(電子商務研究中心訊) 消費者個人信息對于傳統(tǒng)營銷模式向精準營銷的轉變具有決定性作用，這也決定了消費者個人信息非凡的商業(yè)價值。然而當前我國電子商務環(huán)境下個人信息的收集與使用存在大量安全隱患，消費者在強大的網(wǎng)絡技術面前顯得毫無隱私可言，這就需要不斷完善我國網(wǎng)絡環(huán)境下的個人信息保護的法律制度，維護網(wǎng)絡消費者合法權益，保障電子商務產(chǎn)業(yè)的健康發(fā)展。
〔關鍵詞〕網(wǎng)絡安全；電子商務；個人信息保護
一、問題的提出
隨著電子商務的飛速發(fā)展，一場席卷全球的商業(yè)革命正深刻影響每個人的生活。越來越快的生活節(jié)奏使人們無法擠出大量的時間到實體店貨比三家，而是坐在電腦桌前，甚至是在手機上就可以從海量的信息中選出物美價廉的商品。然而，當前電子商務不可阻擋的發(fā)展?jié)摿υ庥隽艘粋€顯著的障礙，即如何賦予經(jīng)營者及消費者充分的安全感。我國已經(jīng)頒布的電子簽名法解決了發(fā)展電子商務的身份認證問題，但個人信息泄露和非法使用對網(wǎng)絡用戶造成的困擾日趨加劇。自2011年以來，先后發(fā)生淘寶、京東商城、當當網(wǎng)、美團等購物網(wǎng)站用戶賬號被盜、余額被竊事件，從而引發(fā)了全社會關于電子商務環(huán)境下個人信息安全的恐慌。2014年新修訂的《消費者權益保護法》第29條規(guī)定了經(jīng)營者收集消費者個人信息應當遵守的基本原則以及具體條件，該條規(guī)定對于保障消費者個人信息安全具有重要的法律意義，然而該條法律規(guī)定的相對比較原則，且是針對一般的消費行為，對電子商務環(huán)境下的個人信息保護的特殊性未加以特別的觀照，因而需要對相關條款進一步加以細化以增強法律的操作性與針對性。
二、電子商務環(huán)境下個人信息安全危機的表現(xiàn)形式
個人信息是指一切可以識別本人的信息的總和，這些信息包括了一個人的生理的、心理的、智力的、個體的、社會的、經(jīng)濟的、文化的、家庭的等等各個方面。從屬性上來看，個人信息屬于人格利益。根據(jù)大陸法系人格權理論，凡是與人格形成與發(fā)展有關的情事都屬于人格權的客體。個人信息所體現(xiàn)的是公民的人格利益，個人信息的收集、處理或利用直接關系到個人信息主體的人格尊嚴。
(一)個人信息收集過程中的安全危機
個人信息的非法收集是電子商務環(huán)境下個人信息安全危機的首要表現(xiàn)形式。電子商務環(huán)境下收集的個人信息一般包括三種類別：(1)消費者個人的基本信息。這些信息包括姓名、性別、電話號碼、出生日期、身份證號、家庭住址、電子郵箱地址，在完成交易支付的過程中，還涉及到消費者的銀行賬號、交易密碼等重要的財務信息；(2)消費者網(wǎng)絡活動信息。這些信息主要是消費者在網(wǎng)絡交易過程中所瀏覽過的網(wǎng)頁，關注過的產(chǎn)品，作出的產(chǎn)品評論，發(fā)布的有關信息等等內容，通過對這些信息的追蹤與分析，可以準確地判斷出網(wǎng)民的消費傾向、購買習慣、個人喜好等信息，從而成為商家下一步實施精準營銷的基礎數(shù)據(jù)；(3)消費者儲存的個人信息。這類信息包括網(wǎng)民在個人電腦硬盤、移動儲存設備上面存儲的信息，也包括在電子郵箱、網(wǎng)絡硬盤等虛擬空間中存儲的各類信息。無論是以何種方式存儲，消費者的個人信息均有可能包含極度隱私的內容，例如個人日記或者視頻等。
