大数据时代个人信息保护的法律完善

我国个人信息保护立法经历了从无到有、从少到多、从点到面、从面到体的发展过程，呈现出从注重保护到兼顾保护与利用、从整体框架设计到配套制度供给、从普适性规范到特定行业规范的发展趋势。大数据时代的个人信息保护面临两方面挑战，一是个人信息保护法域外效力制度缺乏可操作性，二是区块链、ChatGPT等新技术新应用带来的法律挑战。对此，应当进一步完善个人信息保护法，提升个人信息保护法域外效力制度的体系性，加强个人信息保护法域外效力制度的国际性，明确区块链责任主体和个人信息权利实现方式，注重对ChatGPT个人信息处理活动透明度的监管，以更好地保护个人信息。     

浅析个人信息保护法的立法模式——以“人肉搜索”作为分析对象

“人肉搜索”现象的出现不得不引起我们对隐私权的思考。基于我国法律保护现状,个人信息保护法的出台迫在眉睫。本文在考察各国关于个人信息保护的现状基础上,基于法经济学“财富最大化”的观点,认为美国“自由流通论”式的立法模式应该是我们的首选。     

个人信息的私法保护模式研究——《民法总则》第111条的解释论

随着大数据技术的开发应用,个人信息主体与信息收集利用者分别从不同角度对个人信息主张权利。但何为个人信息?如何配置权利?答案应建立在法益保护与数据开发利用的二元价值平衡基础上。美国和欧盟代表两种不同的取舍模式。介于二者之间,中国早期采纳"美国式实践",近来又转向"欧盟式立法",后者彻底开放了个人信息的边界。为兼顾信息开发利用价值,个人信息的认定标准宜作合目的性限缩和情境化改造。在保护模式的选择上,美欧正趋同于"积极确权+行为规范"模式,中国属于单一的"行为规范模式",这为信息收集利用提供了相对明确的合规指引,但个人信息主体的法益保护范围只能根据相对人的行为界限作反推,解释论上因此丧失了法益保护的裁量空间,进而难以对承载不同法益内容的身份和行为信息提供差别化保护。解释论之矫正需引入人格权概念作为裁量平台,以此构建法益保护与行为自由的比较权衡框架。     

中华人民共和国个人信息保护法示范法草案学者建议稿

20世纪70年代美国公布的《公平信用报告法》和德国黑森邦1970年的资料保护法分别拉开了美、欧个人信息保护立法的序幕,随后有二十多个国家相继完成了有关个人信息保护的立法。在1980年OECD通过《关于隐私保护和个人资料跨国流通指针》后,欧洲议会、欧盟以及联合国等国际组织和地区组织先后出台了个人信息保护的公约、指令和指南,这些国际文件将个人信息保护立法迅速推向了全球。个人信息保护立法之要旨,固然在于自然人人格利益的保护,但同时,个人信息作为信息社会的一种重要的经济资源,尤其对发展中国家的国际贸易来说具有重要的战略意义。故此,个人信息保护立法的另一要旨是规范个人信息的商业利用,尤其是国际贸易中个人信息的跨国流通。本刊推荐的这份《个人信息保护法草案建议稿》挣脱了美国分散立法模式的束缚,取法德国模式进行统一立法,较好地为个人信息的保护和利用提供统一的行为规范。同时,扬弃了美国的隐私权理论而将权利基础定位在人格权理论之上,为个人信息保护立法找到了适合我国法律体制与人格权观念的立足点。在国际贸易方面,做到了既兼顾个人信息的合理流通,又加强了我国对个人信息资源的合法保护。     

