個人信息保護制度研究

魏書音

智能硬件主要指以人機交互、設備當前社會，個人信息已成為一種重要的社會資源，同時也成為各方競相爭奪的戰略資源，安全挑戰日益嚴峻。隨著云計算、物聯網和移動互聯網等新一代信息技術的飛速發展，大數據應用規模日趨擴大，在數據采集、存 儲、開放共享等均存在安全隱患，嚴重威脅個人信息安全，甚至關系到社會秩序和國家安全，亟需加強個人信息保護制度建設，全面提升全社會個人信息保護能力建設。

個人信息安全形勢

（一）過度收集、擅自披露和非法交易造成信息裸奔數據作為一種新的生產要素，成為各方競相爭奪的重要戰略資源，非法收集、披露和交易數據的行為屢見不鮮。一方面，網絡運營者以“一攬子協議”強迫用戶同意、隱秘收集、誘騙收集個人信息。2017年全國人大常委會的“一法一決定”執法檢查“萬人調查報告”顯示：有49.6%的受訪者曾遇到過度收集用戶信息現象。許多受訪者反映，當前免費應用程序普遍存在過度收集用戶信息、侵犯個人隱私問題，但幾乎沒有受到任何監管和依法懲處。近年來，因App默認勾選、第三方數據采集等問題引發的糾紛頻出。“菜鳥順豐之爭”“大眾點評訴百度地圖案”“支付寶年度賬單事件”等更是將數據無序爭奪等問題不斷暴露在公眾視野中。另一方面，受強大的經濟利益驅動，違法犯罪分子大肆倒賣和披露公民個人信息，已逐漸形成龐大完整的地下黑色產業鏈，甚至出現了“第三方擔保平臺”，個人信息買賣的市場規模大到了需要細分配套產業的地步，侵犯公民個人信息犯罪日趨專業化、產業化。

（二）大體量的個人信息泄露事件頻繁發生。隨著國家大數據戰略和“互聯網+”行動的加快實施，數字經濟飛速發展，大數據應用規模日趨擴大，云計算、移動互聯網、工業互聯網等新興領域匯聚了海量數據，萬網互聯下網絡攻擊正逐步向各類新型網絡、業務系統及聯網終端滲透，伴生性安全威脅和傳統安全威脅交織呈現。APT等新型高級網絡攻擊持續挑戰傳統數據保護技術，并以存儲海量數據的互聯網數據中心、云平臺和重要信息系統為主要攻擊目標，造成大規模用戶信息泄露事件接連發生。2017年發生的幾起個人信息泄露案件數據規模甚至達到了十億、百億級，如涉及京東員工數據泄露案泄露數據50億條，58同城被曝簡歷數據泄露，700元可采集全國簡歷信息，遼寧4.26特大公民信息泄露案泄露個人信息100億條，雅虎30億賬戶全部泄露。這些信息不僅數量多，內容也十分豐富，除了身份戶籍等身份信息外，在生活中產生的各類信息，如名下資產、手機通話記錄、支付寶賬號、開房記錄、航班記錄、打車記錄、“淘寶”送貨地址等也被隨意買賣，公民的生活軌跡被完全泄露。大數據時代的到來又給個人數據保護帶來了更多新的難題與挑戰，個人信息保護不足導致個人隱私、安寧、財產等權利受到侵害且在受到侵害后無救濟渠道。

（三）個人信息泄露滋生出詐騙等下游犯罪。個人信息的泄露不僅造成用戶數據在互聯網平臺非法交易，被竊取的公民個人信息經過加工、轉賣，被大量用于網絡詐騙、敲詐勒索、暴力追債以及滋擾型“軟暴力”等違法犯罪，特別是為電信詐騙犯罪嫌疑人實施精準詐騙提供了更加便利的條件，嚴重威脅公眾財產和人身安全，主要有以下幾種形式：一是實施電信詐騙、網絡詐騙等新型、非接觸式犯罪；二是直接實施搶劫、敲詐勒索等嚴重暴力犯罪活動；三是實施非法商業競爭；四是以各類“調查公司”和“私家偵探”的名義調查婚姻、滋擾民眾。

