(電子商務研究中心訊) 一、為何要保護網絡個人信息及隱私？
個人信息泄露與濫用，侵犯個人隱私并不是互聯網所特有的現象。但進入互聯網時代以來，個人信息復制、散播極其便捷，濫用個人信息給公眾造成騷擾甚至傷害的現象普遍存在，侵犯個人隱私的事件也層出不窮，因而對個人信息進行保護以預防和制止濫用，保護網絡隱私逐漸成為多數人的共識。個人信息被極端濫用的典型事件以2005年韓國發(fā)生女子因未清理寵物糞便導致的所謂“狗屎女”事件為典型，該事件是如今被稱為“人肉搜索”的第一次公共事件，因個人信息被公布，當事人受到巨大影響，退學、搬家直至罹患精神疾病都難以擺脫困擾，是導致韓國一度實行網絡實名制的標志性事件。侵犯網絡隱私也很普遍，具體表現則與個人信息有交叉也有不同。同時，大數據應用也是機遇，必須對大數據應用的商業(yè)利益與公眾的隱私保護需求做出適度的平衡。
二、個人信息與隱私的含義，區(qū)別與聯系
個人信息是指與自然人個人或家庭密切相關數據或者資料，有些能夠定位或者識別個人身份，有些雖然不能定位或者確定身份，但與個人特征、信仰、健康狀況、行為習慣、聯絡方式等有關。隱私在我國是歷史上是早已有之的概念，但1949年以后至今，新中國法律意義上的隱私最早是1956年《全國人大常委會關于不公開審理案件的決定》首次在立法中使用的“陰私”提法：“人民法院審理有關國家機密的案件，有關當事人陰私的案件和未滿十八周歲少年人犯罪的案件，可以不公開進行。”此后，1979年刑事訴訟法，人民法院組織法，最高法院在批復中也使用的是“陰私”這個提法，并界定了陰私案件的范圍。從1982年《民事訴訟法(試行)》開始，1991年實行的《未成年人保護法》39條規(guī)定“任何組織和個人不得侵犯未成年人隱私”，從此我國法律和司法解釋開始使用“隱私”而不再用“陰私”的提法。隱私的含義主要是指當事人不愿意他人知曉或者他人不便知曉的個人信息，事宜或不愿意或者不便他人介入的領域。《現代漢語詞典》第五版對陰私的解釋是不可告人之事，多指不好的事情，1998年重印的修訂本解釋則為“不可告人的壞事”，隱私：“不愿意告人或者不愿公開的個人的事”?？梢姡词箯姆欠傻钠胀ㄈ死斫鈦砜?，隱私范疇大于陰私，隱私概念更為中性，沒有貶義，除了陰私還有個人信息的內容可以構成隱私。
個人信息與隱私有區(qū)別也有聯系：個人信息的內涵和外延都較大，與隱私有一部分交集，也有不完全相同之處。通常個人的信息包括：姓名，性別，年齡，婚姻家庭情況，聯絡方式(特別是手機等通訊設備號碼，或者其他用戶身份識別標識，包括碼號，電子郵箱，即時通訊賬戶ID，家庭住址，可用以判斷用戶地理位置的移動或者其他設備的地理位置信息，等)，健康狀況，病史，基因信息，生物識別信息(指紋，腳印，血型，等)，行為信息，包括個人活動信息，因使用移動計算機終端設備產生的瀏覽，搜索，交易，支付等信息。個人信息的概念比較中性，原來不是法律術語，2003年《居民身份證法》開始對警察泄露個人信息行為予以法律約束，2009年刑法修正案七規(guī)定非法提供、獲取個人信息定為犯罪，此后，此概念成為法律用語，換言之，刑法先于民法對個人信息進行了保護。但目前還沒有法律對個人信息的含義與范圍作出規(guī)定或者限定，根據目前技術發(fā)展迅速的特點，個人信息的概念可能還會隨著技術和商業(yè)發(fā)展有所變化。
目前正在從個人計算機為主的互聯網走向移動互聯網時代，隱私主要有：與性有關的行為或者其他信息，不宜公開的照片及音視頻資料，財產、個人金融信息，生理情況，個人衛(wèi)生和排泄等行為，不便公開的健康和疾病信息，等，在網絡時代比較突出的網絡隱私主要有：個人計算機終端設備產生、訪問的敏感信息，用戶通訊內容，用戶的各類賬戶密碼信息，等。