论个人信息保护请求权的行使

个人信息保护请求权是为保护个人的知情权、决定权等个人信息权益及其最终保护的若干基本人权、宪法上的权利与自由、民法上的人格权等而设立的程序性权利。《个人信息保护法》第50条规定了个人信息保护请求权的具体行使方式。个人就个人信息保护请求权提起诉讼的，应以个人信息处理者拒绝其行使权利的请求为前提。人民法院处理个人信息保护请求权纠纷，应依据法律、行政法规的规定对个人信息处理者拒绝个人行使权利的正当性进行审查。符合行使个人信息保护请求权的起诉条件的，个人可以就维护权利的合理费用一并提出损害赔偿请求。个人因个人信息被侵害受到人身、财产损害的，可依据《个人信息保护法》第69条的规定直接提起诉讼，不以向个人信息处理者先行提出损害赔偿请求为前提。     

捍卫权利模式——个人信息保护中的公共性与权利

个人信息权和个人信息受保护权是两种相对立的模式,学界通常认为个人信息权赋予个人排他性的支配权,这与个人信息的公共性相矛盾。个人信息的公共性并不必然反对权利模式。一种广义的公共性包含着个人信息所负载的公共利益,个人信息的公开化也是网络时代个人和商业交往的必要前提,但这并不意味着要否定个人信息保护的权利模式。公共利益具有多样性,正是某些公共利益支持了权利。权利所蕴涵的主张权确保了人的尊严和自由,这也是个人信息保护法的立法宗旨;个人信息受保护权做不到这一点,它不具有义务指向性。但在立法模式上,个人信息保护法要以义务性规范或禁止性规范为主,这是由网络空间个人信息的性质决定的。     

个人信息的双重属性与行为主义规制

个人信息的法律保护依赖于公法对个人信息的定位。在公法与公法理论上,有两种看待个人信息的观点。一种观点认为个人信息权是一种基本权利,个人信息应当受到法律的确权保护;另一种观点则将个人信息视为他人言论自由的对象,个人信息的自由获取与使用受到法律保护。但这两种观点都无法从整体上理解个人信息,个人信息权的观点忽视了个人信息的自由流通属性与公共属性,而个人信息作为言论自由对象的观点则忽视了个人信息背后的多重权益。个人信息兼具个体属性与社会流通属性,应当确立一种"个人信息相关权益被保护权"。从个人信息的双重属性出发,个人信息保护应当在具体场景中确立个人信息收集与利用行为的合理边界。基于场景的行为主义规制更为符合个人信息保护的根本特征,也将为中国的个人信息保护提供一条超越欧美的中国道路。     

论个人信息保护中的人格保护与经济激励机制

个人信息保护制度中的"知情—同意"框架偏向于通过信息主体自治以保护个人信息,这一路径选择对信息的合理流通和利用构成了严苛的限制,实践中也存在形式化问题。从理论基础和经验逻辑看,"知情—同意"规则需要考虑更为具体的场景;而在具体场景中,对信息主体的经济激励机制可以引导和促成信息主体的"同意"。因此可以将经济激励作为同意的促成机制,这有助于在不偏离"知情—同意"规则的前提下,为个人信息保护与数据合理利用双重目标的实现提供一种平衡方案。通过经济激励机制,信息处理者可与信息主体共享数据利用产生的经济收益,由此适当突破"必要性原则",获得超出为信息主体提供服务之目的的数据处理权限。但经济激励机制亦需受到内容和形式上的限制,避免被泛化为普遍适用的数据处理后门。在当前我国个人信息保护法的制定中,可以考虑引入经济激励制度,构建人格保护与利益激励相结合的"二元机制",在坚持人格保护的原则下,通过经济激励机制有效平衡个人信息保护与信息的合理流通和利用。     

基因隐私权的民法保护

以传统隐私权保护为基点的现行立法与司法,无法完成现代隐私权,特别是个人信息隐私权所强调和要求的保护架构.在权利配置上,无法实现对传统隐私权按照个人信息处理程序的不同阶段进行权利增设与重置.在保护机制上,无法通过司法能动主义建立个人信息隐私权,特别是基因隐私权所要求的公共监督框架.因此,在后基因组时代,应当坚持以个人信息法作为个人信息(包括基因信息)保护的基本制度框架,在个人信息法的范围内,对作为高度敏感个人信息的基因信息予以特别处理.     

