□文/張少峰

（安徽農(nóng)業(yè)大學(xué) 安徽·合肥）

［提要］ 隨著大數(shù)據(jù)時代的來臨，個人信息安全問題引起社會的熱議。為此，以現(xiàn)行法律規(guī)定為指引，提出建立健全個人信息保護(hù)法律、建立個人信息預(yù)警機(jī)制和建立嚴(yán)厲的追責(zé)機(jī)制等解決對策，為我國個人信息保護(hù)提供思路。

一、問題的引出

據(jù)新華網(wǎng)報道，2020 年2 月7 日，在新冠肺炎疫情期間，薛某某以填寫個人信息，預(yù)約領(lǐng)取口罩為名，非法獲取公民個人姓名、聯(lián)系方式、身份證號碼和家庭住址等個人信息，據(jù)警方查明，僅一天之內(nèi)就有多達(dá)4，700 名公民上當(dāng)受騙，這也成為了江蘇省首例利用疫情侵犯公民個人信息案，此案報道一出，引發(fā)了社會各界對疫情期間個人信息安全的擔(dān)憂。

2020 年2 月9 日，中共中央網(wǎng)絡(luò)和信息安全辦公室發(fā)布《關(guān)于做好個人信息保護(hù)利用大數(shù)據(jù)支撐聯(lián)防聯(lián)控工作的通知》，明確了疫情期間各相關(guān)主體對個人信息的收集保護(hù)工作，并從信息收集、收集原則、個人信息的使用、信息安全的保護(hù)、收集主體范圍以及法律責(zé)任等六個方面做出了簡短的規(guī)定。由此可見，我國相關(guān)部門也高度重視個人信息的保護(hù)，尤其是疫情這個特殊的背景下仍有不法分子借此“機(jī)會”，面對利益誘惑，甘愿冒著法律風(fēng)險隱隱欲動。學(xué)術(shù)界中，對個人信息權(quán)的保護(hù)理論向來是學(xué)者關(guān)注的焦點。在信息高速發(fā)展的時代，個人信息已經(jīng)成為企業(yè)在資本市場競爭的潛在要素，從實踐來看，對個人信息的控制與防護(hù)還存在著一定的距離。個人無法按照自己的意志控制數(shù)據(jù)信息的產(chǎn)生、存儲、轉(zhuǎn)移和利用。因此，有必要對個人信息保護(hù)制定相關(guān)的規(guī)范機(jī)制。

二、個人信息的權(quán)利屬性

隨著信息化時代的發(fā)展，越來越多新型化的信息開始出現(xiàn)，個人信息的內(nèi)涵和外延呈現(xiàn)擴(kuò)張的趨勢。

（一）個人信息的人身權(quán)屬性。個人信息的概念或者法律屬性會相應(yīng)地有所不同，個人信息保護(hù)傳統(tǒng)的基礎(chǔ)理論也會有所撼動。明確個人信息的法律屬性是解決侵犯個人信息問題的首要任務(wù)，只有先準(zhǔn)確定位個人信息屬于何種法律屬性，才能制定對應(yīng)的保護(hù)措施。學(xué)術(shù)界對此一直存在爭議，王利明認(rèn)為個人信息與隱私權(quán)在權(quán)利內(nèi)容、權(quán)利邊界等方面存在一定交叉；張里安將個人信息視為獨立的人格權(quán)；也有學(xué)者主張隱私說，該學(xué)說借鑒了美國、日本國家的個人信息權(quán)的規(guī)定，認(rèn)為個人信息權(quán)存在于隱私權(quán)中；還有一些學(xué)者認(rèn)為個人信息權(quán)是潛在的肖像權(quán)。德國立法者基于《歐洲人權(quán)公約》將個人信息權(quán)歸屬于一般人格權(quán)，主要表現(xiàn)為信息自決權(quán)；美國將個人信息權(quán)納入到其發(fā)達(dá)的隱私權(quán)范疇，認(rèn)為個人信息權(quán)是個人自由的延伸；而我國《憲法》第三十八、三十九、四十條規(guī)定了公民的人格尊嚴(yán)權(quán)、住宅權(quán)以及通信自由和通信秘密權(quán)，這三個權(quán)利規(guī)定在公民的基本權(quán)利一章，一般被認(rèn)為是我國個人信息權(quán)的憲法保護(hù)基礎(chǔ)。

