數字經濟下消費者個人信息保護研究

孫 浩

（山東交通學院交通法學院 山東濟南 250037)

隨著數字經濟對于信息的廣泛收集和應用，非法采集和泄露個人信息的問題變得愈加嚴重，出現了大量因為消費者個人信息泄露而造成的現象性案件。近幾年電信網絡詐騙案件屢見不鮮，據統計，九成以上的電信詐騙源于個人信息泄露，犯罪分子通過非法獲取的公民個人信息注冊手機卡、銀行卡，作為詐騙犯罪的基礎工具，或利用這些信息對詐騙對象進行“畫像”，實施精準詐騙。

另一方面，消費者個人信息安全不僅涉及個人權益的保護，數據精準化分析下的泄露和非法使用甚至會威脅到國家安全。2022年7月21日，國家互聯網信息辦公室對滴滴全球股份有限公司（以下簡稱為“滴滴公司”）做出行政處罰決定，經查明滴滴公司存在16項違法事實，歸納起來主要是違法收集用戶手機存儲信息以及過度采集用戶人臉識別信息、學歷信息、定位信息、通話信息等多項個人信息，同時網絡安全審查還發現，滴滴公司存在嚴重影響國家安全的數據處理活動。由此我們可以發現，如果消費者個人信息被廣泛采集，經過系統處理后形成大數據，即可根據消費者的人體生物特征、社交圈子特征、種族基因特征、消費習慣特征以及人口中不同信仰者所占比例等，設計出不同的商業政策甚至政治應對策略，在被別有用心的不法分子使用后，甚至會危及到國家安全。

一、數字經濟下消費者個人信息保護的法治建設現狀

（一）立法保護。當前我國的個人信息保護法治建設步伐加快，已經逐步形成了具有中國特色的消費者個人信息保護的法律體系，包括法律、司法解釋、行政法規、規章、規范性文件、標準在內的完整體系，涵蓋了民事、刑事、行政三個方面的保護。刑事立法方面，2009的施行的《刑法修正案（七）》詳細規定了非法獲取公民個人信息罪，2015年施行的《刑法修正案（九）》將其更名為侵犯公民個人信息罪，同時加大了懲處力度；民事立法方面，2021年施行的《民法典》在原有《民法總則》規定的基礎上加強了對涉及消費者個人信息保護問題的隱私權等人格權的保護，同時2014年實施的《消費者權益保護法》也多次提及個人信息保護；行政立法方面，我國還從多個角度制定實施了專門法律，例如2015年實施的《國家安全法》、2017年實施的《網絡安全法》、2021年實施的《數據安全法》和《個人信息保護法》以及正在制定當中的《反電信網絡詐騙法》。除此之外，最高院、最高檢還出臺了一系列個人信息保護相關的司法解釋；國務院和各有關部門也出臺了若干行政法規、規章和規范性文件來加強信息和數據保護。另一方面，我國還出臺了大量消費者個人信息保護相關的標準。

（二）司法保護、行政保護和社會監督保護。除完善立法外，在個人信息保護方面，我國也建立起了比較完備的司法、行政執法和社會監督保障體系。司法方面，各級人民法院、人民檢察院致力于維護消費者個人信息保護工作，打擊違法犯罪。根據相關統計，2017年6月至2022年6月五年間，全國法院審理侵犯公民個人信息刑事案件超萬件，其中判處三年以上有期徒刑的案件比例達到19.50%。政府行政方面，網信部門和工信部門是數字經濟下消費者個人信息保護的重要負責部門，負責個人信息處理者處理個人信息行為的安全評估等，例如針對廣大網民反映強烈的手機應用程序對個人信息的非法獲取、越權收集等侵權行為，網信辦在2021年5月組織了有針對性的檢測活動，發現若干問題，并要求相關手機應用程序運營者在限定日期內完成整改等。

另外，我國消費者協會等相關社會組織也十分關注消費者個人信息保護問題，并起到了社會監督的作用。中消協曾于2018年8月到10月間開展測評活動，旨在統計分析手機應用程序個人信息收集與隱私政策的相關數據；在有中國消費者協會作為主辦單位的2021年央視“315”晚會上，曝光表面清理垃圾實則收集用戶信息的手機清理類軟件、在未征得消費者同意的情況下收集消費者人臉識別信息的商家等。

二、數字經濟下消費者個人信息保護面臨的問題和困難

（一）執法難度較大。復雜性高、專業性強是數字經濟領域最突出的兩大特點，由于廣泛涉及移動互聯網、云計算、人工智能、區塊鏈等先進技術，因此具有較高的行業門檻，這也加大了行業相關監管人員的執法難度。在實踐中，由于相關專業人才及技術的缺乏，大多數執法人員對于Cookie、哈希算法、NFT等基本專業術語都倍感陌生，監管對象對個人信息收集和使用的必要性、合理性問題對其來說更是一頭霧水；同時由于網絡環境的隱蔽性，外加監管部門的監管資源與監管對象的龐大體量不相匹配，執法人員面臨著明確管轄難、異地取證難、固化證據難等一系列問題，要求其對每一起消費者個人信息侵權案件都進行有效處理是難以實現的。

