原创 韩锦 来源‬京师郑州律所

在信息技术革命的引领下，各行各业和互联网逐渐地深度融合。即使在全球全球经济危机，经济下行的趋势下，数字经济也依旧保持稳定的增长，已经成为各国经济发展的重要引擎。因此，世界各国竞相调整其经济结构和发展模式，加快推进经济发展数据化。有研究表明，数字化程度每提高 10%，人均 GDP 增长 0.5%至 0.62%，数字经济正成为推动经济高质量发展转型升级的重要力量和核心动能。2020 年新冠疫情的爆发更是进一步佐证了数字经济的重要性，也推动了各国经济结构的数字化转型，随着全球经济日趋数据化，海量数据也不断云集。作为一项新的生产要素，在逐渐投入生产实践的过程中，我们发现数据在收集、使用和流转过程中，在带来巨大收益的同时，也伴随着数据安全风险问题。例如，随着数据化程度的不断深入，数据泄露、数据权属纠纷、数据跨境流动等相关的数据安全事件层出不穷，成为威胁公民个人信息安全、阻碍数据经济发展、引发国家安全风险的重大问题。由此，催生了对信息保护的关切，平衡信息保护与信息有序地流转是信息时代最为理想的状态。通过法律，技术等工具，将信息侵害的负面效应降低到最小，防范信息滥用已经成为各国信息保护的主旋律。

一、现阶段我国数据安全面临的主要挑战

数字经济时代，伴随着大数据、人工智能等创新信息技术的开发，个人信息的重要价值进一步凸显，成为了个人、社会等主体的重要资产。然而，伴随着个人信息的大规模、自动化应用，个人信息安全事件屡屡发生，个人信息安全状况不免引起担忧。个人信息安全事件的发生在给企业带来行政甚至刑事处罚的同时、也会引起公民的信任危机，最终阻碍企业的发展。因此，个人信息在采集、传输、利用和共享等各个环节的安全保护的重要性不言而喻。

（一）商业主体过度收集和泄露公民个人信息公民在使用手机、电脑等电子产品下载日常需要的APP软件时，这些APP软件会通常会提示是否允许其访问该电子设备的位置信息、通讯录、设备照片、媒体内容或者文件之类信息，由于拒绝提供个人信息将会导致无法使用该软件或部分功能，用户无奈只能选择妥协。甚至有些APP软件未经用户同意，后台私自大量收集或者以提醒使用者系统升级的方式骗取使用者同意来收集设备信息。这些APP收集公民个人信息的目的和内容以及方式是否适当都会影响公民个人信息的安全。中国消费者协会 2018 年发布的《APP 个人信息泄露情况调查报告》显示，约 86.5%的受访者曾收到推销电话或短信的*扰，约 75.0%的受访者接到诈骗电话，约 63.4%的受访者收到垃圾邮件。此外，部分受访者曾收到违法信息如非法链接等，更有甚者出现个人账户密码被盗的问题。2020 年《中国网络诚信发展报告》显示，仅有 14.8%的被调查者从未遭遇个人信息泄露。数据采集、利用的泛化不仅提升了数据的经济价值，也增加了数据安全风险。个人信息泄露使得公民的人身安全和财产安全遭受违法交易的威胁。数据流转能降低数据收集成本, 实现数据资源的可持续利用。然而数据流转过程中数据泄露和非法使用的风险也给公民的人身和财产安全带来了巨大的安全隐患。数字经济时代数据的流通流转成为必然，在数据流转的同时确保个人信息安全也成为社会各界关心的重大议题。

（二）公权力机关过度收集和公开公民个人信息国家为了便于社会管理、维护社会秩序、保护国家安全通常需要收集公民的个人信息，一个人或者一个企业组织从出生到死亡的过程都需要或多或少地国家机关打交道。随着社会发展，民主化程度不断提高，公民与国家的关系从被动式地服从逐渐向积极主动地地参与转变。国家机关收集公民个人信息的目的是否正当也引起了人民的思考，例如公共区域摄像监控、位置信息追踪、网络监控以及婚姻关系作为私主体之间的关系，是否有必要进行行政登记问题。不仅是信息收集方面，国家机关对公民、企业等非法、犯罪行为进行披露是否侵害信息主体的权利等都成为时下探讨的热门话题。虽然应用监控技术和大数据进行治理有助于精准地预防和应对不确定风险，但同时也会带来过度监控风险。如果不能在法律上明确和强调国家的消极义务，滥用监控工具的风险就会成为现实危险，落实国家消极保护义务，需要厘清国家进行个人信息收集与处理的负面清单。

