個人敏感信息保護的歐美經驗及其啟示*

湯 敏

（西南政法大學民商法學院 重慶 401120）

1 引 言

“互聯網+”時代，個人信息的利用機遇與挑戰并存，谷歌在2015年產值達到745.4億美元，其中90.4%來自于人們的廣告信息，可想而知谷歌有多了解關于個人的有價值的信息[1]。然而信息泄漏問題卻相當嚴峻，以美國為例，過去10年間，信息泄漏的數量大幅增加，數以百萬的美國個人信息消費記錄受到侵害，2009—2015年，全球信息安全狀況調查監測到的信息泄漏行為每年增長率為66%[2]。企業為了追求更高的“數字紅利”，更加積極地運用大數據分析處理個人敏感信息，這無疑給個人敏感信息的保護帶來巨大威脅。大數據背景下，信息的流動性使信息合理使用的邊界越來越模糊，交易信息被大量收集和利用，衍生的網絡詐騙和人身侵害等事件層出不窮。這一問題引起全球的普遍重視，各國紛紛審視既有法律制度供給的不足，繼而進行立法改革，以平衡信息安全和信息使用之間的沖突，其中，最為典型的當屬歐盟《一般數據保護條例》以及美國《消費者隱私權利法案（草案）》。本文旨在對兩部法案中關于個人敏感信息保護的改進規定予以梳理和對比，為我國個人信息保護制度的構建提出建議，也希望能為圖書館管理過程中對讀者個人敏感信息的保護提供妥適的建議，俾供參考。

2 “互聯網+”場域下歐美消費者個人敏感信息保護的濫觴

歐盟和美國對個人信息的保護采取了不同的模式：歐盟倡導統一立法模式，即國家統一立法，統一規范國家機構和民事主體對個人信息收集、處理和利用的立法模式；美國采用安全港模式，即將國家立法模式和民事主體的自律模式相結合的綜合保護模式[3]。不同的立法模式，對消費者個人信息保護的路徑雖有差異，但殊途同歸，都是應對“互聯網+”時代個人信息面臨的巨大威脅。歐盟對消費者個人信息保護的主要規定于1995年的《歐盟個人數據保護指令》之中；美國將個人信息的保護納入隱私權的涵射范圍內，對消費者個人信息的保護零碎地體現在各州與地區數以百計的隱私數據法規中。一般而言，無論法規抑或學者的論述中都會使用“敏感信息”這一術語，但很少對其進行界定，更多地是類型化列舉[4]。個人敏感信息是消費者個人信息中最為重要的信息，各國都采取措施予以保護性規定。由于歐美法律文化傳統的不同，導致它們對消費者個人敏感信息的規定也不相同。

2.1 個人敏感信息內涵及其判斷標準之歐盟經驗

將個人數據劃分為一般信息與敏感信息是歐盟關于個人信息保護立法的一大特色。1995年歐盟在《歐盟個人數據保護指令》①（以下簡稱《數據保護指令》，歐盟立法上使用個人數據概念，從其全文可以看出個人數據和個人信息在內涵上是一致的，本文也不區分個人數據和個人信息。）第8條第1款規定了特殊類型信息，即敏感信息，它是指透露種族、民族本源、政治觀點、宗教信仰、世界觀、工會關系以及與健康和性生活有關的個人信息。這一定義反映了人權保障在個人信息保護領域的制度化表達。這些信息之所以作為特殊類型進行保護是因為其涉及個人隱私，且易受侵害?！稊祿Ｗo指令》第8條第2款還對敏感信息處理規定了較一般信息更高的保護標準，如“處理該類信息必須是為了公共利益或者健康、經當事人同意且其所屬成員國國內法沒有禁止”等。從《數據保護指令》對敏感信息的定義可以看出，歐盟對敏感信息采用客觀判斷標準，當上述內容直接或者間接歸屬于特定信息主體時，即為敏感信息，并不考慮信息主體的主觀接受程度。簡而言之，《數據保護指令》對敏感數據的定義采用抽象的“識別性”方式，只要被認定為敏感數據，就適用嚴格的監管機制，以“或有或無”的二元化情形予以適用?！斑@種判斷標準過于僵硬和局限化，難以反映消費者個人信息的不同特點，進而就不能為消費者提供更好的保護”[5]。由于《數據保護指令》產生于互聯網并不發達的時期，制定者并未預料到互聯網會對個人信息的利用如此空前，某些個人信息在當時并未顯得特別重要，但現在需要列為特殊類型予以特別保護，因此，《數據保護指令》采用的客觀標準便顯得捉襟見肘[6]。個人信息的重新定義以及對敏感信息內容的擴充成為歐盟立法改革的重點。

