(電子商務(wù)研究中心訊) 消費(fèi)者個人信息對于傳統(tǒng)營銷模式向精準(zhǔn)營銷的轉(zhuǎn)變具有決定性作用，這也決定了消費(fèi)者個人信息非凡的商業(yè)價(jià)值。然而當(dāng)前我國電子商務(wù)環(huán)境下個人信息的收集與使用存在大量安全隱患，消費(fèi)者在強(qiáng)大的網(wǎng)絡(luò)技術(shù)面前顯得毫無隱私可言，這就需要不斷完善我國網(wǎng)絡(luò)環(huán)境下的個人信息保護(hù)的法律制度，維護(hù)網(wǎng)絡(luò)消費(fèi)者合法權(quán)益，保障電子商務(wù)產(chǎn)業(yè)的健康發(fā)展。
〔關(guān)鍵詞〕網(wǎng)絡(luò)安全；電子商務(wù)；個人信息保護(hù)
一、問題的提出
隨著電子商務(wù)的飛速發(fā)展，一場席卷全球的商業(yè)革命正深刻影響每個人的生活。越來越快的生活節(jié)奏使人們無法擠出大量的時間到實(shí)體店貨比三家，而是坐在電腦桌前，甚至是在手機(jī)上就可以從海量的信息中選出物美價(jià)廉的商品。然而，當(dāng)前電子商務(wù)不可阻擋的發(fā)展?jié)摿υ庥隽艘粋€顯著的障礙，即如何賦予經(jīng)營者及消費(fèi)者充分的安全感。我國已經(jīng)頒布的電子簽名法解決了發(fā)展電子商務(wù)的身份認(rèn)證問題，但個人信息泄露和非法使用對網(wǎng)絡(luò)用戶造成的困擾日趨加劇。自2011年以來，先后發(fā)生淘寶、京東商城、當(dāng)當(dāng)網(wǎng)、美團(tuán)等購物網(wǎng)站用戶賬號被盜、余額被竊事件，從而引發(fā)了全社會關(guān)于電子商務(wù)環(huán)境下個人信息安全的恐慌。2014年新修訂的《消費(fèi)者權(quán)益保護(hù)法》第29條規(guī)定了經(jīng)營者收集消費(fèi)者個人信息應(yīng)當(dāng)遵守的基本原則以及具體條件，該條規(guī)定對于保障消費(fèi)者個人信息安全具有重要的法律意義，然而該條法律規(guī)定的相對比較原則，且是針對一般的消費(fèi)行為，對電子商務(wù)環(huán)境下的個人信息保護(hù)的特殊性未加以特別的觀照，因而需要對相關(guān)條款進(jìn)一步加以細(xì)化以增強(qiáng)法律的操作性與針對性。
二、電子商務(wù)環(huán)境下個人信息安全危機(jī)的表現(xiàn)形式
個人信息是指一切可以識別本人的信息的總和，這些信息包括了一個人的生理的、心理的、智力的、個體的、社會的、經(jīng)濟(jì)的、文化的、家庭的等等各個方面。從屬性上來看，個人信息屬于人格利益。根據(jù)大陸法系人格權(quán)理論，凡是與人格形成與發(fā)展有關(guān)的情事都屬于人格權(quán)的客體。個人信息所體現(xiàn)的是公民的人格利益，個人信息的收集、處理或利用直接關(guān)系到個人信息主體的人格尊嚴(yán)。
(一)個人信息收集過程中的安全危機(jī)
個人信息的非法收集是電子商務(wù)環(huán)境下個人信息安全危機(jī)的首要表現(xiàn)形式。電子商務(wù)環(huán)境下收集的個人信息一般包括三種類別：(1)消費(fèi)者個人的基本信息。這些信息包括姓名、性別、電話號碼、出生日期、身份證號、家庭住址、電子郵箱地址，在完成交易支付的過程中，還涉及到消費(fèi)者的銀行賬號、交易密碼等重要的財(cái)務(wù)信息；(2)消費(fèi)者網(wǎng)絡(luò)活動信息。這些信息主要是消費(fèi)者在網(wǎng)絡(luò)交易過程中所瀏覽過的網(wǎng)頁，關(guān)注過的產(chǎn)品，作出的產(chǎn)品評論，發(fā)布的有關(guān)信息等等內(nèi)容，通過對這些信息的追蹤與分析，可以準(zhǔn)確地判斷出網(wǎng)民的消費(fèi)傾向、購買習(xí)慣、個人喜好等信息，從而成為商家下一步實(shí)施精準(zhǔn)營銷的基礎(chǔ)數(shù)據(jù)；(3)消費(fèi)者儲存的個人信息。這類信息包括網(wǎng)民在個人電腦硬盤、移動儲存設(shè)備上面存儲的信息，也包括在電子郵箱、網(wǎng)絡(luò)硬盤等虛擬空間中存儲的各類信息。無論是以何種方式存儲，消費(fèi)者的個人信息均有可能包含極度隱私的內(nèi)容，例如個人日記或者視頻等。
不少網(wǎng)絡(luò)經(jīng)營者與機(jī)構(gòu)熱衷于從商業(yè)利用角度收集消費(fèi)者的各方面?zhèn)€人信息，具體辦法是利用具有跟蹤功能的Cookies程序，跟蹤并測定消費(fèi)者的網(wǎng)絡(luò)操作記錄，收集消費(fèi)者網(wǎng)絡(luò)活動信息。Cookies是網(wǎng)站服務(wù)器(Web server)儲存在使用者瀏覽器中的一小段信息。Cookies的主要功能在于使瀏覽器記錄下這些特定的信息，方便網(wǎng)站服務(wù)器未來使用，具有記錄用戶瀏覽時間、瀏覽網(wǎng)頁、電子郵件地址以及電子購物記錄等多種跟蹤功能。一些網(wǎng)店和商家還常常通過提供免費(fèi)產(chǎn)品從而達(dá)到收集消費(fèi)者個人信息的目的，這些免費(fèi)產(chǎn)品包括主機(jī)服務(wù)、免費(fèi)的博客或者個人主頁以及提供獎品。消費(fèi)者為了獲得這些免費(fèi)產(chǎn)品，需要向商家提供姓名、郵箱地址、聯(lián)系電話、家庭住址等屬于隱私范疇的個人信息。
