完善我国网络环境下个人信息保护的立法建议

　　第二节 完善我国网络环境下个人信息保护的立法建议

　　一、依法制定我国的个人信息保护法

　　由于我国有关个人信息保护的现有法律规定大多是国务院行政法规和部门规章，法律效力层次不高，加上对个人信息保护尚没有构成完整的法律体系，散见的法律规定互相之间缺乏协调，因此法律保护存在不足。要改变这样的现状，必须由我国的全国人民代表大会或者全国人民代表大会常务委员会制定全国性的法律，以便使我国能够有一部真正意义上的以保护个人信息为立法宗旨的法律，实现零的突破。

　　法律具有刚性，任何法律都会有罚则。因此，我国的第一部个人信息保护法也不会有例外，这部法律应针对不同的违法行为制定相应的惩罚规定，被侵权者可以依据法律明确规定的罚则寻求有效的救济措施。也正是因为制定法律的是国家最高权力机关，因此对可能的侵权主体，无论是政府机关还是商业机构，都具有极强的震慑力，必将有利于法律的实施和在全社会产生必须不断落实具体措施强化保护个人信息的氛围。

　　二、将个人信息资料权作为一项独立的权利

　　个人信息保护法的立法目的，不是为了保护个人信息本身，而是旨在保护个人隐私的同时确保公民个人信息安全自由地流通。对个人信息加以保护，不仅仅为了保障包括在人格权中的隐私权，还为了实现个人信息安全且自由流通的目的。

　　公民的个人信息被盗用、被他人擅自处理或公开，等等，这些行为并不一定导致公民的人格权受到侵害，但个人信息安全问题的凸现带来了包括财产权在内的公民权益的损害。立法应旨在实现公民个人信息不会被不当收集、特定用途以外不会被不当使用、不再有继续保存必要时被及时删除，等目的。

　　欧盟大多数国家已经在其立法中将个人信息资料权作为一项独立的权利，比如：1999 年颁布、2001 年修正的《奥地利联邦个人数据保护法》就专章规定了"数据所有人的个人权利",具体包括"知情权、修改和删除权、异议权"等，该法第26 条第 1 款至第 10 款、第 27 条第 1 款至第 9 款、第 28 条第 1 款至第 2 款详尽表述了个人信息资料权的具体内容、权利行使应遵循的程序和受到的限制等。1998年公布的《荷兰个人数据保护法》第 36 条第 1 款规定："接到个人数据与之相关通知的人，在其个人数据完全失真或处理与数据处理目的完全或部分无关或处理以违反法规的其他方式进行时，可要求责任方修正、补充、删除或播放上述数据，其要求应当包括数据的修改办法。责任方必须确保数据的修正、补充、删除或播放尽快进行。".

　　我国在制定个人信息保护法的过程中，应该对公民个人信息的收集、处理到传输的整个过程中所涉及的个人信息资料权作出明确的表述。我国现有的法律法规中，体现个人信息资料权的有 2008 年实施的《政府信息公开条例》，该条例第25 条的规定体现了个人信息资料权中的知悉权和更正权。2013 年 2 月 1 日起实施的《信息安全技术公共及商用服务信息系统个人信息保护指南》虽然不属于法律范畴，但其作为我国个人信息保护的首个国家标准，其所确立的我国个人信息保护的"八原则"（目的明确、最少使用、公开告知、个人同意、质量保证、安全保障、诚信履行和责任明确）涉及了属于个人信息资料权利内容的查阅权、更新修正权、封锁权和删除权。《指南》还对个人信息保护资料权的相关概念如"个人信息"、"个人信息主体""个人信息管理者"、"个人敏感信息"、"个人一般信息"等进行了定义。无论是《政府信息公开条例》，还是《信息安全技术公共及商用服务信息系统个人信息保护指南》，它们都为未来我国的个人信息保护法中确立"个人信息资料权"作了极好的铺垫。

　　个人信息保护法不属于民法的范畴，也不属于行政法的范畴，其原因在于个人信息保护法兼有民法和行政法的性质，而民法和行政法都无法涵盖个人信息保护法所应有的内涵。民法和行政法与个人信息保护法的关系是普通法与特别法的关系，按照特别法优先于普通法的原理，个人信息保护法将被优先适用，这部法律将专门地适用于个人信息保护，而当在个人信息保护法中找不到相关依据或者需要进行法律解释的时候，民法和行政法的基本原理，比如民法中关于隐私权保护的理论、行政法中关于行政行为必须符合合法性、合理性的原则，都将发挥"拾遗补缺"的作用。目前正在制定中的《中华人民共和国民法典》对传统隐私权的理论拟进行修正和完善，相信在我国的第一部民法典中我们可以从有关隐私权的法律规定中找到相比以往更有利于个人信息保护的法律依据。然而，无论民法典在吸收各国隐私权理论的基础上对我国的隐私权理论进行如何的新的诠释，要想仅凭它来达到个人信息保护的目的，仍然是乏力的。