目前開始嶄露頭角的可穿戴設備，以及具備檢測人體各項指標的手環(huán)，手表等各種設備，其對人體各種數據的采集即使個人信息也屬于隱私。因而，如何確定個人信息的使用將平衡個人隱私保護與新技術給人類帶來的福音。
三、中外個人信息與隱私的案例比較與分析
我國已經發(fā)生的個人信息泄露與濫用的案件很多都與隱私受到侵犯密切相關，比較典型的案例有“海運女”案件，“微博開房門”事件，“郭美美”事件，王菲訴張樂奕“北飛的候鳥”侵犯隱私案，等。美國發(fā)生過的有較大影響的個人信息案例包括2012年FTC調查谷歌隱私案，因safari瀏覽器隱私問題而對谷歌處以2250萬美元的罰款。
在海運女案件中，法院判決搜索引擎因未履行《互聯網信息服務管理辦法》規(guī)定的監(jiān)管責任，“百度公司在知道或應當知道網絡用戶利用其服務傳播侵權內容的情況下，未采取合理的必要措施，應當承擔責任”。本案判賠金額僅僅為2.2萬元。在另外一個影響甚廣的王菲訴張樂奕“北飛的候鳥”案件中，法院經公開召開研討會，后判決侵權成立，賠償人民幣5000元。如果說后案因為存在道德上的爭議，法院判決賠償較低可以理解的話，前者的賠償金額較低，就是我國目前常見的“贏了官司輸了錢”現象的反映了。相比較而言，2001年Double Click公司就設立了首席隱私官職位，2007年該公司并入谷歌，2012年谷歌還是發(fā)生safari瀏覽器隱私問題罰款2250萬美元?？梢娋W絡個人信息和隱私保護必須從長計議，不是簡單某個措施就可以解決的。
四、個人信息保護的法律途徑
刑法修正案七，非法獲取個人信息罪，這是對于新興網絡現象刑法再一次走在民事立法之前，刑法率先對個人信息的販賣等行為采取嚴厲刑事制裁措施。
2011年修訂的《居民身份證法》第6條規(guī)定：“公安機關及其人民警察對因制作、發(fā)放、查驗、扣押居民身份證而知悉的公民的個人信息，應當予以保密。”第13條規(guī)定：“有關單位及其工作人員對履行職責或者提供服務過程中獲得的居民身份證記載的公民個人信息，應當予以保密。”第19條規(guī)定：“國家機關或者金融、電信、交通、教育、醫(yī)療等單位的工作人員泄露在履行職責或者提供服務過程中獲得的居民身份證記載的公民個人信息，構成犯罪的，依法追究刑事責任；尚不構成犯罪的，由公安機關處十日以上十五日以下拘留，并處五千元罰款，有違法所得的，沒收違法所得”。
2012年底通過的《全國人大常委會關于加強網絡信息保護的決定》，明確提出保護能夠識別個人身份和涉及隱私的電子信息。2014年3月15日實施的《消費者權益保護法(修正案)》規(guī)定，個人信息依法得到保護，確立了工商行政機關可以對侵犯個人信息進行行政處罰的職能，確認了公民可以向法院起訴。但這兩部法律都沒有解決如何賠償問題。因而，在法律實施到現在，還沒有發(fā)生有影響力的個人信息方面的民事案件。日常生活經驗表明，個人信息廣泛被販賣和濫用的情況沒有取得明顯的好轉。仍需要思考如何從制度上確立預防和制止個人信息泄露與濫用的有效機制。
國外關于個人信息的保護，主要立法經驗有：美國有《隱私權法》《電子通訊隱私法》等多部法律，主要是隱私保護，在美國隱私觀念深入人心，用戶有較強的隱私保護意識。歐盟以《個人數據保護指令》確立的個人數據保護模式，德國于1976年頒布《聯邦資料保護法》，法國于1978年通過《法國自由、檔案、信息法》，1984年英國制訂《數據保護法》。根據筆者與來華的這些國家國籍的朋友交流情況來看，這些國家個人信息濫用遠不如中國嚴重，筆者分析認為主要原因還在于較強的隱私意識文化傳統及其成熟的法治，一旦侵犯個人隱私會承擔較為嚴重的法律后果。
