(電子商務(wù)研究中心訊) 消費(fèi)者個(gè)人信息對(duì)于傳統(tǒng)營(yíng)銷模式向精準(zhǔn)營(yíng)銷的轉(zhuǎn)變具有決定性作用，這也決定了消費(fèi)者個(gè)人信息非凡的商業(yè)價(jià)值。然而當(dāng)前我國(guó)電子商務(wù)環(huán)境下個(gè)人信息的收集與使用存在大量安全隱患，消費(fèi)者在強(qiáng)大的網(wǎng)絡(luò)技術(shù)面前顯得毫無隱私可言，這就需要不斷完善我國(guó)網(wǎng)絡(luò)環(huán)境下的個(gè)人信息保護(hù)的法律制度，維護(hù)網(wǎng)絡(luò)消費(fèi)者合法權(quán)益，保障電子商務(wù)產(chǎn)業(yè)的健康發(fā)展。
〔關(guān)鍵詞〕網(wǎng)絡(luò)安全；電子商務(wù)；個(gè)人信息保護(hù)
一、問題的提出
隨著電子商務(wù)的飛速發(fā)展，一場(chǎng)席卷全球的商業(yè)革命正深刻影響每個(gè)人的生活。越來越快的生活節(jié)奏使人們無法擠出大量的時(shí)間到實(shí)體店貨比三家，而是坐在電腦桌前，甚至是在手機(jī)上就可以從海量的信息中選出物美價(jià)廉的商品。然而，當(dāng)前電子商務(wù)不可阻擋的發(fā)展?jié)摿υ庥隽艘粋€(gè)顯著的障礙，即如何賦予經(jīng)營(yíng)者及消費(fèi)者充分的安全感。我國(guó)已經(jīng)頒布的電子簽名法解決了發(fā)展電子商務(wù)的身份認(rèn)證問題，但個(gè)人信息泄露和非法使用對(duì)網(wǎng)絡(luò)用戶造成的困擾日趨加劇。自2011年以來，先后發(fā)生淘寶、京東商城、當(dāng)當(dāng)網(wǎng)、美團(tuán)等購(gòu)物網(wǎng)站用戶賬號(hào)被盜、余額被竊事件，從而引發(fā)了全社會(huì)關(guān)于電子商務(wù)環(huán)境下個(gè)人信息安全的恐慌。2014年新修訂的《消費(fèi)者權(quán)益保護(hù)法》第29條規(guī)定了經(jīng)營(yíng)者收集消費(fèi)者個(gè)人信息應(yīng)當(dāng)遵守的基本原則以及具體條件，該條規(guī)定對(duì)于保障消費(fèi)者個(gè)人信息安全具有重要的法律意義，然而該條法律規(guī)定的相對(duì)比較原則，且是針對(duì)一般的消費(fèi)行為，對(duì)電子商務(wù)環(huán)境下的個(gè)人信息保護(hù)的特殊性未加以特別的觀照，因而需要對(duì)相關(guān)條款進(jìn)一步加以細(xì)化以增強(qiáng)法律的操作性與針對(duì)性。
二、電子商務(wù)環(huán)境下個(gè)人信息安全危機(jī)的表現(xiàn)形式
個(gè)人信息是指一切可以識(shí)別本人的信息的總和，這些信息包括了一個(gè)人的生理的、心理的、智力的、個(gè)體的、社會(huì)的、經(jīng)濟(jì)的、文化的、家庭的等等各個(gè)方面。從屬性上來看，個(gè)人信息屬于人格利益。根據(jù)大陸法系人格權(quán)理論，凡是與人格形成與發(fā)展有關(guān)的情事都屬于人格權(quán)的客體。個(gè)人信息所體現(xiàn)的是公民的人格利益，個(gè)人信息的收集、處理或利用直接關(guān)系到個(gè)人信息主體的人格尊嚴(yán)。
(一)個(gè)人信息收集過程中的安全危機(jī)
個(gè)人信息的非法收集是電子商務(wù)環(huán)境下個(gè)人信息安全危機(jī)的首要表現(xiàn)形式。電子商務(wù)環(huán)境下收集的個(gè)人信息一般包括三種類別：(1)消費(fèi)者個(gè)人的基本信息。這些信息包括姓名、性別、電話號(hào)碼、出生日期、身份證號(hào)、家庭住址、電子郵箱地址，在完成交易支付的過程中，還涉及到消費(fèi)者的銀行賬號(hào)、交易密碼等重要的財(cái)務(wù)信息；(2)消費(fèi)者網(wǎng)絡(luò)活動(dòng)信息。這些信息主要是消費(fèi)者在網(wǎng)絡(luò)交易過程中所瀏覽過的網(wǎng)頁(yè)，關(guān)注過的產(chǎn)品，作出的產(chǎn)品評(píng)論，發(fā)布的有關(guān)信息等等內(nèi)容，通過對(duì)這些信息的追蹤與分析，可以準(zhǔn)確地判斷出網(wǎng)民的消費(fèi)傾向、購(gòu)買習(xí)慣、個(gè)人喜好等信息，從而成為商家下一步實(shí)施精準(zhǔn)營(yíng)銷的基礎(chǔ)數(shù)據(jù)；(3)消費(fèi)者儲(chǔ)存的個(gè)人信息。這類信息包括網(wǎng)民在個(gè)人電腦硬盤、移動(dòng)儲(chǔ)存設(shè)備上面存儲(chǔ)的信息，也包括在電子郵箱、網(wǎng)絡(luò)硬盤等虛擬空間中存儲(chǔ)的各類信息。無論是以何種方式存儲(chǔ)，消費(fèi)者的個(gè)人信息均有可能包含極度隱私的內(nèi)容，例如個(gè)人日記或者視頻等。
不少網(wǎng)絡(luò)經(jīng)營(yíng)者與機(jī)構(gòu)熱衷于從商業(yè)利用角度收集消費(fèi)者的各方面?zhèn)€人信息，具體辦法是利用具有跟蹤功能的Cookies程序，跟蹤并測(cè)定消費(fèi)者的網(wǎng)絡(luò)操作記錄，收集消費(fèi)者網(wǎng)絡(luò)活動(dòng)信息。Cookies是網(wǎng)站服務(wù)器(Web server)儲(chǔ)存在使用者瀏覽器中的一小段信息。Cookies的主要功能在于使瀏覽器記錄下這些特定的信息，方便網(wǎng)站服務(wù)器未來使用，具有記錄用戶瀏覽時(shí)間、瀏覽網(wǎng)頁(yè)、電子郵件地址以及電子購(gòu)物記錄等多種跟蹤功能。一些網(wǎng)店和商家還常常通過提供免費(fèi)產(chǎn)品從而達(dá)到收集消費(fèi)者個(gè)人信息的目的，這些免費(fèi)產(chǎn)品包括主機(jī)服務(wù)、免費(fèi)的博客或者個(gè)人主頁(yè)以及提供獎(jiǎng)品。消費(fèi)者為了獲得這些免費(fèi)產(chǎn)品，需要向商家提供姓名、郵箱地址、聯(lián)系電話、家庭住址等屬于隱私范疇的個(gè)人信息。
