個人數(shù)據(jù)保護(hù)問題與對策

何培育　童婭

【摘要】近年來企業(yè)個人數(shù)據(jù)泄露事件頻發(fā)，信息安全形勢日益嚴(yán)峻，信息主體所享合法權(quán)益正不斷受到侵害，探索企業(yè)個人數(shù)據(jù)安全保障機(jī)制迫在眉睫。應(yīng)當(dāng)在對企業(yè)個人數(shù)據(jù)的獲取、使用、管理以及保護(hù)等情況進(jìn)行現(xiàn)狀考察的基礎(chǔ)上，結(jié)合企業(yè)在個人數(shù)據(jù)處理各個環(huán)節(jié)中存在的問題，從企業(yè)管理、司法保護(hù)以及行政監(jiān)管三個層面加以應(yīng)對。

【關(guān)鍵詞】個人數(shù)據(jù)保護(hù) 網(wǎng)絡(luò)安全 權(quán)利與義務(wù)

【中圖分類號】DF52 【文獻(xiàn)標(biāo)識碼】A

企業(yè)個人數(shù)據(jù)處理問題現(xiàn)狀梳理

企業(yè)個人數(shù)據(jù)收集環(huán)節(jié)存在的問題。個人數(shù)據(jù)的收集環(huán)節(jié)即指為了更好地為生產(chǎn)經(jīng)營而服務(wù)，企業(yè)通過各種途徑將大量零散的個人數(shù)據(jù)聚集整合在一起的過程。企業(yè)收集個人數(shù)據(jù)的范圍廣泛、途徑多樣，但在收集過程中存在一些問題。

其一，收集方式合法性問題。企業(yè)主要以通過注冊、訂購等正當(dāng)業(yè)務(wù)途徑方式收集用戶個人數(shù)據(jù)；通過企業(yè)招聘、雇傭方式收集企業(yè)內(nèi)部員工信息。也有企業(yè)通過記錄、收集用戶操作行為等方式獲得用戶瀏覽信息或通過個人數(shù)據(jù)買賣、交換等方式獲取個人數(shù)據(jù)。通過注冊、訂購、招聘、雇傭等方式獲取個人數(shù)據(jù)是在信息主體明示或默示的基礎(chǔ)上的進(jìn)行的收集行為，而通過記錄、收集用戶的操作行為、上網(wǎng)習(xí)慣等方式獲取相關(guān)個人數(shù)據(jù)的行為，多數(shù)企業(yè)未告知信息主體并經(jīng)其同意，即未經(jīng)過信息主體許可授權(quán)，因此此類收集方式上存在一定的非法性。還有一些企業(yè)通過從其他機(jī)構(gòu)或者個人處購買、相互交換等方式獲取個人數(shù)據(jù)。這種收集行為主要在企業(yè)與信息交易機(jī)構(gòu)或個人、企業(yè)與企業(yè)之間進(jìn)行，信息主體一般無法得知，更無法參與其中，因此該交易、交換行為屬于根本未獲得信息主體同意的情況下進(jìn)行的非法收集行為。①

其二，收集程序正當(dāng)性問題。正當(dāng)?shù)氖占绦驊?yīng)當(dāng)是基于企業(yè)與信息主體之間雙向的告知—同意的過程，企業(yè)在收集個人數(shù)據(jù)之前需要告知信息主體，同時在征得其同意之后，才能開始對個人數(shù)據(jù)進(jìn)行正當(dāng)?shù)厥占＂诙壳按蠖鄶?shù)企業(yè)缺少履行告知—同意環(huán)節(jié)，多以企業(yè)單方面的收集為主。收集程序中的關(guān)鍵環(huán)節(jié)的缺失，導(dǎo)致其正當(dāng)性存在問題。

