论消费者个人信息的法律保护

张菁菁

摘 要：消费者享有个人信息依法得到保护的权利是消费者权利的重要内容。在日常生活中，消费者个人信息被泄露或出售的现象较为突出，侵害了消费者的合法权益。因此，应以新《消费者权益保护法》确立消费者个人信息保护条款为契机，进一步加强消费者个人信息的法律保护，维护消费者合法权益。

关键词：消费者；个人信息；法律保护

一、消费者个人信息概述

1.消费者个人信息的界定

消费者是相对于经营者而言的一种法律主体。根据《消费者权益保护法》第二条规定，消费者为生活消费需要购买、使用商品或者接受服务，其权益受《消费者权益保护法》保护。因此，在法律意义上，消费者是指为生活消费需要购买、使用商品或者接受服务的人。①随着网络与信息技术的发展，电子商务顺势兴起，人们的消费领域不断拓宽、消费选择渐趋多元、消费过程更加便利，但消费者个人信息被泄露或出售的现象却愈发突出，消费者个人信息安全面临的考验亦愈发严峻。因此，必须进一步加强消费者个人信息的法律保护，维护消费者合法权益。

网络与电子商务法专家刘德良教授指出，“何谓个人信息，其具体范围如何，目前在理论、立法和司法上存在歧见。在立法上，就存在个人信息（personal information）、个人数据（personal data）和隐私（privacy）之别。”②从世界范围来看，不同国家或地区对个人信息的界定不尽一致，加拿大、日本、美国、欧盟等国家或地区的立法和研究在个人信息的概念表述、范围限定、保护模式等方面仍存有差异。在我国，关于个人信息的称谓也并不一致，除个人信息外，还有个人资料、个人数据等表述。③可以说，从不同的研究视角出发，对个人信息内涵和外延的认识也可能不同。美国合同法专家A.L.科宾指出，“有一种非常普遍的错误假设，即认为法律术语（例如合同）一定有一个绝对正确和永远正确的定义。而事实是，所有这样的术语都有许多用法，每一个人都可以随意地从中选择。只有在满足我们的需要和方便的范围内，一种用法才优先于另一种用法而被采用。”④在这个意义上，个人信息的概念至少应具备两个特征：一是须与个人的人格身份或财产状况密切相关；二是具有使某一个人成为一个明确的或可识别的自然人的属性。基于这种理解和认识，本文认为，消费者个人信息是指与消费者人格身份、财产状况及具体交易有关的信息，借助于这些信息，可以将某一具体交易中的消费主体和消费行为特定化。

2.消费者个人信息的范围

就个人信息的范围而言，刘德良教授认为，“个人信息不仅包括个人的名字、照片或各种形象、声音、特有的气味、DNA信息、指纹或声纹等直接个人信息，也包括其他一切可以间接识别出某一特定自然人身份的信息。”⑤结合消费者这一特定主体，本文认为，消费者个人信息的范围至少包括：一是与消费者的人格身份或财产状况密切相关的信息，即能使其成为一个明确的或可识别的自然人的有关信息，消费者的姓名、性别、民族、出生日期、住址、身份证号、本人相片、指纹信息、职业、联系方式、财产状况等信息应当被认定为消费者个人信息；二是消费者在交易过程中产生的消费记录等信息，例如，交易标的信息、交易时间及地点、消费订单号等信息；三是其他能够直接或间接反映消费者人格身份、财产状况及具体交易的信息。

3.消费者个人信息保护的意义

在消费者与经营者的关系中，消费者往往处于弱势地位，其维护个人信息安全的能力较为有限，且维护个人信息安全的途经亦较为缺乏。消费者个人信息被泄露或出售，无疑会加大消费者合法权益遭受侵害的风险，并容易让消费者产生不能放心消费的心理。因此，加强消费者个人信息保护不仅可以维护消费者合法权益，而且可以促进交易安全，有利于推动良好的消费环境的形成。根据2013年新修订的《消费者权益保护法》（以下简称“新《消费者权益保护法》”）第十四条规定，消费者在购买、使用商品和接受服务时，享有个人信息依法得到保护的权利。这一规定为消费者个人信息保护提供了直接的法律依据，对维护消费者合法权益具有积极的推动作用。