歐盟對消費者個人信息的保護采取雙重標準，即在一般保護標準的基礎上又增加了特殊保護標準進而強化對消費者個人信息的保護。一般保護標準是指經營者處理消費者信息時應該以處理一般個人信息的標準為前提，即在收集、儲存以及處理消費者個人信息時，必須遵守《數據保護指令》的基本信息保護規則，如果成員國的標準更為嚴格，則依照特殊保護標準執行②。特殊保護標準層面，《數據保護指令》第6條第1款（b）項將消費者個人敏感信息界定為“特殊類型信息”并給予了更為嚴格的保護標準，即經營者收集、存儲和處理消費者個人敏感信息時，必須取得消費者的明示同意，且不得超出消費者同意的內容，對超出同意部分的信息處理需要取得消費者的進一步授權，否則要承擔相應的責任。 另外，《數據保護指令》擴大了信息控制者的范圍，即使經營者將信息服務委托給第三者，如云服務提供商在侵害消費者個人敏感信息時，經營者作為間接信息控制者也不能免責。總體可以看出，歐盟考慮到消費者這一群體的易受侵害性，加重了經營者的責任，在《數據保護指令》中最大限度保護消費者個人信息的安全。這些規則雖然在當時起到了一定的保護作用，但是隨著大數據分析的廣泛運用，消費者和經營者已經處于嚴重不對等的地位，信息主體很難實際控制自身的信息，信息控制的真實性受到質疑，《數據保護指令》對消費者敏感信息的保護已經凸顯吃力。因此，個人敏感信息保護的立法改革是“互聯網+”時代發展的必然要求。

2.2 個人敏感信息內涵及其判斷標準之美國經驗

美國也將個人信息分類為一般信息和敏感信息，但因不同州不同行業而有所區別?！睹绹?歐盟的隱私安全港原則》在其“選擇權”條款規定，個人敏感信息包括以下幾個方面：醫療與健康，人種與種族，政治觀點、宗教或哲學信仰，貿易組織的成員資格，與某個人的性生活有關的個人信息[3]103。美國法律對個人信息保護的基本立場是反對濫用，其注重對個人經濟關系的保護，將“貿易組織的成員資格”列為敏感信息就可以反映出其立法理念。并且，美國法律允許當事人之間自由約定何為敏感信息，法律對約定的敏感信息進行特殊保護。對敏感信息的處理，美國與歐盟同樣規定了例外條款，即一定情況下，信息處理者處理有關敏感信息時需要提供明示的選擇權，如“為了訴訟或醫療、為了信息主體或者他人的重要利益”[3]103等。盡管美國對敏感信息的定義并不像歐盟《數據保護指令》一般，僅就列舉的事項界定為敏感信息，其安全港模式對個人信息的保護較為靈活，當事人之間還可以自由約定何為敏感信息，因而對敏感信息的定義賦予了更多的彈性空間，但是當事人之間約定的敏感信息的處理不得違反訂立合同時使用的目的。美國對敏感信息的定義采用“客觀或目的導向”的判定標準。目的導向標準是指行業內約定的敏感信息的收集需具備特定的目的，后續利用及傳播都不得違反該目的。然而，時至今日，個人信息利用的目的一般很難在信息收集之際就能預見，傳統的目的導向標準已顯得不合時宜。“客觀或目的導向”的判定標準同歐盟類似，仍舊沒有跳脫以“一刀切”的方式解決適用或者不適用的困境，屬于機械化定義敏感信息。因此，法律應該重新審視敏感信息內涵的界定徑路，隨著大數據發展的新方向作出應有的改變，以避免法律的滯后性和僵化性。

