赌球者-嫩模赌球白富美世界杯

　　引言：2017年6月1日，《網絡安全法》正式實施，作為我國網絡安全領域的首部基礎性法律，內容十分豐富，奠定了中國網絡安全保護和網絡空間治理的基本框架，是引導我國網信事業沿著健康安全軌道運行的指南針，具有里程碑意義。《網絡安全法》集中體現了網絡空間各利益相關方普遍關心的問題，確定了網絡建設、運營、維護和使用網絡，以及網絡安全監管等多項法律規范和制度，這些規范和制度相互影響、相互作用、相互協調，形成了一個維護網絡空間安全的閉環系統。

　　為了配合《網絡安全法》的宣傳與貫徹，普及我國首部網絡安全法，筆者將對《網絡安全法》中的重要法律制度進行系列解讀，本期解讀：個人信息保護法律制度。

　　“信息”（Information）和“數據”（Data）是網絡時代使用頻率最高的兩個詞匯，經常被許多政府規范性文件，甚至法律視為同一概念。目前在各國的個人信息保護立法中，多數國家將“個人信息”視為“個人數據”。如歐盟《個人數據保護指令》第2條（a）規定，個人數據，指“與一個人身份已被識別或者身份可以識別的自然人（數據主體）相關的任何信息。”；法國《數據處理、數據文件及個人自由法》第2條第1款規定，個人數據，指“可以通過身份證號碼、一項或多項個人特有因素被肢解或間接識別的自然人相關的任何信息”；德國《聯邦數據保護法》第3節規定，個人數據，指“任何關于一個已識別的或者可識別的個人（數據主體）的私人或者具體狀態的信息。”由此可見，以上國家立法中的所謂“個人數據”實質上是個人的“網絡信息”或“電子信息”。

　　臺灣學者朱柏松教授認為，數據乃是指一定事實或狀態的存在或者記錄，例如未經過處理的原始數值或文字即屬之，其性質上屬于客觀、靜態存在的問題；信息則系基于特定目標的，對數據加以整理，甚至建立檔案，性質上屬于主觀且需要經動態數據處理的問題。筆者認為，網絡法中的“個人數據”與“個人信息”有所不同，前者是附著在電子信息系統載體的客觀事物記錄，是未經過處理的個人原始記錄，其不能脫離電子信息系統載體而獨立存在，如個人體檢在醫院電子信息系統留下的原始記錄；后者是指數據經過加工處理后，形成的具有使用價值的內容——信息，可以脫離電子信息載體而獨立存在，如個人體檢的電子數據經過醫生的分析和系統的處理，形成的具有使用價值的體檢報告，其存在的形式可以使電子狀態，也可以是紙質狀態。由此可以得出：個人信息＝個人數據＋分析處理。

　　個人信息保護立法的目的，在于保護具有使用價值的個人信息，而不是所有的個人數據。因此，我國《網絡安全法》采用了“個人信息”的表述，并在《網絡安全法》第七十六條（四）、（五）對“網絡數據”和“個人信息”的含義進行了文意解釋：“網絡數據，是指通過網絡收集、存儲、傳輸、處理和產生的各種電子數據”；“個人信息，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。”

　　我國政府歷來重視個人信息的保護，并通過相關立法予以規制。1982年，《憲法》明確規定：“中華人民共和國公民的通信自由和通信秘密受法律的保護，除因國家安全或者追究刑事犯罪的需要，由公安機關或檢察機關依照法律規定的程序對通信進行檢查外，任何組織或者個人不得以任何理由侵犯公民的通信自由和通信秘密”；1997年12月16日公安部發布的《計算機信息網絡國際聯網安全保護管理辦法》要求，相關人不得利用通信設施侵犯公民的通信自由和通信秘密；2009年，刑法修正案（七）規定，國家機關或者金融、電信、交通、教育、醫療等單位的工作人員，違反國家規定，將本單位在履行職責或者提供服務過程中獲得的公民個人信息，出售或者非法提供給他人，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；2012年，新修訂《居民身份證法》中，對國家機關、金融教育等特定機構泄露居民身份證上記載的個人信息的行為有規定了相應的處罰；2012年，《全國人民代表大會常務委員會關于加強網絡信息保護的決定》要求，任何組織和個人不得竊取或者以其他非法方式獲取公民個人電子信息，不得出售或者非法向他人提供公民個人電子信息；2013年，新修訂的《消費者權益保護法》明確要求，經營者收集、使用消費者個人信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經消費者同意。經營者收集、使用消費者個人信息，應當公開其收集、使用規則，不得違反法律、法規的規定和雙方的約定收集、使用信息；2014年，《最高人民法院關于審理利用信息網絡侵害人身權益民事糾紛案件適用法律若干問題的規定》明確了利用信息網絡侵害人身權益民事糾紛案件的類型，主要包括：利用信息網絡侵害他人姓名權、名稱權、名譽權、榮譽權、肖像權、隱私權等人身權益引起的糾紛案件；2015年，工信部出臺《電信和互聯網用戶個人信息保護規定》，從規章的層面對電信業務經營者及互聯網信息服務提供者的個人信息保護責任作了出了相關規定，明確要求“未經用戶同意，電信業務經營者、互聯網信息服務提供者不得收集、使用用戶個人信息”；2015年，刑法修正案（九）對“出售、非法提供公民個人信息罪”和“竊取、非法獲取公民個人信息罪”進行了修改完善，擴大了犯罪主體的范圍，并增加規定出售或者非法提供公民個人信息的犯罪；2016年，最高人民法院、最高人民檢察院、公安部聯合發布的《關于辦理電信網絡詐騙等刑事案件適用法律若干問題的意見》指出，向他人出售或者提供公民個人信息，竊取或者以其他方法非法獲取公民個人信息，符合刑法第二百五十三條之一規定的，以侵犯公民個人信息罪追究刑事責任,使用非法獲取的公民個人信息，同時實施電信網絡詐騙犯罪行為，將實行“數罪并罰”；2016年，全國人大常委會公布的《民法總則》（草案）二審稿也明確了“公民個人信息受法律保護，強調任何組織和個人不得非法收集、利用、加工、傳輸個人信息，不得非法提供、公開或出售個人信息。”