（四）個人信息安全問題影響行業健康、可持續發展。安全問題已是數字經濟健康發展的最大威脅。一是數據安全問題失控，將會嚴重打擊全社會對數字經濟的信心。近些年，航空售票系統、醫療衛生系統個人信息系統由于遭受黑客攻擊或由于內部管理不善，導致個人信息泄露事件發生，降低相關企業甚至行業的公信力，影響行業的健康和可持續發展。二是網絡運營商間無序競爭引發激烈爭端。數據成為各方競相爭奪的戰略性資源，一些網絡運營商不斷在數據歸屬的爭奪中“擦槍走火”，引發行業站隊和激戰，嚴重擾亂行業生態秩序。如華為和騰訊的“數據之爭”、順豐和菜鳥“數據斷交”事件，此類爭執最終通過協調和解等應急性措施解決，并未有統一的規則來“劃線止爭”，隱患依然存在。另外，一些企業肆意“倒賣數據”獲得了競爭優勢，形成“劣幣驅逐良幣”的惡性競爭狀態，嚴重破壞行業發展生態。

（五）國家基礎數據和核心信息面臨被竊風險。國家間圍繞數據占有和利用的博弈日趨激烈，數據竊取、濫用等問題日益突出，嚴重威脅網絡安全乃至國家安全。一是美國等發達國家利用其掌握相關核心技術的優勢，大量獲取他國的敏感信息。棱鏡門事件充分暴露出美國利用核心技術優勢實施網絡竊密的事實。二是針對關鍵信息基礎設施的國家級有組織的網絡攻擊持續發生，對我國基礎數據和海量用戶信息的竊取，基于規模化個體信息的加工分析，可形成對國家安全的嚴重威脅。三是支撐網絡的基礎物理設施和技術規范被私營數據寡頭掌控，擁有海量用戶數據的數據寡頭企業利用其技術支配力和市場壟斷力，侵害用戶合法權益。四是大規模數據跨境流動威脅國家安全，國外大型互聯網企業對我國大數據資源搜集、跨境輸出并深度挖掘，竊取國家重要敏感數據和海量用戶信息，嚴重威脅我國國家安全。

個人信息保護工作

面臨的問題

（一）尚未形成統一化系統性制度體系。目前，個人信息保護的相關規定主要散布在網絡安全法律法規和各個部門法之中，主要規定還停留在“知情—同意”基本要求的原則性規定上，《網絡安全法》也僅搭建了基本制度框架，具體實施細則和落地措施規定不明，給執法守法留下很大的模糊地帶和灰白空間。《電信和互聯網用戶個人信息保護規定》等部門規章和規范性文件層級較低，且停留在某一個行業和領域，缺乏整體設計和系統規范，導致各行業領域、數據保護各階段制度建設發展不平衡，甚至要求標準不一致，主要表現在以下三個方面：第一，相關規定過于原則，往往只是一個概念或者一個具體要求，通常是禁止性要求，缺乏系統的整體制度設計，如雖然法律法規已經明確了用戶對個人信息所享有的知情權和選擇權，但對于網絡運營商履行義務的具體要求和方式并沒有明確規定。在實踐中，網絡運營商采取“霸王條款”“一攬子同意”“默認同意選項”等方式，強迫、欺騙用戶同意收集用戶大量敏感和不必要的信息，實際上用戶完全失去對個人信息的控制權。第二，未建立統一的立法規劃與數據保護執法機構，導致現有法律法規對個人數據的保護力度相對較小。

（二）治理存在不平衡問題。第一，重末端治理，輕源頭治理。近年來，對個人信息保護的舉措主要集中在對相關犯罪的刑事打擊，《刑法修正案（七）》和《刑法修正案（九）》不斷加重個人信息違法犯罪的打擊力度，但是民事和行政保護力度嚴重不足，重末端治理、輕源頭治理，僅以威懾力壓制，而無規則指引，導致違法犯罪依然屢禁不止，良好的秩序和生態環境難以生成。一是個人信息權的私權屬性尚未明確。我國采取人格權+網絡運營商責任路徑來保護個人信息，法律未清晰地明確個人信息的財產權地位，一方面，將個人信息納入人格權保護制度，另一方面通過明確網絡運營商的個人信息保護責任來限制其對數據的肆意收集和處理行為。對于個人信息權的財產利益保護法律還未明確具體的保護模式，導致個人信息保護重責任追究，尤其是刑事責任追究，輕過程規范，輕綜合治理，導致數據控制者和處理者的內部數據安全保護與個人信息保護脫節等問題。二是數據權屬關系不明，參與交易的主體對交易數據擁有的權限、數據的定價機制以及數據交易各主體法律關系和權限還不明晰，不能反映數據經濟結構關系的實際特點和內在需求，無法有效治理數據流轉的全生命周期中的安全風險和無序競爭。

