论文部分内容阅读
个人信息私法保护的必要性
一是建设个人信息私法保护能够防止个人信息安全危机的发生。私人信息的收集自古已有，不论是政府、社会组织或是社会成员，都可能有信息收集的习惯。但在社会发展水平不高的阶段，个人信息的非法收集并没有大面积的造成个人权益损失。而随着现代信息技术的发展，个人信息收集的性质也发生了变化，它成为商业机构或政府运行的动力，政府机构运用信息收集进行行政管理，甚至为其决策提供参考依据，而商业机构通过个人的信息收集分析来获取商业利益并维护组织运行。目前，我国社会信用体系建设还不完善，自律机制也难以发挥强有力的作用，因此必须通过立法强制性来保护个人信息，避免个人信息安全危机的爆发。
二是保护好个人信息能够确保其有效使用。保护个人信息需要有两方面的考虑，一方面要在信息管理者与信息主体之间实现平衡，即既要保护个体人格权，又要满足管理者的信息需求；另一方面则要注重在个人权利保护与促进经济发展之间实现平衡。所以，个人信息在保护过程中既要保证信息自由流通，还要保证信息能够有效使用。在现代社会，个人信息在商业发展以及公共管理中占据重要地位，因此不可能建立个人信息的绝对保护，在这种环境下，便需要法律来为信息的收集、使用、流通制定一定的规则，这既能够让信息发挥其应有的价值，也能够防止信息的滥用。
三是制定个人信息保护法能够促进我国法律体系的完善。个人信息的法律属性较为复杂，一方面它并非无形财产，但在社会生活中却又具备一定的财产价值，另一方面个人信息是一种新型的人格权要素，但是又不能完全融入到人格权法律体系之中。这些都导致个人信息在私法领域一直处于边缘地位，我国法律对个人信息的保护尚待完善。为此，我国需要对个人信息保护进行专门立法，制定具体的保护内容、约束措施、实施程序等，促进我国民事责任体系与刑事责任体系的完善。
我国个人信息私法保护的现状及问题
我国目前主要从两个方面实现对个人信息的保护：一方面是在相关法律法规中制定个人信息保护的条款，另一方面就是依靠行业自律，即掌控个人信息方承诺对个人信息加以保护。
一是立法对个人信息的保护，这分为直接保护与间接保护两个方面。直接保护主要是指法律对个人信息有明确加以保护的规定，这方面我国的法律还较少，主要是在《中华人民共和国身份证法》和《中华人民共和国护照法》中有所体现。在具有规范效力的一些行政法规、规章中也并不多见，仅在《2006～2020年国家信息化发展战略》、《互联网电子公告服务管理规定》、《最高人民法院、最高人民检察院关于切实保障司法人员依法履行职务的紧急通知》几个文件中有所提及。尽管有关个人信息直接保护的法律法规不多，但这也是我国个人信息保护法从无到有的进步，但这些保护仅限于公法领域。间接保护主要是指一些法律法规中对“个人隐私”、“个人秘密”以及“人格尊严”的相关规定，这些法律法规并非是为了直接保护个人信息，而是仅对部分个人信息进行保护，如我国对个体姓名、肖像以及隐私等具体人格权进行保护，这些规定有的表现在最高人民法院的司法解释之中，有的在《民法通则》中有所体现。
二是行业自律对个人信息的保护。由于我国没有完善的个人信息保护机制，信息侵害事件时有发生，因此社会个体并不愿意向他人透露自己的私人信息，这给一些机构的个人信息收集带来困难。在此情况下，一些商家机构为了达到收集个人信息的目的，往往单方面作出保护个人信息的承诺，有的还制定了相应的内部规范来保护个人信息，这起到一定的作用，并促进了信息的流通。以近年来飞速发展的互联网为例，网络用户在利用互联网平台时，一般需要注册账户，才能够获得相关服务，注册行为本身便需要填写个人信息。除此之外，在购物、求职、发帖等一些网络活动中也会留下个人信息。为了吸引用户使用互联网工具，并获得用户信任，网站大都会做出保护个人信息安全的承诺，一般会涉及以下几个方面内容：一是承诺保护访问者的个人隐私，不会泄露个人信息；二是强调网站的信息安全管理，能够防止个人信息的丢失、误改或滥用；三是强调网站对个人信息的使用有严格的审查管理，当第三方要求获取个人信息时，将征求个人用户同意，在未获同意情况下，不会将个人信息泄露给第三方；四是对信息的修改或删除做出说明，一般只有网友自己才可以修改或删除自己发布的信息，但网站在审查过程中，若发现不适当或违法信息，也可根据自身权限进行删除。
