个人信息安全保护的法律研究

　　随着互联网以及信息化的高速发展，人们在享受数据带来的方便、快捷的同时，也面临着个人信息遭遇泄露的风险以及因此而带来的诸多影响正常生活的困扰。本文以我国个人信息安全保护为研究对象，通过对比国外有关个人信息安全保护的立法现状，对我国在此领域的法律问题进行分析并提出完善建议，以期推动我国《个人信息安全法》的立法进程。

　　在当前大数据时代的背景下，人们对数据信息安全的要求达到了前所未有的高度。而现在，通过各种各样的渠道都可能会导致个人信息的泄露，例如银行、购房购车、实名买票等。2015年3月13日中国消费者协会发布《2014年度消费者个人信息网络安全报告》(以下简称《2014网络安全报告》)，报告显示 2014年度消费者个人信息保护现状满意度低，非常不满意和不满意的受访者占比多达56.58%，约有三分之二受访者2014年个人信息被泄露。近年来，随着个人信息泄露引发的纠纷案件的增多，如何对个人信息加以保护，在互联网大数据时代就显得尤为重要。

　　1 个人信息安全基本概述

　　1.1 个人信息的定义

　　关于个人信息的定义，目前理论界尚未有统一的规定，主要存在“关联型”、“隐私型”和“识别型”三种定义。关联型是将与个人有关的所有信息都归入个人信息的范畴内;隐私型则仅指涉及个人隐私的信息;而识别型是指能够通过识别将个人与他人区别开来的个人信息。

　　2012年的《信息安全技术公共及商用服务信息系统个人信息保护指南》将个人信息定义为可为信息系统所处理、与特定自然人相关、能够单独或通过与其他信息结合识别该特定自然人的计算机数据，个人信息可分为个人敏感信息和个人一般信息。

　　工信部2013年7月公布的《电信和互联网用户个人信息保护规定》在第四条中对“个人信息”做了如下的定义：“本规定所称用户个人信息，是指电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间、地点等信息。”

　　笔者认为，个人信息应当是指包括姓名、出生日期、身份证件号码等身份信息，不动产、机动车、银行账户等财产信息，以及包括健康等其他信息在内的，能够直接或间接识别公民个人的一切信息。

　　1.2 个人信息安全面临的风险

　　由于个人信息具有巨大的价值性，才导致近年来越来越多的窃取公民个人信息以此获利案件的发生，个人信息贩卖的产业链也慢慢进入人们的视野内。据消协《2014网络安全报告》显示，一条价值较高的用户信心甚至可以被卖至数千元。

　　目前个人信息安全面临的风险主要有以下两种：

　　1)非法收集个人信息。人们在进行网络消费或者使用网络其它功能时，都会被要求填写一些个人信息，这些信息有的是需要实名认证的，有的则不需要;有的是使用时必需的信息，有的则不是。通常网络后台会对这些信息进行储存以便于用户再次使用，但这其中也包括一部分非必需信息就是为了服务商提供后续服务或商品而在用户无意识的状况下被收集了起来。如果服务商的系统存在漏洞，极有可能再次发生类似携程网的事件。

　　2)非法使用个人信息。人们收集信息的目的就是为了使用信息，非法使用个人信息主要有两种方式，一是将个人信息转卖，二是利用个人信息进行敲诈、骚扰等。消协《2014网络安全报告显示》有八成受访者表示在信息遭到泄漏后收到过各种形式的骚扰，严重影响个人生活。

　　2 我国关于个人信息安全保护的现状

　　涉及个人信息安全的保护可分为法律保护、企业行业制度规范、计算机网络通信技术以及公民个人自我防范等，本节仅就法律保护有关方面的现状进行分析。

　　2.1 个人信息保护的立法现状

　　目前我国尚未出台统一的有关个人信息安全保护的专门法律，据不完全统计，涉及个人信息安全保护方面的法律有将近40部，法规有30余部，另外还有一些存在于部门规章和地方性法规之中。其中：