　　总之，鉴于个人信息资料权对于个人信息保护的必要性，我国立法部门应该对其予以高度重视，在完善人格权保护法律的同时，确立个人信息资料权，以便更全面地对个人信息进行保护。除了对肆意侵害个人信息的非公机构实施打击，对行政机关和事业单位的个人信息处理，也应通过个人信息资料权的确立加以规范，从而使公民的个人信息保护能真正落实，改变目前我国对公民个人信息保护水平大大落后于西方的现状。应尽快通过立法将个人信息资料权作为一项公民权利加以固定。同时，因为个人信息侵权行为不以取得或破坏他人财产为目的，而是通过非法收集、处理、使用、转让他人个人信息牟利或达到其他目的，导致了受害人人格的贬损以及财产的损失。在具体个人信息侵权民事诉讼中，个人信息侵权民事责任应根据侵权行为的性质、损害结果以及受害人的诉讼请求而具体确定。

　　对于个人信息资料权，在权利确立的同时我们也应该通过配套法律的制定以确保公民在该项权利受到侵害时能得到及时全面的救济。

　　三、设立一个独立的第三方监督机构

　　无论是政府机构还是商业机构，其对个人信息的处理方法以及在个人信息保护方面的日常遵守法律情况等，大多属于其内部操作范畴，对处于外部的个人信息主体而言，即便自身权益已经受到侵害，也可能蒙在鼓里全然不知。同时，在个人信息保护法实施过程中，各方都需要有一个权威的、法律授权的第三方机构在实施监督职能的同时提供专家服务。为此，除了美国、日本和卢森堡这三个国家以外的所有已经制定个人信息保护法的国家，都在立法时列入有关独立的第三方监督机构的内容。比如：《冰岛个人数据保护法》第 36 条规定："个人数据保护局应当是拥有自身委员会的独立机构。个人数据保护局应当独立履行其职能，其决定不能由任何上级行政机构做出。"该法第 37 条详尽地规定了个人信息保护局的职责，并明确规定个人信息保护局应当"对于处理个人数据有关的纠纷做出决定。可以在有人声称数据的处理违反了本法的规定或违反了依据本法制定的行政规章或个别命令时主动做出决定。".笔者认为，我国在立法时同样有必要列入这部分内容。通过独立的第三方机构，对个人信息侵害事件的发生做到及时介入，在收集证据、明确事实的基础上做出正确的判断，并对是否移送司法机关追究加害者的刑事或民事责任做出决定。设立这样的一个机构，明确其职责范围，并实际开展工作，可望逐步扭转我国目前个人信息保护不力的现状。

　　我国可以借鉴其他国家的经验，比如：欧盟要求成员国须规定在履行其法定职责时由具有完全独立性的一个或多个机构负责监督本国《指令》的实施。在制定行政措施或者规定和个人信息处理相关的权利义务时，须咨询监督机构的意见。

　　监督机构具有调查权、有效的干预权和司法提醒权，并且有权审理本国个人及机构对个人信息保护的相关申请。 与个人信息处理有关的个人信息保护工作组是设在欧盟的由成员国及由欧盟所设立的监督机构共同派驻代表所设立的咨询性组织，有权对各适用《指令》的一切措施进行审查并促进这些措施的统一适用，并有权提出修改《指令》条款的建议，设置保护个人信息及其自由的特定措施。

　　日本由于没有独立于政府的个人信息保护监督机关，因此即便违反个人信息保护法，受侵害者只能依法间接地要求主管大臣给予其处分，若对方是商业机构则还可以委托各行业自行处理，对于政府行政机关则只有依法督促其自查。日本要想承担个人信息保护的国际义务，则必须尽快设立独立的、专门的监督机关。

　　由于公民的大量个人信息被政府部门取得，因此如何确保政府部门利用网络和计算机处理公民个人信息的正当性，也必然是个人信息保护法所要涉及的内容。而为了让政府部门对公民个人信息的处理更加透明，必须通过立法设立第三方机构，由该第三方机构实施监督。从世界各国个人信息保护的实践经验来看，这是唯一的有效途径。

　　四、增加个人信息跨国流通的规定

　　跨国电子商务的发展，要求我国企业遵守他国的个人信息保护法规。国际组织，诸如联合国、欧洲理事会和经济合作与发展组织也通过了系列的个人信息相关的法规，并针对个人信息的跨国流动提出了较高标准的要求，如欧盟《个人数据保护指令》就要求有欧盟传输个人资料到第三国时，第三国的个人信息保护法律必须达到欧盟认可的"充分的"保护标准，否则不得从欧盟直接传输相关数据资料。欧盟《1995 年个人数据保护指令》第 25 条的第一款和第四款分别规定："只有当第三国确保能够提供充足的保护时，才能向第三国转让正在处理或在转让后将要被处理的个人数据"、"当欧委会发现第三国没有确保充足的保护措施时，各成员国应该采取必要的措施以防止向所提到的第三国转让同类型的数据".1998年颁布的《瑞典个人数据保护法》第 33 条规定："禁止向第三国转移正在处理的个人数据，除非第三国可以对个人数据提供充分的保护。这项规定也适用于在第三国被处理个人数据的转移。"欧盟的规定使跨国个人信息流通成为一个国际问题，这代表着无论是理论基础还是立法模式的迥异，对于个人信息的高标准保护，任何国家也无法置身事外。