我国个人信息私法保护存在的问题。主要有：一是在立法上对个人信息保护就存在缺陷。首先，我国个人信息私法保护的范围极其有限，在内容上仅将肖像、隐私以及荣誉等与个体有直接关系的个人信息纳入保护范围，而对个体的人事记录信息、住址信息等则没有法律上的保护。此外，在个人信息私法保护上，我国的法律保护方式是防御性的、消极的，这容易产生人格利益和经济利益保护的矛盾。其次，我国对个人信息私法保护最为明显的表现便是缺乏一部专门保护性法律，没有从法律上明确个人信息的价值与保护意义，而且目前对个人信息保护的相关法律法规又分散在不同的法律之中，这也削弱了这些法律条例对个人信息的保护。最后，在个人信息受到侵害并给个体造成权益损害后，我国在法律上并没有有效的救济途径。目前，在处理个人信息被侵害案件时，主要是要求侵害者停止侵害，并赔礼道歉，这是一种精神的慰藉，即便受害者能够得到一些物质赔偿，金额往往也较小，难以真正起到惩戒作用。尽管受害方的精神利益不能够用金钱来衡量计算，但足额的金钱赔偿，对于受害方是一种补偿，且侵犯权利者能够得到惩罚，既能让受害方心理上获得一定平衡，也能有效震慑意图侵害他人个人信息者。
二是在个人信息保护上行业自律性并不强。尽管随着商业模式的成熟，我国一些行业内部逐步形成了保护个人信息的自律，但实际上这种保护机制缺乏强制性，在保护个人信息的力度上有所欠缺。从范围来看，并非各行各业都对保护个人信息做出承诺，一般来说是互联网行业较多，但即便是在互联网行业，也并非每一个互联网企业都会做出保护个人信息的保证。而且从保护效果来看，行业所做出的保护承诺也是十分脆弱的，一旦发生个人信息泄露、买卖事件后，个体难以举证行业信息管理者存在过错，这也意味着信息主体难以维权，行业承诺也只是空谈。此外，行业的个人信息保护承诺是信息管理者单方面提出，在保证声明的制定上多从自身利益出发，并非真正从保护个人信息角度考虑。而且，目前我国公民的个人信息保护意识并不强，对个人信息所应享受的权益也没有较多的了解，这也使得行业自律成为虚设。政府等公权力机构收集个体信息更多是为了管理便利，并能够更快捷的服务于个体，个人在提供个人信息时也是履行义务，因此并不需要过多考虑信息所应有的权利。但非公机构收集个人信息的目的却有所不同，一般都带有商业目的。因此，信息主体往往也关注是否能从信息收集者中获取相应对价，即获取信息收集方所提供的信息服务。但除此之外，信息主体很少注意个人信息应享有的其他权利，这种思维让行业机构在个人信息保护上更加懈怠和无力。 我国个人信息私法保护制度的构建
制定个人信息保护的基本法。随着技术的进步，社会信息化已经是不可逆转的潮流，而个人信息的保护也将与多个法律部门产生联系，如刑法、民商法、经济法以及行政法等等，这是一个广泛而复杂的领域，因此需要制定一部基本法作为该领域的统帅。在个人信息保护法制定上，必须首先明确法律本身的性质，这样才能确定具体的法律原则、适用原则。进入新世纪之后，我国政府开始重视个人信息的保护，早在2003年就制定相关方面的专门法而委托法学专家进行研究。2006年中国社科院专家周汉华主持起草了《个人信息保护法》的专家意见稿，其中将个人信息权利看作一种新的公权利，由此将个人信息保护法定义为行政法。但实际上个人信息承载的是个体的人格利益与财产利益，按照现代法律精神，应充分尊重个体的个人信息权，为此个人信息保护法也应该以保护个人信息权为核心。尽管刑事制度与行政制度能够处理侵犯个人信息权的行为，但并不能就此将个人信息保护法定义为公法。也有学者建议个人信息保护法应该是公私法混合性质，但这就必须在立法中确立个人信息保护的主管机构，并对其职权有所规定，但我国在行政机构并无相应设置，也不必为了个人信息保护立法而设置新的行政机构。因此，我国有关个人信息保护的基本法应该是一部关于个人信息权保护、个人信息处理者规范处理个人信息的民事单行法，属于私法性质，而非一部管理个人信息处理的法律。