（二）缺乏統一界定標準。我國多項立法都指出，個人信息處理應遵循“合法、必要、正當”原則，然而當前對于消費者個人信息采集管理使用的合法合理必要性的研究不夠，很多仍然是停留在“消費者知情即同意”的簡單理解上。[1]以防止經營者利用大數據對消費者價格歧視為例，《個人信息保護法》《電子商務法》雖有明確規定，要求經營者公開、透明地處理消費者個人信息，不得通過其所了解的消費者的消費習慣、興趣愛好等特征在價格等交易條件上實行不公平的差別待遇；然而在實務中，經營者因存在價格歧視行為而受到處罰的情況屈指可數，另一方面，根據北京消協于2022年9月發布的大數據“殺熟”問題調查報告，一半以上受訪者表示有過被經營者價格歧視的經歷。究其原因不外乎兩點，一是對商家提供個性化服務與價格歧視的關系較為模糊；二是如何準確界定并正確適用“合法、必要、正當原則”,現行法律規定沒有給出明確的標準答案。

（三）責任主體較為分散。一方面，由于經營者對于消費者個人信息的收集和處理存在層層轉包的現象，導致數據中介數量龐大，進而時常難以確定個人信息侵害行為的準確來源；另一方面，消費者個人信息泄露案件責任主體較為分散，呈現出“多因一果”的特征。一起消費者個人信息泄露案件既可能存在經營者前端信息的泄露問題，也可能存在后端侵害人通過不法手段獲取的問題，還可能存在末端受害人的未盡注意義務的問題。[2]以典型的消費者使用出行手機應用程序購票后行程信息泄露案件為例，主要原因包括軟件平臺方的惡意泄露、黑客的攻擊以及消費者自身的不慎泄露。因此在有效溯源機制沒有建立、事實難以完全查清的情況下，如何明確具體責任主體，以及如何推定涉及方應當承擔的責任，目前仍是一個難題，同時這也將影響消費者民事權益的實現和消費者維權的積極性。

（四）監管部門權責不清。此前，我國對于消費者個人信息保護的監管大多處于“分散監管”的狀態，具體由網信辦、工信部、市監局、公安機關以及各行業監管機構負責監管事項。但由于各監管部門信息難以聯通，各部門權責不明，執法標準不一，存在監管重疊、監管空白以及用戶投訴無門等情況，經常被詬病為“九龍治水，各自為政”。《個人信息保護法》的出臺預防和解決了多個監管部門各成一派、多頭混治的問題，體現在其特別突出了國家網信部門對于個人信息保護工作的統籌協調作用。然而，由于其他各部門皆屬于《個人信息保護法》規定的“履行個人信息保護職責的部門”，均可適用《個人信息保護法》《數據安全法》《網絡安全法》，因此執法領域仍然不免有重疊之處，可能存在交叉執法、邊界不清的問題。如房地產開發公司將消費者購房時所留個人信息違法泄露給裝修公司，住建部門與市場監督管理部門就出現管轄權沖突，雙方均有權依照《個人信息保護法》的規定對其進行處罰，這種情形下如果雙方互相推諉，認為應由對方執法，就會使得某一執法領域出現監管真空的狀態。另一方面，由于多部門均對同一地區或者同一問題有執法權限，分別要求企業接受監督管理，如報送材料、實地調查、接受約談等，也無疑增加了經營者的綜合成本。

（五）消費者維權困難。根據山東消協發布的調查問卷結果，當個人信息被泄露或出售時，58%的消費者因維權途徑不清而自認倒霉，49%的消費者因程序復雜而放棄維權，44%的消費者因缺乏證據而中止維權。究其原因不外乎三點：一是雖然《個人信息保護法》第69條明確規定了侵害個人信息權益的侵權責任與損害賠償數額的確定方法，但其中作為計算依據的“受到的損失”與“獲得的利益”應當怎么理解，仍需進一步明確和研究。二是現有的“誰主張，誰舉證”民事訴訟證據規則不利于受害者提起民事訴訟進行維權。個人信息流轉環節眾多，傳播隱蔽復雜，追溯取證難度大，消費者很難證明自己所遭受的損害事實與侵權行為之間存在因果關系，因此很難在訴訟中舉證，即使付出大量時間精力收集證據成功舉證，其勝訴后獲得的賠償金額也很低。三是維權機制運行效率低。消費者如向行政機關投訴舉報同樣面臨舉證的困境，另外絕大多數案件的涉案金額不高，達不到公安機關立案標準，無法以侵犯公民個人信息罪追究侵權方的刑事責任。

