論大數據時代個人信息保護困境及對策研究

陜西理工大學 左容先

一、大數據時代個人信息的保護現狀

隨著科技的飛速發展，個人信息已然成為這個時代不可或缺的生產要素。個人信息的內涵也逐漸呈現擴張趨勢。2014年可被視為我國采用立法手段保護個人信息的分水嶺。在此之前，在立法層面對個人信息的保護大多僅僅觸及對隱私權的保護，而關于公民個人隱私保護的條款僅散見于各類法律之中，隱私權侵權糾紛是民事侵權糾紛訴訟的重要訴由。2014年之后發布實施的法律、規章、其他規范性文件中，有關于個人信息的保護體現有:《網絡安全法》第四十條至五十條規定了網絡運營者收集個人信息應遵循的原則、使用個人信息的要求、防止個人信息泄露的措施、監管制度與相關禁止事項；《互聯網用戶賬號名稱管理規定》第四條的規定較上述兩部法律而言，其差異則是條文更為精細化，其中明確互聯網信息服務者應完善用戶服務協議，明示互聯網信息服務使用者的注冊信息中不得出現違法和不良信息，配備專業人員對用戶提交的信息進行審核等。筆者認為個人信息雖是隱私權的一個重要組成部分，但也并非完全重合，加大對個人信息進行直接保護的立法工作，有利于提升個人信息的法律地位和公民的重視程度。

然而現行的保護個人信息的立法中仍存在立法層次較低、分散且實操性不強等主要問題。2021年我國已進入民法典時代，《民法典》人格權編中對個人信息保護的條文中確立了個人信息的請求權基礎，幫助信息主體實施對其個人信息實施侵害的數據控制者請求公力救濟。《民法典》承繼了《侵權責任法》，在《侵權責任法》侵權責任編第一千一百九十四條到第一千一百九十八條中，細化了網絡用戶及網絡服務提供者之間的法律關系，但內容局限于“通知”與“刪除”兩個步驟，已不能完全適應現階段復雜多變的網絡環境中存在的侵權案件。

二、大數據時代個人信息保護的困境

（一）個人信息界定模糊

1.個人信息的復雜性

個人信息具有種類多和關聯性強的特性，這兩大特性也決定了對其保護的難度非同小可。個人信息不僅是一個單獨的個體，可對其通過計算機算法進行數據的比對分析輕易達到數據控制者的目的，這也是個人信息具有財產權益的宿命。現階段法律所保護的個人信息大多是最初始狀態的個人信息，如:姓名、性別、年齡、住址、身份證號碼等不用再次加工處理特定主體的信息。但公民在網絡活動中所殘留的信息也應受到立法者更多的重視，如網頁瀏覽記錄、線上交易記錄等極易產生巨大灰色收入的地帶。

2.個人信息邊界不清晰

個人信息的邊界是非常寬泛的，法律如果不明文規定其保護的范圍，將極易造成信息主體的個人信息受到保護不足的尷尬境地。《民法典》第一千零三十四條對個人信息做出了界定，通過識別性和開放式列舉的方式對個人信息進行了歸納。但可識別性具有較強的主觀因素，易因不同主體認識的不同而產生波動，實際操作性較弱。在司法實踐中，若出現不屬于列舉的個人信息的范疇，則需要法官動用法理及其生活經驗進行不偏離法律基本原則的自由裁量，可能會出現同案不同判的尷尬局面。而開放式列舉也存在一定的弊端，極易造成個人信息的范疇過大或過小，使個人信息認定出現泛化現象，導致無法對侵害公民個人信息的實施主體進行規制也無法合法保護公民的個人信息的兩難現狀。我國有關的個人信息保護的法律，如《消費者權益保護法》的第二十九條和《網絡安全法》第四十一條均無一例外規定了數據控制者收集使用公民個人信息應遵循合法、正當、必要的基本原則，但并未對“合法、正當與必要”加以具體說明，這為法律適用帶來了難度。

