發表于 2017-09-26 14:10
（一） 個人信息的范疇
根據《網絡安全法》的規定，個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。個人信息不僅包括可以單獨識別自然人個人身份的信息，如姓名、身份證號碼、電話號碼等，還包括與其他信息結合可以識別自然人個人身份的信息，如住址、工作單位、郵箱地址等。
是否具有“身份可識別性”是判斷信息是否屬于個人信息范疇的核心要件。隨著大數據技術的發展，“身份可識別性”的界限越發難以判斷，并且必然會隨著技術的發展而有所變化。目前我國并沒有形成統一或具體的判斷標準，因此實踐中應當根據數據所屬行業、具體的識別方法和手段合理性等因素綜合判斷。
（二） 信息主體的授權
個人信息一般來講屬于私權的范疇，在立法和司法中應充分尊重信息主體的自決權，尊重信息主體和信息收集方達成的協議安排。根據《網絡安全法》第四十一條的規定，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。網絡運營者不得收集與其提供的服務無關的個人信息，不得違反法律、行政法規的規定和雙方的約定收集、使用個人信息，并應當依照法律、行政法規的規定和與用戶的約定，處理其保存的個人信息。因此，對于屬于個人信息的數據，其收集、使用和處理都需要經過信息主體的同意，即應遵從知情同意原則。
《信息安全技術公共及商用服務信息系統個人信息保護指南》（GB/Z 28828-2012）作為我國首個個人信息保護國家指導性標準，將個人信息分為個人一般信息和個人敏感信息，并提出默許同意和明示同意的概念。對于個人一般信息的處理可以建立在默許同意的基礎上，只要個人信息主體沒有明確表示反對，便可收集和利用。對于個人敏感信息，則需要建立在明示同意的基礎上，在收集和利用之前，必須首先獲得個人信息主體明確的授權。根據標準定義，個人敏感信息指的是一旦遭到泄露或修改，會對標識的個人信息主體造成不良影響的個人信息。各行業個人敏感信息的具體內容根據接受服務的個人信息主體意愿和各自業務特點確定。個人敏感信息可以包括身份證號碼、手機號碼、種族、政治觀點、宗教信仰、基因、指紋等。個人一般信息則是指除個人敏感信息以外的個人信息。
事實上，在上訴人北京百度網訊科技有限公司與被上訴人朱燁隱私權糾紛一案的民事判決（案號：（2014）寧民終字第5028號）中，法院已經考慮到了個人信息主體授權的完整性和信息技術創新發展的平衡。法院考慮到“百度網訊公司已經明確說明cookie技術、使用cookie技術的可能性后果以及通過提供禁用按鈕向用戶提供選擇退出機制”，因此認為“朱燁在百度網訊公司已經明確告知上述事項后，仍然使用百度搜索引擎服務，應視為對百度網訊公司采用默認‘選擇同意’方式的認可”，并進而認定“……將個人信息區分為個人敏感信息和非個人敏感信息的一般個人信息而允許采用不同的知情同意模式，旨在保護個人人格尊嚴與促進技術創新之間尋求最大公約數”。
（三） 脫敏數據交易
對于收集后的信息，根據《網絡安全法》第四十條、四十二條、四十四條的規定，網絡運營者應當承擔嚴格的保密責任（包括必要的保密措施、補救措施及泄露后的通知義務），未經信息主體的同意，不得向他人提供個人信息，但是經過處理無法識別特定個人且不能復原的除外。任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息。
《網絡安全法》首次明確認可了“脫敏數據交易的合法性”，但其前提是數據經過處理后無法識別特定個人且不能復原。與個人信息的“身份可識別性”相同，目前我國并沒有統一的“不能復原”的判斷標準，因此實踐中應當根據數據所屬行業、具體的識別方法和手段合理性等因素綜合考慮。
（四） 法律責任
因個人信息收集、處理、使用產生的民事責任主要包括侵權責任和違約責任。如果包括隱私在內的個人信息未經信息主體同意而被相關企業收集、使用或處理，信息主體可以依據《侵權責任法》、《全國人民代表大會常務委員會關于加強網絡信息保護的決定》及《關于審理利用信息網絡侵害人身權益民事糾紛案件適用法律若干問題的規定》主張隱私權或個人信息侵權責任（如，北京百度網訊科技公司與朱燁隱私權糾紛案，(2014)寧民終字第5028號）。如果信息收集者/處理者是基于與信息主體的用戶協議或其他協議收集、處理、使用信息主體的信息，則違反協議約定或超出協議授權范圍的收集、處理行為同時將產生違約責任，信息主體有權選擇向信息收集者/處理者主張違約責任。
隨著《網絡安全法》的實施，非法收集、處理個人信息所產生的行政責任更加明確。根據《網絡安全法》第六十四條的規定，網絡運營者、網絡產品或者服務的提供者違反本法第四十一條至第四十三條規定，侵害個人信息依法得到保護的權利的，由有關主管部門責令改正，可以根據情節單處或者并處警告、沒收違法所得、處違法所得一倍以上十倍以下罰款，沒有違法所得的，處一百萬元以下罰款，對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款；情節嚴重的，并可以責令暫停相關業務、停業整頓、關閉網站、吊銷相關業務許可證或者吊銷營業執照。違反本法第四十四條規定，竊取或者以其他非法方式獲取、非法出售或者非法向他人提供個人信息，尚不構成犯罪的，由公安機關沒收違法所得，并處違法所得一倍以上十倍以下罰款，沒有違法所得的，處一百萬元以下罰款。
2015年11月，《刑法修正案（九）》將“出售、非法提供公民個人信息罪”和“非法獲取公民個人信息罪”整合為“侵犯公民個人信息罪”，擴大了犯罪主體和侵犯個人信息行為的范圍。于2017年6月1日起施行的《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》明確了侵犯公民個人信息罪的具體定罪量刑標準，刑事打擊侵害公民個人信息行為的力度更大。
來源：陳標紅
Copyright ?2005-2021 勤智數碼科技股份有限公司 
川公網安備 51019002003506號 蜀ICP備11012966號-7
