（三）资料使用者的义务。资料使用者除了依要求提供查阅和进行资料修正外，还负有以下义务：１删除不再需要的个人资料。凡资料使用者持有的个人资料是用于某目的，但已不再为该等目的而需要的，该资料使用者必须删除该资料。２备存记录簿。资料使用者须对拒绝查阅资料的要求、拒绝改正等事项备存记录簿，并保存４年。３依要求停止在直接促销中的使用。使用者须告知资料当事人资料用于直接促销，在当事人要求停止如此使用时，应在不向该当事人收费的情况下照办。
（四）个人资料私隐专员。专员由行政长官委任，其职权包括：１就遵守条例作出监察及监管，促进对条例的认识及理解；２核准及发出实务守则，就如何遵守条例的条文提供建议供实务性指引；３核准资料使用者提出的自动核对个人资料的要求；４定明须每年呈交申报表的资料使用者的类别，并编成资料使用者登记册，供市民查阅；５视察个人资料系统，并就如何进行遵行条例提供建议；６就涉及违反条例规定的个案进行调查，并在有需要时向资料使用者发出执行通知；７审核他认为可影响在个人资料方面的个人私隐的建议制定的法例，并向建议制定该法例的人报告其审核结果。
（五）个人资料的核对程序（即比对程序）。如无资料当事人同意或专员同意或符合法律规定的其他条件不得进行核对程序。
从以上内容来看，香港私隐条例明显地向欧盟９５指令靠拢。
（第二节）德国个人资料保护的理论与立法从２０世纪６０年代开始，随着信息社会的到来，在德国个人资料越来越多地用计算机来收集、处理、利用和传输。德国政府认识到：个人资料的收集不仅为德国政府机构行使国家权力奠定了基础，而且给德国民间机构带来了普遍的利益。然而，个人资料的收集与处理还有另一个结果——将个人人格扭曲。
个人资料的收集与处理的一个客观结果是，个人资料主体被塑造成“资料形象”（ｉｎｄｉｖｉｄｕａｌｄａｔａｉｍａｇｅ），而这种形象可能与真实的本人大相径庭。面对这种侵害，德国走上了制定个人资料保护立法的漫漫长路。德国黑森州１９７０年资料保护法是全球最早的个人资料保护立法，而德国《联邦资料保护法》制定于１９７７年，在经过了长达１３年的适用与修订后，该法已经成为大陆法系国家最有代表性的一部个人资料保护立法，与英美法系个人资料保护法相比不仅具有鲜明的大陆法系特色，而且对大陆法系国家个人资料保护的立法实践发挥了和正在发挥着不可替代的影响。
一、个人资料保护的立法沿革
（一）１９７７年德国资料法。１９７０年德国黑森州率先制定了资料保护法，该法是世界上第一部个人资料保护法。１９７７年联邦德国制定资料法。受美国理论界的影响，联邦德国于２０世纪６０年代末以保护隐私入手开始关注个人资料。联邦众议院于１９６９年做成一项决议，要求联邦政府采用法律手段消除个人资料处理过程中对“个人隐私”所造成的侵害。这项决议是联邦德国开始个人资料保护统一立法的前奏。随后，国会于１９７０年起着手制定联邦资料保护法草案，并于１９７１年向众议院提交。经过长达６年的反复讨论与修改，联邦资料保护法最后于１９７６年全文通过，１９７７年生效。该法的正式名称是《防止个人资料处理滥用法》，人们习惯称其为联邦资料保护法（本文简称“１９７７年德国资料法”）。该法共有六章４７个条文，分为总则、公务机关的资料处理、非公务机关为自己目的的资料处理、非公务机关为他人目的的营业性资料处理、罚则、过渡与例外条款。１９７７年德国资料法的立法目的有两个：第一，在个人资料处理过程中对个人隐私给予统一而充分的保护；第二，使个人资料处理行为合法化。这两个目标表明，德国政府在制定个人资料保护法时头脑十分清醒，它既关注个人隐私的保护，又充分认识到信息社会资料处理的势不可挡的趋势。因此，１９７７年德国资料法兼顾对人的保护和对个人资料处理行为的认可两个价值目标。
１９７７年德国资料法颁布后，曾引起许多要求修法的批评，并于１９８０年进行了第一次修正。
（二）１９８３年的宪法判决。德国宪法法院１９８３年判决是德国个人资料保护法发展的里程碑。德国联邦政府在１９８２年颁布了《人口普查法》，计划在全国范围内对公民进行全面的资料收集，拟订的收集范围包括人口、职业、住所和工作等个人资料。德国联邦政府的《人口普查法》引起了很多人的反感，在其４月１日生效前，已有人提起宪法诉讼要求宣告《人口普查法》违宪。１９８３年１２月１５日德国联邦宪法法院最后作出判决认定该法有违宪情况，并作出具体处理：违宪部分无效，其余部分修改后施行。该判决提出了信息自决权的概念，将个人资料权利明确规定为一项宪法权利并引起了以此权利为中心的个人资料保护法的进一步修订。