不少網(wǎng)絡經(jīng)營者與機構熱衷于從商業(yè)利用角度收集消費者的各方面?zhèn)€人信息，具體辦法是利用具有跟蹤功能的Cookies程序，跟蹤并測定消費者的網(wǎng)絡操作記錄，收集消費者網(wǎng)絡活動信息。Cookies是網(wǎng)站服務器(Web server)儲存在使用者瀏覽器中的一小段信息。Cookies的主要功能在于使瀏覽器記錄下這些特定的信息，方便網(wǎng)站服務器未來使用，具有記錄用戶瀏覽時間、瀏覽網(wǎng)頁、電子郵件地址以及電子購物記錄等多種跟蹤功能。一些網(wǎng)店和商家還常常通過提供免費產(chǎn)品從而達到收集消費者個人信息的目的，這些免費產(chǎn)品包括主機服務、免費的博客或者個人主頁以及提供獎品。消費者為了獲得這些免費產(chǎn)品，需要向商家提供姓名、郵箱地址、聯(lián)系電話、家庭住址等屬于隱私范疇的個人信息。
除了網(wǎng)絡經(jīng)營者收集消費者個人信息之外，一些網(wǎng)絡黑客還可以通過技術手段惡意非法入侵計算機系統(tǒng)，來獲取個人數(shù)據(jù)信息。常見的惡意攻擊技術手段包括監(jiān)聽與口令攻擊、網(wǎng)絡欺騙攻擊、WWW攻擊、木馬攻擊、緩沖區(qū)溢出攻擊、使用核心級別的rootkits攻擊、端口攻擊、“嗅探式”后門攻擊、狀態(tài)操作攻擊、SQL代碼嵌入攻擊等方式，可謂五花八門。但并非所有的方式均可以輕而易舉地竊取個人信息，也取決于電商企業(yè)的網(wǎng)絡安全系統(tǒng)的可靠性。然而當前大多電商企業(yè)的安全保障系統(tǒng)安保級別較低，往往數(shù)據(jù)庫缺乏嚴密的加密過程，起不到有效的保護作用，甚至有些網(wǎng)站完全未采取任何技術防范措施，將用戶的隱私信息完全暴露在網(wǎng)絡環(huán)境之下，電商網(wǎng)站的后臺通常也沒有對訪問權限進行嚴格限制，對數(shù)據(jù)庫信息訪問、調取和管理制度比較寬松。這些情況給了網(wǎng)絡黑客大量的可乘之機，從而導致數(shù)據(jù)系統(tǒng)被入侵的幾率大大增加。
(二)個人信息使用過程中的安全危機
電子商務環(huán)境下個人信息使用中的違法行為主要體現(xiàn)為以下三種形式：
第一，網(wǎng)絡經(jīng)營者通過對掌握的消費者個人數(shù)據(jù)進行深度二次加工之后再次使用。個人信息的二次開發(fā)利用是指，網(wǎng)絡經(jīng)營者利用自身掌握的個人信息建立起綜合的數(shù)據(jù)庫，然后經(jīng)過對數(shù)據(jù)的加工、挖掘從中分析出一些個人并未透露且具有商業(yè)價值的信息，從而引導企業(yè)的營銷策略。對個人信息的二次加工有利于提高營銷效率、節(jié)約成本，是網(wǎng)絡經(jīng)營者運用信息技術變革營銷方式的重大創(chuàng)新，但目前我國對個人數(shù)據(jù)二次開發(fā)利用行為缺乏指導規(guī)范，行為合法性的邊界較為模糊，未經(jīng)消費者本人許可的個人信息二次加工使用容易引發(fā)侵權糾紛，從而妨礙該技術的推廣應用。
第二，網(wǎng)絡經(jīng)營者向其他企業(yè)出售或者交換消費者個人信息與消費記錄。有業(yè)務往來的公司為了互利共贏，常常在未經(jīng)消費者同意的情況下直接銷售或者互相交換雙方所掌握的消費者個人信息，交易對象往往是同行業(yè)從事電商的企業(yè)或者廣告公司。
第三，一些網(wǎng)絡信息中介公司專門從事消費者個人信息的收集與分析服務。信息中介公司通過廣泛收集消費者信息并向第三方提供詳細資料以賺取高額利潤。信息中介公司通過廣泛的信息搜索渠道，精確掌握特定消費者的詳細信息，使購買這些信息的企業(yè)在激烈的市場競爭中占盡先機。然而網(wǎng)絡信息中介公司交易消費者個人信息的行為往往未經(jīng)消費者本人同意，涉嫌侵犯消費者個人信息權。
不加限制的個人信息收集與使用行為容易引發(fā)網(wǎng)絡用戶的個人信息與隱私數(shù)據(jù)無限擴散，從而嚴重影響消費者的正常生活，因而必須通過法律對其加以調整和規(guī)范。
(一)美國個人信息保護立法考察
