法律层面下的个人信息保护研究

高文竹

郑州经贸学院，河南 郑州 451191

一、个人信息概述

（一）数字经济背景下个人信息的基本内涵

个人信息主要是对个人身份信息进行直接或者间接地识别。“可识别性”是其中的重要特征，但是个人信息的法律保护更多针对的是影响个人权益的身份信息，这些信息往往与个人身份识别密切相关。但个人信息的保护与社会利益之间也需要进行平衡，比如当政府为了社会公共利益的需要利用公民个人信息进行社会治理时，就可以进行合理使用。

数字经济背景下，个人信息已经不再仅仅具有识别功能，在经过相应处理后，还具有了共享价值，也就意味着，个人信息从原始数据经过处理后产生了更多的增值效能；个人信息也不再仅仅具有专属性，在各种个人信息数据处理的过程中具有了共享性。

（二）现有法律框架下的个人信息保护

从民法的角度来看，个人信息收集过程中往往遵循着“知情—同意”规则，也称“告知—同意”机制或者“告知—选择”机制，［1］也就意味着在个人信息收集之前要履行告知义务并且取得权利主体的许可。《中华人民共和国民法典》（以下简称《民法典》）在人格权编中也规定了对个人信息的法律保护。在《民法典》第一千零三十四条中，肯定了个人信息受保护的法律地位；第一千零三十五条规定了在个人信息数据处理的过程中应当遵循合法、正当、必要原则；第一千零三十七条规定了信息主体对发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。

从刑法的角度来看，随着数字经济的不断发展，个人信息的经济价值也凸显出来，所以很多不法分子便妄想通过向他人出售或者提供公民个人信息来获取暴利，《中华人民共和国刑法》第二百五十三条之一规定：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。”国家对于个人信息的保护是十分重视的，因为个人信息的不法利用，小到骚扰电话和短信，大到危及人身安全的敲诈勒索，都会给社会带来严重的后果。

从行政法与行政诉讼法的角度来看，关于个人信息的保护大多是以保障隐私权的角度进行的。［2］

二、我国个人信息法律保护困境分析

（一）“知情—同意”机制的时代缺陷

1.传统的“知情—同意”原则难以适应时代发展要求

在数字经济背景下，信息在国家公共治理方面发挥着十分重要的作用，这对于维护社会秩序稳定有着不可替代的作用。正因为如此，国家机关在社会治理的过程中，为了维护社会公共利益，可以基于法律直接规定，不经信息主体的同意而收集和使用个人信息。［1］

公共利益作为限制信息主体“知情—同意”的重要理由是公共利益的优先性。在个人信息的法律保护中不仅仅涉及个人利益，还有企业等其他主体的利益，我们必然要面对各方主体利益平衡的问题，这是数字经济时代背景下的必然选择。但与此同时，是不是意味着只要涉及公共利益，个人利益都要让位呢？如果这样将会导致公权力的滥用，所以在涉及公权力机关为了公共利益的需要收集使用个人信息时，需要控制在最低程度内，否则就会促使公权力的权力范围过宽。

2.严苛的“知情—同意”原则阻碍了社会经济发展

在数字经济时代，个人信息对社会发展的价值十分重要，尤其是关乎经济价值和社会价值。个人信息不仅仅是个人身份信息的记录，也是企业经营和政府治理的重要数据。经过二次处理的个人信息数据具有了社会公共利益的属性。对于个人信息的法律保护，我们需要做的不仅仅是保障个人信息主体的利益，更要维护政府、企业等各方主体之间的利益平衡。尤其是经过二次处理或者多元化流转使用个人信息，数据控制者基本无法追溯到数据主体去寻求同意，那么严苛的“知情—同意”规则就会限制数据信息的流通性从而阻碍社会发展，所以传统的“知情—同意”规则难以适应数字经济发展的潮流，也无法满足数字产业的发展。

（二）个人信息保护的救济机制有缺陷

1.民事救济力量不足

（1）个人信息的私权救济无法对抗公权机构的侵权。个人信息对于政府的社会治理工作有着重要的意义，信息的流通性和共享性也方便了公权力机构的审查和监管，因此对于公权机构收集处理个人信息问题，为了维护社会秩序和社会发展，我们对私权予以了限制。但在现实生活中，政府也存在滥用公民个人信息的现象，对于这一问题，民事领域因主体地位问题无法对抗公权机构的侵权。

（2）民事救济中损害赔偿得不到保障。我国《民法典》侵权责任编规定了侵权损害赔偿问题，但这里的侵权损害赔偿往往限于被侵权人的实际损失，［3］比如根据《民法典》第一千一百八十二条规定，侵害他人人身权益造成财产损失的，按照被侵权人因此受到的损失或者侵权人因此获得的利益赔偿；被侵权人因此受到的损失以及侵权人因此获得的利益难以确定，被侵权人和侵权人就赔偿数额协商不一致，向人民法院提起诉讼的，由人民法院根据实际情况确定赔偿数额。也就意味着此时仅仅是解决被侵权人的实际损失，没有惩罚性赔偿，这对于侵权者的震慑力是远远不够的。