除了網(wǎng)絡(luò)經(jīng)營者收集消費(fèi)者個人信息之外，一些網(wǎng)絡(luò)黑客還可以通過技術(shù)手段惡意非法入侵計(jì)算機(jī)系統(tǒng)，來獲取個人數(shù)據(jù)信息。常見的惡意攻擊技術(shù)手段包括監(jiān)聽與口令攻擊、網(wǎng)絡(luò)欺騙攻擊、WWW攻擊、木馬攻擊、緩沖區(qū)溢出攻擊、使用核心級別的rootkits攻擊、端口攻擊、“嗅探式”后門攻擊、狀態(tài)操作攻擊、SQL代碼嵌入攻擊等方式，可謂五花八門。但并非所有的方式均可以輕而易舉地竊取個人信息，也取決于電商企業(yè)的網(wǎng)絡(luò)安全系統(tǒng)的可靠性。然而當(dāng)前大多電商企業(yè)的安全保障系統(tǒng)安保級別較低，往往數(shù)據(jù)庫缺乏嚴(yán)密的加密過程，起不到有效的保護(hù)作用，甚至有些網(wǎng)站完全未采取任何技術(shù)防范措施，將用戶的隱私信息完全暴露在網(wǎng)絡(luò)環(huán)境之下，電商網(wǎng)站的后臺通常也沒有對訪問權(quán)限進(jìn)行嚴(yán)格限制，對數(shù)據(jù)庫信息訪問、調(diào)取和管理制度比較寬松。這些情況給了網(wǎng)絡(luò)黑客大量的可乘之機(jī)，從而導(dǎo)致數(shù)據(jù)系統(tǒng)被入侵的幾率大大增加。
(二)個人信息使用過程中的安全危機(jī)
電子商務(wù)環(huán)境下個人信息使用中的違法行為主要體現(xiàn)為以下三種形式：
第一，網(wǎng)絡(luò)經(jīng)營者通過對掌握的消費(fèi)者個人數(shù)據(jù)進(jìn)行深度二次加工之后再次使用。個人信息的二次開發(fā)利用是指，網(wǎng)絡(luò)經(jīng)營者利用自身掌握的個人信息建立起綜合的數(shù)據(jù)庫，然后經(jīng)過對數(shù)據(jù)的加工、挖掘從中分析出一些個人并未透露且具有商業(yè)價(jià)值的信息，從而引導(dǎo)企業(yè)的營銷策略。對個人信息的二次加工有利于提高營銷效率、節(jié)約成本，是網(wǎng)絡(luò)經(jīng)營者運(yùn)用信息技術(shù)變革營銷方式的重大創(chuàng)新，但目前我國對個人數(shù)據(jù)二次開發(fā)利用行為缺乏指導(dǎo)規(guī)范，行為合法性的邊界較為模糊，未經(jīng)消費(fèi)者本人許可的個人信息二次加工使用容易引發(fā)侵權(quán)糾紛，從而妨礙該技術(shù)的推廣應(yīng)用。
第二，網(wǎng)絡(luò)經(jīng)營者向其他企業(yè)出售或者交換消費(fèi)者個人信息與消費(fèi)記錄。有業(yè)務(wù)往來的公司為了互利共贏，常常在未經(jīng)消費(fèi)者同意的情況下直接銷售或者互相交換雙方所掌握的消費(fèi)者個人信息，交易對象往往是同行業(yè)從事電商的企業(yè)或者廣告公司。
第三，一些網(wǎng)絡(luò)信息中介公司專門從事消費(fèi)者個人信息的收集與分析服務(wù)。信息中介公司通過廣泛收集消費(fèi)者信息并向第三方提供詳細(xì)資料以賺取高額利潤。信息中介公司通過廣泛的信息搜索渠道，精確掌握特定消費(fèi)者的詳細(xì)信息，使購買這些信息的企業(yè)在激烈的市場競爭中占盡先機(jī)。然而網(wǎng)絡(luò)信息中介公司交易消費(fèi)者個人信息的行為往往未經(jīng)消費(fèi)者本人同意，涉嫌侵犯消費(fèi)者個人信息權(quán)。
不加限制的個人信息收集與使用行為容易引發(fā)網(wǎng)絡(luò)用戶的個人信息與隱私數(shù)據(jù)無限擴(kuò)散，從而嚴(yán)重影響消費(fèi)者的正常生活，因而必須通過法律對其加以調(diào)整和規(guī)范。
三、個人信息法律保護(hù)立法的國際比較——以美國、歐盟為對象
(一)美國個人信息保護(hù)立法考察
