數(shù)字治理中的個人信息保護制度建設：現(xiàn)實困境與優(yōu)化路徑

近年來我國積極推動個人信息保護立法，取得了階段性成果，但在數(shù)字治理領域仍然存在著許多不足。不同于常見的法學領域的研究，本文構建出一個較為全面的分析框架，將數(shù)字治理中的個人信息保護制度劃分為法律層面、行政層面和治理主體層面三個維度，在此基礎上對我國制度發(fā)展的成果和問題進行了分析。在制度分析的基礎上，本文就數(shù)字治理中的個人信息保護制度的完善提出了政策建議：首先，要推進立法精細化，注重行政法規(guī)和行政訴訟，堅持嚴厲問責，完善救濟渠道；其次，要建立強力的個人信息保護監(jiān)管機構，增強技術標準的強制力和約束力；最后，要完善公民的參與機制和維權制度，鼓勵社會組織積極參與個人信息保護工作，實現(xiàn)數(shù)字治理中的個人信息保護工作中的協(xié)同治理局面。

一、數(shù)字治理與個人信息安全

數(shù)字治理為社會治理模式的優(yōu)化轉型提供了契機，但是也引發(fā)了公眾對數(shù)字治理中的個人信息安全問題的關切。伴隨著信息處理技術的發(fā)展升級，個人信息的價值與日俱增，公民個人信息的非法利用問題也逐漸凸顯。如何在利用數(shù)字治理為社會創(chuàng)造便利的同時，又能夠最大限度地解決公民個人信息的安全隱患，關乎著信息技術和數(shù)字治理的未來。在推進數(shù)字治理的過程中實現(xiàn)個人信息保護與信息有效利用之間的平衡，成為數(shù)字治理發(fā)展的重要目標。

二、數(shù)字治理背景下的制度分析框架

如圖1所示，通過對相關研究的總結，結合我國數(shù)字治理的現(xiàn)實狀況，本研究構建出數(shù)字治理中的個人信息保護的分析框架。數(shù)字治理中的個人信息保護制度的內(nèi)涵可以被劃分為三個層面，分別是法律層面、行政層面和治理主體層面。其中法律層面包括立法、司法以及問責和救濟制度；行政層面主要包括監(jiān)管機構和技術標準；治理主體層面體現(xiàn)出協(xié)同治理的思想，主要包括公共部門主體、公眾主體和社會組織主體，其中公共部門主體的治理角色主要體現(xiàn)在行政層面中。

盡管該研究框架將數(shù)字治理中的個人信息保護制度分為了三個層面，但是三者之間并非是相互獨立存在的，而是存在著極為緊密的聯(lián)系，例如法律層面的問責制度會直接影響到行政層面的監(jiān)管機構的權力行使。如果將數(shù)字治理中的個人信息保護制度看成一個結構系統(tǒng)，那么法律層面就是其中的目標和規(guī)則系統(tǒng)，行政層面是執(zhí)行系統(tǒng)，而治理主體層面是組織系統(tǒng)，三個層面共同構成了完整的制度系統(tǒng)，相互影響、相互促進。

三、制度困境背后的現(xiàn)實原因

（一）個人信息保護立法不夠具體，忽視行政訴訟

在法律建設方面，《保護法》填補了我國個人信息保護法律的長期空缺，促進了個人信息保護工作的廣泛推進。但當前的法律體系仍然存在很多問題，個人信息保護立法依然需要改善。

首先，我國的個人信息保護法律體系并不完善。《保護法》更多起到綱領性和原則性的作用，缺乏對實踐的指導能力，因此需要具體的程序法予以支持。同時，數(shù)字時代的信息技術快速發(fā)展，人們面臨形形色色的侵權威脅，個人信息保護的境況處在不斷的變化之中，因此我國的個人信息立法需要與時俱進，不僅需要修訂新法，也需要確保已頒布的法律能夠滿足現(xiàn)實的需求。

其次，我國長期忽視行政訴訟在個人信息保護中的作用。行政機關在公務中需要利用個人信息，但是并沒有確定信息利用的標準和界限，因此行政機關的個人信息侵犯行為難以確定，導致信息侵害行為的模糊性和隱秘性。并且由于行政機關與行政相對人之間地位懸殊，個人信息所有者負擔較大、舉證困難，導致行政訴訟難上加難。依靠個別行政相對人的力量很難對行政機關進行追責，因此我國在近年建立了行政公益訴訟制度，但缺乏詳細的規(guī)定，實踐案例較少。

