以专门法律为主，以相关法律为辅

近日，129名电信网络诈骗犯罪嫌疑人（大陆51人、台湾78人）乘坐中国民航包机被公安机关从亚美尼亚带回，涉及中国大陆10多个省份的一批跨境电信网络诈骗案成功告破。这是公安部部署开展打击电信网络诈骗犯罪专项行动取得的又一重大战果。图为在广州白云国际机场，电信诈骗犯罪嫌疑人在公安民警押解下走下飞机（9月2日摄）。

新华社记者 梁旭 摄

编者按

山东临沂准大学生徐玉玉遭遇“精准诈骗”猝死之后，更多的网络电信诈骗案接连曝光——临沂市一男大学生遭遇电信诈骗后心脏骤停，不幸离世；北京七旬老人被电话诈骗百万积蓄；清华大学一老师被冒充公检法单位的不法分子诈骗人民币1760万元……

屡屡发生的诈骗案，凸显出个人信息保护力度欠缺正日益成为人们心中之痛。

大数据时代之下，个人信息是否受到应有的保护、受到保护的程度高低，既体现了法律对公民权利的尊重和保护水平，也在一定程度上反映了一个社会的整体文明程度。

今日，本报撷取相关专家与一线法官关于个人信息保护的分析、建议，希望能为我国个人信息保护法律体系的完善以及司法实践提供思路和借鉴。

□ 姚辉 张璇

大数据时代下，信息传播速度之快、传播范围之广、传播方式之多，使得个人信息保护不能再依赖于某一法律分支。应以全局性和系统性思维构建个人信息保护的多元化法律体系，以期在大数据时代下，在立法和司法两个层面、在公法和私法两个框架下实现对个人信息的全方位保护。

我国个人信息保护的立法现状与问题

我国关于个人信息保护的立法尚不成体系，也没有专门的立法，主要通过公法中刑法相关条文、民法中关于名誉权和隐私权的相关规定等进行保护。

公法层面：

宪法。我国宪法没有对个人信息进行保护的直接规定，但通过第38条关于“公民人格尊严不受侵犯”、第39条关于“公民住宅不受侵犯”、第40条关于“公民的通信自由和通信秘密受法律的保护”，间接体现对个人信息的保护。

刑法。刑法关于个人信息的保护主要体现在《刑法修正案（七）》第253条“出售、非法提供个人信息罪”“非法获取公民个人信息罪”和《刑法修正案（九）》的“侵犯公民个人信息罪”中。

私法层面：

我国私法层面的个人信息保护，主要体现在民法框架下的保护，包括基本法、特别法和司法解释三个层级的法律规范。

民事基本法。民法通则第5条关于“公民的合法的民事权益受法律保护，任何组织和个人不得侵犯”的规定，可以视为对个人信息进行民法保护的基本依据。第99~102条分别规定了公民姓名权、肖像权、名誉权和荣誉权受法律保护，由于个人信息与上述权利的边界存在重合部分，因此，上述规定可以实现对个人信息的间接保护。第六章民事责任部分，则可以视为追究侵犯个人信息行为责任的依据。

民事特别法。侵权责任法作为民事特别法，较民法通则做了更为详尽的规定，该法虽也没有规定“个人信息权”，但第2条“本法所称民事权益，包括……隐私权等人身、财产权益”明确了“隐私权”作为一种民事权益；由于隐私系个人信息的一部分，故该条规定可以视为是对个人信息民法保护的直接法律依据。此外，侵权责任法率先在民法领域提出了网络侵权应当承担的责任，为大数据时代下个人信息的民法保护提供规范支持。

此外，2012年12月，全国人大常委会颁布的《关于加强网络信息保护的决定》，首次以法律的形式肯定了公民个人信息受保护地位，明确了网络服务提供者的义务和责任，并赋予政府主管部门必要的监管手段。该决定在一定程度上解决了我国网络信息安全立法滞后的问题，为个人信息保护提供了基本的法律依据。但由于该法中关于个人信息范围的局限性、缺乏对信息管理者的规定等不足，其适用力度和实质效果并未达到预期目的。

司法解释。2014年之前，《关于审理名誉权案件若干问题的解答》《关于确定民事侵权精神损害赔偿责任若干问题的解释》等司法解释间接对侵犯与名誉权相关的个人信息的行为进行了界定。

