下载文档原格式
个人敏感信息的法律保护规范张志峰 2019年12月19日,工信部通信管理局通报了第一批侵害用户权益行为的APP名单,QQ㊁新浪体育㊁搜狐新闻㊁小米金融等41款APP存在违规收集和使用个人信息㊁不合理索取权限等诸多侵犯用户个人信息的问题㊂我国对个人信息保护主要依据‘民法总则“‘网络安全法“‘居民身份证法“‘消费者权益保护法“等相关法律法规的分散规定㊂虽对于个人信息的收集㊁处理以及使用等行为均有规定,个人信息遭到侵犯的情况仍时有发生㊂这不仅是因为我国尚无统一的个人信息保护立法,更是因为未将个人信息在法律层面区分为个人敏感信息和个人一般信息㊂一㊁研究进展:域内个人敏感信息保护的现状个人信息中有一类信息因其内容和性质一旦泄露,将给信息主体的人身或财产带来严重影响,故称之为个人敏感信息㊂对于是否应当明确将个人信息区分为个人敏感信息和个人一般信息,我国学者有不同的观点:张新宝[1]㊁齐爱民[2]㊁蒋坡[3]等学者认同此种分类保护的法律模式;以周汉华为代表的学者则认为,仅需要对高敏感的个人信息通过单行立法的方式予以保护即可㊂[4]虽然学界对个人敏感信息统一分类的立法模式有不同的建议,但至少在是否应该对高敏感度的个人信息进行保护的问题上达成了一致意见㊂目前我国高位阶法律未对个人信息进行分类保护,亦无有关个人敏感信息的明确规定㊂然而在一些行政法规㊁司法解释中存在对某些个人信息进行特殊保护的规定㊂2013年国务院发布‘征信业管理条例“第十三条规定,收集个人信息必须征得信息主体同意;第十四条则对个人的宗教信仰㊁基因㊁指纹㊁血型㊁病史等信息作出禁止处理的规定,体现了该条例对个人信息的区分保护㊂2017年发布的‘最高人民法院㊁最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释“对‘刑法“二百五十三条之一中 情节严重”的构成要件做出了详细规定,对不同种类的个人信息,分别设置 五十条” 五百条” 五千条”作为情节严重的数量条件㊂这暗示了不同种类的个人信息被侵犯后对个人的危害后果和程度不同,需要的保护力度也应予以区分㊂2012年发布的‘信息安全技术公共及商用服务信息系统个人信息保护指南“(以下简称‘个人信息保护指南“)作为我国首部关于个人信息保护的国家标准,不仅明确将个人信息分为个人敏感信息和个人一般信息,还对个人敏感信息进行定义和范围的列举㊂2017年有关个人信息保护的另一国家标准‘信息安全技术个人信息安全规范“(以下简称‘个人信息安全规范“)正式发布,‘个人信息安全规范“对个人敏感信息内涵和范围进行了更为详细的规定:将身份证件号码等个人身份信息,指纹㊁基因等个人生物识别信息,交易信息㊁银行账号在内的个人财产信息,医疗记录等健康生理信息,通信记录㊁聊天内容㊁行踪轨迹㊁住宿信息等等内容,纳入个人敏感信息范围㊂法律虽然尚未对个人敏感信息的保护加以回应,将个人敏感信息从个人信息中区分出来予以特别保护已在我国国家标准中有所体现㊂这对我国未来个人信息保护立法有着重要参考价值㊂二㊁他山之石:域外个人敏感信息法律保护探究(一)国际组织文件欧洲委员会于1981年在斯特拉斯堡通过了‘个人数据自动化处理中的个人保护公约“(简称‘108公约“)㊂‘108公约“的问世,标志着全世界范围内首部有关个人数据保护的国际公约的诞生㊂在对个人敏感信息的保护层面,‘108公约“第六条 特殊类型的数据”规定,原则上不得自动处理种族起源㊁政治观点㊁宗教或其他信仰㊁健康㊁性生活和犯罪记录相关的个人信息㊂这一规定使得该公约35成为首次界定个人敏感信息的国际公约,对个人敏感信息保护具有重要影响㊂2012年修改后的‘108公约“将基因信息㊁生物特征信息㊁工会会员资格信息纳入个人敏感信息的范围㊂1990年12月14日,联合国大会第45/95号决议通过了‘计算机个人数据档案规制指南“(以下简称‘个人数据规制指南“),第五条非歧视原则规定: 除原则六所规定的限制性例外的情况外,不应汇编可能引起非法或任意歧视的数据,包括关于种族或族裔出身㊁肤色㊁性生活㊁政治见解㊁宗教㊁哲学和其他信仰以及参加协会或工会的资料㊂”即只有在维护国家安全㊁公共秩序以及他人权利自由的必要情况下,同时具备相关法律法规作为适当保障的前提下,才能对以上个人信息进行处理㊂2004年11月,亚洲太平洋经济合作组织(简称APEC)的二十一个经济体成员的部长共同签署了‘亚太经合组织隐私框架“(简称‘APEC 隐私框架“),该框架一直作为亚太地区隐私或个人信息保护的基础性多边协议,其所确立的个人信息保护的九大基本原则,为APEC 成员国家或地区个人信息处理原则的制定提供了指导作用㊂虽然‘APEC 