我國(guó)個(gè)人信息安全立法現(xiàn)狀分析與立法建議

摘要當(dāng)前我國(guó)個(gè)人信息安全保護(hù)的現(xiàn)狀令人堪憂，現(xiàn)有法律法規(guī)效力等級(jí)低、內(nèi)容零散，缺乏具體、可操作的規(guī)定。缺乏統(tǒng)一的專門性法律已經(jīng)成為危害個(gè)人信息安全的最根本原因。在此背景下，出臺(tái)《個(gè)人信息安全保護(hù)法》，建立完善的個(gè)人信息安全法律保護(hù)體系已經(jīng)迫在眉睫。本文針對(duì)我國(guó)個(gè)人信息安全保護(hù)的立法模式、基本原則、權(quán)利義務(wù)的規(guī)定、個(gè)人信息侵權(quán)行為的法律責(zé)任、個(gè)人信息安全監(jiān)管機(jī)構(gòu)和監(jiān)管職責(zé)等問題提出了自己具體的立法建議。

關(guān)鍵詞個(gè)人信息安全 立法現(xiàn)狀分析 立法建議

中圖分類號(hào):D920.4文獻(xiàn)標(biāo)識(shí)碼:A

1 國(guó)內(nèi)個(gè)人信息安全立法現(xiàn)狀

從立法來(lái)看，目前我國(guó)尚未形成完整的個(gè)人信息安全的法律保護(hù)體系，個(gè)人信息安全內(nèi)容散見于憲法、刑法和一些民事立法中，部門法中并沒有直接承認(rèn)個(gè)人信息權(quán)，對(duì)個(gè)人信息安全的保護(hù)范圍僅限于個(gè)人隱私信息這類敏感個(gè)人信息，而且并沒有為隱私權(quán)提供獨(dú)立的保護(hù)，而是納入名譽(yù)權(quán)，在對(duì)公民名譽(yù)權(quán)保護(hù)的同時(shí)，間接地保護(hù)公民隱私權(quán)。執(zhí)行手段也很少，且沒有規(guī)范數(shù)據(jù)出口。

2 我國(guó)現(xiàn)有立法在個(gè)人信息安全保護(hù)方面存在的不足

2.1 缺少統(tǒng)一的專門的立法

我國(guó)雖然對(duì)個(gè)人信息安全有了一些間接的或局部的立法規(guī)定，但從個(gè)人信息保護(hù)的要求來(lái)看，還是缺乏一部統(tǒng)一的、效力層次高的、專門規(guī)范個(gè)人信息安全的法律制度。對(duì)于哪些信息屬于個(gè)人信息、哪些信息可以合法使用、對(duì)于不正當(dāng)使用如何追究等根本性問題缺少相應(yīng)的規(guī)范。要用法律規(guī)范上述基本性問題，必須要制定專門性法律文件。

2.2 效力層次普遍較低，系統(tǒng)性差，法律法規(guī)之間缺乏協(xié)調(diào)配合

現(xiàn)有涉及個(gè)人信息安全的立法規(guī)范，最多的是行政法規(guī)和地方性法規(guī)，效力層次普遍較低，往往是對(duì)本部門、本地方涉及個(gè)人信息安全的某一方面問題作出規(guī)范，缺乏系統(tǒng)性。憲法、民法、刑法等基本法中只有個(gè)別法條有關(guān)于個(gè)人信息的零散的規(guī)定，更多的是以司法解釋等非正規(guī)的形式，并且缺乏配套法律的完備，致使法律規(guī)定流于形式。

2.3 個(gè)人信息保護(hù)范圍狹窄

這體現(xiàn)在兩個(gè)方面:一是需要保護(hù)的個(gè)人信息范圍狹窄。現(xiàn)行立法對(duì)個(gè)人信息安全的保護(hù)范圍僅停留在隱私保護(hù)的層面，而且對(duì)哪些個(gè)人信息屬于隱私也沒有界定。對(duì)于個(gè)人隱私信息以外的其他個(gè)人信息安全，僅關(guān)注身份證信息、通信、儲(chǔ)蓄賬戶等敏感的個(gè)人信息安全，除此之外的其他大量個(gè)人信息的安全保護(hù)，尤其反映個(gè)人物質(zhì)生活狀態(tài)的信息(如個(gè)人消費(fèi)記錄等)基本沒有規(guī)定，這無(wú)疑是當(dāng)前法律保護(hù)的空白。二是個(gè)人信息保護(hù)的責(zé)任主體范圍狹窄。以《中華人民共和國(guó)居民身份證法》為例，該法是目前我國(guó)對(duì)個(gè)人信息安全最直接的立法，但其第六條第三款規(guī)定的責(zé)任主體只限于公安機(jī)關(guān)及其人民警察。實(shí)際生活中，很多行業(yè)需要使用身份證進(jìn)行實(shí)名登記。該法對(duì)于工商、銀行、電信、賓館、航空等行業(yè)在使用身份證過(guò)程中知悉的公民個(gè)人信息，卻沒有規(guī)定保密義務(wù)。該法第十九條僅把人民警察列為泄露個(gè)人信息的責(zé)任主體，對(duì)其他眾多可能泄露個(gè)人信息的主體卻完全沒有規(guī)定。