除了網(wǎng)絡(luò)經(jīng)營(yíng)者收集消費(fèi)者個(gè)人信息之外，一些網(wǎng)絡(luò)黑客還可以通過技術(shù)手段惡意非法入侵計(jì)算機(jī)系統(tǒng)，來獲取個(gè)人數(shù)據(jù)信息。常見的惡意攻擊技術(shù)手段包括監(jiān)聽與口令攻擊、網(wǎng)絡(luò)欺騙攻擊、WWW攻擊、木馬攻擊、緩沖區(qū)溢出攻擊、使用核心級(jí)別的rootkits攻擊、端口攻擊、“嗅探式”后門攻擊、狀態(tài)操作攻擊、SQL代碼嵌入攻擊等方式，可謂五花八門。但并非所有的方式均可以輕而易舉地竊取個(gè)人信息，也取決于電商企業(yè)的網(wǎng)絡(luò)安全系統(tǒng)的可靠性。然而當(dāng)前大多電商企業(yè)的安全保障系統(tǒng)安保級(jí)別較低，往往數(shù)據(jù)庫(kù)缺乏嚴(yán)密的加密過程，起不到有效的保護(hù)作用，甚至有些網(wǎng)站完全未采取任何技術(shù)防范措施，將用戶的隱私信息完全暴露在網(wǎng)絡(luò)環(huán)境之下，電商網(wǎng)站的后臺(tái)通常也沒有對(duì)訪問權(quán)限進(jìn)行嚴(yán)格限制，對(duì)數(shù)據(jù)庫(kù)信息訪問、調(diào)取和管理制度比較寬松。這些情況給了網(wǎng)絡(luò)黑客大量的可乘之機(jī)，從而導(dǎo)致數(shù)據(jù)系統(tǒng)被入侵的幾率大大增加。
(二)個(gè)人信息使用過程中的安全危機(jī)
電子商務(wù)環(huán)境下個(gè)人信息使用中的違法行為主要體現(xiàn)為以下三種形式：
第一，網(wǎng)絡(luò)經(jīng)營(yíng)者通過對(duì)掌握的消費(fèi)者個(gè)人數(shù)據(jù)進(jìn)行深度二次加工之后再次使用。個(gè)人信息的二次開發(fā)利用是指，網(wǎng)絡(luò)經(jīng)營(yíng)者利用自身掌握的個(gè)人信息建立起綜合的數(shù)據(jù)庫(kù)，然后經(jīng)過對(duì)數(shù)據(jù)的加工、挖掘從中分析出一些個(gè)人并未透露且具有商業(yè)價(jià)值的信息，從而引導(dǎo)企業(yè)的營(yíng)銷策略。對(duì)個(gè)人信息的二次加工有利于提高營(yíng)銷效率、節(jié)約成本，是網(wǎng)絡(luò)經(jīng)營(yíng)者運(yùn)用信息技術(shù)變革營(yíng)銷方式的重大創(chuàng)新，但目前我國(guó)對(duì)個(gè)人數(shù)據(jù)二次開發(fā)利用行為缺乏指導(dǎo)規(guī)范，行為合法性的邊界較為模糊，未經(jīng)消費(fèi)者本人許可的個(gè)人信息二次加工使用容易引發(fā)侵權(quán)糾紛，從而妨礙該技術(shù)的推廣應(yīng)用。
第二，網(wǎng)絡(luò)經(jīng)營(yíng)者向其他企業(yè)出售或者交換消費(fèi)者個(gè)人信息與消費(fèi)記錄。有業(yè)務(wù)往來的公司為了互利共贏，常常在未經(jīng)消費(fèi)者同意的情況下直接銷售或者互相交換雙方所掌握的消費(fèi)者個(gè)人信息，交易對(duì)象往往是同行業(yè)從事電商的企業(yè)或者廣告公司。
第三，一些網(wǎng)絡(luò)信息中介公司專門從事消費(fèi)者個(gè)人信息的收集與分析服務(wù)。信息中介公司通過廣泛收集消費(fèi)者信息并向第三方提供詳細(xì)資料以賺取高額利潤(rùn)。信息中介公司通過廣泛的信息搜索渠道，精確掌握特定消費(fèi)者的詳細(xì)信息，使購(gòu)買這些信息的企業(yè)在激烈的市場(chǎng)競(jìng)爭(zhēng)中占盡先機(jī)。然而網(wǎng)絡(luò)信息中介公司交易消費(fèi)者個(gè)人信息的行為往往未經(jīng)消費(fèi)者本人同意，涉嫌侵犯消費(fèi)者個(gè)人信息權(quán)。
不加限制的個(gè)人信息收集與使用行為容易引發(fā)網(wǎng)絡(luò)用戶的個(gè)人信息與隱私數(shù)據(jù)無限擴(kuò)散，從而嚴(yán)重影響消費(fèi)者的正常生活，因而必須通過法律對(duì)其加以調(diào)整和規(guī)范。
三、個(gè)人信息法律保護(hù)立法的國(guó)際比較——以美國(guó)、歐盟為對(duì)象
(一)美國(guó)個(gè)人信息保護(hù)立法考察