隐私框架“并未明确规定个人敏感信息,但在收集限制原则中首次将作为财务信息的信用卡号码和银行账户信息列入个人敏感信息的范畴,要求收集信用卡号码㊁银行账户信息或其他个人敏感信息时,应以合法公平的手段,不得以虚假方法收集上述信息㊂与前述国际公约不同的是,‘APEC 隐私框架“将信用卡号码和银行账户信息等财务信息列为个人敏感信息加以特殊保护,这一举措为亚太地区个人敏感信息的保护提供了新的思路和指引㊂(二)欧盟‘一般数据保护条例“(GDPR )2016年4月18日,欧盟议会和欧盟理事会通过‘一般数据保护条例“(简称GDPR),GDPR 在所有成员国内具有直接的法律约束力,被称为 史上最严个人数据保护法”㊂在个人敏感信息保护层面,GDPR 亦进行了革新㊂GDPR 第九条通过 特殊类型的数据处理”的规定将个人敏感信息范围予以明确㊂该条文规定,揭露种族或民族起源,政治观点,宗教信仰㊁哲学信仰,工会会员资格的数据,以识别为目的的基因数据和生物特征数据以及健康数据,性生活㊁性取向等相关数据列为个人敏感信息,原则上禁止收集和处理㊂原则上从法律层面禁止对个人敏感信息的处理,同时设置例外条件以应对特殊需要㊂这一例外条件被规定于GDPR 第九条第二款,在以下十种情况下可不受第一款规定的限制:一是数据主体明确表示同意且无禁止性规定;二是适当保护措施下行使或履行就业㊁社会保险及社会保障法领域的基本权利或义务的需要;三是数据主体丧失同意能力时,为保障其自身及他人重大利益之必要;四是安全保障措施下非营利机构出于政治㊁哲学㊁宗教及工会等合法活动处理数据之需要;五是数据主体的个人数据已明确公开;六是数据主体诉讼活动或审判机关行使司法权之必要;七是具体适当措施下为实现实质公共利益之必需;八是保障措施下基于法定或约定出于医学研究㊁医疗诊断㊁劳动评估㊁社会保障等服务之必要;九是措施保障下基于法定为实现公共卫生领域的公共利益之需要;十是存档㊁科学研究㊁历史研究或统计等实现公共利益目的之必要㊂GDPR 对个人敏感信息处理的条件作出了严格的限定,符合上述十种情况,可对个人敏感信息进行处理㊂(三)澳门特别行政区‘个人资料保护法“2005年,澳门立法会制定的‘个人资料保护法“被称为 亚太地区最强的个人资料保护法”㊂[5]澳门‘个人资料保护法“将个人资料分为三类:一般资料㊁敏感资料和与违法犯罪有关的资料㊂第七条 敏感资料的处理”将世界观,政治或宗教信仰,政治社团或工会关系,种族或民族起源,遗传信息㊁私人生活㊁健康和性生活等个人信息界定为敏感信息,原则上禁止对个人敏感信息的处理㊂(四)我国台湾地区‘个人资料保护法“我国台湾地区个人信息保护专门立法始于1995年8月制定的 电脑处理个人资料保护法”,起初的 电脑处理个人资料保护法”在内容上并无对个人敏感信息保护的规定,直至2010年4月通过的 个人资料保护法”将医疗㊁基因㊁性生活㊁健康检查及犯罪前科等个人信息,作为个人敏感信息加以特殊保护㊂2015年修改,新增病历信息,与医疗信息㊁健康检查信息并列为个人敏感信息㊂三㊁制度构建:个人敏感信息法律保护规范欧盟成员国在内的欧洲大多数国家都对个人45敏感信息作了明确规定,亚太地区澳大利亚㊁韩国㊁日本以及与我国澳门㊁台湾地区也对个人敏感信息加以特殊保护㊂将个人信息分为个人一般信息和个人敏感信息,并对后者加强保护已成为当今世界个人信息保护立法的趋势㊂注重个人敏感信息的保护本就是达到个人信息处理中的自然人保护和信息自由流通相平衡的应有之义,信息化和智能化的时代下这一议题尤为重要㊂(一)明确个人敏感信息的范围参考国际组织㊁欧盟以及我国澳门和台湾地区对个人敏感信息的规定并结合我国法律法规及规范性文件和国情,在未来个人信息保护立法中,应将如下信息列为个人敏感信息㊂1.个人财产信息㊂个人的财产信息虽无关乎人格利益,但财产信息一旦被滥用㊁非法处理或泄露极有可能会给信息主体带来财产利益上的巨大损失,由此导致的伤害后果不可小觑㊂近年来,个人财产信息泄露所引发的信息主体财产损失的情形时有发生,由此导致社会大众对财产信息的敏感度较高,因此将财产信息列为个人敏感信息不仅符合我国现阶段的国情,亦能彰显国家对公民私有财产的保护态度㊂2.个人健康生理信息㊂健康生理信息主要指信息主体因疾病治疗等产生的相关记录以及个人身体健康状况的相关信息㊂健康生理信息对信息主体的学习㊁生活㊁工作㊁家庭等方面都有影响,一旦泄露将会给信息主体带来不可预估的危害后果,极有可能因健康生理信息引发对信息主体的歧视风险㊂诸如有关艾滋病感染等高敏感度健康信息保护的必要性,在早期的‘个人信息保护法(专家建议稿)及立法研究报告“已有体现㊂如今因健康信息而导致的非法且不必要的工作歧视亦时有发生㊂我国对个人健康生理信息的重视,可见于2018年4月国务院办公厅发布的‘关于促进 互联网+医疗健康”发展的意见“,提出也应在未来个人信息保护立法中将个人健康生理信息列为个人敏感信息加以特殊保护㊂3.