互聯網個人信息的保護與合理使用的法律規制

柳劍晗，周偉良

(1.安徽行政學院/安徽經濟管理學院 社會與公共管理系；2.安徽行政學院/安徽經濟管理學院 管理學教研部，安徽 合肥 230059)

中國大步邁進信息化時代，互聯網為信息化提供了一個寬廣的平臺，數億公民在這個大平臺上提交信息、獲取信息、存儲信息、交流信息。

信息化的發展推動了電子政務、電子商務的產生與發展。各級政府部門運用現代信息技術，搭建起全面、高效、公平的政府運作平臺，對公民個人信息的收集、存儲進入信息化程序，建立起相應的綜合個人信息數據庫。

電子商務迅速發展，各經營主體為經營、服務的需要如網上銷售、網上報名、網上貸款、網上售票、網上查詢資料、下載資料等等對公民個人信息進行收集、存儲、交流。公民提交的各類信息，包括姓名、年齡、通訊地址、身份證號碼、職業、婚姻狀況等，甚至還包括諸如自身生理的缺陷、病歷記錄、人臉識別等極具個人隱私的信息。這些信息是反映主體的自然屬性和社會屬性的原始數據資料，真實、可靠，直接指向信息主體個人，是直接個人信息。

互聯網深入到人們工作、生活的每個角落，自然人以實名或匿名的身份所進行的網絡行為被真實地、一絲不茍地記錄下來，信息主體個人的活動軌跡與信息痕跡等數據資料，被存儲到網絡的數據庫中。這些數據反映信息主體的興趣、愛好、消費能力、行為方式等,一般也真實、可靠，有的雖不直接指向信息主體本人，但經過與其它信息組合、分析、識別，也可以指向信息主體本人，是間接個人信息。存儲在各個網站的個人信息是重要的商業資源，數億萬個信息主體的信息資料在大量聚集，經信息控制者去識別化程序處理后，以大數據的形式呈現出來的龐大的信息數據集合是排除了個人身份特征的脫敏信息，已不再具備識別主體功能，卻可以反映出經濟的動向，社會的需求。

一方面，每個公民對存放在互聯網平臺上的個人信息，享有個人信息權。信息主體出于對人格尊嚴的保護，一般不愿意個人信息被他人知曉，更不愿意為他人利用。但在現實中，個人信息被盜用、濫用的情況卻屢見不鮮。

另一方面，個人信息內含的商業價值，會給信息的控制者帶來巨大的商機和利潤。個人信息需要走向交易市場，成為大數據產業的基礎。信息控制者發掘它的商業價值，進行商業運作，推動新的商業服務模式產生，促進經濟快速發展，方便人民的生活，這是社會的進步，時代的需求。

既要保障信息主體的人格權和財產權，也要順應時代發展，開發個人信息的商業價值，推動經濟發展。如何平衡“對個人信息權保護”和“合理開發利用個人信息”之間的關系，是我們急需解決的問題。

一、個人信息具有人格權和財產權雙重屬性，應予以法律保護

個人信息是一組能夠識別特定個人的信息組合，包括姓名、年齡、家庭住址、家庭收入、電話號碼、醫療記錄，也可以是日常行走路線、個人消費愛好、上網查閱資料記錄等。隨著信息化的深入發展，個人信息的內容越來越豐富，幾乎可以包含信息主體的所有自然屬性和社會屬性。個人信息最基本的特征是具有可識別性，即可以根據一系列數據信息，識別出現實生活中的具體的個體。個人信息的可識別性特征使其屬于人格權的屬性已為學術界逐步肯定。保護人格尊嚴和人格自由，就應保護個人信息權不受侵害。

在信息時代,個人信息所具有的潛在的商業價值使之又具有財產權的屬性。“個人信息財產權是指個人對其個人信息中所蘊涵的商業性使用價值而非人格利益的支配權?！盵1]個人信息財產權屬性主要體現在其商業價值上。信息主體對個人信息的商業性使用價值享有占有、使用、收益、處分的權利，應該受到財產權的保護。隨著信息技術快速發展，個人信息商業價值日漸凸顯，所蘊含的財產價值也不斷提升。個人信息可以因被許可使用而獲得直接經濟利益，也可以被商家用于市場營銷而獲利。