美國(guó)針對(duì)個(gè)人信息保護(hù)采取了法律保護(hù)與行業(yè)自律相互結(jié)合的方式。美國(guó)聯(lián)邦層面目前尚未制定專門針對(duì)網(wǎng)絡(luò)消費(fèi)者隱私權(quán)保護(hù)的一般性立法，僅針對(duì)特定對(duì)象頒布了一些法令，例如針對(duì)不滿十三歲的兒童頒布了《兒童在線隱私保護(hù)法案》。美國(guó)政府較早就意識(shí)到了電子商務(wù)環(huán)境下個(gè)人信息保護(hù)的重要性，并于1997年發(fā)布了《全球電子商務(wù)政策框架》。該報(bào)告針對(duì)電子商務(wù)迅猛發(fā)展以及網(wǎng)絡(luò)環(huán)境下消費(fèi)者個(gè)人信息安全岌岌可危的態(tài)勢(shì)，特別強(qiáng)化了私營(yíng)企業(yè)在網(wǎng)絡(luò)環(huán)境下對(duì)個(gè)人信息的保護(hù)力度。該框架中提出了兩項(xiàng)保護(hù)網(wǎng)絡(luò)隱私權(quán)的重要的基本原則：(1)告知原則：網(wǎng)絡(luò)經(jīng)營(yíng)者在收集公民個(gè)人信息時(shí)，應(yīng)當(dāng)向公民說明信息收集的相關(guān)情況。數(shù)據(jù)收集者披露信息的目的是鼓勵(lì)人們用市場(chǎng)方式來解除對(duì)個(gè)人隱私的擔(dān)心，因?yàn)榕缎畔⒖墒箓€(gè)人能夠知曉為什么要收集信息，信息將用于何處，保護(hù)這些信息的措施是什么，提供或不提供這些信息的后果以及可能擁有的任何補(bǔ)償權(quán)。這樣披露信息能使消費(fèi)者更好地判斷個(gè)人隱私的保護(hù)水準(zhǔn)以及是否愿意參與。(2)選擇權(quán)原則：公民對(duì)與自己相關(guān)的個(gè)人信息的使用目的、方式等有完全的自主決定權(quán)。根據(jù)個(gè)人隱私原則，消費(fèi)者在由于不當(dāng)使用或披露個(gè)人信息，或由于提供了不準(zhǔn)確、過時(shí)的、不完整的或無關(guān)的個(gè)人信息而受到傷害時(shí)有權(quán)要求賠償。
然而《全球電子商務(wù)框架》對(duì)消費(fèi)者個(gè)人信息保護(hù)的規(guī)定非常原則，難以滿足現(xiàn)實(shí)需要，以至于有學(xué)者認(rèn)為該法“錯(cuò)失了一次明確消費(fèi)者網(wǎng)絡(luò)隱私權(quán)保障的重要機(jī)會(huì)”。2010年12月，美國(guó)聯(lián)邦貿(mào)易委員會(huì)公布了《急速改變時(shí)代中的消費(fèi)者隱私保護(hù)報(bào)告》，提出了消費(fèi)者隱私權(quán)保護(hù)制度框架，特別提出了為消費(fèi)者和電子商務(wù)企業(yè)提供簡(jiǎn)單易行的保護(hù)機(jī)制，明確規(guī)定了消費(fèi)者信息選擇權(quán)的內(nèi)容與行使方式，特別強(qiáng)調(diào)消費(fèi)者信息保護(hù)透明度要求，并公布了“禁止追蹤”(Do-not-Track)計(jì)劃，以保護(hù)消費(fèi)者網(wǎng)絡(luò)信息不受侵犯。為了彌補(bǔ)聯(lián)邦層面的立法缺失，美國(guó)一些州紛紛開始制定網(wǎng)絡(luò)交易中消費(fèi)者個(gè)人信息保護(hù)的法律規(guī)范。2011年，賓夕法尼亞州眾議院通過一項(xiàng)決議，指出美國(guó)聯(lián)邦層面缺乏消費(fèi)者隱私保護(hù)立法易造成嚴(yán)重的社會(huì)后果，主張聯(lián)邦應(yīng)當(dāng)及盡快通過新的消費(fèi)者隱私權(quán)保護(hù)法，并建議聯(lián)邦立法應(yīng)當(dāng)遵循“簡(jiǎn)單，靈活，有效執(zhí)行和減少損害”的立法原則。同時(shí)，賓夕法尼亞州眾議院認(rèn)為聯(lián)邦貿(mào)易委員會(huì)長(zhǎng)期從事網(wǎng)絡(luò)民事糾紛處理，積累了大量經(jīng)驗(yàn)，因此建議由聯(lián)邦貿(mào)易委員會(huì)負(fù)責(zé)網(wǎng)絡(luò)消費(fèi)者隱私權(quán)保護(hù)的實(shí)施工作，還建議對(duì)消費(fèi)者隱私信息進(jìn)行分類并對(duì)消費(fèi)者因電子商務(wù)企業(yè)侵權(quán)行為所受損失的救濟(jì)方式進(jìn)行統(tǒng)一。
為了回應(yīng)各州以及聯(lián)邦貿(mào)易委員會(huì)的訴求，奧巴馬政府于2012年2月23日公布了《全球數(shù)字經(jīng)濟(jì)下隱私保護(hù)的創(chuàng)新推動(dòng)的框架》，重點(diǎn)闡明了政府?dāng)M敦促國(guó)會(huì)通過消費(fèi)者在線隱私保護(hù)法案并將大力推進(jìn)電子商務(wù)環(huán)境下消費(fèi)者個(gè)人信息保護(hù)制度實(shí)施的立場(chǎng)。雖然該框架并非最終的立法，但是可以預(yù)見美國(guó)有關(guān)消費(fèi)者在線隱私保護(hù)法案的制定與頒布將不再遙遠(yuǎn)。
除了法律保護(hù)之外，美國(guó)針對(duì)網(wǎng)絡(luò)交易中消費(fèi)者個(gè)人信息保護(hù)的行業(yè)自律模式也一向?yàn)楦鲊?guó)所稱道。具體而言，美國(guó)電子商務(wù)行業(yè)主要采用三種方式保護(hù)消費(fèi)者個(gè)人數(shù)據(jù)：一是通過非強(qiáng)制性的商業(yè)指引，為電子商務(wù)企業(yè)保護(hù)消費(fèi)者個(gè)人信息提供示范性指導(dǎo)；二是利用技術(shù)保護(hù)，有代表性的是互聯(lián)網(wǎng)協(xié)會(huì)提出的個(gè)人隱私偏好性平臺(tái)技術(shù)(P3P)；三是網(wǎng)絡(luò)隱私認(rèn)證機(jī)制，例如TRUSTe、BBBONLine、Web Trust等。上述三種行業(yè)自律模式與有關(guān)個(gè)人信息保護(hù)的立法共同構(gòu)成了美國(guó)富有特色的網(wǎng)絡(luò)消費(fèi)者個(gè)人信息保護(hù)制度體系。
