《个人信息保护法》 - 深度分析我国个人信息保护之现状

第一篇：《个人信息保护法》 - 深度分析我国个人信息保护之现状

《个人信息保护法》-深度分析我国个人信息保护之现状

作者： 单飞

个人信息的法律保护问题是近半个世纪以来随着信息社会的发展而日益凸显的问题。由于社会观念、信息产业、科学技术以及立法规划等方面的原因，我国很长一段时间以来没有认识到保护个人信息的重要性，因此直到目前为止，我国还没有制定专门的个人信息保护方面的法律。当然，这并不意味着我国目前对个人信息不进行保护。现阶段，我国对个人信息的保护，主要体现在两大方面：一是在与个人信息保护有关的法律法规中设置个人信息保护条款对个人信息加以法律保护。个人信息的法律保护又可以表现为法律的直接保护和间接保护，所谓法律的直接保护即法律法规明确提出对“个人信息”进行保护；间接保护即法律法规通过提出对“人格尊严”、“个人隐私”、“个人秘密”等与个人信息相关的范畴进行保护进而引申出对个人信息的保护。二是通过信息控制人的单方承诺或特定行业的自律规范的承诺对个人信息加以自律性质的保护。个人信息在自律保护也表现为两方面，即企业通过单方承诺这种市场运作方式对个人信息加以保护，以及特定行业组织通过行业自律规范对个人信息确立行业保护标准进而进行保护。

一、我国法律对个人信息的直接保护

通过全国人大网站中全国法律法规数据库搜索引擎的搜索，我们发现，目前我国直接对“个人信息”加以保护的法律、法规、规章及司法解释的数量相当有限，其中全国性的法律中仅有《中华人民共和国护照法》、《中华人民共和国身份证法》直接规定了“个人信息”的保护问题。《中华人民共和国护照法》（2006年4月29日通过，2007年1月1日实施）第十二条第三款规定：“护照签发机关及其工作人员对因制作、签发护照而知悉的公民个人信息，应当予以保密。”第二十条规定：“护照签发机关工作人员在办理护照过程中有下列行为之一的，依法给予行政处分；构成犯罪的，依法追究刑事责任：„„

（五）泄露因制作、签发护照而知悉的公民个人信息，侵害公民合法权益的„„”《中华人民共和国身份证法》（2003年6月28日通过，2004年1月1日实施）第六条第三款规定：“公安机关及其人民警察对因制作、发放、查验、扣押居民身份证而知悉的公民的个人信息，应当予以保密。”第十九条规定：“人民警察有下列行为之一的，根据情节轻重，依法给予行政处分；构成犯罪的，依法追究刑事责任：„„

（五）泄露因制作、发放、查验、扣押居民身份证而知悉的公民个人信息，侵害公民合法权益的。”

在全国范围内具有规范效力的行政法规、部门规章和司法解释直接提及“个人信息”保护问题的主要也仅有如下几项：（1）《2006---2020年国家信息化发展战略》。该《发展战略》第六条第五项提出了“推进信息化法制建设”的要求，并提出：“加快推进信息化法制建设，妥善处理相关法律法规制定、修改、废止之间的关系，制定和完善信息基础设施、电子商务、电子政务、信息安全、政府信息公开、个人信息保护等方面的法律法规，创造信息化发展的良好法制环境。根据信息技术应用的需要，适时修订和完善知识产权、未成年人保护、电子证据等方面的法律法规。加强信息化法制建设中的国际交流与合作，积极参与相关国际规则的研究和制定。；（2）《互联网电子公告服务管理规定》（2000年10月8日通过，同日起施行）。该《管理规定》第十二条规定：“电子公告服务提供者应当对上网用户的个人信息保密，未经上网用户同意不得向他人泄露，但法律另有规定的除外。"（3）《最高人民法院、最高人民检察院关于切实保障司法人员依法履行职务的紧急通知》（法 173号）（2005年8月25日颁布，同日起施行）。该《通知》第六条“加强司法警察队伍建设和保密工作，做好宣传教育工作”指出：“„„强化案件保密工作，严禁违反规定泄露案情以及办案人员的通讯方式、住址等个人信息，对于泄密行为，应当依照《人民法院审判纪律处分办法》、《检察人员纪律处分条例》的有关规定严肃惩处„„”另外，少数地方性法规中，也偶有涉及个人信息保护的直接规定，例如：2003年修正的《北京市未成年人保护条例》第四十九条规定：“„„任何组织和个人未经未成年人的监护人同意，不得在互联网上收集、使用、公布未成年人的个人信息。”2003年12月23日上海市通过了个人信用信息方面的地方性法规—《上海市个人信用征信管理试行办法》，对个人信用信息的采集、处理、提供等作了较为详细的规定。

需要特别指出的是，中国人民银行2005年通过了有关个人信用信息管理及保护的专门性部门规章—《个人信用信息基础数据库管理暂行办法》（2005年6月16日通过，2005年10月1日起实施）。该办法包括总则、报送和整理、查询、异议处理、安全管理、罚则、附则七章，共45条，对个人信用信息的收集、处理、利用、流通等作了较为详细的规定。从内容方面观察，该办法在很大程度上遵循了个人信息保护月23日上海市通过了个人信用信息方面的地方性法规—《上海市个人信用征信管理试行办法》，对个人信用信息的采集、处理、提供等作了较为详细的规定。

需要特别指出的是，中国人民银行2005年通过了有关个人信用信息管理及保护的专门性部门规章—《个人信用信息基础数据库管理暂行办法》（2005年6月16日通过，2005年10月1日起实施）。该办法包括总则、报送和整理、查询、异议处理、安全管理、罚则、附则七章，共45条，对个人信用信息的收集、处理、利用、流通等作了较为详细的规定。从内容方面观察，该办法在很大程度上遵循了个人信息保护的收集限制原则、信息质量原则、目的特定原则、使用限制原则、安全保障原则、公开原则、个人参与原则及责任原则。虽然该办法在内容上还存在一些缺陷和漏洞，例如缺乏争议信息的封存制度、错误信息导致个人损害的民事赔偿制度等，但无论如何，我们可以将该办法视为我国个人信息保护立法史上的一座里程碑，它开创了我国特殊领域的个人信息保护立法。

二、我国法律对个人信息的间接保护

在我国，除了上述直接明确提出对个人信息加以保护的法律法规之外，还存在一些通过规定保护人格尊严、个人隐私、个人秘密等与个人信息相关的范畴进而保护个人信息的法律。在根本大法方面，我国《宪法》（1982年）的“公民的人格尊严不受侵犯”、“公民住宅不受侵犯’，、“公民享有通信自由和通信秘密的权利”、“国家尊重和保障人权”等相关条款均可解释为个人信息应当受到法律保护的宪法依据。在国家的基本部门法中，也或多或少、或明或暗地存在一些与个人信息保护有关的法律条款，例如：《民法通则》（1986年）关于人身权的相关规定中规定了“公民的人格尊严受法律保护”；《刑法》（1997年）在“侵犯公民人身权利、民主权利”的专章中，明确将“非法搜查他人身体、住宅，或者非法侵入他人住宅”、“侵犯公民通信自由”等行为列为犯罪行为；《民事诉讼法》（1991年）规定“对涉及个人隐私的案件应当不公开审理”；《刑事诉讼法》规定“涉及个人隐私的案件不公开审理”、“十四岁以上不满十六岁未成年人犯罪案件，一律不公开审理。十六岁以上不满十八岁未成年人犯罪的案件，一般也不公开审理”。

关于个人信息的间接保护，在渊源上除了上述国家根本大法和基本部门法之外，还有许多容易被忽视的部门法或行政法规、规章、司法解释等。在妇女儿童个人信息的特殊保护方面：《妇女权益保护法》（1992年）规定：“妇女的人格尊严受法律保护”；《未成年人保护法》（1991年）规定：“尊重未成年人的人格尊严”、“任何组织和个人不得披露未成年人的个人隐私”；《母婴保护法》（1994年）规定：“从事母婴保健工作的人员应当严格遵守职业道德，为当事人保守秘密”。在个人医疗信息方面：《执业医师法》（1999年）规定“医生不得披露治疗中获得的健康信息”；《医疗机构病历管理规定》（2002年）要求“除对患者实施医疗活动的医务人员及医疗服务质量监控人员外，其他任何机构和个人不得擅自查阅患者的病历”；《医疗事故处理条例》（2002年）进一步要求“医疗机构在复制或复印病历资料时应当有患者在场”；《传染病防治法》（2004年）禁止“故意泄露传染病病人、病原携带者、疑似传染病病人、密切接触者涉及个人隐私的有关信息、资料”；《关于对艾滋病病毒感染者和艾滋病病人的管理意见》（1995年）规定：“从事艾滋病病毒感染者和艾滋病病人诊断、治疗及管理工作的人员，不得向无关人员泄露有关信息。任何单位和个人不得将艾滋病病毒感染者和艾滋病病人的姓名、住址等个人情况公布或传播”。在个人通讯信息方面：《邮政法》（1986年）规定：“除法律另有规定外，邮政企业和邮政工作人员不得向任何组织或者个人提供用户使用邮政业务的情况”；《全国人民代表大会常务委员会关于维护互联网安全的决定》（2000年）禁止“非法截获、篡改、删除他人电子邮件或者其他数据资料”；《互联网安全保护技术措施规定》（2005年）规定：“互联网服务提供者、联网使用单位应当建立相应的管理制度。未经用户同意不得公开、泄露用户注册信息，但法律、法规另有规定的除外。”在个人金融信息方面：《商业银行法》规定：“商业银行应当遵循为存款人保密的原则”、“对个人储蓄存款，商业银行有权拒绝任何单位或者个人查询、冻结、扣划，但法律另有规定的除外”；《个人存款账户实名制规定》规定：“除法律法规另有规定以外，金融机构不得向任何单位或者个人提供有关个人存款账户的情况”。在律师执业方面：《律师法》（2001年）规定：“律师应当保守在职业活动中知悉的当事人的隐私”；《律师执业行为规范》（2004年）规定：“律师必须保守委托人的个人隐私”。在档案信息方面，《档案法》规定：“一切国家机关、武装力量、政党、社会团体、企业事业单位和公民都有保护档案的义务。”