二、消费者个人信息法律保护的现状分析

1.消费者个人信息法律保护的规范分析

在新《消费者权益保护法》通过以前，《民法通则》等法律法规及相关司法解释在一定程度上也为消费者个人信息提供了法律保护。从法律规范的角度看，《民法通则》在“民事权利”一章明确规定公民享有姓名权、肖像权、名誉权和荣誉权等民事权利，并在“民事责任”部分明确规定了前述民事权利受到侵害时可以采取的救济措施。《民法通则》施行后，最高人民法院《关于贯彻执行〈中华人民共和国民法通则〉若干问题的意见（试行）》进一步将隐私权的保护纳入名誉权保护的范畴，即以书面、口头等形式宣扬他人的隐私，并造成一定影响的，应当认定为侵害公民名誉权的行为。由于不少个人信息都属于个人隐私的范畴，因此，对隐私权进行保护实际上也在一定程度上加大了对个人信息的保护力度。2010年7月起施行的《侵权责任法》亦明确规定侵害姓名权、名誉权、荣誉权、肖像权、隐私权等民事权益，应当依法承担侵权责任。值得关注的是，2012年通过的《全国人民代表大会常务委员会关于加强网络信息保护的决定》规定了“网络服务提供者和其他企业事业单位及其工作人员对在业务活动中收集的公民个人电子信息必须严格保密，不得泄露、篡改、毁损，不得出售或者非法向他人提供”，加强了对个人电子信息的保护力度。此外，《居民身份证法》、《刑法》等法律法规也有涉及与个人信息保护相关的法律规范。

应予以指出，上文关于个人信息保护的法律规范尽管并非专门针对消费者个人信息保护而设，但它们也为消费者个人信息保护提供了基础或依据。新《消费者权益保护法》确立消费者个人信息保护条款，可以说是个人信息保护在消费领域的延伸，丰富了消费者权利的内容。新《消费者权益保护法》第二十九条明确了经营者收集、使用消费者个人信息应当遵循的基本原则和具体要求，并在第五十条规定了经营者侵害消费者个人信息依法得到保护的权利的责任承担方式，进一步强化了消费者个人信息的法律保护。

2.消费者个人信息法律保护的现实困境

如上文所述，尽管存在不少关于个人信息保护的法律规范，但这些规范尚不足以完全承担起消费者个人信息保护的重任。在日常生活中，人们经常受到垃圾短息、陌生推销、电话诈骗的困扰，这些情况大多是由于个人信息被泄露或出售所造成的。《中国质量万里行》杂志曾经刊载过一个案例：贾女士通过某购物网站购买商品，付款后接到冒充客服的电话，对方核对了其订单号，并告知存在付款问题，需重新付款。贾女士信以为真，最后被骗。贾女士怀疑自己信息被泄漏，不然对方如何知道电话号码和订单号。但网站坚持说不会泄露客户信息，贾女士只能自认倒霉。⑥

该案例在一定程度上反映了消费者个人信息保护所面临的现实困境：一是不少经营者依法经营理念不强，在经营活动中保密意识淡薄，对其工作人员缺乏必要培训和有效管理，上述案例中不排除网站工作人员将贾女士的相关信息泄露或出售给他人从而导致贾女士被骗的可能；二是当消费者面对个人信息被泄露或出售时，大多数情况下消费者往往不易搜集经营者侵害自身合法权益的相关证据，即难以有效举证，案例中贾女士之所以只能“自认倒霉”，主要原因也正在于此；三是相对于经营者而言，消费者大多处于弱势地位，其难以要求和监督经营者依法履行对消费者个人信息的保密义务。

3.消费者个人信息法律保护的简要总结

综上所述，《民法通则》等法律法规及相关司法解释以姓名权、肖像权、名誉权和荣誉权等民事权益为保护对象的法律规范对消费者个人信息的保护不够全面，加之在法律实施过程中，一些关于消费者权益保护的法律规范不易于操作和执行，消费者难以通过法律途径有效维护个人信息安全，因个人信息被泄露或出售而遭受损失时，消费者的维权过程存在举证难、成本高等问题。因此，必须多措并举进一步加强消费者个人信息的法律保护。

三、消费者个人信息法律保护的完善措施

1.完善消费者个人信息法律保护体系

推动落实新《消费者权益保护法》中关于消费者个人信息保护的有关规定，需要进一步完善消费者个人信息法律保护体系。一方面，应增强消费者个人信息保护相关法律规范的可操作性和可执行性，建议通过司法解释或其他规范性法律文件进一步细化消费者个人信息保护规则，消除法律适用中的难点和争点，确保将“纸面上的法律”变成“行动中的法律”；另一方面，如法谚所云“无救济则无权利”，要充分保障消费者个人信息安全，必须辅之以有效的救济措施，因此，有必要就不同情形下的举证责任做出不同规定，适当扩大“举证责任倒置”适用范围。此外，为更好保障消费者个人信息安全，有必要加快制订个人信息保护相关法律，同时完善行政法、刑法中关于个人信息保护的相关规定，进一步健全消费者个人信息法律保护体系。