美國針對個人信息保護采取了法律保護與行業(yè)自律相互結合的方式。美國聯(lián)邦層面目前尚未制定專門針對網(wǎng)絡消費者隱私權保護的一般性立法，僅針對特定對象頒布了一些法令，例如針對不滿十三歲的兒童頒布了《兒童在線隱私保護法案》。美國政府較早就意識到了電子商務環(huán)境下個人信息保護的重要性，并于1997年發(fā)布了《全球電子商務政策框架》。該報告針對電子商務迅猛發(fā)展以及網(wǎng)絡環(huán)境下消費者個人信息安全岌岌可危的態(tài)勢，特別強化了私營企業(yè)在網(wǎng)絡環(huán)境下對個人信息的保護力度。該框架中提出了兩項保護網(wǎng)絡隱私權的重要的基本原則：(1)告知原則：網(wǎng)絡經(jīng)營者在收集公民個人信息時，應當向公民說明信息收集的相關情況。數(shù)據(jù)收集者披露信息的目的是鼓勵人們用市場方式來解除對個人隱私的擔心，因為披露信息可使個人能夠知曉為什么要收集信息，信息將用于何處，保護這些信息的措施是什么，提供或不提供這些信息的后果以及可能擁有的任何補償權。這樣披露信息能使消費者更好地判斷個人隱私的保護水準以及是否愿意參與。(2)選擇權原則：公民對與自己相關的個人信息的使用目的、方式等有完全的自主決定權。根據(jù)個人隱私原則，消費者在由于不當使用或披露個人信息，或由于提供了不準確、過時的、不完整的或無關的個人信息而受到傷害時有權要求賠償。
然而《全球電子商務框架》對消費者個人信息保護的規(guī)定非常原則，難以滿足現(xiàn)實需要，以至于有學者認為該法“錯失了一次明確消費者網(wǎng)絡隱私權保障的重要機會”。2010年12月，美國聯(lián)邦貿易委員會公布了《急速改變時代中的消費者隱私保護報告》，提出了消費者隱私權保護制度框架，特別提出了為消費者和電子商務企業(yè)提供簡單易行的保護機制，明確規(guī)定了消費者信息選擇權的內容與行使方式，特別強調消費者信息保護透明度要求，并公布了“禁止追蹤”(Do-not-Track)計劃，以保護消費者網(wǎng)絡信息不受侵犯。為了彌補聯(lián)邦層面的立法缺失，美國一些州紛紛開始制定網(wǎng)絡交易中消費者個人信息保護的法律規(guī)范。2011年，賓夕法尼亞州眾議院通過一項決議，指出美國聯(lián)邦層面缺乏消費者隱私保護立法易造成嚴重的社會后果，主張聯(lián)邦應當及盡快通過新的消費者隱私權保護法，并建議聯(lián)邦立法應當遵循“簡單，靈活，有效執(zhí)行和減少損害”的立法原則。同時，賓夕法尼亞州眾議院認為聯(lián)邦貿易委員會長期從事網(wǎng)絡民事糾紛處理，積累了大量經(jīng)驗，因此建議由聯(lián)邦貿易委員會負責網(wǎng)絡消費者隱私權保護的實施工作，還建議對消費者隱私信息進行分類并對消費者因電子商務企業(yè)侵權行為所受損失的救濟方式進行統(tǒng)一。
為了回應各州以及聯(lián)邦貿易委員會的訴求，奧巴馬政府于2012年2月23日公布了《全球數(shù)字經(jīng)濟下隱私保護的創(chuàng)新推動的框架》，重點闡明了政府擬敦促國會通過消費者在線隱私保護法案并將大力推進電子商務環(huán)境下消費者個人信息保護制度實施的立場。雖然該框架并非最終的立法，但是可以預見美國有關消費者在線隱私保護法案的制定與頒布將不再遙遠。
除了法律保護之外，美國針對網(wǎng)絡交易中消費者個人信息保護的行業(yè)自律模式也一向為各國所稱道。具體而言，美國電子商務行業(yè)主要采用三種方式保護消費者個人數(shù)據(jù)：一是通過非強制性的商業(yè)指引，為電子商務企業(yè)保護消費者個人信息提供示范性指導；二是利用技術保護，有代表性的是互聯(lián)網(wǎng)協(xié)會提出的個人隱私偏好性平臺技術(P3P)；三是網(wǎng)絡隱私認證機制，例如TRUSTe、BBBONLine、Web Trust等。上述三種行業(yè)自律模式與有關個人信息保護的立法共同構成了美國富有特色的網(wǎng)絡消費者個人信息保護制度體系。
(二)歐盟個人信息保護立法考察