　　首先，在宪法层面上，我国并没有在宪法中明确规定公民的个人信息权，也就是在宪法中没有提到对公民个人信息安全的保护。

　　其次，在民法领域，有观点认为个人信息安全如隐私权一样适用有关人格尊严的规定，因此《民法通则》第101条对公民人格尊严的保护，也可以视为对公民个人信息安全的保护。而民法领域对个人信息比较明确的规定出现在2014年最新修订的《消费者权益保护法》之中，第14条和第29条分别从消费者权利以及经营者义务两个方面对消费者个人信息予以明确的保护，同时还在第50条、56条规定了相应的法律责任。

　　再次，在刑法领域主要体现在《刑法修正案七》中，其中第七条的规定对出售、非法提供公民个人信息罪和非法获取公民个人信息罪作出了规定，但前者的行为主体只限定于“国家机关或金融、电信、交通、教育、医疗等单位的工作人员”，并未将企业或公民个人纳入其中，同时该条也未对“公民个人信息”的范围做出具体的界定。

　　最后，为了加强对个人信息的保护，全国人大常委会分别在2000年和2013年出台的《关于维护互联网安全的决定》和《关于加强网络信息保护的决定》均明确表示保护公民个人信息安全，工信部出台的《电信和互联网用户个人信息保护规定》等部门规章对公民个人信息收集、保障措施、监督检查及法律责任做出了具体规定，但由于尚未明确“主管部门”究竟为何部门，因此在实践中缺乏可操作性。

　　2.2 个人信息保护的行政执法监管现状

　　首先，我国尚未成立专门负责个人信息安全保护的监管机构或者部门，且法律法规中规定的“有关主管部门”也未具体确定，于是在实践中就会出现当公民在其个人信息受到侵害后寻求救济时，多个行政机构之间相互推诿，大大降低了行政执法的效率。

　　其次，从法律法规的条文规定来看，行政机关的监管方式大多采取的是一种事后监管的方式，然而事后监管很难做到对存在的风险进行防控。同时由于个人信息具有无形性，又通过网络传输，导致了侵权行为调查取证难，只进行事后监督难以及时发现侵权行为并做出有效反应。

　　最后，从目前已经发生的案件来看，行政机关并没有形成对涉及侵害公民个人信息安全行为的有效监管，往往在发生大规模的个人信息泄露后，由公安机关介入调查。从案件的处理结果来看，虽然规定了一些诸如警告、罚款、没收违法所得、吊销许可证等常见的行政处罚措施，且处罚力度较轻，往往行政处罚不具有威慑性，多数案件最后都是以刑事处罚终结的。

　　3 国外个人信息保护立法情况

　　国外保护个人信息安全领域的法律体系基本比较成熟，本文主要介绍欧盟和美国的相关立法情况，以期对我国健全个人信息安全法律体系提供一些启示。

　　3.1 欧盟保护个人信息安全的立法

　　欧盟对个人信息安全的立法经历了由成员国单独立法到欧盟内部出台统一法规的过程。除欧洲各国的立法外，1995年10月24日欧洲议会和欧盟理事通过了《关于在个人数据处理过程中保护当事人及此类数据自由流通的指令》(简称欧盟数据保护指令)，这是欧盟在个人信息保护方面最重要的指令之一。尽管这一指令并不具备直接的执行效力，但欧盟通过此指令，要求其成员国修改或制定国内法以达到欧盟内部对此类问题的统一性。

　　通过立法，欧盟规定了个人信息保护的主要执行机构包括：欧洲法院、欧盟数据保护专员、第29条工作组、第31条委员会以及如欧洲网络与信息安全局在内的其他机构。

　　3.2 美国保护个人信息安全的立法

　　众所周知，美国一直重视有关信息安全方面的立法，其在信息安全上的立法可分为保障国家及政府信息安全的立法、保障商业组织信息安全的立法以及保障个人信息隐私的立法，并且高度强调个人信息隐私的至高性。

　　美国最初是根据宪法第四修正案中规定的“隐私权”来对个人信息进行保护的，在后来的宪法修正案虽未正式将“个人信息安全”纳入到其中，但从判例上看，隐私权是可以成为抗辩主张的。