其三，收集用途明確性問題。企業(yè)所收集的個人數(shù)據(jù)的范圍較為廣泛，不僅包括如姓名、性別、聯(lián)系方式、住所等基本身份信息，也包括了收入水平、財務(wù)狀況、消費能力等帶有財產(chǎn)性質(zhì)的信息，更包括了個人喜好、生活習(xí)慣、想法意愿等與精神活動相關(guān)的信息。但在企業(yè)收集個人數(shù)據(jù)后的用途方面，只有較少的企業(yè)能夠較為充分地發(fā)揮個人數(shù)據(jù)的作用，多數(shù)企業(yè)未能充分發(fā)掘個人數(shù)據(jù)的具體價值所在，出現(xiàn)使用用途不明確或者用途單一的情況，無法充分地讓個人數(shù)據(jù)為生產(chǎn)經(jīng)營服務(wù)。同時另有部分企業(yè)雖有明確用途，但過度收集與其用途無關(guān)的個人數(shù)據(jù)。

企業(yè)使用個人數(shù)據(jù)中存在的問題。當(dāng)企業(yè)獲取個人數(shù)據(jù)后，將會對個人數(shù)據(jù)進(jìn)行處理并使用，個人數(shù)據(jù)將會進(jìn)入使用環(huán)節(jié)。企業(yè)應(yīng)依據(jù)收集時由信息主體同意的明確的用途使用個人數(shù)據(jù)，同時允許并協(xié)助信息主體查看其信息的使用情況。但是在實際的使用過程中，企業(yè)常會存在出現(xiàn)違規(guī)行為。

一是未經(jīng)授權(quán)的擅自使用。在企業(yè)收集個人數(shù)據(jù)時或者使用個人數(shù)據(jù)前，需向信息主體進(jìn)行信息用途的明確說明，經(jīng)過信息主體的同意之后，才能合法使用該個人數(shù)據(jù)。同時，須明確的是，企業(yè)只能在信息主體授權(quán)的范圍內(nèi)使用該信息，不能在未經(jīng)過信息主體同意的其他用途中使用。但是在現(xiàn)實的調(diào)研情況來看，很少有企業(yè)會在收集時或者使用前向信息主體進(jìn)行說明并經(jīng)其同意再使用。

二是超出權(quán)利范圍使用。部分企業(yè)在經(jīng)授權(quán)的使用過程中，因為存在授權(quán)內(nèi)容不明確，權(quán)利限制不清楚等問題，加上許多企業(yè)缺乏個人數(shù)據(jù)使用的正確觀念，因而常存在超出權(quán)利范圍的使用情況發(fā)生，例如，未經(jīng)用戶許可的公開，個人數(shù)據(jù)非法交換、交易等行為。

企業(yè)個人數(shù)據(jù)管理機(jī)制缺失。當(dāng)前多數(shù)的企業(yè)對個人數(shù)據(jù)管理方面均適當(dāng)?shù)牟扇×艘欢ǖ拇胧?，例如：聘用專職人員管理個人數(shù)據(jù)并且接觸人員范圍受限，制定嚴(yán)格的信息管理制度，并嚴(yán)格實施遵守，建立專業(yè)的個人數(shù)據(jù)數(shù)據(jù)庫，定期整理、更換、刪除個人數(shù)據(jù)。但是多數(shù)企業(yè)未對個人數(shù)據(jù)管理問題納入企業(yè)管理體系中。企業(yè)在存儲、使用、管理與保護(hù)個人數(shù)據(jù)時，均存在信息泄露風(fēng)險、侵害信息主體權(quán)益等問題。

一是個人數(shù)據(jù)存儲方面。企業(yè)在收集到個人數(shù)據(jù)后，大多僅僅進(jìn)行簡單的錄入、歸檔保存，缺少專業(yè)的個人數(shù)據(jù)存儲數(shù)據(jù)庫，存儲方式簡陋，存儲安全性被忽略，加大了個人數(shù)據(jù)泄露的風(fēng)險。

二是個人數(shù)據(jù)使用方面。企業(yè)未制定專門的個人數(shù)據(jù)使用準(zhǔn)則，也沒有規(guī)制使用人員的行為，對使用人員只要以為生產(chǎn)經(jīng)營服務(wù)為目的的個人數(shù)據(jù)使用行為均持默認(rèn)態(tài)度，對其是否存在違法違規(guī)行為也未及時制止，因而經(jīng)常出現(xiàn)擅自使用、超范圍使用個人數(shù)據(jù)等情況。