歐盟個人信息保護法律體系是由一系列的指令、原則、準則、指南等法律文件組成的。歐盟有關個人信息保護立法的理論基礎是源遠流長的人格權理論，這也與歐洲悠久的民事法律傳統(tǒng)十分契合。
1.1995年《關于涉及個人數(shù)據(jù)處理的個人保護及此類數(shù)據(jù)自由流動的指令》
歐洲議會和歐盟理事會于1995年10月24日發(fā)布了《關于涉及個人數(shù)據(jù)處理的個人保護以及此類數(shù)據(jù)自由流動的指令》(95/46/EC)，簡稱《個人數(shù)據(jù)保護指令》，并于1998年正式生效。《個人數(shù)據(jù)保護指令》確立了個人信息保護的基本原則。這些基本原則包括個人數(shù)據(jù)管理者的責任和義務以及個人數(shù)據(jù)主體所享有的權利兩個方面。
該指令系統(tǒng)地規(guī)定了個人資料權的內容體系，具體包括以下方面：(1)獲取權。指令第12條規(guī)定，資料主體可以隨時免費地獲取個人信息，并有權對信息的內容予以確認或者更正。(2)自主決策權。根據(jù)該指令15條，在依據(jù)一個自然人的個人信息對其工作、生活當中的重大事項作出決策的情況下，應當賦予該自然人對他人使用其個人信息予以否決的權利。(3)拒絕使用權。個人資料主體有權就他人對其資料的收集、傳輸與使用予以拒絕，并對他人的非法使用行為有權追究法律責任。(4)獲得救濟權。該指令第23條明確規(guī)定，未經(jīng)許可或者違法使用他人個人資料的，資料權人有權主張侵權人承擔經(jīng)濟賠償?shù)让袷仑熑巍?/p>
按照該指令，個人數(shù)據(jù)管理者的責任和義務包括：(1)數(shù)據(jù)質量原則。個人數(shù)據(jù)處理應做到：a.公正、合法的收集和處理；b.基于特定、明確、合法的目的；c.個人數(shù)據(jù)的收集和處理必須充分和相關聯(lián)，且必須是適當、相關而不過量的；d.必須完整、準確，并保持最新狀態(tài)，考慮到收集或者隨后處理個人數(shù)據(jù)的目的，必須采取一切合理的措施以確保哪些不準確或者不完整的數(shù)據(jù)被刪除或者更正；e.以可識別的數(shù)據(jù)主體允許的形式保存。(2)數(shù)據(jù)處理合法化原則。個人數(shù)據(jù)處理必須：a.經(jīng)個人數(shù)據(jù)主體明確同意；b.符合法定義務；c.保護個人數(shù)據(jù)主體的重大利益。(3)告知原則。個人數(shù)據(jù)收集(直接收集、間接收集)應將相關信息告知個人數(shù)據(jù)主體，這些相關信息具體包括：a.個人數(shù)據(jù)管理者的識別；b.數(shù)據(jù)處理的目的；c.數(shù)據(jù)收集者(接收者)；d.個人數(shù)據(jù)主體不提供數(shù)據(jù)的后果；e.查詢和更正的權利。(4)特殊類型數(shù)據(jù)處理原則。除非法律另有規(guī)定，禁止處理涉及種族、政治、宗教信仰、工會會員及健康、性生活等的個人數(shù)據(jù)。
2.2013年《歐盟數(shù)據(jù)保護基本條例》
歐洲議會公民自由、司法與內政事務委員會于2013年10月22日通過了最新的《歐盟數(shù)據(jù)保護基本條例》(Datenschutz-Grundverordnung)以回應社會逐漸高漲的要求建立更加嚴格的數(shù)據(jù)保護制度的呼聲。該條例的最大亮點在于賦予數(shù)據(jù)主體在個人信息受到侵犯時，可以通過條例規(guī)定的多種途徑尋求救濟。
(1)數(shù)據(jù)主體的“刪除權”
