數字經濟時代背景下的個人信息安全保障探析

李君妍

(青島科技大學法學院，山東 青島 266011)

0 引言

數字經濟在國家層面被擺到了前所未有的高度，數據信息自身特性與企業、社會的逐利性，都在導致數據產權化、貨幣化，引發信息安全等現實問題。個人信息安全保護缺位、監管執行無力遲緩、平臺侵權頻發、個人敏感信息“脫敏難”等現實情況都在提醒著我們，數字經濟的發展與個人信息保護本就不應是非此即彼的選擇。

嘗試對上述公眾面臨的個人信息安全問題進行討論分析，出發點是使公眾在享受數字經濟時代發展紅利的同時，能最大限度地規避風險、保護個人信息權益，警惕因個人信息不正當使用而可能引發的糾紛；從立法、行政、司法、守法等層面探索個人信息收集、利用的合理化途徑；更好解決現行部門法的先天不足、后天失調問題。

1 數字經濟時代個人信息法律屬性的認定

個人信息風險層級化保護的基礎落腳在個人信息的法律屬性界定上[1]，信息技術變革、信息資源共享，以及數據再識別再利用已使得個人身份可識別信息的范圍不斷擴大，法律規制、保護邊界日益模糊，準確界定個人信息的保護范圍面臨諸多桎梏。劃清個人信息安全“警戒線”的范圍是破解侵權難題的題中應有之義。

歐盟《一般數據保護條例》第4 條對個人數據進行了定義:“‘個人數據’指任何已識別或可識別的自然人相關的信息；可識別的自然人是能夠被直接或間接識別的個體，特別是通過諸如姓名、ID 號、位置數據或與該自然人的身體、生理、經濟、文化或社會身份有關的一或多個因素。” 2018 年，我國實施的《信息安全技術 個人信息安全規范》對個人信息進行了更加詳細的規定:“以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息。個人信息包括姓名、出生日期、身份證件號碼、個人生物識別信息、住址、通信聯系方式、通信記錄和內容、賬號密碼、財產信息、征信信息、行蹤軌跡、住宿信息、健康生理信息、交易信息等[2]。”

通過上述分析可以看出，歐盟與我國關于個人信息概念的界定基本一致，在學理上同樣采取了“識別說”定義。2017 年，最高法、最高檢《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》中增加了“反映特定自然人活動情況”的描述，也基本是在“識別說”的框架下。

傳統民法理論認為，個人信息應是人格權的一部分，而在數字經濟時代中，個人信息被大規模商業使用，附加了更多財產屬性。個人信息究竟屬于人格權還是財產權，存在廣泛爭議，對其屬性的界定可以起到一定指導個人信息保護立法的作用。

2 數字經濟時代個人信息安全面臨的典型風險

數據信息中潛藏的巨大經濟價值已使得政府、企業走在了對個人信息迫切追逐的道路上。作為一種符號系統的個人信息在數據收集和處理技術的發展之下，個人信息大都已經被一定載體固化，對其的收集和處理也愈發高效。這同時也面臨著更大的泄露與濫用風險。下文選取了其中較為直觀、主流的三種風險來進行說明。

2.1 個人信息過度收集屢禁不止

日常發生有關機構超出所辦理業務的范圍與需要，收集非必要甚至毫無關聯的個人信息，如在辦理會員卡時，要求客戶提供家庭住址、身份證號碼、工作單位等信息。

最普遍的例子便是當我們使用社交賬號登錄由第三方提供服務的網站時，第三方網站除了要求提供社交工具賬號，還會要求信息主體提供頭像、分享動態等與其提供的服務并不相關的個人信息；很多應用軟件都在實時收集個人定位、通訊錄名單等信息，而很多軟件收集的個人信息與其提供的服務并無關聯性。

2.2 擅自披露個人信息現狀嚴峻

伴隨著個人信息的流動與社會化利用，出現了嚴重的濫用個人信息與隨意泄露的情況。個人信息作為個人隱私的關鍵組成部分，自然體現著隱私權的內涵。

然而在生活中，我們經常接到的各種騷擾電話，如購房后接到房屋裝修公司的電話，買車后接到車輛保險公司的電話等，且對方能準確說出自己的姓名等信息。此外，部分公民曾經在一些網站、媒體或其他載體上發現其個人信息被擅自公開，甚至出現個人信息被冒用的情況。信息使用應該有邊界意識，不能無下限。由此可見，個人信息使用同樣應當嚴格遵守“比例性”原則。

2.3 個人信息非法買賣日益猖獗

隨著互聯網的飛速發展，倒賣個人信息案件趨多，整套成熟的產業鏈也逐漸展現。盡管近幾年國家相關部門意識到倒賣信息黑、灰產越來越嚴重，對非法倒賣個人信息的打擊力度也越來越大，但依然難擋相關犯罪。

