大數據背景下個人信息保護預防機制研究

摘?要：隨著大數據技術的發展，作為數據系統的核心數據——公民個人信息數據，正面臨著過度濫用、非法利用的威脅。新修訂的《民法典》中雖然明確了個人信息保護的相關條款，但是對于預防措施的研究則較為疏忽。在個人信保護領域，我國應當以現有的法律法規及各項制度為主要研究對象，將個人信息進行更為細致的分類并建立相應的保護機制，通過明確個人信息權益邊界及保護范圍、構建信息收集主體的審查機制;建立政府主導、行業協同、社會參與的信息保護機制、加緊規范數據流轉市場方法，真正保護公民個人信息。

關鍵詞：大數據;個人信息分類;預防措施

新修訂的《民法典》第1034條規定，自然人的個人信息受法律保護。第1035條、1036條則是對個人信息具體收集方式、收集程序和處理權限等做出了具體的規定，然而，從立法的效果來看，目前我國在個人信息保護方面仍存在許多不足之處：一是對于個人信息的內涵及法律屬性的定義還不夠完善;二是對于個人信息保護預防機制還不夠健全;三是目前國內法對于個人信息的保護著重于罰款、自由刑等事后罰，并不能及時有效地消除個人信息泄露對公民的影響。

一、大數據背景下下公民個人信息權屬及內涵

（一）個人信息的權屬

本文認為，個人信息應屬于廣義上的人格權，因為在網絡空間中，信息即是自然人的存在形式，自然人即是信息，相關的信息即可表征自然人。個人信息與主體的關系密切，且所反映的，并非完全都可以歸為隱私的內容，部分信息如性別、姓名等屬于個人信息的范疇但并不屬于隱私的范疇。

（二）個人信息的內涵

關于個人信息的內涵，《民法典》中規定，個人信息是以電子或者其它方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵件地址、行蹤信息等。

這個規定比較完善，但是對于個人信息的保護來說，并不能夠真正意義上加以合適的保護。個人信息保護的目的在于保護公民的正常生活和人身財產安全，個人信息內涵豐富，不同的信息所含有的價值不盡相同，因此，應當從個人信息與個人物質生活和精神文明生活相關性的角度，將個人信息區分為敏感性信息、安全性信息、生活性信息三個方面進行定義并分類，并針對處于不同類別的個人信息進行不同程度的保護措施與處罰方式，以體現法律的科學性。

敏感性信息是指與公民精神文明生活關系最為密切而與物質生活影響不大的信息。包括：1.民族出身2.政治觀點3.宗教或哲學信仰4.涉及健康、性生活或性取向的數據5.基因數據6.經處理可識別特定個人的生物識別數據等。

識別性信息是指與公民精神文明生活和物質生活均有一定影響的信息，該類信息與帶有明確的個人指向性，與個人安全聯系最為緊密。主要包括：1.賬號和密碼2.個人或家庭財產狀況3.通信通訊聯絡方式4.誠信記錄及信用狀況5.照片6.社會關系7身份、身體特征信息8家庭住址9電話號碼等10犯罪記錄或行政、刑事處罰記錄11.職業信息12. 行蹤軌跡等。

財產性信息是指與公民精神文明生活聯系較少而與物質生活影響較大的那一類信息，該類信息的特點是商業利益巨大，通過大數據技術手段可以有效的為決策者提供精確的分析，輔助決策。主要包括：1.消費記錄2.個人愛好3.搜索記錄4.運動信息5.社會評價信息6.學歷學籍信息等。

二、大數據背景下我國公民個人信息保護的現狀與不足

從現有數據上看，個人信息泄露問題仍是所有問題中最嚴重的問題，其比例為24%甚至高于網絡詐騙21.5%，一方面，由于個人信息能為公民帶來財產性利益相對較小;另一方面，大型的互聯網公司對于個人信息數據的爭奪日趨激烈且技術手段相對隱蔽，為行業的監管帶來不小的難度。此外，現有的法律法規對政府工作人員的監管還有一定的漏洞。

（一）現行法律法規對于個人信息保護還存有漏洞。2019年5月出臺的《數據安全管理辦法（征求意見稿）》（以下簡稱“辦法”），在保障個人信息和重要數據安全方面做出了較為系統的規范，但是其中部分內容還存在一定的模糊。一是對于 “敏感信息”劃分還不夠清楚。《辦法》第十五條規定，網絡運營者以經營為目的收集重要數據或個人敏感信息的，應向所在地網信部門備案。但是何種數據屬于 “敏感信息”，法規并沒有明確。二是數據安全責任人的獨立性有待考察。《辦法》第十七條規定，網絡運營者以經營為目的收集重要數據或個人敏感信息的，應當明確數據安全責任人。僅從法條上看，數據安全責任人難以發揮既服從于運營商又監督運營商的作用，該制度并非是一種監督制度，而更像是保護數據安全的前置制度。三是知情權政策成效不大。在大數據時代，作為個人信息保護核心的“知情同意”原則，根本無法保障信息主體及信息處理者預知其收集的個人信息的用途。現實中信息主體往往很少仔細閱讀隱私政策，直接點擊同意。