筆者認為，根據目前已經能看到的個人信息在移動互聯網時代的廣泛采集和應用，原有隱私權不能滿足對個人信息應用和保護的需要，有必要在民法上創(chuàng)設個人信息權概念，是一種人身權(人格權)兼具財產權性質，類似知識產權的一種復合型民事權利。具體權能為：知情權(對采集、應用、存儲、管理和銷毀個人信息有知情了解的權利)，處分權(允許采集、應用、存儲、銷毀個人信息)，受益權(對個人信息的商業(yè)性使用獲得收益的權利)，不作為請求權(對不符合個人意愿的個人信息采集使用行為有拒絕、請求停止、消除的權利，此權能可以包含美歐目前已經被廣泛討論的“被遺忘權”)。隱私權的生活安寧權雖能涵蓋一部分前述的權能內容，但個人信息可以許可他人使用，并從從獲取經濟收益，這些行為與傳統的隱私權人格權特征有較大出入，因而單獨確立個人信息權可以成立。
五、個人信息民事立法的基本制度構建
雖然我國已經在個人信息保護上進行了若干立法，但仍然存在明顯的缺陷，即沒有懲罰性的民事制裁措施，無法從制度上預防個人信息濫采濫用，也無法斬斷個人信息的灰色利益鏈條。由于行政處罰需要證據，刑事處罰需要一定門檻，法律規(guī)定的行政懲罰措施和刑事打擊在日常生活中罕見使用，因而在經濟利益驅動下，幾乎每個人在生活中都仍然難免經常性遭遇個人信息泄露與濫用的危害。借鑒博弈論的經濟學理論，筆者建議在個人信息保護立法中建立以下基本民事制度，以引導企業(yè)遵守保護個人信息的法律規(guī)范：
首先是設立個人信息使用者和收益者對個人信息來源進行合法性審查的合理謹慎義務。即要求使用個人信息進行商業(yè)宣傳或者其他推廣的機構和個人應當對信息來源合法性進行合理謹慎的注意，為避免企業(yè)通過子公司或者第三方規(guī)避此義務，因而有必要加上受益人也負有此責任，包括廣告主和實際受益人，不限于廣告經營者或者直接發(fā)布者。只有建立了此制度，才能杜絕正規(guī)企業(yè)采購營銷服務不審查個人信息的合法性，從而在客觀上助長個人信息泄露與濫用的現象。同時，如果能夠較好執(zhí)行本制度，等于打擊和消滅了非法采集和濫用個人信息的銷售、變現渠道，使其失去違法的經濟驅動力。
其次是建立遞進式懲罰性賠償制度。我國立法已經確立了企業(yè)對個人信息和隱私的保護義務，可以在此基礎上擴展為企業(yè)對個人信息的安全保障義務。對于違反企業(yè)信息安全保障義務的，確立遞進式懲罰性賠償制度。我國侵權責任法已經有懲罰性賠償制度的規(guī)定，但由于法院在確定賠償時過于審慎，迄今為止沒有看到有影響力的適用侵權責任法關于懲罰性賠償的民事判決案件。消費者權益保護法自立法之初即確立了對欺詐的懲罰性賠償制度，二十年來，通過典型案例的媒體報道，在社會上有廣泛的影響，是我國民事法律中發(fā)揮了較好引導作用的法律規(guī)范。而且，我國的懲罰性賠償限于欺詐或者主觀惡意，消法修改后，欺詐的懲罰性賠償額限于實際損失三倍以下，也規(guī)避了美國司法制度中賠償過于龐大的負面作用。因而，在個人信息侵權行為的民事賠償方面，有必要繼承前述法律已經有的成果。鑒于個人信息侵權行為往往難以證明損害后果，如果法律不規(guī)定法定賠償標準或者計算方法，由于我國法院堅持填平式賠償原則，實際訴訟中賠償將延續(xù)目前較低局面而不會具有威懾力，仍然無法改變在利益驅使下泄露濫用個人信息的局面。因而，比較現實可行的是建立遞進式的懲罰性賠償制度，即對于三次以上侵犯個人信息權，或者經行政處罰或者訴訟判決侵權成立，仍然拒不改正的，法律應設定較大的法定賠償責任，或者在按照普通民事侵權三倍以下予以賠償，或者經由消費者保護組織起訴的，可以設定較大額賠償，由消費者組織在受害者中予以分配。只有違法行為人了解一旦實施違法行為其法律責任將超過其獲得的收益時，才可能根本上扭轉個人信息過度收集，隨意泄露和普遍濫用的混亂局面。
