论个人信息安全事件通知义务

个人信息安全事件通知是个人信息处理者履行信息安全保护义务的重要环节，能够促使信息主体和监管机构在发生个人信息安全事件后及时采取行动，防范次生损害。《网络安全法》《数据安全法》《个人信息保护法》均规定了个人信息安全事件通知义务，但内容不一、详略有别。从“个人信息”的范畴来看，只有发生安全事件的“个人信息”可能影响信息主体实际权益时，才有必要通知信息主体；从通知内容来看，应当对通知监管机构和信息主体的内容作出区别规定；从通知的理论基础来看，由侵权责任和合同附随义务产生的私法责任是信息处理者向信息主体履行通知义务的理论基础，向监管机构履行通知义务则是公法要求；从通知的条件来看，对个人信息采用加密等技术手段后可不向信息主体履行通知义务，只有发生安全事件的个人信息达到一定规模体量才有必要通知监管机构；从通知的法律责任来看，更宜适用作为特别法的《个人信息保护法》的法律责任规定，同时限缩私法层面的赔偿责任，强调公法层面的处罚责任。     

论金融机构对消费者个人信息的权益保护与责任

金融机构保护消费者个人信息的任务迫在眉睫。个人信息本质是权利束,进阶形态为权益束,消费者拥有数据权、信息人格权、信用权、个人信息受保护权以及信息潜在利益。文章认为应由义务模式转向权益保护模式,按照责任属性、分配、区分要点重置金融机构保护消费者个人信息的责任,以"权益链接"救济方式对消费者实施精准保护。     

数据生产论下的平台数据安全保障义务

《数据安全法(草案)》构建了平台数据安全保障义务框架,包含着数据安全制度、个人信息权利保护与监管配合义务三个维度。传统的民事侵权责任理论已经无力解释平台的数据安全保障义务的庞杂体系与多样化内容。应从数据社会生产的角度分析,平台已经成为了数据生产要素提取加工者、数字经济基础设施、数字经济多边市场。根据霍菲尔德的"特权-无权力"框架分析,平台的数据安全保障义务的扩张,实际上是数字经济社会生产中膨胀的平台权力的纠偏机制。合理的平台数据安全保障义务应以数字生产论为基础,合理设置平台对数字产品的质量责任与安全生产义务,划定平台数据安全保障义务的边界,促进数字经济发展。     

个人信息处理者对信息侵权下游损害的侵权责任

第三人从个人信息处理者处获得个人信息后,其侵权行为可能导致个人遭受隐私权、生命权、社会歧视等人格权益损害和财产权损害.受害人诉请损害赔偿的基础包括侵权责任、违约责任及个人与信息处理者的信托关系,在我国法上宜限定为侵权责任,以平衡行为自由和权益保护.信息处理者对个人承担消极的和积极的安全保障义务,前者要求处理者保障个人信...     

刑事诉讼个人信息保护论纲

信息时代下刑事诉讼领域与其他领域一样存在保护个人信息的需要,然而目前我国相关法律规定零散,且重视对公权力机关的授权,忽视对公民的赋权.为确立和完善刑事诉讼个人信息保护机制,应处理好刑事诉讼信息收集使用中的权利义务与权力责任、信息收集使用的公开透明要求与刑事诉讼封闭秘密特征、个人信息保护利益与预防打击犯罪目标及公众知情权这几组关系.根据区分对待原则、目的限制与比例原则、准确性原则,应当对信息主体赋予前提性权利、程序性权利和反制性权利,对公权力机关(信息控制和处理者)科以告知义务、协助义务和信息安全保障责任,并通过确立信息收集使用行为的司法令状和内部监管并立体系,设置独立的信息监管机构,构建侵犯信息权利的惩戒和赔偿机制等,提供保护个人信息的保障措施和救济途径,建立起我国的刑事诉讼个人信息保护机制.     