(二)歐盟個(gè)人信息保護(hù)立法考察
歐盟個(gè)人信息保護(hù)法律體系是由一系列的指令、原則、準(zhǔn)則、指南等法律文件組成的。歐盟有關(guān)個(gè)人信息保護(hù)立法的理論基礎(chǔ)是源遠(yuǎn)流長(zhǎng)的人格權(quán)理論，這也與歐洲悠久的民事法律傳統(tǒng)十分契合。
1.1995年《關(guān)于涉及個(gè)人數(shù)據(jù)處理的個(gè)人保護(hù)及此類數(shù)據(jù)自由流動(dòng)的指令》
歐洲議會(huì)和歐盟理事會(huì)于1995年10月24日發(fā)布了《關(guān)于涉及個(gè)人數(shù)據(jù)處理的個(gè)人保護(hù)以及此類數(shù)據(jù)自由流動(dòng)的指令》(95/46/EC)，簡(jiǎn)稱《個(gè)人數(shù)據(jù)保護(hù)指令》，并于1998年正式生效。《個(gè)人數(shù)據(jù)保護(hù)指令》確立了個(gè)人信息保護(hù)的基本原則。這些基本原則包括個(gè)人數(shù)據(jù)管理者的責(zé)任和義務(wù)以及個(gè)人數(shù)據(jù)主體所享有的權(quán)利兩個(gè)方面。
該指令系統(tǒng)地規(guī)定了個(gè)人資料權(quán)的內(nèi)容體系，具體包括以下方面：(1)獲取權(quán)。指令第12條規(guī)定，資料主體可以隨時(shí)免費(fèi)地獲取個(gè)人信息，并有權(quán)對(duì)信息的內(nèi)容予以確認(rèn)或者更正。(2)自主決策權(quán)。根據(jù)該指令15條，在依據(jù)一個(gè)自然人的個(gè)人信息對(duì)其工作、生活當(dāng)中的重大事項(xiàng)作出決策的情況下，應(yīng)當(dāng)賦予該自然人對(duì)他人使用其個(gè)人信息予以否決的權(quán)利。(3)拒絕使用權(quán)。個(gè)人資料主體有權(quán)就他人對(duì)其資料的收集、傳輸與使用予以拒絕，并對(duì)他人的非法使用行為有權(quán)追究法律責(zé)任。(4)獲得救濟(jì)權(quán)。該指令第23條明確規(guī)定，未經(jīng)許可或者違法使用他人個(gè)人資料的，資料權(quán)人有權(quán)主張侵權(quán)人承擔(dān)經(jīng)濟(jì)賠償?shù)让袷仑?zé)任。
按照該指令，個(gè)人數(shù)據(jù)管理者的責(zé)任和義務(wù)包括：(1)數(shù)據(jù)質(zhì)量原則。個(gè)人數(shù)據(jù)處理應(yīng)做到：a.公正、合法的收集和處理；b.基于特定、明確、合法的目的；c.個(gè)人數(shù)據(jù)的收集和處理必須充分和相關(guān)聯(lián)，且必須是適當(dāng)、相關(guān)而不過量的；d.必須完整、準(zhǔn)確，并保持最新狀態(tài)，考慮到收集或者隨后處理個(gè)人數(shù)據(jù)的目的，必須采取一切合理的措施以確保哪些不準(zhǔn)確或者不完整的數(shù)據(jù)被刪除或者更正；e.以可識(shí)別的數(shù)據(jù)主體允許的形式保存。(2)數(shù)據(jù)處理合法化原則。個(gè)人數(shù)據(jù)處理必須：a.經(jīng)個(gè)人數(shù)據(jù)主體明確同意；b.符合法定義務(wù)；c.保護(hù)個(gè)人數(shù)據(jù)主體的重大利益。(3)告知原則。個(gè)人數(shù)據(jù)收集(直接收集、間接收集)應(yīng)將相關(guān)信息告知個(gè)人數(shù)據(jù)主體，這些相關(guān)信息具體包括：a.個(gè)人數(shù)據(jù)管理者的識(shí)別；b.數(shù)據(jù)處理的目的；c.數(shù)據(jù)收集者(接收者)；d.個(gè)人數(shù)據(jù)主體不提供數(shù)據(jù)的后果；e.查詢和更正的權(quán)利。(4)特殊類型數(shù)據(jù)處理原則。除非法律另有規(guī)定，禁止處理涉及種族、政治、宗教信仰、工會(huì)會(huì)員及健康、性生活等的個(gè)人數(shù)據(jù)。
2.2013年《歐盟數(shù)據(jù)保護(hù)基本條例》
歐洲議會(huì)公民自由、司法與內(nèi)政事務(wù)委員會(huì)于2013年10月22日通過了最新的《歐盟數(shù)據(jù)保護(hù)基本條例》(Datenschutz-Grundverordnung)以回應(yīng)社會(huì)逐漸高漲的要求建立更加嚴(yán)格的數(shù)據(jù)保護(hù)制度的呼聲。該條例的最大亮點(diǎn)在于賦予數(shù)據(jù)主體在個(gè)人信息受到侵犯時(shí)，可以通過條例規(guī)定的多種途徑尋求救濟(jì)。
(1)數(shù)據(jù)主體的“刪除權(quán)”
根據(jù)歐盟數(shù)據(jù)保護(hù)基本條例的規(guī)定，數(shù)據(jù)主體可以在滿足條例規(guī)定條件的情形下要求數(shù)據(jù)控制人刪除與其有關(guān)的信息或者停止該信息進(jìn)一步傳播：(a)此信息不再有被收集或者以其他方式處理的必要；(b)數(shù)據(jù)主體不再同意其信息被處理；(c)數(shù)據(jù)主體可以在任何時(shí)候由于自身特別情況的原因提出拒絕處理其個(gè)人信息，除非該處理對(duì)于保護(hù)數(shù)據(jù)主體的基本權(quán)益至關(guān)重要，或者是履行公共利益的活動(dòng)所必需的；(d)歐盟范圍內(nèi)的一個(gè)法庭或者監(jiān)督機(jī)關(guān)已經(jīng)做出了相關(guān)數(shù)據(jù)必需刪除的最終裁定；(e)相關(guān)數(shù)據(jù)被非法處理。數(shù)據(jù)主體一旦根據(jù)以上情況提出反對(duì)，數(shù)據(jù)控制者應(yīng)當(dāng)立即停止對(duì)其個(gè)人信息的使用和處理，防止損害擴(kuò)大。