三、个人信息保护的信息控制人自律机制

由于现阶段我国缺乏对个人信息保护的专门性、统一性的立法，一些信息控制人为了增强行为相对人的信心，进而促进相关行业通过收集、处理、利用、传递个人信息而获得更大的发展，单方面作出了保护个人信息的承诺或制定了保护个人信息的内部行为规范。这是信息控制人采取的一种典型的保护个人信息的自律措施。目前，我国采取此类自律措施保护个人信息的信息控制人主要集中在非公共部门，特别是一些大型的商业网站，当然也有其他行业如银行业的经营者。以下就列举几个典型的非公共部门信息控制人对个人信息保护采取的自律措施。

策比较典型地体现了当前网站经营者所采取的自律措施，因此本文对此作一简要介绍。在其隐私保护政策中，新浪网首先表明：“隐私权是您的重要权利。向我们提供您的个人信息是基于对我们的信任，相信我们会负责的态度对待您的个人信息。我们认为您提供的信息只能用于帮助我们为您提供更好的服务。因此，我们制定了新浪网上个人信息保密制度以保护您的个人信息。”新浪网有关个人信息保护的自律措施大致包括以下内容：第一，该网站所收集的个人信息的种类。“通常，您能在匿名的状态下访问我们的网站并获取信息。在我们请求您提供有关信息之前，我们会解释这些信息的用途。我们有些站点需要注册才能加入，在通常情况下，这类注册只要求您提供一个电子邮件地址和一些诸如您的工作，职务一类的基本信息。有时我们也会请您提供更多的信息。我们这样做是为了使我们更好的理解您的需求，以便向您提供有效的服务。我们站点收集的信息包括姓名，地址和电话号码。您有权随时决定不接受来自我们的任何资料。”第二，关于敏感个人信息保护及个人信息的使用。“我们将采取适当的步骤保护您的隐私。每当您提供给我们敏感信息时，我们将采取合理的步骤保护您的敏感信息，我们也将采取合理的安全手段保护已存储的个人信息。除非根据法律或政府的强制性规定，在未得到您的许可之前，我们不会把您的任何个人信息提供给无关的第三方（包括公司或个人）。但是，如果您要求我们提供特定客户支援服务或把一些物品送交给您，我们则需要把您的姓名和地址提供给第三者如运输公司。我们的网站将会提供第三者网站的链接。由于我们不能控制这些网站，所以我们建议您细阅这些第三者网站的个人信息保密制度。”第三，该网站隐私保护的原则。（1）每当新浪网需要识别您的身份或与您联络时，会明确的询问所需的资料，即个人资料。一般而言，当您在网站上注册，要求提供特别服务，或是如参加奖金竞赛，便会被询问到这项资料。可能的话，新浪网会利用一些方法，确认您的个人资料的正确性与时效性。（2）新浪网站及其必要的服务伙伴使用您的个人资料来运作网站和服务，并且会通知您各项新的功能与服务，以及新浪网和其附属公司的各类产品。新浪网也会谨慎地挑选来自其他公司的产品或服务资料传送给您，通常是有关于站点本身的服务，但这并非必要（仅是次要用途）。（3）如果新浪网想要将个人资料用在次要用途上，新浪会提供您如何拒绝这项服务的说明。您可以依照新浪网寄给您的资料或促销信件上的说明，终止这些信件的发送。（4）新浪网也许会因法律要求公开个人资料，或者因善意确信这样的作法对于下列各项有其必要性：符合法律公告或遵守适用于新浪站点的合法程序；保护新浪网的用户之权利或财产；在紧急的情况下，为了保护新浪及其用户之个人或公众安全。（5）任何时候如果您认为新浪没有遵守这些原则时，请利用电子邮件privacy@staff sina.com通知我们，我们会尽一切努力，请合理适当的范围内立即改善这个问题。”第四，Cookies的用途。“新浪网站有时会使用cookies以便我们知道哪些网站受欢迎，使您在访问我们的网站时得到更好的服务。cookies不会跟踪个人信息。当您注册我们的网站程式时，新浪亦会使用cookies。在这种情况下，会存储有用信息，使我们的网站在您再次访问我们的网站时可辨认您的身份。来自新浪网站的cookies只能被新浪网站读取。如果您的浏览器被设置为拒绝cookies您仍然能够访问我们的大多数网站。”第五，关于个人信息的更新及隐私保护政策的更新。“如果您的地址，职务（职称），电话或e-mail地址发生变化，您可以按新浪网站中公布的联系方式通知新浪，以帮助我们保持您的资料的准确性。你也可以通过登陆新浪网用户注册页面的更新会员资料栏的方式自行更新您的个人信息。新浪欢迎您对这项保密制度给予评论并提出质疑。我们将致力于保护您的个人信息，尽全力保证这些信息的安全。由于网上技术的发展突飞猛进，我们会随时更新我们的信息保密制度。” 在银行业方面，一些银行通过制定相关内部规定对客户个人信息进行保护。1999年，中国工商银行发布了《中国工商银行员工行为守则》，规定工商银行员工应当“严守客户秘密。对于客户提供的信息资料，员工有保密的义务，以维护客户的合法权益。除依法可以提供或客户同意提供的信息外，员工无权擅自披露客户信息。非工作需要，不得与同事随意谈论客户情况。以电话、电子手段交流或传递业务信息时，要注意保护客户信息安全。答复有关信用情况咨询，应对咨询者和咨询对象双方负责。提供对方的数据不得超出银行允许的范围。无关人员不能随意接触客户信息，更不得为个人目的利用客户信息。向公安局、检察院、法院等司法机关提供客户信息，须有公安、司法等部门出具的完备手续，并严格按规定程序进行。严禁向亲属、朋友透露或提供客户信息。”2002年，中国建设银行发布了《中国建设银行个人VIP客户服务管理办法（试行）》，该办法规定：“各级行必须为每个VIP客户建立档案，记录客户个人资料和服务信息，不得遗漏。”“各级行必须妥善保管客户档案资料，非依法律规定或客户允许，任何单位和个人不得对外公开或泄露客户的个人资产和账户交易等客户资料。”

四、个人信息保护的行业自律机制

在我国，作为信息产业重要组成部分的互联网行业对个人信息所遭受的日益严峻的威胁有较为密切的关注。我国目前对个人信息保护采取行业自律机制措施的行业也主要表现为互联网行业。中国互联网协会于2002年公布了《中国互联网行业自律公约》，倡议互联网全行业从业者加入本公约，并要求成员“自觉维护消费者的合法权益，保守用户信息秘密；不利用用户提供的信息从事任何与向用户作出的承诺无关的活动，不利用技术或其他优势侵犯消费者或用户的合法权益”。同时约定，由中国互联网协会负责组织实施该公约，负责向公约成员单位传递互联网行业管理的法律、政策及行业自律性信息，及时向政府主管部门反映成员单位的意愿和要求，维护成员单位的正当利益，组织实施互联网行业自律，并对成员单位遵守本公约的情况进行监督。

行业自律标识作为个人信息保护行业自律机制的重要实施手段，在我国也己出现。近年来，我国互联网行业的迅猛发展，但是，行业快速增长的背后也隐藏着一系列不和谐的音符，近年来，垃圾邮件泛滥、病毒、恶意软件滋生、网络语言暴力、网络色情等等现象让网民己经无法自由享受互联网生活，网民的基本权益受到严重的侵害。2006年11月1日，中国互联网协会、违法和不良信息举报中心、反垃圾邮件中心、晚报协会、奇虎公司共同正式宣布，首个互联网公益品牌“净蓝丝带”正式启动。净蓝丝带作为杜绝互联网恶意行为的一个标识，用于宣传“净化互联网空间人人有责，打击互联网犯罪人人出力”的信息，并呼吁“拯救网络弱势群体，杜绝网络恶意行为”。蓝丝带象征纽带，将政府有关机构、互联网企业、网民紧紧联系在一起，共同抵抗网络恶意，象征着国家对互联网行业健康发展的关心和支持，象征着网民对互联网热爱和对纯净互联网空间的渴望，象征着互联网企业关注网民感受，洛守自律的承诺。

五、小结

基于上文的论述，我们可以判断，我国个人信息保护之现状具有如下特征：

第一，在个人信息的法律保护方面：（1）就法律的适用范围而言，保护个人信息的法律条款数量较为有限、适用范围相对狭窄，没有专门的针对所有信息控制人均适用的统一的个人信息保护法；（2）就个人信息的法律保护手段而言，重“刑事处罚”和“行政管理”，轻“民事确权”与“民事归责”，导致个人信息遭受侵害后，即使侵权行为人最终遭致刑事处罚或行政处罚，但信息主体的财产及非财产损失却得不到任何实质性的补偿；（3）就法律的可操作性而言，大部分规定缺乏可操作性，许多条款仅仅规定了对个人信息的保密义务，而没有规定违背该义务的后果；（4）就法律的体系性而言，现有规定之间缺乏体系上的呼应，给人一种“杂乱无章”、“群龙无首”的感觉，不符合我国已经继受的大陆法系的法律思维，同时也不利于法律的适用；（5）就法律条款的具体内容而言，大部分条款通常仅对个人信息保护问题轻描淡写、一带而过，往往未能揭示个人信息保护的立法理由、个人信息保护的基本原则、信息主体的权利、个人信息收集、处理、利用及传递的规则、个人信息保护的执行机制及监督机制等个人信息保护法应当具备的重要内容。（6）就保护个人信息的观念而言，我国法律对个人信息的直接保护是近几年来的新近发展趋势，在较长时间内由于对个人信息保护的重要意义缺乏正确认识而仅对个人信息采取了有限的间接保护措施。第二，在个人信息的自律保护方面：（1）非公共部门，特别是一些商业网站，己经逐步认识到了个人信息的巨大价值以及个人信息对信息主体的重大意义，为了增强消费者使用网络的信息，提供了相对较为详细的隐私保护政策。但也应注意到，我国国内各商业网站的个人信息保护水平差异很大，大型的商业网站大多有比较完备的个人信息保护政策；但一些小型网站在个人信息保护方面是令人担忧的，它们不仅没有公开相应的个人信息保护政策，甚至不惜商业信誉，只要能给网站的经营者带来利益，就会不适当地收集、利用乃至出售访问者的个人信息。另外，非公共部门中，除了商业网站及为数不多的其他主体之外，大多数非公共部门并没有单方面向相对人提供个人信息保护政策。与上述单个信息控制人在个人信息保护方面的自律措施相对应的是，除了互联网行业，其他的非公共部门行业也鲜有保护个人信息的行业自律公约。

