瀏覽次數(shù):次
“網(wǎng)絡(luò)安全為人民”的實(shí)在舉措
——評(píng)《網(wǎng)絡(luò)安全法》關(guān)于個(gè)人信息保護(hù)的有關(guān)規(guī)定
近年來(lái),我國(guó)政府高度重視數(shù)據(jù)在經(jīng)濟(jì)新常態(tài)中推動(dòng)國(guó)家現(xiàn)代化建設(shè)的基礎(chǔ)性作用。中共中央辦公廳、國(guó)務(wù)院辦公廳于今年7月印發(fā)的《國(guó)家信息化發(fā)展戰(zhàn)略綱要》明確指出,“信息資源日益成為重要的生產(chǎn)要素和社會(huì)財(cái)富。”在中央政府網(wǎng)站(http://www.gov.cn)的“政策”一欄中以“大數(shù)據(jù)”為關(guān)鍵詞進(jìn)行檢索,一共返回556份國(guó)務(wù)院文件,覆蓋各個(gè)領(lǐng)域。
在所有類(lèi)型的數(shù)據(jù)中,個(gè)人信息由于明確指向或可識(shí)別出特定個(gè)人,被當(dāng)做“皇冠上的明珠”。當(dāng)下,信息革命的浪潮和全面鋪開(kāi)的數(shù)字化使得人們的生產(chǎn)生活越來(lái)越與互聯(lián)網(wǎng)深度融合。在線(xiàn)下的各種場(chǎng)景逐漸搬到網(wǎng)上的同時(shí),個(gè)人信息得以?huà)昝摷埫娴氖`,直接以比特的形式被海量地記錄、傳輸、存儲(chǔ)、使用等。經(jīng)過(guò)數(shù)字化、網(wǎng)絡(luò)化后,個(gè)人信息一方面繼續(xù)保有“單獨(dú)或者與其他信息結(jié)合識(shí)別”特定個(gè)人的能力,另一方面又能在現(xiàn)代計(jì)算和存儲(chǔ)能力的支持下,價(jià)值得到進(jìn)一步挖掘和釋放。放眼全球,個(gè)人信息已成為今后數(shù)字經(jīng)濟(jì)中提升效率、支撐創(chuàng)新最重要的基本元素之一。
在全面擁抱個(gè)人信息數(shù)字化和網(wǎng)絡(luò)化的同時(shí),許多境內(nèi)外的網(wǎng)絡(luò)犯罪團(tuán)伙已將目標(biāo)瞄準(zhǔn)了個(gè)人信息,竊取了數(shù)以?xún)|計(jì)的個(gè)人信息,并形成了交易個(gè)人信息的地下黑產(chǎn)。他們利用個(gè)人信息與特定個(gè)人之間的緊密關(guān)系實(shí)施各種犯罪,例如以個(gè)人信息為基礎(chǔ)的精準(zhǔn)詐騙。除此之外,冒用個(gè)人網(wǎng)絡(luò)身份更是直接造成了不可估量的經(jīng)濟(jì)損失。前段時(shí)間還發(fā)生了“徐玉玉案”等因個(gè)人信息泄漏而導(dǎo)致人身傷亡的慘劇。這些都給我們敲響了警鐘。
個(gè)人信息的收集和使用與個(gè)人的權(quán)益息息相關(guān),數(shù)字經(jīng)濟(jì)能否持續(xù)健康發(fā)展,在很大程度上取決于能不能在開(kāi)發(fā)和利用個(gè)人信息的同時(shí)做到趨利避害。對(duì)此,《網(wǎng)絡(luò)安全法》在第四章“網(wǎng)絡(luò)信息安全”中用相當(dāng)?shù)钠鶎?duì)網(wǎng)絡(luò)運(yùn)營(yíng)者處理個(gè)人信息的行為做出了規(guī)范,具體有以下五方面特點(diǎn)和創(chuàng)新:
一、系國(guó)內(nèi)關(guān)于個(gè)人信息保護(hù)最為綜合的權(quán)威規(guī)定
目前,我國(guó)尚未制定統(tǒng)一的個(gè)人信息保護(hù)法。在《網(wǎng)絡(luò)安全法》出臺(tái)之前,個(gè)人信息保護(hù)方面最主要的法律是2012年通過(guò)的全國(guó)人大常委會(huì)《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》和2013年通過(guò)的全國(guó)人大常委會(huì)《關(guān)于修改<中華人民共和國(guó)消費(fèi)者權(quán)益保護(hù)法>的決定》,以及2009年通過(guò)的《刑法修正案(七)》和2015年通過(guò)的《刑法修正案(九)》。
