大數據時代個人信息安全現狀與保護

黨振興

(甘肅省岷縣人民法院，甘肅 岷縣 748400)

目前，我國互聯網用戶已超過數十億，互聯網網站超過500余萬個，應用小程序、APP更是層出不窮。大數據的迅速發展為社會發展帶來巨大的經濟價值，給予日常生活便捷高效，但同時個人信息的大規模收集和廣泛使用、透明化和網格化趨勢，侵蝕著個人信息安全邊界，也引發諸多個人信息安全保護的問題。政府監管下的企業自利行為、數據和信息擁有者所處的環境及自我隱私管理存在的盲點，為互聯網信息安全的監管增添了不確定性[1]。私密信息的泄露對個人正常的生產生活危害巨大，嚴重阻礙經濟社會的發展進步。作為大數據時代面臨的核心任務，加強個人信息安全保護需要社會各個層面的聯動機制建設，信息使用主體及個人用戶等均需要提高保護認知，從法律規范、行政監管、技術創新、安全意識等方面入手，提高信息保護能力，完善個人信息安全保護體系，逐步構建一個安全有序、健康發展、利用規范的網絡環境?！吨腥A人民共和國個人信息保護法》于2021年8月20日通過，并于2021年11月1日起實施。面對個人信息安全保護新的時代契機，學界需要更多理論關注，通過在制度架構、權責清單、監管機制、技術研發、法治宣傳等方面建章立制，共同為促進個人信息安全有效利用和保護，加快社會經濟發展服務。

一、我國公民個人信息安全保護現狀

公民個人信息是指以紙質、電子或者其他方式為載體記錄的能直接或者間接反映特定個人身份的標識，包括個人身份信息、電話號碼、醫療記錄、收入及消費和購買習慣、行動軌跡、婚姻狀況等基本信息，IP地址、互聯網Cookie、社交賬號等賬戶信息，個人照片、血型、指紋、DNA等涉及個人隱私的全部社會性和生物性信息的總稱。其有隱私性和識別性兩種，具體可分為可公開與不可公開的個人信息、可識別與不可識別的個人信息、一般信息與敏感信息等[2]。個人信息的內涵和外延豐富，包含與公民衣食住行相關的所有個人信息，包括聯系方式、身份號碼、在線標識、主觀數據等。據中國互聯網協會調查結果顯示，我國每年網民因個人信息泄露遭受的經濟損失高達數百億元，50%以上的網民認為我國個人信息泄露嚴重[3]。個人信息的非法收集和泄露行為屢禁不止，信息非法買賣行為愈發猖獗，而且發生頻率逐漸增強，且信息泄露后維權困難，此現狀嚴峻，嚴重影響著公民的信息安全?！皞€人信息商品化”“個人信息公用化”帶來相關領域侵權手段高科技化，侵權可能性增加，侵權后果更為嚴重，侵權救濟更為困難[4]。

(一)個人信息安全保護立法尚不完善

近年來，隨著依法治國的推進，我國在個人信息安全保護方面的立法和修法較快，《中華人民共和國刑法》第二百五十三條之一規定了侵犯公民個人信息罪，《中華人民共和國民法典》第一千零三十二條至一千零三十九條整章規定了“隱私權和個人信息保護”，以及《中華人民共和國電子商務法》《中華人民共和國網絡安全法》等相繼出臺，這些法律法規對于保護個人信息安全和公民個人合法權益有著十分重要的意義。但這些法律規定的內容相對寬泛，具有零散性和原則宣示性特征，統一協調性差，尚未形成完整的架構體系，保護力度和范圍欠缺，存在實際操作性不強、無法具體適用、侵權舉證較難、責任難以認定、賠償數額較低等問題。許多法律條款雖規定了單位對個人信息具有保密義務，但缺乏違反保密義務后需要承擔何種法律責任和對該行為如何處罰的具體內容。長期以來個人信息安全保護以維護基本社會秩序為出發點，重刑事打擊和行政處罰，忽視個人信息保護的預防機制和遭受侵害后民事侵權責任的追究，導致即使侵權行為人最終被科處刑罰或行政制裁，但對于受害者而言，其個人財產或非財產的名譽等損失卻無法得到相應補償。