美國針對個人信息保護(hù)采取了法律保護(hù)與行業(yè)自律相互結(jié)合的方式。美國聯(lián)邦層面目前尚未制定專門針對網(wǎng)絡(luò)消費(fèi)者隱私權(quán)保護(hù)的一般性立法，僅針對特定對象頒布了一些法令，例如針對不滿十三歲的兒童頒布了《兒童在線隱私保護(hù)法案》。美國政府較早就意識到了電子商務(wù)環(huán)境下個人信息保護(hù)的重要性，并于1997年發(fā)布了《全球電子商務(wù)政策框架》。該報(bào)告針對電子商務(wù)迅猛發(fā)展以及網(wǎng)絡(luò)環(huán)境下消費(fèi)者個人信息安全岌岌可危的態(tài)勢，特別強(qiáng)化了私營企業(yè)在網(wǎng)絡(luò)環(huán)境下對個人信息的保護(hù)力度。該框架中提出了兩項(xiàng)保護(hù)網(wǎng)絡(luò)隱私權(quán)的重要的基本原則：(1)告知原則：網(wǎng)絡(luò)經(jīng)營者在收集公民個人信息時，應(yīng)當(dāng)向公民說明信息收集的相關(guān)情況。數(shù)據(jù)收集者披露信息的目的是鼓勵人們用市場方式來解除對個人隱私的擔(dān)心，因?yàn)榕缎畔⒖墒箓€人能夠知曉為什么要收集信息，信息將用于何處，保護(hù)這些信息的措施是什么，提供或不提供這些信息的后果以及可能擁有的任何補(bǔ)償權(quán)。這樣披露信息能使消費(fèi)者更好地判斷個人隱私的保護(hù)水準(zhǔn)以及是否愿意參與。(2)選擇權(quán)原則：公民對與自己相關(guān)的個人信息的使用目的、方式等有完全的自主決定權(quán)。根據(jù)個人隱私原則，消費(fèi)者在由于不當(dāng)使用或披露個人信息，或由于提供了不準(zhǔn)確、過時的、不完整的或無關(guān)的個人信息而受到傷害時有權(quán)要求賠償。
然而《全球電子商務(wù)框架》對消費(fèi)者個人信息保護(hù)的規(guī)定非常原則，難以滿足現(xiàn)實(shí)需要，以至于有學(xué)者認(rèn)為該法“錯失了一次明確消費(fèi)者網(wǎng)絡(luò)隱私權(quán)保障的重要機(jī)會”。2010年12月，美國聯(lián)邦貿(mào)易委員會公布了《急速改變時代中的消費(fèi)者隱私保護(hù)報(bào)告》，提出了消費(fèi)者隱私權(quán)保護(hù)制度框架，特別提出了為消費(fèi)者和電子商務(wù)企業(yè)提供簡單易行的保護(hù)機(jī)制，明確規(guī)定了消費(fèi)者信息選擇權(quán)的內(nèi)容與行使方式，特別強(qiáng)調(diào)消費(fèi)者信息保護(hù)透明度要求，并公布了“禁止追蹤”(Do-not-Track)計(jì)劃，以保護(hù)消費(fèi)者網(wǎng)絡(luò)信息不受侵犯。為了彌補(bǔ)聯(lián)邦層面的立法缺失，美國一些州紛紛開始制定網(wǎng)絡(luò)交易中消費(fèi)者個人信息保護(hù)的法律規(guī)范。2011年，賓夕法尼亞州眾議院通過一項(xiàng)決議，指出美國聯(lián)邦層面缺乏消費(fèi)者隱私保護(hù)立法易造成嚴(yán)重的社會后果，主張聯(lián)邦應(yīng)當(dāng)及盡快通過新的消費(fèi)者隱私權(quán)保護(hù)法，并建議聯(lián)邦立法應(yīng)當(dāng)遵循“簡單，靈活，有效執(zhí)行和減少損害”的立法原則。同時，賓夕法尼亞州眾議院認(rèn)為聯(lián)邦貿(mào)易委員會長期從事網(wǎng)絡(luò)民事糾紛處理，積累了大量經(jīng)驗(yàn)，因此建議由聯(lián)邦貿(mào)易委員會負(fù)責(zé)網(wǎng)絡(luò)消費(fèi)者隱私權(quán)保護(hù)的實(shí)施工作，還建議對消費(fèi)者隱私信息進(jìn)行分類并對消費(fèi)者因電子商務(wù)企業(yè)侵權(quán)行為所受損失的救濟(jì)方式進(jìn)行統(tǒng)一。
為了回應(yīng)各州以及聯(lián)邦貿(mào)易委員會的訴求，奧巴馬政府于2012年2月23日公布了《全球數(shù)字經(jīng)濟(jì)下隱私保護(hù)的創(chuàng)新推動的框架》，重點(diǎn)闡明了政府?dāng)M敦促國會通過消費(fèi)者在線隱私保護(hù)法案并將大力推進(jìn)電子商務(wù)環(huán)境下消費(fèi)者個人信息保護(hù)制度實(shí)施的立場。雖然該框架并非最終的立法，但是可以預(yù)見美國有關(guān)消費(fèi)者在線隱私保護(hù)法案的制定與頒布將不再遙遠(yuǎn)。
除了法律保護(hù)之外，美國針對網(wǎng)絡(luò)交易中消費(fèi)者個人信息保護(hù)的行業(yè)自律模式也一向?yàn)楦鲊Q道。具體而言，美國電子商務(wù)行業(yè)主要采用三種方式保護(hù)消費(fèi)者個人數(shù)據(jù)：一是通過非強(qiáng)制性的商業(yè)指引，為電子商務(wù)企業(yè)保護(hù)消費(fèi)者個人信息提供示范性指導(dǎo)；二是利用技術(shù)保護(hù)，有代表性的是互聯(lián)網(wǎng)協(xié)會提出的個人隱私偏好性平臺技術(shù)(P3P)；三是網(wǎng)絡(luò)隱私認(rèn)證機(jī)制，例如TRUSTe、BBBONLine、Web Trust等。上述三種行業(yè)自律模式與有關(guān)個人信息保護(hù)的立法共同構(gòu)成了美國富有特色的網(wǎng)絡(luò)消費(fèi)者個人信息保護(hù)制度體系。
(二)歐盟個人信息保護(hù)立法考察