除了商業行為，也不乏一些不法分子拿到個人信息資料后，進行網絡、電信詐騙。詳細的個人信息往往會幫助犯罪分子實施更為精準的詐騙犯罪。例如，2016 年的徐玉玉案，就是詐騙團伙購買了許多高中畢業生資料，并鎖定了徐玉玉。詐騙人員在電話中能準確地說出徐玉玉和其父母的名字、所在的學校，才騙得徐玉玉的信任，終而釀成慘劇。

此外，在互聯網的深水之下，還存在一個充斥著大量違法信息、負面信息的神秘暗網。“暗網”上交易的公民個人信息非常廣泛，且極其隱蔽、缺少監管。2020 年以來，上海、江蘇、廣東等地檢察機關連續辦理了多起利用“暗網”非法買賣公民個人信息的案件[3]。最高院、最高檢、公安部高度關注，個人信息非法買賣日益猖獗，預防打擊刻不容緩。

3 數字經濟時代個人信息安全風險頻發的原因

在數據儼然進化為一種生產要素的時代，其自身的特性與企業、社會的逐利性，都在導致數據產權化、貨幣化，法制不健全、救濟和監督機制不完善已經成為個人信息安全風險頻發不能得到有效遏制的主因。

3.1 個人信息商品化衍生資本逐利性等負面影響

信息時代，由于人們管理和分析數據的容量和精度需求不斷擴大，大數據技術也應運而生。在大數據環境下，個人信息也有了信息量大、信息多樣化、信息整體價值量高等特點。個人信息的變現形式逐漸多樣，根據個人信息這一要素產生了“黑、灰、白”產業鏈。黑色產業竊取用戶賬戶密碼、網銀等信息，或利用手機App 病毒植入手段來獲利，危害最大、更復雜。灰色產業危害較之略小，通過用戶不知情或信息不對稱來獲得非短期直接盈利。個人信息商品化意味著存在簡單粗暴的盈利方式。

3.2 個人信息相關法律體系亟待健全

當前個人信息保護尚未存在專項立法，盡管數量上看似形成可觀的規模，但浮現出的是法律體系不完善、制度不健全；法律法規分布碎片化、分散化；法律條文內容抽象，實操性差等特點。在一定程度上既浪費司法資源，又增加執法難度。

目前來看，在個人信息的法律保護方面:缺乏完整統一、更為適配的法律應用體系；具體法條內容缺乏力度，涉及責任、懲戒措施不痛不癢；操作起來易產生分歧、爭議；法律條文多體現為間接保護，缺少直接保護。

綜上所述，個人信息安全立法現狀不利于新型社會治理與維穩。隨著手機、互聯網的普及，需要更健全更具有可操作性且與時俱進的個人信息保護法。

3.3 政府行政部門監管缺位與行業自律失衡

我國目前尚未設立一個專門且獨立的機構負責個人信息監督與管理，職能劃分籠統模糊，產生問題時容易出現權責不清、效率低下的現象。

3.3.1 政府行政信息公開制度不足

個人信息在與政府的關聯性方面最直接體現在行政信息公開制度上。現行行政立法缺乏對個人信息的保護，個人信息存在被過度收集且隨便使用、披露的現象。當政府行政權力濫用侵害公民合法權益時，公權力往往處于較為強勢的地位，此時暴露出公民在救濟方面的弱勢。

3.3.2 個人信息保護行業自律機制亟待完善

一個行業要實現良性發展，就必須建立自己的行業規則，在一個語境下自律共治是企業、行業發展壯大的有效途徑。然而行業自律有其天然的脆弱性，商業的趨利性會加速暴露自律機制的弱點。立法與司法無法實現全方位監管行業行為，利用行業自律機制的靈活性，從而發揮多元治理功效。

以美國隱私保護行業自律機制為例，行業自律機制的發展在客觀上能夠彌補政府監管能力的不足，對我國建設個人信息行業自律機制提供了諸多經驗。

3.4 個人信息安全存在實踐性救濟障礙

個人信息犯罪成本低、維權成本高，行政法、刑法打擊力度不足，民事救濟欠缺有效手段，難以起到震懾作用，促使犯罪分子鋌而走險。我國目前在出現個人信息安全事件時，被侵權人無法得到應得的實質損害賠償，甚至連停止侵害、排除妨害這樣基礎的權利也無法有效保障。

個人信息案件常常出現證明困難、調查取證受阻、追責機制不完善、因果關系不明等“伸冤”難題，阻礙被侵權人尋求救濟。隱私政策存在應用困境，相關法律法規實踐性執行障礙需要解決，更需打造高效的個人信息安全救濟手段。