论数字时代个人信息保护与利用平衡的展开路径

数字时代个人信息流通会带来巨大的经济效益，个人信息的公共属性越来越鲜明，不仅附着了个人利益，还承载着其他公共利益，信息的广泛利用是不可逆转的时代潮流。科技进步增强了信息泄露的风险，加强个人信息保护成为信息利用的题中之义。在个人信息保护实践中，应该充分运用比例原则，从适当性、必要性、衡量性着手，确保手段、目的与效果的辩证统一，推动信息保护与利用的平衡。《个人信息保护法》充分体现了该理念，授予个人广泛的信息权益，但约束权益行使的自由度；规范信息处理者的义务，但承认信息利用的前提；明确国家机关的保护职责，但视其为信息利用主体，核心在于综合考量，适度维持同一主体内部保护与利用的动态平衡。另外，未来还应该从体系平衡、利益平衡、标准平衡、过程平衡、模式平衡等外部系统着手，通过内外结合共同发挥作用，助推平衡目标早日实现。     

大数据时代网上银行的安全保障义务研究

大数据时代,数据被收集、分析,成为决策判断的基础,数据的价值不可估量,用户的信息和资金均以数据的形式存储在网上银行,一旦被非法窃取,将对用户信息和交易安全带来巨大的损失,因而,网上银行安全保障义务的核心内容主要是信息安全和交易安全;完善信息安全保障义务,设定最低信息安全技术标准是最基本的途径.规定网上银行对用户信息的使用规则,可以防止网上银行滥用用户信息.明确网上银行承担的责任能够防止网上银行将信息安全保障义务转移到用户身上;完善交易安全保障义务,保护交易安全,首先应保障电子合同的安全.采用有效的认证方式是保障交易安全的必要防线.区分经授权和未经授权电子资金划拨,能够减轻用户资金损失的风险.     

风险预防原则在个人信息保护中的适用与展开

随着数字风险社会的兴起,个人所处的数字环境日趋复杂。大数据、物联网、人工智能等数字技术的快速发展与广泛应用,使个人信息保护风险存在诸多不确定性和不可逆性,这推动着个人信息保护基本原则的更新。风险预防原则不仅回应了数字风险社会背景下个人信息保护的现实需求,而且是实现个人信息国家保护义务的内在要求。为了更好地推动风险预防原则在我国个人信息保护法制中的适用与展开,应当确立风险预防的基本原则地位及配套规则、完善预防性监管措施、优化风险预防的司法因应,构建更加完善的个人信息保护法律制度体系。     

个人信息国家保护义务及展开

个人信息保护法体系建构的基础是国家在宪法上所负有的保护义务,该义务对应着"个人信息受保护权",而不是"个人信息权"。将个人信息作为私权客体的权利保护模式,在规范逻辑、制度功能等方面存在局限;应以"个人信息受保护权—国家保护义务"框架建构个人信息的权力保护模式。在数字时代,个人信息国家保护义务意味着国家不仅应履行尊重私人生活、避免干预个人安宁的消极义务,还应通过积极保护,支援个人对抗个人信息处理中尊严减损的风险。基于控制"数据权力"这一侵害风险源的需要,国家一方面应避免过度侵入个人信息领域;另一方面应通过制度性保障、组织与程序保障以及侵害防止义务的体系化,营造个人信息保护的制度生态。     

风险治理视角下的个人信息保护路径

数字时代应有效回应信息科技引发的新型信息风险。日益广泛的个人信息处理行为不仅可能会给个人带来多种风险,影响个人人格的全面自由发展,而且可能会对社会与国家造成重大安全隐患。有效保护个人信息,既需要公私主体消极不侵犯个人信息,又需要国家通过不断完善体制机制积极治理信息风险。在风险治理组织上,宜吸收大部制机构改革的历史经验,设立统一的个人信息保护专门机构实施“一站式监管”。在风险预防措施上,应对个人信息进行科学的分类分级以进行不同安全等级的信息风险预防,并以安全与效率的平衡为理念设计个人信息保护影响评估、个人信息出境安全评估等制度。由于个人信息保护执法裁量空间巨大,有必要努力制定个人信息保护处罚裁量基准,并探索执法和解机制以促进企业合规。为了更全面有效地进行信息风险治理,应逐步放宽个人信息保护民事公益诉讼,强化个人信息保护行政公益诉讼。     

