论文部分内容阅读
摘 要：互联网的兴起使个人信息隐私保护面临挑战，智能手机、移动应用程序及云计算的发展加剧了移动互联网环境下泄露个人信息和侵犯个人信息隐私的情形。如何在移动互联网环境下保护个人信息隐私成为各国和地区关注的焦点。我国香港地区的个人信息隐私保护立法实践走在各国和地区的前列，颁布了《个人资料（私隐）条例》，成立了个人资料私隐专员公署负责条例的监察执行，并于2013年至2015年间出台了一系列指引，为使用个人资料进行直接促销和跨境转移提供了具体的解释和执行方案。鉴于目前大陆地区的个人信息隐私保护法律制度尚不完善，大陆地区可学习和借鉴香港的个人资料私隐保护法律制度，加强对于个人信息隐私的保护，创造更加和谐的移动互联网环境。
关键词：个人信息保护；隐私权；移动互联网；香港；启示
中图分类号：D913 文献标识码：A
文章编号：1673-8268（2017）05-0040-08
一、移动互联网环境下个人信息隐私保护面临危机
（一）问题的提出
互联网从20世纪80年代进入我国，经过30年的发展，已渗透到个人日常工作生活的每一个角落。截至2016年12月，互联网在我国有7.31亿用户，渗透率达到53.2%[1]。2010年，智能手机及云计算技术的爆发，使手机、平板电脑用户开始大量使用依赖于互联网技术的移动应用程序来处理日常工作和生活事务，包括金融理财、外出交通、出行定位、交友聊天、游戏娱乐等。截至2016年12月，我国手机用户数量达6.95亿[1]。大量的用户个人信息被移动应用程序开发者和管理者收集和使用，由于技术的不完善、法律规制的缺乏、以及开发者和管理者的疏忽或恶意行为，使得个人信息泄露事件屡见不鲜，危及到个人信息隐私的安全。例如，2014年12月25日，大量12306客户端用户数据在网络上被销售传播，其中包含13万余条账号密码、手机号码、身份证号等个人隐私信息[2]。信息泄露严重地侵害了用户对其个人信息的知情权、决定权和控制权，在未经用户同意的情况下，窃取、复制和利用了个人信息，毫不尊重用户对其个人信息公开程度的决定权，也无法保证用户对其信息的适时更新和修改[3]。通过收集和处理个人信息，商家可不断向潜在用户推销产品或服务，或将个人信息转卖给其他商家，从而获取暴利，严重侵害了消费者对个人信息的保护和正当使用。
（二）个人信息隐私泄露的各种隐患
移动互联网产业链的参与者包括系统平台运营商、终端制造商、电信运营商、网络服务提供商以及应用程序开发商。这些参与者都涉及收集和使用个人数据，如果存在技术或安全漏洞，以及管理使用不当，都可能泄露或侵害个人信息隐私。
1.系统平台运营商
系统平台就是手机的操作系统，目前市场上的系统平台主要有谷歌的Android系统、苹果的iOS系统、微软的Windows Phone8系统、三星的Bada OS系统、Research in Motion公司的黑莓系统等，其中以谷歌的Android系统和苹果的iOS系统最为热门。这些系统都采用闭源代码，专为其公司自制的手机服务，不能被其他品牌手机采用。由于操作系统本身存在技术上的漏洞，由此导致的泄密成为用户信息泄露的一大隐患[4]。
2.终端制造商
终端制造商即为手机等硬件设备的生产商，他们在生产手机硬件时同时提供操作系统，将操作系统和手机终端匹配配置。终端制造商为了使其终端能够提供更好的通讯、网络服务，满足用户运用多功能应用程序的需求，通常會与电信运营商、网络服务提供商以及应用程序开发商合作，共享用户信息。这对保护用户个人信息产生了极大的挑战。
3.电信运营商
电信运营商即为提供无线通讯业务的运营商，目前我国有三大电信运营商：中国移动、中国联通和中国电信。一方面，用户在办理无线通讯业务时，需要填写个人信息资料，这些资料可能被电信运营商使用并与终端制造商、网络服务提供商共享；另一方面，电信运营商开始进军操作系统行业，其提供的操作系统同样可能因为技术漏洞而导致用户资料泄密。
4.网络服务提供商
智能手机和手机上的应用程序需要互联网的支持才能发挥其功能和作用，否则再先进的操作系统和终端设备都不能满足用户对移动智能的需求。网络服务提供商在提供互联网支持方面起着至关重要的作用。由于用户进行引擎搜索、浏览网页、下载应用程序都得使用互联网，网络服务提供商能通过用户的网络使用习惯，掌握用户的搜索记录、网站访问记录以及应用程序下载记录。同时，由于通讯和网络技术的融合，电信运营商在相当程度上充当着网络服务提供商的角色，电信运营商在处理个人信息时存在的安全漏洞同样存在于网络服务提供商的业务活动中。
5.应用程序开发商
应用程序开发商包括企业和个人，其主要业务为开发各类软件应用程序，供手机应用商店销售，供用户下载使用。应用程序开发商一方面可以掌握用户使用程序时输入的个人信息或聊天记录，另一方面可以和终端制造商合作，通过终端制造商开放应用编程接口，获取用户终端中存储的信息和文件，或是通过与终端制造商分享利润的方式在终端设备内预置应用程序，这些预置应用程序被使用后，可能导致用户信息泄露[5]。
二、香港个人资料（私隐）保护立法现状及解读
受英国和澳大利亚法律的影响，香港地区对个人隐私的保护一直位于世界各国和地区的前列。香港于1995年制定了《个人资料（私隐）条例》（以下简称《条例》），并于1996年12月20日正式实施，同时成立了香港个人资料私隐专员公署负责条例的监察执行[6]。针对科技发展与商业变化带来的挑战，香港个人资料私隐专员公署于2006年对条例进行全方面审阅，并启动咨询程序修订条例，修订方案最终于2012年形成《个人资料（私隐）（修订）条例》。其中关于使用个人资料进行直接促销和授予专员提供法律援助的权力于2013年4月1日正式实施。此外，个人资料私隐专员公署还分别于2013年1月、2014年12月及2015年10月出台了《直接促销新指引》《保障个人资料：跨境资料转移指引》以及《移动应用程序开发最佳操作指引》（以下简称《移动应用程序指引》）香港个人资料私隐专员公署将《移动应用程序开发最佳操作指引》中文版本称为《开发流动应用程式最佳行事方式指引》，为方便大陆地区读者阅读，本文采用更符合大陆地区习惯的中文表达方式。，为使用个人资料进行直接促销和跨境转移提供了具体的解释和执行方案。 （一）香港个人资料（私隐）保护的基本原则
《条例》所涉及的范围非常广，其所规定的六项收集和使用个人资料的基本原则贯彻整部《条例》的实施和执行。首先，《条例》对相关用语做出了明确的界定。“资料”指任何文件中所呈现出的信息，包括意见的表达和个人识别码。“个人资料”被定义为直接或间接与一名在世的个人相关的任何资料，通过这些资料直接或间接地确定该个人的身份切实可行，以及这些资料的存储形式使得访问和处理这些资料切实可行。《条例》对“个人资料”的定义相当广，包括了能够识别一位在世的个人的照片。“资料当事人”包括了所有成为个人资料当事人的个人。“资料使用者”为独自或连同他人或与他人共同控制个人资料收集、持有、处理或使用的人。资料使用者包括了自然人、企业、独立大型个人资料收集者和政府[7]。
其次，《条例》对六项保障资料的基本原则作出了具体阐述，这六项原则分别为：（1）收集资料的目的及方式原则，即收集个人资料的目的必须是为了与资料使用者的职能及活动有关而收集，就该目的而言，只能收集足够但不超乎适度的资料；（2）准确性及保留期原则，即资料使用者须采取所有合理并切实可行的步骤确保资料被使用时的准确性，及资料不会被保存超过达到使用目的或会被使用于目的所需的时间；（3）使用个人资料原则，即除非资料当事人事先同意，否则个人资料只可用于原本收集资料的目的或直接有关的目的；（4）个人资料保安原则，即资料使用者须采取合理并切实可行的步骤保障个人资料免受未经许可或意外的查阅、处理、删除、丢失或其他使用所造成的影响，尤其要考虑以上情形可能带来的损害；（5）透明度原则，即资料使用者应制定及向资料当事人提供有关处理个人资料的政策及措施；（6）查阅及改正原则，即资料当事人有权查阅及更正资料使用者所持其个人资料[8]。
（二）直接促销中个人信息的收集和使用
《条例》并不规管所有类型的直接促销活动，而将直接促销定义为通过直接促销的方式要约提供产品、设施或服务，或为提供产品、设施或服务而进行广告宣传，或为慈善、文化、公益、娱乐、政治或其他目的索求捐赠或捐助。直接促销的方式被进一步定义为通过邮件、传真、电子邮件或其他通讯方式向姓名确定的特定人士传送信息或产品；或致电给特定人士参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 35 A（1）。[9]。例如，向一名已知姓名人士的手机号短信发送产品或服务信息将被视为直接促销，而将邮件寄给某处住址的居民则不被视为直接促销，因为邮件并未寄给一位姓名确定的特定人士。