（2）就公共部门而言，出于长期以来形成的“官本位”的思维定势，对个人信息的关注基本上是出于其管理的需要，强调得更多的是个人提供信息的义务，而个人就其自身信息所享有的权利基本被漠视。举例而言，浏览目前我国的各级政府网站，几乎无法看到与一些大型商业网站所具备的“隐私政策”，哪怕是中央人民政府的网站一一“中国政府网”对个人上网信息的保护问题也没有提供相应的政策，这不能不说是我国电子政务发展至今的一大遗憾。就这一现象，有学者认为，“这可能由于我国政府网站还处于发展的开始阶段，主要功能还只是对政府政策、办事流程的公示，起到的只是一个电子公告版的作用。政府网站之提供给网络用户阅读信息、资料，而不收集网络用户的个人信息。”但是，这些学者同时也认为，“政府网站发展成为和大多数商业网站那样具有交互式的平台是必然的趋势。为了更好的为纳税人服务，政府网站将来肯定会朝着功能多样化的方向发展。为了方便用户和网站的运作，提供更加个性化的服务，将来的政府网页完全可能发展到给不同的用户发送不同的、适合用户胃口的个性化网页。这样，政府网站也就不可能不收集网络用户的个人信息而永远停留在电子黑板报的层次。另外，不同的政府部门通过网上政务处理，掌握大量关于市民通过网络提交的方方面面的信息，如果缺乏个人信息保护政策，就很肯能侵犯个人信息。”对于这一论述，笔者深表赞同。

正因为个人信息保护机制的这种现状，导致了我国目前社会生活中个人信息频频遭受各种威胁。面临这样的状况，除了由每一个人自己加强自我保护、倡导个人信息保护自律机制的建构之外，越来越多的人们希望我国能够在个人信息保护领域制定一部专门的法律。事实上，如果从建设法治社会的大背景出发，无论是加强信息主体的自我保护、倡导建构个人信息保护的自律机制，还是制定个人信息保护法，均应当着重从民法保护个人信息的角度进行观察与理解。刑法和行政法对个人信息的保护固然能够起到重要的不可或缺的作用，在一定程度上也能够起到预防侵害个人信息行为的发生，但刑法重在惩罚、行政法重在行政管理，其对信息主体的权利确认及事后的全面救济的作用是有限的。

首先，信息主体保护自身个人信息的力量可以通过民法上的自力救济制度得以强化。在法治社会，虽然原则上不允许自力救济，但在来不及采取公力救济措施并且权利有被侵害的现实危险时，法律允许有限地采用自力救济，信息主体可以在法律允许的限度内通过实施自卫行为或自助行为保护自身的个人信息。

其次，就自律机制而言，若信息控制人主动单方面地作出信息保护的承诺，则可以将控制人的这一行为判定为民法上附生效条件的法律行为，一旦条件成就，即信息主体的信息被承诺人所控制，则信息控制人的承诺行为即发生法律效力，信息控制人此时即应当承担其承诺的信息保护义务；若行业自律组织对个人信息保护作出了承诺，则可以视为加入该自律组织的信息控制人均作出了信息保护的承诺，如此一来，同样可以采用附生效条件的法律行为的相关理论进行解释与处理。

另外，如果从民法生长的社会基础—市民社会的理论出发，行业组织是现代市民社会的重要构成环节。是国家权力与市民权利的缓冲地带，行业组织对个人信息保护的重要作用是不可小觑的。最后，个人信息保护法的制定，其内容虽然离不开个人信息的行政保护及刑事保护，但对信息主体而言，对其最有力也是最为实质的保护是通过个人信息保护法赋予其相应权利，使信息主体能够通过自身权利对抗公权力对其个人信息的不当干预、并平衡与其他私权利主体之间的权利冲突。与此同时，当不当侵害他人个人信息时，通过法律对侵权行为人苛以民事责任，则能使被侵害的信息主体得到全面的救济与补偿。（作者单位：北京市门头沟区人民法院）

第二篇：个人信息保护法（草案）解读

2020 年 10 月 21 日，《个人信息保护法（草案）》（以下简称 “ 《个信法》 草案” 或 “ 草案”）全文终于在万众瞩目下揭开面纱。草案通过全方面深化个人信息保护制度，体现了对个人信息强保护为主、兼顾经济社会生活的复杂性的立法思路。近八千字的草案，代表了我国首次尝试在法律层面上系统性地定义、构建并有机整合个人信息的保护与监管规定，既浓缩了近年来以《网络安全法》（以下简称“ 《网安法》”）为代表的我国数据安全立法、监管与实务成果，也借鉴了国际上以 GDPR为代表的各类数据保护立法经验。

从内容上看，草案显然没有辜负业界对它的殷切期待，产研学各界都对诸多令人兴奋的立法亮点做了详细的介绍。但除了立法技术上的研讨以外，值得强调的是，个人信息保护立法的意义不仅仅是进一步保护“个人信息权益”和“维护网络空间良好生态”，同样也是“促进数字经济健康发展的重要举措”。在全球数字经济迅猛发展同时数字主权造成的数据孤立主义抬头的背景下，《个信法》草案既是中国个人信息保护思路的重要亮相，也应当站在 数据竞争的视野高度来看待其背后指向的数字经济发展策略。

限于篇幅，我们摘选了《个信法》草案中九个重点立法思路问题，和大家一起从比较法和经济发展双角度来追本溯源，探讨立法背后的深意和未来的影响。

一、如何看待“ 个人信息” 范围可能的扩展？ 个人信息概念的界定是个人信息保护立法的核心问题和逻辑起点[1]，直接关系到法律保护对象的边界，因此个人信息的定义通常是立法者反复权衡多种法律关系后的成果。

1.识别与关联标准的区别与变化 此前在多部法律法规中都曾基于个人信息的定义来说明其内涵和外延。比如《网安法》第七十六条规定个人信息为“电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息”。《民法典》基本上沿用了《网安法》中“识别”的标准，但同时也将“行踪轨迹”列明为个人信息的一种，一定程度上也呼应了《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（“ 《双高解释》”）对公民个人信息的定义。考虑到刑事法律保护的法律关系特殊且有所侧重，《双高解释》将“反映特定自然人活动”的信息纳入个人信息范围，通常被理解为在“识别”标准上兼顾“关联”标准，扩大了个人信息的范围。

《个信法》作为个人信息保护的专门法律，其对个人信息的定义将在民事、刑事及行政法律关系中产生无可比拟的影响。草案第四条将个人信息定义为“以电子或者其他方式记录的与已识别或者可识别的自然人 有关的各种信息”，一定程度上结合了 “识别+关联” 标准，客观上存在将个人信息概念外延扩张的可能性。

2.他山之石与因地制宜

纵观全球法律实践，在立法上清晰、准确且恰当地界定个人信息的具体含义，并非易事。作为数据保护立法的比较法源之一，欧盟《通用数据保护条例》（“GDPR”）第四条同样采取“识别+关联”标准，任何已识别或者可识别的自然人相关（“relating to”）数据都是个人数据。这种定义标准也承受了一定质疑，有观点认为这种定义方式“非常模糊甚至模棱两可”[2]，可能造成法律适用的不确定性；还有观点认为过于宽泛的定义可能使得 GDPR成为“万能法律”[3]，不仅难以实现 GDPR提供最全面数据保护的美好愿景，还将导致数据保护系统过载[4]，无法平衡数据产业利益。

事实上，欧盟也认识到了问题所在，第 29条工作组对个人信息定义的意见中曾提出应适当限制定义的范畴[5]，但由于 GDPR自始尤为注重“可识别”数据的保护，并不将其与“已识别”数据加以区分保护[6]，只要数据处理的最终目的是识别数据主体，那就会被认定为属于个人数据。这实际上将个人信息处理目的与数据本身的可识别性进行了绑定[7]，现实问题和矛盾仍悬而未决。而相较于欧盟相较激进的“扩张主义”（expansionist view），美国秉持普通法系实务导向下的“简化主义”（reductionist view），认为当信息实际上可与特定人相连接（link）时才属于个人信息。[8]《美国加州消费者隐私法案》（“CCPA”）主要通过详细列举的方式给予了具体定义。

尽管目前世界范围内仍然将“识别性”作为个人信息定义的主要因素，但随着识别技术的发展，个人信息可识别性的判断事实上是动态的过程，许多原本不可被识别的信息经组合后可能被识别，直接拓宽了个人信息的范围。因此有学者也提出通过区分已识别和可识别两类不同层级的个人信息并设计了不同保护措施。[9]从监管者的角度出发，我们需要理解在数字技术快速发展和个人信息权益侵害事件频发的背景之下，强化个人信息保护立法存在相当的必要性与紧迫性。与此同时，基于域外立法实践和经验教训，个人信息概念的过度扩张仍可能有违个人信息保护之初衷。实践中，对于个人信息违规收集及滥用确实广泛存在，但值得注意的是，在中国数字经济高速发展的当前，大量场景下比如机器学习的商业化及技术研究中并不以识别特定个人为目的，通常仅为了验真等目的需要标识或者关联某个对象。个人信息范围的模糊或者扩展可能导致数据处理受限，使得数字经济无法发挥最大潜力。