（三）１９９０年德国资料法。受联邦宪法法院１９８３年判决的影响，德国开始再一次修订个人资料保护法。联邦内政部在１９８７年１１月正式提出个人资料保护法修正草案，经过激烈的争论，到该年国会会期结束，各党派仍就警察机关和安全机关之间的资料交换问题不能达成一致，致使德国资料法１９９０年１２月才修正完成并公布。修正前该法原有六章４７条，修正后减为五章４４条。条文减少了，但内容反而更加充实，并且有很大的更新。这次修正的另一个重要特色是将国家安全机关对个人资料的收集与处理纳入个人资料保护法。总体来看，这次修正并不限于部分条文的修订，在某种意义上说是观念和理论的更新。至此，经过数次修订的德国资料法始得到理论界与司法界较为一致的肯定。
二、立法模式与理论基础
（一）立法模式和体例。德国个人资料保护法采取统一立法模式。统一立法模式是指在一个国家内部对个人资料保护进行统一规范、统一保护。该模式能较好地保持大陆法系法制统一的法律传统，大陆法系其他国家纷纷仿效。德国是联邦国家，德国的联邦政府和州政府都制定了个人资料保护法。在体例上，德国保护法分为总则和分则。总则是第一部分“一般条款”，分则由第二部分到第五部分组成，其中第二部分是“公务机关的资料处理”，第三部分是“非公务机关和参与竞争的公法上的企业的资料处理”，第四部分是“特别规定”，第五部分是最后条款。
（二）就其制定个人资料保护法的理论基础，分信息自决权和一般人格权理论分述如下：
１信息自决权理论。德国是最早确认个人资料宪法权利的国家。如前所述，德国宪法并没有个人资料保护的明文规定，宪法法院１９８３年判决第一次提出“信息自决权”的概念。１９８３年宪法法院判决的依据是德国基本法第１条第１项的“人性尊严”和第２条第１项的“人格自由发展”。基本法第２条第１项规定：“在不侵害他人权利和违反宪法秩序或公序良俗范围内，任何人均有自由发展其人格的权利。”第１条第１项规定：“人性尊严不受侵犯。”该判决认为上述宪法规定体现了基本法的根本价值——维护人的尊严，判决还认为个人资料是对个人生活事实的记载，是对自然人的“人格图像”的勾画。判决认为个人资料本人对其个人资料的交付与使用的自由决定的权利应该得到法律的确认和保护，这种权利就是“信息自决权”。１９８３年判决确认的信息自决权的核心内容有三：第一，法律保护建立于个人资料之上的一般人格权；第二，以上权利的限制只能由法律作出；第三，个人资料的收集应受严格的、具体的、明确的目的限制。宪法判决关于信息自决权的规定，奠定了个人资料保护的宪法基础。
另外，在德国各州宪法都能找到个人资料保护的宪法权利基础。在大多数德国的州宪法中有关于“资料保护权”的条文，如柏林州宪法第２１（ｂ）条、勃兰登堡州宪法第１１条、萨克森－安哈特宪法第６条、萨尔州宪法第２条等。
２一般人格权理论。一般人格权是德国进行个人资料保护的民法基础。
在德国，最初对个人资料的关注来自于美国的影响。在早期的研究和立法中，德国学者和政府移植了美国的隐私权理论来保护个人资料。宪法法院１９８３年的人口普查法判决，促使政府对个人资料保护法的立法理论和规则重新考虑。
这是１９８３年人口普查法判决的重要意义所在。１９７７年德国资料法认为个人资料保护的目的在于保护隐私。然而，在德国法中并没有与美国相同的隐私权观念，英美法所称的“隐私权”内涵正是德国等大陆法系关于“一般人格权”的规定。“由于大陆法系与英美法系之法律思想与权利保护的发展背景不同，因此在德国法制中，并无完全该当于英美法制中之‘隐私权’概念。然而英美法所指隐私权之标的，无论学说或判例，均强调‘隐私权’之存在为‘人格之完整’所不可或缺之要件，此一论点与德国法制中‘人格权保护’之理论，有其相似之点。”大陆法系一般人格权理论保护的是一般的、普遍存在的人格利益，其立足于人格权的广泛性和多元性。通过承认在多元的社会中人有维护其人性尊严和人格自由发展的基本权利，进而弥补具体人格权理论保护特定人格利益（如姓名、健康等）的不足，实现对人格利益的全面保护。按照一般人格权理论的观点，在信息社会普遍大规模进行个人资料的收集、处理与传输，保护人格权就应以保护个人资料为核心环节。１９８３年宪法判决提出，资料在何种情况下需要法律保护，不能只依其是否触及隐私而论。在此判决的指引下，修订后的１９９０年德国资料法第１条规定：“本法之目的在于保护个人免于因个人资料的传输造成人格权的侵害。”这一规定表明，在个人资料保护的理论基础上，德国法终于有勇气放弃了作为舶来品的隐私权理论，转而寻求本国法律体系中比较完善的一般人格权理论。一般人格权理论是德国个人资料保护法理论成熟的标志。
