從寶輝

2017年3月15日十二屆全國人大五次會議表決通過《民法總則（草案）》并于2017年10月1日正式實施?！睹穹倓t》首次規(guī)定，自然人的個人信息受法律保護。任何組織和個人應當確保依法取得的個人信息安全，不得非法收集、使用、加工、傳輸個人信息，不得非法買賣、提供或者公開個人信息。將個人信息保護寫入民法總則草案，為未來制定單行法或通過其他方式進一步細化保護措施提供了依據(jù)，標志我國個人信息保護立法工作步入了快車道。巧合的是，2018年歐盟將正式實施《一般數(shù)據(jù)保護條例》，《條例》對新形勢下個人信息保護作出了嚴格規(guī)定，成為個人信息保護里程碑式法律，重塑了個人信息保護領(lǐng)域新秩序，也為域外國家實施個人信息保護樹立了一個高標準的法律模板。在個人數(shù)據(jù)保護方面，美國堅持靈活策略，以企業(yè)自律機制和政府執(zhí)法保護隱私權(quán)，歐盟則通過嚴厲立法，從制度上保護個人信息。隨著全球范圍內(nèi)大數(shù)據(jù)產(chǎn)業(yè)的全面推進和信息處理、存儲技術(shù)的快速發(fā)展，海量數(shù)據(jù)給信息所有者帶來巨大隱性財產(chǎn)的正外部性逐步顯現(xiàn)，同時也帶來了互聯(lián)網(wǎng)個人信息濫用問題日趨嚴重，公民隱私和人信息保護問題日益凸顯，傳統(tǒng)個人信息保護框架遭遇嚴峻沖擊，社會對互聯(lián)網(wǎng)領(lǐng)域個人信息保護的需求愈發(fā)迫切。

我國個人信息保護的突出問題

很長一段時間以來，我國沒有認識到個人信息保護的重要性，直到目前為止，我國還沒有制定專門的個人信息保護方面的法律。特別是互聯(lián)技術(shù)飛速發(fā)展和廣泛應用的今天，個人信息保護程度遠未達到歐盟“充分性保護”標準。近年來，我國也在多項法律法規(guī)中關(guān)注和強化了對個人信息的保護，對個人信息的保護主要體現(xiàn)在與個人信息保護有關(guān)的法律法規(guī)中設置個人信息保護條款和通過信息控制人的單方承諾或特定行業(yè)的自律規(guī)范的承諾對個人信息加以自律性質(zhì)的保護。由于尚未形成完整的個人信息保護的法律體系，對個人信息保護散見于各個部門法中，難以形成有力的保護，缺乏具體、可操作性的規(guī)定。

隨著移動互聯(lián)網(wǎng)的普及和智能穿戴等物聯(lián)網(wǎng)設備的應用，多重來源的個人信息進行比對累積，能夠形成完整的個人畫像并實現(xiàn)實時追蹤，增加了敏感信息暴露的風險。在數(shù)據(jù)開發(fā)價值的驅(qū)使下，個人信息的收集日益密集和隱蔽，個人信息的流轉(zhuǎn)、交易形成鏈條，信息處理主體多元化、信息傳播方式層層嵌套，個人信息保護問題也日益凸顯。

一是個人信息收集不合規(guī)。以某知名互聯(lián)網(wǎng)小額貸款公司為例，在其產(chǎn)品《用戶服務合同》中“您同意并授權(quán)服務商收集您的信息包括但不限于”一項里，明確要求客戶授權(quán)收集用戶除傳統(tǒng)相關(guān)信用記錄以外的包括生物特征、財稅信息、房產(chǎn)信息、車輛信息、基金、保險、股票、信托、債券等信息，并在“信息分享”一欄中要求客戶同意并授權(quán)服務商向某信用管理有限公司等征信機構(gòu)發(fā)送信息?！墩餍艠I(yè)管理條例》第十四條明確規(guī)定“禁止征信機構(gòu)采集個人的宗教信仰、基因、指紋、血型、疾病和病史信息以及法律、行政法規(guī)規(guī)定禁止采集的其他個人信息”。“征信機構(gòu)不得采集個人的收入、存款、有價證券、商業(yè)保險、不動產(chǎn)的信息和納稅數(shù)額信息”。《中國人民銀行金融消費者權(quán)益保護實施辦法》第二十八條規(guī)定“收集個人金融信息時，應當遵循合法、合理、必要原則，按照法律法規(guī)要求和業(yè)務需要收集個人金融信息，不得收集與業(yè)務無關(guān)的信息或者采取不正當方式收集信息”?？梢?，該互聯(lián)網(wǎng)小額貸款產(chǎn)品涉及征信業(yè)務的部分條款明顯違背了《征信業(yè)管理條例》《中國人民銀行金融消費者權(quán)益保護實施辦法》的相關(guān)規(guī)定。