但不可否认的是，在数字经济社会，个人信息的定义作为核心概念将是我们需要长期探讨的时代难题。是否需要区分识别个人信息的目的？是否要结合场景来判断个人信息范围？是否需要结合主体处理分析数据的能力来判断？去标识化个人信息的对外共享是否能达到相对匿名化效果？这些问题将伴随技术和经济发展，不断地要求我们深入思考：在当前的社会发展阶段，如何准确界定个人信息，同时在实践中增加弹性，以实现多方主体利益的平衡。

二、“ 域外适用” 是暂时的反制，还是虚拟空间推动的时代潮流？

草案规定的域外适用效力，毫无疑问是最受关注、最广为探讨的立法亮点之一。根据草案第三条，该法适用于境内处理个人信息，还适用于三种境外处理境内自然人个人信息的活动：

（1）以向境内自然人提供产品或服务为目的；（2）为分析、评估境内自然人的行为；或（3）法律、行政法规规定的其他情形。

1.“ 长臂管辖”的出发点与实践困局 随着数据主权意识的不断强调与深化，各国在数据权属与域外管辖领域内存在客观的竞争需要。面对欧盟 GDPR、美国《澄清域外合法使用数据法案》（“Cloud 法案”）等一系列域外立法中存在的 “长臂管辖” 规定，以及近段时间以来美国、印度政府对我国出海企业以国家安全、公民数据保护等为由的一系列调查与纠纷，草案有必要给予相对积极的回应。

积极顺应与面对国际立法是我们的基本立场，但作为一种付诸执行的具体立法实践，“长臂管辖”规定本身的合理性以及应用方式值得我们谨慎审视。有观点认为，欧盟 GDPR的域外适用并非国际法上的“最佳实践”，在尚未形成数据保护国际规则的情形下，GDPR的域外适用的规定在事实上构成了对非欧盟区公民数据权利的限制[10]和对分享全球数据产业红利的不合理障碍。这种管辖可能将会带来对其他主权国家执法权完整性的挑战、增加引发贸易乃至外交冲突的可能性。[11]此外，欧盟内部执法机构也认为，要求境外企业在境内设立分支机构与指定代表的相关规定无法落地。[12] 另外，高昂的数据合规成本使得包括跨国公司在内企业“望而却步”，有数据统计 68%的公司预计将花费 100万到 1000万美元的合规成本。[13]

2.有限度的回应与长远考虑

尽管国际法共识认为长臂管辖可能不符合国际法规则，且各国深知限制或禁止离岸数据运营模式将限制跨国企业的经营动力，但时下各国数据立法赋予必要的域外效力俨然成为了一种潮流。除上述 GDPR的域外适用效力规定外，新近通过立法如新加坡的 PDPA、南非 POPIA和埃及 PDPL等国的个人数据保护法，以及印度的个人信息保护法案草案等，均涉及针对域外企业处理域内数据的规定。

但从具体条文规定的细节对比来看，相较于 GDPR、Cloud法案等积极寻求域外适用的立法态度，草案则更多地体现出保护我国境内个人信息的基本立场和回应姿态。例如，根据 GDPR以及欧盟数据保护委员会（“EDPB”）就域外适用的相关指引文件[14]，GDPR规定无论在何处设立和处理欧盟境内个人数据，凡是向欧盟境内提供货物或服务的实体，均受到 GDPR的管辖；此外，还规定了域外监控行为的适用。

跨国公司处理关联公司所在国用户或者本集团内部员工的数据是企业运营的普遍及必要情况，而尽管 GDPR在各类指南及实践中也在尽可能地纠正过于扩张的管辖，但 GDPR“以提供服务的事实”为标准的规定理论上几乎可以涵盖所有向欧盟区提供服务的跨国企业，因此必将带来大量的管辖冲突问题。相比 GDPR，草案的域外适用条款则显得更为克制，规定“以向境内自然人产品或服务为目的”而处理境内个人信息才受约束，相当于对域外适用的要求新增“数据处理的目的限制”。

另外，我国企业近年来愈发陷于各国长臂管辖的合规困境，但与之相对，如果跨国企业通过运营离岸数据中心向境内提供网络服务，在缺乏监管的条件下，大量境内个人信息可能在数据跨境中“裸奔”而无法得到保障。唯有推进域外适用，使跨国企业的离岸模式逐渐成为过去式，境内个人的信息安全方能在当今全球形势下获得对等的保护。

但抛开对国际立法对等规则以及境内个人信息对等保护等考虑，我们会发现基于数据或者网络的域外适用规则在数字经济全球化时代几乎无法避免。当前国际经济的驱动力包括网络的互联互通以及数据的全球流通及整合，尽管我们要避免无序管辖对全球经济发展的阻碍，同时虚拟空间全球化交互从数据安全以及数据主权等多个角度都要求国家适度地扩展域外管辖，维护市场经济秩序和公共安全与利益。从长远考虑，如果缺乏域外管辖的规则，从实质上将会影响个人信息权益的保护以及数据主权的行使。

顺带一提，除了本草案，为应对各国域外长臂管辖带来的消极影响，从立法层面看我国以近期出台的《数据安全法（草案）》为代表主要做了两方面努力：其一，做好针对个人信息保护的数据本地化和关键基础设施、重要数据的安全审查等自我保护制度的建设；其二，为境内法律的境外适用留有必要的空间，以灵活根据国际法的“对等原则”，采取维护国家和公民合法利益的必要的反制措施。例如，《数据安全法（草案）》的第二十四条和草案的第四十三条对外国歧视性措施的反制措施。在数据主权化浪潮当下，各国数据立法普遍带有域外适用效力，跨国企业经营的确需要在日常业务中谨慎经营、做好合规，以尽可能提前避免落入域外管辖的“争执”之中。

三、个人信息主体对信息处理“ 绝对” 权利的利弊

1.个人信息处理合法性依据的扩展 草案第十三条首次明确个人信息处理多达六项的合法性依据，分别是同意、履行合同所必需、履行法定职责或法定义务所必需、应对突发公共卫生事件或紧急情况下保护自然人生命健康和财产安全所必需、为公共利益在合理范围内处理、法律和行政法规另行规定。

尽管草案增加了个人信息处理的合法性依据，但其与欧盟 GDPR的规定仍存在一些差别。草案第四项合法性基础是紧急情况下对自然人生命健康和财产安全保护所必需，而 GDPR则是表述为对自然人重大利益（vital interests）的保护。对比来看，草案规定得更为具体，避免“重大利益”这一概念的模糊不清。同时，草案没有规定类似 GDPR中对保护控制者或第三方合法利益（legitimate interests）必要的情形，但是其兜底条款“法律法规规定的其他情形”可以在很大程度上涵盖这一情况，并且法律明确规定的形式也更具有确定性和可操作性，避免滥用相关条款从而造成对信息主体权益的损害。

草案中“为履行法定职责或者法定义务所必需”与“法律、行政法规规定的其他情形”这两项合法性基础之间的关系也值得探讨。前者的“法定” 要求需要其所适用的情形有法律法规的依据，与后者含义一致。但前者在 “法定” 的基础上加上了 “必需” 要求，实践中可能更多指向法律法规未对个人信息收集有明确例外规定，但法定要求必需处理个人信息的场景。此外应当肯定的是，草案还结合疫情防控经验，加入了 “为应对突发公共卫生事件所必需” 这一合法性基础，充分体现法律与时俱进的时代特色。

2.个人信息主体权利在不同经济发展阶段的限度 自 2012年全国人民代表大会常务委员会《关于加强网络信息保护的决定》中首次提出收集和使用个人信息应当征得个人信息被收集者的同意以来，除法律及行政法规另有规定以外，个

人信息主体的“同意”一直是我国个人信息处理的主要合法性依据，甚至学者认为赋予了个人信息主体对于个人信息的“绝对权利”。此次草案第十三条首次从法律层面对于个人信息处理活动的合法性基础进行扩充，其由单一到多元化的转变是否合理？这背后又有哪些考量？ 个人信息权益的定位其人格属性尽管在《民法典》出台后才相对清晰，在个人信息保护的初级阶段，尤其是隐私权与个人信息权利尚未完全厘清关系的时期，赋予个人信息主体较为“绝对”的控制权对于个人信息权益尤其是人格权益保护具有积极意义。但在大数据与高科技浪潮的推动下，个人信息逐渐体现出其所附着的信息主体利益、信息使用者利益与公共利益等多重利益。信息主体的利益主要体现为对个人尊严与自由的保护。同时，个人信息还具有社会性、工具性与功能性，因此还应保障信息使用者的利益，促进个人信息的使用与流通。此外，在遇到公共利益时，信息主体可能需要让渡或牺牲部分个人利益以保障公共管理目的的实现。[15] 鉴于此，将知情同意作为个人信息处理的唯一合法性基础在事实上赋予了信息主体对个人信息较为绝对的支配权利，但不同于知识产权等相对成熟的权利，考虑到个人信息“所有权”或“控制权”当前尚未有定论，较为绝对的支配权利将可能对建立个人信息的权利束制度造成不利影响，并且会对不同主体的权利分配造成阻碍。因此，这种绝对性支配权制度在多主体参与的个人信息处理中会导致较高的授权成本并可能阻碍科技和社会发展，造成经济实践的巨大困境。从比较法上来看，欧盟 GDPR除同意外还规定了五种合法性基础，以实现个人数据保护与数据流通之间的平衡。美国 CCPA 则在保障数据流动方面走的更远，甚至未严格将同意作为处理的前提性条件，而是以 “告知+选择退出” 作为保障消费者权益的方式。国际社会更倾向于不将保护个人数据主体权益作为个人数据保护的唯一目的，而是尽可能地在数据保护与数据流通之间寻求平衡。

