個人信息安全保護的法律研究

王霽云

摘 要：隨著互聯網以及信息化的高速發展，人們在享受數據帶來的方便、快捷的同時，也面臨著個人信息遭遇泄露的風險以及因此而帶來的諸多影響正常生活的困擾。本文以我國個人信息安全保護為研究對象，通過對比國外有關個人信息安全保護的立法現狀，對我國在此領域的法律問題進行分析并提出完善建議，以期推動我國《個人信息安全法》的立法進程。

關鍵詞：個人信息；安全；法律保護

在當前大數據時代的背景下，人們對數據信息安全的要求達到了前所未有的高度。而現在，通過各種各樣的渠道都可能會導致個人信息的泄露，例如銀行、購房購車、實名買票等。2015年3月13日中國消費者協會發布《2014年度消費者個人信息網絡安全報告》（以下簡稱《2014網絡安全報告》），報告顯示2014年度消費者個人信息保護現狀滿意度低，非常不滿意和不滿意的受訪者占比多達56.58%，約有三分之二受訪者2014年個人信息被泄露。近年來，隨著個人信息泄露引發的糾紛案件的增多，如何對個人信息加以保護，在互聯網大數據時代就顯得尤為重要。

1 個人信息安全基本概述

1.1 個人信息的定義

關于個人信息的定義，目前理論界尚未有統一的規定，主要存在“關聯型”、“隱私型”和“識別型”三種定義。關聯型是將與個人有關的所有信息都歸入個人信息的范疇內；隱私型則僅指涉及個人隱私的信息；而識別型是指能夠通過識別將個人與他人區別開來的個人信息。

2012年的《信息安全技術公共及商用服務信息系統個人信息保護指南》將個人信息定義為可為信息系統所處理、與特定自然人相關、能夠單獨或通過與其他信息結合識別該特定自然人的計算機數據，個人信息可分為個人敏感信息和個人一般信息。

工信部2013年7月公布的《電信和互聯網用戶個人信息保護規定》在第四條中對“個人信息”做了如下的定義：“本規定所稱用戶個人信息，是指電信業務經營者和互聯網信息服務提供者在提供服務的過程中收集的用戶姓名、出生日期、身份證件號碼、住址、電話號碼、賬號和密碼等能夠單獨或者與其他信息結合識別用戶的信息以及用戶使用服務的時間、地點等信息。”

筆者認為，個人信息應當是指包括姓名、出生日期、身份證件號碼等身份信息，不動產、機動車、銀行賬戶等財產信息，以及包括健康等其他信息在內的，能夠直接或間接識別公民個人的一切信息。

1.2 個人信息安全面臨的風險

由于個人信息具有巨大的價值性，才導致近年來越來越多的竊取公民個人信息以此獲利案件的發生，個人信息販賣的產業鏈也慢慢進入人們的視野內。據消協《2014網絡安全報告》顯示，一條價值較高的用戶信心甚至可以被賣至數千元。

目前個人信息安全面臨的風險主要有以下兩種：

1）非法收集個人信息。人們在進行網絡消費或者使用網絡其它功能時，都會被要求填寫一些個人信息，這些信息有的是需要實名認證的，有的則不需要；有的是使用時必需的信息，有的則不是。通常網絡后臺會對這些信息進行儲存以便于用戶再次使用，但這其中也包括一部分非必需信息就是為了服務商提供后續服務或商品而在用戶無意識的狀況下被收集了起來。如果服務商的系統存在漏洞，極有可能再次發生類似攜程網的事件。

2）非法使用個人信息。人們收集信息的目的就是為了使用信息，非法使用個人信息主要有兩種方式，一是將個人信息轉賣，二是利用個人信息進行敲詐、騷擾等。消協《2014網絡安全報告顯示》有八成受訪者表示在信息遭到泄漏后收到過各種形式的騷擾，嚴重影響個人生活。

2 我國關于個人信息安全保護的現狀

涉及個人信息安全的保護可分為法律保護、企業行業制度規范、計算機網絡通信技術以及公民個人自我防范等，本節僅就法律保護有關方面的現狀進行分析。

2.1 個人信息保護的立法現狀

目前我國尚未出臺統一的有關個人信息安全保護的專門法律，據不完全統計，涉及個人信息安全保護方面的法律有將近40部，法規有30余部，另外還有一些存在于部門規章和地方性法規之中。其中：