歐盟個人信息保護(hù)法律體系是由一系列的指令、原則、準(zhǔn)則、指南等法律文件組成的。歐盟有關(guān)個人信息保護(hù)立法的理論基礎(chǔ)是源遠(yuǎn)流長的人格權(quán)理論，這也與歐洲悠久的民事法律傳統(tǒng)十分契合。
1.1995年《關(guān)于涉及個人數(shù)據(jù)處理的個人保護(hù)及此類數(shù)據(jù)自由流動的指令》
歐洲議會和歐盟理事會于1995年10月24日發(fā)布了《關(guān)于涉及個人數(shù)據(jù)處理的個人保護(hù)以及此類數(shù)據(jù)自由流動的指令》(95/46/EC)，簡稱《個人數(shù)據(jù)保護(hù)指令》，并于1998年正式生效?！秱€人數(shù)據(jù)保護(hù)指令》確立了個人信息保護(hù)的基本原則。這些基本原則包括個人數(shù)據(jù)管理者的責(zé)任和義務(wù)以及個人數(shù)據(jù)主體所享有的權(quán)利兩個方面。
該指令系統(tǒng)地規(guī)定了個人資料權(quán)的內(nèi)容體系，具體包括以下方面：(1)獲取權(quán)。指令第12條規(guī)定，資料主體可以隨時免費(fèi)地獲取個人信息，并有權(quán)對信息的內(nèi)容予以確認(rèn)或者更正。(2)自主決策權(quán)。根據(jù)該指令15條，在依據(jù)一個自然人的個人信息對其工作、生活當(dāng)中的重大事項(xiàng)作出決策的情況下，應(yīng)當(dāng)賦予該自然人對他人使用其個人信息予以否決的權(quán)利。(3)拒絕使用權(quán)。個人資料主體有權(quán)就他人對其資料的收集、傳輸與使用予以拒絕，并對他人的非法使用行為有權(quán)追究法律責(zé)任。(4)獲得救濟(jì)權(quán)。該指令第23條明確規(guī)定，未經(jīng)許可或者違法使用他人個人資料的，資料權(quán)人有權(quán)主張侵權(quán)人承擔(dān)經(jīng)濟(jì)賠償?shù)让袷仑?zé)任。
按照該指令，個人數(shù)據(jù)管理者的責(zé)任和義務(wù)包括：(1)數(shù)據(jù)質(zhì)量原則。個人數(shù)據(jù)處理應(yīng)做到：a.公正、合法的收集和處理；b.基于特定、明確、合法的目的；c.個人數(shù)據(jù)的收集和處理必須充分和相關(guān)聯(lián)，且必須是適當(dāng)、相關(guān)而不過量的；d.必須完整、準(zhǔn)確，并保持最新狀態(tài)，考慮到收集或者隨后處理個人數(shù)據(jù)的目的，必須采取一切合理的措施以確保哪些不準(zhǔn)確或者不完整的數(shù)據(jù)被刪除或者更正；e.以可識別的數(shù)據(jù)主體允許的形式保存。(2)數(shù)據(jù)處理合法化原則。個人數(shù)據(jù)處理必須：a.經(jīng)個人數(shù)據(jù)主體明確同意；b.符合法定義務(wù)；c.保護(hù)個人數(shù)據(jù)主體的重大利益。(3)告知原則。個人數(shù)據(jù)收集(直接收集、間接收集)應(yīng)將相關(guān)信息告知個人數(shù)據(jù)主體，這些相關(guān)信息具體包括：a.個人數(shù)據(jù)管理者的識別；b.數(shù)據(jù)處理的目的；c.數(shù)據(jù)收集者(接收者)；d.個人數(shù)據(jù)主體不提供數(shù)據(jù)的后果；e.查詢和更正的權(quán)利。(4)特殊類型數(shù)據(jù)處理原則。除非法律另有規(guī)定，禁止處理涉及種族、政治、宗教信仰、工會會員及健康、性生活等的個人數(shù)據(jù)。
2.2013年《歐盟數(shù)據(jù)保護(hù)基本條例》
歐洲議會公民自由、司法與內(nèi)政事務(wù)委員會于2013年10月22日通過了最新的《歐盟數(shù)據(jù)保護(hù)基本條例》(Datenschutz-Grundverordnung)以回應(yīng)社會逐漸高漲的要求建立更加嚴(yán)格的數(shù)據(jù)保護(hù)制度的呼聲。該條例的最大亮點(diǎn)在于賦予數(shù)據(jù)主體在個人信息受到侵犯時，可以通過條例規(guī)定的多種途徑尋求救濟(jì)。
(1)數(shù)據(jù)主體的“刪除權(quán)”
根據(jù)歐盟數(shù)據(jù)保護(hù)基本條例的規(guī)定，數(shù)據(jù)主體可以在滿足條例規(guī)定條件的情形下要求數(shù)據(jù)控制人刪除與其有關(guān)的信息或者停止該信息進(jìn)一步傳播：(a)此信息不再有被收集或者以其他方式處理的必要；(b)數(shù)據(jù)主體不再同意其信息被處理；(c)數(shù)據(jù)主體可以在任何時候由于自身特別情況的原因提出拒絕處理其個人信息，除非該處理對于保護(hù)數(shù)據(jù)主體的基本權(quán)益至關(guān)重要，或者是履行公共利益的活動所必需的；(d)歐盟范圍內(nèi)的一個法庭或者監(jiān)督機(jī)關(guān)已經(jīng)做出了相關(guān)數(shù)據(jù)必需刪除的最終裁定；(e)相關(guān)數(shù)據(jù)被非法處理。數(shù)據(jù)主體一旦根據(jù)以上情況提出反對，數(shù)據(jù)控制者應(yīng)當(dāng)立即停止對其個人信息的使用和處理，防止損害擴(kuò)大。