2.4 現(xiàn)有立法保護(hù)內(nèi)容片面

我國(guó)現(xiàn)有法律法規(guī)對(duì)公民個(gè)人信息的保護(hù)還處于最初級(jí)的階段。除了《廣東省電子交易條例》和《上海市個(gè)人信用征信管理試行辦法》在電子商務(wù)和個(gè)人信用征信領(lǐng)域立法較為完善以外，其他法律法規(guī)對(duì)個(gè)人信息的保護(hù)都是片面的、支離破碎的或者僅僅涉及個(gè)人信息流動(dòng)的某一環(huán)節(jié)，保護(hù)內(nèi)容無(wú)論在深度上還是廣度上都遠(yuǎn)遠(yuǎn)不能滿足人們的實(shí)際需要。

從立法保護(hù)的權(quán)利范圍看，立法者對(duì)個(gè)人信息權(quán)的保護(hù)僅提出防御性的權(quán)利，即防止個(gè)人信息或隱私被非法披露和公開;對(duì)于積極性質(zhì)的個(gè)人信息權(quán)，即個(gè)人信息主體的權(quán)利，尤其是報(bào)酬請(qǐng)求權(quán)等財(cái)產(chǎn)權(quán)，現(xiàn)有的法律法規(guī)中幾乎沒有涉及。

2.5 沒有建立民事補(bǔ)償機(jī)制

根據(jù)中國(guó)現(xiàn)行法律的規(guī)定，個(gè)人信息受到侵害后，責(zé)任主體承擔(dān)法律責(zé)任的范圍僅限于行政責(zé)任和刑事責(zé)任，存在著重“刑事處罰”和“行政管理”，輕“民事確權(quán)”和“民事歸責(zé)”的狀況。在目前通過(guò)信息網(wǎng)絡(luò)收集大量個(gè)人信息并且非法用于商業(yè)用途的案例日益增多的情形下，應(yīng)該建立一套完善的民事補(bǔ)償機(jī)制，使個(gè)人信息遭受侵害后，信息主體的財(cái)產(chǎn)及非財(cái)產(chǎn)損失能得到實(shí)質(zhì)性的補(bǔ)償。

3 立法建議

我國(guó)在制定個(gè)人信息安全的法律法規(guī)時(shí)，應(yīng)當(dāng)兼顧個(gè)人信息的“權(quán)利保護(hù)”與個(gè)人信息的 “自由流動(dòng)”，以達(dá)到二者之間的和諧與平衡。

3.1 立法模式

筆者認(rèn)為，我國(guó)應(yīng)該統(tǒng)一交叉立法規(guī)范個(gè)人信息保護(hù)，走他律統(tǒng)—立法模式。同時(shí)并不排斥自律。張新寶教授也曾說(shuō)“就我國(guó)而言，國(guó)家立法主導(dǎo)模式更符合我國(guó)的國(guó)情，但同時(shí)也要鼓勵(lì)產(chǎn)業(yè)界建立相應(yīng)的自律機(jī)制?！?/p>

統(tǒng)一交叉立法模式要求:首先中央層面應(yīng)盡快出臺(tái)統(tǒng)一適用的個(gè)人信息安全保護(hù)的基本法，確立個(gè)人信息安全保護(hù)的基本框架;在此框架之下，各部門應(yīng)以此為依據(jù)，結(jié)合自己部門的特殊性來(lái)確立和完善個(gè)人信息保護(hù)方面的規(guī)定。兩方面相配合，才能建立比較完善的個(gè)人信息安全保護(hù)法律體系。

3.2 效力層次

目前已有的個(gè)人信息安全法律法規(guī)中以部門規(guī)章和地方性法規(guī)為多數(shù)，這些部門規(guī)章和地方法規(guī)的效力層次較低，直接導(dǎo)致其適用范圍和力度的不足。并且由于缺乏級(jí)別更高的法律的指引，關(guān)于個(gè)人信息安全的法律法規(guī)系統(tǒng)性差，還沒有形成統(tǒng)一、穩(wěn)定的法律原則，規(guī)定之間缺乏必要的呼應(yīng)和協(xié)調(diào)，甚至存在著一些沖突和不一致的地方。因此，我國(guó)《個(gè)人信息安全法》應(yīng)該是一部統(tǒng)一適用的專門性法律，以憲法為依據(jù)，其效力層次應(yīng)該是高于行政法規(guī)、地方性法規(guī)和部門規(guī)章。