由于直接促销需要获得资料当事人的同意，《条例》将“同意”定义为明确地表示不反对为直接促销使用其个人资料或提供给第三方用作直接促销。要达到明确地表示不反对，资料当事人必须清楚明白地进行意思表示，当事人的不回应不被视为同意参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Sections 35E and 35 K。[9]。资料当事人向资料使用者表示同意需要通过一定的“回应渠道”，这些“回应渠道”包括电话热线、传真、指定电子邮件账户、能让资料当事人接收或取消直接促销的网上设施、能收集资料当事人书面同意的特定邮寄地址、能够通过以上途径处理资料当事人回应的指定人员①。
在明晰概念的基础上，《条例》具体规定了资料使用者为直接促销目的在收集、使用和向第三方提供个人资料过程中所需遵守的规定。违反这些规定將会导致最高额50万元港币的罚款和最高刑期三年的监禁参见Hong Kong Personal Data（Privacy） Ordinance （2013）， Section 35C（5）。。
1.为直接促销收集个人资料
根据保护个人资料的基本原则，为直接促销目的而收集个人资料只能在为达到目的的合法范围内在必要、足够的程度上收集资料，不能超过适度的程度收集资料。例如，在一般情况下，为直接促销目的只需收集消费者的姓名和联系方式即可，如果资料使用者为直接促销而收集个人资料时，还要顾及其他诸如分析和划分客户的目的，资料使用者须在收集资料时说明其为了分析和划分客户还需收集除姓名和联系方式外的其他个人资料。此外，资料收集的方式应是合法且公平的。资料使用者不能采用欺骗或误导的方式收集个人资料，例如，如果调查问卷的实际目的是为了直接促销目的而收集消费者个人资料，资料使用者不能通过赠送奖品让消费者参与调查问卷[9]。
资料使用者应当采用所有合理并切实可行的步骤告知资料当事人后者是否有义务提供个人资料、使用资料的目的为何以及这些资料能被转移给何种类别的第三方。资料使用者可以采用“收集个人资料声明”和“私隐政策声明”告知资料当事人相关情况，包括资料收集的目的、收集资料的种类、资料可能被转移给的第三方类别以及保护个人资料的相关政策。资料使用者在告知收集资料的目的和资料可能被转移给的第三方类别时，必须避免使用开放、含糊的词语，以使资料当事人能确定收集目的和第三方类别，例如，将声称收集资料的目的为“公司不时制订的其他目的”就是不妥当的。这两类声明可以作为证据证明资料使用者采取了切实可行的步骤达到告知要求[9]。
2.为直接促销使用个人资料
资料使用者应在使用前告知资料当事人其资料将被用作直接促销、被使用的个人资料类别、资料被使用于的促销标的类别以及当事人可以向使用者表示同意的回应渠道。在未收到资料当事人明确同意使用的指示下，资料使用者不得为直接促销目的使用资料 参见Hong Kong Personal Data（Privacy） Ordinance （2013）， Sections 35H and 35M。。
如果资料当事人使用口头方式表示同意资料使用的，资料使用者在收到口头同意的14天内必须向资料当事人发出书面确认通知。书面确认通知必须被寄往资料当事人的最后所知联系地点，包括住址、电子邮件和能够接收短信的电话号码。书面确认通知应当包括以下内容：口头同意接收的时间、已同意的个人资料类别以及已同意的促销标的类别。为谨慎起见，资料使用者应在发出书面确认通知一段时间后（例如14天后）再使用个人资料于直接促销，以避免资料当事人对使用资料有所异议参见Hong Kong Personal Data（Privacy） Ordinance（2013）， Section 35E（1）（b）。。 资料使用者如果是第一次为直接促销目的使用个人资料，应当告知资料当事人其有权要求资料使用者停止为直接促销目的使用该资料。资料使用者不得就当事人的请求，向该当事人收取费用参见Hong Kong Personal Data（Privacy） Ordinance（2013）， Section 35F。。个人资料私隐专员公署建议资料使用者在相关信息传送媒介中突出资料当事人的选择退出权。资料当事人可随时行使选择退出权，要求持有其个人资料的资料使用者不再向其进行直接促销。
3.向第三方转移个人资料供第三方进行直接促销
如果资料使用者要向第三方转移其收集的个人资料，以供第三方进行直接促销，资料使用者必须书面告知资料当事人，后者的个人资料将会被提供给第三方进行直接促销，并须获得资料当事人的书面同意。如果资料使用者会从转移行为中获取收益，其必须在书面通知中明确告知资料当事人，资料转移将被用于获取收益。除以上规定外，书面通知还须包含如下内容：被转移的个人资料类别、第三方类别、与转移资料相关的促销标的类别以及供资料当事人传送书面同意的回应渠道参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 35J（1）-（3）。。未经过资料当事人书面同意，资料使用者不得将收集的个人资料提供给第三方，供第三方进行直接促销。
资料当事人可随时要求资料使用者停止向任何第三方提供个人资料并且通知已接收资料的第三方停止为直接促销使用该个人资料。第三方从资料使用者处接到停止为直接促销目的使用个人资料的通知时，必须按通知要求停止将个人资料用于直接促销参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 35L。。
（三）关于跨境转移个人资料
《条例》第33条禁止将个人资料转移到香港之外的地区，除非满足以下条件中的一项：（a）该地方是个人资料私隐专员在宪报公告中所指明的，该地方有与条例实质近似或致力于相同目的的生效法律；（b）资料使用者有合理理由相信该地方有与《条例》实质近似或致力于相同目的的生效法律；（c）资料当事人书面同意转移；（d）资料使用者有合理理由相信該转移是为避免或减轻针对资料当事人的负面行动而做出的，获得资料当事人的书面同意并不切实可行，如果切实可行，则应获得资料当事人的书面同意；（e）该个人资料凭借《条例》第八部分的豁免而不受个人资料保护第三原则的管制；（f）资料使用者已采取所有合理预防措施和履行所有谨慎注意义务保障资料在该地不被以任何与本《条例》相违背的方式所收集、持有、处理或使用。第33条的转移包括两类情形：将个人资料从香港转移到香港之外的地方；将个人资料在香港之外的两处地方间转移，但该转移受香港资料使用者控制[10]。
就条件（a）而言，个人资料私隐专员将评估香港之外其他法域的资料保护体制，以确定哪些法域有与香港《条例》实质近似或致力于相同目的的生效法律。由专员确定的地区名单将在宪报公告中公布。专员将随时审视这份名单，根据各地区法律的变化，增添或删减这份名单上的地区参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 33（2）（a）。。不属于名单上的地区如有与香港《条例》实质近似或致力于相同目的的生效法律，则会落入条件（b）的范畴。为满足条件（b）的要求，资料使用者应对资料被转移到的地区的有关个人资料保护法律进行专业评估参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 33（2）（b）。。在资料被转移到的地区没有关于资料保护的生效法律的情形下，资料使用者仍可对资料进行转移，如果资料当事人明确且自愿地书面表示资料可以被转移，并且没有撤销该书面同意，即条件（c）被满足参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 33（2）（c）。。
条件（d）适用于特殊的情形，例如，转移资料是为了履行资料当事人作为其中一方的合同，如果不及时转移资料，资料当事人将遭受重大的经济损失参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 33（2）（d）。。在条件（e）的要求下，如果个人资料保护第三基本原则（即资料使用原则）的豁免情形能适用，则资料可被转移。这些豁免情形包括：为资料持有者的个人或家庭原因而使用；为阻止犯罪而使用；为资料当事人的健康而使用；经香港法律准许而使用；为新闻报道而使用，该使用是为了公共利益；为研究而使用；以及为紧急救援而使用参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 33（2）（e）。。关于条件（f）要求下的合理预防措施和谨慎注意义务，资料使用者可通过合同约定来实现，个人资料私隐专员已在《保障个人资料：跨境资料转移指引》中准备了一套标准资料转移条款供资料使用者采用。如不采用合同约定方式，资料使用者可通过勘漏和审计模式来监控接收资料方是否达到了香港《条例》所规定的资料保护要求参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 33（2）（f）。。