3.从个人控制向多方控制，打开数据权益大门 《民法典》已将“法律法规另有规定”作为同意的例外，留下变通空间，并将处理已合法公开的个人信息、维护公共利益或自然人合法权利作为免责情形。草案更进一步，具体规定了除同意和法律法规另有规定以外的其他四种合法性基础，体现出个人信息保护制度正逐步从个人控制走向社会控制[16]、多方控制，既符合时代发展需要，也顺应国际社会潮流。从个人控制到多方控制并不妨碍保护个人信息主体对于个人信息的人格权益，并让参与个人信息处理不同环节的主体一定程度上脱离个人信息主体基于绝对同意的控制权，有空间来寻求对于个人信息可能主张的财产权益。当前数据立法中重点和难点问题集中在数据确权之上，通过对个人信息控制权主体的扩展，有利于从理论和实务两个方面打破禁锢，有望实现平衡个人信息主体和其他处理主体权益的新型数据权益规则。

四、“ 同意” 的两难 草案对于不同情形的“同意”规则做了细化。草案第十四条要求同意应当“由个人在充分知情的前提下，自愿、明确作出意思表示”，并规定法定应当取得单独同意或书面同意的，从其规定。同时，草案第二十四条规定，在对个人信息进行共享时应取得信息主体的单独同意。与此相关的还有草案第三十条，要求对敏感个人信息的处理应取得个人的单独同意，并且法律法规规定处理敏感个人信息应当取得书面同意的，从其规定。草案第一次尝试在法律层面根

据处理的不同情形对 “同意” 进行分类，如何准确的界定 “同意”、“单独同意” 与 “书面同意” 将需要从实务角度探寻可行性。

1.同意分类的合理性和实现困难 纵观全球数据保护立法，“同意”的概念均有所涉及但又有所差异。草案将“同意” 定义为 “由个人在充分知情的前提下，自愿、明确作出意思表示”，与 GDPR所定义的 “通过陈述或积极行为表示” 的主要区别在于意思表示实现方式的多样性。单独同意与一般同意相比，更强调信息主体对个人信息处理在充分知情和审慎考虑基础上的授权，属于对一般同意的补强措施，从理论上看具有必要性。

对于向第三方共享个人信息与处理敏感个人信息这两种敏感度较高的情形而言，单独同意确实可以在一定程度上征得信息主体更充分和有效的同意。由于草案中并未给出单独同意的具体定义，实践中多将其理解为与概括同意相对的授权同意方式，并常以单独提示或者弹窗的形式实现。但单独同意需要在线上实现，尤其是数据收集或共享要求实时性时，则实现方式会出现侵扰用户同时达不到保护个人信息主体自由意志的情况。

比如根据草案第二十四条，个人信息处理者向第三方提供其处理的个人信息的，应当取得个人的单独同意。但是实践中以 SDK方式向第三方共享个人信息的情形已屡见不鲜，这也成为了一种常见且高效的商业合作模式。对于大型企业来说，其服务中可能包含多种来自不同第三方的、具有不同处理目的和处理方式的 SDK，并可能在其提供服务过程中不断更新，若按照每种 SDK都分别用一个弹窗的形式来征得单独同意，则可能成本过高且会给用户带来不良交互体验。因此结合实践合规成本与落地难度来看，如何设计同意机制，使得既达到单独同意的要求又不造成侵扰用户的后果，仍值得探讨。

书面同意对比一般同意不仅突出信息主体的充分知情权与授权有效性，其还强调信息主体同意的可验证性。草案中虽提及此概念，我们更期待明确其具体适用的场景，以及有效书面同意的定义。比如俄罗斯个人信息保护法（Federal Law No.152-FZ of 27 July 2006）中规定“以电子签名签署的电子文档形式的同意应被视为等同于包含个人数据主体手写签名的书面同意书”。类似的规定有助于明确新经济环境下，尤其是互联网经济中书面同意的边界。

2.新型同意机制呼吁新业态 应当肯定立法针对不同情形区分同意的类型，但由于不同同意类型的界定将在很大程度上影响各相关主体的权益，具体对同意的界定与适用可能亟待相关法规或指南进一步明确。与此同时，如何实现不同的同意要求以匹配新型的同意机制将是企业重点关注的难题。

实践中，必须承认隐私政策与同意提示等对于个人信息主体的提醒作用十分有限。借由同意机制发生变化的契机，企业应当进一步研究如何增加个人信息主体对同意的管理路径，比如让个人信息主体通过 dashboard等方式自行管理其对个人信息的同意，即增加告知及同意的强度，又降低反复提醒降低产品体感的影响。尽管上述要求可能进一步增加企业合规成本，但在尊重个人信息主体意志大原则不变的前提下，可以预见的是以适当、透明的方式使得个人信息主体享有一定的个人信息管理权限，将有助于自证合规并提高消费者体验。与此同时，考虑到个人信息权利束理论形成后，个人信息附着的财产性权益同样有突出的管理需求，企业对合规的投资可能转换为类似 privacy box 等可商业化的新业态。

五、处理者法律责任分配背后的政策考虑，如何实现个人信息权益保护与促进产业发展的矛盾统一？ 草案第二十一条规定，两个或两个以上的个人信息共同处理者承担连带责任，成为一大亮点。具体而言，受共同处理行为侵害个人信息权益的个人，有权向任何一个处理者主张全部损害赔偿。从个人信息的强保护立场来看，连带责任固然有利于保障个人求偿权的实现，鼓励共同处理者之间充分约定共同处理的安全保护义务，促使共同处理者积极就数据保护进行互相监督。但在推动数字经济的大背景下，处理者连带责任所代表的强保护政策导向，应如何响应 “促进企业联动转型、跨界合作”[17]的新业态发展需求？ 我们不妨假设一个场景：整车制造厂商（OEM）希望搭建自己的车联网系统，而其中的地图导航服务则作由第三方运营。第三方导航服务直接调用传感器收集用户个人位置信息以提供导航定位服务，属于直接的个人信息处理者；而 OEM 将导航服务获取并处理的位置信息用于智慧加油、智能停车、旅游信息等车联网服务，属于位置信息的共同个人信息处理者。根据草案，若 OEM 在车载外卖服务中泄露了个人位置信息，第三方共同处理者亦需承担连带责任。考虑到车联网方案的开放性，第三方无法充分预见位置信息泄露的可能性与风险，为避免承担连带责任，很可能会因此减少与 OEM 的合作，或通过合同限制 OEM 的车联网方案应用范围，从而限制车联网产业的发展合作。

从上述例子来看，若共同处理行为可分割且分工明确，一方处理者为另一方处理行为承担连带责任，可能有失公平、打击企业参与此类产业合作的积极性。但另一方面，若用户无法对共同处理者涉嫌侵权的处理行为的分工有合理清晰认知，则共同处理者承担连带责任则显然具有保障个人权益的正当性、必要性，也在我国司法实践中获得认可。[18]事实上，我国立法对连带侵权责任的规定一向采取谨慎态度，如《民法典》中对网络服务提供者提出限制条件的连带责任。[19] 而从国际立法实践来看，虽然 GDPR第 26条第 3款规定“数据主体可以对每一名[共同]控制者行使权利”，但该条是否可以理解为共同控制者存在连带责任仍有极大争议。[20]显然，处理者的法律责任分配应当如何权衡个人权益保障与促进产业合作发展，仍有很长的政策研讨之路要走——是否应当以个人存在对处理行为的分工有合理认识为判断标准？该判断标准是否造成过高的司法判断成本，以至于一刀切地规定连带责任更具有可行性？ 类似的政策问题同样出现在草案第六十五条：对于处理活动侵害个人信息权益的，“个人信息处理者能够证明自己没有过错的,可以减轻或者免除责任”。该条似乎可以理解为采用了过错推定的归责原则，即将证明个人信息处理没有过错的举证责任转移至作为被告的处理者身上；但该条进一步可理解为若处理者证明自己无过错的，可能仅减轻了其赔偿责任，似乎又像是规定了某种公平责任。此外，将本条与草案第二十一条结合理解，进一步产生了归责难题：承担连带责任的两名共同处理者，且个人信息处理中双方仅分别负责不同阶段的个人信息处理时，若甲方能证明自己无过错，而乙方无法证明，个人引述第二十一条的连带责任条款，要求甲方承担损害赔偿责任，甲方是否可以引述草案第六十五条抗辩？如何将六十五条的特殊归责与共同处理者的连带责任进行统一，在有过错的乙方、无过错的甲方与受损害的个人之间如何实现权益平衡？无论处理者的责任如何划定，该条毫无疑问将增加处理者的诉讼成本、降低其寻求数字经济产业创新的积极性。如何在改善当前个人信息诉讼维权困难的现状与保障产业发展之间取得微妙的平衡，显然值得进一步广泛探讨。

六、如何划定处理公开个人信息的“ 合理界限” ？

1.有限度“ 公开” 的个人信息 草案第二十八条规定了处理公开个人信息的基本行为规范，已公开的个人信息只能在被公开的用途之合理范围内被处理，否则需向个人告知并取得同意，即“公开”不能成为无限制处理个人信息的通行证。此前《民法典》第一千零三十六条已将“合理范围内使用公开个人信息”规定为个人信息处理的免责事由（个人信息主体明确表示拒绝或者处理侵害其重大利益除外），草案第二十八条在予以继承与衔接的基础之上，进一步作出规定：

（1）在使用范围上，一般局限于“个人信息公开时的用途”，超出此用途相关合理范围的，应当执行“告知-同意”；（2）在使用方式上，应当合理、谨慎，如果对个人有重大影响时，应当执行“告知-同意”。