第三是建立個人信息規(guī)范、合理使用的制度。在大數據應用前景極為廣闊的今天，應該為企業(yè)大數據應用留下空間，引導企業(yè)規(guī)范使用，而不能因噎廢食，因限制過嚴導致企業(yè)無法開展大數據應用，公眾也無法享受網絡技術發(fā)展帶來的便捷與進步。因而，建議確立在滿足下面三個條件的前提下，允許企業(yè)采集、應用、存儲、管理并銷毀個人信息：
1、經公示或者告知信息收集目的，收集、應用、存儲和銷毀規(guī)則，并且采取合理措施履行保護個人信息避免泄露和濫用；
2、不披露具體個人的信息，也不能根據數據應用的結果反向聯系或者確定到具體個人；
3、不違反隱私保護的強制性規(guī)定。
個人信息的合理使用，是指為履行與用戶所訂立合同目的，或者為保護用戶之合法權益，按照最低必要限度原則收集個人信息，并誠實信用使用個人信用使用個人信息，包括身份驗證，通知聯絡，履行合同訂立的先合同義務以及履行合同后的附隨義務等。合理使用應當是非商業(yè)目的，并且不得違反法律的強制性規(guī)定。
第四、建立個人信息舉證責任倒置。網絡時代信息由企業(yè)收集，存儲于企業(yè)的服務器，用戶往往難以舉證，因而，在個人信息收集、存儲、管理、應用和銷毀相關事實發(fā)生爭議時，應由服務器所有人的企業(yè)進行舉證，否則維權人將因為舉證不能而無法獲得保護。有必要說明的是，鑒于可能泄露信息的環(huán)節(jié)可能很多，為避免企業(yè)承擔過重的舉證責任以及被濫用，因而舉證責任倒置應該是指企業(yè)提供存儲的個人信息，以及舉證證明自己按照法律和相關行業(yè)標準履行了個人信息保護的軟件和硬件、管理等相關標準和要求，即履行了信息安全保障的法定合理謹慎義務。
六、立法要考慮國情和實際情況，應當參考國際立法經驗，但不能照抄照搬
根據我國目前個人信息普遍存在隨意收集，過度使用，普遍濫用的現狀，我國的個人信息立法應當遵循“規(guī)范收集，約束使用，預防、制裁濫用”的原則。刑事打擊雖然對遏制個人信息違法行為有一定作用，但只要不鏟除個人信息獲得利益的土壤和個人信息買賣濫用的黑色利益產業(yè)鏈條，就會永遠有人由于受利益驅動而甘愿行政處罰甚至冒刑罰制裁的風險?？陀^來說，非法獲取或者非法提供個人信息罪的法定刑期三年以下，在我國刑法體系中并不算重，按照我國司法機關較為重視有形財產損失的觀念，這種對受害人造成騷擾而沒有明顯物質損害的犯罪，也難以提升處罰的力度，因而，刑事和行政處罰制裁的實效是有限的。就像刑法可以制裁犯罪，但社會治理卻不能僅僅依照刑法。還是應該注重研究人性的客觀規(guī)律，引導市場主體謹慎收集信息，規(guī)范使用，如果正規(guī)企業(yè)都約束了自己的采購信息服務的行為，這樣個人信息采集和濫用失控的局面才會因為失去利益來源而逐步好轉。
(作者是上海市人大財經委受全國人大電子商務法立法委托研究的電子交易信息安全保障制度研究子課題的課題組執(zhí)筆人，本文是作者在課題研究中涉及個人信息保護問題的研究成果，主要觀點和內容曾經在上海財經大學，北京郵電大學等相關學術會議上演講過)(來源：智合東方；文/劉春泉；編選：網經社）