（四）移动应用程序的隐私和资料保护
《移动应用程序指引》针对移动应用程序开发商收集和使用用户个人资料做出了指引。在《移动应用程序指引》规定下，只有当移动应用程序开发商收集用户资料用来识别某些个别人士时，移动应用程序开发商才属于资料使用者。当程序设计只读取移动终端内的资料，而不会把资料传输到其他地方，或该资料不会被用于识别某个人时，移动应用程序开发商不被视为资料使用者。 如果移动应用开发商打算将通过程序运用收集到的用户资料用作直接促销时，其需要遵守《条例》有关直接促销的新规定，在未收到程序用户的口头或书面同意前，程序开发商不得为直接促销目的收集和使用用户资料，否则程序开发商将会违反《条例》规定，被处以最高额50万元港币的罚款和最高刑期三年的监禁。当程序开发商通过移动应用程序收集用户资料时，通常很难获取用户的书面或口头同意，个人资料私隐专员公署建议开发商可在程序中设置包含同意资料为直接促销目的而被收集和使用条款的弹出窗口，让用户点击弹出窗口的复选框来表示同意[8]。如果开发商会将用户资料提供给第三方，则须获取用户的书面同意，并遵守《条例》中向第三方转移个人资料供第三方进行直接促销的相关规定。
当移动应用程序被世界各地的用户下载时，通常涉及到将个人资料转移到香港境外。虽然《条例》第33条生效日期尚不确定，但个人资料私隐专员公署鼓励程序开放商自愿遵守《条例》有关跨境资料转移的规定，让香港移动应用程序的资料跨境转移处于高标准。
三、启示与建议
（一）我国大陆地区个人信息隐私法律保护现状
大陆地区在借鉴传统大陆法系国家的法律基础上构建隐私保护，并没有类似于英美法系国家法律中的隐私权概念，而是将隐私权视为一种人格权，通过名誉权和人格尊严予以保护，分别体现在《宪法》第38条至40条、《民法通则》第101条、《刑法》第245、252条以及《刑法修正案（七）》第7条的规定中。2010年7月实施的《侵权责任法》将隐私权单列为一项权利类型，与肖像权、名誉权、姓名权等民事权利并列，《侵权责任法》虽然确立了隐私权的独立地位，但尚未明确隐私权的内涵外延和具体侵权形式。
为保护计算机网络环境下和征信行业中的个人信息隐私，我国颁布了《计算机信息网络国际联网安全保护管理办法》《规范互联网信息服务市场秩序若干规定》《个人信用信息基础数据库管理暂行办法》《征信业管理条例》等一系列行政法规。在已有法律法规的基础上，2012年12月28日，全国人民代表大会常务委员会通过了《关于加强网络信息保护的决定》（以下简称《决定》）；2012年11月5日，国家质量监督检验检疫总局、国家标准化管理委员会批准发布了《信息安全技术公共及商用服務信息系统个人信息保护指南》（以下简称《指南》），《指南》于2013年2月1日开始实施；2014年6月，最高人民法院通过了《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》（以下简称《规定》）；2017年5月8日，最高人民法院、最高人民检察院发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《两高解释》），《两高解释》于2017年6月1日开始实施。
《决定》主要针对网络服务提供者和其他企事业单位在收集和使用用户个人信息过程中的管理和保护提出了12条概括性规定。例如，《决定》规定网络服务提供者和其他企事业单位收集和使用用户个人电子信息应遵循合法、正当、必要的原则，明示收集和使用信息的目的、方式和范围，并经用户同意，应采取技术措施防止个人电子信息的泄露、损毁和丢失参见《关于加强网络信息保护的决定》第二、三条。。《决定》第7条涉及到为直接促销目的收集、使用个人电子信息，“任何组织和个人未经电子信息接收者同意或者请求，或者电子信息接收者明确表示拒绝的，不得向其固定电话、移动电话或者个人电子邮箱发送商业性电子信息”。对违反《决定》的行为将给予警告、罚款、没收违法所得、吊销许可证或取消备案、关闭网站、禁止有关责任人员从事网络服务业等处罚参见《关于加强网络信息保护的决定》第十一条。。《指南》为指导性技术文件，旨在指导政府机关和电信、金融、医疗等服务机构开展个人信息保护工作，其虽然对个人信息的收集和保护做出了较详细的规定，但却没有法律约束力，不能成为强制相关机构按其要求进行信息收集和处理的法律依据。《规定》着重解决网络环境下被侵权人提起侵权诉讼的问题，明确了网络服务提供者的“知道”标准和转载网络信息行为的过错及程度的判断标准[11]。《两高解释》主要针对刑法中的侵犯公民个人信息罪作出了相应解释，列举了非法获取、出售或提供个人信息情节严重和特别严重的情形。此外，网络服务提供者如不履行信息网络安全管理义务，致使个人信息泄露，造成严重后果的，将构成拒不履行信息网络安全管理义务罪参见《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五、六、九条。。
（二）我国香港地区个人资料（私隐）保护法律制度相较于大陆地区的优势
我国香港地区个人资料私隐保护新发展相对于目前大陆地区的个人信息保护有以下几点优势：（1）吸收英美法系对隐私权的保护，明确了隐私权在法律中的独立地位；（2）有针对个人资料私隐保护的独立、综合的《条例》，该《条例》体系完整、条款详尽，而且随着技术和商业的发展，条款能得到及时修订，能在不影响《条例》整体结构的基础上适时增加新规定；（3）有具有独立地位的个人资料私隐专员公署对《条例》的实施执行进行监督；（4）在移动互联网技术快速发展的情态下，《条例》适时地针对为直接促销目的使用个人资料和向第三方提供个人资料作出了详尽规定；（5）《条例》含有跨境转移个人资料的规定，这在移动互联网环境下有效保护个人资料尤为重要；（6）除《条例》规定外，个人资料私隐专员公署及时地出台针对某类特定情形的指引，将《条例》中的新规定以通俗易懂的语言和举例的方式让涉及收集和使用个人资料的产品和服务提供者能够更及时、准确地把握保护个人资料私隐的新要求，从而做出相应调整和制订公司隐私政策。大陆地区应根据其经济、社会、科技发展状况，适当吸收和借鉴香港地区在个人资料私隐保护方面的经验，为保护移动互联网时代的个人信息隐私提供新规定。具体而言，大陆地区应在以下几方面作出调整。
（三）对我国大陆地区个人信息隐私法律保护的建议 1.关于个人信息隐私权入宪
虽然我国《宪法》提到了保护公民的住宅和通信自由不受侵犯，但《宪法》并未将隐私权规定为一种独立的权利。如果隐私权不能作为一项独立的人格权利在《宪法》中体现，则不利于对隐私权的保护，更谈不上对个人信息隐私的保护[12]。因此，大陆地区应首先在《宪法》中将隐私权增加为一项独立的权利，以确定隐私权的法律基础。
我国2017年3月15日发布的《民法总则》已在民事基本法律中将隐私权单列为一项权利类型参见《民法总则》第一百一十条。，也明确了自然人的个人信息受法律保护，任何人不得非法使用、传输他人个人信息参见《民法总则》第一百一十一条。。《民法总则》将于2017年10月1日起实施。《民法总则》虽然从民事基本法律的层面确立了隐私权的独立法律地位，相较于《民法通则》有明显的进步，但鉴于目前移动互联网环境下侵犯个人信息隐私的泛滥和严重程度，应在宪法层面进一步明确个人隐私权的法律地位。
2.制订个人信息隐私保护条例并增加直接促销目的使用个人信息和跨境转移个人信息的规定
不同于香港地区，大陆地区尚未制定一部综合的个人信息隐私保护条例，关于保护个人信息隐私的规定分散在不同的法律、行政法规、司法解释、立法决定、地方规章及行业指南中。这种分散型的个人信息保护虽能在一定程度上弥补大陆地区无独立隐私保护条例的缺陷，但每条法律规定只针对特定情形作出规制，每部法律之间无紧密联系，不足以满足移动互联网环境下对个人信息隐私强化保护的要求。
相较于香港地区综合性的《条例》，大陆地区对于个人信息隐私的保护较为分散，这样分散型的立法体例不利于从整体上把握个人信息隐私的保护，各法律条文之间相互独立、没有衔接，一部法律法规中的条文仅针对该条文涉及的特定情形进行规定，很难覆盖到其他法律法规下所涉及的问题。而且不同法律法规的制定在针对信息收集和处理的规范时，会重复对相关原则性条款进行规定，使各条款看上去大同小异，但都没有细致、详尽的条文支撑。例如，《规范互联网信息服务市场秩序若干问题》和《决定》都提到网络服务提供者收集、使用用户个人信息应当经过用户同意，但两部法规都未具体说明用户个人信息包括哪些内容，网络服务提供者应该通过何种方式取得用户同意，用户的同意是否必须为书面形式等。