針對同一矢量圖形的文件，CDR格式文檔要遠遠小于AI格式文檔；地圖中若含有柵格圖像，CDR格式的文檔也比含相同要素的AI格式的文檔小。

向相關的網站提交自己的個人信息，使信息主體在外出旅行、餐館訂餐、乘車購票、日常購物、查詢資料等方面享受著精準服務帶來的極大便利，但同時身份、位置、銀行賬號等重要個人信息也可能正被信息控制者泄露和濫用。其結果可能是垃圾信息、推銷郵件、定向廣告鋪天蓋地地撲來，信息主體的個人生活的安寧權受到干擾、破壞；可能是個人銀行賬號被他人盜用，精準詐騙正在進行中，個人的財產權、健康權甚至生命權被侵犯；也可能是個人信息在存儲期間被篡改，完整性被破壞，真實人格被扭曲，個人的形象被損害；也可能是個人的生活軌跡被曝光，個人隱私被公示，人格尊嚴掃地；還可能是個人的遺忘權被侵犯，大數據忠實地記錄了每個人的人生軌跡，可以永久保留，而人們并不希望所有的往事被記錄、被提醒，它會使人們生活得小心翼翼，個人信息被遺忘權遭侵犯。

個人信息具有人格權和財產權雙重屬性。所以，當侵犯的是信息主體的人格權益時，法律應維護信息主體的人格尊嚴和人格自主，給予人格權保護；當涉及主體個人信息的商業性使用價值的財產利益時,就應該給予其財產權保護。對信息控制者收集、開發、利用個人信息的行為予以規范。

二、個人信息合理使用的必要性

科技的進步使得行政管理、商務經營、社會活動等都可以在網絡上完成，網絡化、信息化、數字化,形成了新的經濟體系——數字經濟。數字經濟是信息化發展的高級階段，是數字中國的重要組成部分，是驅動我國經濟發展的重要力量。

習近平總書記指出，要加快推進網絡信息技術自主創新、加快數字經濟對經濟發展的推動，加快提高網絡管理水平，加快增強網絡空間安全防御能力，加快用網絡信息技術推動社會治理，加快提升我國對網絡空間的國際話語權和規則制定權，朝著建設網絡強國目標不懈努力[2]。

各級政府部門通過網絡收集、整理公民個人信息建立行政管理的數據庫，快捷、方便、高速，大大提高了工作效率。經營商利用網絡進行經營活動，低成本、高速度、方便簡捷，對商家和消費者是雙贏的。大數據下的數字資源，容量巨大，內容豐富，存取方便，這其中最基本、最有價值的信息是個人信息。信息控制者通過對信息主體海量、高速、多變的數據進行有針對性的分析，可以了解信息主體的喜好，預測其未來需求，為其提供更好的個性化服務，同時數字經濟下的個人信息數據也成為重要的商業資源，信息主體在網絡上的社會活動數據和網絡交易數據被信息控制者用來作為規劃工作目標的重要依據。在數字經濟的環境中，大數據在為信息主體的需求提供方便、帶來高品質服務的同時，也給數據控制者帶來巨大的經濟效益，這是社會發展所需要的。

信息主體的個人信息權中財產權益與商家的個人信息數據庫的財產權益是有區別的。商家對海量的信息數據收集、加工、處理并匿名化后建立商家的個人信息數據庫，數億萬人海量的個人信息的集合可以挖掘出有價值的規律，衍生出新的商業服務模式。這里的信息，已經不是原來每個個體的個人信息，而排除了個人身份的脫敏信息，是脫離了人格屬性的數據財產，是能反映出經濟發展動向的數字集合。這個信息數據庫中的信息已經不再與現實中的個體一一對應了，也就是說不具備識別性的特征了，數據庫中的資料已經轉變為信息控制者享有財產權益的數據財富。

大數據的開發和利用是數字經濟發展的必然趨勢，個人信息的采集、存儲、利用、流動已成為常態，限制數據的開發利用會使我們錯失發展機會。在數字經濟時代，允許對個人信息合理、合法收集，是必要的。在合理、合法的范圍內強化對個人信息的利用，是社會發展的正常需求。注重發揮個人信息的經濟價值，鼓勵數據庫的市場化是市場發展的必然趨勢。所以在對個人信息權中財產權益保護的同時，也應認識到信息控制者在合法的收集、整理數億萬個人信息并去識別化后，形成的信息數據庫的財產權益已屬于信息控制者，應給予肯定和保護。

