国际变局下，个人信息保护立法的5大迫切性

10月13日，个人信息保护法草案在全国人大常委会会议上首次亮相。出台个人信息保护法有何迫切性？世界各国又是如何加强个人信息保护的？一起来看。

9月17日晚，郑州，2020年国家网络安全宣传周特别节目“网络安全 e同守护”在河南广播电视台拉开帷幕。图为关于App个人信息保护的用户调查结果。供图/视觉中国

个人信息

个人信息，也称个人数据，是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等（《中华人民共和国民法典》第 1034 条）。

 个人信息的多元属性 

个人信息具有人格利益属性

个人信息因能借由识别特定自然人，直接或间接关涉当事人的人格尊严、人身自由等人格利益，特别是个人信息中的私密信息，属于个人隐私，更为国际社会所关注。

自1890年美国学者沃伦（Wallen）和布兰代斯（Brandeis）发表《论隐私权》以来，隐私权迅速被广泛关注和重视。当今，对隐私进行保护已成为人类文明进步的表现，标志着社会文明程度的提高。加强隐私保护，成为个人信息保护的核心内容之一。

个人信息具有财产利益属性

个人信息是对特定自然人的描述，能够揭示特定信息主体的有效需求和偏好，因而成为众多生产者和经营者追逐的对象。个人信息属于无形财产，具有有用性、稀缺性、可控性，可交换和共享，具有价值和使用价值。在数字经济中，个人数据更是不可或缺的生产要素。

个人信息具有公共利益属性

个人信息不仅具有私人属性，还可能涉及社会公共利益。显而易见的例子就是在新冠肺炎疫情防控过程中，需要借助个人信息（特别是行踪信息）进行流行病学调查、病毒溯源、社区管理等，因此，在疫情期间的个人信息就关涉社会公共利益。

个人信息具有国家主权属性

有些个人数据因其性质特殊或数量足够大，就会涉及国家主权和安全。例如，通过大型电子商务平台上汇集的海量个人交易信息，就可能分析出国家的经济发展状况和趋势，如被不当利用就可能影响国家经济主权和安全。

大型社交网站上的个人观点信息如被不当利用，则可能危及国家政治安全。正因为如此，大型的个人数据库往往是具有战略意义的重要资源，国家对这类重要数据需要行使数据主权，确保对数据的必要控制。

个人信息的上述属性，使得个人数据类似于一种自然资源的人造资源，而不是简单的权利客体。数据同传统的物与知识产权标的有极大的区别。传统法律无法完全适用于个人数据的保护和流通。

随着数字经济的快速发展，人工智能等新技术的普及应用，个人数据的重要价值日益凸显，亟须建立新的数据规则，在保障个人数据安全的同时促进经济发展。

加强个人信息保护是世界趋势 

由于个人信息涉及个人利益、社会公共利益和国家安全，各国纷纷出台立法对个人信息进行保护。目前全球已有近 100 个国家和地区制定了有关个人信息保护的法律，发达国家基本都制定了个人信息或个人数据保护法。个人信息保护专项立法已成为国际社会共同的选择。

欧盟及其成员国积极开展个人数据保护立法。欧盟认为隐私权属于基本人权，关系到人的荣誉和尊严。

《欧洲人权公约》第 8 条规定：

（1）人人有权享有使自己的私人和家庭生活、家庭和通信得到尊重的权利。

（2）公共机构不得干预上述权利的行使，但是，依照法律规定的干预以及基于在民主社会中为了国家安全、公共安全或者国家的经济福利的利益考虑，为防止混乱或者犯罪，为保护健康或者道德，为保护他人的权利与自由而有必要进行干预的，不受此限。

欧盟对个人数据以隐私权来保护，并为此以从上至下的理念和方法来制定欧盟法律，先后出台《个人数据保护指令》《一般数据保护条例》等法律，严格限制个人数据的使用和跨境流动。特别是 2016 年出台的《一般数据保护条例》取代《个人数据保护指令》，明确规定数据主体的各项权利，并对违反个人数据保护规定者予以严惩。

欧盟的立法提高了个人数据保护标准，维护欧盟数据主体权利和数据主权，在与美国就个人数据跨境流动的博弈中获得主动，并为巴西、印度等国所效仿。

考虑到各国基于不同的国情和立法理念，进行了内容不尽相同的数据保护立法，法律的不同必然会妨碍数据自由跨境流动。对此，一些国际组织也在大力推动个人隐私和个人信息保护的国际规则。

经济合作与发展组织（OECD）认为，有必要制定一套相对统一的规范，以协调各国立法，避免因各成员国国内立法不同妨碍信息的跨境流动。

1980 年，经济合作与发展组织制定《个人数据隐私保护和跨境流动指南》，并于 2013年进行修订。该指南构成经济合作与发展组织《隐私保护框架》的重要组成部分。《个人数据隐私保护和跨境流动指南》对个人信息保护提供了原则性规定。