个人生物识别信息㊂因个人生物识别信息生而不同㊁历久不变且难以改变的特性,加之指纹处处留痕,面部时刻暴露在外,若要收集轻而易举,一旦非法处理并识别,信息主体将被迫面临严重风险㊂将生物识别信息列为个人敏感信息不仅仅是为了符合国际保护标准,更是由于其独特又强大的识别属性的必须[6],例如从面部特征能挖掘出居民身份证号码㊁金融贷款㊁家庭住址㊁消费习惯㊁征信等诸多内容㊂此外,自然人的基因信息不仅能显示该人独特的个人疾病㊁缺陷等生理或健康信息,更重要的是,基因具有解释个人的品格㊁智力等与家族或种族的相关性,一旦泄露可能导致对其个人乃至其家族的歧视㊂[7]由此可见,生物识别信息的滥用或泄露不仅可能造成信息主体财产上的巨大损失,而且也会引发人格尊严等方面的危害和歧视㊂4.性生活和性取向㊂中国古代对 性”这一话题的态度是相当保守的,受传统思想文化的影响,即便是现代社会,相对于欧美对于 性”方面较为开放的国家而言,我国仍属于内敛型的,社会大众对与性生活有关的个人信息仍较为敏感㊂即便是较为开放的西方也将性生活和性取向纳入个人敏感信息保护范围,其敏感性之于我国民众自不必多言㊂况且与性生活和性取向相关的信息是涉及信息主体极为私密的信息,已然涉及自然人的人格尊严的核心方面,一旦泄露会对信息主体人格造成巨大的伤害,进而导致更为严重后果㊂5.身份识别号码㊂自然人的姓名信息时常会有不可避免的重复现象,但居民身份证号码㊁护照号码㊁驾驶证号码㊁社保卡号码等是由特殊形式对数字和字母排列形成的独特的身份识别特性的统一编号㊂这不会重复且能够更为精准识别信息主体㊂收集㊁处理及使用身份识别号码应当特别谨慎,身份识别号码的泄露将给信息主体带来 身份盗窃”的重大风险㊂[8]不法之徒可以通过身份识别号码窃取信息主体的银行资金,甚至能够以信息主体的身份进行借贷㊁违法犯罪等㊂以身份证号码为例,身份证号码不仅可以轻易识别到信息主体的身份,甚至信息主体的房产信息㊁银行存贷款相关信息㊁基金股票账户信息㊁纳税信息㊁医疗信息㊁出行信息㊁住宿信息等敏感和非敏感信息连接起来,可以全方位展现信息主体生活,极易严重侵害个人隐私㊂[9]将身份识别号码纳入个人敏感信息,旨在通过对可识别到身份的号码高标准保护,减少信息主体因此类信息的泄露而面临人身财产受到损害的事件发生㊂55(二)确立个人敏感信息的保护机制1.以禁止处理为原则㊂欧盟㊁我国澳门和台湾地区都禁止对个人敏感信息进行处理㊂因为个人敏感信息一旦被非法处理或泄露的后果十分严重,所造成的伤害可能是信息主体难以承受的㊂因此我国也应以禁止处理个人敏感信息为原则㊂ 处理”是指对个人敏感信息的收集㊁处理㊁存储㊁传输等全部行为㊂禁止对个人敏感信息的全部处理行为是禁止处理的应有之意㊂但并非绝对的禁止处理,只有符合在法律规定的例外条件下才可以对个人敏感信息进行处理㊂2.禁止处理的例外㊂尽管域外对个人敏感信息的特别保护都是通过原则上禁止处理来实现的,但在禁止处理的同时会设定例外条件,只要符合法律所创设的条件,处理个人敏感信息是被允许的㊂一是信息主体明确同意㊂信息主体明确同意作为个人敏感信息禁止处理的例外情形是法域外的普遍做法㊂不管基于信息主体对个人敏感信息所享有的个人信息权亦或是个人信息保护权,只要信息主体明确作出同意个人敏感信息被处理的意思,且没有与之相反的禁止性规定,则个人敏感信息的处理应当是被允许的㊂需要注意的有两点, 明确同意”应当贯穿信息处理的全过程,在收集㊁处理㊁存储㊁传输等各个阶段都应征得信息主体的明确同意;应当允许信息主体随时撤回同意处理个人敏感信息的意思表示㊂二是维护重大公共利益而处理个人敏感信息应为法定例外情形㊂维护重大公共利益不仅要求维护国家安全㊁国家利益,而且还包括医疗健康㊁卫生保健㊁社会保障㊁研究统计为等基于公共利益为目的的数据处理行为㊂这并非单纯衡量个人利益与公共利益的轻重后放弃对个人敏感信息的保护㊂只是当个人利益与重大公共利益发生冲突时,优先保护大多数人的合法且重大的公共利益,只是放弃对其的特别保护,允许处理个人敏感信息㊂为社会公共利益而允许对个人敏感信息处理时,仍应遵循对个人信息处理的一般规则㊂通过收集限制原则㊁目的限制原则㊁透明度原则等个人信息处理的一般原则规制重大公共利益下个人敏感信息的处理,以期达到个人敏感信息保护和重大公共利益维护的平衡㊂2003年我国已提出要制定专门的个人信息保护法,但至今尚未落实㊂在此期间我国个人信息的保护主要靠分散的部门法㊁行政法规㊁司法解释等规范文件来实现㊂然而当今科技发展速度一日千里,尚未统一的个人信息规制原则既不利于个人信息的保护,亦阻碍有赖信息得以生存的信息产业和互联网行业的蓬勃发展㊂信息产业和互联网行业绝对不能以牺牲个人信息为代价进而发展㊂加强对个人敏感信息的保护不是为了限制信息流通,而是希望在保障个人基本权利与自由的前提下,促进信息的合法流通和利用㊂基金项目:重庆市研究生科研创新项目 个人敏感信息保护制度研究”阶段性成果(项目编号:CYB19138)㊂参考文献:[1]张新宝.