（二）立法未形成體系

1.法律條文規定不具體

我國現階段的法律中已經存在不少保護個人信息的相關規定，但大多僅流于形式，未做深入細致的規定。主要表現在法律條文簡略、界定模糊和大多條文是針對個人信息遭受侵害的事后處理，這極不利于發揮法律的事前威懾功能。且對于侵犯個人信息違法行為的處罰存在失衡現象，導致信息主體的損失無法彌補，不符合民法基本的填平規則。

2.個人信息保護的立法前景不明朗

我國現階段個人信息立法的不確定性主要體現在缺乏有關可參照的上位法。高位階個人信息保護法的缺失使得各部門、各類型的個人信息保護立法難以系統性、全方位地進行，這也是立法前景不確定性最為重要的體現。除此之外，大數據時代下，個人信息保護領域存在復雜性，存在隱私、敏感、信息與數據等諸多概念的混用，且這些概念的外延和內涵大都存在交叉與重復，也一定程度加重了對個人信息進行立法保護的難度。況且立法探討應具有前瞻性和預見性，還應該具備一定的彈性空間和兜底條款，而飛速發展的信息科技，使得立法的滯后性的問題更為凸顯，這也無疑為個人信息保護增加了難度。

（三）行業侵權亂相頻發

1.侵害主體多元化

在日常生活中，侵害個人信息的主體可能相差甚遠，既可能是企業商家，也可能是政府組織。不管在什么領域，個人信息侵權現象都不少見。信息控制者、處理者對信息主體實施的侵權行為的主要類型有對信息的不當收集、不當管理與處理及對個人信息的不當利用等。

2.信息控制者規制有限

個人信息主體對其個人信息的控制是很受限的，個人信息看似被信息主體緊握卻虛無縹緲，互聯網等科學技術的傳播方式使其每時每刻都進行著無可估量的信息傳遞。早些年，公民對個人信息的權益了解甚少，不知道其濫用會對自己的人身財產造成如此大的風險，常發生個人無意泄露個人信息的情況。隨著公民個人信息保護意識的覺醒，不少想要獲取個人信息的信息控制者通常會采用神不知鬼不覺的方式盜取或騙取公民個人信息，以達成合法或非法的目的。

誠然，就算信息控制者以合法的方式獲悉公民個人信息，造成公民個人信息泄露、越權處理等情形也時常發生，這些現象大多歸因于信息控制者、處理者收集個人信息后未使用技術手段禁止溯源、必要的匿名化處理等必要防護措施。對個人信息的處理不夠規范為信息泄露事件的發生提供了違法犯罪的溫床。當然，現實中也存在部分信息泄露的原因是信息控制者管理公民個人信息不到位，致使黑客入侵網站后非法盜取公民個人信息。

三、大數據時代個人信息的保護對策

（一）明確個人信息保護的具體界限

1.確定個人信息保護的基本原則

無論是何種個人信息，如果不能進行全面有效的保護就無法保證其安全，筆者認為因個人信息的泄露會對社會和個人造成巨大的影響，故應該采取較為嚴格的限制措施，限制對個人信息的使用與處理，具體包括明確收集原則、收集限制原則、一次授權原則等。對于個人信息的法律規定，應多使用強制性規定，少做出任意性規定，防止信息控制者權利過大而監管太少。信息主體要掌握個人信息的主動權，悉知數據控制者因何收集個人信息、為何種手段使用個人信息。應限制公民對自身個人信息的“一次授權多次使用”局面的發生，同時也限制數據控制者采取強制簽訂格式條款授權使用其無權獲取的涉及人身財產等重要的信息數據。

2.《民法典》的相關規定

值得慶幸的是，《民法典》獨立成編的人格權編將隱私權和個人信息分開描述，這意味著立法者加大了對公民個人信息的專門保護，而不是將其一概與隱私權共同加以論述。雖然從內涵方面看，隱私權和個人信息依然有部分的交叉重合，但是分開描述無疑更利于個人信息的保護。《民法典》第一千零三十四條至一千零三十九條從個人信息的內涵、處理信息的原則、免責條款、更正等方面進行了規定。特別是第一千零三十五條不僅規定了處理個人信息的原則和個人信息的處理的界限，還規定了其應同時符合四個條件，這能有效規制信息控制者對公民個人信息的使用空間。但《民法典》作為我國的基本大法，無法做出非常具體的規定，這些都寄希望于即將出臺的《個人信息保護法》去完善。