三是個人數(shù)據(jù)管理方面。多數(shù)企業(yè)安排內(nèi)部工作人員兼職管理或者未安排人員管理，由于管理人員專業(yè)性受限以及其他主要事務(wù)繁忙，很難充分履行個人數(shù)據(jù)以及數(shù)據(jù)庫的定期維護(hù)與更新、無用信息刪減等職責(zé)，也無法保證個人數(shù)據(jù)的安全問題，個人數(shù)據(jù)泄露現(xiàn)象時有發(fā)生。多數(shù)企業(yè)認(rèn)為獲得個人數(shù)據(jù)后，即享有個人數(shù)據(jù)的所有權(quán)，在完成與信息主體約定的使用之后，可以自由對個人數(shù)據(jù)進(jìn)行處分，對于達(dá)到收集時公告的使用目的的個人數(shù)據(jù)繼續(xù)予以存儲使用；在未經(jīng)過信息主體的許可下，以贈送、買賣等形式轉(zhuǎn)移給第三人。

個人數(shù)據(jù)保護(hù)法律關(guān)系主體權(quán)利義務(wù)邊界模糊

個人數(shù)據(jù)保護(hù)法律關(guān)系中，企業(yè)與個人數(shù)據(jù)提供者作為法律關(guān)系的主體對個人數(shù)據(jù)享有權(quán)利并承擔(dān)義務(wù)，同時個人數(shù)據(jù)提供者也應(yīng)享有對等的權(quán)利與義務(wù)，但是雙方權(quán)利與義務(wù)的具體內(nèi)容目前仍則處于模糊狀態(tài)，不利于個人數(shù)據(jù)保護(hù)。

信息獲取環(huán)節(jié)中存在的權(quán)利與義務(wù)內(nèi)容明確問題。在個人數(shù)據(jù)正當(dāng)獲取的環(huán)節(jié)中，企業(yè)與信息主體的主要行為及步驟包括：第一，企業(yè)充分告知信息主體的收集行為，包括收集內(nèi)容、收集目的、收集方式等情況；第二，信息主體明確知曉企業(yè)收集行為，并對收集情況有充分認(rèn)識；第三，信息主體決定是否同意企業(yè)的收集行為；第四，征得信息主體同意之后，企業(yè)開始以所告知方式收集個人數(shù)據(jù)。但在實際企業(yè)收集個人數(shù)據(jù)時，企業(yè)與信息主體均未充分明確自身的權(quán)利與義務(wù)，導(dǎo)致企業(yè)與信息主體經(jīng)常發(fā)生不知曉自身知曉收集行為的權(quán)利、消極行使同意收集的權(quán)利、怠于履行告知收集義務(wù)、超出權(quán)利范圍收集信息等情況。

信息使用環(huán)節(jié)存在的權(quán)利與義務(wù)內(nèi)容明確問題。在信息使用環(huán)節(jié)中，企業(yè)應(yīng)當(dāng)嚴(yán)格按照在收集時告知的收集目的進(jìn)行個人數(shù)據(jù)的使用，在使用期間，信息主體應(yīng)當(dāng)可以知曉企業(yè)對其個人數(shù)據(jù)的使用情況以及是否存在違反約定使用行為。因此企業(yè)應(yīng)當(dāng)負(fù)有按約定使用個人數(shù)據(jù)的義務(wù)，而信息主體則享有知曉企業(yè)使用情況并及時終止企業(yè)不當(dāng)使用行為的權(quán)利。但是實際操作中，信息一旦被企業(yè)收集，信息主體往往難以獲知其信息的使用情況，同時，信息主體不明確其享有的權(quán)利，或者雖知曉但怠于行使，而企業(yè)更存在信息獲取后即屬于企業(yè)自身財產(chǎn)隨意交易與處分，對應(yīng)當(dāng)履行的義務(wù)視而不見。