三、建立健全個人信息法律體系，加強對個人信息的法律保護和合理使用的法律規制

數字經濟時代需要信息的流動和分享，但不能犧牲對個人信息安全的保護。立法應推動科技的發展，防范規避技術發展中的風險，而不能因噎廢食。強調在對個人信息權保護的同時，也要肯定個人信息的合法利用，立法應對個人信息的法律保護與合理使用兩個方面進行規制，分清個人信息保護與個人信息的正常合法利用之間的界限，謹慎鑒定個人信息的法律保護范圍與界限，發揮個人信息最大社會價值，兼顧個人信息流動利用、個人信息安全保護等諸多方面因素。

2016年11月7日通過的《中華人民共和國網絡安全法》對個人信息做出了界定。該法第四章“網絡信息安全”共11條，用較大的篇幅專章規定了公民個人信息保護的基本法律制度。如：“網絡運營者應當對其收集的用戶信息嚴格保密，并建立健全用戶信息保護制度”；“網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意”。于2017年10月1日生效的《民法總則》以民事基本法的形式規定了個人信息，該法第一百一十一條明確規定自然人的個人信息受法律保護。

《民法總則》和《網絡安全法》為個人信息的立法工作奠定了基礎。但對個人信息的保護和利用需要進行進一步的立法。因為：第一，《民法總則》和《網絡安全法》作為基本法、上位法，無法對每個具體的權利做細化的、詳盡的規定，需要制定相應的下位法來細化、完善。第二，對個人信息保護和利用具有很強的技術性需求。《民法總則》《網絡安全法》很難對這些技術性規則作出相應的規定。第三，信息技術的發展正處在上升階段，日新月異，個人信息的收集、利用是依托著信息技術的進步與發展而發展的，這就意味著個人信息的類型、收集、利用隨著信息技術的進步與發展也會有新的發展和變化，相關的個人信息的法律法規就需要做出相應更新、變動和補充。而基本法需要相對穩定，所以對個人信息的保護和利用需要進行進一步的立法。

首先，在未來的《人格權法》中應該給個人信息權獨立的法律地位。人格權是以人格利益為客體的權利，是民事主體依法固有的為維護自身獨立人格所必備的權利，是維護公民人格尊嚴不被侵犯的權利。人格權應該是一個開放的、發展的體系，個人信息的內容如姓名、體重、家庭收入、電話號碼、銀行賬戶等，是每個公民自己所處的社會環境、地位、聲望、工作環境、家庭關系等各種主客觀的綜合，是其人格尊嚴、人格價值和社會價值的體現，需要得到尊重。個人信息權作為一項重要的人格權，應該被肯定。所以在未來的《人格權法》中應有相關條款，明確界定個人信息權是人格權的一個具體類型，規定個人信息權的相關內容。如個人信息權法律關系中主體的權利義務：信息主體對個人信息應享有的決定權、知情權、更正權、信息泄露救濟權、信息刪除請求權等基本權利。個人信息控制者應該承擔的義務，如收集信息的目的應合法、明確，收集他人個人信息，應告之收集的目的，收集的信息與收集目的應相關且必要；經信息主體同意方可收集其信息；收集的信息應準確完整；使用和轉移公民個人信息時，應征得信息主體的同意；信息存儲的期限應是有限的；對保管的個人信息，應當采取合理的措施，防止信息泄露、丟失、損毀等。

其次，針對個人信息權中涉及到的具體的、專門的、特殊性的問題，應制定《個人信息權法》及其相關的法律法規，建立起關于個人信息的完整法律體系。

對此，筆者提出以下幾點建議：

一是在《個人信息權法》中對個人信息的內涵作出準確界定。建議采用具體列舉式與一般條款式相結合的模式對個人信息內涵進行界定。僅用具體列舉式，無法窮盡個人信息的類別，且隨著信息技術的發展，還有新的信息類別產生；僅用一般條款式則過于抽象，可操作性差。采取結合的模式，通過列舉個人信息的典型類型，使個人信息的類別形象化、具體化，易操作；同時采用具有高度概括性和普遍實用性的一般條款來兜底界定其內涵，以應對隨著信息技術的飛速發展而可能產生的新的個人信息的類別。