三、數字經濟下消費者個人信息保護的對策與建議

（一）建立完善技術輔助人制度。當前，司法與行政執法部門已經認識到數字經濟下互聯網、大數據等領域專業人才對于提高監管隊伍發現及解決問題的重要性。但此類專業人才的稀缺導致其流動性較高，同時專業性較強也導致其難以精通數字經濟的所有具體領域；另一方面其專業能力也可能隨著被引進后由于脫離生產與研發崗位一線而逐漸退化。因此建立數字經濟下消費者個人信息保護的技術輔助人制度成為了解決當前困境的最優解。近些年來，為了解決各種超過司法人員知識儲備范圍的專門性問題，檢察機關引入專業力量來協助辦理專業性較強的案件，如破壞生態環境的公益訴訟案件。因此，網信部門與市場監管部門等執法單位在有關消費者個人信息保護案件的處理中，也可以通過建立完善技術輔助人制度，提高工作的效率和質量，提高消費者個人信息保護的力度。

（二）加快相關配套規范性文件的制定工作。前文提到當前對于消費者個人信息采集管理使用的合法合理必要性的研究不夠，很多仍然是停留在“消費者知情即同意”的簡單理解上，這不僅給一線執法工作人員帶來困擾也使得廣大消費者維權困難。因此有必要通過制定相關配套規范性文件的方式進行針對性的細化。對此可以借鑒2019年11月國家網信辦、工信部、公安部、市場監管總局聯合制定的《手機應用程序違法違規收集使用個人信息行為認定方法》，該方法的內容十分具體，既有個人可以直觀判斷的，也有必須通過后臺技術手段才能確認的違法違規行為，但是無認是哪種確認方式，執法人員均可以在定性定量后進行監督、整改及處罰。另外，《個人信息保護法》也需要配套規范性文件，對于違法違規行為的情節判定、罰款的區間進一步細化明確，完善認定標準與方法，防止執法人員因為規定不明而不敢處罰，也防止因為認知偏差而矯枉過正。

（三）壓實多方主體責任。在實踐中，一方面，平臺企業作為經營者是數字經濟領域的重要參與主體，消費者的個人信息也大多由其進行收集與處理，為了達到減少經營者泄露消費者個人信息的風險的目的，要加強對其主體責任落實情況的監督。例如企業對數據收集、傳輸、處理等環節的管理，對員工獲取處理數據的限制和要求等。另一方面，其他主體責任的落實也不容忽視，主要表現在數據在產生之后會與包括學校、醫院或政府機關等在內的多元化主體發生特定關系，例如當前疫情防控階段，各地推廣使用健康碼以及場所碼來實現科學防疫、精準防疫，這時的責任主體就涉及到委托建立健康碼系統的政府衛健部門、負責流調的疾控中心、以及場所碼的擁有者等，當這些主體因為自身的主觀或者客觀原因造成個人信息泄露時，根據《民法典》《數據安全法》《個人信息保護法》，甚至《刑法》的規定，相關部門也要被追究民事、行政或者刑事責任。[3]

（四）加強監管執法的協調和聯動。由于普通消費者的專業能力有限、信息渠道不暢，因而在與作為經營者的互聯網平臺企業的互動過程中，往往處于相對弱勢的地位，其自身信息權益更多依賴于政府部門通過加強監管執法的方式進行保護。基于個人信息的易傳播性以及侵犯手段的隱蔽性、多樣性，侵犯消費者個人信息的案件可能會與多個部門有所關聯，因此部門之間如能在各司其職的基礎上做到互相溝通協調方案、互相支持提供線索，那么共同監管、聯合執法的最大作用就得以發揮出來。此外，可以采取運動式治理方式來應對政府部門所面臨的編制緊缺、任務繁瑣、經費短缺等問題。所謂的運動式治理是指：在一段時間內集中精力針對某一領域進行專項整治活動，精準打擊違法犯罪分子，使消費者的合法權益得到充分保障，這種專項整治活動不僅對犯罪分子具有震懾作用，還可以起到全民普法、培訓基層的作用，為以后日常化監管打下基礎。

（五）提高消費者自我保護意識和能力。在當前的數字經濟時代，消費者要提高依法合理維權意識、風險防范意識和自我保護能力。消費者固然需要自發學習相關知識，而更加行之有效的措施則是相關部門積極開展普法活動，通過全方位無死角的宣傳提醒消費者謹防個人信息泄漏，當發現不合理、過度收集個人信息的行為時，第一時間向網信、工信等相關監管部門舉報。同時，相關監管部門要加大對投訴舉報平臺的宣傳力度，讓消費者熟知常見的維權渠道和維權方式，如違法和不良信息舉報中心（12377網站與舉報熱線）、網絡不良與垃圾信息舉報受理中心(12321網站與舉報熱線)等，進而不斷提高消費者自我保護的意識。