因此，大陆地区应着手制订一部完善的综合性个人信息保护条例，该条例应具体、详尽地为直接促销目的收集、使用个人信息和跨境转移个人信息提供法律保护和规制。具体而言，可参照香港《条例》关于这部分的规定，对相关用词进行明确界定，并为直接促销目的收集、使用或向第三方转移个人信息制定具体规则，包括收集和使用信息的原则性要求、方式方法、被收集和使用的个人信息类型、信息主体通过何种途径表示同意或拒绝、信息使用者如何制订隐私保护声明和隐私政策等。大陆地区应增加对于跨境转移个人信息的规制，规定在满足何种条件下大陆地区的个人信息允许被转移至境外，这些条件的具体制订可以香港《条例》为参考和借鉴。另外，大陆地区制订相关条款时，不应将信息使用者局限于网络服务提供者，而应考虑到在移动互联网环境下的系统平台运营商、终端制造商、电信运营商以及应用程序开发商皆有可能成为信息使用的主体。
3.适时地制订帮助信息使用者理解法律规定的指南
香港地区在修订法律条例的同时，不断地通过个人资料私隐专员公署出台指引，对《条例》中的新规定进行解释，并列举相关的例子，以通俗易懂的方式让资料使用者能够及时接收和理解条例的新规定，并帮助资料使用者调整隐私保护政策，使其能在新规定实施的第一时间内遵法执法。由于指引的制订和出台过程不及法律条例般复杂、繁琐，通过出台指引，能有效快速地指导资料使用者作出内部调适。
大陆地区可学习借鉴香港地区个人资料私隐专员公署制订出台指引的经验，在已授权某政府机构监管实施个人信息隐私保护条例的基础上，同时赋予该政府机构制订颁布指南的权力，让该政府机构制订相关指南针对条例中的某类问题进行具体释义和提供指导性建议。在移动互联网技术不断发展的情况下，该政府机构还可针对技术和商业发展产生的新问题，作出建议性指南，出台类似于香港《移动应用程序指引》的指南。
四、结 语
移动互联网技术的发展及智能终端的普及使移动通讯成为个人日常工作和生活的重要组成部分，随之带来的个人信息隐私泄密问题也越来越严重，只有提高对个人信息隐私保护的重视，學习和借鉴其他国家和地区的隐私保护法规和实践，及时调整我国的个人信息保护法律法规，才能在移动互联网环境下有效地保护用户个人信息[13]。作为我国特别行政区的香港在个人信息隐私保护方面已走在了世界前列，通过分析香港地区关于个人信息保护的新规定和信息保护实践，能为大陆地区加强个人信息隐私保护起到借鉴作用，使大陆地区能够创造更加和谐的移动互联网环境。
参考文献：
[1] 中国互联网络信息中心.第39次《中国互联网络发展状况统计报告》[R/OL].（2017-01-23）[2017-03-10].http：//cnnic.cn/hlwfzyj/hlwxzbg/hlwtjbg/201701/P020170123364672657408.pdf.
[2] 周霞.APP成数据泄露新主体 个人信息亟需立法保护[N].通信信息报，2015-06-03.
[3] 张建文，高完成.司法实践中个人信息的保护模式及其反思——以隐私权的转型为视角[J].重庆邮电大学学报（社会科学版），2016（3）：27-33.
[4] 刘佳.智能手机中个人信息保护研究[J].法制博览，2014（5）：92.
[5] 王妮娜.移动互联网时代个人隐私保护研究[J].现代电信科技，2015（2）：45.
[6] 齐爱民，陈星.海峡两岸及港澳地区个人信息保护立法比较研究[J].经济法论坛，2013（1）：141. [7] DEACONS. Hong Kong-A Guide to the Personal Data （Privacy） Ordinance[EB/OL]. （2013-04-07）[2016-12-10]. http：//www.conventuslaw.com/archive/hong-kong-a-guide-to-the-personal-data-privacy-ordinance/.
[8] Hong Kong Office of the Privacy Commissioner for Personal Data. Best Practice Guide for Mobile App Development[EB/OL]. （2015-10-01）[2016-12-10]. https：//www.pcpd.org.hk/english/resources_centre/industry_specific/files/Mobileapp_guide_e.pdf.
[9] Hong Kong Office of the Privacy Commissioner for Personal Data.New Guidance on Direct Marketing[EB/OL].（2013-01-01）[2017-01-20].https：//www.pcpd.org.hk/english/publications/files/GN_DM_e.pdf.
[10]Hong Kong Office of the Privacy Commissioner for Personal Data.Guidance on Personal Data Protection in Cross-border Data Transfer[EB/OL].（2014-12-01）[2017-01-01].https：//www.pcpd.org.hk/english/resources_centre/publications/files/GN_crossborder_e.pdf.
[11]徐明.大數据时代的隐私危机及其侵权法应对[J].中国法学，2017（1）：130-149.
[12]李媛.共识与争议：个人信息保护的价值目标[J].重庆邮电大学学报（社会科学版），2016（3）：59-64.
[13]王楠.个人信息跨境转移的法律保护——以公司隐私规则为视角[J].重庆工商大学学报（社会科学版），2016（1）：68-74.
Protection of Personal Data Privacy in the Mobile Internet Age：
The Interpretations and Implications from Hong Kong Personal Data
（Privacy） Ordinance
HUA Jie
（Shanghai International College of Intellectual Property， Tongji University， Shanghai 200092， China）
Abstract：The emergence of Internet has brought about challenges to personal data privacy protection. The development of smart phones， mobile applications and cloud computing has exacerbated disclosure of personal data and infringement of personal data privacy under the mobile Internet environment. Various countries and regions have paid their attentions on how personal data privacy can be protected under the mobile Internet environment. The legislative practice of Hong Kong SAR in China has been at the forefront of various countries and regions， under which Hong Kong Personal Data （Privacy） Ordinance has been promulgated and Privacy Commissioner for Personal Data has been established to be responsible for the enforcement of the Ordinance. In light of the imperfect legal systems on personal data privacy protection in the mainland China， this article suggests the mainland China learning and borrowing from the legal system of personal data privacy protection in Hong Kong to strengthen its protection of personal data privacy and create a more harmonious mobile internet environment.