（二）個人信息的財產(chǎn)權(quán)屬性。隨著網(wǎng)絡(luò)的廣泛普及，收集、使用、出售個人信息也成為一種新興的行業(yè)，個人信息也呈現(xiàn)出商品化的趨勢，因此其屬性也不只是傳統(tǒng)的精神價值，還包含了財產(chǎn)價值，有學(xué)者將個人信息權(quán)定性為財產(chǎn)化的人格權(quán)，也有學(xué)者將其定性為人格化的財產(chǎn)權(quán)，無論怎樣定性，其都無可非議的認(rèn)可了個人信息的財產(chǎn)權(quán)屬性。個人信息權(quán)的財產(chǎn)屬性主要體現(xiàn)以下四個方面：第一，個人信息具有商品化的使用價值和價值，這種使用價值是間接體現(xiàn)出來的，通過大數(shù)據(jù)的分析、加工、處理、共享轉(zhuǎn)化而來的經(jīng)濟(jì)價值；第二，個人信息具有稀缺性，單獨的個人信息不具稀缺性，而是以龐大容量的個人信息庫的處理的稀缺性，在信息爆炸的時代掌握個人信息控制權(quán)對市場需求具有重要影響；第三，個人信息的形態(tài)主要是無體物，是一種無形的財產(chǎn)，具有價值利益；第四，個人信息具有可控性、專屬性、支配性，能夠在市場買賣。通過上述分析，個人信息符合民法上一般財產(chǎn)權(quán)的特征，具有財產(chǎn)權(quán)的屬性。

三、個人信息保護(hù)存在的具體問題

由于個人信息保護(hù)法尚未出臺，個人信息保護(hù)只能依據(jù)零散的有關(guān)個人信息保護(hù)的部門法的規(guī)定，存在的現(xiàn)實問題也越來越突出，主要是個人信息收集不規(guī)范、用戶個人信息保護(hù)意識薄弱以及侵害個人信息救濟(jì)存在難題。

（一）個人信息收集不規(guī)范。個人信息收集不規(guī)范是大數(shù)據(jù)時代下的個人信息保護(hù)突出的問題。常見的問題主要有以下幾個方面：首先，強(qiáng)制索取用戶個人信息。收集個人信息未經(jīng)用戶同意，強(qiáng)制讀取用戶的通訊錄、個人照片以及視頻等較為私密信息，收集個人瀏覽記錄，給用戶畫像，向其精準(zhǔn)推薦廣告，以達(dá)到營銷的目的。其次，收集信息的內(nèi)容不合理是收集不規(guī)范的一個重要表現(xiàn)。一些信息收集者存在過度收集與自身業(yè)務(wù)無關(guān)的用戶信息，例如求職招聘的平臺要求獲取個人的行蹤信息、新聞資訊平臺要求獲取用戶的身份證號碼、婚戀相親平臺要求獲取個人銀行卡信息等，遠(yuǎn)遠(yuǎn)超出了個人業(yè)務(wù)所需，難免不讓人懷疑其中的用途。最后，存在不同意收集就不許使用的“霸王條款”。一些用戶為了方便被迫同意其獲取個人信息，這本身就不是出于用戶內(nèi)心的真實意愿。

（二）用戶個人信息保護(hù)意識薄弱。百度CEO 李彥宏曾表示：“中國用戶很多時候愿意用隱私來換取便捷的服務(wù)?！笨梢?，公民對自我個人信息保護(hù)的意識并不夠。信息收集者通過一些“小恩小惠”就毫不費力地騙取用戶的個人信息。個人信息作為無形的財產(chǎn)，一般情況下，公民對此相關(guān)的知識了解不夠，個人信息收集的主體魚龍混雜，真假難辨，往往容易受到不法分子的哄騙，由于前期未做好相關(guān)防護(hù)，只有在出現(xiàn)損害結(jié)果時，才引起本人的注意，比如前文所述，薛某某發(fā)布填寫個人信息就可以領(lǐng)取口罩的詐騙信息，引起公眾的恐慌。