(二)依靠行業自律建立的管理體系缺乏有效運行

目前，我國對個人信息安全保護尚沒有建立專門的監管機構和長效管理機制。長期以來，部分企業對收集的個人信息隨意共享和交易，甚至買賣個人信息。寄予厚望的行業協會由于信息不對稱、自律意識欠缺和法律未授予強制執法權，無法承擔有效保護個人信息安全的權責之重。僅僅依靠政府、企業等組織內部自我口號式或倡導性條款，缺乏具體實施細則和制裁措施，沒有強制力做后盾，自律機制往往陷入失靈困局，無法起到應有的保障作用。大數據時代個人信息不可避免地會被收集和利用，而這些信息的使用會涉及正當與不當的問題。大數據尚未高度發達時期，企業對數據的收集主要依靠人力采集和錄入原始資料，需要對用戶的告知和得到權利主體的許可，否則無法實現數據收集，其數據的收集和共享也僅限于一定區域內，傳播范圍不廣，相對安全。大數據時代，個人信息的收集已經不需要經過信息權利主體的許可，也不需要提交相關記錄個人信息的原始載體，電話號碼、身份證號碼，甚至是一次網絡行為的使用、一個網站的訪問等就可以將個體所有的信息聯結，在無法察覺的情形下，個人信息被悄無聲息地收集和濫用。如果管理機制失靈，僅僅依靠行業自律或個人自我保護，勢必會造成個人信息的濫用。

(三)行政監督管理機制在個人信息保護中缺位

面對個人信息大量濫用、網絡黑灰產盛行的現實語境下，政府執法部門應當承擔起對個人信息安全保護的切實義務。但目前我國尚未建立明確的個人信息保護專門機構。對于大數據的行政監管職能一直由公安、工信、市場監督管理等不同部門行使。管理職責分散于不同執法部門，沒有明確的職責分工，造成都有管理權，但都不愿意履行職責的現象時有發生，遇事互相推諉，監管職責無法有效履行。對個人、企業等私權利主體收集個人信息的管理缺位，以及對公權力機關諸如公安、政府等部門，更是缺失收集儲存個人隱私信息的相關法律規范，處于無人監管態勢，使個人信息安全岌岌可危。

(四)大數據時代人臉識別等智能技術的濫用，對個人信息安全形成沖擊

人臉識別技術在便利生活、發揮技術潛力的同時，也引發了用戶個人隱私信息被過度采集和濫用的風險[5]。大數據時代，個人之間的交流溝通，民眾日常生產生活等大部分社交活動都無法避開大數據的適用，常常需要通過虛擬網絡進行，大數據資源成為聯系個人社交活動不可或缺的紐帶。人與人之間的社會生活、經濟交往等都依托個人標志信息，如QQ、微信、支付寶等網絡APP。這些即時聊天、支付工具都捆綁著個人姓名、銀行賬戶、密碼等基本數據信息。其中人臉識別是智能技術的代表，最為普及，“刷臉”一度成為社會熱詞，其作為個人特有的生物識別信息，正不斷滲入社會生活的各個領域，包括購物、社交、交通旅游、工作考勤等，與個人隱私和財產賬號緊密相連，一旦濫用，將給公民造成巨大損失。新京報《人臉識別技術濫用行為報告》指出，半數以上APP收集人臉信息時不會征求用戶意見，個人應有的知情權喪失。通過密碼輸入、人臉識別、指紋解碼等便捷了人們的生活，但同時這些技術受制于保密意識、管理手段、技術水平等不足，也為個人信息安全埋下隱患，違法者可以通過密碼破解、人臉生物特征偽造等技術手段隨時復制并竊取個人信息，如果缺乏有效的法律規制，會導致侵權行為頻發，造成公民個人人身和財產損失。

(五)個人信息泄露維權頻頻出現“舉證難、成本高”的尷尬困境

隨著法治意識的提高，民眾在遭遇個人信息不當泄露之后，往往會選擇訴諸法律，但在維權過程中，從公民證據收集、技術依賴、權利維護等方面來看，個人舉證和維權能力十分有限，與信息泄露者很難在同一層面平等抗衡。由于個人信息被濫用的舉證對證據意識和技術要求相對較高，根據“誰主張誰舉證”的原則，常常出現如何證明自己是受侵害者，以及證據搜集難、投入成本高，但收效甚微的尷尬境地。即便有個案勝訴，但維權者往往付出巨大的時間和精力等，與企業等侵權者的賠償責任相比，難以形成正比關系，使受害者得不償失，甚至出現自我放棄尋求法律救濟的現象。