（三）数据跨境流动引发个人信息泄露风险数据是一种具有流动性的社会资源，数据的流动性越高，流动范围越广，数据的经济价值越大。在经济全球化背景下，数据跨境流动成为数字经济的显著特征，成为全球经济增长的重要引擎。根据美国著名智库布鲁金斯学会的相关研究，2009—2018 年十年间，全球数据跨境流动对全球经济增长贡献度高达 10.1%，其中预计 2025 年有望突破 11 万亿美元。数据跨境流动给全球经济繁荣带来推动力的同时，也引发一系列个人信息安全风险问题。以“棱镜”事件为例，2013 年 6 月，前美国中情局职员斯诺登向英、美国报刊披露，美国国家安全局自 2007 年始实施了一项名为“棱镜”的秘密项目，要求一些大型电信公司每天提交固定数量用户的个人信息，并通过进入微软、谷歌、苹果等网络服务器的方式，监控用户的电子邮件、聊天记录、视频及照片等资料。“棱镜”事件牵涉的不仅仅是美国用户的信息安全，还涉及全球的网络用户主体的信息安全。随着全球化日益增进，各国在经济贸易和科学技术交流等方面交往越来越密切，数据跨境流动已经是必然趋势，数据控制权与数据跨境安全成为数据跨境流动领域关注的两大焦点。因此，确保数据控制权与跨境流动安全，不仅关乎我国个人信息安全、产业发展，而且关系全球经济与信息安全的战略需要。

二、我国个人信息保护的现状

（一）个人信息保护立法现状我国从不同层级、多个领域对个人信息保护进行了规范，经初步统计，有关个人信息保护的法律法规规则等制度文件有，《宪法》、《刑法》、《民法典》、《治安管理处罚法》等基础性法律；《网络安全法》、《信息安全技术个人信息安全规范》、《关于加强网络信息保护的决定》、《电信和互联网用户个人信息保护规定》、《儿童个人个人信息网络保护规定》等有关个人信息保护专门性的法律文件；《居民身份证法》、《消费者权益保护法》、《电子商务法》、《征信业管理条例》《旅游法》等单行法。尤其是《个人信息保护法》这一基础性法律已经出台，这标志着我国个人信息保护立法迈向了新的阶段。根据上述立法来看，可以说我国已经确立了较为全面的个人信息保护领域的法律，在为我国个人信息保护系取得成绩感到欣喜的同时，还需正视客观存在的不足和差距。首先是是个人信息保护比较重视刑事救济，民事和行政救济制度不够健全、相对薄弱。其次是，我们还应看到现有的规定内容较为抽象，部分个人信息保护的条款在实践中缺乏可操作性。虽然个人信息相关法律法规都赋予公民一定程度的权利，但由于部分公民个人信息权利意识薄弱，缺乏相关的技术知识在面对强大的网络运营主体时，往往趋于劣势地位，即是其享有权利但却也无从救济。最后，我国在个人信息保护方面的立法包含大量的宣誓性、政策性、道德性条款，虽然能够表明了我国保护个人信息权的立场，能够在一定程度上为数据的控制者和处理者提供行为准则，但是由于缺乏与之相对应的法律后果，难以成为法官裁判的标准，还需要进一步加以解释。

（二）个人信息保护执法现状网络用户的个人信息安全遭受侵害的事件日益频发，为了保障网络用户的信息安全，近几年来，国家机关有关部门展开了一系列个人信息保护整治行动。例如，2019年1月，工信部、公安部、中央网信办、市场监管总局四部门联合发布《关于开展APP违法违规收集使用个人信息专项治理的公告》，决定在2019年1月到12月，在全国范围内开展APP违法违规收集使用个人信息专项治理活动。2019年3月，受四部门的委托，中国互联网协会、中国网络空间安全协会、全国信息安全标准化技术委员会、中国消费者协会成立APP专项治理工作组。专项治理工作组自成立之日起，受理网民举报、对多款网民常用的APP进行测评、并向其中存在问题严重的APP发出整改通知，督促其改正。个人信息保护的相关法律规定涉及到许多不同领域，而不同的领域都有各自行政执行机关。立法的分散性决定了执法的分散性，分散式的行政执法很难让各个执法部门统一协调起来，这就容易导致个人信息保护的执法陷入混乱。《个人信息保护法》出台后，明确了履行个人信息保护职责的部门，即国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作；国务院有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息保护和监督管理；县级以上地方人民政府有关部门的个人信息保护和监督管理职责，按照国家有关规定确定。由此，个人信息保护执法行动多头执法，缺少权责明确的统一执法主体的情况得到有效改善。

