個人信息保護的現狀分析

文 單飛

個人信息保護的現狀分析

文 單飛

個人信息的法律保護問題是近半個世紀以來隨著信息社會的發展而日益凸顯的問題。由于社會觀念、信息產業、科學技術以及立法規劃等方面的原因，我國很長一段時間以來沒有認識到保護個人信息的重要性，因此直到現在為止，我國還沒有制定專門的個人信息保護方面的法律。

現階段，我國對個人信息的保護，主要體現在兩大方面：一是在與個人信息保護有關的法律法規中設置個人信息保護條款對個人信息加以法律保護。個人信息的法律保護又可以表現為法律的直接保護和間接保護，所謂法律的直接保護即法律法規明確提出對“個人信息”進行保護；間接保護即法律法規通過提出對“人格尊嚴”“個人隱私”“個人秘密”等與個人信息相關的范疇進行保護，進而引申出對個人信息的保護。二是通過信息控制人的單方承諾或特定行業的自律規范的承諾對個人信息加以自律性質的保護。個人信息在自律保護也表現為兩方面，即企業通過單方承諾這種市場運作方式對個人信息加以保護，以及特定行業組織通過行業自律規范對個人信息確立行業保護標準進而進行保護。

我國個人信息保護相關法律

自2003年起國務院就委托有關專家開始起草《個人信息保護法》，2005年專家建議稿已經完成，并提交國務院審議，啟動了保護個人信息的立法程序。在每年的全國“兩會”上，都有人大代表大聲疾呼。這都在相當程度上折射出，我國公民個人信息被泄露和濫用已經到了相當嚴重的程度，甚至已經成為一種社會公害，加快立法步伐，制定個人信息保護法到了刻不容緩的地步。

在此之前，我國的法律中還沒有關于個人信息的專門規定。以往《民法通則》第101條關于個人隱私權保護的規定，“公民、法人享有名譽權，公民的人格尊嚴受法律保護，禁止用侮辱、誹謗等方式損害公民、法人的名譽。” 這樣籠統而模糊的規定，已顯得過于原則、缺乏可操作性。至于《最高人民法院關于貫徹執行〈民法通則〉若干問題的意見（修改稿）》所確認的“隱私權”，只有當個人信息確實被侵犯，并發生了實際損害之后，才能主張侵權責任賠償，這樣的保護既不及時便捷，也談不上足夠有效。

2008年8月25日，首次提請審議的刑法修正案（七）草案（以下簡稱草案）專門增加規定，明確提出國家機關或者金融、電信、交通、教育、醫療等單位的工作人員，違反國家規定，將履行公務或者提供服務中獲得的公民個人信息出售或者提供給他人，或者以竊取、收買等方式非法獲取上述信息，情節嚴重的，追究刑事責任。

機關與公共服務單位收集與儲存個人信息本意是為提高行政管理和公共服務的質量及效率，可是另一方面，也使個人信息泄露成為可能。世界上的國家或地區已經有超過50個制定了個人信息保護法律，通過限制公權力的途徑來保護個人信息已經是通用做法。在這樣的背景下，草案對侵犯公民個人信息的行為追究刑事責任，極具現實針對性。刑法的作用也僅局限于防范、阻止和懲罰犯罪行為。而現有刑法的規定集中于規范公權力，對于尚未觸犯刑律的行為，再威嚴的刑法也無能為力。刑法與個人信息法的組合乃至信息保護法律法規體系的形成才是改變信息保護失序環境的根本。

在網絡隱私權的保護問題上，我國基本還處于無法可依的狀況。網絡侵犯隱私權的情形主要集中在個人信息收集、處理、傳輸和利用等環節中。概括起來，對網絡隱私權的侵犯主要表現在：非法獲取、傳輸、利用用戶的個人數據資料、非法侵入用戶的私人空間、干擾私人活動以及破壞用戶個人網絡生活的安寧和秩序等方面。