信息管理與保護(hù)環(huán)節(jié)存在的權(quán)利與義務(wù)不明確。在信息管理環(huán)節(jié)中，企業(yè)應(yīng)當(dāng)對信息進(jìn)行充分合理的管理，降低信息泄露風(fēng)險，保證信息的安全性，在此基礎(chǔ)之上企業(yè)可以在一定限度范圍內(nèi)對信息進(jìn)行加工處理、整合等，以提取有價值信息。對于信息主體而言，應(yīng)當(dāng)能夠獲知其信息的管理情況、安全狀態(tài)，可以要求企業(yè)對所管理的自身信息進(jìn)行修改、刪除。而實際情況中，企業(yè)對管理、保護(hù)信息安全，防止信息泄露的安全保障工作并不到位，多數(shù)企業(yè)認(rèn)為個人數(shù)據(jù)已屬于自身財產(chǎn)而又無明顯價值，故在管理方面存在懈怠心態(tài)，缺乏信息保護(hù)意識，不明確保護(hù)義務(wù)等情況較為普遍。而信息主體對于能夠提出的刪除、修改等權(quán)利基本不知曉，更未提出過刪除、修改個人數(shù)據(jù)等要求，而就算提出，企業(yè)也幾乎未曾理會。

企業(yè)個人數(shù)據(jù)保護(hù)對策探析

完善企業(yè)個人數(shù)據(jù)管理機(jī)制。第一，收集個人數(shù)據(jù)環(huán)節(jié)。企業(yè)為了精準(zhǔn)營銷與更好的推銷自己的產(chǎn)品，往往會以各種方式收集顧客的個人數(shù)據(jù)，而在收集個人數(shù)據(jù)環(huán)節(jié)，企業(yè)應(yīng)注意遵循以下原則：告知同意原則：應(yīng)告知其收集個人數(shù)據(jù)的目的及用途，且若信息主體不同意，須立即刪除其收集的個人數(shù)據(jù)；保障安全原則：應(yīng)對收集到的信息采取合理的安全措施保護(hù)個人數(shù)據(jù)，以防止個人數(shù)據(jù)泄露或落入不法分子手中；合法收集原則：應(yīng)從正規(guī)渠道獲取個人數(shù)據(jù)，不得以非法竊取、購買手段獲取個人數(shù)據(jù)。

第二，使用個人數(shù)據(jù)環(huán)節(jié)。企業(yè)所收集到個人數(shù)據(jù)對于自身將生產(chǎn)的產(chǎn)品或提供的服務(wù)具有指導(dǎo)性作用，而企業(yè)在對這些信息加以整理、分析的過程中，應(yīng)遵循以下原則：指定用途原則：應(yīng)依據(jù)明確的用途并經(jīng)信息提供者同意后方可使用個人數(shù)據(jù)；客戶查看原則：應(yīng)允許并協(xié)助個人數(shù)據(jù)提供者查看其信息的使用情況。③

第三，處理個人數(shù)據(jù)環(huán)節(jié)。企業(yè)對于已達(dá)到收集個人數(shù)據(jù)時所告知的使用目的及范圍后，對于個人數(shù)據(jù)的處理應(yīng)遵循以下原則：主動刪除原則：應(yīng)主動將與客戶個人數(shù)據(jù)的相關(guān)內(nèi)容全部作不可恢復(fù)刪除；繼續(xù)授權(quán)原則：若想將個人數(shù)據(jù)存檔以便將來使用，須再次征得信息主體同意、授權(quán)。

加強(qiáng)個人數(shù)據(jù)司法保護(hù)。第一，明確信息主體和企業(yè)的權(quán)利義務(wù)。 明確不同信息主體的權(quán)利義務(wù)是完善企業(yè)對于個人數(shù)據(jù)規(guī)制的重要問題，要求在保護(hù)信息主體權(quán)利的前提下不能剝奪企業(yè)對于個人數(shù)據(jù)合理利用的權(quán)利。信息主體享有對于其個人數(shù)據(jù)是否被收集、利用以及其個人數(shù)據(jù)在何時、基于何種目的、以何種方式進(jìn)行處理的決定權(quán)。而企業(yè)在被授權(quán)的條件下，享有在于授權(quán)范圍內(nèi)對于個人數(shù)據(jù)的收集、使用、處理的權(quán)利。④具體而言，分為以下幾個方面。