（二）個人信息泄露預防機制不夠健全。一是市場數據庫交易規范亟待出臺。從技術角度看，經過大數據手段處理后的個人信息數據庫，結合當前數據畫像等技術手段，將嚴重侵犯個人隱私。另一方面，目前國內實行的網絡實名制，很多互聯網公司或多或少均掌握著公民身份證信息，賬號，居住地址等信息，在有著巨大的利潤的個人信息交易領域，也有著鋌而走險的可能。二是個人信息立法著眼于事后救濟，只能在個人權利受到侵害后才能有追訴的權利，通過這些懲罰并不能及時有效的消除個人信息泄露帶來的影響。三是缺乏對政府工作人員的監管。在刑事偵查領域，大數據技術廣泛應用提高了偵查效率與此同時也出現了濫用偵查權利侵犯公民個人信息領域、泄露公民個人信息等違法行為，部分政府工作人員利用職務之便，非法倒賣個人信息的案件時有發生

（三）個人信息泄露追責機制還不完善。一是缺乏有效的個人救濟程序。《辦法》中明確，在中央網絡安全和信息化委員會領導下，國家網信部門統籌協調、指導監督個人信息和重要數據安全保護工作。但是隨著互聯網技術的快速發展，僅靠網信部門受理公民的個人訴求，所能達到的效果非常有限。二是行政處罰模式尚需改進。由于個人信息侵權涉及人數眾多，具體到信息主體個人而言損失的賠償數額非常低，比如《網絡安全法》第六章中明確的罰款，其數額大多在10萬元以下，相較于侵犯個人信息的違法獲利，處罰力度明顯偏弱。同時，《辦法》中還明確了沒收違法所得、暫停相關業務、停業整頓、關閉網站、吊銷相關業務許可證或吊銷營業執照等處罰措施，但并未好相關的罪責體系，這就使得政府部門在行政處罰上的任意性過大，不符合法治初衷。

三、大數據背景下完善我國公民個人信息保護預防機制建議

（一）明確個人信息權益邊界及保護范圍。本文將個人信息區分為敏感性信息、識別性信息、財產性信息，其目的，在于針對不同的群體采取不同的保護措施時更加明確。對于普通公民，應當尊重其信息主體權利，對于敏感性信息和識別性信息進行嚴格的保護，對于財產性信息，實行匿名化處理。對于政府工作人員、公眾人物及有影響力的社會人員，應當嚴格保護其敏感性信息，除涉及國家利益、商業秘密和公眾利益外，對于識別性信息和財產性信息采取放松的政策，以達到對他們進行監督的作用。

（二）構建信息收集主體的審查機制。對于政府工作人員、企業及非政府單位工作人員，開展個人信息收集工作前要進行嚴格的審查與政審，確保信息收集者沒有犯罪、練習法輪功等不良嗜好，無吸毒等不良愛好。同時明確其收集信息范圍，對于敏感性信息的收集，應當控制在政府工作人員范圍內，并嚴禁相關數據在市場流轉;對于識別性信息收集，采用市場準入機制;識別性信息收集的企業及非政府機構，由網信部門進行資格審查，對于安全技術不到位的企業不得允許其開展識別性信息收集工作。對于財產性信息收集收集的企業實行備案制，嚴格按照《網絡安全法》、《數據安全管理辦法》等相關法律法規規定的要求開展信息收集工作。

（三）建立政府主導、行業協同、社會參與的信息保護機制。由網信部門牽頭，由各企業數據安全責任人、從事信息保護的企業及有著一定專業素質的在校大學生，組成信息監管委員會，對政府部門、企業中個人信息收集范圍、用途、內部監管機構設立和安全技術情況進行審核，接受對個人信息管理者危害個人信息安全行為的投訴和舉報，對于個人信息收集工作中未能按要求落實的單位和個人進行嚴肅問責。

（四）加緊規范數據流轉市場。國內有學者指出，中國應借鑒金融衍生品市場的模式，建立數據交易市場，通過透明公開的交易平臺，發揮資本市場的作用。本文認為通過交易市場進行數據交易的做法既有根治個人信息交易的灰色地帶，也有利于監管部門發揮作用。同時，將隱私風險評估作為一種信息控制者和信息處理者的強制性義務加以執行，貫穿于個人信息流通的整個過程之中。同時規定“合理使用”的場景，若個人信息處理行為合理，則無需經過信息主體的同意。信息控制者還應定期向社會公布個人信息風險評估報告，個人信息監管機構應當建立并公開必須進行隱私風險評估的處理操作類型清單和不需要進行隱私風險評估的處理操作清單。

作者簡介：王睿（1992年5月）男，漢族，安徽滁州人，國防大學政治學院碩士研究生，研究方向，法學.

參考文獻

[1] 譚建初、李政輝：《論互聯網中的隱私權：由一則案例談起》，《河北法學》2001 年第 2 期。

[2] 王忠：《大數據時代個人數據隱私規制》[J]，北京：社會科學文獻出版社，2014年版，141-146

（國防大學政治學院西安校區?陜西?西安?710000）