从隐私到个人信息:利益再衡量的理论与制度安排[J].中国法学,2015(3):50.[2]齐爱民.信息法原论 信息法的产生与体系化[M].武汉:武汉大学出版社,2010:61.[3]蒋坡.个人数据信息的法律保护[M].北京:中国政法大学出版社,2008.[4]周汉华.个人信息保护法(专家建议稿)及立法研究报告[M].北京:法律出版社,2006:79.[5]杨翱宇.个人信息保护的特别机制研究 以澳门‘个人资料保护法“为考察样本[J].图书馆,2018(3):68.[6]张红.指纹隐私保护:公㊁私法二元维度[J].法学评论,2015(1):87.[7]刘仁忠,代薇.基因隐私的伦理和法律规范[J].自然辩证法研究,2004(9).[8]韩旭志.个人信息类型化研究[J].重庆邮电大学学报(社会科学版),2017(4):67.[9]胡文涛.我国个人敏感信息界定之构想[J].中国法学,2018(5):254.作者单位:西南政法大学民商法学院责任编辑:刘小侨65。
信息社会中个人信息的滥用与人格权侵害作者：齐爱民， QI Ai-min作者单位：重庆大学,法学院,重庆,400030刊名：重庆邮电大学学报（社会科学版）英文刊名：JOURNAL OF CHONGQING UNIVERSITY OF POSTS AND TELECOMMUNICATIONS(SOCIAL SCIENCE EDITION)年，卷(期)：2007,19(4)1.这个"自己"是很有意义的,美国人重视隐私重视的是自己的隐私,不包括别国的人,别国的人是他们科研和营销的对象;还有,美国人打着知识产权国际警察的旗号,却对保护非物质文化遗产百般刁难,理由很简单,一个爆发户没有历史,哪有文化遗产2.David Burnham The Rise of The Computer State 189(1983)3.郑成思个人信息保护立法--市场信息安全与信用制度的前提[期刊论文]-中国社会科学院研究生院学报2003(02)4.刘静怡从Cookies以及类似信息科技的使用浅论网际网路上的个人信息隐私保护问题 1997(10)5.韩捷浅析电子文件与电子档案[期刊论文]-黄河科技大学学报 2003(01)1.齐爱民.QI Ai-min论个人信息保护法的统一立法模式[期刊论文]-重庆工商大学学报(社会科学版)2009,26(4)2.韩敏论我国个人信息的法律保护[期刊论文]-科技信息2009(8)3.林赛君媒体监督:练就火眼金睛之本领[期刊论文]-现代商业2009(10)4.齐爱民.QI Ai-min个人信息保护法的宏观解读[期刊论文]-长春市委党校学报2007(4)5.齐爱民美德个人资料保护立法之比较--兼论我国个人资料保护立法的价值取向与基本立场[期刊论文]-甘肃社会科学2004(3)6.齐爱民德国个人资料保护法简论[期刊论文]-武汉大学学报(人文科学版)2004,57(4)7.刘炼.Liu Lian论网络时代隐私权及其法律保护[期刊论文]-行政与法2007(2)8.齐爱民论个人信息保护法的行政法属性[期刊论文]-长春市委党校学报2008(2)9.齐爱民.Qi Aimin美国信息隐私立法透析[期刊论文]-时代法学2005,3(2)10.王济东网络环境下个人信息法律保护研究[期刊论文]-法制与经济(中旬刊)2010(5)本文链接：/Periodical_cqydxyxb-shkx200704008.aspx。
《个人信息的民法保护研究》篇一一、引言随着信息技术的迅猛发展，个人信息在日常生活、工作、学习等各个领域中扮演着越来越重要的角色。
然而，个人信息的泄露、滥用和非法交易等问题也日益严重，给个人隐私权、财产安全等带来了巨大的威胁。
因此，个人信息的民法保护问题成为了当前社会关注的热点问题之一。
本文旨在探讨个人信息的民法保护现状、问题及未来发展方向，以期为相关立法和司法实践提供参考。
二、个人信息的定义及民法保护的重要性个人信息是指以电子或其他方式记录的能够单独或与其他信息结合识别特定自然人身份的信息。
个人信息作为公民隐私权的重要表现形式，是现代社会发展的重要基础和重要资源。
因此，对个人信息的民法保护具有极其重要的意义。
首先，保护个人信息是维护公民基本权利和尊严的体现；其次，保护个人信息有助于维护社会秩序和公共利益；最后，保护个人信息是促进信息社会健康发展的重要保障。