根據(jù)歐盟數(shù)據(jù)保護基本條例的規(guī)定，數(shù)據(jù)主體可以在滿足條例規(guī)定條件的情形下要求數(shù)據(jù)控制人刪除與其有關的信息或者停止該信息進一步傳播：(a)此信息不再有被收集或者以其他方式處理的必要；(b)數(shù)據(jù)主體不再同意其信息被處理；(c)數(shù)據(jù)主體可以在任何時候由于自身特別情況的原因提出拒絕處理其個人信息，除非該處理對于保護數(shù)據(jù)主體的基本權益至關重要，或者是履行公共利益的活動所必需的；(d)歐盟范圍內的一個法庭或者監(jiān)督機關已經(jīng)做出了相關數(shù)據(jù)必需刪除的最終裁定；(e)相關數(shù)據(jù)被非法處理。數(shù)據(jù)主體一旦根據(jù)以上情況提出反對，數(shù)據(jù)控制者應當立即停止對其個人信息的使用和處理，防止損害擴大。
(2)向專門監(jiān)督機關提起控訴
根據(jù)《歐盟數(shù)據(jù)保護基本條例》第六章的規(guī)定，歐盟每個成員國應當設立至少一個獨立的監(jiān)督機關，該機關的任務是監(jiān)督基本條例在本國內的實施情況并為歐盟范圍內的統(tǒng)一實施服務。根據(jù)該條例第73條的規(guī)定，在不影響其他行政救濟或者司法救濟的情況下，當認為對其相關的個人信息的處理沒有遵守基本條例時，數(shù)據(jù)主體有權向成員國的監(jiān)督機關提出控訴。監(jiān)督機關在接到數(shù)據(jù)主體控訴之后，有權在合理范圍內作出調查，并應在合理的期限內(3個月)告知數(shù)據(jù)主體控訴的進展與結果。
監(jiān)督機關在查明事實后，對于沒有履行基本條例規(guī)定的義務的，可以做出以下行政處罰：(a)如果是第一次且非故意違反，可以提出書面警告；(b)定期數(shù)據(jù)保護審查；(c)最高處以1億歐元或者企業(yè)每年全球營業(yè)額5%的罰金，按照數(shù)額較大的金額予以處罰。
數(shù)據(jù)主體向監(jiān)督機關提起控訴后，如果監(jiān)督機關未對數(shù)據(jù)主體的控訴作出合理保護裁決的，或者保護裁決沒有按照第52條第1款b的規(guī)定在3個月內通知數(shù)據(jù)主體的，數(shù)據(jù)主體可以行使司法救濟權起訴監(jiān)督機關。
(3)向司法機構提起訴訟
數(shù)據(jù)主體除了可以向監(jiān)督機構申請救濟之外，還可以針對數(shù)據(jù)控制者向司法機構提起訴訟。如果數(shù)據(jù)主體認為數(shù)據(jù)控制者違反數(shù)據(jù)保護基本條例有關收集與處理個人信息方面的規(guī)定時，數(shù)據(jù)主體有權針對數(shù)據(jù)控制者提起訴訟并主張其承擔法律責任。
(三)國外個人信息保護制度之比較與啟示
通過對美國與歐盟個人信息保護制度的梳理，不難發(fā)現(xiàn)兩者具有顯著的區(qū)別：美國除了制定保護個人信息的相關立法之外，重點通過電子商務企業(yè)的行業(yè)自律規(guī)范網(wǎng)絡經(jīng)營者對消費者個人信息的收集與使用行為；而歐盟則延續(xù)了大陸法系成文法的傳統(tǒng)，將數(shù)據(jù)隱私權上升到基本人權的高度，圍繞消費者個人信息保護制定了嚴密的權利、義務、責任體系，并建立了相應的司法與行政的救濟措施，有力保障消費者個人信息不受侵犯。相比較而言，美國的個人信息保護制度更多地兼顧了電子商務企業(yè)的利益，為企業(yè)經(jīng)營提供了更加寬松的政策環(huán)境，而歐盟的立法機制更加傾向于消費者權益保護，提升了電子商務經(jīng)營者的注意義務與經(jīng)營成本。
相比較而言，筆者認為歐盟的個人信息保護制度更加值得我國吸收與借鑒。首先，我國與歐盟具有共同的大陸法系傳統(tǒng)，歐盟通過立法詳細規(guī)定消費者的個人信息權、網(wǎng)絡經(jīng)營個人信息收集與使用的義務以及侵犯消費者個人信息權法律責任的做法更符合我國當前法律制度的現(xiàn)狀，相關的法律原則與具體規(guī)范更加便于我國進行法律移植。其次，美國重點依靠網(wǎng)絡經(jīng)營者行業(yè)自律的方式保護消費者個人信息的模式需要特定前提，即電子商務行業(yè)發(fā)展比較成熟且行業(yè)協(xié)會具備重要的影響力，能夠對行業(yè)內部的企業(yè)起到有力約束作用。我國當前電子商務產(chǎn)業(yè)的發(fā)展仍處于不斷探索的階段，相關的制度規(guī)范尚不健全，特別是電子商務行業(yè)協(xié)會發(fā)揮的作用與美國相比仍有較大差距，因而當前環(huán)境下借鑒美國依賴行業(yè)自律規(guī)范的條件尚不成熟。
