谓可以成立，它表明备案审查结果与溯及力之间的因果关系，由于经过备案审查程序使规范性文件发生变动，由此产生溯及力问题。如果法律、行政法规规定处理敏感个人信息应当取得书面同意的，要从其规定。

在此情况下，将房产信息认定为敏感信息也是合理的，非法获取、出售或者提供 50条以上的即可入罪。因此，在刑事案件中认定敏感个人信息处理行为是否违反国家有关规定时，应相应地采用区别于一般个人信息的刑事违法性判断规则。〔1〕《生物信息保护要求》第3.1.3条规定，个人生物识别信息基本特征在于，可检测到的个体生理或行为特征，可以从其中提取可识别的、可重复的生物特征。三是可更新性与可撤销性。

然而，由于个人信息法益的多元化和复杂性，不同法律规范文件的调整对象和适用范围存在交叉重合。〔29 〕有的学者主张，公法和私法之间应有明确的界限，公法的归公法，私法的归私法，两者各自独立，互不介入。

（二）敏感个人信息的强化保护规则 从国外立法来看，许多国家立法都以禁止处理敏感个人信息为原则，但禁止范围及法律效力存在差别。〔22〕胡凌：《功能视角下个人信息的公共性及其实现》，载《法制与社会发展》2021年第5期。从系统论角度，某一行业领域的法律法规都是由各个部门法组成的，并且形成多元层次。〔45 〕就个人信息分类与分级的关系来看，两者属于不同维度，但密不可分。

两者的区别主要体现在风险程度上，即权益侵害程度和风险概率。〔27〕参见冉克平：《论个人生物识别信息及其法律保护》，载《社会科学辑刊》2020年第6期。〔24〕参见同前注〔6〕，宁园文。收集个人敏感信息前，应征得个人信息主体的明示同意。

四、侵犯敏感个人信息犯罪的一体化认定 根据我国刑法的规定，对于非法获取敏感个人信息的行为可能触犯侵犯公民个人信息罪、侵犯商业秘密罪、非法获取国家秘密、情报罪以及非法获取军事秘密罪等多个罪名。例如，《个人信息安全规范》第5.4条规定，网络运营者收集个人生物识别信息应征得个人信息主体的明示同意。

同时，从实质角度，并非所有具有敏感性的个人信息均为敏感个人信息，而是有其特殊的权益侵害风险法律基准。从立法上看，数据安全法、个人信息保护法与网络安全法所调整的对象具有重合性。

比较来说，敏感个人信息所蕴含的法益性质与一般个人信息并无不同，主要是公民个人的人格、财产权益和人身安全。第3.7条规定，授权同意个人信息主体对其个人信息进行特定处理作出明确授权的行为。除该法第17条第1款规定的向个人告知一般事项之外，还应当向个人告知处理敏感个人信息的必要性以及对个人的影响。在不同的具体场景中，敏感与非敏感的标准因人、因事而异。另外，信息安全、数据安全领域存在诸多行业规范，对相关单位或个人个人信息处理活动具有较强的指导作用，但它们并不具有法律效力。对于侵犯敏感个人信息法益的犯罪，选择适用何种罪名，则离不开数据安全法、网络安全法等前置法律规范的参照系作用。

〔51〕参见张勇、江奥立：《侵犯公民个人信息罪中的信息数量及认定规则》，载《上海政法学院学报》2018年第1期。第4.1条规定，个体生理特征包括但不限于指纹;人脸;虹膜;声纹;手型;指静脉/掌静脉;视网膜;DNA;掌纹;个体行为特征则包括步态、签名、语音等;个人生物特征识别系统包括数据采集、存储、注册、辨识、验证五个子系统。

以个人生物识别信息为例，其所涉及的社会利益关系不限于公民个体，已经不能仅仅用传统民法上的某种单一权利加以限定。〔5 〕国内有学者认为，在法律语境下，敏感就是法律规制的高反应度。