三、个人信息的民法保护现状及问题目前，我国在个人信息保护方面已经制定了一系列法律法规，如《网络安全法》、《个人信息保护法》等。
然而，在民法保护方面仍存在以下问题：1. 立法不够完善。
虽然我国已经出台了一些相关法律法规，但仍然存在法律条款模糊、规定不够细致等问题，导致在实际操作中难以有效保护个人信息。
2. 执法力度不够。
部分地区和个人对个人信息保护的意识不强，执法部门在处理个人信息泄露事件时往往缺乏有效的手段和措施。
3. 个人信息滥用和非法交易问题严重。
由于缺乏有效的监管和处罚机制，个人信息在互联网上被滥用和非法交易的现象屡见不鲜。
四、完善个人信息的民法保护措施针对《个人信息的民法保护研究》篇二个人信息民法保护研究一、引言随着互联网技术的快速发展和普及，个人信息在社会生活中的应用日益广泛，如互联网服务、社交媒体、金融业务等。
个人信息的广泛收集和使用在给人们带来便利的同时，也带来了严重的个人信息泄露和滥用风险。
为了保护个人信息安全，民法对于个人信息的保护做出了明确规定。
第36卷第5期2019年10月安徽工业大学学报(社会科学版)Journal o£Anhui University of Technology(Social Sciences)Vol.36,No.5October,2019doi：10.3969/j.issn.1671-9247.2019.05.010论个人信息的民法保护李翠萍（安徽大学江淮学院文法系，安徽合肥230039）摘要:我国现行《民法总则》第一百一十一条第一次使用了“个人信息”的概念,确认了个人信息受法律保护，但规定过于笼统，操作性不强，需要进一步明确和细化。
在我国民事立法中应通过明确个人信息权的概念，界定义务人的行为边界，明确个人信息权的保护方法等途径来保护个人信息权益。
关键词：民法；个人信息；权益保护中图分类号:D923文献标识码：A文章编号：1671-9247(2019)05-0034-03On Civil Law Protection of Personal InformationLI Cui-ping(Department of Liberal Arts and law,Jianghuai College of Anhui University,Heifei230039,Anhui,China)Abstract:Article111of the current General Principles of Civil Laxv in China uses the concept of M personal informa-tion"for the first time,confirming that personal information is protected by law,but the regulations are too general and the operability is not strong,which needs to be further clarified and detailed.In China?s civil legislation,the rights and interests of personal information should be protected by clarifying the concept of the personal information right,defining the behavioral boundaries of obligors,and clarifying the protection methods of the personal information right.Key words：Civil Law；personal information；rights and interests现今信息数据已成为新时代的新型财富和资源，信息数据的有效利用方便了人们的生活，促进了经济的发展和社会的进步。
《个人信息的民法保护研究》篇一一、引言随着信息技术的快速发展，个人信息已经成为了一个不可或缺的资源和重要财产。
但与此同时，个人信息也面临着诸多法律问题，其中最重要的就是其保护问题。
尤其是在当今社会中，各种信息的收集和交换变得更加容易和快速，如何在这种背景下更好地保护个人信息的合法权益，就显得尤为重要。
本文将从民法角度出发，对个人信息的保护进行研究，旨在探讨其现状、问题及未来发展趋势。
二、个人信息保护的现状（一）法律制度当前，我国已经初步建立了以《中华人民共和国网络安全法》、《个人信息保护法》等法律为核心的个人信息保护法律体系。
这些法律对于个人信息的收集、使用、存储和传输等环节都做出了明确的规定，为个人信息保护提供了法律保障。