考虑到已公开个人信息一定范围内的公开性或公共性，其处理不再以“同意”为原则和必要，但从条文规定来看，“合理谨慎”、“符合用途”成为把握公开个人信息处理行为边界的关键要素。对于现代企业而言，大量的个人信息处理行为都离不开已公开的个人信息，比如常见的运用“爬虫”在互联网平台采集公开信息等，而如何在个人和企业之间划定公开个人信息处理的合理边界，包括商业化采集、识别人脸等“暴露”在公共场合的生物特征信息，成为公众关心的问题。

2.合理隐私期待原则的参考与运用 如何在个人信息公开用途不明确的情形下“合理、谨慎”地处理公开个人信息？我们理解，“合理隐私期待”（Reasonable Expectation of Privacy）原则可以作为参考。自 1967年 Katz诉United States的判例[21]首次确立，该原则用于公民对抗公权力搜查行为而可能造成的侵犯公民隐私（“执法隐私”）。现如今，随着互联网数字经济的兴起，该原则被理论界移植对“信息隐私”的讨论研究。根据理论观点，应当在具体场景[22]（Context）的信息关系中确定个人对信息享有的权益边界，其重要标准即“合理隐私期待”——个人信息的收集、处理与流转应当符合个体的合理预期。一般认为，当个人信息的处理超出一个社会中正常理性个体的合理预期时，个人信息处理者必须对个体进行显著告知，确保个体理解伴随此类的风险，并且获得个体的明确授权。[23]例如在实际场景中，某知名视频 Up主在视频中公开分享了一定的个人信息，由于媒介传播特性，信息很可能被“断章取义”“随意剪辑”导致公开个人信息的目的、用途被削弱乃至抹灭，但至少可以合理期待 Up主不希望公开个人信息以任何不利于自己的方式被处理。

3.期待随着行业和技术发展动态调整的合理期待标准

在实践中，合理期待的判断也并非没有难度，其最大的不确定性在于结合场景和个案化的动态评估方式。作为对已公开个人信息处理的替代性原则，其应当在经济学考量下优于“告知-同意”的实施成本，否则合理期待的制度设计便失去了实际意义。与此同时，对合理隐私期待的判断依赖于个人信息保护领域具体的执法与司法实践案例，企业作为个人信息处理者需要一个类似于经验积累的过程，从而形成公开个人信息处理行业实践中的有益互动。

合理隐私期待建立在个人存在具体可感的隐私意识之下，相对而言，公共场所采集、识别人脸等个人生物特征信息因可感性较低，清晰、明确地界定合理处理范围就显得尤为关键。此前，轰动一时的“国内人脸识别第一案”[24]正是对人脸识别技术合理使用范围的纷争。根据草案第二十九条，人脸信息属于敏感个人信息，但其一般“暴露”在公共场合之下，如若法律不加以必要限制，其无感知的处理过程可能带来严重后果。对该等信息的处理，草案第二十七条规定仅限于维护公共安全所必需，并且需要企业设置显著标识。由此，立法者明确地将人脸等生物特征信息排除在公开个人信息之外，并以强制性规范严格约束了未经个人单独同意情形下公共场所内人脸信息采集和识别的信息处理范围。

但值得注意的是，除公共安全所必需的以外，人脸、虹膜、步态等生物识别信息有着当前设备识别码、手机号码、IP地址等个人标识信息无法比拟的准确性和真实性，可以预见其有广阔的商业运用空间。随着无人超市、智慧商圈、智慧社区甚至智慧城市的推广与普及，在公开或者半公开空间，在（1）具有显著标识，（2）能够提供用户超值便利的前提条件下，大家对步入类似空间后会被有限度采集“暴露”在外的生物识别信息是否可能具有合理的期待？对于类似的新型业态，是否需要动态调整合理期待标准值得我们前瞻性的思考。

七、从网络安全到数据安全，如何构建中国数据本地化与跨境规则？

1.多种数据出境路径与新增本地化要求 数据本地化与跨境流动规则构建一直以来是各国数据保护立法关注的重点。除了要求处理者充分告知个人并获得单独同意，此次草案更进一步拓展《网安法》下的数据本地化及跨境规则，将数据本地化义务主体从“关键信息基础设施运营者”进一步扩展到“处理个人信息达到国家网信部门规定数量的个人信息处理者”，且要求该两类主体必须通过网信部门的安全评估方能向境外提供个人信息。而对于其他企业，草案则提供了多种数据出境路径，只要符合“通过国家网信部门组织的安全评估（存在例外）”、“经国家网信部门指定专业机构进行认证”或“签订合同并保证达到与本法一致的个人信息保护标准”三项条件的其中一项，即可向实施数据出境，体现了草案兼顾商业需求，为风险级别低的处理者提供出境便利。

草案的跨境规则与 GDPR有类似之处，如“指定机构认证”要求与 GDPR下经认可的有约束力的公司规则（Binding Corporate Rules）相似、“订立合同”要求与 GDPR下标准合同条款（Standard Contractual Clauses）有所关联。同时，草案第十二条规定了国家将积极参与个人信息保护国际规则的制定，推动与其他国家、地区和国际组织之间就个人信息保护规则、标准的互认。由此可以预见的是，未来将会越来越多得通过国际互认等方式建立起数据自由流动的区域性联盟，同时也将通过私人协议的约束约定以及标准认定等方式完善数据跨境的合法性依据。

2.以网络为中心转向数据为中心的安全策略 草案的数据出境监管核心是数据本地化要求。从国家战略的角度而言，数据本地化存储是维护国家数据主权，应对跨国网络攻击或威胁的重要方式，例如美国很早便开始了网络安全的战略部署，近期特朗普政府战略政策频发，先后发布《国家安全战略》《网络安全战略》和《国家网络战略》[25]，在《国家网络战略》中特别强调保护数据和底层基础设施，将重点从保护网络扩大到保护这些网络上的数据，确保数据安全。[26]在 2010 年 10月 8日，美国国防部发布了首部《数据战略》（“DoD Data Strategy”）[27]，被理解是以网络为中心向以数据为中心安全模式的转变。[28] 草案第四十条所确立的本地化规则事实上也顺应了当前世界主权之争从网络上升到数据的变革趋势，如果说《网安法》对于关键信息基础设施运营者的本地化要求是以网络安全为出发点，那么草案将本地化要求辐射到“处理个人信息达到一定量级的处理者”则以数据安全为立足点，体现了立法者对于本地化要求的关注点从网络安全层面延伸到数据安全层面，以及以网络为中心转向数据为中心的立法思维的进步，是立法者在各国数据主权博弈态势下所做出的积极回应。

3.实操性有待考验 当然在实际执法过程中，“处理个人信息达到一定量级的处理者”的规定可能带来一定不确定性。一方面，如何界定个人信息的量级可能存在一定争议，如参考《双高解释》，个人信息量级的计算将以个人信息主体的数量为维度计算，但考虑到现实中企业处理个人信息的数量呈动态波动的趋势，具体数量的认定可能存在一定难度。极端情况下，如一家跨国企业由于员工数据达到了网信部门规定的数量，此时跨国企业是否需要或者有必要根据草案要求将此前在中国收集存储在境外的员工数据全部本地化；另一方面，数量为依据的计算方式可能会出现“蚂蚁搬家”的规避方式，企业可能将数据存储在不同子公司所运营的信息系统，或者以多个关联公司的名义来处理数据，以规避处理数量达到量级所带来的本地化要求。如果上述情况确有可能规避本地化要求，考虑到实质上同样数量的数据仍然会发生跨境或者境外存储，是否需要结合跨境安全评估等规则来进一步规范？ 因此，我们理解具体规则的构建可能还有待网信主管部门出台进一步的规章或指南予以指导，当然我们也不排除关键信息基础设施运营者与如达到一定数量的个人信息处理者间在事实上存在竞合。进一步确认将处理个人信息达到规定数量纳入关键信息基础设施运营者的认定标准，在立法上将本地化要求限定于关键信息基础设施运营者或可一定程度解决上述问题。

八、个人信息可携权是“ 乌托邦” 还是“ 救命稻草” ？

个人在个人信息处理活动中所享有的权利一直是个人信息保护立法过程中备受关注的重点话题。草案第四章在《网安法》与《民法典》的基础上对于个人信息主体在个人信息处理活动中的权利作了进一步明确与细化，个人在个人信息处理中的知情权、决定权、限制权、拒绝权、查阅复制权、更正权、删除权在草案中到得到了进一步确认。我国对于个人信息主体权利的设置与欧盟 GDPR，巴西 LGPD等相关规定类似，但与 GDPR相比，草案与《网安法》

及《民法典》一样，并没有赋予个人信息主体 GDPR第 20条中所规定的 “数据可携权”。正如立法者在草案说明中所述，对一些尚存争议的理论问题，应在本法中留下必要空间。但可携权的现实难度和立法精神并不妨碍需要我们用时代的眼光来审视可携权需要的变化和未来可能的发展空间。

在 GDPR 语境下，数据可携权主要包括“数据主体有权下载存储在数据控制者处的个人数据”和“条件允许时数据主体有权要求数据控制者为其将数据传输给其他控制者”两方面基本内容，当然 GDPR为其设立了“行使可携权不得妨碍执行公共利益和官方授权所需，及不得对他人权利和自由造成不利影响”的例外情形。[29]从技术可实现性和经济成本考虑，数据可携权自提出之日就被质疑，代表观点认为这种权利将导致数据使用效率的牺牲而失去存在的价值。

[30] 草案并未接受 “可携权” 作为个人信息主体的权利，其背后是什么的考量？我们目前是否做好了数据可携落地的充分准备？这些问题还需要我们分别从数据可携权其背后隐藏的多方主体的权益平衡谈起。