(六)對侵犯公民個人信息安全的犯罪行為懲罰力度不夠

個人信息安全與隱私保護已然成為一種社會性問題，如處理不當，輕則損害人們的個人隱私權，重則傷及人們的生命財產安全[6]。侵犯個人信息安全行為具有較強的隱蔽性，大多發生于虛擬網絡世界中，交易過程隱秘、迅速，點對面的傳播方式使侵權后果以幾何倍數遞增，危害巨大，且不易被侵權人發現和舉證困難，與之相對的是侵犯個人信息安全違法行為卻能夠獲得巨額的經濟利益。我國現有法律法規對侵犯個人信息安全的行為處罰散見于《中華人民共和國民法典》《中華人民共和國網絡安全法》《中華人民共和國刑法》等法律規范和司法解釋中，但保護范圍較窄，處罰模式單一，懲戒力度不夠。如《中華人民共和國民法典》人格權編規定了隱私權和個人信息保護，對個人信息進行界定和原則性規定不得非法侵犯，但對侵害行為如何處罰沒有具體規定?！吨腥A人民共和國網絡安全法》規定了網絡運營者對用戶信息的保密義務和責任，并規定對違法行為的警告、罰款等處罰措施，但與數以億計的信息泄露給企業帶來巨額獲利相比，最高一百萬元的罰款數額較低，加之非法所得收繳規定缺失，低廉的違法成本使企業往往鋌而走險，個人信息泄露屢禁不絕。甚至最為嚴厲的刑罰規范《中華人民共和國刑法》第二百五十三條之一規定了侵犯公民個人信息罪，但較高的入罪要求和舉證標準，以及最高刑罰為有期徒刑三年以上七年以下，也難以對潛在侵害個人信息的犯罪行為形成有效抑制。同時，簡單的刑罰打擊雖然能夠對個案的侵權行為起到懲戒作用，但這種僅僅依靠刑罰保護的方式相對單一，缺乏相應民事法律保護、侵權賠償的現實境況下，刑法保護勢單力薄，無法實現全面保護個人信息安全的作用，且容易造成刑罰權的濫用，過分干擾經濟自由。懲戒措施力度不夠、模式單一，使違法犯罪者敢于鋌而走險、一犯再犯，導致侵犯個人信息安全的行為愈演愈烈。在法律法規的震懾力尚不足以制裁高額利潤誘導下的違法犯罪時，越來越多的個人和組織就會參與其中，使個人信息安全的保護更加步履維艱。

二、域外對個人信息安全的立法保護

個人信息安全保護已經成為全世界共同關注的焦點，世界各國均從立法規范、技術研發、公民個人安全意識的培育等層面著手，針對自身國情，出臺了一系列各具特色的認定標準、法律規范和保護模式，致力于個人信息安全保障。

(一)歐盟對個人信息的全方位保護

歐盟是個人信息安全保護的先驅，1995年《數據保護指令》出臺，成為第一個在國家層面為個人信息安全立法的主體。經過不斷修正和完善，2018年5月歐盟制定《一般數據保護條例(GDPR)》(以下簡稱《條例》)，規定了72小時毫不遲疑報告義務，即信息管理者必須在自己所保管使用的個人信息泄露后的72小時內向行政管理部門報告，否則，將視情節對信息管理者進行處罰?！稐l例》增加個人信息所有者的遺忘權和信息攜帶權，強化個人對自我信息的控制保護權能。在公民個人信息保護和權利救濟層面，加強信息保護的監管主體責任，對違反條例的行為加重懲罰力度?！稐l例》還引入具體場景下個人信息安全風險防范原則，即在評估個人信息“合理使用”的閾值時摒棄傳統的目的評估方式，以隱私風險評估為手段，動態管理個人信息是否被“合理使用”[7]。在權利受損后的司法救濟上，強調行政救濟和私法救濟的雙重保障，全面保護公民個人的信息安全。統一立法模式、綜合保護成為歐盟對個人信息保護的一大特點，這對于傳統單一的權利保護機制而言是一種值得借鑒的模式，保障范圍也更加廣泛。