（二）问题与挑战尽管我国在个人信息保护方面取得了一定的成绩，但仍存在一些问题和挑战。
首先，在个人信息的收集和使用过程中，一些机构和个人往往过度收集、滥用甚至泄露用户信息，严重侵犯了用户的合法权益。
其次，虽然我国已经出台了相关的法律制度，但仍然存在执法不严、监管不力等问题。
此外，随着互联网的普及和信息技术的发展，个人信息泄露和被滥用的风险也在不断增加。
三、个人信息保护的民法原则（一）合法性原则合法性原则是个人信息保护的首要原则。
个人信息的收集、使用和传输等行为必须符合法律规定，任何机构和个人不得以任何理由和方式侵犯用户的合法权益。
（二）知情同意原则知情同意原则是个人信息保护的重要原则之一。
在收集和使用个人信息时，必须事先告知用户相关信息，并征得用户的明确同意。
任何未经用户同意的行为都是违法的。
（三）目的限制原则目的限制原则要求个人信息的收集和使用必须符合明确的目的，不得超出该目的范围进行使用或传输。
同时，在处理个人信息时，应遵循最小化原则，尽量减少对用户隐私的侵犯。
四、个人信息保护的民法措施（一）完善法律制度为了更好地保护个人信息的合法权益，需要进一步完善相关的法律制度。
首先，应加大对个人信息泄露和滥用的处罚力度，提高违法成本。
【法学与法制建设】收稿日期：2015-09-28基金项目：本文系国家社科基金重大项目《国家网络空间安全法律保障机制研究》（批准号：13&ZD181）资助成果作者简介：齐爱民（1970-），河北晋州人，法学博士，教授，重庆大学法学院博士研究生导师，重庆市学术技术带头人（法学），研究方向：网络信息法与知识产权法；王基岩（1993-），天津河东人，重庆大学法学院2013级硕士研究生，研究方向：网络信息法与知识产权法。
大数据时代个人信息保护法的适用与域外效力齐爱民，王基岩（重庆大学法学院，重庆400045）摘要：个人信息保护法是调整发生在信息主体和信息处理者之间的，在个人信息收集、处理和利用等活动过程中因保护信息主体的权益而产生的社会关系的法律规范的总称。
个人信息保护法的适用方面分三个效力层次。
个人信息保护法的权利主体仅限于自然人，而义务主体包括一切处理个人信息的主体，包括民事主体和行政机关。
个人信息保护法的适用对象为得以固定和可以处理的个人信息。
各国个人信息保护立法普遍呈现出确认域外效力的倾向。
关键词：个人信息保护法；法律适用；域外效力中图分类号：D923文献标识码：A 文章编号：1002-3240（2015）11-0101-04在大数据时代，个人信息保护是大数据开发利用的基本规则。
随着大数据时代的来临，个人信息被深度秘密收集和挖掘利用。
奥巴马发出的大数据是新时代的石油的名言警句，却让互联网沦为个人信息秘密收集的巨大黑洞，在线认证、网络营销以及社会化交互等所有互联网领域，都争先恐后地秘密收集个人信息二次利用或者进行数据储备。
在大数据时代，实施个人信息收集行为的个人和主体的身份呈现出多样化与复杂化的趋势。
只要你上网，你就处在网络监控之中，个人信息就会被全部和彻底的收集。
“时刻都有大量数据产生、流动，数据已经是直接的财富和社会资源，借助数据技术的应用，可以发现新的知识、创造新的价值，实现从数据到知识、从知识到行动的跨越，公私领域对于数据利用的需求也比以往任何一个时代更为迫切”[1]。
1 论个人信息的法律保护 齐爱民 上传时间:2006-7-25
自从近代民族国家诞生，其渗入公民生活的企图就从未停止过。国家权力渗入公民生活的重要手段就是对个人信息的收集。通过对个人信息的收集和处理，“公民生活越来越成为可见的、可计算的、可预期的”[1]。从19世纪60年代开始，随着计算机及其网络在全球的进一步应用和普及，发达国家跨入信息社会。在这个阶段，社会对信息的依赖性越来越强。个人信息成为信息社会的一种重要社会资源。国家政府机构出于政策分析、弱势人群保护等行政目的，开始利用计算机等现代科技对个人信息进行大规模地自动化收集与处理。与此同时，无孔不入的商业机构为了经济利益也争先恐后地加入了这个行列。在信息社会的背景下，对个人信息的争夺，像一场没有硝烟的战争在社会各个领域悄悄蔓延。 见诸个人信息的法律问题，并不是信息社会产生的新问题，但的确是在信息社会被“放大”的社会问题。采用任何技术（无论是传统的亦或电子的技术），对个人信息的处理都有可能导致个人信息的泄露、扭曲和错误使用。“资料处理”一词源于电子资料处理领域，指广泛地从事资料（Data）和信息（Information）的处理。后来被解释为采用任何形式（人工、电子或自动化）、或对承载于任何资料媒介之上（纸面或电子等）的个人信息所为的任何目的的收集、储存、识别、复制、分类、传输、比对或其他形式的处理[2]（P511）。