Keywords：personal data protection； privacy； mobile Internet； Hong Kong； implications
关键词：个人信息保护；隐私权；移动互联网；香港；启示
中图分类号：D913 文献标识码：A
文章编号：1673-8268（2017）05-0040-08
一、移动互联网环境下个人信息隐私保护面临危机
（一）问题的提出
互联网从20世纪80年代进入我国，经过30年的发展，已渗透到个人日常工作生活的每一个角落。截至2016年12月，互联网在我国有7.31亿用户，渗透率达到53.2%[1]。2010年，智能手机及云计算技术的爆发，使手机、平板电脑用户开始大量使用依赖于互联网技术的移动应用程序来处理日常工作和生活事务，包括金融理财、外出交通、出行定位、交友聊天、游戏娱乐等。截至2016年12月，我国手机用户数量达6.95亿[1]。大量的用户个人信息被移动应用程序开发者和管理者收集和使用，由于技术的不完善、法律规制的缺乏、以及开发者和管理者的疏忽或恶意行为，使得个人信息泄露事件屡见不鲜，危及到个人信息隐私的安全。例如，2014年12月25日，大量12306客户端用户数据在网络上被销售传播，其中包含13万余条账号密码、手机号码、身份证号等个人隐私信息[2]。信息泄露严重地侵害了用户对其个人信息的知情权、决定权和控制权，在未经用户同意的情况下，窃取、复制和利用了个人信息，毫不尊重用户对其个人信息公开程度的决定权，也无法保证用户对其信息的适时更新和修改[3]。通过收集和处理个人信息，商家可不断向潜在用户推销产品或服务，或将个人信息转卖给其他商家，从而获取暴利，严重侵害了消费者对个人信息的保护和正当使用。
（二）个人信息隐私泄露的各种隐患
移动互联网产业链的参与者包括系统平台运营商、终端制造商、电信运营商、网络服务提供商以及应用程序开发商。这些参与者都涉及收集和使用个人数据，如果存在技术或安全漏洞，以及管理使用不当，都可能泄露或侵害个人信息隐私。
1.系统平台运营商
系统平台就是手机的操作系统，目前市场上的系统平台主要有谷歌的Android系统、苹果的iOS系统、微软的Windows Phone8系统、三星的Bada OS系统、Research in Motion公司的黑莓系统等，其中以谷歌的Android系统和苹果的iOS系统最为热门。这些系统都采用闭源代码，专为其公司自制的手机服务，不能被其他品牌手机采用。由于操作系统本身存在技术上的漏洞，由此导致的泄密成为用户信息泄露的一大隐患[4]。
2.终端制造商
终端制造商即为手机等硬件设备的生产商，他们在生产手机硬件时同时提供操作系统，将操作系统和手机终端匹配配置。终端制造商为了使其终端能够提供更好的通讯、网络服务，满足用户运用多功能应用程序的需求，通常會与电信运营商、网络服务提供商以及应用程序开发商合作，共享用户信息。这对保护用户个人信息产生了极大的挑战。
3.电信运营商
电信运营商即为提供无线通讯业务的运营商，目前我国有三大电信运营商：中国移动、中国联通和中国电信。一方面，用户在办理无线通讯业务时，需要填写个人信息资料，这些资料可能被电信运营商使用并与终端制造商、网络服务提供商共享；另一方面，电信运营商开始进军操作系统行业，其提供的操作系统同样可能因为技术漏洞而导致用户资料泄密。
4.网络服务提供商
智能手机和手机上的应用程序需要互联网的支持才能发挥其功能和作用，否则再先进的操作系统和终端设备都不能满足用户对移动智能的需求。网络服务提供商在提供互联网支持方面起着至关重要的作用。由于用户进行引擎搜索、浏览网页、下载应用程序都得使用互联网，网络服务提供商能通过用户的网络使用习惯，掌握用户的搜索记录、网站访问记录以及应用程序下载记录。同时，由于通讯和网络技术的融合，电信运营商在相当程度上充当着网络服务提供商的角色，电信运营商在处理个人信息时存在的安全漏洞同样存在于网络服务提供商的业务活动中。
5.应用程序开发商
应用程序开发商包括企业和个人，其主要业务为开发各类软件应用程序，供手机应用商店销售，供用户下载使用。应用程序开发商一方面可以掌握用户使用程序时输入的个人信息或聊天记录，另一方面可以和终端制造商合作，通过终端制造商开放应用编程接口，获取用户终端中存储的信息和文件，或是通过与终端制造商分享利润的方式在终端设备内预置应用程序，这些预置应用程序被使用后，可能导致用户信息泄露[5]。
二、香港个人资料（私隐）保护立法现状及解读
受英国和澳大利亚法律的影响，香港地区对个人隐私的保护一直位于世界各国和地区的前列。香港于1995年制定了《个人资料（私隐）条例》（以下简称《条例》），并于1996年12月20日正式实施，同时成立了香港个人资料私隐专员公署负责条例的监察执行[6]。针对科技发展与商业变化带来的挑战，香港个人资料私隐专员公署于2006年对条例进行全方面审阅，并启动咨询程序修订条例，修订方案最终于2012年形成《个人资料（私隐）（修订）条例》。其中关于使用个人资料进行直接促销和授予专员提供法律援助的权力于2013年4月1日正式实施。此外，个人资料私隐专员公署还分别于2013年1月、2014年12月及2015年10月出台了《直接促销新指引》《保障个人资料：跨境资料转移指引》以及《移动应用程序开发最佳操作指引》（以下简称《移动应用程序指引》）香港个人资料私隐专员公署将《移动应用程序开发最佳操作指引》中文版本称为《开发流动应用程式最佳行事方式指引》，为方便大陆地区读者阅读，本文采用更符合大陆地区习惯的中文表达方式。，为使用个人资料进行直接促销和跨境转移提供了具体的解释和执行方案。 （一）香港个人资料（私隐）保护的基本原则
《条例》所涉及的范围非常广，其所规定的六项收集和使用个人资料的基本原则贯彻整部《条例》的实施和执行。首先，《条例》对相关用语做出了明确的界定。“资料”指任何文件中所呈现出的信息，包括意见的表达和个人识别码。“个人资料”被定义为直接或间接与一名在世的个人相关的任何资料，通过这些资料直接或间接地确定该个人的身份切实可行，以及这些资料的存储形式使得访问和处理这些资料切实可行。《条例》对“个人资料”的定义相当广，包括了能够识别一位在世的个人的照片。“资料当事人”包括了所有成为个人资料当事人的个人。“资料使用者”为独自或连同他人或与他人共同控制个人资料收集、持有、处理或使用的人。资料使用者包括了自然人、企业、独立大型个人资料收集者和政府[7]。
其次，《条例》对六项保障资料的基本原则作出了具体阐述，这六项原则分别为：（1）收集资料的目的及方式原则，即收集个人资料的目的必须是为了与资料使用者的职能及活动有关而收集，就该目的而言，只能收集足够但不超乎适度的资料；（2）准确性及保留期原则，即资料使用者须采取所有合理并切实可行的步骤确保资料被使用时的准确性，及资料不会被保存超过达到使用目的或会被使用于目的所需的时间；（3）使用个人资料原则，即除非资料当事人事先同意，否则个人资料只可用于原本收集资料的目的或直接有关的目的；（4）个人资料保安原则，即资料使用者须采取合理并切实可行的步骤保障个人资料免受未经许可或意外的查阅、处理、删除、丢失或其他使用所造成的影响，尤其要考虑以上情形可能带来的损害；（5）透明度原则，即资料使用者应制定及向资料当事人提供有关处理个人资料的政策及措施；（6）查阅及改正原则，即资料当事人有权查阅及更正资料使用者所持其个人资料[8]。
（二）直接促销中个人信息的收集和使用
《条例》并不规管所有类型的直接促销活动，而将直接促销定义为通过直接促销的方式要约提供产品、设施或服务，或为提供产品、设施或服务而进行广告宣传，或为慈善、文化、公益、娱乐、政治或其他目的索求捐赠或捐助。直接促销的方式被进一步定义为通过邮件、传真、电子邮件或其他通讯方式向姓名确定的特定人士传送信息或产品；或致电给特定人士参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 35 A（1）。[9]。例如，向一名已知姓名人士的手机号短信发送产品或服务信息将被视为直接促销，而将邮件寄给某处住址的居民则不被视为直接促销，因为邮件并未寄给一位姓名确定的特定人士。
由于直接促销需要获得资料当事人的同意，《条例》将“同意”定义为明确地表示不反对为直接促销使用其个人资料或提供给第三方用作直接促销。要达到明确地表示不反对，资料当事人必须清楚明白地进行意思表示，当事人的不回应不被视为同意参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Sections 35E and 35 K。[9]。资料当事人向资料使用者表示同意需要通过一定的“回应渠道”，这些“回应渠道”包括电话热线、传真、指定电子邮件账户、能让资料当事人接收或取消直接促销的网上设施、能收集资料当事人书面同意的特定邮寄地址、能够通过以上途径处理资料当事人回应的指定人员①。
