法律層面下的個人信息保護(hù)研究

高文竹

鄭州經(jīng)貿(mào)學(xué)院，河南 鄭州 451191

一、個人信息概述

（一）數(shù)字經(jīng)濟(jì)背景下個人信息的基本內(nèi)涵

個人信息主要是對個人身份信息進(jìn)行直接或者間接地識別。“可識別性”是其中的重要特征，但是個人信息的法律保護(hù)更多針對的是影響個人權(quán)益的身份信息，這些信息往往與個人身份識別密切相關(guān)。但個人信息的保護(hù)與社會利益之間也需要進(jìn)行平衡，比如當(dāng)政府為了社會公共利益的需要利用公民個人信息進(jìn)行社會治理時，就可以進(jìn)行合理使用。

數(shù)字經(jīng)濟(jì)背景下，個人信息已經(jīng)不再僅僅具有識別功能，在經(jīng)過相應(yīng)處理后，還具有了共享價值，也就意味著，個人信息從原始數(shù)據(jù)經(jīng)過處理后產(chǎn)生了更多的增值效能；個人信息也不再僅僅具有專屬性，在各種個人信息數(shù)據(jù)處理的過程中具有了共享性。

（二）現(xiàn)有法律框架下的個人信息保護(hù)

從民法的角度來看，個人信息收集過程中往往遵循著“知情—同意”規(guī)則，也稱“告知—同意”機(jī)制或者“告知—選擇”機(jī)制，［1］也就意味著在個人信息收集之前要履行告知義務(wù)并且取得權(quán)利主體的許可。《中華人民共和國民法典》（以下簡稱《民法典》）在人格權(quán)編中也規(guī)定了對個人信息的法律保護(hù)。在《民法典》第一千零三十四條中，肯定了個人信息受保護(hù)的法律地位；第一千零三十五條規(guī)定了在個人信息數(shù)據(jù)處理的過程中應(yīng)當(dāng)遵循合法、正當(dāng)、必要原則；第一千零三十七條規(guī)定了信息主體對發(fā)現(xiàn)信息有錯誤的，有權(quán)提出異議并請求及時采取更正等必要措施。

從刑法的角度來看，隨著數(shù)字經(jīng)濟(jì)的不斷發(fā)展，個人信息的經(jīng)濟(jì)價值也凸顯出來，所以很多不法分子便妄想通過向他人出售或者提供公民個人信息來獲取暴利，《中華人民共和國刑法》第二百五十三條之一規(guī)定：“違反國家有關(guān)規(guī)定，向他人出售或者提供公民個人信息，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴(yán)重的，處三年以上七年以下有期徒刑，并處罰金。”國家對于個人信息的保護(hù)是十分重視的，因為個人信息的不法利用，小到騷擾電話和短信，大到危及人身安全的敲詐勒索，都會給社會帶來嚴(yán)重的后果。

從行政法與行政訴訟法的角度來看，關(guān)于個人信息的保護(hù)大多是以保障隱私權(quán)的角度進(jìn)行的。［2］

二、我國個人信息法律保護(hù)困境分析

（一）“知情—同意”機(jī)制的時代缺陷

1.傳統(tǒng)的“知情—同意”原則難以適應(yīng)時代發(fā)展要求

在數(shù)字經(jīng)濟(jì)背景下，信息在國家公共治理方面發(fā)揮著十分重要的作用，這對于維護(hù)社會秩序穩(wěn)定有著不可替代的作用。正因為如此，國家機(jī)關(guān)在社會治理的過程中，為了維護(hù)社會公共利益，可以基于法律直接規(guī)定，不經(jīng)信息主體的同意而收集和使用個人信息。［1］

公共利益作為限制信息主體“知情—同意”的重要理由是公共利益的優(yōu)先性。在個人信息的法律保護(hù)中不僅僅涉及個人利益，還有企業(yè)等其他主體的利益，我們必然要面對各方主體利益平衡的問題，這是數(shù)字經(jīng)濟(jì)時代背景下的必然選擇。但與此同時，是不是意味著只要涉及公共利益，個人利益都要讓位呢？如果這樣將會導(dǎo)致公權(quán)力的濫用，所以在涉及公權(quán)力機(jī)關(guān)為了公共利益的需要收集使用個人信息時，需要控制在最低程度內(nèi)，否則就會促使公權(quán)力的權(quán)力范圍過寬。

2.嚴(yán)苛的“知情—同意”原則阻礙了社會經(jīng)濟(jì)發(fā)展

在數(shù)字經(jīng)濟(jì)時代，個人信息對社會發(fā)展的價值十分重要，尤其是關(guān)乎經(jīng)濟(jì)價值和社會價值。個人信息不僅僅是個人身份信息的記錄，也是企業(yè)經(jīng)營和政府治理的重要數(shù)據(jù)。經(jīng)過二次處理的個人信息數(shù)據(jù)具有了社會公共利益的屬性。對于個人信息的法律保護(hù)，我們需要做的不僅僅是保障個人信息主體的利益，更要維護(hù)政府、企業(yè)等各方主體之間的利益平衡。尤其是經(jīng)過二次處理或者多元化流轉(zhuǎn)使用個人信息，數(shù)據(jù)控制者基本無法追溯到數(shù)據(jù)主體去尋求同意，那么嚴(yán)苛的“知情—同意”規(guī)則就會限制數(shù)據(jù)信息的流通性從而阻礙社會發(fā)展，所以傳統(tǒng)的“知情—同意”規(guī)則難以適應(yīng)數(shù)字經(jīng)濟(jì)發(fā)展的潮流，也無法滿足數(shù)字產(chǎn)業(yè)的發(fā)展。