个人信息保护法应推进行业自律。我国在个人信息保护法制定过程中，还需要把行业自律问题也纳入到立法框架之中，因为目前我国的行业自律并不能真正起到保护个人信息的作用，这主要是因为我国并未形成十分成熟的行业自律体系，这一方面是因为我国的社会自治功能一度被废止，而要重新恢复和生长则需要各方的长期努力。此外，我国行业自律所提出的个人信息保护规范大都是依照法律规定来制定的，而我国法律在个人信息私法保护上处于缺失状态，这也限制了行业自律所制定规范的深度和广度。因此，我国应该在个人信息私法保护立法中考虑行业自律问题，适当借鉴国外个人信息保护的安全港模式，即将行业自律纳入到法律范畴，要求行业组织所制定的个人信息保护规范要符合国家信息保护法，而且还要接受国家相关机构对行业自律规范进行审查。目前我国并不具备完全建设安全港模式的条件，没有专门机构来对行业规范进行管理审查，但可以适度借鉴这一模式的建设经验，在个人信息保护私法内容制定中，要求社会组织或协会来根据法律制定行业规范，行业规范较之法律应该要求更高。在没有专门审查机构的情况下，司法手段可以在一段时间内起到裁判行业自律规范是否符合个人信息保护法的作用，这能够让安全港模式发生作用，推动行业自律。
其他私法制度为个人信息权提供保护。个人信息的私法保护并非只是一部基本法，而应该是一个制度群，在基本法统帅下，应该制定其他有关个人信息保护的私法制度。为此，除了制定个人信息保护的基本法，在有关人格权法、侵权责任法、合同法等的民法典中也应有保护个人信息的规定。在未来的民法典修订中，在人格权编中应确认人格信息权。除此之外，涉及公司保险法等的商事特别法也要将个人信息权保护纳入其中，在涉及个人信息处理行为的条例规定中，要特别关注个人信息权的保护。在个人信息私法保护的具体实践中，个人信息保护法作为统领性法律，它不可能根据各行各业的实际情况来制定内容，而且社会各行业的性质千差万别，在个人信息处理活动中的性质也各有不同，基本法不可能涵盖所有内容，但行业自律模式本身又缺乏保护个人信息的力度。为此，在个人信息保护法之外，还应建设其他私法制度，为各行业的个人信息保护提供具体的规定和规则，这才能够让我国的个人信息私法保护落到实处。
责编/王坤娜 孙垚（见习）
美编/杨玲玲
一是建设个人信息私法保护能够防止个人信息安全危机的发生。私人信息的收集自古已有，不论是政府、社会组织或是社会成员，都可能有信息收集的习惯。但在社会发展水平不高的阶段，个人信息的非法收集并没有大面积的造成个人权益损失。而随着现代信息技术的发展，个人信息收集的性质也发生了变化，它成为商业机构或政府运行的动力，政府机构运用信息收集进行行政管理，甚至为其决策提供参考依据，而商业机构通过个人的信息收集分析来获取商业利益并维护组织运行。目前，我国社会信用体系建设还不完善，自律机制也难以发挥强有力的作用，因此必须通过立法强制性来保护个人信息，避免个人信息安全危机的爆发。
二是保护好个人信息能够确保其有效使用。保护个人信息需要有两方面的考虑，一方面要在信息管理者与信息主体之间实现平衡，即既要保护个体人格权，又要满足管理者的信息需求；另一方面则要注重在个人权利保护与促进经济发展之间实现平衡。所以，个人信息在保护过程中既要保证信息自由流通，还要保证信息能够有效使用。在现代社会，个人信息在商业发展以及公共管理中占据重要地位，因此不可能建立个人信息的绝对保护，在这种环境下，便需要法律来为信息的收集、使用、流通制定一定的规则，这既能够让信息发挥其应有的价值，也能够防止信息的滥用。
三是制定个人信息保护法能够促进我国法律体系的完善。个人信息的法律属性较为复杂，一方面它并非无形财产，但在社会生活中却又具备一定的财产价值，另一方面个人信息是一种新型的人格权要素，但是又不能完全融入到人格权法律体系之中。这些都导致个人信息在私法领域一直处于边缘地位，我国法律对个人信息的保护尚待完善。为此，我国需要对个人信息保护进行专门立法，制定具体的保护内容、约束措施、实施程序等，促进我国民事责任体系与刑事责任体系的完善。
我国个人信息私法保护的现状及问题
我国目前主要从两个方面实现对个人信息的保护：一方面是在相关法律法规中制定个人信息保护的条款，另一方面就是依靠行业自律，即掌控个人信息方承诺对个人信息加以保护。
