龚俊铭 康依诺 张博宇

（中国海洋大学法学院，山东 青岛 266100）

在我国，个人信息已经在立法层面被明确界定。《民法典》第一千零三十四条规定：个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

一、个人信息保护所存在的问题

（一）信息收集问题

首先，是无论其正当与否，信息收集过程本身都会对被收集者的行为产生影响，在某种程度上扼杀个人的创造力和自发性。当人们知晓其行为在受到观察、记录的时候，这单纯的观察、记录便会产生焦虑，并改变人们原本的行为。

其次，是过量收集个人信息。一方面，过量搜集个人信息将被收集方无端地暴露在外人视野中。另一方面，超过合理限度收集的个人信息本就是不合理的收集，而过多的信息可能阻碍决策的进行，导致弊大于利。

再次，是收集者在不告知信息所有者收集的原因、目的等信息的情形下收集其信息。具体而言，有两种不同的情况。第一种情况是从根本不告知信息所有者其收集信息的目的、方式、用途等。第二种情况是事实上不告知信息所有者其收集信息的目的、方式、用途等。例如，利用冗长的条款达到让信息所有者不愿或无法在短时间内查看条款并判断条款对自身的危害，而又无法拒绝收集者的要求或者提供的便利，最终在并不知情的情况下同意收集信息。

最后，是收集手段效用不高。同一机构的多部门间信息沟通不畅，常需对同一信息进行重复收集。此种信息收集手段同时缺乏效率和安全性。

（二）信息储存问题

首先，是信息收集机构缺乏足够的安全措施来保证收集的个人信息不会为他人所用。

其次，是信息收集机构在收集完成后，正当理由消失，但仍然储存着之前基于正当理由收集到的个人信息。在这种情况下，信息的保留在逻辑上将侵犯个人的个人信息。

（三）信息披露问题

首先，是缺乏正当的披露理由。披露公民的个人信息涉及对公民隐私权的侵犯，而隐私权对公民的正常生活是极为重要的。因此，对公民信息的披露是需要正当理由的，例如不可抗拒的国家利益。

其次，是披露对象不合理。例如，将机构人员的心理测验结果披露给不具有相关资质的评估人员。

再次，是披露信息的多寡不合理。披露公民信息是有目的的，如披露政府信息以接受公民监督，或披露失信人员信息以促使其还债并保护他人财产。而披露的信息是否能恰好满足其目的便是判断披露信息的多寡是否合理的标准。

最后，是披露的方式不合理。披露方式是达到披露目的的重要环节，不合理的披露方式可能滥用个人信息并偏离披露目的。

（四）强实施力法律缺失

现实中个人信息滥用现象频发的现象证明，上文中提到的个人信息处理过程中存在的问题，难以依靠机构、个人的自我检查解决。缺乏有效可实行的法律是原因之一。虽然目前《民法典》中对个人信息进行了明文的规定和保护，对个人信息的保护也散见于其他诸多法律、条例，但面对个人信息种类繁多、分类不明、利用不当的现状，我国仍然缺少一部针对个人信息的法律，来规定与公民的个人信息有关的权利义务，并为其提供保护。同时，仅仅制定一部《个人信息保护法》仍然是不够的。法律固然有其谦抑性，除了触犯刑法国家机关要主动出击外，在民事领域，法律主要强调的是当事人意思自治，不告不理。这样的谦抑性固然是有助于市民社会的自由，可是不考虑平等的自由则会对弱势者的权利造成严重损害。在民事领域，虽然法人与自然人的地位是平等的，但从实际角度上看，双方各自的资源实力大相径庭。面临大企业对个人信息的滥用，信息所有者很少有足够的知识能力、财力、时间来运用法律维护其自身权益。在行政领域，面对拥有行政权力的机关，公民可能出现缺乏能力或者胆量来运用法律，以维护自己的权利。在这两种情况下，自身个人信息受到侵犯的公民很难运用法律维护其自身利益。并且，多数公民并非理性人，面临信息收集者“免费的午餐”，个人很容易贪图一时便利，将个人信息交出。同时，面临冗长的条款，个人也缺乏足够的专业能力对其进行分析。而面对长期以来自治能力的缺乏，和国家机关维持社会稳定的需要，个人信息受侵害的公民难以自我组织起来为自己受的侵害采取行动。因此，个人与企业和拥有行政权力的机构相比，是出于多方面的弱势地位。而目前，在个人信息保护方面，尚未有相关规定来改变公民的弱势地位。