　　美国为了解决这个问题，与欧盟达成妥协，订立了着名的"安全港"协议，从而在一定程度上消除了美国与欧盟双方之间个人信息跨国流通的障碍。日本学者村上康二郎认为：包括欧盟和美国在内的诸多国家，为有效保护个人信息制定了与他国有所不同的法律，而这正是妨碍个人信息跨国流通的重要因素。当本国的个人信息保存在外国的某个数据库时，很可能该国的法律要求必须对这些个人信息予以公开，甚至存在再也无法将这些个人信息取回本国的风险。由于目前日本的个人信息保护法中没有限制个人信息跨国流通的相关规定，但应尽快修改法律，明确限制个人信息的跨国流通。

　　对于我国而言，短期内要想获得欧盟个人数据保护的"充分性"审查，恐怕是难于上青天。但，我们应该正视自身落后的现状，借鉴美国的经验，消除此类壁垒，促进我国企业国际竞争力的不断提高。因此，我国的个人信息保护立法，决不能只考虑国内情况，而不顾经济全球化、网络无国界的不争事实，我们应在立法工作中在充分研究各国关于个人信息保护的规定的基础上，制定可以促进我国个人信息跨国流通的规定。

　　五、保障个人信息的正常流动

　　在网络的世界里，信息的正常流动，积极推动社会的进步和经济的发展。互联网的分享和自由开放性使充分的信息共享成为现实。信息共享有利于全社会，而个人信息保护的要求则是从维护公民权利的角度提出的，这两者实际上是公权与私权、社会本位与个人权利本位的冲突。在信息社会里，由于个人信息资源是有限的，个人对其信息的专有和社会对个人信息的需要具有彼此消长的关系，专有的成分太多，势必会给信息公开及流动造成障碍，从而影响公众对个人信息的获取以及自由流动。在个人信息保护中，维护个人对其信息的专有权和促进信息自由流动已逐渐转化为相互分裂的价值目标，当某种价值目标被确认为法定权利时，意味着与之相对立的价值目标将会受到一定的压制。

　　个人信息保护法一方面需要保护个人权利，同时，另一方面，又不能阻碍正常的信息流动，加大市场主体的交易成本，阻碍社会的进步。尤其在信息时代，信息作为战略性资源，其自由流动具有重要的基础性意义。

　　因此，网络个人信息保护的立法应该兼顾两者的平衡，既要避免公民权利的被侵害，也必须避免对个人信息的过度保护。日本学者平松毅指出：个人信息保护法所保护的公民权利，不是绝对权利，而是必须根据社会公共利益而进行调整的相对权利。对公民个人信息的保护，必须始终坚持对公民权利和社会公共利益这两者进行价值权衡的基本原则，不应该一刀切地规定未经公民本人同意的情况下不可以擅自处理公民个人信息，而应该在立法和法律实施的过程中既保护公民个人利益，又考虑兼顾国家和社会的正当利益。

　　日本《个人信息保护法》第 16 条所规定"个人信息处理业者在处理个人信息时，未经本人事先同意，不得超出特定的利用目的所必需的范围。"而欧盟《1995 年个人数据保护指令》第 7 条则规定："各成员国应该规定，只有在下列条件下才可以对数据进行处理：（a）数据主体明确表示同意；或（b）处理对于履行数据主体作为当事人的合同是必要的；或（c）处理对于管理者履行其合法义务是必要的；或（d）处理对于保护数据主体的重要利益是必要的；或（e）处理对于为了公众利益是必要的；（f）处理对于管理者或第三方或其他向其公开数据的当事人的合法利益是必要的，除非受保护的数据主体的基本权利和自由的利益优先于这些利益。"很显然，通过比较我们不难发现，欧盟的规定优于日本，其对个人信息的保护并没有采取一刀切的做法，而是兼顾其它正当利益。

　　个人信息保护法应当是对个人信息进行合理利用与恰当保护相结合的法律。

　　我国目前的经济发展水平在某种程度上还制约着对个人信息进行法律保护的立法技术水平。在这样的情势下，我国对个人信息法律保护的理念应当随着政治、经济形势的发展而变化，在经济发展占上风的时候，应当强调信息合理流动的重要性。

　　此外，对不同种类的个人信息，应有针对性地进行不同程度的保护。适当的分层保护，有益于消除某些不必要的保护，"过保护"同样是不可取的。