在明晰概念的基础上，《条例》具体规定了资料使用者为直接促销目的在收集、使用和向第三方提供个人资料过程中所需遵守的规定。违反这些规定將会导致最高额50万元港币的罚款和最高刑期三年的监禁参见Hong Kong Personal Data（Privacy） Ordinance （2013）， Section 35C（5）。。
1.为直接促销收集个人资料
根据保护个人资料的基本原则，为直接促销目的而收集个人资料只能在为达到目的的合法范围内在必要、足够的程度上收集资料，不能超过适度的程度收集资料。例如，在一般情况下，为直接促销目的只需收集消费者的姓名和联系方式即可，如果资料使用者为直接促销而收集个人资料时，还要顾及其他诸如分析和划分客户的目的，资料使用者须在收集资料时说明其为了分析和划分客户还需收集除姓名和联系方式外的其他个人资料。此外，资料收集的方式应是合法且公平的。资料使用者不能采用欺骗或误导的方式收集个人资料，例如，如果调查问卷的实际目的是为了直接促销目的而收集消费者个人资料，资料使用者不能通过赠送奖品让消费者参与调查问卷[9]。
资料使用者应当采用所有合理并切实可行的步骤告知资料当事人后者是否有义务提供个人资料、使用资料的目的为何以及这些资料能被转移给何种类别的第三方。资料使用者可以采用“收集个人资料声明”和“私隐政策声明”告知资料当事人相关情况，包括资料收集的目的、收集资料的种类、资料可能被转移给的第三方类别以及保护个人资料的相关政策。资料使用者在告知收集资料的目的和资料可能被转移给的第三方类别时，必须避免使用开放、含糊的词语，以使资料当事人能确定收集目的和第三方类别，例如，将声称收集资料的目的为“公司不时制订的其他目的”就是不妥当的。这两类声明可以作为证据证明资料使用者采取了切实可行的步骤达到告知要求[9]。
2.为直接促销使用个人资料
资料使用者应在使用前告知资料当事人其资料将被用作直接促销、被使用的个人资料类别、资料被使用于的促销标的类别以及当事人可以向使用者表示同意的回应渠道。在未收到资料当事人明确同意使用的指示下，资料使用者不得为直接促销目的使用资料 参见Hong Kong Personal Data（Privacy） Ordinance （2013）， Sections 35H and 35M。。
如果资料当事人使用口头方式表示同意资料使用的，资料使用者在收到口头同意的14天内必须向资料当事人发出书面确认通知。书面确认通知必须被寄往资料当事人的最后所知联系地点，包括住址、电子邮件和能够接收短信的电话号码。书面确认通知应当包括以下内容：口头同意接收的时间、已同意的个人资料类别以及已同意的促销标的类别。为谨慎起见，资料使用者应在发出书面确认通知一段时间后（例如14天后）再使用个人资料于直接促销，以避免资料当事人对使用资料有所异议参见Hong Kong Personal Data（Privacy） Ordinance（2013）， Section 35E（1）（b）。。 资料使用者如果是第一次为直接促销目的使用个人资料，应当告知资料当事人其有权要求资料使用者停止为直接促销目的使用该资料。资料使用者不得就当事人的请求，向该当事人收取费用参见Hong Kong Personal Data（Privacy） Ordinance（2013）， Section 35F。。个人资料私隐专员公署建议资料使用者在相关信息传送媒介中突出资料当事人的选择退出权。资料当事人可随时行使选择退出权，要求持有其个人资料的资料使用者不再向其进行直接促销。
3.向第三方转移个人资料供第三方进行直接促销
如果资料使用者要向第三方转移其收集的个人资料，以供第三方进行直接促销，资料使用者必须书面告知资料当事人，后者的个人资料将会被提供给第三方进行直接促销，并须获得资料当事人的书面同意。如果资料使用者会从转移行为中获取收益，其必须在书面通知中明确告知资料当事人，资料转移将被用于获取收益。除以上规定外，书面通知还须包含如下内容：被转移的个人资料类别、第三方类别、与转移资料相关的促销标的类别以及供资料当事人传送书面同意的回应渠道参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 35J（1）-（3）。。未经过资料当事人书面同意，资料使用者不得将收集的个人资料提供给第三方，供第三方进行直接促销。
资料当事人可随时要求资料使用者停止向任何第三方提供个人资料并且通知已接收资料的第三方停止为直接促销使用该个人资料。第三方从资料使用者处接到停止为直接促销目的使用个人资料的通知时，必须按通知要求停止将个人资料用于直接促销参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 35L。。
（三）关于跨境转移个人资料
《条例》第33条禁止将个人资料转移到香港之外的地区，除非满足以下条件中的一项：（a）该地方是个人资料私隐专员在宪报公告中所指明的，该地方有与条例实质近似或致力于相同目的的生效法律；（b）资料使用者有合理理由相信该地方有与《条例》实质近似或致力于相同目的的生效法律；（c）资料当事人书面同意转移；（d）资料使用者有合理理由相信該转移是为避免或减轻针对资料当事人的负面行动而做出的，获得资料当事人的书面同意并不切实可行，如果切实可行，则应获得资料当事人的书面同意；（e）该个人资料凭借《条例》第八部分的豁免而不受个人资料保护第三原则的管制；（f）资料使用者已采取所有合理预防措施和履行所有谨慎注意义务保障资料在该地不被以任何与本《条例》相违背的方式所收集、持有、处理或使用。第33条的转移包括两类情形：将个人资料从香港转移到香港之外的地方；将个人资料在香港之外的两处地方间转移，但该转移受香港资料使用者控制[10]。
就条件（a）而言，个人资料私隐专员将评估香港之外其他法域的资料保护体制，以确定哪些法域有与香港《条例》实质近似或致力于相同目的的生效法律。由专员确定的地区名单将在宪报公告中公布。专员将随时审视这份名单，根据各地区法律的变化，增添或删减这份名单上的地区参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 33（2）（a）。。不属于名单上的地区如有与香港《条例》实质近似或致力于相同目的的生效法律，则会落入条件（b）的范畴。为满足条件（b）的要求，资料使用者应对资料被转移到的地区的有关个人资料保护法律进行专业评估参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 33（2）（b）。。在资料被转移到的地区没有关于资料保护的生效法律的情形下，资料使用者仍可对资料进行转移，如果资料当事人明确且自愿地书面表示资料可以被转移，并且没有撤销该书面同意，即条件（c）被满足参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 33（2）（c）。。
条件（d）适用于特殊的情形，例如，转移资料是为了履行资料当事人作为其中一方的合同，如果不及时转移资料，资料当事人将遭受重大的经济损失参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 33（2）（d）。。在条件（e）的要求下，如果个人资料保护第三基本原则（即资料使用原则）的豁免情形能适用，则资料可被转移。这些豁免情形包括：为资料持有者的个人或家庭原因而使用；为阻止犯罪而使用；为资料当事人的健康而使用；经香港法律准许而使用；为新闻报道而使用，该使用是为了公共利益；为研究而使用；以及为紧急救援而使用参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 33（2）（e）。。关于条件（f）要求下的合理预防措施和谨慎注意义务，资料使用者可通过合同约定来实现，个人资料私隐专员已在《保障个人资料：跨境资料转移指引》中准备了一套标准资料转移条款供资料使用者采用。如不采用合同约定方式，资料使用者可通过勘漏和审计模式来监控接收资料方是否达到了香港《条例》所规定的资料保护要求参见Hong Kong Personal Data （Privacy） Ordinance （2013）， Section 33（2）（f）。。
（四）移动应用程序的隐私和资料保护