　　相较于欧盟的统一立法模式，美国采取了分散立法的模式，除了宪法对个人信息进行保护外，美国在此方面最大的特点是其联邦成文法对个人信息的保护十分全面、几乎涵盖了各个领域，其中的《电子通讯隐私法》可以说是目前有关网络个人信息安全最全面的立法。这些法律在各自的领域发挥着重要作用，共同推动美国保护个人信息安全法律体系的发展。

　　4 对我国加强个人信息保护的法律对策及建议

　　根据消协《2014网络安全报告》显示，受访者在个人信息安全受到侵害后，极少数会选择通过法律途径救济，而2014年6月，我国正式在境内全面推行网络实名制，实名制对个人信息安全提出了更高的要求。面对日益严峻的个人信息安全问题，加快推进我国个人信息安全保护的法律体系建设势在必行。

　　4.1 制定颁布统一的《个人信息安全法》

　　个人信息权作为公民的一项人格权，应当获得来自国家力量的保障，而涉及到全体公民的个人信息安全并不能单单依靠部门规章、地方性法规等偏低层级的立法来规范，基于我国的国情和目前的立法体系，个人信息安全的保护更应该由一部经全国人大审议通过的专门性法律予以规范，以减少法律空白的出现，实现对公民个人信息的全面保护。

　　在统一的《个人信息安全法》的内容中，首先应当对个人信息做出的界定，明确受保护的个人信息的范围。其次，明确《个人信息安全法》的原则及保护措施，对包括收集、加工、转移、利用、删除等环节做出具体要求。最后，确定侵害个人信息安全行为的具体表现、法律责任以及处罚范围和措施做出详细的规定，以便在未来的实践中有法可依。

　　除了《个人信息安全法》外，还应当在刑法、行政法领域的其他相关法律法规中对个人信息安全的保护予以规定。通过《个人信息安全法》的总领性作用，逐渐细化在各个领域内的相关立法，逐步确立个人信息安全保护的法律体系。

　　4.2 强化执法力度与完善救济途径

　　4.2.1 设置独立的执法机构

　　设置独立的执法机构或部门有助于为保护个人信息安全提供，可以设置一个类似消协但非社会团体的行政监管机构或者在工信部之下设置一个单独的监管部门来处理有关个人信息安全保护的问题。该监管机构享有单独的保障个人信息安全的执法权，负责保障《个人信息安全法》等相关法律的实施，同时负责对个人信息安全的法律普及和宣传工作，提高公民保护个人信息的意识。除此之外，该机构还应当负责对外加强国际合作，推动我国在此领域的立法、标准等与国际接轨。

　　4.2.2 加大对侵害个人信息安全行为的处罚力度

　　目前国家对侵害个人信息安全行为的处罚力度较小，相对于个人信息的巨大商业价值，非法窃取、收集、利用公民个人信息的成本明显较低，因此有必要加大对此类行为的处罚力度。通过各个层级的立法、政策规定侵害个人信息安全的具体惩罚方式，设置除损害赔偿金额外的高昂惩罚性赔偿金额以提高其不法行为的成本。同时还可将侵权人的侵权行为纳入其个人信用体系之中，以达到遏制侵害个人信息安全行为发生的效果。

　　4.2.3 设置诉前救济措施

　　由于诉讼时间较长、调查取证存在一定的困难，等待诉讼判决后的救济往往会给扩大事件的不良后果，给个人信息遭到泄露的公民造成难以估量的人身或财产损失。因此在诉讼救济中可以设置类似票据挂失止付和知识产权侵权案件中的诉前禁令措施，及时有效避免公民因信息泄露遭受更大的损失。

　　5 结语

　　我们现在在反复强调国家信息安全的重要性，但个人信息安全也同样重要。纵观世界其他国家，近几年都逐步加强了对个人信息安全的保护。随着信息化的蓬勃发展，信息之间的流转越来越频繁，我们逐渐意识到个人信息安全在社会生活中所面临的风险，中国加快将《个人信息安全法》提上立法议程不仅是顺应大数据时代发展的选择，更是我国全面深化依法治国的选择，笔者相信，未来几年内中国必将会建立起完善的个人信息保护制度来保护公民的个人信息安全、实现依法治国。

　　作者：王霁云 来源：卷宗 2015年8期