（二）加快個人信息保護的系統化立法建設

1.更新立法技術

從立法的全面性和體系化角度看，現有的法律體系不能有效保護網絡環境下的個人信息，而是需要從廣度和深度方面都加以著手，將個人信息與數據保護結合起來，兼顧一般與特殊。為了便于立法與建立清晰的法律體系，個人信息可劃分為個人基本信息、個人敏感信息及個人重要數據。應對不同類型的個人信息實行差異化的保護。這三類保護措施的嚴密性呈現逐漸遞增的狀態，個人基本信息可視作個人愿意公開的信息，對這部分信息設置一般保護標準即可。個人敏感信息涉及到公民極為重要的個人隱私部分，如公民的商業金融交通旅游活動基本數據等，對這部分信息需要設置極高的保護標準。對個人重要數據的保護牽涉到多方主體利益，如未披露的科研數據等，因此需要采取更為嚴格的信息保護手段，進而有針對性地對個人重要數據提供技術保護。只有構建完備而立體的個人信息及數據分級分類保護機制，才能有效應對當前錯綜復雜的個人信息保護需求。

2.對相關法律進行完善

目前尚在制定的《個人信息保護法》作為一部專門保護個人信息的法律，其出臺后對個人及行業產生積極的指引作用。沒有一部法律是完美無瑕的，不能僅依靠《個人信息保護法》一部法律就試圖解決所有信息保護的問題。我國要建立健全系統化的立法建設，須以《民法典》和《個人信息保護法》為重心，同時進一步完善其他相關法律，才能實現一套完善的信息保護的法律體系的建成。舉例來說，在《網絡安全法》中，要進一步完善對網絡運營者使用用戶個人信息的具體程序及明確采取何種手段防止用戶個人信息泄露等。與此類似，在《消費者權益保護法》也需要完善對消費信息的保護措施。對消費者信息的界定也隨著大數據時代科技的發展存在相應的延展，及時地規定經營者通過網絡等渠道獲取的消費者信息的適用程序，利于良好的交易環境的建成。眾多領域都有相關個人信息保護的法律規章，其應相互協調、配合與完善，形成科學統一的立法體系，全面保護公民的個人信息。

（三）加強行業監管與行業自律

1.加強行業監督

為了保障公民的個人信息能得到更好的保護，我國應堅持以行業自律為主，行業監管為輔的治理機制，以確保信息控制者、處理者達成對公民個人信息保護的最大化與信息利用的最優化。為了建立專門的監督部門，我國可參考德國為代表的雙重監管機制，即建立內部與外部雙重監督機制，設立獨立于行政機關的保護監督管理機構，配置專員確保權力獨立行使，以達成更好地保護信息權利主體權益的目的。

2.強化行業自律

同時對企業行業等進行預判并采取適當的預防措施，對公私領域進行動態監督和管理，一旦發現違法行為便及時進行制止并懲處。針對信息處理領域進行行業自律，以尋求信息保護與利用達到平衡狀態。為保證信息處理領域的行業守則和規范具有實用價值且能夠實現具體應用，其起草和修訂由應當考慮不同行業信息收集和使用者的特性。各行業協會可結合自己行業的專業性、獨特性與市場性，在不違背法律基本要求的情形下定制行為守則的草案，再提交監督機構審核，審查其是否符合相關法律法規的要求，若無異常，應當批準并向社會進行公告。

四、結語

為了便于早日使對個人信息的保護達到理想的狀態，建立健全保護個人信息的立法體系、明確對個人信息保護的邊界、增強信息主體的保護意識、加強行業監管與完善行業自律等措施都迫切需要。只有充分發揮與合理利用國家的強制力，公民的個人信息才能夠得到更好的維護與保障，才能達到最終切實保障的目的。