大数据时代亟待加强个人数据保护

本篇文章3046字，读完约8分钟

如果中国不尽快建立符合国际标准的个人信息保护体系，将被排除在国际贸易之外，国际企业和组织未能有效监管中国公民个人信息的收集也将对中国的经济和社会安全构成威胁。

宋志宏在大数据时代促进信息的自由流动和共享是政府管理、业务发展和技术创新的需要。同时，海量个人信息的收集、处理、利用和共享将对公民的个人信息安全，尤其是隐私和其他敏感信息的安全构成极大威胁。如何处理促进信息自由流动和保护个人信息安全的关系，是信息社会不可回避的问题。如果中国不尽快建立符合国际标准的个人信息保护体系，将被排除在国际贸易之外，国际企业和组织未能有效监管中国公民个人信息的收集也将对中国的经济和社会安全构成威胁。最近，欧洲法院宣布，欧洲和美国之间的“安全港”协议立即无效，这值得我们警惕。提出了完善我国个人信息保护体系的六点建议:树立正确的保护理念:保护与利用的平衡。信息社会中的个人信息保护具有不同于传统社会隐私保护的特点，需要平衡数据的利用价值和保护价值。信息的自由流动、开发和利用在社会进步中发挥着重要作用，一个国家的数据利用和保护法律制度的宽松程度将影响其数据技术创新。加州大学戴维斯分校的钱德尔教授发现，美国的法律体系对中间平台的保护力度更大，在美国属于创新范畴的活动在欧洲和亚洲国家可能被视为非法。正是这种对中间平台的法律保护为美国互联网产业的快速发展奠定了基础。然而，如果利益平衡过于偏向企业，将会阻碍整个行业的健康和可持续发展。

在个人信息保护领域，如果公民的个人信息，尤其是敏感信息被滥用而无法得到有效保护，不仅会侵犯公民的基本权利，还会降低网民的安全感。整个社会将陷入对“透明人”的恐惧，极端情况甚至可能引发“反互联网”、“反信息化”的浪潮。因此，我国个人信息保护系统的设计理念必须考虑保护与利用之间的平衡。

保护模式的选择:世界上个人信息保护有两种模式:以美国为代表的“分散立法+行业自律”模式和以欧盟为代表的国家主导的统一立法模式。结合我国的法律传统和立法现状、政府管理理念和行业发展状况，我国应当兼收并蓄，采取“以国家统一立法为主体、行业自律为补充”的个人信息保护模式。

首先，世界上大多数国家都采用立法模式，通过制定个人信息保护法来保护个人信息。其次，与美国的分散立法模式相比，欧盟的统一立法模式更适合中国。美国之所以采取分权立法模式，是因为在个人信息保护需求大量出现之前，美国已经有了一部相对完整的隐私法，其判例法体系也使其法院能够通过判例法不断扩大“隐私”的范围；其次，由于其行业协会非常发达，并在广大私营部门的行业自律中发挥着重要作用，国家只需要在隐私法和行业自律无法解决问题的少数领域补充立法。但是，我国不具备这两个条件，通过统一立法规范个人信息的收集和处理不会造成立法资源的重复浪费，反而有助于充分发挥统一立法的优势。最后，通过政府引导积极发挥行业自律的作用，可以成为立法保护的有力补充。随着网络技术的飞速发展，无论是立法还是政府行政措施都不可避免地滞后。行业自律可以弥补统一立法的滞后性、刚性和缺乏针对性等不足，从而平衡个人信息保护与产业发展和技术进步的关系。

将政府的个人信息收集、处理、利用和共享纳入《个人信息保护法》的调整范围，是世界上最大的个人信息收集者。规范政府的个人信息收集和处理(包括共享)行为是个人信息保护的一个重要方面。由于行使职权的必要性和便利性，政府很容易掌握大量公民的个人信息，特别是高度敏感的信息。当个人信息被收集和处理时，公民对政府比对企业更信任。政府控制的个人信息不仅对政府的公共管理具有重要意义，而且具有很强的共享需求。一方面，政府需要响应企业的共享请求，在不侵犯信息主体合法权益的基础上，向公众披露或提供该信息；另一方面，政府的收集和处理，包括向其他政府机构和企业传输和共享个人信息，也必须受到法律的严格监管，否则，政府很可能成为公民个人信息的最大威胁，这不仅会损害政府的公信力，还会阻碍政府随后收集个人信息。因此，在保护公民个人信息方面，政府应该比企业承担更多的义务。