四、我國電子商務環(huán)境下個人信息保護制度現(xiàn)狀與問題剖析
(一)我國個人信息保護立法進路梳理
目前我國關于電子商務環(huán)境下的個人信息保護尚缺乏一部專門的法律進行規(guī)范，相關條文散見于一些法律、法規(guī)、規(guī)章以及司法解釋中。較早規(guī)定網(wǎng)絡用戶個人信息保護的法律規(guī)范是2000年信息產(chǎn)業(yè)部頒布的《互聯(lián)網(wǎng)電子公告服務管理規(guī)定》第12條，“電子公告服務提供者應當對上網(wǎng)用戶的個人信息保密，未經(jīng)上網(wǎng)用戶同意不得向他人泄露”，第19條規(guī)定了侵犯他人個人信息的法律責任。2007年商務部印發(fā)的《商務部關于促進電子商務規(guī)范發(fā)展的意見》中指出，“引導電子商務企業(yè)建立健全網(wǎng)絡與信息安全保障制度，采取有效的網(wǎng)站安全保障措施、企業(yè)信息保密措施和用戶信息安全措施，防范和制止利用互聯(lián)網(wǎng)盜取商業(yè)秘密和提供用戶信息給第三方以牟取利益的行為。”2014年3月15日生效的新修訂的《消費者權益保護法》第29條規(guī)定，“經(jīng)營者收集、使用消費者個人信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)消費者同意。經(jīng)營者收集、使用消費者個人信息，應當公開其收集、使用規(guī)則，不得違反法律、法規(guī)的規(guī)定和雙方的約定收集、使用信息。經(jīng)營者及其工作人員對收集的消費者個人信息必須嚴格保密，不得泄露、出售或者非法向他人提供。經(jīng)營者應當采取技術措施和其他必要措施，確保信息安全，防止消費者個人信息泄露、丟失。在發(fā)生或者可能發(fā)生信息泄露、丟失的情況時，應當立即采取補救措施。經(jīng)營者未經(jīng)消費者同意或者請求，或者消費者明確表示拒絕的，不得向其發(fā)送商業(yè)性信息。”國家工商行政管理總局2014年制定的《網(wǎng)絡交易管理辦法》第18條有關網(wǎng)絡交易中個人信息保護的條文與《消費者權益保護法》第29條相比除了明確針對網(wǎng)絡商品經(jīng)營者、有關服務經(jīng)營者之外，其他內容基本一致。筆者認為，當前分散立法的模式已經(jīng)難以滿足個人信息保護的現(xiàn)實需要，應當盡快著手制定專門的個人信息保護法，進一步加強電子商務領域個人信息保護。
(二)我國電子商務環(huán)境下個人信息保護制度問題剖析
第一，個人信息保護法律基本原則缺失。對于個人信息保護而言，基本原則至關重要。國外許多國家就個人信息保護的基本原則均做出了明確規(guī)定，甚至為數(shù)不少的國際組織立法僅規(guī)定“基本原則”，而不再規(guī)定具體規(guī)則，個人信息保護基本原則的重要性可見一斑。然而我國當前僅在《消費者權益保護法》中體現(xiàn)了“合法、正當、必要的原則”，未能完全契合個人信息保護的特殊性，亟需立法加以完善。
第二，個人信息權利內容體系不清晰。我國當前立法中關于個人信息保護的條款大多是對個人信息收集與使用行為的規(guī)范，而對信息主體的個人信息權利內容則較少涉及，個人信息保護缺乏權利基礎，非常不利于個人信息保護。