信息控制权法理与我国个人信息保护立法

民法典没有明确规定自然人的个人信息控制权是遗留课题,有待后续地方立法和国家立法进一步完善.深圳经济特区数据条例规定了自然人、法人和非法人组织、国家的数据权,未做实质区分.我国个人信息保护法草案二次审议稿规定了个人信息决定权等若干权利.信息的人格属性集中体现在其可识别特定自然人的性质,属于区别不同自然人人格权的客体种类....     

两岸四地的个人信息保护与行政信息公开

在促进政府信息公开的同时,对于个人信息的保护同样不能忽视。从大陆与台港澳地区对个人信息保护相关法规的规范比较看,四地对于个人信息的法律界定与保护程度不尽相同。其原因在于各自的法律文化背景不同。在处理行政信息公开与个人信息保护的冲突时,应秉持权利平等保护、公共利益优先、平衡协调与权利救济原则。对于信息自由流动与个人信息权利保护之间的平衡,台港澳地区的做法对大陆不无启示和借鉴。     

欧美个人信息保护比较

关于个人信息的保护方式美国和欧洲存有差异,本文主要对美国及欧洲大陆法系国家关于隐私权保护的立法模式及其对个人信息保护的影响作以比较,以期对我国个人信息及隐私权的保护立法有所借鉴。     

论《民法典》个人信息保护规则蕴含的权利——以分析法学的权利理论为视角

在分析法学的权利理论中,权利和义务的关联性原理得到了普遍认可.当然,这种关联性也存在例外.不存在对应权利的义务类型可被归纳为"对世义务".《民法典》第1035条第1款第1项是一个义务性规则,确立了个人信息处理者在通常情况下征得自然人或其监护人同意的义务.该义务具有明确的相对人,不属于"对世义务",应存在对应的权利,即信息主体对同意与否的决定权.《民法典》第1037条更是采用授权性规则的立法表达,赋予了自然人查阅、复制、更正、删除个人信息的权利.可见,我国《民法典》虽然没有明确使用"个人信息权"一词,但在个人信息保护规则中已经存在具体的权利内容.《民法典》分别使用义务性规则和授权性规则的立法表达,有其合理性和重要意义.我国正在制定中的个人信息保护法拟设专章规定"个人在个人信息处理活动中的权利",其中明示的权利有着《民法典》上的渊源,在性质上具有私权属性.     

美国信息隐私立法透析

美国法以隐私权作为个人信息保护的权利基础,在公领域,实行分散立法模式;在私领域,美国选择了行业自律模式,在全球个人信息保护立法中产生了巨大的影响。美国制定信息隐私保护政策和法律的基本思路是力求在信息流通和隐私保护之间寻求平衡。信息隐私权是美国信息隐私法上的一个核心概念,它是随着社会对个人信息的保护而产生的,指个人针对其信息所享有决定权、支配权和控制权。     

数据共享与个人信息保护

随着互联网和大数据技术的发展,数据共享现象日益普遍。数据共享是一种重要的数据利用方式,也是数据流通和数据产业发展的重要基础。数据共享中的个人信息仍然属于信息权利人的权利,与个人信息的收集、利用行为一样,数据共享也应当获得信息权利人的授权。我国民法典人格权编在规定个人信息权利时,应当规定数据共享规则,数据共享规则的设计应当妥当平衡数据流通与信息主体权利保护之间的关系,在具体设计数据共享规则时,应当在区分不同个人信息类型的基础上,设计信息主体的授权规则。     

权利抑或利益：个人信息保护立法模式之辩

当个人信息保护与数据流通发生冲突时,基于利益衡量,原则上应力求二者关系的协调,但无法衡平时个人信息保护应处于优先地位。检视个人信息利益的保护模式,其中一般人格利益模式和纯粹的民事利益模式均存在缺陷。运用德国权益区分理论,在法教义学上审查可知应当确立个人信息权利模式。基于应更侧重于人格权益的保护、作为具体人格权可兼顾数据流通、可实现多途径救济等因素的考量,将个人信息权利合目的性限缩为具体人格权。在个人信息保护法的制定中,还应注重场景适用具体规则的构建,包括应排除纯粹私生活领域的信息行为,确认为维护公共利益处理个人信息的行为,强化商业领域信息处理的规制力度。     