3.3 立法目的

為保證個(gè)人信息安全，保障公民的人格利益和財(cái)產(chǎn)利益，同時(shí)促進(jìn)個(gè)人信息的自由流動(dòng)應(yīng)該成為《個(gè)人信息安全法》的立法目的。個(gè)人信息保護(hù)法一方面需要保護(hù)個(gè)人權(quán)利;另一方面，又不能阻礙正常的信息流動(dòng)，阻礙社會(huì)的進(jìn)步。

3.4 立法原則

我國(guó)個(gè)人信息保護(hù)的基本原則建議以O(shè)ECD8條原則為藍(lán)本，因?yàn)樵?項(xiàng)原則科學(xué)合理，已成為世界各國(guó)進(jìn)行個(gè)人信息保護(hù)國(guó)內(nèi)立法所依循、遵守的重要準(zhǔn)則。我國(guó)遵循8條原則，在此基礎(chǔ)上根據(jù)我國(guó)情況加以修正，有助于同國(guó)際通行規(guī)則保持一致性。

3.5 立法保護(hù)范圍

個(gè)人信息都是立法保護(hù)的范圍，但立法保護(hù)的程度和方式應(yīng)根據(jù)信息主體的身份不同和信息內(nèi)容的不同而有所區(qū)別。首先，特殊群體的個(gè)人信息應(yīng)作特別規(guī)定。通常是指未成年人、名人、公務(wù)員的個(gè)人信息。由于這些人或?qū)儆谌鮿?shì)群體，或?qū)儆诠娙宋铮驅(qū)儆诠怖娴闹苯诱瓶厝?，?duì)他們的個(gè)人信息的法律保護(hù)應(yīng)不同于一般的社會(huì)群體。其次，立法應(yīng)明確區(qū)分絕對(duì)禁止收集的個(gè)人信息和相對(duì)禁止收集的個(gè)人信息。絕對(duì)禁止收集的個(gè)人信息包括裸照、性生活信息、不為人知的重大疾病缺陷等與人格尊嚴(yán)有直接關(guān)系的個(gè)人隱私信息，一經(jīng)披露或?yàn)樗酥ぃ蜁?huì)對(duì)主體的尊嚴(yán)、社會(huì)評(píng)價(jià)或精神造成消極影響，因此才需要保密，未經(jīng)允許不得擅自收集、披露和利用。此外對(duì)于與公民人格尊嚴(yán)和財(cái)產(chǎn)安全沒有直接關(guān)系的個(gè)人信息，應(yīng)在征得信息主體同意并保證不得后續(xù)濫用的前提下，允許合法的信息使用者收集處理使用。因?yàn)檫@類個(gè)人信息公開本身并不會(huì)直接對(duì)信息主體造成傷害，而真正造成傷害的是后續(xù)的濫用行為。如果對(duì)個(gè)人信息不加區(qū)分，全盤禁止，無(wú)法保障人們正常社會(huì)活動(dòng)和社會(huì)交往的需要，不利于個(gè)人信息的自由流動(dòng)和合法化利用，不利于信息主體財(cái)產(chǎn)權(quán)的實(shí)現(xiàn)。再次，立法應(yīng)分為政府機(jī)關(guān)與其他個(gè)人信息處理者兩部分，對(duì)信息處理范圍作分別規(guī)定。對(duì)于其他個(gè)人信息處理者，信息處理范圍應(yīng)列禁止性規(guī)定;而對(duì)于政府機(jī)關(guān)，應(yīng)在個(gè)人信息安全基本法框架下，在各部門立法中明確規(guī)定政府機(jī)構(gòu)各部門允許收集的個(gè)人信息范圍，并規(guī)定超越職權(quán)收集個(gè)人信息的法律責(zé)任。

3.6 個(gè)人信息安全法律保護(hù)中的權(quán)利、義務(wù)規(guī)定

3.6.1 個(gè)人信息主體的權(quán)利范圍

所謂個(gè)人信息主體，是指通過(guò)個(gè)人信息可以被識(shí)別出來(lái)的特定的自然人。個(gè)人信息直接或間接指向該自然人，個(gè)人信息的內(nèi)容反映了該個(gè)人的身份特征。維護(hù)個(gè)人信息安全的本質(zhì)就在于維護(hù)信息主體的人格權(quán)益和財(cái)產(chǎn)權(quán)。個(gè)人信息主體的權(quán)利可謂“個(gè)人信息權(quán)”，它是一系列權(quán)利的集合，是一個(gè)“權(quán)利束”。它由以下六項(xiàng)具體權(quán)利組成。