（二）行政規(guī)制能力不足，缺乏強制力和約束力

我國在個人信息保護中存在著“重法律建設，輕行政規(guī)制”的情況。《保護法》確定了我國網(wǎng)信部門在個人信息保護中的統(tǒng)籌協(xié)調(diào)地位，但是并未能夠真正解決行政執(zhí)法權力的歸屬問題，因為網(wǎng)信部門僅僅擁有的是統(tǒng)籌協(xié)調(diào)的地位，而不具備統(tǒng)一負責的能力。孔祥穩(wěn)認為網(wǎng)信部門存在其自身的問題：首先網(wǎng)信部門地位不明，實際權力不清；其次網(wǎng)信部門職責繁重，規(guī)制能力和資源有限；最后，個人信息保護事務紛繁復雜，網(wǎng)信部門不能夠掌握其全貌。倘若網(wǎng)信部門并不適合作為我國個人信息保護的主管部門，應當考慮重新設置一個專門的信息保護部門。

除了個人信息保護的行政執(zhí)法部門缺乏必要的規(guī)制能力，在個人信息保護的技術標準方面，也缺乏基本的強制力和約束力。上文中提到的等一系列技術標準都屬于GB/T標準，即推薦性標準，并不具備相應的強制性和約束性。因此這些標準和規(guī)范很少得到實踐的檢驗，相關的信息保護技術也無法真正落實。

（三）公眾缺乏參與渠道，社會組織的作用遭到忽視

當前公眾缺乏參與個人信息保護的積極性，不能夠采取積極的措施維護自身權益，更不能保護社會利益。由于我國制度構建的不足，民眾缺乏通暢的維權渠道和舉報渠道。但與此同時，盡管公眾擁有較強的風險感知，但公眾普遍表現(xiàn)出一種“知行不合一”的狀態(tài)。盡管公眾明確了解到個人信息安全風險，卻仍然愿意提供個人信息以換取更加便利的服務，這種“信息悖論”不利于個人信息保護工作的推進，在很大程度上淡化了公眾對自身信息權益的重視。

社會組織作為個人信息保護工作中的重要主體，其在個人信息保護的社會治理中的作用卻經(jīng)常遭到忽視。在我國數(shù)字治理中的個人信息保護制度中，社會組織處于極為尷尬的地位，缺乏參與治理的制度安排。由于相關制度的缺乏，社會組織沒有對個人信息保護制度的發(fā)展產(chǎn)生實質(zhì)性的推動作用，也沒能起到聚合民意、保護公益的作用，一定程度上導致了個人信息所有者孤軍奮戰(zhàn)的狀況。

在數(shù)字治理中的個人信息保護中，只依靠政府的規(guī)制和執(zhí)法行為很難獲得良好的治理效果，政府要通過完善參與渠道改變治理現(xiàn)狀，只有實現(xiàn)各主體之間的通力合作，才能在面對紛繁復雜的個人信息保護問題時找到最合適的方案。

四、制度完善的政策建議

（一）法律層面的完善建議

1.推進立法精細化，完善個人信息保護的程序法

《保護法》存在的最大問題是過于原則化，缺乏對實際的操作性。首先，《保護法》亟需精細化，對部分條文進行深入的闡述和解釋。其次，我國要逐步完善個人信息保護的程序法，支持《保護法》的有效行使。具體來說，當前程序法建設需要聚焦于司法訴訟方面，建立完善個人信息保護的司法訴訟程序。

2.健全行政訴訟制度，推廣公益訴訟和集體訴訟

首先，健全行政訴訟制度要擴大行政訴訟的受案范圍，允許個人信息所有者就行政部門對個人信息權的侵害提起行政訴訟。其次，通過司法實踐對行政部門侵犯個人信息權的界限進行規(guī)定。應當確定行政機關侵犯個人信息權益的指導性案例，作為司法的參照和依據(jù)。最后，要推廣個人信息公益訴訟制度和集體訴訟制度。王成認為，個人信息處理者對個人信息的侵犯事前難防范、事中難制止、事后難查找，因此個人提起訴訟的負擔極大。我國公益訴訟的起訴方是檢察機關，檢察機關的專業(yè)能力和社會資源可以解決個人信息訴訟中面臨的困難。