二是目的限定原則被不斷突破。個人信息比對及二次利用是大數(shù)據(jù)價值開發(fā)的核心，個人信息超出原初目的的利用在大數(shù)據(jù)環(huán)境下已經(jīng)成為常態(tài)，傳統(tǒng)目的限定原則被不斷突破。此外，以互聯(lián)網(wǎng)小額信貸產(chǎn)品為例，互聯(lián)網(wǎng)小額貸款公司扮演的角色更多是中介機構(gòu)，資金來源則是走銀行通道。目前多數(shù)使用互聯(lián)網(wǎng)小額貸款產(chǎn)品的個人未意識到自己正在與小額貸款公司發(fā)生業(yè)務關(guān)系。互聯(lián)網(wǎng)小貸產(chǎn)品未通過足以引起金融消費者注意的文字、符號、字體等特別標識說明用戶是在向小額貸款公司借款。

三是個人對信息的控制權(quán)被架空。實際操作中，個人信息收集的隱蔽性、傳播的復雜性遠遠超出了預先告知和用戶的理解能力，個人用戶除了點擊同意外，別無其他選擇，用戶對個人信息的控制權(quán)利實質(zhì)上被架空。此外，在多方主體責任認定方面，多元主體尤其是第三方信息中介的迅速發(fā)展，傳統(tǒng)架構(gòu)中難以尋求有效的適用規(guī)定，造成責任界定不清與監(jiān)管空白。

四是金額展示規(guī)則不合理。近期某地發(fā)生一起涉及互聯(lián)網(wǎng)小額貸款產(chǎn)品的相關(guān)案例，經(jīng)調(diào)查，目前凡是通過該互聯(lián)網(wǎng)小貸產(chǎn)品取得個人消費貸款的用戶，其相關(guān)借貸記錄都會報送至個人金融信用信息基礎數(shù)據(jù)庫，也即顯示在個人信用報告中。某知名互聯(lián)網(wǎng)小額貸款有限公司表示，目前該公司采取客戶歷史當月累計最大借款額報送至個人金融信用信息基礎數(shù)據(jù)庫。比如，客戶程某2016年9月在平臺累計借款19筆，金額總計165100元，且該月為程某歷史當月累計最大借款額，盡管客戶后期按期歸還，且借款金額逐月減少，但程某信用報告中始終展示9月份向其發(fā)放的165100元個人消費貸款。此外，程某本月應還款和本月實還款分別為171264元和74389元，展示金額與實際業(yè)務明顯不符。如繼續(xù)采取客戶歷史當月累計最大借款額展示在用戶人信用報告中，不僅不合理，更重要的是對客戶在銀行業(yè)金融機構(gòu)辦理相關(guān)業(yè)務將會產(chǎn)生嚴重不良影響。該公司客服表示，公司已經(jīng)意識到展示規(guī)則存在的問題，正在商議規(guī)則改動事宜。

五是個人信息保護流于形式。當前形勢下，信息收集者注重信息背后隱藏的巨大財富，而疏于個人信息保護絕非個例。在某互聯(lián)網(wǎng)小額貸款產(chǎn)品服務協(xié)議中規(guī)定“鑒于技術(shù)限制，不能確保用戶的全部私人通訊及其他個人信息、資料通過本隱私規(guī)則中未列明的途徑泄露出去”。中國人民銀行金融消費者權(quán)益保護實施辦法第二十二條明確規(guī)定“金融機構(gòu)的格式合同條款及服務協(xié)議文本……不得含有減輕、免除己方責任……”的情形。互聯(lián)網(wǎng)小額貸款產(chǎn)品公司保護在業(yè)務過程中產(chǎn)生的客戶隱私信息可以說責無旁貸，而免除由于未知因素導致的客戶信息泄露責任易引發(fā)道德風險，最終導致客戶信息大規(guī)模泄露。