第二，重采集階段管理，輕使用階段管理。從制度建設方面，法律中關于個人信息采集明確了知情同意原則、必要性原則等，而對于個人信息使用的相關規定還停留在合法使用這種模糊、籠統規則上，合法標準難以確定。從執法和治理來說，無論是網絡安全檢查還是專項行動，目前還集中在對隱私條款等規章制度的審查方面，未深入到數據使用的層面。規則的缺失引發了業界多重紛爭，如新浪微博訴脈脈案，糾紛爆發于用戶個人信息的使用階段，反映出ISP在數據的加工、再利用中相關制度規范的缺失。再如“順風菜鳥之戰”“華為騰訊之爭”等數據爭奪戰。

（三）新技術新業務的發展突破傳統數據安全保護模式。云計算、大數據、移動互聯網、物聯網等新技術的發展刺激新業務新應用的不斷涌現和更迭，促進數據的采集、存儲等方式的變革，數據挖掘利用方式更為復雜多變，數據主體對數據的控制力日益薄弱，在數據采集、存儲、開放共享等各個環節的安全隱患隨之增加。第一，傳統數據保護的“匿名化”措施失效。隨著數據來源、數量、種類的大規模聚集，以及數據分析技術的應用，已經難以確保個人信息的“去身份化”“不可識別性”。例如，哈佛大學教授拉塔尼婭·斯威尼研究顯示，只要知道一個人的年齡、性別和郵編，并與公開的數據庫交叉對比，便可識別出87%的人的身份。第二，透明度原則受到沖擊。透明度原則是指應當告知數據主體其個人數據的處理的基本情況，如在數據收集環節，通過隱私通知形式，告知數據主體數據處理的目的，而在大數據背景下，數據主體很難知道數據收集、分析與利用是否基于特定的目的。第三，“通知—同意”規則難以有效執行。在大數據背景下，“通知—同意”規則的執行難度和成本大大增加。如云服務商的海量數據需逐一獲得用戶明示同意須耗費巨大成本，且數據主體也需反復簽署同意書耗費時間和精力，不利于數據的有效利用。第四，責任追究難度加大。在云環境中，個人數據安全風險存在與數據存儲、傳輸、處理及銷毀等全生命周期中，涉及政府、數據控制者、數據處理者、數據主體等多方主體參與者，責任主體的多元化使得責任認定難度增加。此外，越來越多的企業聚集成為共同利益集團，在集團內部進行數據的共享，同一數據需要供給多個主體使用，即呈現“多對多”的模式。在這一模式下，由于數據接口的多樣性，往往會被多個主體訪問和使用，使責任主體難以辨識。

（四）監管執法能力不足。第一，監管手段較為單一。個人信息保護的監管措施主要采用的是行政備案、日常監督檢查、專項檢查、行政處罰等傳統行政管理手段，觸及不到復雜的數據收集、存儲、處理等內部各環節以及網絡安全防護、管理不足等外在的安全隱患，不足以有效管控數據全生命周期的安全。第二，執法能力有待提升。日常監督檢查較為頻繁，大多停留在限期整改的階段，針對個人信息泄露事件的行政處罰比較有限，監測追溯、證據采集和固定等技術手段不足，執法力量和能力還十分薄弱，行政機關和公安機關未能形成合力，行刑銜接不到位，缺乏全面有效的打擊和懲處措施，無法形成嚴密法網，執法利劍尚未出鞘，難以對違反個人信息保護規定的違法犯罪行為形成有效震懾。第三，對行業自律效力發揮帶動不足。網絡運營者個人信息保護動力不足，主要停留在合規性層面，行業組織引導作用不明顯，自律形式缺乏約束力。

（五）公眾維權困難。第一，維權意識不足。中國青年政治學院互聯網法治研究中心與封面智庫于2016年10月24日聯合發起《你的隱私泄露了嗎？——個人信息保護情況調研》問卷調查顯示，個人信息安全防范意識不強為侵害行為提供可乘之機，僅有20%的參與調研者在發現個人信息遭受侵犯時，采取投訴、舉報和報警等積極應對措施。第二，投訴舉報渠道不暢通。多數網絡運營商缺失投訴舉報制度和渠道，行政機構間職責不明導致相互推諉，且因調查難度較大，處理相關舉報積極性不高。第三，勝訴幾率較小，維權動力不足。以侵害“隱私權”為由的民事訴訟，勝訴率非常低。例如，因個人信息泄露主體難以明確，而原告對此也難以舉證證明，司法機構常因無法認定侵害主體而無法確立侵權行為成立。此外，經濟損失額度的證明也存在困難，可獲賠償額度較低。因證據提供、責任認定等困難，對于被侵害的個人信息的個人來說，很難有動力去投入大量的精力和成本進行維權。