　　近十幾年，我國侵犯個人信息的違法犯罪案件逐年增加，據中國互聯網協會發布的《2016中國網民權益保護調查報告》顯示，84%的網民曾親身感受到由于個人信息泄露帶來的不良影響。雖然上述法律、法規、規章和司法解釋對保護我國公民的個人信息，打擊侵犯個人信息的違法犯罪行為起到了一定的遏制作用，但仍然缺乏系統性、規范性和全局性，無法應對司法實踐中日益出現的各類新型侵犯個人信息和隱私的違法犯罪行為。為此，出臺專門的《個人信息保護法》呼聲日益強烈。在這樣的背景下，為保護公民個人信息安全，防止公民個人信息被竊取、泄露和非法使用，依法保障公民個人網絡信息有序安全的流動，《網絡安全法》第四章在全國人大常委會《關于加強網絡信息保護的決定》的基礎上用較大的篇幅專章規定了公民個人信息保護的基本法律制度，尤其突出了網絡運營商對個人信息保護的責任與義務，具有四大亮點：

　　1.收集和使用公民個人信息必須遵循合法、正當、必要原則，且目的必須明確并經用戶的知情同意。《網絡安全法》第四十一條規定，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。網絡運營者不得收集與其提供的服務無關的個人信息，不得違反法律、行政法規的規定和雙方的約定收集、使用個人信息，并應當依照法律、行政法規的規定和與用戶的約定，處理其保存的個人信息。上述條款應當重點關注四個方面：

　　一是本條規制的網絡運營者包括兩大類，第一大類是電信業務經營者，其中包括三類經營者：基礎電信業務經營者、增值電信業務經營者和虛擬電信業務經營者；第二大類是互聯網信息服務提供者，該類主體又分為兩類，一類是經營性互聯網信息服務，是指通過互聯網向上網用戶有償提供信息或者網頁制作等服務活動；另一類是非經營性互聯網信息服務，是指通過互聯網向上網用戶無償提供具有公開性、共享性信息的服務活動；

　　二是網絡運營者，無論是經營性或非經營性，收集、使用個人信息時，應遵循“合法、正當、必要”原則，并在其經營或者服務的場所和網站公開其收集和使用個人信息的規則，該規則包括但不限于使用信息的目的、方式和范圍等；三是網絡經營者收集和使用用戶的個人信息，應當以邀約和承諾的方式與個人訂立合同，如果是網絡運營商單方面發布的電子格式合同，合同的擬定者必須遵循公平原則，不得利用網絡運營者的優勢地侵害公民個人的信息權利；

　　四是網絡運營者收集和使用公民個人信息應當符合兩條件，第一是依法，這里的“法”主要指兩類：法律或行政法規，第二是收集和使用公民人信息，應當依據與公民個人訂立的合同，同時該信息必須與網絡運營者從事經營的服務相關聯，比如電信運營商在依法進行實名制登記時，依法對公民個人身份信息的收集，如姓名、性別、年齡、家庭住址、電話號碼等身份信息，如果電信運營商要求收集和處理公民個人的健康和基因信息，就違反了“合法、正當、必要”原則。

　　2.泄露、損壞、丟失個人信息的告知和報告制度。《網絡安全法》第四十二條規定，網絡運營者不得泄露、篡改、毀損其收集的個人信息；未經被收集者同意，不得向他人提供個人信息。但是，經過處理無法識別特定個人且不能復原的除外。網絡運營者應當采取技術措施和其他必要措施，確保其收集的個人信息安全，防止信息泄露、毀損、丟失。在發生或者可能發生個人信息泄露、毀損、丟失的情況時，應當立即采取補救措施，按照規定及時告知用戶并向有關主管部門報告。