涉及這一問題的，只有信息產業部于2000年11月7日發布的《互聯網電子公告服務管理規定》中提及“電子公告服務提供者應當對上網用戶的個人信息保密，未經上網用戶同意，不得向他人泄露”，違反此規定者，由電信管理機構責令改正，給上網用戶造成損害或者損失的，依法承擔法律責任。

因此，就法律的適用范圍而言，保護個人信息的法律條款數量較為有限、適用范圍相對狹窄，沒有專門的針對所有信息控制人均適用的統一的個人信息保護法；就個人信息的法律保護手段而言，重“刑事處罰”和“行政管理”，輕“民事確權”與“民事歸責”，導致個人信息遭受侵害后，即使侵權行為人最終遭致刑事處罰或行政處罰，信息主體的財產及非財產損失也得不到任何實質性的補償；就法律的可操作性而言，大部分規定缺乏可操作性，許多條款僅僅規定了對個人信息的保密義務，而沒有規定違背該義務的后果；就法律的體系性而言，現有規定之間缺乏體系上的呼應，給人一種“雜亂無章”“群龍無首”的感覺，不符合我國已經繼受的大陸法系的法律思維，同時也不利于法律的適用；就法律條款的具體內容而言，大部分條款通常僅對個人信息保護問題輕描淡寫、一帶而過，往往未能揭示個人信息保護的立法理由、個人信息保護的基本原則、信息主體的權利、個人信息收集、處理、利用及傳遞的規則、個人信息保護的執行機制及監督機制等個人信息保護法應當具備的重要內容。就保護個人信息的觀念而言，我國法律對個人信息的直接保護是近幾年來的新近發展趨勢，在較長時間內由于對個人信息保護的重要意義缺乏正確認識而僅對個人信息采取了有限的間接保護措施。

在個人信息的自律保護方面主要涉及非公共部門及公共部門兩部分。非公共部門，特別是一些商業網站，己經逐步認識到了個人信息的巨大價值以及個人信息對信息主體的重大意義，為了增強消費者使用網絡的信息，提供了相對較為詳細的隱私保護政策。但也應注意到，我國國內各商業網站的個人信息保護水平差異很大，大型的商業網站大多有比較完備的個人信息保護政策；但一些小型網站在個人信息保護方面是令人擔憂的，它們不僅沒有公開相應的個人信息保護政策，甚至不惜商業信譽，只要能給網站的經營者帶來利益，就會不適當地收集、利用乃至出售訪問者的個人信息。另外，非公共部門中，除了商業網站及為數不多的其他主體之外，大多數非公共部門并沒有單方面向相對人提供個人信息保護政策。與上述單個信息控制人在個人信息保護方面的自律措施相對應的是，除了互聯網行業，其他的非公共部門行業也鮮有保護個人信息的行業自律公約。

就公共部門而言，出于長期以來形成的“官本位”的思維定勢，對個人信息的關注基本上是出于其管理的需要，強調得更多的是個人提供信息的義務，而個人就其自身信息所享有的權利基本被漠視。舉例而言，如今瀏覽我國的各級政府網站，幾乎無法看到與一些大型商業網站所具備的“隱私政策”，哪怕是中央人民政府的網站——“中國政府網”對個人上網信息的保護問題也沒有提供相應的政策，這不能不說是我國電子政務發展至今的一大遺憾。就這一現象，有學者認為，“這可能由于我國政府網站還處于發展的開始階段，主要功能還只是對政府政策、辦事流程的公示，起到的只是一個電子公告版的作用。政府網站只提供給網絡用戶閱讀信息、資料，而不收集網絡用戶的個人信息。”

但是，這些學者同時也認為，“政府網站發展成為和大多數商業網站那樣具有交互式的平臺是必然的趨勢。為了更好地為納稅人服務，政府網站將來肯定會朝著功能多樣化的方向發展。為了方便用戶和網站的運作，提供更加個性化的服務，將來的政府網頁完全可能發展到給不同的用戶發送不同的、適合用戶胃口的個性化網頁。這樣，政府網站也就不可能不收集網絡用戶的個人信息而永遠停留在電子黑板報的層次。另外，不同的政府部門通過網上政務處理，掌握大量關于市民通過網絡提交的方方面面的信息，如果缺乏個人信息保護政策，就很肯能侵犯個人信息。”對于這一論述，筆者深表贊同。