（二）個人信息保護(hù)的救濟(jì)機(jī)制有缺陷

1.民事救濟(jì)力量不足

（1）個人信息的私權(quán)救濟(jì)無法對抗公權(quán)機(jī)構(gòu)的侵權(quán)。個人信息對于政府的社會治理工作有著重要的意義，信息的流通性和共享性也方便了公權(quán)力機(jī)構(gòu)的審查和監(jiān)管，因此對于公權(quán)機(jī)構(gòu)收集處理個人信息問題，為了維護(hù)社會秩序和社會發(fā)展，我們對私權(quán)予以了限制。但在現(xiàn)實生活中，政府也存在濫用公民個人信息的現(xiàn)象，對于這一問題，民事領(lǐng)域因主體地位問題無法對抗公權(quán)機(jī)構(gòu)的侵權(quán)。

（2）民事救濟(jì)中損害賠償?shù)貌坏奖Ｕ稀Ｎ覈睹穹ǖ洹非謾?quán)責(zé)任編規(guī)定了侵權(quán)損害賠償問題，但這里的侵權(quán)損害賠償往往限于被侵權(quán)人的實際損失，［3］比如根據(jù)《民法典》第一千一百八十二條規(guī)定，侵害他人人身權(quán)益造成財產(chǎn)損失的，按照被侵權(quán)人因此受到的損失或者侵權(quán)人因此獲得的利益賠償；被侵權(quán)人因此受到的損失以及侵權(quán)人因此獲得的利益難以確定，被侵權(quán)人和侵權(quán)人就賠償數(shù)額協(xié)商不一致，向人民法院提起訴訟的，由人民法院根據(jù)實際情況確定賠償數(shù)額。也就意味著此時僅僅是解決被侵權(quán)人的實際損失，沒有懲罰性賠償，這對于侵權(quán)者的震懾力是遠(yuǎn)遠(yuǎn)不夠的。

2.刑事追責(zé)有局限

在刑法領(lǐng)域?qū)τ趥€人信息的保護(hù)，往往涉及兩個罪名，侵犯個人信息罪和拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪，該規(guī)定雖然在個人信息的保護(hù)中起到一定的作用，但對于“合法取得，利用不當(dāng)”的情況也無法規(guī)制。企業(yè)在獲取個人信息上往往合法取得，比如網(wǎng)絡(luò)平臺合法獲取了個人信息，但之后對獲取的信息進(jìn)行泄露，此時刑法對這種大規(guī)模侵害個人信息行為的保護(hù)是有限的。

3.行政救濟(jì)難落實

我國針對個人信息的法律保護(hù)在行政救濟(jì)方面不到位，當(dāng)公民的個人信息受到侵害時，［4］部分行政機(jī)關(guān)存在不作為的現(xiàn)象。雖然相對人可以通過行政復(fù)議或者行政訴訟來保障自己的合法權(quán)益，但對于個人信息法律保護(hù)的行政救濟(jì)的具體操作流程規(guī)范不明確。這種行政救濟(jì)不到位的現(xiàn)象不僅不利于個人信息的法律保護(hù)，更有損政府形象。

三、個人信息的法律保護(hù)路徑

（一）優(yōu)化“知情—同意”原則

1.“假名化”規(guī)則的完善

根據(jù)歐盟《通用數(shù)據(jù)保護(hù)條例》第四條第五款的規(guī)定，“假名化”是指除非使用額外信息，否則無法將個人數(shù)據(jù)連結(jié)到某個具體的數(shù)據(jù)主體，且上述額外信息應(yīng)當(dāng)被獨立存儲并受制于適當(dāng)?shù)募夹g(shù)和組織措施，以確保個人數(shù)據(jù)不會連結(jié)到某個已識別或可識別的自然人。［2］這種理論我們又叫做“匿名化”或“去識別化”，也就是通過技術(shù)手段刪除可識別的個人信息內(nèi)容，從而保護(hù)個人信息安全。［5］我們需要做的是明確匿名化要求及實施細(xì)則，而且由于信息的二次處理和整合等問題，可能導(dǎo)致匿名信息被重新顯現(xiàn)化，所以需要不斷改進(jìn)、提高匿名化的技術(shù)水平。