歐盟個人信息保護的改革經(jīng)驗

歐盟一貫倡導立法保護個人信息數(shù)據(jù)

目前，歐盟對互聯(lián)網(wǎng)環(huán)境下個人信息的隱私權(quán)保護是世界上最為全面和嚴格的。歐盟有關(guān)個人數(shù)據(jù)保護歷史可以追溯到20世紀90年代。1995年，歐盟通過了《數(shù)據(jù)保護指令》，為歐盟成員國立法保護個人數(shù)據(jù)設立了最低標準。2002年7月歐盟發(fā)布《隱私與電子通訊指令》，確定了未來互聯(lián)網(wǎng)個人數(shù)據(jù)保護的基本原則，如通信和互聯(lián)網(wǎng)服務商需要采取適當措施保證通信和互聯(lián)網(wǎng)服務的安全性，在未征得用戶同意的情況下禁止存儲和使用用戶數(shù)據(jù)，告知用戶數(shù)據(jù)進一步處理意圖和用戶有權(quán)不同意以保障用戶的知情權(quán)等。

2009年11月，歐盟通過了《歐洲Cookie指令》，其核心內(nèi)容是對電子商務中Cookie的使用加以規(guī)范和必要的信息披露管理。Cookie是互聯(lián)網(wǎng)常用的用戶跟蹤和識別技術(shù)。2002年的《隱私與電子通訊指令》要求網(wǎng)站告知用戶啟用cookie及如何刪除或作廢Cookie，但絕大多數(shù)網(wǎng)站都會把這部分內(nèi)容放置在用戶注冊時必須“同意”的用戶協(xié)議中?！稓W洲Cookie指令》則要求網(wǎng)站在用戶初始使用時網(wǎng)站必須關(guān)閉Cookie的使用，直到用戶明確同意啟用Cookie時才能開啟此功能。《歐洲Cookie指令》是《隱私與電子通訊指令》的重要補充，其強化了用戶的知情權(quán)，對互聯(lián)網(wǎng)企業(yè)生成、使用和管理以Cookie為核心的用戶個人數(shù)據(jù)提出了完整規(guī)范的管控要求，以避免數(shù)據(jù)濫用或以不夠安全的方式操作與存儲用戶個人數(shù)據(jù)。

可見，針對時代的需要和技術(shù)的發(fā)展，歐盟在不同階段通過了不同的數(shù)據(jù)保護修正指令。但是這些修正內(nèi)容還是架構(gòu)在1995年頒布的《數(shù)據(jù)保護指令》基本框架之上，而“95指令”已經(jīng)不能適應互聯(lián)網(wǎng)時代需求的陳舊框架。在這種形勢下，致力于重新數(shù)據(jù)保護新秩序的《一般數(shù)據(jù)保護條例》應運而生。

歐盟數(shù)據(jù)保護的核心框架：《一般數(shù)據(jù)保護條例》2012年1月25日，歐洲議會公布了《一般數(shù)據(jù)保護條例》草案，條例共11章99條。2015年12月15日，歐盟執(zhí)委會通過了《一般數(shù)據(jù)保護條例》，2016年4月14日，歐洲議會投票通過了《一般數(shù)據(jù)保護條例》，在歐盟官方雜志公布正式文本的兩年后也即2018年正式生效，以歐盟法規(guī)的形式確定了對個人數(shù)據(jù)的保護原則和監(jiān)管方式?！稐l例》統(tǒng)一了此前歐盟內(nèi)零散的個人數(shù)據(jù)保護規(guī)則，以保護公民的基本權(quán)利為理念，增加的數(shù)據(jù)保護要求和實施的復雜性遠高于“95指令”，堪稱史上最嚴格數(shù)據(jù)保護條例。