個人信息保護關鍵需強化民法相關條款

正因為個人信息保護機制的這種現狀，導致了我國社會生活中個人信息頻頻遭受各種威脅。面臨這樣的狀況，除了由每一個人自己加強自我保護、倡導個人信息保護自律機制的建構之外，越來越多的人們希望我國能夠在個人信息保護領域制定一部專門的法律。事實上，如果從建設法治社會的大背景出發，無論是加強信息主體的自我保護、倡導建構個人信息保護的自律機制，還是制定個人信息保護法，均應當著重從民法保護個人信息的角度進行觀察與理解。刑法和行政法對個人信息的保護固然能夠起到重要的不可或缺的作用，在一定程度上也能夠起到預防侵害個人信息行為的發生，但刑法重在懲罰、行政法重在行政管理，其對信息主體的權利確認及事后的全面救濟的作用是有限的。

首先，信息主體保護自身個人信息的力量可以通過民法上的自力救濟制度得以強化。在法治社會，雖然原則上不允許自力救濟，但在來不及采取公力救濟措施并且權利有被侵害的現實危險時，法律允許有限地采用自力救濟，信息主體可以在法律允許的限度內通過實施自衛行為或自助行為保護自身的個人信息。

其次，就自律機制而言，若信息控制人主動單方面地作出信息保護的承諾，則可以將控制人的這一行為判定為民法上附生效條件的法律行為，一旦條件成就，即信息主體的信息被承諾人所控制，則信息控制人的承諾行為即發生法律效力，信息控制人此時即應當承擔其承諾的信息保護義務；若行業自律組織對個人信息保護作出了承諾，則可以視為加入該自律組織的信息控制人均作出了信息保護的承諾，如此一來，同樣可以采用附生效條件的法律行為的相關理論進行解釋與處理。

另外，如果從民法生長的社會基礎——市民社會的理論出發，行業組織是現代市民社會的重要構成環節。是國家權力與市民權利的緩沖地帶，行業組織對個人信息保護的重要作用是不可小覷的。最后，個人信息保護法的制定，其內容雖然離不開個人信息的行政保護及刑事保護，但對信息主體而言，對其最有力也是最為實質的保護是通過個人信息保護法賦予其相應權利，使信息主體能夠通過自身權利對抗公權力對其個人信息的不當干預、并平衡與其他私權利主體之間的權利沖突。與此同時，當不當侵害他人個人信息時，通過法律對侵權行為人苛以民事責任，則能使被侵害的信息主體得到全面的救濟與補償。

鏈接：《刑法修正案（九）》進一步加強對公民個人信息的保護

《刑法修正案（九）》將刑法第二百五十三條之一修改為：“違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。

“違反國家有關規定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規定從重處罰。“竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規定處罰。

“單位犯前三款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照各該款的規定處罰。”

之所以說《刑法修正案(九)》進一步加強了對公民個人信息的保護，主要體現在如下兩個方面：

一是擴大了犯罪主體的范圍。刑法修正案(七)曾規定了針對個人信息的犯罪主體，并進行了列舉：“國家機關或者金融、電信、交通、教育、醫療等單位的工作人員”。然而在實踐中，各地對主體范圍的把握不一致，有些地方有些窄，僅限于條文中的列項，使得個人信息的保護力度受到限制。這次取消了明確的列舉，所有的主體都有可能構成侵犯公民個人信息的犯罪主體。擴大犯罪主體的范圍，可以更有效地保護個人信息的權益。

二是對侵犯個人信息行為的范圍也進行了擴充。“向他人出售或者提供公民個人信息”，意味著只要是出售或者違反規定提供，情節嚴重的都要追究。這體現出對個人信息有了更大邊界的保護，而目的就是要更有效地打擊目前嚴重泛濫的非法出售、非法提供或者違反規定提供個人信息的行為。