(2)向?qū)ｉT監(jiān)督機(jī)關(guān)提起控訴
根據(jù)《歐盟數(shù)據(jù)保護(hù)基本條例》第六章的規(guī)定，歐盟每個成員國應(yīng)當(dāng)設(shè)立至少一個獨(dú)立的監(jiān)督機(jī)關(guān)，該機(jī)關(guān)的任務(wù)是監(jiān)督基本條例在本國內(nèi)的實(shí)施情況并為歐盟范圍內(nèi)的統(tǒng)一實(shí)施服務(wù)。根據(jù)該條例第73條的規(guī)定，在不影響其他行政救濟(jì)或者司法救濟(jì)的情況下，當(dāng)認(rèn)為對其相關(guān)的個人信息的處理沒有遵守基本條例時，數(shù)據(jù)主體有權(quán)向成員國的監(jiān)督機(jī)關(guān)提出控訴。監(jiān)督機(jī)關(guān)在接到數(shù)據(jù)主體控訴之后，有權(quán)在合理范圍內(nèi)作出調(diào)查，并應(yīng)在合理的期限內(nèi)(3個月)告知數(shù)據(jù)主體控訴的進(jìn)展與結(jié)果。
監(jiān)督機(jī)關(guān)在查明事實(shí)后，對于沒有履行基本條例規(guī)定的義務(wù)的，可以做出以下行政處罰：(a)如果是第一次且非故意違反，可以提出書面警告；(b)定期數(shù)據(jù)保護(hù)審查；(c)最高處以1億歐元或者企業(yè)每年全球營業(yè)額5%的罰金，按照數(shù)額較大的金額予以處罰。
數(shù)據(jù)主體向監(jiān)督機(jī)關(guān)提起控訴后，如果監(jiān)督機(jī)關(guān)未對數(shù)據(jù)主體的控訴作出合理保護(hù)裁決的，或者保護(hù)裁決沒有按照第52條第1款b的規(guī)定在3個月內(nèi)通知數(shù)據(jù)主體的，數(shù)據(jù)主體可以行使司法救濟(jì)權(quán)起訴監(jiān)督機(jī)關(guān)。
(3)向司法機(jī)構(gòu)提起訴訟
數(shù)據(jù)主體除了可以向監(jiān)督機(jī)構(gòu)申請救濟(jì)之外，還可以針對數(shù)據(jù)控制者向司法機(jī)構(gòu)提起訴訟。如果數(shù)據(jù)主體認(rèn)為數(shù)據(jù)控制者違反數(shù)據(jù)保護(hù)基本條例有關(guān)收集與處理個人信息方面的規(guī)定時，數(shù)據(jù)主體有權(quán)針對數(shù)據(jù)控制者提起訴訟并主張其承擔(dān)法律責(zé)任。
(三)國外個人信息保護(hù)制度之比較與啟示
通過對美國與歐盟個人信息保護(hù)制度的梳理，不難發(fā)現(xiàn)兩者具有顯著的區(qū)別：美國除了制定保護(hù)個人信息的相關(guān)立法之外，重點(diǎn)通過電子商務(wù)企業(yè)的行業(yè)自律規(guī)范網(wǎng)絡(luò)經(jīng)營者對消費(fèi)者個人信息的收集與使用行為；而歐盟則延續(xù)了大陸法系成文法的傳統(tǒng)，將數(shù)據(jù)隱私權(quán)上升到基本人權(quán)的高度，圍繞消費(fèi)者個人信息保護(hù)制定了嚴(yán)密的權(quán)利、義務(wù)、責(zé)任體系，并建立了相應(yīng)的司法與行政的救濟(jì)措施，有力保障消費(fèi)者個人信息不受侵犯。相比較而言，美國的個人信息保護(hù)制度更多地兼顧了電子商務(wù)企業(yè)的利益，為企業(yè)經(jīng)營提供了更加寬松的政策環(huán)境，而歐盟的立法機(jī)制更加傾向于消費(fèi)者權(quán)益保護(hù)，提升了電子商務(wù)經(jīng)營者的注意義務(wù)與經(jīng)營成本。
相比較而言，筆者認(rèn)為歐盟的個人信息保護(hù)制度更加值得我國吸收與借鑒。首先，我國與歐盟具有共同的大陸法系傳統(tǒng)，歐盟通過立法詳細(xì)規(guī)定消費(fèi)者的個人信息權(quán)、網(wǎng)絡(luò)經(jīng)營個人信息收集與使用的義務(wù)以及侵犯消費(fèi)者個人信息權(quán)法律責(zé)任的做法更符合我國當(dāng)前法律制度的現(xiàn)狀，相關(guān)的法律原則與具體規(guī)范更加便于我國進(jìn)行法律移植。其次，美國重點(diǎn)依靠網(wǎng)絡(luò)經(jīng)營者行業(yè)自律的方式保護(hù)消費(fèi)者個人信息的模式需要特定前提，即電子商務(wù)行業(yè)發(fā)展比較成熟且行業(yè)協(xié)會具備重要的影響力，能夠?qū)π袠I(yè)內(nèi)部的企業(yè)起到有力約束作用。我國當(dāng)前電子商務(wù)產(chǎn)業(yè)的發(fā)展仍處于不斷探索的階段，相關(guān)的制度規(guī)范尚不健全，特別是電子商務(wù)行業(yè)協(xié)會發(fā)揮的作用與美國相比仍有較大差距，因而當(dāng)前環(huán)境下借鑒美國依賴行業(yè)自律規(guī)范的條件尚不成熟。