美國關于消費者信息保護的主要規定存在于零散的州法規以及行業自制的軟法之中。1984年美國《電纜通信政策法》要求電纜通信公司向用戶通告個人信息的收集和使用情況，且不得披露用戶的查閱習慣[7]。1991年《電話消費者保護法》限制電話營銷商非法使用個人信息推廣業務，若營銷商違約，消費者可主張賠償[7]。之后隨著數字時代的到來，美國強化了對消費者敏感信息的保護，具體而言包括：收集和處理一般信息時，要求經營者預先通告以及提供個人信息的收集與公開的“選擇性退出”選項；涉及敏感信息的收集和處理時，需向消費者提供“選擇性進入”選項，還包括視頻觀看選擇、判定地理位置信息以及電信使用信息。“信息泄密通知”要求由美國首創，美國絕大多數地區都要求對涉及居民信息的泄密予以通知。美國對電子營銷作了集中規定，包括電子郵件、文本消息營銷以及電話和傳真營銷。法律要求所有商業電子郵件需貼標簽并提供“選擇性退出”選項；信息、電信和傳真營銷都受聯邦法律的管理[8]。另外，《美國-歐盟的隱私安全港原則與常涉問題》中關于敏感信息的境外傳輸規定，影響著美國各行業對個人敏感信息跨國傳輸的制定，如“旅游信息”的跨國傳輸必須是必要的或經過消費者明確同意等[3]105。美國的信息隱私法對消費者個人信息的保護零散地存在于各行業自律規范中，靈活性有余，相關規定良莠不齊，多種多樣的隱私法規相互重疊，組成一個冗雜的個人信息保護體系，顯得累贅且適用容易產生抵牾，制定一部專門針對消費者個人信息保護的綱領性法律刻不容緩。

3 “互聯網+”場域下歐美關于消費者個人敏感信息保護的立法改革

“互聯網+”場域下，面對大數據分析技術對消費者個人信息的威脅，歐美開始審視既有的法律制度，改革個人信息保護立法，并將此提升至信息主權的新高度。

3.1 歐盟立法改革

為順應數據時代的發展需求，2012年1月，歐盟公布《一般數據保護條例》草案，取代1995年的《數據保護指令》，該草案于2016年4月最終通過并予以頒布，于2018年5月開始生效[9]。最新公布的《一般數據保護條例》對消費者個人信息的外延和內涵進行延伸，并考慮到“互聯網+”背景下消費者這一特殊群體的易受侵害性，對其隱私安全問題作出了針對性的規定，主要體現在以下內容：

3.1.1 消費者個人敏感信息定義的守成與創新

《一般數據保護條例》在個人信息內涵層面仍然延續《數據保護指令》的傳統，以抽象的“識別性”對個人信息定義，但對匿名和化名信息有新增規定；對個人敏感信息的類型進行了擴展，包括基因數據、安全數據等。此外，《一般數據保護條例》第8條增加了對兒童的特別保護，規定網絡收集13歲以下兒童的個人信息時，必須取得其父母或監護人的同意。該條例第4條規定“個人數據”是指與識別或可識別的自然人有關的任何信息，可以看出，歐盟旨在使立法順應大數據時代的發展潮流，所定義的個人信息的內容以及靈活性都有了可觀的改善，這一點值得肯定。不足之處在于，《一般數據保護條例》仍然以抽象的“識別性”定義個人信息，未能跳脫客觀定義個人信息的機械性困境。

3.1.2 消費者信息控制力度的強化

“互聯網+”背景下，歐盟針對數字技術的發展，強化消費者對自身信息的掌控權，在《一般數據保護條例》中為消費者新增了一些新型的權利，具體包括消費者的反對權、被遺忘權和信息攜帶權。第21條規定，反對權是指當經營者為了商業利益處理消費者個人信息時，消費者有權反對這一信息處理。第17條規定，被遺忘權是指消費者有權要求信息處理者刪除與其個人相關的信息。第20條規定，信息攜帶權是指消費者有權決定自身的信息從一個服務器中遷移到另一服務器中，并且這一遷移不受合同或者技術標準的約束。這些新型的權利無疑使消費者在自身信息的控制上贏得了更多的主動權?！兑话銛祿Ｗo條例》加大了經營者的義務，以更好地保護消費者的信息自主權：在消費者選擇機制的默認設置信息方面，經營者必須取得消費者主動、明確的同意；評估信息處理的風險時，必須由經營者設置的專業信息保護專員進行；當經營者發生信息泄露或者其他違反信息保護義務的行為時，應當向信息監管機構及時通報。綜合而言，為經營者設定更多的義務是為了強化對消費者的保護，這反映了歐盟保障人權的基本立場。