第三，個人信息保護侵權責任體系不完善?！断M者權益保護法》第50條規(guī)定了經(jīng)營者侵犯消費者個人信息承擔的民事責任，除了民事責任之外，應當進一步加強網(wǎng)絡經(jīng)營者侵犯消費者個人信息的行政責任與刑事責任，提高網(wǎng)絡經(jīng)營者侵權行為的違法成本，增強法律的威懾力與教育、預防作用。
五、我國電子商務環(huán)境下個人信息保護的立法對策
當前形勢下法律對進入網(wǎng)絡的個人信息加強保護，確保網(wǎng)絡用戶的經(jīng)濟等諸方面的安全，已然成為發(fā)展電子商務的前提與基礎，個人信息保護法成為電子商務的安全保障法，電子商務領域的個人信息保護也被納入電子商務法的組成部分之一。為了順應電子商務的發(fā)展要求，筆者建議我國個人信息保護的立法完善從以下方面入手。
(一)確立個人信息保護法基本原則
個人信息保護法的基本原則分為共有原則與特有原則。共有原則是指個人信息保護的直接上位法的基本原則，具體包括意思自治原則、公平原則、誠實信用原則與比例原則。
個人信息保護法的特有原則是指共有原則之外的，僅適用于個人信息保護法的基本原則，體現(xiàn)個人信息保護法的基本價值與理念。具體而言，個人信息保護法的特有原則包括以下內容：
1.目的明確原則。該原則是指收集個人信息的目的，必須在收集前加以確定，確定的目的必須通過一定方式明確化；發(fā)生目的變更時，變更后的目的也必須及時予以明確。確立目的明確原則的目標在于確保信息主體和社會對個人信息處理的可預見性。
2.知情同意原則。該原則是指信息管理者在收集個人信息時，應當充分告知信息主體就有關個人信息被收集、處理和利用的情況進行充分告知，并征得信息主體明確同意的原則。
3.目的限制原則。該原則是指個人信息的收集利用均限于最初確立的目的，與該目的保持一致；并應采取公平合理的收集方式。目的限制原則是與目的明確原則緊密配合的一個原則。目的明確原則旨在要求個人信息管理者進行個人信息處理時應有明確目的，目的限制原則旨在確保信息管理者收集和處理個人信息應受“明確目的”之限制。
4.信息品質原則。該原則也稱完整正確原則，是指信息管理者應保障個人信息在其處理目的范圍內的完整、正確和時新。信息品質原則的核心是完整和正確，是各國際組織和各國個人信息保護法普遍遵循的原則。
5.安全原則。該原則也稱安全保護措施原則，是指對個人信息應采取合理的安全保護措施，以防止個人信息的丟失、非法訪問、毀損、利用、修改和泄露等為風險的發(fā)生。
6.政策公開原則。該原則也稱為公開原則，是指關于個人信息的收集、處理和利用以及相關政策應當公開。該原則的目的在于通過信息管理者的公開行為，使社會知悉個人信息的收集和處理情況，以實現(xiàn)對個人信息處理的監(jiān)督和控制，保障信息主體知情權的實現(xiàn)。
7.禁止泄露原則。該原則也稱保密原則，是指對信息管理者及其工作人員負有對個人信息的保密義務，嚴禁非法泄露個人信息及其內容。對個人信息內容的披露，只有在法定或者約定條件下才屬于合法行為。
8.保存時限原則。該原則是指為任何目的處理的個人資料都不超過該目的需要的時間而保存。
9.自由流通和合理限制原則。該原則是指應當在保障信息主體合法權利的基礎上促進個人信息的跨國流通，但是需要對個人信息流向缺乏實質性個人信息保護立法或者不能對個人信息給與合理保護的接收國進行限制。
上述個人信息保護的共有原則與特有原則的重要意義在于，其構建了電子商務環(huán)境下網(wǎng)絡經(jīng)營者的個人信息保護義務框架，明確了個人信息收集、使用行為合法抑或非法的邊界，設立了個人信息保護的“防火墻”，對電子商務的發(fā)展具有至關重要作用。
(二)構建個人信息權利內容體系
構建科學、合理的個人信息權利內容體系是保障消費者個人信息安全的前提與基礎。個人信息權是一種新類型的具體人格權，其目的在于使個人能夠以自己的積極行為支配其個人信息，保護其精神人格利益。個人信息權具有非常豐富的內容，具體包含以下方面：