(2)向?qū)ｉT監(jiān)督機(jī)關(guān)提起控訴
根據(jù)《歐盟數(shù)據(jù)保護(hù)基本條例》第六章的規(guī)定，歐盟每個(gè)成員國(guó)應(yīng)當(dāng)設(shè)立至少一個(gè)獨(dú)立的監(jiān)督機(jī)關(guān)，該機(jī)關(guān)的任務(wù)是監(jiān)督基本條例在本國(guó)內(nèi)的實(shí)施情況并為歐盟范圍內(nèi)的統(tǒng)一實(shí)施服務(wù)。根據(jù)該條例第73條的規(guī)定，在不影響其他行政救濟(jì)或者司法救濟(jì)的情況下，當(dāng)認(rèn)為對(duì)其相關(guān)的個(gè)人信息的處理沒有遵守基本條例時(shí)，數(shù)據(jù)主體有權(quán)向成員國(guó)的監(jiān)督機(jī)關(guān)提出控訴。監(jiān)督機(jī)關(guān)在接到數(shù)據(jù)主體控訴之后，有權(quán)在合理范圍內(nèi)作出調(diào)查，并應(yīng)在合理的期限內(nèi)(3個(gè)月)告知數(shù)據(jù)主體控訴的進(jìn)展與結(jié)果。
監(jiān)督機(jī)關(guān)在查明事實(shí)后，對(duì)于沒有履行基本條例規(guī)定的義務(wù)的，可以做出以下行政處罰：(a)如果是第一次且非故意違反，可以提出書面警告；(b)定期數(shù)據(jù)保護(hù)審查；(c)最高處以1億歐元或者企業(yè)每年全球營(yíng)業(yè)額5%的罰金，按照數(shù)額較大的金額予以處罰。
數(shù)據(jù)主體向監(jiān)督機(jī)關(guān)提起控訴后，如果監(jiān)督機(jī)關(guān)未對(duì)數(shù)據(jù)主體的控訴作出合理保護(hù)裁決的，或者保護(hù)裁決沒有按照第52條第1款b的規(guī)定在3個(gè)月內(nèi)通知數(shù)據(jù)主體的，數(shù)據(jù)主體可以行使司法救濟(jì)權(quán)起訴監(jiān)督機(jī)關(guān)。
(3)向司法機(jī)構(gòu)提起訴訟
數(shù)據(jù)主體除了可以向監(jiān)督機(jī)構(gòu)申請(qǐng)救濟(jì)之外，還可以針對(duì)數(shù)據(jù)控制者向司法機(jī)構(gòu)提起訴訟。如果數(shù)據(jù)主體認(rèn)為數(shù)據(jù)控制者違反數(shù)據(jù)保護(hù)基本條例有關(guān)收集與處理個(gè)人信息方面的規(guī)定時(shí)，數(shù)據(jù)主體有權(quán)針對(duì)數(shù)據(jù)控制者提起訴訟并主張其承擔(dān)法律責(zé)任。
(三)國(guó)外個(gè)人信息保護(hù)制度之比較與啟示
通過對(duì)美國(guó)與歐盟個(gè)人信息保護(hù)制度的梳理，不難發(fā)現(xiàn)兩者具有顯著的區(qū)別：美國(guó)除了制定保護(hù)個(gè)人信息的相關(guān)立法之外，重點(diǎn)通過電子商務(wù)企業(yè)的行業(yè)自律規(guī)范網(wǎng)絡(luò)經(jīng)營(yíng)者對(duì)消費(fèi)者個(gè)人信息的收集與使用行為；而歐盟則延續(xù)了大陸法系成文法的傳統(tǒng)，將數(shù)據(jù)隱私權(quán)上升到基本人權(quán)的高度，圍繞消費(fèi)者個(gè)人信息保護(hù)制定了嚴(yán)密的權(quán)利、義務(wù)、責(zé)任體系，并建立了相應(yīng)的司法與行政的救濟(jì)措施，有力保障消費(fèi)者個(gè)人信息不受侵犯。相比較而言，美國(guó)的個(gè)人信息保護(hù)制度更多地兼顧了電子商務(wù)企業(yè)的利益，為企業(yè)經(jīng)營(yíng)提供了更加寬松的政策環(huán)境，而歐盟的立法機(jī)制更加傾向于消費(fèi)者權(quán)益保護(hù)，提升了電子商務(wù)經(jīng)營(yíng)者的注意義務(wù)與經(jīng)營(yíng)成本。
相比較而言，筆者認(rèn)為歐盟的個(gè)人信息保護(hù)制度更加值得我國(guó)吸收與借鑒。首先，我國(guó)與歐盟具有共同的大陸法系傳統(tǒng)，歐盟通過立法詳細(xì)規(guī)定消費(fèi)者的個(gè)人信息權(quán)、網(wǎng)絡(luò)經(jīng)營(yíng)個(gè)人信息收集與使用的義務(wù)以及侵犯消費(fèi)者個(gè)人信息權(quán)法律責(zé)任的做法更符合我國(guó)當(dāng)前法律制度的現(xiàn)狀，相關(guān)的法律原則與具體規(guī)范更加便于我國(guó)進(jìn)行法律移植。其次，美國(guó)重點(diǎn)依靠網(wǎng)絡(luò)經(jīng)營(yíng)者行業(yè)自律的方式保護(hù)消費(fèi)者個(gè)人信息的模式需要特定前提，即電子商務(wù)行業(yè)發(fā)展比較成熟且行業(yè)協(xié)會(huì)具備重要的影響力，能夠?qū)π袠I(yè)內(nèi)部的企業(yè)起到有力約束作用。我國(guó)當(dāng)前電子商務(wù)產(chǎn)業(yè)的發(fā)展仍處于不斷探索的階段，相關(guān)的制度規(guī)范尚不健全，特別是電子商務(wù)行業(yè)協(xié)會(huì)發(fā)揮的作用與美國(guó)相比仍有較大差距，因而當(dāng)前環(huán)境下借鑒美國(guó)依賴行業(yè)自律規(guī)范的條件尚不成熟。