论个人信息法律保护的思想渊源与基本原理——基于“公平信息实践”的分析

公平信息实践构成了全球个人信息保护的思想渊源与基本框架。对公平信息实践的演化和全球各个版本公平信息实践的原则进行总结,可以发现公平信息实践确立了以个人信息赋权与施加信息控制者责任的进路。但强化个人信息赋权却未必符合个人信息保护的基本原理,并不一定能够很好地保护个体的隐私权益。同时,对信息控制者施加某些责任也未必符合大数据的基本特征,不能恰当地利用与保护个人信息。本文提出大数据时代的公平信息实践版本,主张采取有限个体主义与动态化的个人信息保护。这一公平信息实践的版本强调平衡个人信息收集、处理和流通中的个体预期与社会预期,强调发挥个人信息的公共性价值与风险防范的个人信息保护进路。     

数字时代隐私权保护的立法因应

数字技术在为人类生活带来便利、促进数字经济发展和数字服务能力及效率提升的同时,使自然人隐私权面临以保障安全和发展经济为名的潜在威胁、数字伦理缺失等多重消解风险。当下中国形成了以《数据安全法》保障数据安全、以《个人信息保护法》规制个人信息处理活动、以《民法典》保护自然人隐私权的立法模式。但在数字时代,上述立法模式存在对个人信息和隐私界定不明、缺少流动场景下对隐私权社会属性的重视、隐私权法律救济和责任规制缺失、国内外的隐私权保护立法衔接不足等问题。在数字时代,我国对隐私权保护立法的完善,应从法理和适用规则上界分隐私和个人信息,依群体分类保护隐私权,完善私密信息的法律救济规则,健全对重点场景和行业的法律责任追究机制,建立公平公正的数字贸易与隐私权保护国际规则,强化自然人对数字社会治理的参与等。     

数据泄露中企业对用户的损害赔偿问题研究

非法抓取、窃取、破坏数据库数据的行为使得数据企业与用户承受了巨大损失.在用户数据权益保护方面,《数据安全法》第27条规定了网络运营者对用户数据的安全保护义务,但如何对用户进行损害赔偿尚不明确.在用户数据权利尚未被立法确认的前提下,可以以《民法典》第1197条、1198条为请求权基础,结合数据经营实践确定"知道或应当知道"、"采取必要措施"以及"违反安全保障(数据安全保护)义务"的具体标准,构建用户数据权益救济框架,使违反义务的企业承担损害赔偿责任.     

公共空间应用人脸识别的法理逻辑与制度建构

风险社会下,为应对空前激发的安全保障诉求,公共空间开始普及人脸识别应用,产生了个人身份建构权侵犯等风险。公共安全保障不得以牺牲个人利益为代价,人脸识别在公共空间的大规模运用应以公共安全保障与个人身份保护并重作为价值目标,体现从个人信息有序共享向个人身份保护的理念转换。为平衡公共安全与个人身份保护,应构建法律、技术、伦理"三位一体"的系统规制体系。具体而言,我国应强化公共场所管控者的"守门人"义务,明确开发者基于信息身份保护的设计义务,同时培育公众的"数字理性"素养。     

论数据安全保护义务

数据安全保护义务贯穿于数据产权、数据要素流通和交易等基本制度，对于保护民事主体的合法权益，维护国家安全，促进数字经济的发展，至关重要。我国数据安全义务的规范体系由数据安全、网络安全与个人信息保护三个方面的法律组成，存在相应的适用顺序。当事人也可以约定数据安全保护义务。任何实施数据处理活动的组织或个人都是数据处理者，负有数据安全保护义务。数据处理者应当根据数据安全风险确定所采取的相应的技术措施和其他必要措施，重要数据的处理者还负有两项特殊的义务。数据处理者违反数据安全保护义务，导致数据被第三人取得进而被非法利用，造成他人损害的，直接侵权人应当承担全部的赔偿责任，而数据处理者应承担与其过错、原因力相应的赔偿责任。     