亚太经合组织（APEC）于2011年推出跨境商业个人隐私保护规则体系。该体系旨在促进在亚太经合组织框架内实现无障碍跨境信息交换，推动参与该体系的亚太经合组织成员经济体中经营业务的公司就形成保护数据隐私的常规惯例达成一 致。

2012 年东盟（ASEAN）部长会议通过《东盟个人数据保护框架》，确立一系列个人数据保护原则，指导成员国和区域层面的数据保护实践。

总体上看，有关个人信息保护的国际公约一时难以形成，各国将重点放在建立本国个人信息保护制度上，并以国内法为基础，推动形成有利于本国的国际规则。

 国际变局下 

 出台个人信息保护法的迫切性 

我国个人信息保护立法根据发展需要持续推进。

在立法上，《中华人民共和国宪法》虽然规定了公民的人格尊严不受侵犯，公民的通信自由和通信秘密受法律保护，但民事法律长期未确立隐私权的概念。

1988 年最高人民法院在《关于贯彻执行〈中华人民共和国民法通则〉若干问题的意见（试行）》中，采取变通的方法，对隐私权以名誉权的保护方式进行间接保护，规定对侵害他人隐私权，造成名誉权损害的，认定为侵害名誉权，追究民事责任。

2009 年《中华人民共和国侵权责任法》第一次在法律层面上将隐私权确定为一项独立的民事权利。

随着人们隐私权意识的提升，对个人信息保护立法的呼声也越来越高。

2012 年，全国人大常委会出台《关于加强网络信息保护的决定》。

2016 年出台的《中华人民共和国网络安全法》对个人信息安全作了原则性规定。

此外，在刑事方面也加强了对个人信息的保护。

2009 年《中华人民共和国刑法修正案（七）》增加了“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”。

2015 年《中华人民共和国刑法修正案（九）》将“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”整合为“侵犯公民个人信息罪”，扩大了犯罪主体和侵犯个人信息行为的范围。

经过多年的认知和探索，2020年出台的《中华人民共和国民法典》在第四编第六章用 8 个条文专门对“隐私权和个人信息保护”作出较为详细的规定。

自此，我国终于形成隐私权和个人信息保护的民事立法体系。但仅凭现行的立法，尚不足以有效保护个人信息。在当前百年未有之大变局下，我国应尽快出台《个人信息保护法》。

第一，行政保护是对个人信息最有效的保护手段。

一方面，刑法主要打击严重侵犯个人信息的犯罪行为，立案标准严，保护门槛高。事实上，虽然公安司法机关加大了打击个人信息犯罪的力度，但个人信息犯罪案件仍呈快速增长态势（见图 1）。

另一方面，民事权利的自力救济面临着取证难、找被告难、维权成本高等难题，大大限制了当事人通过民事诉讼手段寻求维权和救济。

欧盟的经验表明，对个人信息保护最有效的手段是行政保护。我国有必要尽快出台专门立法构建个人信息行政保护机制，以便有效对个人信息进行保护，切实制止侵犯个人信息行为的蔓延，加强网民对互联网良性发展的信心。

第二，完善的个人信息保护制度有利于增强网络信任。

目前大量的数据是混合数据，包括个人信息和非个人信息。个人信息涉及公民个人的隐私安全和人身财产安全。在个人信息未得到充分保护情况下，人对网络的信任度会下降。

特别是进入 5G 时代后，需要在地理上分散的系统中近乎实时地共享更大量的数据，传统通信网络无法有效完成该规模的数据共享。

这客观上需要公民对 5G 网络和运营模式的更大信任。没有完善的法律保障，就难以建立起高度的信任机制。

第三，完善的个人信息保护制度有利于数据开发、利用与共享。

个人信息保护制度不健全，数据权属不清，直接妨碍了数据在不同主体间的流通和共享，从而限制了对数据的进一步开发和利用。

一些传统企业，如航空公司，本身拥有大型数据库，但其对数据的利用往往只限于本身业务的需要，囿于自身的数据挖掘技术，难以在更深更广的维度对数据进行利用。

如果将数据与他人共享或开发，则面临较大的侵犯个人信息的法律风险，最终多数企业无奈选择限制数据的对外流通或共享。

第四，完善的个人信息保护制度有助于企业参与国际竞争。

在当前面临的百年未有之大变局时期，个人信息保护成为国际贸易壁垒和地缘政治博弈的工具。一些国家违背自由市场原则和公平竞争规则，肆意以个人信息保护和国家安全为借口打压我国企业。

完善的个人信息保护立法在一定程度上有助于树立良好的保护隐私和个人信息的国际形象，为我国企业“走出去”参与国际竞争提供良好的制度环境。

第五，完善的个人信息保护立法有助于我国参与国际规则的制定。

在经济全球化、网络化、数字化的背景下，数字贸易快速增长，各国竞相出台本国的数据政策与法律，由此带来的冲突也与日俱增。

我国作为数字经济大国，具有丰富的发展实践经验，应当注重总结规律，推出中国方案，将市场优势转换为国际话语权，维护我国在数字世界中的国家主权、安全与发展利益。

（作者 谢永江）