3.1.3 加重經營者責任

違約成本的增加是激勵經營者采取預防措施最有效的手段。歐盟在《一般數據保護條例》中加重了經營者的違約責任?！兑话銛祿Ｗo條例》第79條規定，未經消費者同意或者于法無據，經營者擅自處理消費者個人敏感信息，或者將其個人敏感信息傳輸至不符合歐盟傳輸數據標準的國家，經營者將承擔2 000萬歐元或者相當于公司全球營業額4%的行政罰款。這一規定對經營者而言無疑是很嚴重的處罰，將在很大程度上遏制經營者的違約傾向，加強消費者的信息控制權；但過于沉重的懲罰力度是否會起到寒蟬效應，以致于羈絆信息價值的開發，也是歐盟應當考慮的問題。

3.1.4 消費者個人敏感信息跨國傳輸標準的軟化

信息的價值在于利用，信息的無國界性正在成為一種趨勢。在保障個人信息安全的前提下對信息充分利用和流通是數字經濟發展的源泉；過于嚴格地限制個人信息的流通標準，會成為信息價值開發、信息經濟長足發展的羈絆。歐盟在信息跨境傳輸方面向來嚴格，早在《數據保護指令》第25條就規定，向境外傳輸信息時，該第三國的個人信息保護應當具備與歐盟關于個人信息保護相一致或者更為嚴格的標準?！兑话銛祿Ｗo條例》第40～43條就《數據保護指令》中關于信息跨境傳輸的嚴格標準作出了一定的改進，特別增加了隱私印章、第三方認證機制的法律效力，從法律上對企業自律和行業監督予以承認，增加消費者個人信息跨境傳輸的張力和靈活性。

3.2 美國立法改革

2012年美國政府簽署白宮發布的工作報告《網絡環境下消費者數據的隱私保護——在全球數字經濟背景下保護隱私和促進創新的政策框架》，該報告正式提出制定《消費者隱私權利法案》。2015年2月，美國政府正式公布《消費者隱私權利法案（草案）》（以下簡稱《草案》）的討論稿?！恫莅浮肺樟耸浪J的大量關于隱私權保護的規則，旨在為消費者隱私提供綱領性保護，提升消費者的信心，促進信息的充分流通與開發。與傳統保護消費者個人敏感信息的法規相比，《草案》最大的亮點是引入具體場景的風險管理理念，并以此為基線貫穿整個法案的始終，具體體現在如下4個方面。

3.2.1 消費者個人敏感信息定義判定標準的轉變

《草案》第4條（a）款一改過去以抽象的“識別性”對消費者個人敏感信息進行界定的規定，轉而以動態的“關聯性”方式定義，即消費者個人敏感信息是指被經營者所控制的信息，且通過該信息結合具體情景可以關聯到特定的消費者或者特定消費者常用的設備?！皥鼍袄碚摗庇晌髅滋崴菇淌谠诤饬棵舾行畔⒑侠硎褂眠吔鐣r提出：信息敏感性不是與生俱來的，任何信息基于具體的場景都有可能具有敏感性[10]?！瓣P聯性”定義消費者個人敏感信息是指，將具體信息置身于其所處的環境中具體審視，避免脫離場景做抽象式的預判。鑒于場景構成要素的多元性，對消費者個人敏感信息利用的合理性應綜合多種因素進行“程度性”判斷。該方式在具體場景中綜合考量多元因素，正確定義消費者個人敏感信息[11]。此外，《草案》第4條（n）款對兒童和青年的個人敏感信息的定義采用更為嚴格的標準，以保護弱勢群體的利益。