在信息社会，对个人信息的收集与处理大多是通过计算机等自动化设备进行，这种收集往往在个人信息所有者本人不知情并且不能控制的情形下暗中实施。收集者暗中实施收集所利用的主要工具有：System administrator（服务器系统管理机构，可以详细记录访问信息）、Cookies（跟踪软件）、New Visitor Counting（对造访者进行再度造访次数的记录软件）、Push Technology或Agent Technology（追踪与归类网络使用者特定网络兴趣或所需网络信息内容之功能的软件），Oil Change Program（记录网络使用者所使用之硬盘的详细内容的软件），Click Stream Data（记录网络使用者浏览过的网站名称的软件），等等。在资料收集与处理的每一环节，个人信息都面临被扭曲和错误使用的危险。“上述Cookies以及相关技术的运用结果，是针对网络使用者的网络形象加以“型朔”（profiling），亦即等同于透过拼凑种种有关网络使用者个人的枝微末节的方式，勾勒出网络使用者的剖面图。”[3]由此，与事实不符的个人信息以及由其构成的“使用者的剖面图”就可能对人格权造成严重的侵害。有鉴于此，各主要发达国家和地区都相继开展了个人信息保护的专门立法。由于这是一个崭新的法律领域，在个人信息的概念、性质与保护模式的确定与选择上，各国立法和学界都存在很大分歧。时至今日，关于个人信息的概念与法律性质的争论也并未平息。中国政府已经将个人信息保护问题列入立法计划（注：参见《国务院信息化工作办公室副主任刘鹤发表的讲话（二）》，http：//inews.gzic.gd.cn/web/newsdetail.asp？news.sno=131。）。在这种形势下，理论界对个人信息进行科学定性不仅仅具有法学研究上的意义，而且具有服务于国家立法的价值。“自古以来，信息的内容、信息的处理与信息的传输，一直是国家的治理者所关注的。要使一个国家安定、稳定，继而发展、繁荣，国家从立法的角度，就不能不对这三个方面进行某种程度的管理。”[4] 2
一、基本概念的争论与定位 （一）国外立法例的分歧 从世界各国立法来看，个人信息的概念称谓并不统一。个人信息的概念滥觞于1968年联合国“国际人权会议”中提出的“资料保护”（data protection），这一年被称为“资料革命”年。最早的国内个人信息保护立法是德国黑森州《个人资料保护法》（1970年），而最早的国家级个人信息保护立法则是瑞典的《资料法》（1973年）。然而，这些最早的会议和立法文件对“个人资料”的界定，并未得到普遍的承认和遵从。各国学界和立法对个人信息的认识也并不一致，最直接的表现是个人信息在各国立法上被分别冠以不同的称谓。采用“个人隐私”称谓的立法例主要有：1974年美国《隐私权法》、1981年以色列《隐私保护法》、1987年加拿大《隐私权法》、1988年澳大利亚《隐私权法》、1992年比利时《个人信息处理时保护隐私法》等；采用“个人信息”称谓的立法例主要有：1978年奥地利《信息保护法》、1984年英国《自动化处理个人信息的利用与将其提供于公务规范法》等；采用“个人资料”称谓的立法例主要有：1978年法国《资料保护法》、1981年冰岛《有关个人资料处理法》、挪威1978年《资料登录法》、1987年芬兰《资料保护法》、1988年日本《有关行政机关电子计算机自动化处理个人资料保护法》等。中国政府已经将个人信息保护问题列入立法计划。对个人信息进行科学定性不仅仅是法学研究所应解决的一个理论问题，也是立法的迫切需要。从法学的视野出发对个人信息进行科学定性是个人信息保护立法的基础。 （二）我国立法关于概念称谓的争论与选择 关于个人信息，我国学界也有不同的称谓。有学者称为“个人信息”[5]（information relating to individuals），也有学者称为“个人隐私”[6]，也有学者称为个人资料或个人数据（personal data）。“资料”、“信息”和“隐私”的区别不仅是在称谓上，而且分别有其独立的外延和内涵。首先，将个人信息的概念界定为“个人隐私”或直接使用“个人信息”，这两种称谓最大的区别在于范围上的差异。从形式逻辑出发，“个人信息”和“个人隐私”是包含关系，即个人信息包含个人隐私，个人隐私是个人信息的下位概念，是个人信息的一部分。选择“个人隐私”的立法例和观点主张法律保护个人信息是因为其涉及到个人的隐私，换句话说，法律仅保护涉及个人隐私的个人信息，而不保护不涉及个人隐私的个人信息。“个人信息”和“个人隐私”是相互区别的概念，很多个人信息并不涉及个人隐私，比如公开个人信息和琐细个人信息。