二、个人信息保护的出路设想

（一）学说观点

首先，个人信息的保护与其载体无关。即，无论个人信息是以语言、文字或其他形式承载，都不影响对其的保护。个人信息是否被侵犯与其的真假无关和公布者的主观意图无关。

其次，对个人信息的保护存在例外。第一，个人信息的保护不应禁止任何基于公共利益所进行的公开。第二，当个人信息被并未造成实际损害的口头交流所侵害时，法律不应当对其给予任何纠正。此外，对个人信息保护的例外还可以进一步延伸。当某人曾经的不道德或非法的行为被曝光时，隐私权不能对该种曝光进行限制。因为当他人十分需要这些被曝光的信息来对某人进行评价时，如果为某人遮掩其所犯下的不道德或非法的行为提供法律保护的话，就如同允许对商品进行虚假宣传。

再次，不论个人信息是如何被收集的，其中最核心的一个点在于“控制”。现在对个人信息的商业收集与使用几乎排除了消费者对其个人信息的任何控制。为了平衡个人信息的商用价值，社会规范很大程度上决定了消费者在哪些范围应当控制其个人信息，而这些规范也是逐渐变化的。

最后，对于一个有效的规则来说，有许多需要解决的问题。例如，消费者获取信息的渠道、对信息的更正、对信息的储存、信息泄露后的补救措施，以及政府监管。这样的法令同样需要考虑保护哪些个人信息，并确立例外情况。同时，该法律还需要协助在消费者与信息使用者之间建立高效的沟通渠道，让消费者能快速地了解自己的信息是如何被使用的。

（二）未来我国个人信息保护走向

1.推进个人信息保护立法［1］

第一，制定完善的个人信息保护法。在立法理念上，综合立法可以专家建议稿为基础，同时吸纳并借鉴域外立法的最新经验。（1）立足中国现实，采取更加灵活的立法策略：作为我国第一部专门的个人信息保护法，其最重要的功能就是为全社会树立一个制度标杆，因此在具体制度上无须一步到位；在立法策略上应当符合我国现实国情，做到更加灵活。（2）在具体的制度构建上要与时俱进，适应现代互联网和信息技术的变化。

第二，在特别领域系统贯彻个人信息权保护理念。这包括转变公民基本身份信息使用理念，通过细化实名制来遏制公民基本身份信息的滥用和泄露。

第三，要进一步完善刑事诉讼法，建立个人信息权的底线保障制度。

2.未来个人信息保护立法的困境［2］

在我国个人信息保护立法的未来走向上，还有三大矛盾仍待有效化解。就“个人对个人信息保护和企业对个人信息利用”之间的矛盾而言，应秉持“两头强化”的观念，既强化个人敏感信息的保护，又强化个人一般信息的利用。就“权利保护法和行政管理法”之间的矛盾而言，应坚持综合立法的进路，实现个人利益、企业利益和国家利益的三方平衡。就“国内法律和国际法律”之间的矛盾而言，我国一方面应引入个人信息的保护性域外管辖权，拓展主权边界；另一方面应参考世界趋同的个人信息保护原则，提升个人信息保护标准，为个人信息跨境流动的国际协定及条约奠定基础。

三、保护个人信息的重要意义

（一）保护个人信息的目的价值

首先，保护个人信息有利于实现人格尊严。个人信息能够显现信息主体的生活轨迹，勾勒出个人人格形象，并且作为信息主体人格的外在标志，能形成个人“信息化形象”。个人只有保证其信息不受侵犯、消除“信息化形象”被他人操控的疑虑和恐慌，才能有自尊并受到他人尊重地生存与生活。［3］