《網(wǎng)絡(luò)安全法》不僅繼承了上述法律關(guān)于個(gè)人信息保護(hù)的主要條款內(nèi)容,而且根據(jù)新的時(shí)代特征、發(fā)展需求和保護(hù)理念,創(chuàng)造性地增加了部分規(guī)定,例如最少夠用原則(“網(wǎng)絡(luò)運(yùn)營(yíng)者不得收集與其提供的服務(wù)無(wú)關(guān)的個(gè)人信息”)、個(gè)人信息共享的條件(“未經(jīng)被收集者同意,不得向他人提供個(gè)人信息。但是,經(jīng)過(guò)處理無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的除外”)、個(gè)人的數(shù)據(jù)權(quán)利(“個(gè)人發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)營(yíng)者違反法律、行政法規(guī)的規(guī)定或者雙方的約定收集、使用其個(gè)人信息的,有權(quán)要求網(wǎng)絡(luò)運(yùn)營(yíng)者刪除其個(gè)人信息;發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)營(yíng)者收集、存儲(chǔ)的其個(gè)人信息有錯(cuò)誤的,有權(quán)要求網(wǎng)絡(luò)運(yùn)營(yíng)者予以更正。網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)采取措施予以刪除或者更正”)等。
二、明確個(gè)人信息保護(hù)的責(zé)任主體
《網(wǎng)絡(luò)安全法》在“網(wǎng)絡(luò)信息安全”這一章的開(kāi)頭,就明確提出了“誰(shuí)收集,誰(shuí)負(fù)責(zé)”的基本原則,將收集和使用個(gè)人信息的網(wǎng)絡(luò)運(yùn)營(yíng)者,設(shè)定為個(gè)人信息保護(hù)的責(zé)任主體。法律規(guī)定:“網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)對(duì)其收集的用戶(hù)信息嚴(yán)格保密,并建立健全用戶(hù)信息保護(hù)制度”。按該條款的規(guī)定,無(wú)論是在防范內(nèi)部人員倒賣(mài)個(gè)人信息,還是保障系統(tǒng)不被攻破導(dǎo)致信息泄露等方面,收集和使用個(gè)人信息的網(wǎng)絡(luò)運(yùn)營(yíng)者都是第一責(zé)任主體。通過(guò)明確責(zé)任,一能避免個(gè)人信息泄露導(dǎo)致嚴(yán)重后果后“無(wú)人負(fù)責(zé)”的局面,二能倒逼網(wǎng)絡(luò)運(yùn)營(yíng)者重視對(duì)其掌握的個(gè)人信息的保護(hù)工作。
三、和國(guó)際先進(jìn)理念接軌
總的來(lái)說(shuō),《網(wǎng)絡(luò)安全法》關(guān)于個(gè)人信息保護(hù)方面的規(guī)定,與現(xiàn)行國(guó)際規(guī)則及美歐個(gè)人信息保護(hù)方面的立法實(shí)現(xiàn)了理念上的接軌。
目前,全球公認(rèn)的個(gè)人信息保護(hù)方面的主要法律文本有OECD隱私框架、APEC隱私框架、歐盟《通用數(shù)據(jù)保護(hù)條例》(General Data Protection Regulation)、歐美“隱私盾”協(xié)議(Privacy Shield)、美國(guó)“消費(fèi)者隱私權(quán)法案(討論稿)”(Consumer Privacy Bill of Rights Act of 2015)等。綜合這些立法,可得出個(gè)人信息保護(hù)的主要原則,包括目的明確原則、同意和選擇原則、最少夠用原則、開(kāi)放透明原則、質(zhì)量保證原則、確保安全原則、主體參與原則、責(zé)任明確原則、披露限制原則等。
上述原則在《網(wǎng)絡(luò)安全法》中均得到體現(xiàn)。例如,開(kāi)放透明原則是指應(yīng)以明確、易懂和合理的方式如實(shí)公示其收集或使用個(gè)人信息的目的、個(gè)人信息的收集和使用范圍、個(gè)人信息安全保護(hù)措施等信息,接受公共監(jiān)督。該原則具體化于《網(wǎng)絡(luò)安全法》規(guī)定:網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)“公開(kāi)收集、使用規(guī)則,明示收集、使用信息的目的、方式和范圍”。再如主體參與原則,相比國(guó)內(nèi)現(xiàn)有的立法,《網(wǎng)絡(luò)安全法》的一大亮點(diǎn)就是賦予個(gè)人在一定條件下要求刪除和更正其個(gè)人信息的權(quán)利。
四、在個(gè)人信息保護(hù)和利用間實(shí)現(xiàn)平衡
在大數(shù)據(jù)和云計(jì)算的時(shí)代,包括個(gè)人信息在內(nèi)的數(shù)據(jù),只有充分地流動(dòng)、共享、交易,才能實(shí)現(xiàn)集聚和規(guī)模效應(yīng),最大程度地發(fā)揮價(jià)值。但數(shù)據(jù)在流動(dòng)、易手的同時(shí),可能導(dǎo)致個(gè)人信息主體及收集、使用個(gè)人信息的組織和機(jī)構(gòu)喪失對(duì)個(gè)人信息的控制能力,造成個(gè)人信息擴(kuò)散范圍和用途的不可控。如何實(shí)現(xiàn)兩者的平衡是新時(shí)期個(gè)人信息保護(hù)的重要挑戰(zhàn)之一。