网络平台间接侵权责任的法理基础与体系展开

学界通常将网络平台对用户侵权内容的责任认定为间接侵权责任，但对该间接侵权责任的法理基础尚未达成共识。传统归责路径将其定位于帮助侵权责任或妨害人责任，但均会产生负面体系效应。网络平台的商业模式加剧了网络用户侵害第三方权益的风险，其应当负有危险源防控型安全保障义务，采取合理防范措施将这种危险控制在合理范围内。安全保障义务就其性质而言属于注意义务，故解释论上可以将网络平台责任重新整合至基于违反注意义务的一般过失侵权责任概念中，我国民法典第1195条第2款和第1197条均可统合在这一责任基础之上。以此为基点，网络平台与用户之间构成半叠加型同时侵权，网络平台仅就其不作为造成的损害扩大部分与用户承担连带责任。     

我国《个人信息保护法》中的“守门人”条款

大型平台是数字经济的关键构成要素,在终端用户与商业用户的交易中发挥着中介作用,承担着二者之间守门人的角色。我国《个人信息保护法》借鉴了欧盟《数字市场法提案》和《数字服务法提案》,设专条对提供重要互联网平台服务、用户数量巨大、业务类型复杂的"守门人"进行了规范,要求其建立健全个人信息保护合规制度体系,成立主要由外部成员组成的独立机构对个人信息保护情况进行监督,制定平台规则明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务。"主要由外部成员组成的独立机构"存在争议,且与"个人信息保护负责人"存在职能重叠,其关系有待厘清。定期的风险评估应成为个人信息保护合规的重要内容。在实践中应对"提供重要互联网平台服务、用户数量巨大、业务类型复杂"进行限制解释,以更好地促进数字经济的发展。     

网络服务提供者的安全保障义务

作为我国网络服务提供者责任的立法范本,美国1998年《数字千年版权法》的假想规范对象是单纯的技术支持提供者,其特征是被动性、工具性和中立性。然而,二十一世纪的网络服务提供者以网站为平台,在相当程度上扮演着社会性场所管理人、群众性活动组织者的角色。鉴于此,有必要重塑网络服务提供者责任的法理基础,即采纳传统的安全保障义务理论,以"开启或加入交往空间者对其中的他人负有安全保障义务,应在合理限度内照顾他人权益"为网络服务提供者注意义务的基本原则。与物理空间中的安全保障义务一样,网络空间内的安全保障义务只是"合理的注意",而非无限的安全保证,它并不意味着对一切信息进行24小时不间断的监控,而是要看具体情形的危险性。     

公共空间运用大规模监控的法理逻辑及限度——基于个人信息有序共享之视角

为应对现代化进程中的社会风险,安抚公众对风险的恐慌情绪,公共空间大规模监控随之诞生,并迅速在现实社会和网络空间中全面运用。公共治理不能取安全保障而舍隐私保护,公共空间大规模监控的运用并非以牺牲隐私权为代价,而是在保障安全法益的同时兼顾隐私法益的保护。在此"既保障安全,又保护隐私"的法理念下,公共空间大规模监控的运用体现了风险治理从个人本位走向社会本位的转变趋势,并促进了个人信息保护从自主支配到有序共享的逻辑转换。为寻求安全保障与隐私保护之间的平衡路径,在公共空间合理运用大规模监控措施,就必须加强信息收集、存储、使用的阶段性控制,建立个人信息合理使用制度,实现个人信息的有序共享。     

“个人信息侵权”方案的反思及其重塑

以个人信息自决权为理论基础、抽象风险损害化为构建策略的“个人信息侵权”方案,在司法实践中暴露出冲击侵权责任制度、不当限制行为自由、诱发诉讼泛滥等缺陷,正当性存疑。个人信息权益并非个人信息自决权,而是以控制处理风险为目的的工具性权利,其与私法人格权构成屏障结构而非并列关系。侵害个人信息权益仅造成抽象风险的,个人信息权益本身即可为个人提供控制手段,将抽象风险视为损害的侵权责任方案扩张失度且无必要。侵害个人信息权益的损害赔偿责任,仍应以损害发生为前提。当非法处理活动被主行为吸收时,不成立“个人信息侵权”的竞合形态与替代形态,侵权责任依主行为认定。单独的非法处理活动符合侵权责任的违法性要件,归责原则为过错推定原则。