(二)美國對個人信息安全保護的無縫銜接

美國的隱私權具有很大的外延，包括身體權、名譽權、肖像權、姓名權、信用權等具體人格權的內容。對于個人信息保護強調立法層面和行業自律雙重保障。政府引導下的行業自律機制是美國個人信息保護的顯著特點[8]。美國重視個人信息安全的“防火墻”建設，注重個人信息安全保護，公民隱私意識培養。2015年10月制定了《網絡安全信息共享法》，明確規定對個人隱私、自由等私權利的保護。1974年制定了最為典型的《隱私法案》，該法案以建立動態信息保護機制為核心，對政府機構收集、使用、披露個人信息都做了較詳細的規定，為公民個人財產信息、健康信息等提供相應的安全性保護。2000年施行的《兒童網上隱私保護法》對網絡從業者如實告知義務，以及收集13歲以下兒童個人信息前獲得家長同意的義務等均進行嚴格規定。首創行業自律安全港模式，制定行業行為規范和價值指引，以信息使用主體的自我管理為核心，使信息保護更加靈活高效，同時也實現了與其他法律規范的無縫銜接。

(三)英國對個人信息安全保護獨樹一幟

英國于1984年制定了《數據保護法》，該法對個人信息規定了差異化保護，注重精細化保護個人敏感信息，建立了完善的個人信息安全保障措施，對個人信息的獲取、利用、保存、給第三方提供等方面進行嚴格的規定：對信息主體的明確同意，信息使用者依法處理，政府基于公益活動對個人信息的合法利用，權利受損后訴訟救濟的程序等都有嚴格而細致的規定，對公民個人信息作出全面保護。《數據保護法》設立信息保護專員制度，同時設立信息專員辦公室(ICO)，集信息保護和信息公開監督職能于一體，規定任何未經信息被收集者同意，企業不得收集個人信息，并必須保證收集到的信息在合理范圍內使用。

(四)法國對個人信息安全保護注重權利本位

法國于1970年修訂《法國民法典》，在民法中增加了自然人私生活受尊重，防止隱私泄露的私權利條款，注重個人數據保護和市場秩序維護之間的平衡，明確指出信息技術應該為公眾服務，不得侵犯公民的尊嚴和隱私權，也不得妨礙自由權利的享有。2016年10月，法國《數字共和國法》(DigitalRepublicLaw)頒布，規定個人能夠自行決定和控制其個人數據的用途，強化個人權利。同時，法國還制定了《法國數據保護法》《消費法典》等多個相關法案，對與個人信息保護相關的領域均有詳細規范，規定了公民的數據便攜權、被遺忘權、死后隱私權等，強化了個人權利，增強了通信的保密性。同時，對個人信息安全的侵權行為處罰較重，規定了高額罰金。法國的這些法案都以公民個人的權利本位為出發點，注重對權利主體信息安全保護的引導和意識培育，盡力在權利保障和經濟自由上尋求平衡。

國外對數據隱私的保護給予相當的重視，希望可以通過立法來打擊數據隱私侵害行為[9]?？v觀世界各國對個人信息安全的保護機制，個人信息安全保護和經濟發展的平衡是普遍關注的核心。注重全面保護原則和侵權賠償規則的適用，建立完善的法律法規，貫穿于人們的日常生活之中，都強調多模態下的個人私密信息安全保護。美國采取以市場為主導、以行業自治為中心的策略，通過分散立法的方式，奉行行業自律和用戶個人救濟相結合的保護模式[10]。借鑒“隱私的合理性期待”“毫不遲疑報告義務”，以及個人信息所有者享有的“遺忘權和信息攜帶權”等域外經驗，進行國際合作，滿足數據流通國際化趨勢，保障數據互惠流通、對等保護。推進個人信息安全保護在我國的本土化應用，要注重立法指引，細化法律規范，關注司法應用，嚴格落實規章制度，加大自我權利保護法治宣傳教育，對侵權行為懲戒和損害賠償等，這些措施的配合使用是構建完善個人信息安全保障體系的基礎。

三、完善公民個人信息安全保護的應然路徑

個人信息權作為具體人格權，是絕對權，權利人以外的其他任何主體都是其義務人，對個人信息權人負有不可侵犯的義務[11]。完善個人信息安全保護體系建設，需要在立法、執法、技術研發和法治宣傳等各個層面著手，不斷完善立法規范，引導行業自律建設，加強行政監督管理和違法行為打擊力度，優化技術手段，強化法制宣傳，提升公民安全意識，多措并舉，共同保障個人私密信息不受非法侵害。