2.刑事追责有局限

在刑法领域对于个人信息的保护，往往涉及两个罪名，侵犯个人信息罪和拒不履行信息网络安全管理义务罪，该规定虽然在个人信息的保护中起到一定的作用，但对于“合法取得，利用不当”的情况也无法规制。企业在获取个人信息上往往合法取得，比如网络平台合法获取了个人信息，但之后对获取的信息进行泄露，此时刑法对这种大规模侵害个人信息行为的保护是有限的。

3.行政救济难落实

我国针对个人信息的法律保护在行政救济方面不到位，当公民的个人信息受到侵害时，［4］部分行政机关存在不作为的现象。虽然相对人可以通过行政复议或者行政诉讼来保障自己的合法权益，但对于个人信息法律保护的行政救济的具体操作流程规范不明确。这种行政救济不到位的现象不仅不利于个人信息的法律保护，更有损政府形象。

三、个人信息的法律保护路径

（一）优化“知情—同意”原则

1.“假名化”规则的完善

根据欧盟《通用数据保护条例》第四条第五款的规定，“假名化”是指除非使用额外信息，否则无法将个人数据连结到某个具体的数据主体，且上述额外信息应当被独立存储并受制于适当的技术和组织措施，以确保个人数据不会连结到某个已识别或可识别的自然人。［2］这种理论我们又叫做“匿名化”或“去识别化”，也就是通过技术手段删除可识别的个人信息内容，从而保护个人信息安全。［5］我们需要做的是明确匿名化要求及实施细则，而且由于信息的二次处理和整合等问题，可能导致匿名信息被重新显现化，所以需要不断改进、提高匿名化的技术水平。

2.完善“知情—同意”原则

一方面，我们要明确个人信息的内涵。《中华人民共和国个人信息保护法》第四条规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。重点在于识别和关联，具有一定进步性，但缺乏可操作性，如果能够再加上不完全列举的个人信息定义，那么会更有针对性。另一方面，要明确“同意”的概念。不能仅仅是概况同意，要通过精简内容、技术辅助等方式明确告知需要同意的内容，这种明确告知不仅仅是一揽子告知，而是以有针对性的、通俗易懂的方式告知，而且不能通过技术手段变相捆绑同意。

（二）构建多元化个人信息救济制度

1.公私法相互协调保护个人信息

第一，在个人信息法律保护的行政救济中，因为行政主体与行政相对人的法律地位的不平等，我们可以采取举证责任倒置规则来平衡双方的负担，这样有利于降低行政相对人的举证难度，而且有利于提高诉讼效率。第二，完善侵犯个人信息的行政赔偿制度。完善行政赔偿制度的目的主要是提升行政侵权的违法成本，可借鉴民法领域的赔偿计算标准，也可进行惩罚性赔偿，个人信息侵权惩罚性赔偿制度是补强个人信息侵权民事责任的有效手段。［6］第三，要使公私法进行协调，就需要二者明确分工，进而形成合力。对于侵权行为，也分类别、分轻重，当个人信息被侵权产生严重社会影响时才需要公权力介入，如果私权救济能够解决问题，那么便由民事法律予以解决。［7］

2.引入个人信息公益诉讼制度

第一，从现实角度出发，检察机关的公益诉讼职能是最符合要求的，能以公权力部门的身份来弥补公民个人力量薄弱这一弱点。当然这一点也需要拓宽检察机关公益诉讼的范围，在没有相关具体规定的情况下，我们可以通过法检的指导案例来解决这一问题。第二，检察机关要拓宽线索渠道。发现侵犯公民个人信息的线索要拓宽，不仅仅是公安部门搜集到足够多的证据，还要积极发动群众，设立专门的公民信息安全举报信箱，积极解决群众问题，也可采取投诉奖励机制。

3.规制政府的个人信息利用

个人信息收集的主体的不同，其依据也不同，企业收集个人信息往往依据跟信息主体之间的协议，而行政机关在收集处理个人信息时依据的是法律的授权。第一，要实现政府合理利用个人信息的目标，就需要在法律程序上对政府予以约束。基于公共利益考虑而收集的信息，需要向社会或者相关利益主体公开收集原因及使用范围，采用最少使用原则。第二，明确使用原因和范围之后，政府对收集的个人信息进行二次利用时需要取得信息主体的同意，当然，也有例外，比如为了保护人民群众生命财产安全而使用个人信息的就不在此范围内。政府公开使用原因和范围就是为了让公众放心，但二次利用如果在公众不知情的情况下，会侵犯公民的知情权。第三，要建立安全维护机制。［8］对于内部工作人员，要接受安全管理培训，提升业务能力，并且建立个人信息管理负责人，责任落实到位，对于不需要的信息要及时删除或者予以其他合法处理。

四、结论与展望

针对数字经济时代个人信息法律保护中“知情—同意”机制的时代缺陷和个人信息保护的救济机制问题，应当及时采取针对性救济措施。具体而言，第一，优化“知情—同意”原则，改进“假名化”规则，明确匿名化要求和实施细则；第二，构建多元化个人信息救济制度，采用公私法相互协调来保护个人信息。个人信息的法律保护路径研究是数字经济背景下的必然选择，有利于为社会进步提供助力，为个人信息保护与社会经济利益的平衡提供更多的新思路和新方法。此外，还能够在保护数字经济背景下个人信息的同时，促进社会对个人信息法律保护的关注。