首先，在憲法層面上，我國并沒有在憲法中明確規定公民的個人信息權，也就是在憲法中沒有提到對公民個人信息安全的保護。

其次，在民法領域，有觀點認為個人信息安全如隱私權一樣適用有關人格尊嚴的規定，因此《民法通則》第101條對公民人格尊嚴的保護，也可以視為對公民個人信息安全的保護。而民法領域對個人信息比較明確的規定出現在2014年最新修訂的《消費者權益保護法》之中，第14條和第29條分別從消費者權利以及經營者義務兩個方面對消費者個人信息予以明確的保護，同時還在第50條、56條規定了相應的法律責任。

再次，在刑法領域主要體現在《刑法修正案七》中，其中第七條的規定對出售、非法提供公民個人信息罪和非法獲取公民個人信息罪作出了規定，但前者的行為主體只限定于“國家機關或金融、電信、交通、教育、醫療等單位的工作人員”，并未將企業或公民個人納入其中，同時該條也未對“公民個人信息”的范圍做出具體的界定。

最后，為了加強對個人信息的保護，全國人大常委會分別在2000年和2013年出臺的《關于維護互聯網安全的決定》和《關于加強網絡信息保護的決定》均明確表示保護公民個人信息安全，工信部出臺的《電信和互聯網用戶個人信息保護規定》等部門規章對公民個人信息收集、保障措施、監督檢查及法律責任做出了具體規定，但由于尚未明確“主管部門”究竟為何部門，因此在實踐中缺乏可操作性。

2.2 個人信息保護的行政執法監管現狀

首先，我國尚未成立專門負責個人信息安全保護的監管機構或者部門，且法律法規中規定的“有關主管部門”也未具體確定，于是在實踐中就會出現當公民在其個人信息受到侵害后尋求救濟時，多個行政機構之間相互推諉，大大降低了行政執法的效率。

其次，從法律法規的條文規定來看，行政機關的監管方式大多采取的是一種事后監管的方式，然而事后監管很難做到對存在的風險進行防控。同時由于個人信息具有無形性，又通過網絡傳輸，導致了侵權行為調查取證難，只進行事后監督難以及時發現侵權行為并做出有效反應。

最后，從目前已經發生的案件來看，行政機關并沒有形成對涉及侵害公民個人信息安全行為的有效監管，往往在發生大規模的個人信息泄露后，由公安機關介入調查。從案件的處理結果來看，雖然規定了一些諸如警告、罰款、沒收違法所得、吊銷許可證等常見的行政處罰措施，且處罰力度較輕，往往行政處罰不具有威懾性，多數案件最后都是以刑事處罰終結的。

3 國外個人信息保護立法情況

國外保護個人信息安全領域的法律體系基本比較成熟，本文主要介紹歐盟和美國的相關立法情況，以期對我國健全個人信息安全法律體系提供一些啟示。

3.1 歐盟保護個人信息安全的立法

歐盟對個人信息安全的立法經歷了由成員國單獨立法到歐盟內部出臺統一法規的過程。除歐洲各國的立法外，1995年10月24日歐洲議會和歐盟理事通過了《關于在個人數據處理過程中保護當事人及此類數據自由流通的指令》（簡稱歐盟數據保護指令），這是歐盟在個人信息保護方面最重要的指令之一。盡管這一指令并不具備直接的執行效力，但歐盟通過此指令，要求其成員國修改或制定國內法以達到歐盟內部對此類問題的統一性。

通過立法，歐盟規定了個人信息保護的主要執行機構包括：歐洲法院、歐盟數據保護專員、第29條工作組、第31條委員會以及如歐洲網絡與信息安全局在內的其他機構。

3.2 美國保護個人信息安全的立法

眾所周知，美國一直重視有關信息安全方面的立法，其在信息安全上的立法可分為保障國家及政府信息安全的立法、保障商業組織信息安全的立法以及保障個人信息隱私的立法，并且高度強調個人信息隱私的至高性。

美國最初是根據憲法第四修正案中規定的“隱私權”來對個人信息進行保護的，在后來的憲法修正案雖未正式將“個人信息安全”納入到其中，但從判例上看，隱私權是可以成為抗辯主張的。

相較于歐盟的統一立法模式，美國采取了分散立法的模式，除了憲法對個人信息進行保護外，美國在此方面最大的特點是其聯邦成文法對個人信息的保護十分全面、幾乎涵蓋了各個領域，其中的《電子通訊隱私法》可以說是目前有關網絡個人信息安全最全面的立法。這些法律在各自的領域發揮著重要作用，共同推動美國保護個人信息安全法律體系的發展。