一是信息主體的權(quán)利與義務(wù)。信息主體的主要權(quán)利包括：知情權(quán)：指信息主體對于企業(yè)收集、使用、處理個人數(shù)據(jù)的行為及范圍享有知情的權(quán)利；選擇權(quán)：指信息主體有權(quán)選擇自己的個人數(shù)據(jù)是否被企業(yè)收集、使用、處理；查看權(quán)：指在不侵犯企業(yè)商業(yè)秘密的前提下，信息主體享有查看自己的個人數(shù)據(jù)被使用情況；刪除權(quán)：指信息主體有權(quán)要求企業(yè)對于已達(dá)到收集個人數(shù)據(jù)時所告知的使用目的及范圍后將其刪除；賠償請求權(quán)：指當(dāng)個人數(shù)據(jù)因企業(yè)的疏忽管理或直接泄露等原因受到損害時，信息主體享有要求企業(yè)賠償?shù)臋?quán)利。信息主體對于企業(yè)來講處于一個相對弱勢的地位，但在法律義務(wù)方面，信息主體在授權(quán)企業(yè)對自己的個人數(shù)據(jù)進(jìn)行管理的同時應(yīng)遵循信息真實原則。

二是企業(yè)的主要權(quán)利與義務(wù)。企業(yè)在收集個人數(shù)據(jù)時告知的使用目的并且其目的不違反法律規(guī)定的情況下，享有對收集個人數(shù)據(jù)的使用、收益、處分權(quán)。同時要履行以下義務(wù)：收集告知義務(wù)：指企業(yè)在收集個人數(shù)據(jù)時附有告知信息將在 何種范圍內(nèi)作何種用途的義務(wù)；使用有限原則：指企業(yè)只能在告知的范圍內(nèi)使用個人數(shù)據(jù)，不得將其作其他用途；保障安全義務(wù)：指企業(yè)在管理個人數(shù)據(jù)的過程中，附有保障個人數(shù)據(jù)不被泄露、盜竊的義務(wù)；主動刪除義務(wù)：指企業(yè)在既定范圍內(nèi)使用完個人數(shù)據(jù)后，應(yīng)主動刪除個人數(shù)據(jù)及相關(guān)內(nèi)容；賠償損害義務(wù)：指企業(yè)未采取合理、有效措施保障個人數(shù)據(jù)安全以致被不法分子竊取、泄露作其他用途，應(yīng)對用戶造成的損害給予適當(dāng)賠償。

第二，對于侵權(quán)行為及責(zé)任的分析。當(dāng)前企業(yè)對于個人數(shù)據(jù)保護(hù)還存在諸多不足，容易發(fā)生以下幾種侵權(quán)行為。