《移动应用程序指引》针对移动应用程序开发商收集和使用用户个人资料做出了指引。在《移动应用程序指引》规定下，只有当移动应用程序开发商收集用户资料用来识别某些个别人士时，移动应用程序开发商才属于资料使用者。当程序设计只读取移动终端内的资料，而不会把资料传输到其他地方，或该资料不会被用于识别某个人时，移动应用程序开发商不被视为资料使用者。 如果移动应用开发商打算将通过程序运用收集到的用户资料用作直接促销时，其需要遵守《条例》有关直接促销的新规定，在未收到程序用户的口头或书面同意前，程序开发商不得为直接促销目的收集和使用用户资料，否则程序开发商将会违反《条例》规定，被处以最高额50万元港币的罚款和最高刑期三年的监禁。当程序开发商通过移动应用程序收集用户资料时，通常很难获取用户的书面或口头同意，个人资料私隐专员公署建议开发商可在程序中设置包含同意资料为直接促销目的而被收集和使用条款的弹出窗口，让用户点击弹出窗口的复选框来表示同意[8]。如果开发商会将用户资料提供给第三方，则须获取用户的书面同意，并遵守《条例》中向第三方转移个人资料供第三方进行直接促销的相关规定。
当移动应用程序被世界各地的用户下载时，通常涉及到将个人资料转移到香港境外。虽然《条例》第33条生效日期尚不确定，但个人资料私隐专员公署鼓励程序开放商自愿遵守《条例》有关跨境资料转移的规定，让香港移动应用程序的资料跨境转移处于高标准。
三、启示与建议
（一）我国大陆地区个人信息隐私法律保护现状
大陆地区在借鉴传统大陆法系国家的法律基础上构建隐私保护，并没有类似于英美法系国家法律中的隐私权概念，而是将隐私权视为一种人格权，通过名誉权和人格尊严予以保护，分别体现在《宪法》第38条至40条、《民法通则》第101条、《刑法》第245、252条以及《刑法修正案（七）》第7条的规定中。2010年7月实施的《侵权责任法》将隐私权单列为一项权利类型，与肖像权、名誉权、姓名权等民事权利并列，《侵权责任法》虽然确立了隐私权的独立地位，但尚未明确隐私权的内涵外延和具体侵权形式。
为保护计算机网络环境下和征信行业中的个人信息隐私，我国颁布了《计算机信息网络国际联网安全保护管理办法》《规范互联网信息服务市场秩序若干规定》《个人信用信息基础数据库管理暂行办法》《征信业管理条例》等一系列行政法规。在已有法律法规的基础上，2012年12月28日，全国人民代表大会常务委员会通过了《关于加强网络信息保护的决定》（以下简称《决定》）；2012年11月5日，国家质量监督检验检疫总局、国家标准化管理委员会批准发布了《信息安全技术公共及商用服務信息系统个人信息保护指南》（以下简称《指南》），《指南》于2013年2月1日开始实施；2014年6月，最高人民法院通过了《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》（以下简称《规定》）；2017年5月8日，最高人民法院、最高人民检察院发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《两高解释》），《两高解释》于2017年6月1日开始实施。
《决定》主要针对网络服务提供者和其他企事业单位在收集和使用用户个人信息过程中的管理和保护提出了12条概括性规定。例如，《决定》规定网络服务提供者和其他企事业单位收集和使用用户个人电子信息应遵循合法、正当、必要的原则，明示收集和使用信息的目的、方式和范围，并经用户同意，应采取技术措施防止个人电子信息的泄露、损毁和丢失参见《关于加强网络信息保护的决定》第二、三条。。《决定》第7条涉及到为直接促销目的收集、使用个人电子信息，“任何组织和个人未经电子信息接收者同意或者请求，或者电子信息接收者明确表示拒绝的，不得向其固定电话、移动电话或者个人电子邮箱发送商业性电子信息”。对违反《决定》的行为将给予警告、罚款、没收违法所得、吊销许可证或取消备案、关闭网站、禁止有关责任人员从事网络服务业等处罚参见《关于加强网络信息保护的决定》第十一条。。《指南》为指导性技术文件，旨在指导政府机关和电信、金融、医疗等服务机构开展个人信息保护工作，其虽然对个人信息的收集和保护做出了较详细的规定，但却没有法律约束力，不能成为强制相关机构按其要求进行信息收集和处理的法律依据。《规定》着重解决网络环境下被侵权人提起侵权诉讼的问题，明确了网络服务提供者的“知道”标准和转载网络信息行为的过错及程度的判断标准[11]。《两高解释》主要针对刑法中的侵犯公民个人信息罪作出了相应解释，列举了非法获取、出售或提供个人信息情节严重和特别严重的情形。此外，网络服务提供者如不履行信息网络安全管理义务，致使个人信息泄露，造成严重后果的，将构成拒不履行信息网络安全管理义务罪参见《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五、六、九条。。
（二）我国香港地区个人资料（私隐）保护法律制度相较于大陆地区的优势
我国香港地区个人资料私隐保护新发展相对于目前大陆地区的个人信息保护有以下几点优势：（1）吸收英美法系对隐私权的保护，明确了隐私权在法律中的独立地位；（2）有针对个人资料私隐保护的独立、综合的《条例》，该《条例》体系完整、条款详尽，而且随着技术和商业的发展，条款能得到及时修订，能在不影响《条例》整体结构的基础上适时增加新规定；（3）有具有独立地位的个人资料私隐专员公署对《条例》的实施执行进行监督；（4）在移动互联网技术快速发展的情态下，《条例》适时地针对为直接促销目的使用个人资料和向第三方提供个人资料作出了详尽规定；（5）《条例》含有跨境转移个人资料的规定，这在移动互联网环境下有效保护个人资料尤为重要；（6）除《条例》规定外，个人资料私隐专员公署及时地出台针对某类特定情形的指引，将《条例》中的新规定以通俗易懂的语言和举例的方式让涉及收集和使用个人资料的产品和服务提供者能够更及时、准确地把握保护个人资料私隐的新要求，从而做出相应调整和制订公司隐私政策。大陆地区应根据其经济、社会、科技发展状况，适当吸收和借鉴香港地区在个人资料私隐保护方面的经验，为保护移动互联网时代的个人信息隐私提供新规定。具体而言，大陆地区应在以下几方面作出调整。
（三）对我国大陆地区个人信息隐私法律保护的建议 1.关于个人信息隐私权入宪
虽然我国《宪法》提到了保护公民的住宅和通信自由不受侵犯，但《宪法》并未将隐私权规定为一种独立的权利。如果隐私权不能作为一项独立的人格权利在《宪法》中体现，则不利于对隐私权的保护，更谈不上对个人信息隐私的保护[12]。因此，大陆地区应首先在《宪法》中将隐私权增加为一项独立的权利，以确定隐私权的法律基础。
我国2017年3月15日发布的《民法总则》已在民事基本法律中将隐私权单列为一项权利类型参见《民法总则》第一百一十条。，也明确了自然人的个人信息受法律保护，任何人不得非法使用、传输他人个人信息参见《民法总则》第一百一十一条。。《民法总则》将于2017年10月1日起实施。《民法总则》虽然从民事基本法律的层面确立了隐私权的独立法律地位，相较于《民法通则》有明显的进步，但鉴于目前移动互联网环境下侵犯个人信息隐私的泛滥和严重程度，应在宪法层面进一步明确个人隐私权的法律地位。
2.制订个人信息隐私保护条例并增加直接促销目的使用个人信息和跨境转移个人信息的规定
不同于香港地区，大陆地区尚未制定一部综合的个人信息隐私保护条例，关于保护个人信息隐私的规定分散在不同的法律、行政法规、司法解释、立法决定、地方规章及行业指南中。这种分散型的个人信息保护虽能在一定程度上弥补大陆地区无独立隐私保护条例的缺陷，但每条法律规定只针对特定情形作出规制，每部法律之间无紧密联系，不足以满足移动互联网环境下对个人信息隐私强化保护的要求。
相较于香港地区综合性的《条例》，大陆地区对于个人信息隐私的保护较为分散，这样分散型的立法体例不利于从整体上把握个人信息隐私的保护，各法律条文之间相互独立、没有衔接，一部法律法规中的条文仅针对该条文涉及的特定情形进行规定，很难覆盖到其他法律法规下所涉及的问题。而且不同法律法规的制定在针对信息收集和处理的规范时，会重复对相关原则性条款进行规定，使各条款看上去大同小异，但都没有细致、详尽的条文支撑。例如，《规范互联网信息服务市场秩序若干问题》和《决定》都提到网络服务提供者收集、使用用户个人信息应当经过用户同意，但两部法规都未具体说明用户个人信息包括哪些内容，网络服务提供者应该通过何种方式取得用户同意，用户的同意是否必须为书面形式等。
因此，大陆地区应着手制订一部完善的综合性个人信息保护条例，该条例应具体、详尽地为直接促销目的收集、使用个人信息和跨境转移个人信息提供法律保护和规制。具体而言，可参照香港《条例》关于这部分的规定，对相关用词进行明确界定，并为直接促销目的收集、使用或向第三方转移个人信息制定具体规则，包括收集和使用信息的原则性要求、方式方法、被收集和使用的个人信息类型、信息主体通过何种途径表示同意或拒绝、信息使用者如何制订隐私保护声明和隐私政策等。大陆地区应增加对于跨境转移个人信息的规制，规定在满足何种条件下大陆地区的个人信息允许被转移至境外，这些条件的具体制订可以香港《条例》为参考和借鉴。另外，大陆地区制订相关条款时，不应将信息使用者局限于网络服务提供者，而应考虑到在移动互联网环境下的系统平台运营商、终端制造商、电信运营商以及应用程序开发商皆有可能成为信息使用的主体。