(1)信息的決定權(quán)。信息決定權(quán)是指信息主體得以直接支配和控制其個(gè)人信息，并決定個(gè)人信息是否被處理以及以在何時(shí)、用何種方式、以何種程度、為何種目的、范圍被處理的權(quán)利。決定權(quán)在個(gè)人信息權(quán)中處于核心地位，它集中反映了信息權(quán)利的人格屬性——絕對(duì)性和支配性。信息決定權(quán)具體體現(xiàn)為:①支配、控制權(quán);②知悉權(quán);③信息主體對(duì)個(gè)人信息有最終決定權(quán);④直接行銷禁止權(quán)。

(2)信息保密權(quán)，是指信息主體得以請(qǐng)求信息處理主體保持信息隱秘性的權(quán)利。

(3)信息公開請(qǐng)求權(quán)，又稱信息查詢權(quán)，是指信息主體有權(quán)要求信息處理主體公開其所持有的關(guān)于本人的個(gè)人信息，了解自己的個(gè)人信息被搜集和使用的具體情形;有權(quán)查閱、使用自己的個(gè)人信息。

(4)信息的維護(hù)權(quán)，是指當(dāng)信息為他人合法獲取后，信息主體仍享有維護(hù)個(gè)人信息真實(shí)、完整、準(zhǔn)確的權(quán)利。

(5)信息利用的報(bào)酬請(qǐng)求權(quán)。報(bào)酬請(qǐng)求權(quán)是指信息主體因其個(gè)人信息被商業(yè)性利用而得以向信息處理主體請(qǐng)求給付相應(yīng)報(bào)酬的權(quán)利。報(bào)酬請(qǐng)求權(quán)體現(xiàn)了個(gè)人信息的財(cái)產(chǎn)屬性。

(6)損害賠償請(qǐng)求權(quán)。賠償請(qǐng)求權(quán)是指因個(gè)人信息的不正確、不完整、丟失或非法搜集、處理、傳輸、公開、使用而致使信息主體的利益遭受侵害并造成損失的情形下，本人得以請(qǐng)求財(cái)產(chǎn)或精神賠償?shù)臋?quán)利。

3.6.2 個(gè)人信息使用者的義務(wù)

所謂的個(gè)人信息使用者，是指為實(shí)現(xiàn)一定的目的而使用公民個(gè)人信息的組織或個(gè)人，信息使用者對(duì)個(gè)人信息的不當(dāng)使用會(huì)侵犯公民的權(quán)利，這種情況下，信息使用者扮演著侵權(quán)人的角色。

(1)個(gè)人信息使用者的類型。個(gè)人信息的使用者主要包括兩類:一是政府及其他公共管理部門;二是商家、網(wǎng)站、專門的數(shù)據(jù)庫(kù)經(jīng)營(yíng)者及某些個(gè)人。

(2)個(gè)人信息使用者的法律義務(wù)。①政府部門以外的其他個(gè)人信息使用者，搜集或使用個(gè)人信息之前，需向信息主管部門登記，并需獲得信息主管部門的行政許可，才能獲得相應(yīng)的使用資格。②搜集和使用個(gè)人信息之前通知本人并取得同意(法律另有規(guī)定除外)，須有合法、正當(dāng)目的且不得超出該目的搜集和使用。③采取必要的保密措施，確保所持有的個(gè)人信息的安全，防止個(gè)人信息的泄漏、丟失、損毀或其他安全事故。④允許信息主體查閱、使用自己的個(gè)人信息。⑤職業(yè)義務(wù):信息使用者及其工作人員對(duì)任職期間因處理個(gè)人信息所獲知的內(nèi)容，負(fù)有保守秘密的職業(yè)義務(wù)，不得擅自告知他人或者以其他方式加以披露或使用。⑥不履行上述義務(wù)或履行不完全應(yīng)承擔(dān)法律責(zé)任。法律責(zé)任包括民事責(zé)任、行政責(zé)任、刑事責(zé)任。

參考文獻(xiàn)

[1]梅紹祖.個(gè)人信息保護(hù)的基礎(chǔ)問題研究.蘇州大學(xué)學(xué)報(bào)(哲學(xué)社會(huì)科學(xué)版)，2005(2):28.

[2]洪海林.個(gè)人信息保護(hù)立法理念探究——在信息保護(hù)與信息流通之間.河北法學(xué)，2007(1):108.

[3]尚曉宇.網(wǎng)絡(luò)個(gè)人資料保護(hù)應(yīng)采取國(guó)家主導(dǎo)立法模式.檢察日?qǐng)?bào)，2003(10):27.