(一)平衡個人信息保護與利用之間的價值利益

個人隱私與個人信息保護面臨更多的威脅，解決問題的核心在于對信息主體的保護和信息利用的利益平衡[12]。信息隱私保護的重點已不是保密或不發布，而是在數據自由流動與合理利用的過程中對數據主體的權益進行全方位保護[13]。要完善規范體系建設，通過制定統一的安全標準和規范，對個人數據信息的收集、利用、保密等進行區別保護，促使政府、企業信息公開共享的合法化與規范化，才能實現便利個人生活與個人信息保護相互協調、統籌兼顧。完善“個人數據采集與使用許可”制度，在政府、企業收集使用個人信息時，應充分保障公民的知情權、同意權，使個人明確、清楚地了解自己的信息被用于何處，會產生何種結果，效益如何。同時作為服務提供者的政府、企業，要確保收集個人信息的目的與利用的正當性，防止信息濫用，損害個人利益。對經營領域的個人信息收集、處理者，基于利益平衡的理由，賦予嚴格的個人信息安全保障義務，更有利于保障個人信息主體的相關權益，更利于推動數字經濟發展[14]。簡言之，為了實現某一特定目的和用途，在數字經濟時代必須收集和利用個人信息，這是必然，但要堅持目的限定、利用適度和最小擴散原則，平衡好個人信息利用與保護的關系，全面衡量二者的價值利益后，明確個人信息的收集范圍和利用限度。如為了重大疫情防控的需要，收集個人姓名、身份證號碼、家庭住址、電話號碼等，這是為了公共安全和聯防聯控的需要，其利用具有正當性，符合社會公共價值和公民個人利益，但該信息的收集應僅限于疫情防控和疾病救治，不能另外用作他途。同時，對外公布時，要對個人私密信息進行脫敏處理。如網絡購物時，為了完成共同獲益的交易行為，商家必須獲取個人地址、電話號碼、支付賬戶等隱私信息，這就需要商家在個人提交數據信息時妥善保管、利用，避免過度采集、數據泄露和大數據殺熟等行為。

(二)健全行政監管，明確信息使用者的權利，劃定權責清單，規范個人信息安全保護職責

《中華人民共和國個人信息保護法(草案)》對個人信息的保護作出了明確規定，個人信息使用者收集個人信息必須堅持合法、正當、必要的原則，不得收集與其服務無關的信息。對其在提供服務過程中收集到的自然人姓名、電話、家庭住址等個人信息必須嚴格保管，慎防泄露，因個人信息不當泄露造成他人損害的，應承擔侵權責任。信息權利人允許信息收集并不等于允許信息分享[15]。個人信息保護應加強權利主體對其享有的知情權、同意權等基本性權能的獲知和明示，將個人信息權利的收集和利用以權責清單的方式列舉呈現，賦予個人對其關鍵信息享有的被遺忘權和拒絕權。應當制定隱私協議的強制性國家標準來設置隱私保護的底線[16]。嚴格規定信息使用者的責任，明確信息處理流程，制定相應的制度，以完善和加強對個人信息的保護能力。加強和完善公民信息私密權利被不當侵害后的司法保障和權利救濟措施，以及其他行政救濟手段的適用。制定完善信息主體申訴的權利和渠道，以保障個人信息權益被不當侵害后及時獲得私力救濟的同時獲得公力救濟。大數據時代，只有依法保障信息主體對其個人信息享有的知情權和遺忘權，透明數據信息，明確了解個人信息被使用的全部過程，規范使用者的利用行為，才能切實保護個人信息權利不被濫用。

企業在對收集的個人信息進行商業化利用過程中，為了追求利潤最大化，極有可能會超范圍利用個人信息，造成用戶的信息泄露和形成侵害后果，需要政府行政監管機制的大力監督。一是建立專門的監督管理機構。應剝離各部門都有管理權而又無人管理的交叉監管空白，建立以工業和信息化部為主的監管機制，積極整合執法資源，專門監管個人信息的規范化使用。二是制定嚴格規范的監管流程，規范信息掌握者的使用行為。應當建立健全個人信息數據庫管理制度，明確不同層級、不同類別的工作人員接觸個人信息的權限范圍，實時監控組織或個人使用數據的行為，保證個人信息得到有效保護。三是通過行政機關建立“違法黑名單”數據庫、“一票否決”制度等方式，徹底防范侵犯個人信息安全的違法行為。只有法律規范和技術規范同步實施、相互補充，構建良好的大數據環境，才能更好地保護個人信息安全。