3.适时地制订帮助信息使用者理解法律规定的指南
香港地区在修订法律条例的同时，不断地通过个人资料私隐专员公署出台指引，对《条例》中的新规定进行解释，并列举相关的例子，以通俗易懂的方式让资料使用者能够及时接收和理解条例的新规定，并帮助资料使用者调整隐私保护政策，使其能在新规定实施的第一时间内遵法执法。由于指引的制订和出台过程不及法律条例般复杂、繁琐，通过出台指引，能有效快速地指导资料使用者作出内部调适。
大陆地区可学习借鉴香港地区个人资料私隐专员公署制订出台指引的经验，在已授权某政府机构监管实施个人信息隐私保护条例的基础上，同时赋予该政府机构制订颁布指南的权力，让该政府机构制订相关指南针对条例中的某类问题进行具体释义和提供指导性建议。在移动互联网技术不断发展的情况下，该政府机构还可针对技术和商业发展产生的新问题，作出建议性指南，出台类似于香港《移动应用程序指引》的指南。
四、结 语
移动互联网技术的发展及智能终端的普及使移动通讯成为个人日常工作和生活的重要组成部分，随之带来的个人信息隐私泄密问题也越来越严重，只有提高对个人信息隐私保护的重视，學习和借鉴其他国家和地区的隐私保护法规和实践，及时调整我国的个人信息保护法律法规，才能在移动互联网环境下有效地保护用户个人信息[13]。作为我国特别行政区的香港在个人信息隐私保护方面已走在了世界前列，通过分析香港地区关于个人信息保护的新规定和信息保护实践，能为大陆地区加强个人信息隐私保护起到借鉴作用，使大陆地区能够创造更加和谐的移动互联网环境。
参考文献：
[1] 中国互联网络信息中心.第39次《中国互联网络发展状况统计报告》[R/OL].（2017-01-23）[2017-03-10].http：//cnnic.cn/hlwfzyj/hlwxzbg/hlwtjbg/201701/P020170123364672657408.pdf.
[2] 周霞.APP成数据泄露新主体 个人信息亟需立法保护[N].通信信息报，2015-06-03.
[3] 张建文，高完成.司法实践中个人信息的保护模式及其反思——以隐私权的转型为视角[J].重庆邮电大学学报（社会科学版），2016（3）：27-33.
[4] 刘佳.智能手机中个人信息保护研究[J].法制博览，2014（5）：92.
[5] 王妮娜.移动互联网时代个人隐私保护研究[J].现代电信科技，2015（2）：45.
[6] 齐爱民，陈星.海峡两岸及港澳地区个人信息保护立法比较研究[J].经济法论坛，2013（1）：141. [7] DEACONS. Hong Kong-A Guide to the Personal Data （Privacy） Ordinance[EB/OL]. （2013-04-07）[2016-12-10]. http：//www.conventuslaw.com/archive/hong-kong-a-guide-to-the-personal-data-privacy-ordinance/.
[8] Hong Kong Office of the Privacy Commissioner for Personal Data. Best Practice Guide for Mobile App Development[EB/OL]. （2015-10-01）[2016-12-10]. https：//www.pcpd.org.hk/english/resources_centre/industry_specific/files/Mobileapp_guide_e.pdf.
[9] Hong Kong Office of the Privacy Commissioner for Personal Data.New Guidance on Direct Marketing[EB/OL].（2013-01-01）[2017-01-20].https：//www.pcpd.org.hk/english/publications/files/GN_DM_e.pdf.
[10]Hong Kong Office of the Privacy Commissioner for Personal Data.Guidance on Personal Data Protection in Cross-border Data Transfer[EB/OL].（2014-12-01）[2017-01-01].https：//www.pcpd.org.hk/english/resources_centre/publications/files/GN_crossborder_e.pdf.
[11]徐明.大數据时代的隐私危机及其侵权法应对[J].中国法学，2017（1）：130-149.
[12]李媛.共识与争议：个人信息保护的价值目标[J].重庆邮电大学学报（社会科学版），2016（3）：59-64.
[13]王楠.个人信息跨境转移的法律保护——以公司隐私规则为视角[J].重庆工商大学学报（社会科学版），2016（1）：68-74.
Protection of Personal Data Privacy in the Mobile Internet Age：
The Interpretations and Implications from Hong Kong Personal Data
（Privacy） Ordinance
HUA Jie
（Shanghai International College of Intellectual Property， Tongji University， Shanghai 200092， China）
Abstract：The emergence of Internet has brought about challenges to personal data privacy protection. The development of smart phones， mobile applications and cloud computing has exacerbated disclosure of personal data and infringement of personal data privacy under the mobile Internet environment. Various countries and regions have paid their attentions on how personal data privacy can be protected under the mobile Internet environment. The legislative practice of Hong Kong SAR in China has been at the forefront of various countries and regions， under which Hong Kong Personal Data （Privacy） Ordinance has been promulgated and Privacy Commissioner for Personal Data has been established to be responsible for the enforcement of the Ordinance. In light of the imperfect legal systems on personal data privacy protection in the mainland China， this article suggests the mainland China learning and borrowing from the legal system of personal data privacy protection in Hong Kong to strengthen its protection of personal data privacy and create a more harmonious mobile internet environment.
Keywords：personal data protection； privacy； mobile Internet； Hong Kong； implications