四、我國電子商務(wù)環(huán)境下個人信息保護(hù)制度現(xiàn)狀與問題剖析
(一)我國個人信息保護(hù)立法進(jìn)路梳理
目前我國關(guān)于電子商務(wù)環(huán)境下的個人信息保護(hù)尚缺乏一部專門的法律進(jìn)行規(guī)范，相關(guān)條文散見于一些法律、法規(guī)、規(guī)章以及司法解釋中。較早規(guī)定網(wǎng)絡(luò)用戶個人信息保護(hù)的法律規(guī)范是2000年信息產(chǎn)業(yè)部頒布的《互聯(lián)網(wǎng)電子公告服務(wù)管理規(guī)定》第12條，“電子公告服務(wù)提供者應(yīng)當(dāng)對上網(wǎng)用戶的個人信息保密，未經(jīng)上網(wǎng)用戶同意不得向他人泄露”，第19條規(guī)定了侵犯他人個人信息的法律責(zé)任。2007年商務(wù)部印發(fā)的《商務(wù)部關(guān)于促進(jìn)電子商務(wù)規(guī)范發(fā)展的意見》中指出，“引導(dǎo)電子商務(wù)企業(yè)建立健全網(wǎng)絡(luò)與信息安全保障制度，采取有效的網(wǎng)站安全保障措施、企業(yè)信息保密措施和用戶信息安全措施，防范和制止利用互聯(lián)網(wǎng)盜取商業(yè)秘密和提供用戶信息給第三方以牟取利益的行為。”2014年3月15日生效的新修訂的《消費(fèi)者權(quán)益保護(hù)法》第29條規(guī)定，“經(jīng)營者收集、使用消費(fèi)者個人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)消費(fèi)者同意。經(jīng)營者收集、使用消費(fèi)者個人信息，應(yīng)當(dāng)公開其收集、使用規(guī)則，不得違反法律、法規(guī)的規(guī)定和雙方的約定收集、使用信息。經(jīng)營者及其工作人員對收集的消費(fèi)者個人信息必須嚴(yán)格保密，不得泄露、出售或者非法向他人提供。經(jīng)營者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保信息安全，防止消費(fèi)者個人信息泄露、丟失。在發(fā)生或者可能發(fā)生信息泄露、丟失的情況時，應(yīng)當(dāng)立即采取補(bǔ)救措施。經(jīng)營者未經(jīng)消費(fèi)者同意或者請求，或者消費(fèi)者明確表示拒絕的，不得向其發(fā)送商業(yè)性信息。”國家工商行政管理總局2014年制定的《網(wǎng)絡(luò)交易管理辦法》第18條有關(guān)網(wǎng)絡(luò)交易中個人信息保護(hù)的條文與《消費(fèi)者權(quán)益保護(hù)法》第29條相比除了明確針對網(wǎng)絡(luò)商品經(jīng)營者、有關(guān)服務(wù)經(jīng)營者之外，其他內(nèi)容基本一致。筆者認(rèn)為，當(dāng)前分散立法的模式已經(jīng)難以滿足個人信息保護(hù)的現(xiàn)實(shí)需要，應(yīng)當(dāng)盡快著手制定專門的個人信息保護(hù)法，進(jìn)一步加強(qiáng)電子商務(wù)領(lǐng)域個人信息保護(hù)。
(二)我國電子商務(wù)環(huán)境下個人信息保護(hù)制度問題剖析
第一，個人信息保護(hù)法律基本原則缺失。對于個人信息保護(hù)而言，基本原則至關(guān)重要。國外許多國家就個人信息保護(hù)的基本原則均做出了明確規(guī)定，甚至為數(shù)不少的國際組織立法僅規(guī)定“基本原則”，而不再規(guī)定具體規(guī)則，個人信息保護(hù)基本原則的重要性可見一斑。然而我國當(dāng)前僅在《消費(fèi)者權(quán)益保護(hù)法》中體現(xiàn)了“合法、正當(dāng)、必要的原則”，未能完全契合個人信息保護(hù)的特殊性，亟需立法加以完善。
第二，個人信息權(quán)利內(nèi)容體系不清晰。我國當(dāng)前立法中關(guān)于個人信息保護(hù)的條款大多是對個人信息收集與使用行為的規(guī)范，而對信息主體的個人信息權(quán)利內(nèi)容則較少涉及，個人信息保護(hù)缺乏權(quán)利基礎(chǔ)，非常不利于個人信息保護(hù)。
第三，個人信息保護(hù)侵權(quán)責(zé)任體系不完善?！断M(fèi)者權(quán)益保護(hù)法》第50條規(guī)定了經(jīng)營者侵犯消費(fèi)者個人信息承擔(dān)的民事責(zé)任，除了民事責(zé)任之外，應(yīng)當(dāng)進(jìn)一步加強(qiáng)網(wǎng)絡(luò)經(jīng)營者侵犯消費(fèi)者個人信息的行政責(zé)任與刑事責(zé)任，提高網(wǎng)絡(luò)經(jīng)營者侵權(quán)行為的違法成本，增強(qiáng)法律的威懾力與教育、預(yù)防作用。