1.数据主体信息自决利益范围之考量 从数据主体的立场来看，可携权的理论基础来源于最初确立于德国联邦宪法案例“人口普查法案”的信息自决权。[31]但事实上，信息自决被理解为对个人信息绝对的控制权实乃人们对该案判决的误读。

[32] 将个人信息作为客体排他性地归属于信息主体的做法，无法为他人的行为划定清晰的禁区，因此也不可能构成私权意义上、受侵权法保护的民事权利。一般认为，在为保护个人信息的隐私利益而行使自决权时，也应受到相应的合理限制。

[33] 这里的合理限制，其中的相当大的因素考量在于数字企业在用户数据之上享有的一定 “财产权利益”。[34]应该考虑到，数据可携权强化个人对于个人数据的绝对控制权的同时，必将减损为维护数据资源投入高额成本的企业的利益、不合理地增加企业运营成本。此种信息自决空间是否过宽、影响社会和产业秩序有效运转本就值得研讨。

2.数据企业竞争性利益的保护 数据可携不仅是个人数据保护法的调整对象，也是竞争法的调整范围。[35]从数据作为战略资源角度而言，用户数据资源的市场占有率已成为现代数字驱动型企业的独特竞争性优势。目前例如“头腾大战”在内普遍而多发的企业间数据争夺不正当竞争案例已足以证明这一点。但试图利用数据可携权来破除数据垄断，可能只是一厢情愿的“乌托邦”。有观点认为，赋予个人数据主体数据可携权能够有效制约互联网巨头对于数据的垄断地位，促进数据自由流动，打破数据市场准入障碍[36]，但该种观点只关注了头部巨型企业，事实上，在尚未形成成熟的数字产业体系基础之上贸然引入数据可携权制度，更为严重的问题可能是急剧加重中小企业负担。[37]根据“锁定效应”理论，先进入市场的积累了大量用户的企业（先发优势企业）对数据具有绝对性的先占优势，在占有大量数据的同时，先发优势企业为了保护自身已形成的优势地位，会采取各种方式提高行业准入的门槛，最典型的方式就是将数据进行封锁，提高用户转换服务商的成本。[38]此外，数据可携的落地可能还会引发和变相鼓励企业间“搭便车”的不正当竞争，随之而来的可能是各种绕过数据可携的技术压制，反而加剧围绕数据的“分封割据”，最后形成个别巨型企业独占山头的局面，恰恰违背了数据可携的制度初衷，从而埋下了违反竞争法确定基础秩序的隐患。

但尽管数据可携权争议较大，实施难度极高，但其立法基于个人信息主体权益主动权利的本意，以及蕴含的技术中立性和“乌托邦”精神，仍然值得我们思考。个人信息从个体控制向多方控制发展的趋势尽管可能无法改变，设置可携权或者其他权利促使数据标准化和有条件的自由流动可能在数据成为生产要素的时代困难重重，但我们期待突破数据瓶颈后的智能时代，类似的权利能够发挥更大的作用。

在当下，可携权在特殊情况下仍有生存的空间。在某些数据流转严格监管的行业，比如金融及医疗健康等，由于立法滞后禁止不具备相应资质机构处理行业数据，确实存在无法实现数据安全流转，发挥数据价值的困局。在这种特殊时期，实际上机构或企业对于可携权并不抵触，企业与个人信息主体之间从数据角度不存在利益矛盾，从数据有序流转的目标出发，甚至有动力促使个人信息主体行使可携权来打破数据孤岛。因此是否有条件的设置可携权能够达到多主体利益平衡并且保障个人信息安全，可能仍然是具有现实意义的讨论。

九、如何看待个人信息违法的高额处罚？

秉持着我国立法体系特色，草案第七章以专章的形式规定了个人信息违法行为应负的“法律责任”。草案第六十二条用两款规定了违反本法规定处理个人信息或者未采取必要的安全保障措施的行政监管责任，其中备受关注的是草案在《网安法》的基础之上大幅度提高了处罚力度，并与 GDPR采取了相似的处罚方式，以最高罚金限额以及营业额百分比（5%）作为处罚限额。针对时下个人信息监管的严峻形势，草案为监管部门实施个人信息违法处罚提供了强有力的法律支撑。

英美普通法系下经典的“效率违约”[39]理论一定程度上或可解释提高处罚额度的合理性，个人信息处理者在考量包括罚款在内的违法成本与经济收益对比后，如若认为放弃合规努力时仍然有利可图乃至收益结构优化，监管处罚必然仅停留在法律文本之中。然而，监管处罚的目标不仅停留在处罚本身，评估处罚机制的指标之一便是其是否能帮助纠正个人信息违法。根据欧盟委员会此前就 GDPR实施两周年的评估报告 [40] 来看，通过使用监管工具，在 2018年 5月 25日至 2019年 11月 30日期间，22个欧盟/欧洲经济区的 DPA 共开出约 785张罚单。从数量上看，行政处罚并不占少数，但从效果上来说，NGO 组织 Access Now指出，与各DPA收到的投诉量相比，罚款次数仍然很少，这意味着 “大量的投诉没有得到解决”。

[41] 草案通过立法提高处罚额度实乃应时、应势而为，但与此同时，考虑将违法主体以是否主要依靠个人信息处理获得经济利润为标准予以界分进而来评估具体监管处罚的实施；在多场景下配合运用“吊销执照”、“停止个人信息处理”等其他处罚工具，也可能成为未来进一步细化罚则的可能方向。

总结与展望 草案作为我国个人信息保护专门立法，立足国内信息领域具体实践、充分借鉴域外立法经验，回应了时下的产业与法律实践的热点难点，一定程度上揭示了今后的立法与执法趋势，例如严格规范授权同意形式、以数据本地化为视角监管数据跨境传输、提升违法行为的处罚力度等。这些规定在与国际个人信息保护规则标准对接、与网安法、民法典等相关法律规范做好

衔接与细化工作的同时，也为日后配套法规的颁行预留了通道，彰显了立足国情的务实态度，为国际个人信息保护立法贡献了中国方案。尤为可贵的是，草案站在促进数字经济健康发展的战略高度，以将个人信息保护思路从网络为中心进一步丰富为以数据为中心，并兼顾经济生活的复杂性，为我国将数据作为新生产要素的数字社会转型夯实基础。我们有理由期待，经充分讨论、完善与打磨后的个人信息保护法，将平衡好个人信息权益保护与有序自由流动的辩证关系，规范个人信息处理活动、保障广大人民个人信息权益、激发数字产业活力，在数据主权激烈竞争的国际环境下为我国数字经济发展带来新机遇。

第三篇：个人信息保护

保护个人客户信息 有效防范金融诈骗

近年来，关于银行客户个人信息屡屡外泄的新闻不断出现在各大媒体报道中，这类重要信息管理缺失行为不仅给客户带来经济和人身危害，也极大的影响到商业银行社会公信力的塑造。应该看到，各类商业银行都建立了完善的客户信息保密制度，通过技术和政策支持也规避了部分泄密问题，但客户信息失密事件屡见不鲜且利用常规管理方式即可避免风险。如何解决当前存在的客户信息泄密问题，需要银行监管部门和商业银行高管层、各层级管理者认真思考。本文抛开利用计算机技术窃密犯罪因素，仅根据“银行――社会中介――客户信息需求方”的泄密通道，通过问题描述和现状反思，围绕强化银行员工思想政治教育、建立声誉约束的外部监管机制，以及建立同业联盟的信息公开平台来防范泄密和诈骗事件的发生。

一、履职过程中存在的泄密行为

假设银行的客户信息保密制度设计是没有瑕疵的，在此基础上所存在的问题可归纳为以下三个方面。

（一）银行部分人员的风险意识淡薄

金融机构向社会大众提供负债、资产、中间业务和其他新兴业务，在提供服务的过程中掌握了大量的个人客户信息，个人金融信息和个人客户信息必然成为不法之徒追逐利用的目标，其中，最有可能成为失密信息大量使用重灾区的是资产类业务。如个人住房贷款、个人消费贷款，寻求该信贷业务的客户会被社会中介重点关注，他们的个人信息也成为市场其他产品（如家居类产品、装修、保险等）供应者的商业资源。部分银行员工在风险意识、保密意识淡薄的情况下，将客户信息发布出去。发布方式可能是口述、纸质方式、电子邮件、不当处理的垃圾等。

（二）银行部分人员的利益偏好使然

在现代商业社会客户信息已成为重要的经济资源，对该信息的垄断性获取将为卖方提供商机。由此，客户信息需求方为了获得这种商机，便有意愿通过商品交换形式来求助于社会中介，而社会中介在人际关系处理和商品交易原则下，便可能获得目标客户的银行信息。不难看出，这表现为银行部分人员与社会中介之间的利益交换关系。

（三）银行部分人员与中介勾结

金融业竞争日趋激烈，大部分银行将业务指标与员工收入紧密挂钩，为完成或超额完成分配的业务指标，获取薪金收入或业务奖励，部分员工有意无意地放宽保密规定，为协助中介达成交易，不惜提供客户信息、为中介补充客户信息。

二、泄密行为反思

上述泄密行为，为我们进行对策研究提供了方向。然而，商业银行管理层只能规范银行内部的信息管理活动，却无法约束社会中介、客户信息需求方。这就意味着，要使得对策更具有实效性还要依赖于全社会的参与，共同遵守和保护客户隐私。

（一）针对银行内部的现状反思

客户信息泄密现象发端于银行。因此，首先需要从规范银行涉密人员的行为操守开始。由于存在着信息不对称现象，商业银行管理者难以及时、准确把握关键人员行为的合规性，因而解决监管缺位成为对策构建的出发点之一。事实证明，依靠监管人员的跟踪监督是不现实的，需要从组织文化和外部压力的构建着手。