法律对个人信息的保护，是对满足一定条件的全部个人信息进行全面保护，并不仅限于保护隐私利益。个人信息保护法就客体的法律要件为“识别性”，而不是隐私。因此，采用“个人隐私”这一概念失之过窄，显不足取。 在我国，对应该选择“个人资料”还是“个人信息”存有争论。从信息科学的角度看，“资料”和“数据”的英文均为“Data”，是指用有意义的、可以识别的符号对客观事物加以表示得到的符号序列，是代表人、事、时、地的一种符号序列（不以文字为限）。信息的英文是“Information”，是指资料经过处理后可以提供为人所用的内容，它的功能是使事物的不确定性减少。我国台湾将信息称为资讯。在资料与信息的区分上，一般来讲，资料侧重于客观的形式，不以资料反映的内容与人的互动关系为着眼点；信息的着眼点恰恰在于此，即其作用于人的大脑形成的认识。“无数客观事务的信息，正是通过人的眼、耳、鼻、舌、身这五个官能，‘传递’给人们，经过人们的大脑进行‘去粗取精、去伪存真’的加工，人 3
们方才认识了世界，又转过来改造世界”[7]（PP23～24）。从资料与信息的内在关系看，资料是信息的载体，信息是资料表现的内容[8]（PP13～14）。比如，“崔永元男中央电视台节目主持人”，这是一个资料或称为数据。而这个资料反映到人脑，人脑得到的内容是信息，可以表述为“崔永元是中央电视台的男性节目主持人”。不同的数据也可以表示相同的信息。如果将以上资料中的“男”替换为“M”，并给出“M”的相关资料，这时资料就变成了“崔永元M中央电视台节目主持人M=男”，但表述的信息与第一个资料是完全相同的。从这个角度理解，可以说信息是资料的内容，资料是信息的物化形式。 从个人信息和个人资料的关系上看，个人信息是个人资料所反映的内容，个人资料是个人信息的表现形式。从确定性上讲，个人资料这一概念的确定性比个人信息要好。个人信息往往因收集者的主观目的不同而有差别。在上例中，对于一个想解决“M”这个资料的信息内涵的人来说，信息只有一条：“M是代表男性的符号”。个人资料的最基本单位是资料元素，它由文字、数字和符号构成。由资料元素组成资料单位，如生日中的年、月、日构成一个资料单位。几个资料单位组成资料组，由资料组组成资料档案[9]（P27）。在个人信息保护立法的最初，使用最多的是资料、资料处理等技术性概念，而随着个人信息保护法的发展，立法越来越多地使用了个人信息这一概念用来表明对个人权利的关注[10]（PP315～318）。从这个角度看，个人信息比起个人资料来是一个更具有人文关怀的概念。而且我们也必须看到，个人信息的表现和存在方式是多种多样的，并不一定表现为个人资料，没有物化成个人资料的信息大量存在，比如一个人自然表现出的个人属性信息。因此，个人信息的范畴大于个人资料。从这个意义上出发，笔者曾经主张我国在立法上应选择个人资料这一概念[11]。然而，暂时脱离这些标准的羁绊，我们发现立法保护的目的在于个人信息，而不停留于个人资料本身。换句话说，保护个人资料的目的在于保护个人信息。在这个意义上，使用“个人信息”更能体现立法目的。而立法目的直接确定了一部法律的内容和作用，对于法律而言是至关重要的。那么，我们究竟应如何取舍？或者说，二者是不是有一个自然科学领域中绝对的对错问题呢？目前，笔者较为倾向于一种折衷的立场，在个人信息保护法领域，“个人资料”和“个人信息”应该是可以通用的概念。事实上，很多国家和国际组织在其法律文件中也是将个人资料与个人信息通用的。联合国《关于自动资料档案中个人资料的指南》（以下简称“联合国指南”）中将个人资料和个人信息等同使用。该国际文件以“个人资料”作为标题的核心概念，但在其A部分确立各国立法所应确保实行的最低基本原则时，第1条规定“合法合理原则”中使用了“个人信息（用词是information）”。该条规定：“不得用非法或者不合理的方法收集、处理个人信息，也不得以与联合国宪章的目的和原则相违背的目的利用个人信息。”英国1998年《资料保护法》，法律名称为“资料保护”（data protection），而绪言的解释为对个人信息（information relating to individuals）进行保护。 美国法直接将个人资料和个人信息相等同。美国商务部和国际贸易管理委员会2000年7月24日公布的《美国—欧盟的隐私安全港原则与常涉问题（FAQ）》中规定：“个人数据和个人信息是指在指令的覆盖范围内，关于某一确定的人的数据或用于确定某人的数据。”因此，笔者认为，个人资料和个人信息在保护法领域是可以通用的。综观个人信息保护法的发展历史，可以得出如下结论：个人信息作为一个全新的概念，实定法在采纳它的时候，并没有时间能够等待它成熟，因此无论是概念称谓的选择还是概念内涵的确定，各国立法都存