五、我國電子商務(wù)環(huán)境下個人信息保護(hù)的立法對策
當(dāng)前形勢下法律對進(jìn)入網(wǎng)絡(luò)的個人信息加強(qiáng)保護(hù)，確保網(wǎng)絡(luò)用戶的經(jīng)濟(jì)等諸方面的安全，已然成為發(fā)展電子商務(wù)的前提與基礎(chǔ)，個人信息保護(hù)法成為電子商務(wù)的安全保障法，電子商務(wù)領(lǐng)域的個人信息保護(hù)也被納入電子商務(wù)法的組成部分之一。為了順應(yīng)電子商務(wù)的發(fā)展要求，筆者建議我國個人信息保護(hù)的立法完善從以下方面入手。
(一)確立個人信息保護(hù)法基本原則
個人信息保護(hù)法的基本原則分為共有原則與特有原則。共有原則是指個人信息保護(hù)的直接上位法的基本原則，具體包括意思自治原則、公平原則、誠實(shí)信用原則與比例原則。
個人信息保護(hù)法的特有原則是指共有原則之外的，僅適用于個人信息保護(hù)法的基本原則，體現(xiàn)個人信息保護(hù)法的基本價(jià)值與理念。具體而言，個人信息保護(hù)法的特有原則包括以下內(nèi)容：
1.目的明確原則。該原則是指收集個人信息的目的，必須在收集前加以確定，確定的目的必須通過一定方式明確化；發(fā)生目的變更時，變更后的目的也必須及時予以明確。確立目的明確原則的目標(biāo)在于確保信息主體和社會對個人信息處理的可預(yù)見性。
2.知情同意原則。該原則是指信息管理者在收集個人信息時，應(yīng)當(dāng)充分告知信息主體就有關(guān)個人信息被收集、處理和利用的情況進(jìn)行充分告知，并征得信息主體明確同意的原則。
3.目的限制原則。該原則是指個人信息的收集利用均限于最初確立的目的，與該目的保持一致；并應(yīng)采取公平合理的收集方式。目的限制原則是與目的明確原則緊密配合的一個原則。目的明確原則旨在要求個人信息管理者進(jìn)行個人信息處理時應(yīng)有明確目的，目的限制原則旨在確保信息管理者收集和處理個人信息應(yīng)受“明確目的”之限制。
4.信息品質(zhì)原則。該原則也稱完整正確原則，是指信息管理者應(yīng)保障個人信息在其處理目的范圍內(nèi)的完整、正確和時新。信息品質(zhì)原則的核心是完整和正確，是各國際組織和各國個人信息保護(hù)法普遍遵循的原則。
5.安全原則。該原則也稱安全保護(hù)措施原則，是指對個人信息應(yīng)采取合理的安全保護(hù)措施，以防止個人信息的丟失、非法訪問、毀損、利用、修改和泄露等為風(fēng)險(xiǎn)的發(fā)生。
6.政策公開原則。該原則也稱為公開原則，是指關(guān)于個人信息的收集、處理和利用以及相關(guān)政策應(yīng)當(dāng)公開。該原則的目的在于通過信息管理者的公開行為，使社會知悉個人信息的收集和處理情況，以實(shí)現(xiàn)對個人信息處理的監(jiān)督和控制，保障信息主體知情權(quán)的實(shí)現(xiàn)。
7.禁止泄露原則。該原則也稱保密原則，是指對信息管理者及其工作人員負(fù)有對個人信息的保密義務(wù)，嚴(yán)禁非法泄露個人信息及其內(nèi)容。對個人信息內(nèi)容的披露，只有在法定或者約定條件下才屬于合法行為。
8.保存時限原則。該原則是指為任何目的處理的個人資料都不超過該目的需要的時間而保存。
9.自由流通和合理限制原則。該原則是指應(yīng)當(dāng)在保障信息主體合法權(quán)利的基礎(chǔ)上促進(jìn)個人信息的跨國流通，但是需要對個人信息流向缺乏實(shí)質(zhì)性個人信息保護(hù)立法或者不能對個人信息給與合理保護(hù)的接收國進(jìn)行限制。
上述個人信息保護(hù)的共有原則與特有原則的重要意義在于，其構(gòu)建了電子商務(wù)環(huán)境下網(wǎng)絡(luò)經(jīng)營者的個人信息保護(hù)義務(wù)框架，明確了個人信息收集、使用行為合法抑或非法的邊界，設(shè)立了個人信息保護(hù)的“防火墻”，對電子商務(wù)的發(fā)展具有至關(guān)重要作用。
(二)構(gòu)建個人信息權(quán)利內(nèi)容體系
構(gòu)建科學(xué)、合理的個人信息權(quán)利內(nèi)容體系是保障消費(fèi)者個人信息安全的前提與基礎(chǔ)。個人信息權(quán)是一種新類型的具體人格權(quán)，其目的在于使個人能夠以自己的積極行為支配其個人信息，保護(hù)其精神人格利益。個人信息權(quán)具有非常豐富的內(nèi)容，具體包含以下方面：
第一，對信息收集與處理行為事先知情并決定是否以及如何處理個人信息的權(quán)利。電子商務(wù)環(huán)境下大量的個人信息是在本人不知情的情況下被收集的，且被收集的個人信息將作何種用途消費(fèi)者本人也不得而知，這種行為侵犯了信息主體的知情權(quán)。信息主體不僅有權(quán)知道個人信息收集主體的準(zhǔn)確信息，而且應(yīng)當(dāng)明確個人信息收集的范圍、表現(xiàn)形式，還應(yīng)有權(quán)知道被收集的個人信息將用于何種用途。信息主體有權(quán)決定是否允許經(jīng)營者收集其個人權(quán)利，決定收集個人信息的范圍以及信息被收集后的使用方式。