一是法律效力明顯提升?！稐l例》將取代“95指令”并直接適用于歐盟各成員國?！稐l例》和“95指令”具有完全不同的法律效力。“指令”（Directive）需要各成員國據(jù)此在本國立法并加以執(zhí)行，“95指令”和后續(xù)的各個修正指令不能直接應用到各成員國。而“條例”（Regulation）正式實施之后立即在整個歐盟范圍內(nèi)生效，無需在各成員國內(nèi)立法確認，以統(tǒng)一的標準推進個人數(shù)據(jù)保護。

二是打破傳統(tǒng)立法管轄權(quán)。傳統(tǒng)的立法管轄權(quán)通常是按照國家（地域）劃分。在《條例》中，數(shù)據(jù)保護約束同樣適用于向歐盟居民提供產(chǎn)品或者服務，甚至只是收集或監(jiān)控數(shù)據(jù)的非歐盟企業(yè)和組織，而與這些企業(yè)和組織所在位置無關(guān)。即非歐盟的企業(yè)和組織向歐盟用戶提供服務，無論收費與否，要嚴格遵從歐盟數(shù)據(jù)保護條例的相關(guān)要求。由于互聯(lián)網(wǎng)上數(shù)據(jù)分布本身也是在動態(tài)變化的，這還意味著法律管轄范圍也有可能按照數(shù)據(jù)的遷移而不斷變化。所以，雖然是歐盟的數(shù)據(jù)保護條例，但卻有可能應用到全球任何企業(yè)身上。此舉開創(chuàng)了一個法律管轄范圍不是嚴格按照地域/國家劃分，而是按照數(shù)據(jù)的分布來認定的先例。

三是明確數(shù)據(jù)處理原則?！稐l例》規(guī)定數(shù)據(jù)處理應遵循合法、正當、透明；處理數(shù)據(jù)的目的有限；僅處理為達到目的的最少數(shù)據(jù)；確保數(shù)據(jù)準確、時新；儲存數(shù)據(jù)的期限不得長于為達到目的所需的時間和采取技術(shù)和管理措施以保護數(shù)據(jù)安全等原則。《條例》禁止收集處理反映個人種族或民族起源、政治觀點、宗教/哲學信仰、是否是工會組織成員的數(shù)據(jù)、個人基因識別數(shù)據(jù)、生物數(shù)據(jù)、或涉及健康、性生活或性取向的數(shù)據(jù)。《條例》還特別規(guī)范了兒童個人數(shù)據(jù)的處理，即處理16歲以下兒童的個人數(shù)據(jù)必須獲得該兒童父母或監(jiān)護人的同意或授權(quán)。

四是創(chuàng)新引入兩項重要權(quán)利。《條例》開創(chuàng)性地引入了被遺忘權(quán)和可攜帶權(quán)。被遺忘權(quán)是指當個人數(shù)據(jù)已和收集處理的目的無關(guān)、數(shù)據(jù)主體不希望其數(shù)據(jù)被處理或數(shù)據(jù)控制者已沒有正當理由保存該數(shù)據(jù)時，數(shù)據(jù)主體可隨時要求收集其數(shù)據(jù)的企業(yè)或個人刪除其個人數(shù)據(jù)。如果該數(shù)據(jù)被傳遞給了任何第三方，數(shù)據(jù)控制者應通知該第三方刪除該數(shù)據(jù)?？蓴y帶權(quán)是指數(shù)據(jù)主體可向數(shù)據(jù)控制者索要其數(shù)據(jù)，也可將其個人數(shù)據(jù)轉(zhuǎn)移至另一個數(shù)據(jù)控制者。此外，如果數(shù)據(jù)信息發(fā)生泄漏，數(shù)據(jù)控制者應在72小時內(nèi)向監(jiān)管機構(gòu)報告?zhèn)€人數(shù)據(jù)的泄露情況。當數(shù)據(jù)泄露可能會給數(shù)據(jù)主體的權(quán)利或自由帶來巨大風險時，數(shù)據(jù)控制者必須毫不延誤地通知數(shù)據(jù)主體，以便數(shù)據(jù)主體及時采取措施。