二是個人信息的分類應考慮到對個人信息的保護的實際情況做出明確規定。對個人信息的類型分類，提議以“與信息主體關聯程度”為標準，從法律層面將個人信息分為敏感個人信息和一般個人信息。敏感個人信息是指可以直接或間接識別信息主體的含有個人隱私的敏感信息，如個人健康狀況、婚姻生活、財產狀況、文件密碼、資金賬號、犯罪記錄、指紋信息、人臉識別等，此類信息不經個人同意，不得收集、不得公開、不得利用，如確實需要，也應該經過法定的程序。除此以外的個人信息屬于一般個人信息，包括性別、年齡、購物記錄、聊天記錄、行走路線等，此類信息可反映出信息主體的興趣、愛好、生活習慣等，應允許信息控制者在合法合理的范圍內收集、開發、利用。

三是肯定個人信息的財產權益的屬性。信息主體對個人信息中的財產權益享有占有、使用、處分、收益的權利。在數字經濟的環境下，個人信息的商業化是客觀存在的，信息主體對自己的個人信息享有一定的財產權益已逐步被認可了。在個人信息被商業化使用的背景下，肯定信息主體對個人信息享有財產權可以為合法的個人信息交易提供相應的法律規范，也為因個人信息的財產權利用產生的糾紛提供相應的法律依據,真正促進信息產業的健康發展。

四是明確一定范圍內收集、利用個人信息的必要性和合法性。如經信息主體個人同意，信息控制者可以在合理、合法的范圍內開發個人信息；經去識別化后，為特定的目的可以開發利用；再如國家機關為執行行政職能對公民個人信息進行收集、利用，可以不需要征求個人同意；因緊急情況或意外事故的發生，可以根據需要公開信息主體的部分個人信息。

五是強調法律的預防功能，激勵信息控制者的自律?，F行個人信息的保護，往往表現出重刑事、輕民事，重事后處理、輕事前預防，重責任追究、輕過程防范，重懲罰、輕對當事人的有效激勵的機制。在個人信息權的法律關系中，信息控制者是強者，他們較全面、熟練地掌握了收集、存儲、利用、共享的技術方法，從而獲得對個人信息的實際控制權，而信息主體處在弱勢地位上，對自己的個人信息控制權很薄弱，一旦權益被侵犯，切實獲得救濟很有限。所以立法應明確信息控制者的責任義務，即通過規定當事人應承擔的責任來有效地引導人們正確行為，預防和遏制各種損害的發生，保持社會秩序的穩定和社會生活的和諧。激勵信息控制者的自律，將個人信息保護要求嵌入產品與服務之中，防患于未然，促使信息控制者積極履行責任，防范風險發生。樹立信息安全第一的理念，把數據當做核心資產，確立用戶個人信息至上的基本價值觀[3]。

六是區分個人信息權中的財產權益與個人信息數據庫財產權益，對個人數據信息進行區別保護和利用。在數字經濟時代，信息控制者對個人信息數據去識別化后的再開發利用已普遍存在。經過去識別化后進入信息數據庫的個人信息，已經不具備識別信息主體的功能了。信息控制者對這部分個人信息在嚴格的執行去識別化制度和禁止溯源制度，實現數據的不可追溯后，形成了可以反映經濟動態、社會發展趨勢的信息數據庫，以供商家進行開發利用，實現了對個人數據信息保護與利用的雙贏。這個數據庫的財產權屬于數據控制者，也應予以保護。

同時，對信息如何進行匿名化處理、如何不斷更新陳舊信息、禁止溯源制度如何落實等問題，要從法律層面和技術層面制定出嚴格的規章制度和切實可行的技術方案，建立信息利用的監督和追蹤機制，確保個人信息數據庫中的信息的不可識別，保護信息控制者數據庫的財產權益，推動數據信息的開發利用。

七是國家機關在在履行行政職能的過程中需要掌握大量的個人信息。2016年9月，國務院出臺了《政府信息資源共享管理暫行辦法》，政府信息共享、政府信息公開進一步明確化、規范化。各級政府部門收集的個人信息以查詢、交換和發布的方式在各政府部門共享，意味著部分個人信息在一定范圍內的交流、流動已是法定的義務。政府信息公開和共享是一項龐大而系統的重要工程，是保障人民群眾知情權、參與權、表達權、監督權的重要保障，既為個人信息的開發利用打開了新的篇章，也為個人信息的保護提出了新的課題。應進一步完善政府信息共享的法律體系，保障信息公開、共享順利進行和信息安全保護。

此外，對個人信息的保護和合法利用，還需進一步推動互聯網行業自律規范的完善、提升信息主體自我防范意識、優化社會整體環境。