四、我國(guó)電子商務(wù)環(huán)境下個(gè)人信息保護(hù)制度現(xiàn)狀與問題剖析
(一)我國(guó)個(gè)人信息保護(hù)立法進(jìn)路梳理
目前我國(guó)關(guān)于電子商務(wù)環(huán)境下的個(gè)人信息保護(hù)尚缺乏一部專門的法律進(jìn)行規(guī)范，相關(guān)條文散見于一些法律、法規(guī)、規(guī)章以及司法解釋中。較早規(guī)定網(wǎng)絡(luò)用戶個(gè)人信息保護(hù)的法律規(guī)范是2000年信息產(chǎn)業(yè)部頒布的《互聯(lián)網(wǎng)電子公告服務(wù)管理規(guī)定》第12條，“電子公告服務(wù)提供者應(yīng)當(dāng)對(duì)上網(wǎng)用戶的個(gè)人信息保密，未經(jīng)上網(wǎng)用戶同意不得向他人泄露”，第19條規(guī)定了侵犯他人個(gè)人信息的法律責(zé)任。2007年商務(wù)部印發(fā)的《商務(wù)部關(guān)于促進(jìn)電子商務(wù)規(guī)范發(fā)展的意見》中指出，“引導(dǎo)電子商務(wù)企業(yè)建立健全網(wǎng)絡(luò)與信息安全保障制度，采取有效的網(wǎng)站安全保障措施、企業(yè)信息保密措施和用戶信息安全措施，防范和制止利用互聯(lián)網(wǎng)盜取商業(yè)秘密和提供用戶信息給第三方以牟取利益的行為。”2014年3月15日生效的新修訂的《消費(fèi)者權(quán)益保護(hù)法》第29條規(guī)定，“經(jīng)營(yíng)者收集、使用消費(fèi)者個(gè)人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)消費(fèi)者同意。經(jīng)營(yíng)者收集、使用消費(fèi)者個(gè)人信息，應(yīng)當(dāng)公開其收集、使用規(guī)則，不得違反法律、法規(guī)的規(guī)定和雙方的約定收集、使用信息。經(jīng)營(yíng)者及其工作人員對(duì)收集的消費(fèi)者個(gè)人信息必須嚴(yán)格保密，不得泄露、出售或者非法向他人提供。經(jīng)營(yíng)者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保信息安全，防止消費(fèi)者個(gè)人信息泄露、丟失。在發(fā)生或者可能發(fā)生信息泄露、丟失的情況時(shí)，應(yīng)當(dāng)立即采取補(bǔ)救措施。經(jīng)營(yíng)者未經(jīng)消費(fèi)者同意或者請(qǐng)求，或者消費(fèi)者明確表示拒絕的，不得向其發(fā)送商業(yè)性信息。”國(guó)家工商行政管理總局2014年制定的《網(wǎng)絡(luò)交易管理辦法》第18條有關(guān)網(wǎng)絡(luò)交易中個(gè)人信息保護(hù)的條文與《消費(fèi)者權(quán)益保護(hù)法》第29條相比除了明確針對(duì)網(wǎng)絡(luò)商品經(jīng)營(yíng)者、有關(guān)服務(wù)經(jīng)營(yíng)者之外，其他內(nèi)容基本一致。筆者認(rèn)為，當(dāng)前分散立法的模式已經(jīng)難以滿足個(gè)人信息保護(hù)的現(xiàn)實(shí)需要，應(yīng)當(dāng)盡快著手制定專門的個(gè)人信息保護(hù)法，進(jìn)一步加強(qiáng)電子商務(wù)領(lǐng)域個(gè)人信息保護(hù)。
(二)我國(guó)電子商務(wù)環(huán)境下個(gè)人信息保護(hù)制度問題剖析
第一，個(gè)人信息保護(hù)法律基本原則缺失。對(duì)于個(gè)人信息保護(hù)而言，基本原則至關(guān)重要。國(guó)外許多國(guó)家就個(gè)人信息保護(hù)的基本原則均做出了明確規(guī)定，甚至為數(shù)不少的國(guó)際組織立法僅規(guī)定“基本原則”，而不再規(guī)定具體規(guī)則，個(gè)人信息保護(hù)基本原則的重要性可見一斑。然而我國(guó)當(dāng)前僅在《消費(fèi)者權(quán)益保護(hù)法》中體現(xiàn)了“合法、正當(dāng)、必要的原則”，未能完全契合個(gè)人信息保護(hù)的特殊性，亟需立法加以完善。
第二，個(gè)人信息權(quán)利內(nèi)容體系不清晰。我國(guó)當(dāng)前立法中關(guān)于個(gè)人信息保護(hù)的條款大多是對(duì)個(gè)人信息收集與使用行為的規(guī)范，而對(duì)信息主體的個(gè)人信息權(quán)利內(nèi)容則較少涉及，個(gè)人信息保護(hù)缺乏權(quán)利基礎(chǔ)，非常不利于個(gè)人信息保護(hù)。
第三，個(gè)人信息保護(hù)侵權(quán)責(zé)任體系不完善?！断M(fèi)者權(quán)益保護(hù)法》第50條規(guī)定了經(jīng)營(yíng)者侵犯消費(fèi)者個(gè)人信息承擔(dān)的民事責(zé)任，除了民事責(zé)任之外，應(yīng)當(dāng)進(jìn)一步加強(qiáng)網(wǎng)絡(luò)經(jīng)營(yíng)者侵犯消費(fèi)者個(gè)人信息的行政責(zé)任與刑事責(zé)任，提高網(wǎng)絡(luò)經(jīng)營(yíng)者侵權(quán)行為的違法成本，增強(qiáng)法律的威懾力與教育、預(yù)防作用。
五、我國(guó)電子商務(wù)環(huán)境下個(gè)人信息保護(hù)的立法對(duì)策
