信赖理念下的个人信息使用与保护

现行的个人信息保护法律规范,以“主客体二元对立”思维下的“理性人”理念为指引,通过强调个人信息主体的自主支配、自主决断和自己责任,来平衡个人信息的使用和保护。为此,个人信息保护法律规范的整体功能,主要限于确保信息主体自主控制的实现,以及保护他们免受可举证证明的非法侵害。但是在大数据时代,个人信息保护的“理性人”理念面临着诸多困境,如“信息决策困境”、“控制权失衡”问题、“责任配置错位”问题、“损害制度失灵”问题、“安全感困境”以及“信赖缺失”问题。这导致个人信息保护法律规范内含个人信息主体和个人信息控制者之间的紧张对立关系,难以有效增强他们之间的互信。为了促进信息社会的可持续发展,个人信息保护立法应该更新理念,构建一个在“信赖”理念指引下的信义义务制度,以作为对现有制度的补充。     

个人信息权作为民事权利之证成:以知识产权为参照

个人信息有别于数据,也不同于隐私。它以个人敏感隐私信息为内核,往外扩散,其边界处于相对确定的状态。以知识产权为参照,相对确定的边界并不影响个人信息的权利化保护。以尊重人格尊严和自由为理念,以个人信息的自我决定或自我控制为理论基础,个人信息权宜定性为人格权。无形的人格特征具有财产利益,在原理上亦接近于以知识产权为代表的无形财产权。个人信息与知识产权的客体类似,均是特定的信息,其权利不能架构在占有的基础上,不是对客体的圆满状态的控制。可借鉴知识产权的"行为规制权利化"的构建路径,以同意、访问、查阅、抄录、复制、更正、删除等具体行为为支点,形成包含个人信息利用的知情权、个人信息利用的决定权以及保护个人信息完整准确权这三方面内容的个人信息权。个人信息权可以满足绝对权的特征,融入民事权利体系中的绝对权大家庭。     

个人信息处理者的自动化决策解释义务研究

自动化决策的广泛应用在提高决策效率的同时,对个人信息主体权益产生重大影响。在应用自动化决策场合,个人信息处理者应承担自动化决策解释义务。自动化决策解释义务的规范理据可从个人信息处理的透明原则、个人信息处理者的告知义务以及个人享有的个人信息权益中推导出来。由于自动化决策解释义务的解释对象模糊、解释标准不明且与商业秘密存在冲突,需要对自动化决策解释义务进行限定。自动化决策解释义务的解释对象应仅限于事后的具体解释,以技术专家为主导,面向特定场景中的算法决策相对人,探索理性化的解释标准,并基于比例原则指导下的利益权衡,调和自动化决策解释义务与商业秘密之间的矛盾。     

人脸识别治理的国际经验与中国模式

人脸识别是人工智能技术发展的重要应用。人脸识别应用为公共安全、法律执行及社会管理带来诸多便利,但其也可能对个人隐私与自由、人格尊严、人身及财产安全带来风险。因此,这一技术在许多国家的法律上仍存在争议。基于我国经济和社会发展实际情况,不宜采取一刀切式禁止,而应充分考虑其所可能带来的风险,由法律进行严格规制。     

个人数据反对权的欧盟范式及中国方案

个人数据反对权是加强数据主体对自身数据自觉自控的一项重要权利,其运行机制兼顾权益保护与数据自由,体系定位与其他数据权利具有紧密的内在联系和行权逻辑。作为个人数据权利保护的先行者,欧盟率先采取赋权模式建立起较为成熟的个人数据反对权制度,为世界提供了最为典型的立法例。通过梳理欧盟个人数据反对权的设权历程、剖析其实施效果可以发现,个人数据反对权的权能范围和行权规则有待进一步明确和细化,以增强权利的适用性。我国现行立法并未对个人数据反对权做具体规定,但在多处均有所涉及,具备构建该权利的现实基础和立法资源。为提高个人数据保护水平,我国可借鉴欧盟个人数据反对权之策,从权利体系、权利功能及权利内容出发,构建中国特色个人数据反对权。     

香港个人资料隐私保护之经验——兼论我国个人资料保护法之制定

个人信息作为信息的一种,具有与信息相同的特征。个人资料属于现代隐私的外延,指的是可以识别出个人的所有资料。我国香港特别行政区已于1996年12月实施了《个人资料(私隐)条例》。在实施的十年间,法院与香港个人资料私隐专员公署分别做出了一些司法原则和执行决定,很值得我国在制定《个人资料保护法》时加以参考与借鉴。     

大数据时代个人信息无形损害的正当性基础与认定规则

自人类步入大数据时代后,个人信息侵权领域出现了一种区别于传统损害类型的新型损害——个人信息无形损害。此种损害类型通常无法满足传统侵权法中损害认定的确定性与有形性要求,面临着难以显形、难以被预测、难以被计量的认定困境,在司法实践中通常无法获得救济。风险社会的风险分配原则、损害概念变迁的客观规律以及立法预防和震慑功能的有效发挥为救济个人信息无形损害提供了正当性基础。“类型认定+程度认定+数额认定”三层嵌套的认定规则体系能够破除个人信息无形损害的认定困境,在类型认定上完成个人信息无形损害的显形化,在程度认定上通过实质性损害风险来预测未来损害发生的可能性,在数额认定上采用法院酌定赔偿方式,并通过引入法定限额确立个人信息无形损害赔偿的最低标准,达到全面保护个人信息权益的效果。     

侵犯公民个人信息犯罪认定中的若干问题

《刑法》第253条之一是针对侵犯公民个人信息犯罪的规定,该条文由2009年2月《刑法修正案(七)》增设,旨在保护公民个人生活的安全,惩戒因个人信息被非法泄露而导致的人身、财产和个人隐私受到的严重侵害。结合上海首例侵犯公民个人信息犯罪的案例,在司法实践适用中,应该以折中说限定个人信息的范围,明确收买与收受个人信息行为的性质,并主要以受害程度,并辅之以信息数量、牟利数额、行为手段等作为情节严重的判断标准。     

刑法新增侵犯个人信息两罪之评析

《刑法修正案(七)》第七条新增设了出售、非法提供公民个人信息罪与非法获取公民个人信息罪,两罪的犯罪对象应适当扩展到所有值得刑法保护的公民个人信息;保护法益应由个人隐私权扩展到个人信息控制权,并包含个人信息财产权、个人信用权等;罪状设定也须进一步完善。