4 數字經濟時代個人信息安全基礎制度建設的完善與突破

通過《電信和互聯網用戶個人信息保護規定》《中華人民共和國網絡安全法》以及金融、醫療、交通等領域的行業性規定，逐步確立了個人信息保護的原則、一般規則等要素，《中華人民共和國個人信息保護法》系統性地融合了過去的制度經驗，也借鑒了國外的先進做法，基本完成了我國個人信息保護的基礎制度建設。即便如此，我國個人信息保護體系仍有諸多亟須完善與突破之處。

4.1 應當發揮刑法兜底保護的必要性

信息犯罪逐年遞增，侵害程度從一般民事侵權上升至嚴重刑事犯罪，立法應將嚴重侵害個人信息、危害社會公共秩序的行為犯罪化，發揮《刑法》在保護個人信息安全中的規制、保護、保障機能。

信息侵權行為隱秘，導致取證調查與刑事偵查困難，難以判斷侵害發生的具體時間，甚至被侵權人既不知道犯罪人，也不知曉犯罪源頭。互聯網的介入會增加司法取證、偵查難度。筆者思考通過以下途徑來突破完善。

4.1.1 設立個人信息犯罪罪名體系，增加刑事罪名數目

《刑法修正案七》首次將特征主體的個人信息保護寫入刑法，規定了“非法獲取公民個人信息罪”，2015 年《刑法修正案九》將其變更為“侵犯公民個人信息罪”，并把犯罪主體由特殊主體擴展至普通主體，最高法定刑由3 年升至7 年，明顯加大打擊力度。但僅出臺兩條刑法修正案是遠遠不夠的，建議單列一章來規定侵害公民個人信息的罪名，實現信息犯罪全方位有法可依。

4.1.2 擴大犯罪主體范圍

公民個人信息保護的客體、主體規定存在局限性，應適度擴大其范圍。時代發展，各種行業種類層出，除了法條規定的常見國家機關、金融、教育、醫療、交通領域，還有諸多難以窮盡列舉的信息侵權主體，如酒店、互聯網公司、物業、房地產公司等工作人員在履行職責或者提供服務過程中極易獲得公民個人信息，因此有對之加以處罰的必要[4]。

4.2 立法應公私并重、綜合立體，著力解決個人信息保護立法需求的迫切性

我國目前個人信息保護立法體系存在兩項突出問題，一方面是缺乏獨立、完備、條理清晰的個人信息保護專項立法，另一方面是現行立法理論與法律實踐帶有顯著的私法傾向。

加速個人信息立法，黨的十九屆四中全會強調，要推進數字政府建設，增強數據有序共享，依法保護個人信息[5]。為適應數字經濟快速發展，應盡快出臺完備、符合國情的專項個人信息法。

現行立法規范顯示，“過度保護”與“保護不足”是個人信息權益化面臨的兩難境地。個人信息內涵的復雜性將保護路徑區分為“法益”與“權利”。“法益”范疇內的個人信息定義包含著涉及面更廣的社會公共利益，個人信息保護性規定中引入公法領域相關規定，可以加強法律適用的適配度。而“權利”本質是具體人格權利益，即自然人自主支配的絕對“自治權”，突出體現對信息的控制權[3]。鑒于隱私權由“私域溢出”到“公域延伸”的發展態勢，立法應努力實現公私法在個人信息保護領域的有效銜接[6]。

4.3 個人信息保護專門機構與行政信息公開制度的關系之厘定

僅寄托于私力救濟來解決個人信息保護問題成本太高，違法行為并不會得到合理規制。因此我國應進一步細化相關行政法律制度、建立嚴格的個人信息行政保障機制和完善相關的行政監督與救濟[7]。首先，在現有保護個人信息行政體系基礎上，統籌規劃成立一個權責明確、程序規范的專門行政機構來做監管。加強對行政主體收集、處理、利用個人信息這一行政事實行為的監管力度，建立健全個人信息行政保護相關配套制度[8]。

其次，著力彌補我國行政公開在個人信息保護方面存在的諸多不足。“僅就政府機關而言，個人信息保護與政府信息公開在許多情況下實際上是同一個問題的兩個方面[9]。”完善框架性內容下的制度細節，遵循比例原則，全面衡量公益與私益，通過統一行政監管部門與個人信息保護制度革新，使得未來的個人信息保護法與行政信息公開制度有更好的銜接。

5 結語

維護個人信息安全是數字經濟時代的新課題，更是重要命題。“加強隱私權保護是人類進步文明的表現，標志著社會文明的提高”[10]，希望通過個案的審理和裁判，引導全社會關注個人信息安全。立法、執法、司法不能停滯不前，要敢于破解新難題，共同織就網絡信息保護的恢恢法網。