非法收集個人數(shù)據(jù)：為了促進(jìn)生產(chǎn)力發(fā)展，企業(yè)往往會收集潛在客戶的個人數(shù)據(jù)以準(zhǔn)確的捕獲他們的需求。除了一些正常手段收集個人數(shù)據(jù)外，還可能存在從非正當(dāng)渠道獲取個人數(shù)據(jù)的情形，比如違法竊取、購買客戶信息。但應(yīng)該明確的是，個人數(shù)據(jù)作為一種人格權(quán)應(yīng)該受到保護(hù)，信息主體對于個人數(shù)據(jù)的收集享有知情權(quán)，若企業(yè)未將信息處理的方式及范圍告知信息主體及未獲授權(quán)情況下非法收集個人數(shù)據(jù)，可能會對信息主體造成損害，應(yīng)承擔(dān)侵權(quán)責(zé)任。信息主體有權(quán)要求企業(yè)停止侵權(quán)，并賠禮道歉，若因為其侵權(quán)行為對信息主體造成損失的，應(yīng)當(dāng)賠償損失。過度使用個人數(shù)據(jù)：企業(yè)會根據(jù)生產(chǎn)需求對收集到的個人數(shù)據(jù)進(jìn)行篩選、整合，最后形成一個對有用的數(shù)據(jù)庫。由于不同的信息組合后會形成新的數(shù)據(jù)資料，企業(yè)應(yīng)在告知信息主體收集目的范圍內(nèi)使用其個人數(shù)據(jù)，若過度使用可能會違背信息主體授權(quán)時的意愿，信息主體有權(quán)要求企業(yè)停止侵權(quán)、并賠禮道歉，若因為其侵權(quán)行為對信息主體造成損失的，應(yīng)當(dāng)賠償損失。擅自處理個人數(shù)據(jù)：指企業(yè)未經(jīng)信息主體同意，擅自將其個人數(shù)據(jù)與第三方共享。企業(yè)在既定范圍內(nèi)使用完個人數(shù)據(jù)后，應(yīng)主動刪除個人數(shù)據(jù)。若將其擅自出售、分享給其他企業(yè)，如保險公司、推銷公司可能導(dǎo)致其個人數(shù)據(jù)被作為盈利工具不正當(dāng)使用，給信息主體生活帶來困擾。信息主體有權(quán)要求企業(yè)賠償因其侵權(quán)行為造成的損失，并賠禮道歉。

加強(qiáng)行政監(jiān)管。監(jiān)督機(jī)制不完善，就難以防止公權(quán)力濫用、私權(quán)益受損。但是目前我國對于個人數(shù)據(jù)安全行政監(jiān)管存在諸多問題。從監(jiān)管規(guī)范上來看，應(yīng)當(dāng)不斷制定完善政府機(jī)關(guān)、企事業(yè)單位收集、使用個人數(shù)據(jù)的標(biāo)準(zhǔn)體系，使行政監(jiān)管有法可依，建議將《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個人信息保護(hù)指南》針對不同行業(yè)領(lǐng)域的情況加以完善并作為強(qiáng)制性的指導(dǎo)規(guī)范。從監(jiān)管效力上看，應(yīng)當(dāng)賦予監(jiān)管主體一定的行政處罰權(quán)，當(dāng)發(fā)現(xiàn)相關(guān)政府部門、企事業(yè)單位在收集、分析、使用個人數(shù)據(jù)的過程中存在違法行為的，有權(quán)對其實施行政處罰，行政處罰認(rèn)定結(jié)果應(yīng)當(dāng)與社會征信系統(tǒng)相連接，加大對侵犯個人數(shù)據(jù)違法行為的遏制力度。

（作者單位：重慶理工大學(xué)知識產(chǎn)權(quán)學(xué)院；本文系2015年重慶市教委人文社科研究項目“網(wǎng)絡(luò)環(huán)境下個人數(shù)據(jù)保護(hù)問題研究”和2015年重慶市社會科學(xué)規(guī)劃項目“大數(shù)據(jù)時代個人數(shù)據(jù)信息隱私安全風(fēng)險及應(yīng)對機(jī)制研究”的階段性成果，項目編號：15SKG137、2015YBGL110）

【注釋】

①張錫田，范曉蔚：“論個人信息的非技術(shù)性保護(hù)”，《檔案學(xué)研究》，2013年第3期。

②王忠，殷建立：“大數(shù)據(jù)環(huán)境下個人數(shù)據(jù)隱私治理機(jī)制研究”，《技術(shù)經(jīng)濟(jì)與管理研究》，2014年第8期。

③孫凡：“企業(yè)個人信息使用及保護(hù)業(yè)務(wù)的框架研究”，《中央財經(jīng)大學(xué)學(xué)報》，2015年第7期。

④齊愛民：《私法視野下的信息》，重慶大學(xué)出版社，2012年。

⑤何培育：“網(wǎng)絡(luò)交易消費者的個人信息保護(hù) ”，《中國流通經(jīng)濟(jì)》，2014年第6期。

責(zé)編/王坤娜