（三）侵害個人信息救濟(jì)存在難題。個人信息的防護(hù)常常處于被動狀態(tài)，本人將個人信息無償給予信息收集者，個人是否需要考慮信息收集者的保密力度？一旦個人信息脫離本人，就增加了不確定性的因素，其保護(hù)方式也由主動保護(hù)轉(zhuǎn)向被動保護(hù)，從個人支配轉(zhuǎn)向私人共享。在大數(shù)據(jù)時代下，面對利益的誘惑，即使個人信息完全掌握在本人自己的手中，也難以防止不被泄露的風(fēng)險，因此在大數(shù)據(jù)時代的信息收集者大量收集、使用、儲存的個人信息，其防護(hù)不被泄露難免讓人產(chǎn)生不安。信息收集者的保護(hù)不利導(dǎo)致個人信息泄露，公民是否具有尋求救濟(jì)的權(quán)利？救濟(jì)方式有哪些？侵犯個人信息權(quán)的賠償方式有哪些？我國的個人信息權(quán)的屬性目前尚未明確，個人信息的救濟(jì)方式法律規(guī)定也相對寬泛，個人信息泄露責(zé)任的承擔(dān)也成為了目前的難題之一。

四、多管齊下，多維度遏制侵犯個人信息安全的行為

個人信息權(quán)屬于公民的私人權(quán)利，收集個人信息應(yīng)嚴(yán)格遵循合理、必要、正當(dāng)原則，選擇效益最高，損害最小的行為方式，既能起到服務(wù)用戶的積極作用，也不會損害個人利益，最終達(dá)到收益大于成本的效果。

（一）建立健全個人信息保護(hù)法律。隨著大數(shù)據(jù)和云計算的發(fā)展，個人信息權(quán)保護(hù)越發(fā)凸顯重要，其訴求也更加強(qiáng)烈，應(yīng)當(dāng)加快個人信息安全保護(hù)的立法，以此銜接《民法典》《網(wǎng)絡(luò)安全法》等相關(guān)法律的不足，盡快將個人信息管理納入法治的軌道。

1、規(guī)范收集內(nèi)容。采集個人信息應(yīng)遵循最小化原則。對個人信息進(jìn)行層級劃分，以個人身份和隱私信息為劃分標(biāo)準(zhǔn)，構(gòu)建一般個人信息和特別個人信息尤為重要，將個人信息分為一般個人信息和特別個人信息，一般個人信息僅限為個人的基本信息，而特殊個人信息為能夠識別個人身份，泄露將危害個人人身和財產(chǎn)安全的信息。對于特殊個人信息必須明示提醒用戶，用戶“同意+授權(quán)”的方式才能獲取。另外，收集個人信息不能超過業(yè)務(wù)范圍的需要。

2、規(guī)范收集目的。采集個人信息應(yīng)遵循目的準(zhǔn)則和比例原則。收集個人信息只能為了服務(wù)用戶的需要，不能為個人私利，個人將個人信息提供給有關(guān)機(jī)構(gòu)并不代表給其放棄對個人信息的獨占權(quán)，有關(guān)機(jī)構(gòu)獲取的僅僅是個人信息的數(shù)據(jù)使用、處理，其權(quán)利本身還屬于本人，所以個人信息如何使用、怎樣使用、能否二次分享以及披露公開個人信息都應(yīng)當(dāng)?shù)玫奖救送?，保障本人的知情?quán)。《民法典》第一千零三十五條明確規(guī)定了收集和使用個人信息最小化原則，同時又規(guī)定了用戶同意原則。《網(wǎng)絡(luò)安全法》第四十一條也明確規(guī)定收集者要保障被收集者的知情權(quán)。上述規(guī)定，為我們保護(hù)個人信息的方向做出了指引。

3、保障個人信息權(quán)：刪除權(quán)、自決權(quán)、更正權(quán)。采集個人信息應(yīng)遵循權(quán)利保障原則。前文已經(jīng)論述個人信息權(quán)屬于權(quán)利人本人，不屬于信息收集者，因此個人信息權(quán)的分化要素也必須得到保障，個人信息的刪除權(quán)是指在大數(shù)據(jù)時代公民個人有刪除登記的個人信息的權(quán)利，從而減少個人信息在疫情結(jié)束后的泄露風(fēng)險；自決權(quán)是指個人對個人信息的絕對支配權(quán)，控制個人信息的主體，將個人信息做任何處理都要經(jīng)過個人的許可；更正權(quán)，又叫修改權(quán)，顧名思義，就是指保障個人有修正或補充已收集到的本人信息的權(quán)利。有必要將個人信息泄露責(zé)任分擔(dān)到數(shù)據(jù)使用者，通過對控制者、處理者的懲罰來實現(xiàn)個人信息安全。