三、保护对象
１９９０年德国资料法第３条第１项规定：“个人资料是指可以直接或间接识别自然人的任何资料。”该条明确将个人资料保护的主体限定于自然人范围，排除了法人和其他组织。这种观点认为，个人资料保护的立法目的在于保护人格的自由发展，而只有自然人才涉及人格发展问题，所以个人资料保护法只保护自然人的个人资料。法人资料的价值及功用和自然人根本不同，这部分资料应该依照不同的原则由有关商业秘密和反不正当竞争的法律进行保护。该条规定的能直接识别本人的个人资料，是指能单独识别本人的个人资料，如肖像、姓名、身份证号码、社会保险号码等；间接识别本人的个人资料是指不能单独识别本人，只有与其他资料相结合才能识别本人的资料，如性别、爱好、兴趣、习惯、职业、收入、学历等。
从全球范围看，最初制定个人资料保护法的国家和国际组织在保护的资料范围上均倾向于技术特定主张，而随着人们对个人资料保护认识的加深，越来越多的国家和国际组织转而采用技术中立的主张。所谓技术特定是指在个人资料保护范围问题上，以特定技术作为标准而对个人资料进行划分，并区别对待。这种主张认为，在资料自动化处理情况下，人格遭受到前所未有的威胁，于是产生了对个人资料加以专门保护的法律。因此，个人资料保护的对象应该限于自动化处理的个人资料，拒绝对非自动化处理的个人资料给予专门保护。
１９７７年德国资料法采取技术特定立场，对个人资料的保护仅限于自动化处理的个人资料。与技术特定相反，技术中立主张对个人资料进行同等保护，不因处理技术不同而对个人资料作区别对待，主张将采用一切技术手段的个人资料均纳入个人资料保护法的保护范围。德国资料法在保护对象方面同样经历了由技术特定向技术中立的转变。经过１９９０年的修正，德国资料法放弃了以自动化技术作为标准加以限制的规定，采纳了技术中立的主张，对个人资料开始进行全面保护。
四、基本原则
很多国际组织认为，个人资料保护原则是个人资料保护法的核心内容，甚至在立法方面仅仅规定保护原则为已足。个人资料的保护原则的重要性可见一斑。德国在保护原则方面立法缜密，形成了较为完整的原则体系。
（一）直接原则。直接原则是指个人资料的收集，原则上应该直接向本人收集。德国资料法第１３条规定：“应向个人资料本人直接收集个人资料。”
（二）更正原则。更正原则是指为了保护个人资料的内容完整与正确，个人资料本人有权利修改个人资料以使个人资料在其特定目的范围内保持完整、正确及最新。德国资料法第２０条规定：“不正确的个人资料应该更正。”
（三）目的明确原则。目的明确原则是指个人资料在收集时必须有明确的目的（又称特定目的），禁止公务机关和非公务机关非法超出目的范围收集、储存个人资料。德国资料法第１４条是目的明确原则的法律依据。第１４条第１款规定，资料档案控制者因执行其主管职务之必要，可以为了收集时的目的储存、变更和利用个人资料。如果没有在先的收集，则仅限于为储存之目的，变更或利用资料。
（四）安全保护原则。安全保护原则是指个人资料应该处于安全的保护中，避免可能发生的个人资料的泄露、意外灭失和不当使用。德国资料法第９条关于“技术与组织上的安全措施”规定：“处理个人资料的公务机关和非公务机关为了自己或他人的利益应该采取技术上和组织上的必要措施来保证遵守本法的规定，特别是本法附件中的要求。只要有关措施与达到期待的保护水平有关且是合理的，就应该采取该措施。”在附件中就很多安全细节问题作出了明确规定，比如说，入口管制、资料库管制、输入管制、利用者管制、取用管制、传送管制、投入管制、委托管制、运送管制、组织管制等。
（五）公开原则。公开原则是指对个人资料的收集、处理与利用，一般应保持公开，本人有权利知悉个人资料的收集、处理与利用情况。德国资料法第１３条规定资料应向当事人收集，其第３３条规定了告知义务。第３３条规定：
“如果个人资料是为了某人自己的目的第一次储存，资料本人应被告知这样的储存和资料的类型。如果个人资料被在正常的商业活动中为了传输而储存，资料本人应被通知起初的传输和资料传输的类型。”德国资料法第３４条对“告知”作了详细规定。
（六）限制利用原则。限制利用原则是指个人资料在利用时应该严格限定在收集的目的范围内，不应作收集目的之外使用。德国资料法第１４条第３款规定，单纯基于资料保护检查、资料安全或确保资料处理设备的合法运用的目的，而储存个人资料者，仅得依其目的而使用。第３１条对于非公务机关也有相同的规定。此外，在第四章中亦有许多目的性拘束的规定与限制利用原则有关。
五、个人资料权利