第一，對信息收集與處理行為事先知情并決定是否以及如何處理個人信息的權利。電子商務環(huán)境下大量的個人信息是在本人不知情的情況下被收集的，且被收集的個人信息將作何種用途消費者本人也不得而知，這種行為侵犯了信息主體的知情權。信息主體不僅有權知道個人信息收集主體的準確信息，而且應當明確個人信息收集的范圍、表現(xiàn)形式，還應有權知道被收集的個人信息將用于何種用途。信息主體有權決定是否允許經(jīng)營者收集其個人權利，決定收集個人信息的范圍以及信息被收集后的使用方式。
第二，對個人信息被他人收集與處理的相關情事進行查詢，并對違法或不當處理行為提出異議、主張救濟的權利。針對經(jīng)營者收集、處理個人信息的事由、方式以及期限等，信息主體有權訪問、查閱，并要求經(jīng)營者提供個人信息復制本。電子商務經(jīng)營者作為個人信息的收集者，同時負有保障消費者個人信息安全的義務，一旦經(jīng)營者違法使用個人信息或者由于外部原因造成信息泄露，信息主體有權要求經(jīng)營者采取措施采取必要、合理措施，保障其個人信息安全。當經(jīng)營者拒絕采取必要措施或技術手段保證個人信息安全時，信息主體有權提起訴訟主張損害賠償。
第三，請求信息處理者采取合理措施，確保個人信息正確與完整狀態(tài)的權利。電子商務環(huán)境下，雖然消費者向經(jīng)營者提供了個人信息，但并不喪失對個人信息的控制權，可以通過合理的方式要求經(jīng)營者保存的個人信息準確、完整，且有權在交易結束或者消費者認為必要且不影響經(jīng)營者合法利益的情況下要求經(jīng)營者刪除其個人信息。
(三)完善個人信息侵權法律責任制度
當前電子商務環(huán)境下個人信息保護危機越發(fā)凸顯的一個重要原因在于個人信息侵權行為難以受到法律追究，從而一定程度上縱容了個人信息侵權現(xiàn)象的泛濫。為了解決該問題，需要不斷完善我國個人信息侵權民事、行政、刑事法律責任制度。
在就民事責任方面，新修訂的《消費者權益保護法》第50條規(guī)定，“經(jīng)營者侵害消費者的人格尊嚴、侵犯消費者人身自由或者侵害消費者個人信息依法得到保護的權利的，應當停止侵害、恢復名譽、消除影響、賠禮道歉，并賠償損失。”該條可以適用于電子商務環(huán)境下的個人信息侵權責任，但在制定我國《個人信息保護法》過程中，可以借鑒《侵權責任法》以及《消費者權益保護法》的相關條文，對電子商務環(huán)境下的個人信息侵權責任做出專門規(guī)定。特別需要關注的是，個人信息權屬于人格權的內容之一，因而消費者個人信息權受到侵害時有權要求加害人承擔精神損害賠償責任。
除了民事責任之外，應當明確侵犯消費者個人信息的行政責任與刑事責任?！稓W盟數(shù)據(jù)保護基本條例》對違反數(shù)據(jù)保護的主體最高處以1億歐元或者企業(yè)每年全球營業(yè)額5%的罰金。我國《消費者權益保護法》第56條規(guī)定了侵犯消費者個人信息的行政責任，并通過記入信用檔案、向社會公布的方式增強對不法經(jīng)營者的震懾力，有助于個人信息得到更好的保護。但網(wǎng)絡經(jīng)營者侵犯消費者個人信息的行為往往比較隱蔽，筆者建議借鑒歐盟建立專門監(jiān)督機構的做法，設立專門的部門負責查辦此類案件，同時增強調查取證的水平，加大對違法行為的打擊力度，保障相關制度措施取得實效。
我國現(xiàn)行《刑法》第253條規(guī)定了出售或者非法提供公民個人信息情節(jié)嚴重的承擔刑事責任。該條規(guī)定自納入《刑法》以來現(xiàn)實中較少適用，主要原因在于《刑法》第253條約束的重點是國家機關或者金融、電信、交通、教育、醫(yī)療等單位及其工作人員等特殊主體，對于一般主體是否適用該條規(guī)定比較模糊。另外，只有在符合“情節(jié)嚴重”的條件下，才能追求行為人的刑事責任，而“情節(jié)嚴重”的標準在司法適用中不甚明確。筆者建議將第253條針對特殊主體與普通主體的刑事責任法律適用加以區(qū)分，同時對“情節(jié)嚴重”做出進一步的解釋，便于司法適用與打擊犯罪行為。(來源：數(shù)據(jù)人；文/何培育；編選：中國電子商務研究中心)