一是立法对个人信息的保护，这分为直接保护与间接保护两个方面。直接保护主要是指法律对个人信息有明确加以保护的规定，这方面我国的法律还较少，主要是在《中华人民共和国身份证法》和《中华人民共和国护照法》中有所体现。在具有规范效力的一些行政法规、规章中也并不多见，仅在《2006～2020年国家信息化发展战略》、《互联网电子公告服务管理规定》、《最高人民法院、最高人民检察院关于切实保障司法人员依法履行职务的紧急通知》几个文件中有所提及。尽管有关个人信息直接保护的法律法规不多，但这也是我国个人信息保护法从无到有的进步，但这些保护仅限于公法领域。间接保护主要是指一些法律法规中对“个人隐私”、“个人秘密”以及“人格尊严”的相关规定，这些法律法规并非是为了直接保护个人信息，而是仅对部分个人信息进行保护，如我国对个体姓名、肖像以及隐私等具体人格权进行保护，这些规定有的表现在最高人民法院的司法解释之中，有的在《民法通则》中有所体现。
二是行业自律对个人信息的保护。由于我国没有完善的个人信息保护机制，信息侵害事件时有发生，因此社会个体并不愿意向他人透露自己的私人信息，这给一些机构的个人信息收集带来困难。在此情况下，一些商家机构为了达到收集个人信息的目的，往往单方面作出保护个人信息的承诺，有的还制定了相应的内部规范来保护个人信息，这起到一定的作用，并促进了信息的流通。以近年来飞速发展的互联网为例，网络用户在利用互联网平台时，一般需要注册账户，才能够获得相关服务，注册行为本身便需要填写个人信息。除此之外，在购物、求职、发帖等一些网络活动中也会留下个人信息。为了吸引用户使用互联网工具，并获得用户信任，网站大都会做出保护个人信息安全的承诺，一般会涉及以下几个方面内容：一是承诺保护访问者的个人隐私，不会泄露个人信息；二是强调网站的信息安全管理，能够防止个人信息的丢失、误改或滥用；三是强调网站对个人信息的使用有严格的审查管理，当第三方要求获取个人信息时，将征求个人用户同意，在未获同意情况下，不会将个人信息泄露给第三方；四是对信息的修改或删除做出说明，一般只有网友自己才可以修改或删除自己发布的信息，但网站在审查过程中，若发现不适当或违法信息，也可根据自身权限进行删除。
我国个人信息私法保护存在的问题。主要有：一是在立法上对个人信息保护就存在缺陷。首先，我国个人信息私法保护的范围极其有限，在内容上仅将肖像、隐私以及荣誉等与个体有直接关系的个人信息纳入保护范围，而对个体的人事记录信息、住址信息等则没有法律上的保护。此外，在个人信息私法保护上，我国的法律保护方式是防御性的、消极的，这容易产生人格利益和经济利益保护的矛盾。其次，我国对个人信息私法保护最为明显的表现便是缺乏一部专门保护性法律，没有从法律上明确个人信息的价值与保护意义，而且目前对个人信息保护的相关法律法规又分散在不同的法律之中，这也削弱了这些法律条例对个人信息的保护。最后，在个人信息受到侵害并给个体造成权益损害后，我国在法律上并没有有效的救济途径。目前，在处理个人信息被侵害案件时，主要是要求侵害者停止侵害，并赔礼道歉，这是一种精神的慰藉，即便受害者能够得到一些物质赔偿，金额往往也较小，难以真正起到惩戒作用。尽管受害方的精神利益不能够用金钱来衡量计算，但足额的金钱赔偿，对于受害方是一种补偿，且侵犯权利者能够得到惩罚，既能让受害方心理上获得一定平衡，也能有效震慑意图侵害他人个人信息者。
二是在个人信息保护上行业自律性并不强。尽管随着商业模式的成熟，我国一些行业内部逐步形成了保护个人信息的自律，但实际上这种保护机制缺乏强制性，在保护个人信息的力度上有所欠缺。从范围来看，并非各行各业都对保护个人信息做出承诺，一般来说是互联网行业较多，但即便是在互联网行业，也并非每一个互联网企业都会做出保护个人信息的保证。而且从保护效果来看，行业所做出的保护承诺也是十分脆弱的，一旦发生个人信息泄露、买卖事件后，个体难以举证行业信息管理者存在过错，这也意味着信息主体难以维权，行业承诺也只是空谈。此外，行业的个人信息保护承诺是信息管理者单方面提出，在保证声明的制定上多从自身利益出发，并非真正从保护个人信息角度考虑。而且，目前我国公民的个人信息保护意识并不强，对个人信息所应享受的权益也没有较多的了解，这也使得行业自律成为虚设。政府等公权力机构收集个体信息更多是为了管理便利，并能够更快捷的服务于个体，个人在提供个人信息时也是履行义务，因此并不需要过多考虑信息所应有的权利。但非公机构收集个人信息的目的却有所不同，一般都带有商业目的。因此，信息主体往往也关注是否能从信息收集者中获取相应对价，即获取信息收集方所提供的信息服务。但除此之外，信息主体很少注意个人信息应享有的其他权利，这种思维让行业机构在个人信息保护上更加懈怠和无力。 我国个人信息私法保护制度的构建