（三）个人信息保护司法现状引起全国轰动的“徐玉玉被电信诈骗案”让人痛心无比，唏嘘之余也让我们认识到个人信息泄露后被非法利用的严重危害性，同时也让我们意识到个人信息保护与我们的人身安全和财产安全密切相关。该案件的发生也直接推进了个人信息保护相关立法条款的设置。目前，我国有关个人信息保护的典型性司法案例逐渐增加。如朱烨诉百度信息权侵权案、任甲玉诉北京百度网讯科技有限公司名誉权纠纷案、郭兵因诉杭州野生动物世界案等。个人信息所蕴含的巨大经济价值使得众人对之趋之若鹜，不可避免地会出现违法侵犯个人信息的情况。法官怎样在已有的法律体系内平衡各方权利，同时不会阻碍数据经济的发展，推动我国个人信息保护的进步，是数字经济发展背景下向司法机关提出的一个重要时代命题。以“朱烨诉百度信息权侵权案”案件为例，该案中原告认为百度公司未经本人同意，运用Cookie 等技术向她投放与其搜索的关键词相关的广告，暴露了她的个人兴趣，侵害了其个人信息权。这种行为让她感到恐惧和焦虑并影响到了她的正常工作和生活。该案一审判决认为百度公司收集个人信息的行为侵犯了原告的信息权。但二审认为百度公司的个性化推荐行为并没有侵犯朱烨的隐私权，一审判决判定百度公司侵犯朱烨隐私权不当，依法应予改判，并判决驳回朱烨的全部诉讼请求。一审和二审法院完全相反的判决结果在一定程度上反映了司法机关在审理个人信息保护案件时面临的困境。从网络用户主体的角度来看，司法审判要保护网络用户的个人信息权，使网络服务提供商通过技术违法收集和不当利用的行为得到制裁，保护公民个人生活的安宁不受侵犯。但从网络运营主体和社会经济可持续发展的角度来看，严格的个人信息保护制度会成为网络产业的发展与创新的屏障。从一审、二审的判决结果可以看出法院对网络运营主体未经用户同意收集其个人信息的行为是否侵权是有争议的。一审法院的判决偏重对公民个人信息权利的保护，二审法院的判决偏重对数字经济发展的维护。正如二审案判决书指出：“Cookie 技术是当前互联网领域普遍采用的一种信息技术，基于此而产生的个性化推荐服务仅涉及匿名信息的收集、利用，且使用方式仅为将该匿名信息作为触发相关个性化推荐信息的算法之一，网络服务提供者对个性化推荐服务依法明示告知即可，网络用户亦应当努力掌握互联网知识和使用技能，提高自我适应能力。”该判决结果不能简单地理解为网络运营主体未经用户同意收集个人信息，并进行个性化推荐绝对不会侵害用户个人信息权利，其意指个性化推荐如果经用户同意，并不侵犯用户的个人信息权利。这就给网络运营主体在收集和利用个人信息时敲响了警钟，必须要获得用户的授权或对用户个人信息进行匿名化处理。平衡个人信息保护与数据经济之间的利益，高水平、专业化的法官队伍同样必不可少。

三、个人信息保护的法律责任

（一）民事责任个人信息处理者处理个人信息侵害个人信息权益造成损害的，不能证明自己没有过错的，应当承担损害赔偿等侵权责任。损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。（二）行政责任公民、法人、其他组织违反《个人信息保护法》规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。此外，有《个人信息保护法》规定的违法行为的，可依照有关法律、行政法规的规定记入信用档案，并予以公示。国家机关不履行本法规定的个人信息保护义务的，由其上级机关或者履行个人信息保护职责的部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。履行个人信息保护职责的部门的工作人员玩忽职守、滥用职权、徇私舞弊，尚不构成犯罪的，依法给予处分。

（三）刑事责任公民、法人、其他组织违反《个人信息保护法》规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，应当依法追究刑事责任。