(三)完善個人信息保護的相關法律規范，從立法層面完善個人信息安全保障體系

我國個人信息立法還屬于法律法規分散立法和征信業、互聯網行業有限專門立法保護的狀態，仍然存在保護對象不明確、信息主體權利缺失、權利義務不完善和法律責任不到位等[17]。要實現個人信息安全，織牢防護網，國家層面的體系化立法規范不可或缺。個人數據保護立法的核心是權利保障與救濟[18]。首先需要完善刑事立法。刑罰是最嚴厲也是最直接有效的打擊保護手段，要制定完備的法律條文，嚴格法律適用，只要實施了侵犯公民個人信息安全的行為，達到一定情節的都要處罰。同時應從泄露信息類型、行為次數、損害后果等明確規定具體違法情節的判斷標準，根據不同犯罪情節科處不同刑罰，以實現罰當其責。要完善侵權責任的舉證規則，采取過錯推定和舉證責任倒置規則，由侵權人舉證自己不存在過錯或者沒有泄露個人信息，如果無法舉證，則推定其具有過錯。要在完善一般法律法規的同時，完善部門規章制度，細化法律法規，堅持完善《中華人民共和國個人信息安全保護法》等法律規范對個人信息安全的事前預防與事后保護機制。事前預防以明確個人享有的信息安全權利為基礎， 通過權力建構、法制宣傳，引導社會民眾對該項權能的認可度和保護力，從源頭防止個人信息被非法收集、利用和買賣。

(四)強化行業自律意識，提升行業道德觀念，負責任地使用個人信息

在個人信息安全保障方面，部分人員缺乏自律意識，以權謀私，利用職務之便將客戶的個人信息販賣，這是個人信息泄露的源頭。要制止個人信息的不當泄露，除了法律法規的嚴厲打擊之外，加強行業自律也是關鍵。在個人信息保護法尚未出臺的情況下，行業自律是改變大數據收集與利用默認規則的最有力路徑[19]。國家應積極引導，處理好政府與協會之間管制與支持的關系，為行業協會提供適當的資金和政策支持，促進企業的自我約束和互相監督，努力實現對用戶數據的“負責任使用”[20]。首先，要加強宣傳，樹立單位、個人規則意識和社會責任感，在對個人信息進行必要利用時應事先得到用戶允許，并嚴格限制使用范圍。其次，建立行業內責任追究機制，采取企業和個人雙罰制。一旦出現私自收集個人信息或造成個人信息泄露的，無論故意或過失，都應當承擔相應的責任。最后，建立健全行業內部專門的自我監督管理機構，通過制度建設，有效防止個人信息泄露。政府、企業收集管理的個人信息需要提取時，要嚴格審批流程，非工作需要不得存儲、拷貝、傳送個人私密信息。督促企業制定相應的行業自律規范，引導重點行業對個人信息保護的監管和教育，采取警示、黑名單、退出機制等措施處罰違法行為，規范個人信息的使用范圍和流程，促使行業健康發展。

(五)強化技術研發，從技術制度層面確保個人信息安全

大數據時代對個人信息安全的保護，制度保障是基礎，強化技術研發，提高物理層面的技術防護手段是關鍵。應將個人隱私信息保護納入國家戰略資源的保護和規劃范疇[21]。要投入專門的人力、物力，加強技術研發，提升個人信息安全保護的科技手段。通過多層防火墻設置、量子密碼技術、數據庫算法編譯、云存儲加密、數據獲取權限分層設置、區塊鏈技術應用等高科技手段，讓竊密者無法撬動個人信息防護之門，全面堵住個人信息遭泄露的漏洞，避免黑客攻擊等非人為的隱私泄露，從技術層面確保個人信息安全得到有效防護。

(六)提高個人信息自我保護安全守護意識，從源頭防止個人信息的不當泄露

個人信息保護意識薄弱，反個人信息侵害能力低下，以及企業的干擾使得我國公民個人信息控制能力總體較低，制約了法律在維護公民個人信息安全方面發揮重要效用[22]。要加強法制宣傳教育和個人信息安全教育，提高用戶安全防范和隱私保護意識，引導民眾養成良好的使用個人信息習慣，不隨意泄露自己的個人信息，從源頭保護個人信息安全。同時對于第三人侵害自己信息安全的行為及時制止、舉報，要求對方刪除、屏蔽、斷開鏈接等。非經法定程序，非因法定事由，對不當獲取公民個人信息的行為，公民和信息掌握者應當拒絕告知。在利用網絡的過程中，不貪圖便宜，不隨意掃碼、登錄不明鏈接，及時刪除利用過的個人信息等，提高警惕，防止被蒙騙掉入他人設置的陷阱。對于必須提供自己個人信息的事項，要明確知悉收集利用者的主體資格、使用范圍、保密責任、利用限度等。對于個人信息泄露的，公民個人要及時向工商行政部門、網絡監管部門、消費者協會等職責部門投訴舉報，造成嚴重損害的，向公安機關及時報案，并樹立證據意識，及時收集保存證據材料，維護自身合法權益。