完善個人信息保護制度的

對策建議

（一）盡快出臺《個人信息保護法》。順應國際趨勢和慣例，盡快制定專門的個人信息保護法，以明確規定個人信息的涵義，進一步確立個人信息權，確立國家機關和非國家機關等各類數據控制和處理主體收集、利用和處理個人信息的基本原則，明確線上線下及跨境數據傳輸過程中的各類個人信息采集及使用的方式、范圍及標準，理清數據從產生到消滅全周期各主體間數據權屬關系和交易規則，為個人信息保護提供明確的救濟途徑、保護程序，建立個人信息保護專門機構并明確其職責、權限，與有關法律法規做好制度銜接，構建出完整、動態、協調的制度體系，有效平衡安全與發展的關系，為我國個人信息的利用和保護構建系統化、整體化的解決方案。

（二）落實和完善現行制度。針對現有用戶個人信息保護制度框架原則性強、可落地性偏弱的問題，制定用戶信息收集、使用的詳細實施細則，從技術標準和管理要求兩方面加以落實，前者包括個人信息保護的安全防護等標準，后者是針對收集使用、信息共享、內部管理等環節的執行標準，進一步規制網絡運營商利用法律規則的不明確而規避法律的行為，確保用戶的知情權和選擇權等得以實現。

（三）創新制度措施。針對新技術新業務帶來的安全風險和監管困境，理清個人信息所負載的國家安全、社會發展和公民合法權益，充分考慮權利保障與數據自由流動的價值平衡，創新監管措施，補缺制度漏洞，調動各主體、各行業的力量，構建開放、協同、高效的用戶個人信息保護機制。建立個人信息分級分類保護制度。區分可使用、可交易的商業數據信息和不可使用、不可交易的 （商業秘密等）數據信息，劃分個人一般信息和個人隱私（或敏感）信息的邊界，根據相關數據信息的屬性（包括商業屬性和人身屬性等）、所屬領域和類別、可對數據信息權利人造成的影響等多方面對其分類，再根據具體的類別給予相應（級別）的保護。

（四）強化執法能力建設。一是強化對數據收集、存儲、使用等行為的監督檢查力度，督促并指導企業加強對數據生態管理，嚴厲打擊違法犯罪行為。二是建立以風險控制為導向的監管方式，改變合規性逐項檢查監管模式，采取“多元化策略+外部認證監督”的方式，由網絡運營者根據保護用戶信息安全的需要設定多元化的權利保障政策或措施，政府根據評估認證結果對內部政策、制度是否合規進行的外部監督。三是培養企業數據安全保護的戰略意識。將數據安全保護作為企業占有市場和增強用戶黏性的戰略舉措，把數據安全融入業務發展的各個環節，同步設計、同步建設、同步更新，變被動為主動，逐步培養起安全與發展并重的良性大數據產業生態環境。

（五）加強對大數據安全管理的技術保障支撐。加強大數據環境下網絡安全技術手段建設，建設網絡安全信息匯聚共享和關聯分析平臺，促進網絡安全相關數據融合和資源合理分配，提升重大安全事件應急處理能力。指導網絡運營商加強大數據環境下防攻擊、防泄露、防竊取的監測、預警、控制和應急處置能力建設。推動安全可信產品和服務在大數據基礎設施中廣泛引用。建立大數據安全評估體系。做好大數據網絡服務平臺的可靠性及安全性評測、應用安全評測、監測預警和風險評估。

（六）全面提升用戶信息安全意識。一是通過各類媒體廣泛宣傳個人信息保護的重要性和緊迫性，普及和深化用戶隱私保護意識。二是通過公益性培訓活動傳播相關技術原理和應對措施，如隱私權限設置、信息更改和刪除措施等，提升用戶信息保護能力。三是健全用戶投訴舉報機制。督促企業設置更為便利化、快捷性的舉報機制，快速響應并有效解決用戶投訴問題。政府部門應拓展用戶投訴舉報渠道，及時有效處置數據泄露事件。