世界上大多数立法保护个人信息的国家都对政府的信息处理行为进行了立法调整。即使是在商业领域实行行业自律的美国，也有几部专门规范政府个人信息收集和处理行为的法律。从我国现行立法来看，《电信和互联网用户个人信息保护条例》仅适用于电信运营商和互联网信息服务提供商，《信息安全技术、公共和商业服务信息系统个人信息保护指南》明确排除了政府机构和其他行使公共管理职责的机构的适用，使得政府的个人信息收集、处理、利用和共享行为缺乏法律调整。如果目前正在起草的《个人信息保护法》继续将政府行为排除在调整范围之外，势必导致我国公民个人信息保护的重大疏漏，不利于良好社会环境的形成。

建立和完善个人信息保护的制度和机制根据国际经验，采用国家统一立法的个人信息保护模式，有必要建立相应的行政机构，落实个人信息保护的法律法规机制。根据中国的情况，建议在制定《网络安全法》和《个人信息保护法》时，以国家立法的形式将国家互联网信息办公室确定为国务院的一个组成机构，负责履行法律赋予的行政职能，包括个人信息保护。具体而言，它包括:制定保护和合理使用个人信息的政策和部门规则；协调国家机关之间在政府信息公开和信息共享方面的政策和制度的实施；负责国家机关向行业开放信息资源的政策制定和监督实施；监督信息产业的个人信息收集、处理和利用；指导行业协会制定和实施自律规范；接受公民个人和社会团体的投诉和建议，并依法作出相应的行政处理。

在政府的指导下，充分发挥行业自律的作用。行业自律的最大优势在于可以区分不同的领域，行业可以充分结合自身特点制定有针对性的行为规范，并根据技术进步的要求及时进行调整。由于行业自律具有很强的针对性，有利于行业整体的健康发展和长远利益，因此企业有遵从的内在动机。考虑到我国个人信息保护法的颁布需要时间，充分发挥行业自律的作用，在该法颁布之前也可以弥补空的法律调整，为科学立法提供经验。

中国的《信息安全技术、公共和商业服务信息系统个人信息保护指南》试图借鉴行业自律的做法。然而，由于自下而上既没有细分的领域或行业，也没有行业自身制定的标准，行业自律的核心优势无法发挥。要发挥行业自律的作用，必须遵循其核心要素:一是行业主导的自下而上模式可以由政府引导或引导，但绝不是主导；第二，根据行业的特点，企业将自愿细分行业，而不是试图用自律标准来涵盖所有行业。根据我国的具体情况，建议政府主管部门在银行、电信、互联网服务业、电子商务平台等几个典型行业中倡导和引导行业自律发展。，然后逐步扩展到餐饮业、快递业等行业。行业自律主要由行业组织中具有相当业务和法律知识的人员制定，并征求行业成员的意见。一旦企业书面承诺遵守某一行业自律，自律就成为企业与消费者之间合同的一个组成部分。同时，法院还可以在司法过程中审查自律规范的合法性，排除适用违反法律或明显不合理侵犯消费者权益的条款。

加强个人信息保护的公民参与信息时代的个人信息保护，公众参与也是不可或缺的:第一，应加强公众参与个人信息保护法的立法，促进立法的科学化和民主化；二是在全社会开展个人信息保护知识的宣传教育，增强公民的自我保护意识和能力；第三，鼓励和引导公民积极回应信息提供者在信息收集和处理方面的询问和互动请求，包括关于特殊事项的听证会，培养公民的参与意识和责任感；最后，要建立顺畅的公民投诉和救济机制，充分发挥公众在执法监督中的作用。