當(dāng)前形勢(shì)下法律對(duì)進(jìn)入網(wǎng)絡(luò)的個(gè)人信息加強(qiáng)保護(hù)，確保網(wǎng)絡(luò)用戶的經(jīng)濟(jì)等諸方面的安全，已然成為發(fā)展電子商務(wù)的前提與基礎(chǔ)，個(gè)人信息保護(hù)法成為電子商務(wù)的安全保障法，電子商務(wù)領(lǐng)域的個(gè)人信息保護(hù)也被納入電子商務(wù)法的組成部分之一。為了順應(yīng)電子商務(wù)的發(fā)展要求，筆者建議我國(guó)個(gè)人信息保護(hù)的立法完善從以下方面入手。
(一)確立個(gè)人信息保護(hù)法基本原則
個(gè)人信息保護(hù)法的基本原則分為共有原則與特有原則。共有原則是指?jìng)€(gè)人信息保護(hù)的直接上位法的基本原則，具體包括意思自治原則、公平原則、誠(chéng)實(shí)信用原則與比例原則。
個(gè)人信息保護(hù)法的特有原則是指共有原則之外的，僅適用于個(gè)人信息保護(hù)法的基本原則，體現(xiàn)個(gè)人信息保護(hù)法的基本價(jià)值與理念。具體而言，個(gè)人信息保護(hù)法的特有原則包括以下內(nèi)容：
1.目的明確原則。該原則是指收集個(gè)人信息的目的，必須在收集前加以確定，確定的目的必須通過一定方式明確化；發(fā)生目的變更時(shí)，變更后的目的也必須及時(shí)予以明確。確立目的明確原則的目標(biāo)在于確保信息主體和社會(huì)對(duì)個(gè)人信息處理的可預(yù)見性。
2.知情同意原則。該原則是指信息管理者在收集個(gè)人信息時(shí)，應(yīng)當(dāng)充分告知信息主體就有關(guān)個(gè)人信息被收集、處理和利用的情況進(jìn)行充分告知，并征得信息主體明確同意的原則。
3.目的限制原則。該原則是指?jìng)€(gè)人信息的收集利用均限于最初確立的目的，與該目的保持一致；并應(yīng)采取公平合理的收集方式。目的限制原則是與目的明確原則緊密配合的一個(gè)原則。目的明確原則旨在要求個(gè)人信息管理者進(jìn)行個(gè)人信息處理時(shí)應(yīng)有明確目的，目的限制原則旨在確保信息管理者收集和處理個(gè)人信息應(yīng)受“明確目的”之限制。
4.信息品質(zhì)原則。該原則也稱完整正確原則，是指信息管理者應(yīng)保障個(gè)人信息在其處理目的范圍內(nèi)的完整、正確和時(shí)新。信息品質(zhì)原則的核心是完整和正確，是各國(guó)際組織和各國(guó)個(gè)人信息保護(hù)法普遍遵循的原則。
5.安全原則。該原則也稱安全保護(hù)措施原則，是指對(duì)個(gè)人信息應(yīng)采取合理的安全保護(hù)措施，以防止個(gè)人信息的丟失、非法訪問、毀損、利用、修改和泄露等為風(fēng)險(xiǎn)的發(fā)生。
6.政策公開原則。該原則也稱為公開原則，是指關(guān)于個(gè)人信息的收集、處理和利用以及相關(guān)政策應(yīng)當(dāng)公開。該原則的目的在于通過信息管理者的公開行為，使社會(huì)知悉個(gè)人信息的收集和處理情況，以實(shí)現(xiàn)對(duì)個(gè)人信息處理的監(jiān)督和控制，保障信息主體知情權(quán)的實(shí)現(xiàn)。
7.禁止泄露原則。該原則也稱保密原則，是指對(duì)信息管理者及其工作人員負(fù)有對(duì)個(gè)人信息的保密義務(wù)，嚴(yán)禁非法泄露個(gè)人信息及其內(nèi)容。對(duì)個(gè)人信息內(nèi)容的披露，只有在法定或者約定條件下才屬于合法行為。
8.保存時(shí)限原則。該原則是指為任何目的處理的個(gè)人資料都不超過該目的需要的時(shí)間而保存。
9.自由流通和合理限制原則。該原則是指應(yīng)當(dāng)在保障信息主體合法權(quán)利的基礎(chǔ)上促進(jìn)個(gè)人信息的跨國(guó)流通，但是需要對(duì)個(gè)人信息流向缺乏實(shí)質(zhì)性個(gè)人信息保護(hù)立法或者不能對(duì)個(gè)人信息給與合理保護(hù)的接收國(guó)進(jìn)行限制。
上述個(gè)人信息保護(hù)的共有原則與特有原則的重要意義在于，其構(gòu)建了電子商務(wù)環(huán)境下網(wǎng)絡(luò)經(jīng)營(yíng)者的個(gè)人信息保護(hù)義務(wù)框架，明確了個(gè)人信息收集、使用行為合法抑或非法的邊界，設(shè)立了個(gè)人信息保護(hù)的“防火墻”，對(duì)電子商務(wù)的發(fā)展具有至關(guān)重要作用。
(二)構(gòu)建個(gè)人信息權(quán)利內(nèi)容體系
構(gòu)建科學(xué)、合理的個(gè)人信息權(quán)利內(nèi)容體系是保障消費(fèi)者個(gè)人信息安全的前提與基礎(chǔ)。個(gè)人信息權(quán)是一種新類型的具體人格權(quán)，其目的在于使個(gè)人能夠以自己的積極行為支配其個(gè)人信息，保護(hù)其精神人格利益。個(gè)人信息權(quán)具有非常豐富的內(nèi)容，具體包含以下方面：
第一，對(duì)信息收集與處理行為事先知情并決定是否以及如何處理個(gè)人信息的權(quán)利。電子商務(wù)環(huán)境下大量的個(gè)人信息是在本人不知情的情況下被收集的，且被收集的個(gè)人信息將作何種用途消費(fèi)者本人也不得而知，這種行為侵犯了信息主體的知情權(quán)。信息主體不僅有權(quán)知道個(gè)人信息收集主體的準(zhǔn)確信息，而且應(yīng)當(dāng)明確個(gè)人信息收集的范圍、表現(xiàn)形式，還應(yīng)有權(quán)知道被收集的個(gè)人信息將用于何種用途。信息主體有權(quán)決定是否允許經(jīng)營(yíng)者收集其個(gè)人權(quán)利，決定收集個(gè)人信息的范圍以及信息被收集后的使用方式。