4 對我國加強個人信息保護的法律對策及建議

根據消協《2014網絡安全報告》顯示，受訪者在個人信息安全受到侵害后，極少數會選擇通過法律途徑救濟，而2014年6月，我國正式在境內全面推行網絡實名制，實名制對個人信息安全提出了更高的要求。面對日益嚴峻的個人信息安全問題，加快推進我國個人信息安全保護的法律體系建設勢在必行。

4.1 制定頒布統一的《個人信息安全法》

個人信息權作為公民的一項人格權，應當獲得來自國家力量的保障，而涉及到全體公民的個人信息安全并不能單單依靠部門規章、地方性法規等偏低層級的立法來規范，基于我國的國情和目前的立法體系，個人信息安全的保護更應該由一部經全國人大審議通過的專門性法律予以規范，以減少法律空白的出現，實現對公民個人信息的全面保護。

在統一的《個人信息安全法》的內容中，首先應當對個人信息做出的界定，明確受保護的個人信息的范圍。其次，明確《個人信息安全法》的原則及保護措施，對包括收集、加工、轉移、利用、刪除等環節做出具體要求。最后，確定侵害個人信息安全行為的具體表現、法律責任以及處罰范圍和措施做出詳細的規定，以便在未來的實踐中有法可依。

除了《個人信息安全法》外，還應當在刑法、行政法領域的其他相關法律法規中對個人信息安全的保護予以規定。通過《個人信息安全法》的總領性作用，逐漸細化在各個領域內的相關立法，逐步確立個人信息安全保護的法律體系。

4.2 強化執法力度與完善救濟途徑

4.2.1 設置獨立的執法機構

設置獨立的執法機構或部門有助于為保護個人信息安全提供，可以設置一個類似消協但非社會團體的行政監管機構或者在工信部之下設置一個單獨的監管部門來處理有關個人信息安全保護的問題。該監管機構享有單獨的保障個人信息安全的執法權，負責保障《個人信息安全法》等相關法律的實施，同時負責對個人信息安全的法律普及和宣傳工作，提高公民保護個人信息的意識。除此之外，該機構還應當負責對外加強國際合作，推動我國在此領域的立法、標準等與國際接軌。

4.2.2 加大對侵害個人信息安全行為的處罰力度

目前國家對侵害個人信息安全行為的處罰力度較小，相對于個人信息的巨大商業價值，非法竊取、收集、利用公民個人信息的成本明顯較低，因此有必要加大對此類行為的處罰力度。通過各個層級的立法、政策規定侵害個人信息安全的具體懲罰方式，設置除損害賠償金額外的高昂懲罰性賠償金額以提高其不法行為的成本。同時還可將侵權人的侵權行為納入其個人信用體系之中，以達到遏制侵害個人信息安全行為發生的效果。

4.2.3 設置訴前救濟措施

由于訴訟時間較長、調查取證存在一定的困難，等待訴訟判決后的救濟往往會給擴大事件的不良后果，給個人信息遭到泄露的公民造成難以估量的人身或財產損失。因此在訴訟救濟中可以設置類似票據掛失止付和知識產權侵權案件中的訴前禁令措施，及時有效避免公民因信息泄露遭受更大的損失。

5 結語

我們現在在反復強調國家信息安全的重要性，但個人信息安全也同樣重要。縱觀世界其他國家，近幾年都逐步加強了對個人信息安全的保護。隨著信息化的蓬勃發展，信息之間的流轉越來越頻繁，我們逐漸意識到個人信息安全在社會生活中所面臨的風險，中國加快將《個人信息安全法》提上立法議程不僅是順應大數據時代發展的選擇，更是我國全面深化依法治國的選擇，筆者相信，未來幾年內中國必將會建立起完善的個人信息保護制度來保護公民的個人信息安全、實現依法治國。

參考文獻

[1] 中國消費者協會. 2014年消費者個人信息網絡安全報告[R].北京：中國消費者協會，2015.

[2] 白云.個人信用信息法律保護研究[M].北京，法律出版社，2013：9-10.

[3] 李明.“大數據時代”的美國隱私權保護制度[EB/OL].http：//www.china-cloud.com/yunjishu/shujuzhongxin/20141210_44162.html，2014年12月10日.

[4] 謝青.日本的個人信息保護法制及啟示[J].政治與法律，卷號（期號），發表年，152-157.