制定个人信息保护的基本法。随着技术的进步，社会信息化已经是不可逆转的潮流，而个人信息的保护也将与多个法律部门产生联系，如刑法、民商法、经济法以及行政法等等，这是一个广泛而复杂的领域，因此需要制定一部基本法作为该领域的统帅。在个人信息保护法制定上，必须首先明确法律本身的性质，这样才能确定具体的法律原则、适用原则。进入新世纪之后，我国政府开始重视个人信息的保护，早在2003年就制定相关方面的专门法而委托法学专家进行研究。2006年中国社科院专家周汉华主持起草了《个人信息保护法》的专家意见稿，其中将个人信息权利看作一种新的公权利，由此将个人信息保护法定义为行政法。但实际上个人信息承载的是个体的人格利益与财产利益，按照现代法律精神，应充分尊重个体的个人信息权，为此个人信息保护法也应该以保护个人信息权为核心。尽管刑事制度与行政制度能够处理侵犯个人信息权的行为，但并不能就此将个人信息保护法定义为公法。也有学者建议个人信息保护法应该是公私法混合性质，但这就必须在立法中确立个人信息保护的主管机构，并对其职权有所规定，但我国在行政机构并无相应设置，也不必为了个人信息保护立法而设置新的行政机构。因此，我国有关个人信息保护的基本法应该是一部关于个人信息权保护、个人信息处理者规范处理个人信息的民事单行法，属于私法性质，而非一部管理个人信息处理的法律。
个人信息保护法应推进行业自律。我国在个人信息保护法制定过程中，还需要把行业自律问题也纳入到立法框架之中，因为目前我国的行业自律并不能真正起到保护个人信息的作用，这主要是因为我国并未形成十分成熟的行业自律体系，这一方面是因为我国的社会自治功能一度被废止，而要重新恢复和生长则需要各方的长期努力。此外，我国行业自律所提出的个人信息保护规范大都是依照法律规定来制定的，而我国法律在个人信息私法保护上处于缺失状态，这也限制了行业自律所制定规范的深度和广度。因此，我国应该在个人信息私法保护立法中考虑行业自律问题，适当借鉴国外个人信息保护的安全港模式，即将行业自律纳入到法律范畴，要求行业组织所制定的个人信息保护规范要符合国家信息保护法，而且还要接受国家相关机构对行业自律规范进行审查。目前我国并不具备完全建设安全港模式的条件，没有专门机构来对行业规范进行管理审查，但可以适度借鉴这一模式的建设经验，在个人信息保护私法内容制定中，要求社会组织或协会来根据法律制定行业规范，行业规范较之法律应该要求更高。在没有专门审查机构的情况下，司法手段可以在一段时间内起到裁判行业自律规范是否符合个人信息保护法的作用，这能够让安全港模式发生作用，推动行业自律。
其他私法制度为个人信息权提供保护。个人信息的私法保护并非只是一部基本法，而应该是一个制度群，在基本法统帅下，应该制定其他有关个人信息保护的私法制度。为此，除了制定个人信息保护的基本法，在有关人格权法、侵权责任法、合同法等的民法典中也应有保护个人信息的规定。在未来的民法典修订中，在人格权编中应确认人格信息权。除此之外，涉及公司保险法等的商事特别法也要将个人信息权保护纳入其中，在涉及个人信息处理行为的条例规定中，要特别关注个人信息权的保护。在个人信息私法保护的具体实践中，个人信息保护法作为统领性法律，它不可能根据各行各业的实际情况来制定内容，而且社会各行业的性质千差万别，在个人信息处理活动中的性质也各有不同，基本法不可能涵盖所有内容，但行业自律模式本身又缺乏保护个人信息的力度。为此，在个人信息保护法之外，还应建设其他私法制度，为各行业的个人信息保护提供具体的规定和规则，这才能够让我国的个人信息私法保护落到实处。
责编/王坤娜 孙垚（见习）
美编/杨玲玲