第二，對(duì)個(gè)人信息被他人收集與處理的相關(guān)情事進(jìn)行查詢，并對(duì)違法或不當(dāng)處理行為提出異議、主張救濟(jì)的權(quán)利。針對(duì)經(jīng)營(yíng)者收集、處理個(gè)人信息的事由、方式以及期限等，信息主體有權(quán)訪問、查閱，并要求經(jīng)營(yíng)者提供個(gè)人信息復(fù)制本。電子商務(wù)經(jīng)營(yíng)者作為個(gè)人信息的收集者，同時(shí)負(fù)有保障消費(fèi)者個(gè)人信息安全的義務(wù)，一旦經(jīng)營(yíng)者違法使用個(gè)人信息或者由于外部原因造成信息泄露，信息主體有權(quán)要求經(jīng)營(yíng)者采取措施采取必要、合理措施，保障其個(gè)人信息安全。當(dāng)經(jīng)營(yíng)者拒絕采取必要措施或技術(shù)手段保證個(gè)人信息安全時(shí)，信息主體有權(quán)提起訴訟主張損害賠償。
第三，請(qǐng)求信息處理者采取合理措施，確保個(gè)人信息正確與完整狀態(tài)的權(quán)利。電子商務(wù)環(huán)境下，雖然消費(fèi)者向經(jīng)營(yíng)者提供了個(gè)人信息，但并不喪失對(duì)個(gè)人信息的控制權(quán)，可以通過合理的方式要求經(jīng)營(yíng)者保存的個(gè)人信息準(zhǔn)確、完整，且有權(quán)在交易結(jié)束或者消費(fèi)者認(rèn)為必要且不影響經(jīng)營(yíng)者合法利益的情況下要求經(jīng)營(yíng)者刪除其個(gè)人信息。
(三)完善個(gè)人信息侵權(quán)法律責(zé)任制度
當(dāng)前電子商務(wù)環(huán)境下個(gè)人信息保護(hù)危機(jī)越發(fā)凸顯的一個(gè)重要原因在于個(gè)人信息侵權(quán)行為難以受到法律追究，從而一定程度上縱容了個(gè)人信息侵權(quán)現(xiàn)象的泛濫。為了解決該問題，需要不斷完善我國(guó)個(gè)人信息侵權(quán)民事、行政、刑事法律責(zé)任制度。
在就民事責(zé)任方面，新修訂的《消費(fèi)者權(quán)益保護(hù)法》第50條規(guī)定，“經(jīng)營(yíng)者侵害消費(fèi)者的人格尊嚴(yán)、侵犯消費(fèi)者人身自由或者侵害消費(fèi)者個(gè)人信息依法得到保護(hù)的權(quán)利的，應(yīng)當(dāng)停止侵害、恢復(fù)名譽(yù)、消除影響、賠禮道歉，并賠償損失。”該條可以適用于電子商務(wù)環(huán)境下的個(gè)人信息侵權(quán)責(zé)任，但在制定我國(guó)《個(gè)人信息保護(hù)法》過程中，可以借鑒《侵權(quán)責(zé)任法》以及《消費(fèi)者權(quán)益保護(hù)法》的相關(guān)條文，對(duì)電子商務(wù)環(huán)境下的個(gè)人信息侵權(quán)責(zé)任做出專門規(guī)定。特別需要關(guān)注的是，個(gè)人信息權(quán)屬于人格權(quán)的內(nèi)容之一，因而消費(fèi)者個(gè)人信息權(quán)受到侵害時(shí)有權(quán)要求加害人承擔(dān)精神損害賠償責(zé)任。
除了民事責(zé)任之外，應(yīng)當(dāng)明確侵犯消費(fèi)者個(gè)人信息的行政責(zé)任與刑事責(zé)任。《歐盟數(shù)據(jù)保護(hù)基本條例》對(duì)違反數(shù)據(jù)保護(hù)的主體最高處以1億歐元或者企業(yè)每年全球營(yíng)業(yè)額5%的罰金。我國(guó)《消費(fèi)者權(quán)益保護(hù)法》第56條規(guī)定了侵犯消費(fèi)者個(gè)人信息的行政責(zé)任，并通過記入信用檔案、向社會(huì)公布的方式增強(qiáng)對(duì)不法經(jīng)營(yíng)者的震懾力，有助于個(gè)人信息得到更好的保護(hù)。但網(wǎng)絡(luò)經(jīng)營(yíng)者侵犯消費(fèi)者個(gè)人信息的行為往往比較隱蔽，筆者建議借鑒歐盟建立專門監(jiān)督機(jī)構(gòu)的做法，設(shè)立專門的部門負(fù)責(zé)查辦此類案件，同時(shí)增強(qiáng)調(diào)查取證的水平，加大對(duì)違法行為的打擊力度，保障相關(guān)制度措施取得實(shí)效。
我國(guó)現(xiàn)行《刑法》第253條規(guī)定了出售或者非法提供公民個(gè)人信息情節(jié)嚴(yán)重的承擔(dān)刑事責(zé)任。該條規(guī)定自納入《刑法》以來現(xiàn)實(shí)中較少適用，主要原因在于《刑法》第253條約束的重點(diǎn)是國(guó)家機(jī)關(guān)或者金融、電信、交通、教育、醫(yī)療等單位及其工作人員等特殊主體，對(duì)于一般主體是否適用該條規(guī)定比較模糊。另外，只有在符合“情節(jié)嚴(yán)重”的條件下，才能追求行為人的刑事責(zé)任，而“情節(jié)嚴(yán)重”的標(biāo)準(zhǔn)在司法適用中不甚明確。筆者建議將第253條針對(duì)特殊主體與普通主體的刑事責(zé)任法律適用加以區(qū)分，同時(shí)對(duì)“情節(jié)嚴(yán)重”做出進(jìn)一步的解釋，便于司法適用與打擊犯罪行為。(來源：數(shù)據(jù)人；文/何培育；編選：中國(guó)電子商務(wù)研究中心)