论个人信息保护的专责机关

个人信息保护有赖于政府积极作为,如何设立专门的监督机关落实个人信息保护事务,虽因立法及行政体制有所差异,但绝大多数国家和地区均认为个人信息保护专责机关对个人信息的守护、平衡隐私和促进个人信息自由流通具有举足轻重的作用.中国个人信息保护立法对此规定并不明确且将规制权力分散于诸多部门之中,分散型规制体制因执法责任边界不清而呈现规制真空或者重叠的现象.设立个人信息保护专责机关,是国家通过组织运作保障个人权利的重要体现,对行政组织法理提出了更高要求.分殊化的行政组织设计,可以充分发挥行政组织作为规制手段的作用,不仅有利于促进统一规制和部门协调的实现,更有益于丰富行政组织法的研究.     

社会诚信建设与个人权利维护之衡平——论征信体系建设中的个人信息保护

个人征信体系建设是我国推进信用经济发展的标志。个人征信是指依法设立的专门从事信用信息服务的征信机构,收集、处理和提供个人信用信息的行为。个人信用信息包括个人基本信息、个人信贷交易信息以及反映个人信用状况的其他信息。建立个人信用数据库的目的在于打造诚信社会,而大量的个人信用信息收集又使得个人权利面临重大的危险。个人信息之上体现的权利是一种基本人权,它包括公民的基本权利、自由,尤其是人格权。个人信息保护法立法的目的之一是事先个人权利保护和促进个人信息的合法合理使用之衡平,反映在个人信用信息这一具体制度构建方面,就是从促进信用经济健康发展的角度,在征信机构的利用和个人权利之间寻求平衡。     

个人信息权的体系化解释——兼论《个人信息保护法》的公法属性

《个人信息保护法》是数字时代个人信息保护的基本法。它采取了将个人信息权作为新兴公法权利的思路,确立了完整的个人信息权利保护体系,在个人信息保护问题上和《民法典》一起形成了公私法共同协力的进路。《个人信息保护法》以权利束的方式规定了个人信息主体的知情权、决定权、查阅权、复制权、更正权、删除权、可携带权和信息权利救济权等。《个人信息保护法》从立法依据、权利体系、条文设计和规制措施上都体现出鲜明的公法属性,这也可以从基本权利的双重面向和个人信息国家保护义务得到理论上的证成。这部法律是数字时代公法秩序的基石,它对公法边界的形塑仍需通过其实施来确立。     

劳动者个人信息保护的法律价值、基本原则及立法路径

由于传统隐私权制度的局限性,我国应建立职场劳动者个人信息保护制度,以充分保护劳动者的隐私和个人信息权利.劳动者个人信息保护,除了具有个人信息保护的一般价值外,还有助于实现劳动者或求职者的平等权、言论自由权以及工作中的权利等.劳动者个人信息保护除了应遵循个人信息保护的一般原则,诸如合法、公正、必要和透明等原则外,应将比例原则确立为核心原则,在信息处理中平衡雇主合法利益和雇员隐私权利.由于劳动关系的性质以及雇主和雇员地位和实力的不平衡,知情同意原则的适用应严格限制,原则上,雇员同意不能单独作为雇主处理个人信息的合法性基础.借鉴国外尤其是欧洲国家的立法经验,我国应在个人信息保护法中规定劳动者个人信息保护的一般条款,并通过制定行政法规规定具体规则.同时,行政机关、工会或企业组织可发布职场个人信息处理的行为指引,企业和工会也可通过集体协议或规章制度约定或规定涉及个人信息保护的有关事项.