2.完善“知情—同意”原則

一方面，我們要明確個人信息的內(nèi)涵。《中華人民共和國個人信息保護(hù)法》第四條規(guī)定，個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。重點在于識別和關(guān)聯(lián)，具有一定進(jìn)步性，但缺乏可操作性，如果能夠再加上不完全列舉的個人信息定義，那么會更有針對性。另一方面，要明確“同意”的概念。不能僅僅是概況同意，要通過精簡內(nèi)容、技術(shù)輔助等方式明確告知需要同意的內(nèi)容，這種明確告知不僅僅是一攬子告知，而是以有針對性的、通俗易懂的方式告知，而且不能通過技術(shù)手段變相捆綁同意。

（二）構(gòu)建多元化個人信息救濟(jì)制度

1.公私法相互協(xié)調(diào)保護(hù)個人信息

第一，在個人信息法律保護(hù)的行政救濟(jì)中，因為行政主體與行政相對人的法律地位的不平等，我們可以采取舉證責(zé)任倒置規(guī)則來平衡雙方的負(fù)擔(dān)，這樣有利于降低行政相對人的舉證難度，而且有利于提高訴訟效率。第二，完善侵犯個人信息的行政賠償制度。完善行政賠償制度的目的主要是提升行政侵權(quán)的違法成本，可借鑒民法領(lǐng)域的賠償計算標(biāo)準(zhǔn)，也可進(jìn)行懲罰性賠償，個人信息侵權(quán)懲罰性賠償制度是補(bǔ)強(qiáng)個人信息侵權(quán)民事責(zé)任的有效手段。［6］第三，要使公私法進(jìn)行協(xié)調(diào)，就需要二者明確分工，進(jìn)而形成合力。對于侵權(quán)行為，也分類別、分輕重，當(dāng)個人信息被侵權(quán)產(chǎn)生嚴(yán)重社會影響時才需要公權(quán)力介入，如果私權(quán)救濟(jì)能夠解決問題，那么便由民事法律予以解決。［7］

2.引入個人信息公益訴訟制度

第一，從現(xiàn)實角度出發(fā)，檢察機(jī)關(guān)的公益訴訟職能是最符合要求的，能以公權(quán)力部門的身份來彌補(bǔ)公民個人力量薄弱這一弱點。當(dāng)然這一點也需要拓寬檢察機(jī)關(guān)公益訴訟的范圍，在沒有相關(guān)具體規(guī)定的情況下，我們可以通過法檢的指導(dǎo)案例來解決這一問題。第二，檢察機(jī)關(guān)要拓寬線索渠道。發(fā)現(xiàn)侵犯公民個人信息的線索要拓寬，不僅僅是公安部門搜集到足夠多的證據(jù)，還要積極發(fā)動群眾，設(shè)立專門的公民信息安全舉報信箱，積極解決群眾問題，也可采取投訴獎勵機(jī)制。

3.規(guī)制政府的個人信息利用

個人信息收集的主體的不同，其依據(jù)也不同，企業(yè)收集個人信息往往依據(jù)跟信息主體之間的協(xié)議，而行政機(jī)關(guān)在收集處理個人信息時依據(jù)的是法律的授權(quán)。第一，要實現(xiàn)政府合理利用個人信息的目標(biāo)，就需要在法律程序上對政府予以約束。基于公共利益考慮而收集的信息，需要向社會或者相關(guān)利益主體公開收集原因及使用范圍，采用最少使用原則。第二，明確使用原因和范圍之后，政府對收集的個人信息進(jìn)行二次利用時需要取得信息主體的同意，當(dāng)然，也有例外，比如為了保護(hù)人民群眾生命財產(chǎn)安全而使用個人信息的就不在此范圍內(nèi)。政府公開使用原因和范圍就是為了讓公眾放心，但二次利用如果在公眾不知情的情況下，會侵犯公民的知情權(quán)。第三，要建立安全維護(hù)機(jī)制。［8］對于內(nèi)部工作人員，要接受安全管理培訓(xùn)，提升業(yè)務(wù)能力，并且建立個人信息管理負(fù)責(zé)人，責(zé)任落實到位，對于不需要的信息要及時刪除或者予以其他合法處理。

四、結(jié)論與展望

針對數(shù)字經(jīng)濟(jì)時代個人信息法律保護(hù)中“知情—同意”機(jī)制的時代缺陷和個人信息保護(hù)的救濟(jì)機(jī)制問題，應(yīng)當(dāng)及時采取針對性救濟(jì)措施。具體而言，第一，優(yōu)化“知情—同意”原則，改進(jìn)“假名化”規(guī)則，明確匿名化要求和實施細(xì)則；第二，構(gòu)建多元化個人信息救濟(jì)制度，采用公私法相互協(xié)調(diào)來保護(hù)個人信息。個人信息的法律保護(hù)路徑研究是數(shù)字經(jīng)濟(jì)背景下的必然選擇，有利于為社會進(jìn)步提供助力，為個人信息保護(hù)與社會經(jīng)濟(jì)利益的平衡提供更多的新思路和新方法。此外，還能夠在保護(hù)數(shù)字經(jīng)濟(jì)背景下個人信息的同時，促進(jìn)社會對個人信息法律保護(hù)的關(guān)注。