2.强化经营者对消费者个人信息的保密义务

经营者及其工作人员是消费者个人信息保密义务的主要承担者。新《消费者权益保护法》第二十九条规定：“经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。”

虽然新《消费者权益保护法》规定了经营者收集、使用消费者个人信息应当遵循的基本原则和具体要求，但要确保经营者严格依法履行保密义务，仍需要进一步增强上述法律规范的可操作性和可执行性。例如，“明示收集、使用信息的目的、方式和范围”中的“明示”具体包括哪些方式、应提醒告知到何种程度，“经营者收集、使用消费者个人信息，应当公开其收集、使用规则”中的“公开”具体是通过哪些途径进行公开，均应予以明确。鉴于此，建议明确规定经营者应当在相关文件（例如，其与消费者签署的交易协议等）中设置“经营者收集、使用消费者个人信息的目的、方式和范围”的专门条款，并以醒目字体显示；此外，还应要求经营者在其经营场所、门户网站的显著位置公布“经营者收集、使用消费者个人信息规则”，并明确经营者泄露、出售或者非法向他人提供消费者个人信息应承担的法律责任。

3.提高消费者个人信息自我保护的法律意识

消费者自我保护对实现消费者个人信息安全具有积极作用。如上文所述，经营者收集、使用消费者个人信息，应当“经消费者同意”，并不得违反“双方的约定”。换言之，如果不存在特别规定或要求，消费者可以拒绝向经营者提供个人信息；此外，消费者还可以借助于协议就经营者收集、使用消费者个人信息事宜与经营者进行专门约定，例如，可以对个人信息的范围和用途进行限定，并明确经营者的保密义务以及违反保密义务的后果和责任，从而降低自身合法权益遭受侵害的风险。因此，应通过普法宣传等方式进一步提高消费者的自我保护意识。

4.建立健全消费者个人信息保护的监督机制

有效保障消费者个人信息安全，应建立健全多元化的监督机制。一是建议设立消费者个人信息保护专门机构，受理针对经营者泄露、出售或者非法向他人提供消费者个人信息的投诉，并对投诉事项进行调查、调解；二是充分发挥消费者协会和其他消费者组织的社会监督职能，对严重侵害消费者个人信息依法得到保护的权利的行为，通过大众传播媒介予以揭露、批评，或支持、参与相关诉讼活动；三是通过宣传教育督促经营者树立依法经营、诚信守法的观念，为保障消费者个人信息安全营造良好氛围。

四、结语

消费者享有个人信息依法得到保护的权利是消费者权利的重要内容。在市场经济环境下，消费者个人信息安全不仅直接关系着消费者自身的合法权益，而且也深刻影响着市场的交易秩序。只有充分保障消费者个人信息安全，消费者才能放心消费、积极消费，进而不断优化消费环境、促进消费增长。因此，应以新《消费者权益保护法》确立消费者个人信息保护条款为契机，进一步加强消费者个人信息的法律保护，维护消费者合法权益。

注释：

①对于消费者的范围，是仅指自然人，还是也包括法人及其他依法成立的社会组织，理论上的理解和认识并不一致，本文所论及的消费者个人信息中的消费者仅指自然人消费者。

②刘德良.个人信息保护与中国立法的选择，载陈海帆、赵国强主编.个人资料的法律保护——放眼中国内地、香港、澳门及台湾[C].北京：社会科学文献出版社，2014：22.

③关于加拿大、日本、美国、欧盟等国家或地区的立法和研究情况介绍，以及我国对个人信息的相关界定，参见刘德良.个人信息保护与中国立法的选择，载陈海帆、赵国强主编.个人资料的法律保护——放眼中国内地、香港、澳门及台湾[C].北京：社会科学文献出版社，2014： 22-25.

④[美]A.L.科宾.科宾论合同（上册）[M]，王卫国、徐国栋、夏登峻译.北京：中国大百科全书出版社，1997：8.

⑤刘德良.个人信息保护与中国立法的选择，载陈海帆、赵国强主编.个人资料的法律保护——放眼中国内地、香港、澳门及台湾[C].北京：社会科学文献出版社，2014：25.

⑥雷玄.六问新消法[J].中国质量万里行，2013（12）：84.

参考文献：

[1]刘德良.个人信息保护与中国立法的选择，载陈海帆、赵国强主编.个人资料的法律保护——放眼中国内地、香港、澳门及台湾[C].北京：社会科学文献出版社，2014：22-25.

[2][美]A.L.科宾.王卫国，徐国栋，夏登峻译.科宾论合同（上册）[M].北京：中国大百科全书出版社，1997：8.

[3]雷玄.六问新消法[J].中国质量万里行，2013（12）：84.