2014年，《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》出台，其中的第12条，列举了自然人基因信息等“个人隐私和其他个人信息”，第一次在规范性文件中区分了个人隐私和个人信息，并明确了“个人信息”作为法律保护的对象。

其他相关法律规范：

除了上述相关法律规范之外，居民身份证法、商业银行法、执业医师法、邮政法、统计法、未成年人保护法等法律也对特定机构或特定行业收集、处理个人信息以及信息管理者进行了一定的规范。但这些法律具有行业和行为的局限性，在个人信息保护方面并不足够。

构建我国个人信息保护的多元化法律体系

我国与个人信息保护相关的现行法律规范存在体系散乱、法规之间相互冲突、保护范围狭窄、监督和救济机制缺失等缺点；现行司法保护体系则存在缺乏独立权利基础、过度依赖其他权利格局、举证责任分配不合理等缺陷。笔者尝试结合上述分析，就立法和司法保护提出完善建议，以期对构建我国个人信息保护多元化法律体系提出有益思考。

立法路径。一部统一的专门法律，既有利于为个人信息保护提供周全的保护，彰显我国对大数据时代下个人信息保护的关注和作为，引导公民尊重、合理运用他人信息，也能提升我国在国际上参与制定个人信息保护政策的地位。因此，笔者建议出台专门的个人信息保护法，以法律形式确定公民个人对其信息享有基本权利，完善“个人信息”的立法界定、企业收集和使用个人信息的基本规定，并对与个人信息保护相关的重大问题和基本制度进行明确。同时，注意与国际接轨，对数据跨境流动规则等基本问题作出制度回应。

同时，结合现存的立法和司法问题，对已有的公法和私法规定进行完善，尤其是消除现有法律规定的局限性，对其中不够明确的予以明确，为法律适用提供好法律指引。最终形成“以专门法律为主、以相关法律为辅”的射线型法律体系。

立法模式。首先，在个人信息保护专门立法的原则方面，需要考虑本国互联网产业的发展和现实的需求。尤其是要在个人信息保护和合理利用方面作出平衡，不能单方面地强调而忽略合理利用，导致互联网产业丧失活力。因此，尽管欧美、日本等发达国家在此方面的经验较为丰富，但需要在比较甄别的基础上，结合我国的法律传统和具体国情，进行选择性借鉴。例如，在立法精神上，可以借鉴美国模式中“注重个人信息保护与社会经济发展的平衡”原则；在规范路径上，则可以借鉴欧盟和日本进行专门性立法的模式。

其次，在规范结构方面，建议在专门立法中分为公法和私法两方面内容。公法方面主要是对公权力运用、管理个人信息的限制，以及对行业协会制定与个人信息保护相关规定时的引导和规范；至于刑法中关于个人信息保护的规定，建议不在专门立法中明确，但可以制定一条“引用型”法条，指向刑法中的相关规定。私法方面，建议将民法通则、侵权责任法等法律，邮政法、商业银行法等经济法以及其他相关司法解释中关于个人信息保护的特别规定均纳入。

完善相关诉讼规则，界定司法保护边界

立法之外，在司法实践中，建议完善民事诉讼相关规则。研究举证责任倒置给数据收集和处理方的可行性。另外，更多地利用合同方式解决大数据环境下的个人信息保护问题。尤其在与个体相对的是商业机构，双方建立的是网络服务合同关系的情况下，一方面可以引入格式条款的解释原则帮助用户实现权利，另一方面可以通过裁判引导双方以合同方式约定安全保障责任，尤其是在有第三方参与者的情况下，数据所有者向其后的信息利用方应拥有追索权。

建议界定司法保护的边界。司法的另一项重要任务是进行利益的平衡。在个人信息保护和合理利用两种法益产生冲突的情况下，应以裁判的方式明确司法保护的标准，为个人信息的合理使用划定边界。

例如，近期某省高院与淘宝平台合作，利用淘宝收货地址寄送法律文书以解决“送达难”的问题。“司法送达”虽不属于对个人信息的商业性利用，但电商将客户个人信息提供给司法机构是否属于合理利用，或者构成侵权或服务合同违约等问题，都是需要厘清的问题。

（姚辉，中国人民大学法学院教授、博士生导师；张璇，北京市海淀区人民法院法官）