五是大幅提升違規(guī)成本。《條例》規(guī)定違法的懲罰金額由成員國自行確定，懲罰上限處于歐盟立法中較高標準。對于一般性違法行為，罰款上限是一千萬歐元或前一年全球營業(yè)收入的2%（兩值中取大者）；對于嚴重違法行為或造成嚴重后果，罰款上限是兩千萬歐元或前一年全球營業(yè)收入的4%（兩值中取大者），全面提升了對個人數(shù)據(jù)的保護力度。

政策建議

加快制定《個人信息保護法》。積極探索制定符合時代特征的系統(tǒng)的個人信息保護法律，對個人信息類型、采集范圍與原則、存儲技術(shù)、運用與傳播、法律適用范圍等作出明確規(guī)定，特別是賦予個人撤銷授權(quán)的權(quán)利，增強個人對信息的控制權(quán)，構(gòu)建安全、信任的大數(shù)據(jù)產(chǎn)業(yè)法律環(huán)境。

構(gòu)建網(wǎng)絡個人信息保護標準化體系。當前互聯(lián)網(wǎng)環(huán)境下信息共享、存儲和管理的隱私信息規(guī)模急速增長，收集、利用個人信息的技術(shù)迅速發(fā)展，構(gòu)建網(wǎng)絡個人信息保護標準化體系有利于增強個人信息處理各環(huán)節(jié)的透明度，保證個人信息的加工和運用留有痕跡，始終處于可追蹤狀態(tài)。

建立個人信息保護協(xié)調(diào)機制。從近年來我國關(guān)于個人信息保護的立法內(nèi)容和集中領(lǐng)域不難看出，個人信息不當采集和以實施信息網(wǎng)絡詐騙這種跨行業(yè)運用成為危害公民合法權(quán)益的主要形式，因此有必要建立靈活彈性、應對迅速的個人信息保護協(xié)調(diào)機制。

重拳打擊侵害個人信息行為。督導有關(guān)行業(yè)按照最新法律法規(guī)對涉及個人信息的授權(quán)條款、格式文書等認真梳理、切實整改，規(guī)范機構(gòu)經(jīng)營行為，堅決制止侵害信息主體合法權(quán)益的行為，重拳打擊新領(lǐng)域內(nèi)征信違規(guī)情況，形成示范效應，做到在規(guī)范中創(chuàng)新，在創(chuàng)新中發(fā)展。

積極參與國際執(zhí)法協(xié)作。技術(shù)的快速發(fā)展和深層次運用決定了信息跨境流通更加便捷和具有隱蔽性，圍堵信息跨境流通、企圖將信息數(shù)據(jù)僅在一國區(qū)域內(nèi)幾無可能。未來，建議運用場景理念推動國際通用框架的構(gòu)建，尊重國際共通因素，調(diào)節(jié)地區(qū)差異因素，積極參與國際執(zhí)法協(xié)作和框架協(xié)議規(guī)范跨境流通。

《一般數(shù)據(jù)保護條例》的出臺震動了向個人提供互聯(lián)網(wǎng)服務，并長期大量收集用戶個人數(shù)據(jù)的互聯(lián)網(wǎng)服務商?！稐l例》中嚴格的數(shù)據(jù)保護勢必阻礙數(shù)據(jù)的商業(yè)價值挖掘，并將給企業(yè)帶來巨大額外成本。筆者認為，幾乎任何行業(yè)都處于創(chuàng)新和監(jiān)管的動態(tài)博弈之中，過度創(chuàng)新和過度監(jiān)管都會帶來負外部性。在《一般數(shù)據(jù)保護條例》的約束與引導下，歐洲的未來大數(shù)據(jù)時代將走上一條獨特道路。互聯(lián)網(wǎng)組織自由收集、分析和管理用戶信息的權(quán)限會被嚴格限定和監(jiān)管，互聯(lián)網(wǎng)個人信息保護力度達到了前所未有的高度。反過來，嚴格的個人數(shù)據(jù)保護所帶來的額外成本、復雜的數(shù)據(jù)使用授權(quán)和政府過度監(jiān)管也極大約束了大數(shù)據(jù)所帶來的創(chuàng)新空間。如何處理好創(chuàng)新與監(jiān)管的動態(tài)博弈關(guān)系是一門需要深入研究的操作藝術(shù)。

（作者單位：中國人民銀行安慶市中心支行）