3.2.2 消費者對個人敏感信息控制力度的強化

《草案》關于消費者對其敏感信息控制力度強化的措施主要體現在以下幾個方面：（1）第101條規定場景一致的消費者動態同意權。消費者有權要求經營者收集、使用、處理其個人敏感信息的方式與其提供信息時的場景相一致；經營者對消費者個人敏感信息的收集和使用，必須取得消費者的同意；經營者應當采取合理措施確保其保存消費者個人敏感信息的準確性；當第三方經營者收集、儲存或者處理消費者個人敏感信息時，基于隱私評估理論動態評估信息的風險，只要信息的用途會對消費者的權益產生重大影響，就必須取得消費者的同意。（2）第101條規定，加大經營者的說明、通知義務。首先，經營者處理消費者個人敏感信息時，應該向消費者具體闡明以下信息：收集信息的類型，收集信息的原因，收集信息的使用方式，刪除消費者個人敏感信息的條件，是否與第三方經營者共享信息以及共享的目的，等等；其次，當經營者處理消費者個人敏感信息違背原始目的時，經營者必須及時通知消費者；如果是不與消費者接觸的第三方經營者，應盡可能詳細地告知消費者其信息被處理的具體情景。（3）第102條規定消費者對其個人敏感信息的更正權。當消費者個人敏感信息有誤時，在與信息敏感性以及與該信息錯誤可能對消費者產生不利影響的風險性相適應的情況下，消費者有權要求經營者予以更正。此外，消費者在授權同意后45天內有撤銷權，且撤銷方式的便捷性應與授權同意的方式一致?？梢?，《草案》以具體場景為基點，以風險評估理論為手段動態管理信息使用進程，加重經營者的義務、擴展消費者的權利，雙管齊下強化消費者對自身信息的控制。

3.2.3 經營者責任的加重

網絡消費者隱私和數據安全的保護方法之一是將重點放在信息被濫用的損害賠償上，并在私力救濟上加重濫用消費者信息的經營者損害賠償責任或者在公共執法上增加行政處罰力度[12]。《草案》加強了經營者的責任，對經營者采用問責制，具體而言從企業員工行為控制、內部信息使用監督、向第三方公開信息3個方面規定了經營者的責任[13]。這種體制下，經營者不僅內部需要控制機制和問責機制，外部更要對消費者和執法機構承擔責任。損害救濟是信息法權利保護的權利救濟措施，也是信息主體權利救濟的最終途徑。當經營者違反有關信息安全規定時，《草案》第203條仍基于動態的風險評估判定方式，考慮經營者的責任程度、違法行為的動機、支付能力、繼續經營影響以及公平等因素裁定經營者的責任。有保險保障的經營者承當的罰款最高限額不超過35 000美元，且應按照上一年度公布的“消費者物價指數”中所列的消費者物價指數的百分比予以計算?？梢钥闯觯噍^于歐盟《一般數據保護條例》的懲罰力度，美國《草案》結合具體的情景，對違法經營者予以懲治，且有保險公司分擔其違約風險，這就降低了引起經營者恐慌的風險，從而保證數字技術的平穩發展。

3.2.4 倡導消費者個人信息跨境傳輸充分流通

隨著經濟全球化的發展，個人信息的互聯互通成為一種必然。由于地域、文化、立法理念的不同，各國消費者對信息處理的接受度不一，因此，各國對個人信息保護法律規制都存在顯著差異，這給經營者在合規方面造成了嚴重負擔?！恫莅浮返?01條為促進消費者信息的充分流通和傳輸，積極推動第三方認證機制，嘗試運用具體場景的風險管理理論構建國際間信息跨境傳輸的框架。場景構成要素即風險評估具體指標的可拆分性與可調節性，決定了其富有靈活性及包容性，這是對國際普適性價值的尊重，同時考慮地域差異性，使世界不同地區的個人信息處理行為能夠被納入統一的風險評估體系之中，由此使得國際間通用的個人信息保護框架的構建成為可能[11]。 值得一提的是，無論是歐盟的《一般數據保護條例》還是美國的《草案》，都在法律上承認了第三方認證機制的效力，可以預見該機制會成為消費者個人敏感信息跨境傳輸的一個發展方向。

4 啟 示

近年來，隨著消費者信息泄露導致的電信詐騙、廣告推銷等負面事件的頻頻發生，我國對消費者個人敏感信息保護越來越重視?！度珖嗣翊泶髸瘴瘑T會關于加強網絡信息保護的決定》《消費者權益保護法》《民法總則》《中華人民共和國網絡安全法》相繼出臺或修訂，構成了我國消費者個人信息保護的法律體系。其中，《網絡安全法》第76條將個人信息定義為，以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等?？梢钥闯?，我國目前對消費者個人敏感信息的保護已經初建體系，但仍缺乏一部統一的綱領性保護法規，制定《個人信息保護法》的呼聲不斷?？v觀歐美關于消費者個人敏感信息保護的立法改革，雙方超前的立法理念和立法機制引領世界立法新動向，代表了發達國家消費者個人敏感信息保護的一種趨勢，實值我國立法借鑒。

