崔俊杰

传播方式的变革促进了信息的高速流动，而与此同时，“支付宝年度账单事件”“数据堂倒卖个人信息案件”“华住集团旗下酒店客户信息泄露事件”等个人信息安全事件不断挑动社会公众的敏感神经，进而引发行政力量的迅速弹压。实践中，复杂的网络生态和高速变化的技术环境需要具备技术属性的监管制度予以回应。为此，互联网监管机构将“安全保障、技术为基、标准先行”确定为网络安全治理的框架性方案。〔1〕参见《构建网络安全标准体系》，载中华人民共和国国家互联网信息办公室网站，http://www.cac.gov.cn/2016-12/26/c_1120189223.htm，2020 年2 月23 日访问。在这一治理方案中，个人信息安全标准被置于十分重要的地位。它的定位在于为网络安全设备和网络专用产品建立统一的安全框架；指导具体产品的制定要求，为其提供共性层和基础层；进而为涉及个人信息的社会活动提出可量化、可程序化的具体方案。不过，从理论上讲，标准是一套与法律制度既有区别、又相联系的规则体系。在全面法治的背景下，对这套规则体系的价值，在实施中存在的问题，与法律制度的契合方式等都需要进行理性的分析，以便发展与法治化要求相适应的技术治理。

一、技术制度：个人信息安全标准体系及其特征

标准化学界认为：标准是一种技术制度。〔2〕刘三江、刘辉：《中国标准化体制改革思路及路径》，载《中国软科学》2015 年第7 期，第2 页。由此，个人信息安全标准也应当兼具技术和制度两种属性。尽管这一制度体系不论在制定主体、制定程序抑或实施方式、效力来源等方面都与法律体系有所不同，但我们仍然可以借助于分析法律体系的规范主义进路，来对个人信息安全标准体系进行分类和分级，进而提炼其特征。……