（二）针对银行外部的现状反思

尽管社会中介和客户信息需求方的行为难以被银行约束，但在商业社会中银行应充分发挥自身的网络资源，通过限制和惩戒他们的银行业务来给予威慑。所谓银行业务可理解为，中介组织和客户信息需求方与商业银行间的业务往来。

三、反泄密行为的对策

为防止泄密行为引发的欺诈事件，可从三个方面着手。

（一）强化银行员工的思想政治教育

无论是国有控股商业银行还是其他股份制银行，都应强化组织内部的思想政治教育。在开展该项工作时应改变传统的“空对空”模式，通过案例教学促使银行员工能够清楚地知道泄露客户信息对社会的危害、对银行本身的危害，以及对自身职业生涯的影响。只有这样，才能建立起与员工切身利益相联系的自觉行为。

（二）树立银行员工安全保密意识

网络信息时代，发生客户个人信息泄露事件，不仅会给客户造成较大损失，也会给银行带来非常严重的法律风险和声誉风险。树立银行员工安全保密意识刻不容缓。通过开展安全保密教育活动，教育员工在公众场合严守商业机密，严格遵守“为客户保密”的原则，并落实安全保密责任制。抓好重点岗位的保密工作，强化岗位责任制，将每一项业务操作置于合规框架下，把信息泄密事件消灭在萌芽状态。

（三）建立声誉约束的外部监管机制

对于部分风险意识较弱或具有强烈利益偏好的员工，应在优化跟踪监管机制的同时，建立起声誉约束机制，借助银行员工强调自己在单位内部的口碑和声誉度的心态，将其本单位在履行职责或者提供服务过程中获得的公民个人信息，存在信息泄露，如情节严重的，移送司法机关处理，如情节较为轻微的，进行经济处罚，并在职务晋升、职称聘任上实行一票否决制，进而在他们的心理上构建起一道防线。

（四）建立同业联盟的信息公开平台

根据社会中介和客户信息需求方流动性强、与银行交易较多的特点，针对他们必然与商业银行发生正常业务往来的性质，金融机构可以在主管部门的协调下建立起各类商业银行间的信息共享平台，利用该平台及时发布已查获的社会中介组织、客户信息需求方关键人物的信息，在同行业共享的基础上对他们进行经济惩戒。这样一来，就能对潜在的社会中介组织、客户信息需求方产生威慑作用，增加他们的犯罪成本，进而从信息需求源头上中止泄密行为。

为维护客户合法权益不受侵害，避免客户个人金融信息泄露对客户自身财产安全造成不利影响，枣庄滕州支行采取五项措施落实客户个人金融信息保护工作。一是结合各种诈骗案例对员工进行防客户信息泄露警示教育。要求员工在办理业务及在八小时以外，高度重视个人金融信息保护工作，禁止故意或过失泄露客户金融信息行为发生。二是强化个人信息使用管理。在客户信息使用上，必须经客户本人书面授权才可查询及使用。三是对员工办公用电脑进行清理，对涉及客户敏感信息的相关文件进行清理，对确需留存的客户信息进行加密处理；四是加强对第三方机构巡点人员的管理，严禁第三方机构人员接触我行客户信息。

一、严格落实责任。全行员工均签订了《保密承诺书》，严格落实保密责任，严守职业道德。同时，严格执行《中国人民银行关于银行业金融机构做好个人金融保护工作的通知》、《中国工商银行青海省分行个人客户信息管理实施细则(试行)》等制度要求，对客户个人金融信息的建立、存储、维护、应用和管理做到依法合规、安全保密。

二、健全客户个人信息保护制度。一是制定了个人客户信息保护措施和个人客户信息管理的原则，落实了各部门、各岗位管理责任，完善内部监督和责任追究机制。二是加强个人客户信息管理的权限管理，形成相互监督，相互制约的管理机制。三是严格按照《中国工商银行会计档案管理办法》、《中国工商银行商业秘密保护办法》等文件规定，切实防止信息泄露或滥用事件的发生。

三、强化安全观念教育。及时组织员工认真学习《个人存款账户实名制规定》、《中国人民银行关于金融机构进一步做好客户个人信息保护工作的通知》等文件的学习，使广大员工充分认识个人客户信息保护的重要性，进一步认识个人客户信息泄露和滥用带来的法律后果，对篡改、违法使用、出售个人客户信息要承担相应的法律责任，形成了维护客户个人客户信息安全的自觉性，增强了发现和防范信息系统漏洞和缺陷的敏锐度。

第四篇：个人信息保护

为公众生活筑一道“防火墙”

个人信息不但是一个公民的身份证明，还包含了其生活中最重要的方方面面，它的泄露不仅会给人们带来生活上的困扰，更有甚者，还会造成财产的损失和情感的欺骗。随着信息流通渠道的多样化，泄露个人信息的行为呈愈演愈烈的态势，对于个人信息的保护必须引起重视。

近年来，公民个人信息被泄露的问题频繁发生。从络绎不绝的广告短信和邮件到隔三差五的业务推销电话；从虚假的银行卡消费通知到企图诈骗的短信和电话，泄露他人信息就像是一个大众课题，不论是在被泄露的内容和泄露途径上，或是在泄露后信息的去向和用途上，都在不断推敲中衍生出越来越多的不法用途。

大到“棱镜门”丑闻，小到手机上的小广告，人们对于个人信息的保护意识正在不断形成，但仍难以避免其不胫而走。究其缘由主要在于当下信息传播的平台多，转手速度快，为信息的泄露增添了更多可能性，加之掌握个人信息的企业单位缺少行业自律，民众对自身信息的保护意识不强，同时缺少相关的法律法规保障，对不法分子层出不穷的欺骗手段难免心有余而力不足。为了保护民众的隐私，我们需要变被动为主动，分别从个人信息泄露前、泄漏中、泄露后三方面一起努力。

保护个人信息，应在信息泄露前增强自我保护意识。虽然近些年命众对于自身信息的保护意识有所增强，但日益增多的欺骗手段往往让人们防不慎防。所以，可以通过街道、居委会分发《居民个人信息保护小贴士》和开展防范信息泄露讲座等形式，普及个人信息泄露的案例和信息自我保护的方法，在人们心中筑起拦阻“大坝”，从源头防止个人信息被利用。

保护个人信息，应加大信息泄露过程中的监察力度。目前，社会上倒卖各种身份信息的现象猖獗，信息传播途径的多样化更让不法分子有恃无恐。鉴于此，应当提高相关部门人员在如网络通信等技术上的专业素养，加大对各个渠道个人信息泄露的监察力度，对于易发生信息泄露的关键点和关键途径要严格管控，严厉查处，防止个人信息的进一步传播和倒卖。

保护个人信息，还应该在信息泄露后加大惩处力度。建立并完善相关的法律法规，对于泄露他人信息和利用他人信息进行不法操作的行为作出严肃处理，提高不法分子的犯罪成本。

还值得注意的是，在窃取个人信息的渠道中，也不乏对正规渠道的利用。如银行、保险公司、医疗机构、物流公司等，这些深受民众信任的场所也成了个人信息泄露的重灾区。所以，应加强相关企业负责人及员工的职业道德教育，提高行业自律和信息伦理意识，减少不法分子的可乘之机。

个人信息是属于个人的，但对个人信息的保护是属于全社会的。只有形成涵盖全社会的个人信息保护体系，为公众的生活筑起一道“防火墙”，才能让个人有隐私，让信息有保障。

第五篇：公民个人信息保护

近年来，非法收集、贩卖和使用公民个人信息的违法犯罪活动日益突出，严重侵犯公民的隐私权和人格权，引起社会广泛关注。此次公安机关的集中打击行动卓有成效。

保护个人信息，这些年来呼声很高，但执行起来并不容易。虽然2009年2月全国人大常委会通过的《刑法修正案

（七）》，就增加规定了“非法获取公民个人信息罪”、“出售、非法提供公民个人信息罪”等罪名，强化了对公民个人信息的刑法保护。但由于此类违法犯罪活动隐蔽性极强，被害人本人往往也难以察觉和发现，因此，司法实践中受到打击和追究的案例十分罕见。

这一次的行动证明，对付这种隐蔽性极强的违法犯罪，需要公安机关统一调动各地区、各警种的力量，依法采用网侦、技侦、秘密侦查等特殊侦查手段，增强对此类违法犯罪活动的发现、控制和打击能力。

更重要的，还是要注重“源头”保护。从破获的案件情况看，公民个人信息泄露的一个主要“源头”在于工商、医疗、民政、银行、民航、电信等一些部门和服务机构。它们在履行职责或提供服务过程中，具有收集、查阅、管理、控制公民个人信息的便利。而这些部门或机构的个别“内鬼”，为了经济利益非法出售公民个人资料，成为侵害公民个人信息违法犯罪的“源头”。

鉴于“源头”危害性最大、隐蔽性最强，一方面要深追细查、严惩不怠，另一方面必须强化日常治理和防范。公民个人信息从这些部门和机构不断外泄，说明我国对公民个人信息的安全保护存在明显漏洞，比如，从报道来看，工商局信息中心的一名工作人员，就既能通过内网查询到企业信息，又能去档案室查询、复制信息贩卖。

公民信息在这些部门和机构内网、内部平台能低门槛被查阅的现状，必须得到纠正。一些商业网站的做法值得借鉴——对用户信息采取“分级查看”的权限设置，除了必要的管理员，一般员工无权从后台查看用户的注册信息。倘若确有必要查看，必须按照程序报批。公民个人信息不能谁想查就能通过内部网查看得到。有权限查看的人越少，公民的个人信息就会越安全。

实行这样的“分级查看”，不仅能减少个人信息泄露的风险，也有利于信息泄露后的追惩。

要做到这些，需要尽快制定《公民个人信息保护法》，对这些部门和机构收集、加工、转移、使用、管理公民个人信息的行为均予以严格规范，明确个人信息保护的原则和要求，落实工作责任，加强监管保护。