3.堅持嚴厲問責，注重行政救濟

要堅持對個人信息犯罪行為進行嚴厲的問責，尤其是對行政部門要嚴格懲罰，因為行政部門侵犯個人信息的危害大、輿論反應強烈，會給政府形象和國家形象帶來極大的不良影響。當前我國在個人信息保護方面的救濟以民事救濟為主，但行政救濟應當成為數(shù)字治理中主要的個人信息保護救濟方式。我國的行政救濟方式主要包括行政復議、行政訴訟和行政賠償，其中行政復議成本較低、程序較為簡便，可以成為獲取行政救濟的首選渠道。

（二）行政層面的完善建議

1.強化監(jiān)管部門權力，增強行政規(guī)制力量

首先，我國應當建立新的獨立監(jiān)管機構，專門行使個人信息保護的監(jiān)管職能，配備專業(yè)從事個人信息監(jiān)管的專職人員，同時要在中央和地方都建立起垂直管理的個人信息監(jiān)管機構。然后要通過法律規(guī)定該監(jiān)管機構專門負責個人信息保護工作中的監(jiān)管職能，確保行政規(guī)制權力的統(tǒng)一行使，改變分散監(jiān)管的現(xiàn)象。最后，要賦予個人信息監(jiān)管機構行政執(zhí)法的權力和一定程度的自由裁量權，嚴厲打擊侵犯個人信息權益的行為。

2.增強技術標準約束力，推進個人信息保護影響評估

確立嚴格的技術標準是推進個人信息保護工作的前提條件，也是進行行政規(guī)制的基礎，要增強技術標準的約束力，進一步將其規(guī)則化、原則化。個人信息保護影響評估是個人信息保護的重要工具，可以防范個人信息風險，規(guī)范個人信息使用，對數(shù)字治理的健康發(fā)展有顯著的積極作用。個人信息保護影響評估可以檢驗個人信息處理者的合規(guī)程度，促進對個人信息的有效利用。從理論發(fā)展上來說，歐盟的個人信息保護影響評估已經(jīng)從靜態(tài)的“知情同意”框架轉變?yōu)閯討B(tài)的“風險路徑”框架，強調(diào)風險治理的重要性，而我國的評估框架仍遵循“知情同意”原則，需要對國外的先進經(jīng)驗進行借鑒和學習。

（三）治理主體層面的完善建議

1.加強社會宣傳，設立舉報機制

公眾是數(shù)字治理領域個人信息保護中的重要治理主體，其主要職責是積極維護自身的個人信息權益，制止非法利用個人信息的行為。我國要加強社會宣傳，在全社會形成個人信息保護觀念，尤其是提升公眾的維權意識。除了進行廣泛的宣傳之外，還需要建立個人信息保護舉報機制，對舉報個人信息侵權現(xiàn)象的公眾予以獎勵，并且要通過保密方式保護舉報人的安全和權益。只有民眾積極參與到個人信息維權中，實現(xiàn)其作為治理主體的價值，才能真正實現(xiàn)個人信息保護工作的有效展開。

2.建立個人信息保護組織，提供制度保障

社會組織是行政部門和公眾之外極為重要的第三方，具有獨特的治理作用。社會組織可以積極參加個人信息保護的司法工作，例如擔任集體訴訟的起訴方，可以有效解決個人訴訟面臨的資源不足、搜證困難的問題。在個人信息保護影響評估中，社會組織也可以作為第三方的角色參與評估，對個人信息處理工作進行監(jiān)管。同時，部分社會組織擁有充足的專業(yè)人員和知識儲備，可以為行政部門的個人信息保護工作提供支持，尤其是在技術標準的制定中，社會組織可以充當智囊的角色。

五、結語

當前我國實施網(wǎng)絡空間安全戰(zhàn)略和數(shù)字中國建設規(guī)劃，在數(shù)字化轉型過程中，公民個人信息保護具有極其重要的意義。制度化可以建立起被普遍認可的固定模式，讓個人信息保護工作有章可循。因此要以健全的制度保護公民個人信息和數(shù)據(jù)，深入推進公共行政領域治理能力的現(xiàn)代化。

作者單位：南京大學政府管理學院