(七)完善侵害個人信息安全的損害賠償規則

建立個人信息侵權的民事賠償制度，在侵權人實施侵權行為后，不僅要追究侵權人的行政責任和刑事責任，還要依據實際情況追究侵權人對受害人的民事賠償責任[23]。民事賠償對于公民來說是最直接和有效的損害賠償方式，能最大限度彌補個人損失，也能使侵權者付出對等補償，甚至是懲罰性代價。當公民個人信息安全面臨不當侵害的危險時，權利人可要求侵權者立即停止侵害并賠償損失，包括賠禮道歉、金錢賠償、恢復名譽等財產性和精神撫慰性損害賠償。對于具體侵權行為，在司法層面，采取物質利益和精神利益相結合的二元救濟模式，通過損害賠償和懲罰性賠償規則的設置，賦予公民依托監管職能部門或自身收集證據后進行民事損害賠償訴訟的權利，形成公權力打擊和私權利追償相結合的權利救濟模式，是個人權利保障的根本。加強雙向打擊力度，增加侵權行為人的違法成本，是更好地保障個人信息安全的基礎，也是反向引導政府、企業、公民樹立規則意識的有效途徑。

(八)加快社會誠信體系建設，弘揚社會傳統美德

“人無信不立，城無信不興?！苯ㄔO新時代中國特色社會主義，離不開科學完善的社會誠信體系[24]。在社會活動中，個人需要基于信任和必要原則，根據服務與被服務的需要，將自己的私密信息提供給一些商家或單位使用。信息享有主體和信息利用者之間是不對稱關系，社會個體之間、企業和個人之間、政府和個人之間如果誠信缺失，會束縛經濟的自由流通和社會正常秩序的維護，或導致人人自危，不敢出示個人信息，合理利用也會遭到質疑，帶來社會發展停滯不前，或個人信息被侵害的行為泛濫，隱私泄露、矛盾叢生。部分人員為了追求、獲取眼前的不當利益，違反法律規定，利用工作便利隨意泄漏、販賣公民的個人信息，同時也會產生社會誠信危機。在信息安全領域，道德通過人們內化于心的價值認同自覺規范行為，能夠主動避免信息安全風險，及時彌補信息安全可能存在的其他隱患[25]。因此，在加強對侵權者責任追究的同時，要加大誠實守信和責任意識教育，通過開展“道德講堂”，送法進校園、進社區，制作露天展板等形式，弘揚社會主義核心價值觀和“言必行、諾必守”的傳統美德。重構社會誠信體系，使信息利用主體和個人都規范自身行為，完善社會信用體系和服務水平，讓法治和德治共同保障個人信息的安全。

四、結語

個人信息安全保護與公民的人格權益和財產權益息息相關，與社會發展、經濟繁榮昌盛緊密相連。大數據使市域社會治理更加高效便捷，也使得以隱私和識別為基礎的個人信息范圍大大擴展。同時，大數據與人工智能發展的需要使得數據的二次利用成為必要，對個人信息權利保護中的“目的限制”“信息最小化”等原則形成挑戰[26]。越來越多個人信息被不當泄露、濫用、買賣，公民個人在信息“裸奔”下生活。加強個人信息安全保護需要處理好個人權益保護、商業數據利用和政府服務職能實現之間的平衡，明確制度規范和信息使用、管理流程。政府在利用標準開展個人信息安全治理時，應當更多關注服務，而不是執法[27]。要不斷完善制度建設，強化行業監管，建立健全社會誠信體系，規范利用數據信息，實現法律與技術共同治理的統一，防止政府和民眾因噎廢食，對高效便捷的大數據產生抵觸心理。通過創建安全可控的信息化發展環境，構筑完善、高效的個人信息保護體系，才能保障公民個人信息的全面安全。