對(duì)此,《網(wǎng)絡(luò)安全法》首先在法律層面給予個(gè)人信息交易一定的空間,這是一個(gè)巨大的進(jìn)步?!蛾P(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》規(guī)定“不得出售”公民個(gè)人信息;而《網(wǎng)絡(luò)安全法》規(guī)定“不得非法出售”公民個(gè)人信息,換句話(huà)說(shuō),按《網(wǎng)絡(luò)安全法》的規(guī)定,在一定情形下是可以出售公民個(gè)人信息的,無(wú)疑給符合規(guī)定的個(gè)人信息交易開(kāi)了綠燈,為我國(guó)大數(shù)據(jù)產(chǎn)業(yè)發(fā)展提供了空間。當(dāng)然,交易的合規(guī)條件有待后續(xù)進(jìn)一步的規(guī)定。
其次,《網(wǎng)絡(luò)安全法》進(jìn)一步規(guī)定了合法提供個(gè)人信息的情形,這也是一個(gè)重要的創(chuàng)新。法律規(guī)定,“未經(jīng)被收集者同意,不得向他人提供個(gè)人信息。但是,經(jīng)過(guò)處理無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的除外?!睆臈l文理解,至少在兩種情形中,可以合法對(duì)外提供個(gè)人信息:一是被收集者也就是個(gè)人的同意;二是將收集到的個(gè)人信息進(jìn)行匿名化處理,使得無(wú)論是單獨(dú)或者與其他信息相結(jié)合后,仍然無(wú)法識(shí)別特定個(gè)人且不能復(fù)原。
五、規(guī)定了個(gè)人信息安全事件發(fā)生后的強(qiáng)制告知和報(bào)告
《網(wǎng)絡(luò)安全法》規(guī)定,“在發(fā)生或者可能發(fā)生個(gè)人信息泄露、毀損、丟失的情況時(shí),應(yīng)當(dāng)立即采取補(bǔ)救措施,按照規(guī)定及時(shí)告知用戶(hù)并向有關(guān)主管部門(mén)報(bào)告”。相比以往的法律規(guī)定,新增了個(gè)人信息安全事件發(fā)生后的強(qiáng)制告知和報(bào)告。
在全球范圍看來(lái),包括個(gè)人信息安全事件在內(nèi)的網(wǎng)絡(luò)安全事件的強(qiáng)制報(bào)告和告知,是近期的立法重點(diǎn)。許多國(guó)家和地區(qū)都注重通過(guò)強(qiáng)制對(duì)外報(bào)告和告知,進(jìn)一步增強(qiáng)組織和機(jī)構(gòu)的責(zé)任主體意識(shí),敦促其認(rèn)真對(duì)待保護(hù)個(gè)人信息的義務(wù)。在美國(guó),聯(lián)邦層面有健康保險(xiǎn)攜帶和責(zé)任法案(HIPAA, Health Insurance Portability and Accountability Act)、金融業(yè)的格雷姆-里奇-比利雷法案(GLB Act, Gramm-Leach-Bliley Act)規(guī)定了數(shù)據(jù)安全事件強(qiáng)制告知和報(bào)告制度;此外,美國(guó)有47個(gè)州,以及哥倫比亞特區(qū)、關(guān)島、波多黎各和美屬維爾京群島都通過(guò)了數(shù)據(jù)安全事件強(qiáng)制告知和報(bào)告法律。在歐盟,《通用數(shù)據(jù)保護(hù)條例》和歐盟網(wǎng)絡(luò)信息安全指令(NIS Directive)也都規(guī)定了強(qiáng)制告知和報(bào)告的義務(wù)。此次,《網(wǎng)絡(luò)安全法》吸納了國(guó)外個(gè)人信息保護(hù)的先進(jìn)經(jīng)驗(yàn)。
2016年4月19日,習(xí)近平總書(shū)記在網(wǎng)絡(luò)安全和信息化工作座談會(huì)上發(fā)表重要講話(huà),要求貫徹“以人民為中心”的思想,提出了“網(wǎng)絡(luò)安全為人民、網(wǎng)絡(luò)安全靠人民”的理念?!毒W(wǎng)絡(luò)安全法》加強(qiáng)了對(duì)個(gè)人信息的保護(hù),讓人民安全地享用互聯(lián)網(wǎng)帶來(lái)的紅利,是貫徹習(xí)近平總書(shū)記重要指示的具體體現(xiàn)?!毒W(wǎng)絡(luò)安全法》的出臺(tái)落實(shí)能夠遏制個(gè)人信息濫用亂象,提升個(gè)人信息保護(hù)水平,最大程度地保障用戶(hù)合法權(quán)益和社會(huì)公共利益。(數(shù)據(jù)保護(hù)與治理研究中心研究員 洪延青)