　　該條為網絡運營者設定了兩項禁止性規定，一是不得泄露、篡改、毀損其收集的個人信息；二是未經被收集者同意，不得向他人提供個人信息。更重要的是確定了，發生或者可能發生個人信息泄露、毀損、丟失的情況下應當采取的補救、告知和報告制度。這兩項禁止性規定對網絡經營者而言會產生兩項巨大的成本，一是聲譽的損害，二是財務的損失，因此網絡運營者必須采取“事先防范、事中控制和事后救濟”三位一體的防護措施，關鍵是“事先防范”措施，確保不發生用戶個人信息大面積泄露的事件。

　　3.個人對其信息的刪除權和更正權制度。《網絡安全法》第四十三條規定，個人發現網絡運營者違反法律、行政法規的規定或者雙方的約定收集、使用其個人信息的，有權要求網絡運營者刪除其個人信息；發現網絡運營者收集、存儲的其個人信息有錯誤的，有權要求網絡運營者予以更正。網絡運營者應當采取措施予以刪除或者更正。

　　筆者認為，我國《網絡安全法》中的“刪除權”實質上就類似于歐盟個人數據立法中表述的“被遺忘權”（right to oblivion）。2016年4月14日，歐洲議會投票通過了商討了四年的《一般數據保護條例》。在這部堪稱史上最嚴格的數據保護條例中，歐盟對個人信息保護及其監管達到了前所未有的高度，其中第17條第1款規定，被遺忘權和信息數據刪除權指的是信息數據主體享有網絡服務提供者處理與其相關的個人信息和避免這些個人信息進行傳播的權利。（參見：EU General Data Protection Regulation）

　　我國《網絡安全法》規定的公民對其信息的刪除權請求權主要有兩種情形，一是當事人發現網絡運營商違反法律、行政法規或違反雙方的約定收集和使用其信息；二是網絡運營商所收集的個人信息的特定目的已經消滅或雙方約定的期限已經屆滿，在這兩種情形下，當事人均有權要求網絡運營商刪除和停止使用其個人信息。公民對其錯誤信息的更正權是指，當事人發現網絡運營商收集、存儲的其個人信息有錯誤或者有缺失的，有權要求其補充或更正。

　　《網絡安全法》要求網絡運營者必須建立相應的網絡信息安全投訴和舉報制度，并公布投訴、舉報方式等信息，及時受理并處理有關網絡信息安全的投訴和舉報。考慮到網絡運營商主動刪除或更正其違法和違約收集個人信息或主動糾正個人的錯誤信息具有一定的成本，對此《網絡安全法》規定的“刪除權”或“更正權”制度基本上采用了“避風港”規則，即在網絡運營商被通知前提下的“刪除”或“更正”——“通知-刪除或更正”，這是《網絡安全法》對網絡運營商的一種寬容和保護，目的是為我國互聯網產業的發展提供一個寬松的 “避風港”環境，從而促進我國網信事業的健康快速發展。

　　4.網絡安全監督管理機構及其工作人員對公民個人信息、隱私和商業秘密的保密制度。《網絡安全法》第四十五條規定，依法負有網絡安全監督管理職責的部門及其工作人員，對在履行職責中知悉的個人信息、隱私和商業秘密嚴格保密，不得泄露、出售或者非法向他人提供。該條重點強調了對個人信息私權的保護。

　　從法律屬性看，公民個人信息的保護應當嚴格區分“個人信息權”與“個人隱私權”。王利明教授認為，個人信息權和隱私權都是人格權，但兩者之間仍然存在區別。隱私權是一種精神性的人格權，而個人信息權在性質上屬于一種集人格利益與財產利益于一體的綜合性權利。從精神性人格權的屬性研究，“隱私”是與公共利益、群眾利益無關的，為當事人不愿意他人知道或他人不便知道的私人信息，當事人不愿意他人干涉或他人不便干涉的私人活動，當事人不愿意他人侵入或他人不便侵入的私人空間。

　　長期以來，我國的民事立法上一直沒有把隱私權作為一項獨立的基本的公民權利來加以直接保護，將公民隱私權歸入名譽權中進行間接保護，因此導致我國公民個人隱私權的保護一直未能得到有效重視。事實上，名譽權與隱私權是兩種完全不同的概念,兩項權利應該是并列關系而不是包含關系。筆者認為，當前和未來一段時期我國個人信息安全保護邊界的基本要義是在確保基本個人人格權和隱私權不受非法侵害的基礎上，促進個人信息資源在“合法、正當、必要”法定原則的基礎上進行合情、合理、合法的開發和利用。

　　　　作者：王春暉