其次，保护个人信息有助于维护自然人的合法权益。通过对个人信息的民法保护，赋予自然人对个人信息相应的民事权益，能够使广大自然人更加重视自己的个人信息权益，由此能促使人们在日常生活中认真对待个人信息，积极行使权利以保护个人信息。并且，保护个人信息也有助于保护自然人的生命、财产。

（二）保护个人信息的公共价值

保护好个人信息有助于公共秩序、公共安全和公共福利的稳步推进。个人信息的合理使用和保护对于公权力机构具有重要作用，特别是对于一些具有公共治理功能的公权力机构。个人信息的收集与处理是其治理能力的基础，离开了对个人信息的合理收集与利用，公权力机构就不可能有效地征税、扶贫，有效地制定相关政策或对国家进行“数字化管理”。［4］

（三）保护个人信息的经济价值

首先，个人信息对于整个商业环境的健康运行至关重要。企业经营建立在对消费者需求的准确把握之上。大数据、互联网的推广普及，大大拓展了经营者获取消费者信息的渠道和范围，使精确了解消费者需求和偏好成为可能。以上优点可以帮助经营者实现以消费者整体需求为导向，对未来产品和服务升级更新，从而提高经营者决策的效率和理性，实现消费者和经营者之间“有的放矢”的互动。此外，市场经济是信用经济。在信用经济的大背景之下，建立健全完善的社会信用体系关系到整个社会的经济运行。而这离不开一定范围内大规模的个人信用信息的收集、处理和利用等活动。

其次，保护个人信息可以促进其流通。政府和私人企业对个人信息的广泛需求还催生了专门的个人信息服务提供者，如私营征信机构。［3］由此可见，个人信息的流通已经成为信息化时代的必然趋势。因此，保障个人信息能够合法地在市场经济上进行流通，是当代的必然要求。［3］

四、结语

虽然个人信息的泄露是国家高速发展过程中无法避免的，但是一套相对完整的法律制度则能有效遏制个人信息泄露，促进个人信息的保护与利用。当前个人信息保护所存在的问题主要在于四个方面，分别为不合理的信息收集、储存、披露以及系统性法律的缺失。具体而言，在信息收集方面，信息收集过程本身便会对被收集者产生负面影响，在一定程度上改变其原本行为，扼杀其创造力。何况，信息收集过程常常伴随着低效的重复收集，以及超过收集目的限度的收集。这类收集方式既无端暴露个人信息，又有可能阻碍决策的进行。此外，信息收集者常常不告知被收集者其收集原因、方式与用途，并附加被收集者无法拒绝的便利性，导致被收集者最终在并不知情的情况下同意收集信息。在信息储存方面，信息收集机构缺乏足够的安全措施来保证收集的个人信息不会为他人所用，并且在收集的正当理由消失后，仍然储存着之前基于正当理由收集到的个人信息。在信息披露方面，披露理由应以国家利益目前的衡量标准过低，并且披露的对象、方式与多寡亦有问题。就法律制度缺失方面，机构和个人的自我审查是难以保护信息的，国家力量必须介入。虽然《民法典》中对个人信息进行了明文的规定和保护，对个人信息的保护也散见于其他诸多法律、条例，但面对个人信息种类繁多、分类不明、利用不当的现状，我国仍然缺少一部针对个人信息的法律，来规定与公民的个人信息有关的权利义务，并为其提供保护。同时，法律应给予公民个人改变其面临法人与行政机关时所处的客观劣势地位，让公民能更加有效地，主动地对危害其个人信息的主体行使其法律赋予的权利。现状的缺失引出对未来道路的设想。就未来对个人信息的法律保护而言，保护与例外的界限需要明确，信息被收集者对信息的控制需要加强。具体而言，我国需要订立一部针对个人信息的专门法律，并在对个人信息的法律保护过程中始终抓住个人利益、企业利益和国家利益这三方面利益的矛盾与相同点。