4.1 消費者個人信息的內涵：動態的“關聯性”定義

如前所述，歐盟《一般數據保護條例》在個人信息內涵層面雖然有所擴展和延伸，個人信息的內容以及靈活性都有了可觀的改善，但仍以抽象的“識別性”定義個人信息，未能跳脫機械性客觀判定標準的困境。而美國《草案》意識到傳統定義消費者信息的局限性，以動態的“關聯性”定義消費者個人敏感信息的內涵，這一改革殊值首肯。我國在定義消費者個人敏感信息時，應以具體場景的風險管理理念為立法徑路，結合動態“關聯性”，即“通過信息結合具體情景可以關聯到特定的人或者特定人常用的設備”，在具體場景中綜合考量多元因素，靈活地定義消費者個人敏感信息。此外，歐盟《一般數據保護條例》和美國《草案》都對兒童個人敏感信息的定義規定了更為嚴格的標準，其信息處理必須取得其父母或者監護人的明示同意，這一點也是我國立法時應當注意的。敏感信息涉及個人健康、性取向等極私密的內容，與個人隱私息息相關，確有特別保護的需要；任何法律概念都是相對的，不能因為敏感信息難以界定就規避對敏感信息保護的規范，我國可以立足于基本國情，引入具體場景的隱私風險管理理念對敏感信息定義；規定敏感信息已經是世界立法之趨勢，張新寶教授主張區分敏感信息與一般個人信息，對于前者側重保護，對于后者鼓勵充分利用[14]。因此，敏感信息的規定是我國個人信息保護法應有的法律表達。

4.2 消費者對自身信息的控制：動態管理風險

個人對自己的信息所具有的權利不是絕對、無限制的。個人是社會中獨立發展的個體，信息流轉是其發展的基礎。大數據時代背景下，消費者個人敏感信息的利用是“互聯網+”時代的必然選擇，消費者信息處理行為規制應是防止信息濫用，并非依照個人信息控制理論過于強調個人信息控制權能，這樣容易使信息利用之路閉塞，羈絆互聯網的發展，且容易使隱形交易猖獗。因此，在強化消費者對自身信息控制權的同時，我國立法不能過于限制經營者使用信息的范圍，否則對信息價值的開發不利，對數字經濟的長足發展不利。具體而言，強化消費者的控制與權利行使的可操作性，經營者應該重點披露可能引發高風險的具體場景要素，并為消費者提供便捷性的操作手段；規定“合理使用”的場景，在經營者進行信息處理的過程中應該動態評估其行為引起的風險，如果處理消費者信息時可能產生不合理使用的情形或者引發高風險，超出消費者合理期待的程度時，應該以明確詳細的方式通知消費者造成這種不利后果的因素，并及時管理風險的發展方向，積極主動采取降低風險的措施，或者獲得消費者額外的書面授權進而繼續進行信息處理。

4.3 經營者責任：“隱私風險”差異化責任標準

在多元義務主體的個人信息生態系統中，第三方經營者尤其是中間商的存在感逐漸凸顯，消費者個人敏感信息二次利用的危險也相對增加。我國現行立法尚未對經營者責任主體的范圍作出明確界定，涉及到第三方經營者時，法律適用以及其承擔的責任閾值比較模糊。為降低消費者個人敏感信息被濫用的風險，我國應該以具體場景的風險管理理念為徑路，將各方主體統一納入風險評估的機制中。以“誰使用誰負責”的責任機制，突出第三方經營者法律地位的獨立性，防止第三方經營者推脫或逃脫責任，充分保障消費者得到救濟。借鑒美國《草案》對經營者的分層問責制度，我國應以“隱私風險”程度為衡量依據，對經營者采取差異化責任標準。具體而言，根據隱私風險的程度分為高、中、低3檔，根據不同級別的隱私風險程度確定經營者的義務以及違反義務需要承擔的責任。這樣，不論信息處理者是原始經營者還是與消費者無直接接觸的第三方經營機構，無論信息處理進行到哪一環節，都可以對相關消費者信息的風險進行動態管理。