（二）建立個人信息預(yù)警機(jī)制

1、對個人信息加密保護(hù)。信息收集者必須設(shè)計合理的預(yù)警機(jī)制，對個人信息安全事件做出合理的應(yīng)急預(yù)案，做到事前防范，避免個人信息泄露的危險。有關(guān)機(jī)構(gòu)一旦收取個人信息，就產(chǎn)生了保護(hù)收集的個人信息不被泄露的法律責(zé)任，個人信息經(jīng)過收集、利用過程，接下來是對個人信息存儲過程，根據(jù)媒體報道，個人信息泄露原因，一方面是信息收集者對個人信息儲存的過程中失控；另一方面是本人自我信息保護(hù)意識不足，對于后面的行為有待公民自我學(xué)習(xí)以及社會教育，前述行為是疫情期間個人信息泄露的最主要的原因。個人信息的加密保護(hù)系統(tǒng)就運營而生，對疫情下收集的個人信息經(jīng)過脫敏技術(shù)的處理，修筑高墻，分類處理，做到事前防范，事后預(yù)警，更好地保護(hù)個人信息安全，維護(hù)社會和公民個人利益。

2、提高用戶個人信息保護(hù)意識。首先，加強(qiáng)公民的網(wǎng)絡(luò)安全教育，利用網(wǎng)絡(luò)安全日，普及網(wǎng)絡(luò)安全知識，提升公民的個人信息保護(hù)技能；其次，利用社交媒體大力宣傳個人信息保護(hù)教育，利用大量的侵犯公民的個人信息案例進(jìn)行警示教育，讓公民知道泄露個人信息的后果的嚴(yán)重性；再次，各級政府網(wǎng)絡(luò)信息安全監(jiān)管部門要切實承擔(dān)起責(zé)任，制定細(xì)化的、可操作性的個人信息安全保護(hù)措施，把提高用戶個人信息保護(hù)意識納入年度工作的考核內(nèi)容，引起自身的高度重視；最后，相關(guān)技術(shù)人員開發(fā)軟件要具備較高的職業(yè)道德，充分尊重用戶的個人信息權(quán)。

（三）建立嚴(yán)厲的追責(zé)機(jī)制

1、我國目前法律規(guī)定的侵犯個人信息法律救濟(jì)體系。民法保護(hù)上，我國《民法典》第一百一十一條和第一千一百九十四條規(guī)定了侵害個人信息權(quán)利法律責(zé)任；行政法保護(hù)上，《網(wǎng)絡(luò)安全法》第44、45 條，規(guī)定了網(wǎng)絡(luò)侵犯個人信息的法律責(zé)任，《治安管理處罰法》第42 條規(guī)定侵犯個人隱私情節(jié)嚴(yán)重可處五日以上十日以下拘留，《傳染病防治法》第58 條規(guī)定了衛(wèi)生行政部門履責(zé)不力的追究法律責(zé)任；刑法保護(hù)上，我國《刑法》第253 條規(guī)定了侵犯公民個人信息罪，后又在《刑法》修正案九中加入單位和主管人員的法律責(zé)任。相關(guān)部門要嚴(yán)格執(zhí)法，對于侵犯個人信息的行為嚴(yán)厲懲處。

2、事后追責(zé)制度的構(gòu)建。個人信息安全的保護(hù)最重要的是建立公開透明的事后追責(zé)機(jī)制，并嚴(yán)格按照這個機(jī)制實施，切斷違法的意圖，沒有這個作為前提，所有的措施都將成為空架。第一，建立事后追責(zé)的首要任務(wù)，就是保障群眾的監(jiān)督權(quán)，暢通舉報渠道，讓全民共同參與進(jìn)來，做到及早發(fā)現(xiàn)，迅速防治；第二，建立終身追責(zé)機(jī)制，收集個人信息的主體承擔(dān)個人信息的保護(hù)，其用途必須合乎規(guī)范，若是信息收集者保護(hù)不利，將承擔(dān)終身法律責(zé)任。

五、結(jié)語

過度的收集個人信息，可能對個人信息安全產(chǎn)生危害，而過度的強(qiáng)調(diào)保護(hù)個人信息，將對用戶服務(wù)產(chǎn)生不利的影響，因此合理平衡二者之間關(guān)系尤為重要。充分發(fā)揮民法、行政法、刑法多元保護(hù)的基礎(chǔ)上，規(guī)范保護(hù)個人信息的措施，從收集、儲存、保管、利用環(huán)節(jié)入手，做到事前預(yù)防，事中控制，事后追責(zé)，彌補個人信息法律的缺失，為個人信息保護(hù)提供保障。