统一个人数据保护法中规定的消费者权利（访问和更正）不适用于假名数据，但可适用于敏感假名数据，只要它可检索并以进行个性化沟通为目的，这一点显然比欧盟的一般数据保护条例要宽泛得多。在不同层级的立法中，不同类型个人信息的法益属性和保护重心是不一样的，个人信息分类分级具有重要的法益识别和风险防范功能。

〔32 〕公私法的交叉融合仍然是私法体系内部的一种局部调整，并不影响两者仍具有各自独立的法域。〔7〕胡文涛：《我国个人敏感信息界定之构想》，载《中国法学》2018年第5期。《生物信息保护要求》第5.1条提出了强化保护的三项原则：一是保密性。进入专题： 个人信息 人脸识别 。

（一）敏感个人信息刑法保护的前置法功能 我国民法典、个人信息保护法、反不正当竞争法、保守国家秘密法、国家情报法、中国人民解放军保密条例等法律法规分别对个人信息、商业秘密、内幕信息、国家秘密、国家情报、军事秘密等予以保护。同时，也存在公私法融合的现象和趋势。

例如，《信息安全事件分类分级指南》（征求意见稿）根据公共数据遭泄露、破坏后，对国家安全、社会秩序、公共利益以及对公民、法人和其他组织的合法权益（受侵害客体）的危害程度，确定了公共数据的安全级别，共分为4级，由高至低分别为：敏感数据（L4级）、较敏感数据（L3级）、低敏感数据（L2级）、不敏感数据（L1级）。（二）侵犯敏感个人信息行为对象及入罪标准 《刑案解释》第5条第1款第3项至第5项根据敏感性程度的不同，分别设置了高度敏感、一般敏感、非敏感个人信息三种定罪数量标准，与个人信息保护法、安全规范中的敏感个人信息类型范围基本一致，但也有差异。

作为权利客体和行为对象，敏感个人信息的法益内涵不限于公民个人的人格权益，而且包括社会利益、公共秩序和国家安全，受到公法和私法的多元化、多层次保护。对于具有隐私信息性质的人脸信息，应强调其私密性，强化其防御性保护，首先要遵循当事人主观意愿，非特定情形不得处理。

个人信息保护涉及信息的收集、储存、处理、使用、传递、标注、封存、删除、披露、泄露等一系列行为的法律规制，传统立法对于个人信息的保护主要侧重于个人的人身权和财产权，通过认定非法收集和利用个人信息行为对公民个体权益所造成的实际侵害，追究其民事侵权或行政违法责任，或者认定其是否构成犯罪及其所承担刑事责任大小。在大数据时代，在个人信息保护法律领域出现了公法与私法交叉融合的趋势。人脸识别的广泛应用为人们的社会生活带来了很大便利，然而，人脸信息数据存储、传输流程存在严重的隐私侵权和安全受损风险，刷脸系统在公共场景中的应用往往突破同意使用原则，强制授权、过度授权、超范围收集和泄露个人信息等现象大量存在，引发社会公众的普遍担忧。〔20 〕有学者将个人信息权益分为本权权益与保护本权权益的权利：前者主要包括人格尊严、人身财产安全以及通信自由和通信秘密等利益，但不包括财产利益。

美国2015年消费者隐私权利法案（草案）（CPBR）规定了敏感个人可识别信息，并将保障其安全作为该立法的主要任务。但个人信息处理者仍遵循合法收集、目的限制、最小够用等原则，数据主体享有查询、更正、删除、撤回同意等权利

对于人脸信息等敏感个人信息来说，需要以民法典、刑法及司法解释为基础，以个人信息保护法、数据安全法、网络安全法等前置性法律法规为参照系，在对其进行分类分级的基础上予以法益识别，准确认定对侵犯敏感个人信息权益行为的罪质和罪量，并适用侵犯个人信息罪以及数据网络犯罪等相关罪名。但个人信息处理者仍遵循合法收集、目的限制、最小够用等原则，数据主体享有查询、更正、删除、撤回同意等权利。

然而，由于个人信息具有天然的公共价值属性，个人信息的私法保护显得限制有余而保护不足。如果个人私密信息具有一定程度的可识别性，也可被视为个人信息，并可纳入敏感个人信息的范围。