第二，對個人信息被他人收集與處理的相關(guān)情事進(jìn)行查詢，并對違法或不當(dāng)處理行為提出異議、主張救濟(jì)的權(quán)利。針對經(jīng)營者收集、處理個人信息的事由、方式以及期限等，信息主體有權(quán)訪問、查閱，并要求經(jīng)營者提供個人信息復(fù)制本。電子商務(wù)經(jīng)營者作為個人信息的收集者，同時負(fù)有保障消費(fèi)者個人信息安全的義務(wù)，一旦經(jīng)營者違法使用個人信息或者由于外部原因造成信息泄露，信息主體有權(quán)要求經(jīng)營者采取措施采取必要、合理措施，保障其個人信息安全。當(dāng)經(jīng)營者拒絕采取必要措施或技術(shù)手段保證個人信息安全時，信息主體有權(quán)提起訴訟主張損害賠償。
第三，請求信息處理者采取合理措施，確保個人信息正確與完整狀態(tài)的權(quán)利。電子商務(wù)環(huán)境下，雖然消費(fèi)者向經(jīng)營者提供了個人信息，但并不喪失對個人信息的控制權(quán)，可以通過合理的方式要求經(jīng)營者保存的個人信息準(zhǔn)確、完整，且有權(quán)在交易結(jié)束或者消費(fèi)者認(rèn)為必要且不影響經(jīng)營者合法利益的情況下要求經(jīng)營者刪除其個人信息。
(三)完善個人信息侵權(quán)法律責(zé)任制度
當(dāng)前電子商務(wù)環(huán)境下個人信息保護(hù)危機(jī)越發(fā)凸顯的一個重要原因在于個人信息侵權(quán)行為難以受到法律追究，從而一定程度上縱容了個人信息侵權(quán)現(xiàn)象的泛濫。為了解決該問題，需要不斷完善我國個人信息侵權(quán)民事、行政、刑事法律責(zé)任制度。
在就民事責(zé)任方面，新修訂的《消費(fèi)者權(quán)益保護(hù)法》第50條規(guī)定，“經(jīng)營者侵害消費(fèi)者的人格尊嚴(yán)、侵犯消費(fèi)者人身自由或者侵害消費(fèi)者個人信息依法得到保護(hù)的權(quán)利的，應(yīng)當(dāng)停止侵害、恢復(fù)名譽(yù)、消除影響、賠禮道歉，并賠償損失。”該條可以適用于電子商務(wù)環(huán)境下的個人信息侵權(quán)責(zé)任，但在制定我國《個人信息保護(hù)法》過程中，可以借鑒《侵權(quán)責(zé)任法》以及《消費(fèi)者權(quán)益保護(hù)法》的相關(guān)條文，對電子商務(wù)環(huán)境下的個人信息侵權(quán)責(zé)任做出專門規(guī)定。特別需要關(guān)注的是，個人信息權(quán)屬于人格權(quán)的內(nèi)容之一，因而消費(fèi)者個人信息權(quán)受到侵害時有權(quán)要求加害人承擔(dān)精神損害賠償責(zé)任。
除了民事責(zé)任之外，應(yīng)當(dāng)明確侵犯消費(fèi)者個人信息的行政責(zé)任與刑事責(zé)任。《歐盟數(shù)據(jù)保護(hù)基本條例》對違反數(shù)據(jù)保護(hù)的主體最高處以1億歐元或者企業(yè)每年全球營業(yè)額5%的罰金。我國《消費(fèi)者權(quán)益保護(hù)法》第56條規(guī)定了侵犯消費(fèi)者個人信息的行政責(zé)任，并通過記入信用檔案、向社會公布的方式增強(qiáng)對不法經(jīng)營者的震懾力，有助于個人信息得到更好的保護(hù)。但網(wǎng)絡(luò)經(jīng)營者侵犯消費(fèi)者個人信息的行為往往比較隱蔽，筆者建議借鑒歐盟建立專門監(jiān)督機(jī)構(gòu)的做法，設(shè)立專門的部門負(fù)責(zé)查辦此類案件，同時增強(qiáng)調(diào)查取證的水平，加大對違法行為的打擊力度，保障相關(guān)制度措施取得實(shí)效。
我國現(xiàn)行《刑法》第253條規(guī)定了出售或者非法提供公民個人信息情節(jié)嚴(yán)重的承擔(dān)刑事責(zé)任。該條規(guī)定自納入《刑法》以來現(xiàn)實(shí)中較少適用，主要原因在于《刑法》第253條約束的重點(diǎn)是國家機(jī)關(guān)或者金融、電信、交通、教育、醫(yī)療等單位及其工作人員等特殊主體，對于一般主體是否適用該條規(guī)定比較模糊。另外，只有在符合“情節(jié)嚴(yán)重”的條件下，才能追求行為人的刑事責(zé)任，而“情節(jié)嚴(yán)重”的標(biāo)準(zhǔn)在司法適用中不甚明確。筆者建議將第253條針對特殊主體與普通主體的刑事責(zé)任法律適用加以區(qū)分，同時對“情節(jié)嚴(yán)重”做出進(jìn)一步的解釋，便于司法適用與打擊犯罪行為。(來源：數(shù)據(jù)人；文/何培育；編選：中國電子商務(wù)研究中心)