4.4 信息跨境流動：建立配套管理體系

在消費者個人敏感信息的跨境流動層面，我國尚未建立配套的管理體系，這一缺口亟需《個人信息保護法》予以填補。我國應首先跟隨世界立法的方向，構筑配套的信息跨境流通管理體系。基于具體場景的隱私風險管理理念，采用動態風險評估方法，根據信息傳輸的國家以及風險的級別確定對應的管理方式：傳輸信息的風險較高時，應對其予以嚴格限制；當風險適中時，盡量放松管制；當風險較低時，允許自由流通。這一管理機制具有靈活性及包容性，以具體場景為出發點，考慮地域差異性要素，將全球各國或地區的消費者信息納入動態的風險管理體系中，真正構建一種無國界的消費者信息保護屏障。另外，無論是歐盟的《一般數據保護條例》還是美國的《草案》都推薦第三方認證機制，以增加信息流通的靈活性和安全性，因此這一機制也是我國立法應該著重關注的一個方向。

5 結 語

“互聯網+”時代，信息即生產力，信息安全及合理利用成為全球關注的焦點。在大數據與互聯網產業蓬勃發展、方興未艾的背景下，各國都處在個人信息保護的改革時期，在平衡消費者個人敏感信息的安全和信息合理利用之間，歐盟和美國在立法改革中積極作出回應，順應數字時代的發展需求。我們應立足我國國情，充分借鑒歐美立法改革經驗，取長補短，發展與我國信息技術、商業模式相匹配的消費者信息保護架構，發揮后發優勢，為我國數字資產的長足發展保駕護航。

注 釋：

①Directive 95 /46 /EC,of the European Parliament and of the Council of 24 October 1995 on the Protection of Individuals with Regard to the Processing of Personal Data and on the Free Movement of Such Data,1995.

②Directive 95 /46 /EC,art.7規定了處理個人信息處理的一般標準：（1）信息主體已經明確表示同意；（2）處理為履行信息主體作為一方的合同，或應信息主體要求執行訂立合同的先行措施所必需；（3）信息控制者履行其法定義務所必需的處理；（4）為信息主體的重大利益而處理其個人信息；（5）為了公共利益而為的處理；（6）為第三人的正當利益，但信息主體的基本人權和自由優于第三人正當利益的除外。

[1]Andrews L B. iSpy: Threats to Individual and Institutional Privacy in the Digital World[J]. AALL Spectrum, 2017(21):23.

[2]Riedy M K, Hanus B. Yes, Your Personal Data is at Risk: Get over It[J]. SMU Sci. & Tech. L. Rev, 2016(3):11.

[3]齊愛民.拯救信息社會中的人格:個人信息保護法總論[M].北京:北京大學出版社,2009.

[4]Ohm P. Sensitive Information[J]. S. Cal. L. Rev., 2015(88):1132.

[5]鞠 曄,王 平.云計算背景下歐盟消費者個人敏感數據的法律保護[J].法學雜志,2014(8):80.

[6]Mayer-Schbnberger V, Padovao Y. Regime Change?Enabling Big Data Through Europe's New Data Protection Regulation[J].COLUM.SCI&TECH.L.Rev,2016(XVII):318.

[7]孔令杰.個人資料隱私的法律保護[M].武漢:武漢大學出版社,2009:109.

[8]王 敏,江作蘇.大數據時代中美保護個人隱私的對比研究[J].新聞界,2016(15):60.

[9]Curtis T. Privacy Harmonization and the Developing World:The Impact of the EU's General Data Protection Regulation on Developing Economies[J]. Wash.J.L.,2016(12):96.

[10]Wong R. Data Protection Online:Alternative Approaches to Sensitive Data?[J]Journal of Iternational Commercial Law and Technology ,2007(2):12.

[11]范 為.大數據時代個人信息保護的路徑重構[J].環球法律評論,2016(5):97,112.

[12]Corones S,Davis J. Protecting Consumer Privacy and Data Security:Regulatory Challenges and Potential Future Directions[J]. Federal Law Review, 2017(45):72.

[13]李 明“.大數據時代”的美國隱私權保護制度[EB/OL].[2017-09-01].http://www.36dsj.com/archives/18240.

[14]張新寶.從隱私到個人信息:利益再衡量的理論與制度安排[J].中國法學,2015(3):51.