个人信息保护相关问题研究——基于欧盟GDPR的启示

江祎君 马昕怡 张小雪 刘海玲 罗雅雯 娄慕瑶 吴梓韵

（湖北经济学院法商学院法学系，湖北 武汉 430205）

一、研究背景

尽管我国对个人信息保护的立法早从十五年前就开始了，但当下我国对个人信息的保护尚不系统，亟待一部专门的个人信息保护法对我国公民的个人信息予以保护。权威数据表明，截至2017年11月，在我国现行的法律法规中，含有个人信息保护相关描述的法律有110部，行政法规有177部，地方法规规章有7191部，部门规章及文件有940部，司法解释及文件有112部。①信息来源：中国法律法规信息库［EB/OL］.http：//law.npc.gov.cn/FLFG/ksjsCateGroup.action，2017-11-30/2021-02-02.而我国则将隐私权纳入名誉权范围内予以保护。换言之，我国针对个人信息保护方面需要专门的法律或规制对公民的个人信息予以保护。欧盟的《通用数据保护条例》即GDPR，在个人信息保护方面比较完善，相比我国个人信息保护方面更加严格且系统化。

经过前期的调研工作及相关资料的搜集，分析出我国有关个人信息保护方面存在的一些问题，笔者认为统一立法十分有必要。而制定符合我国国情的个人信息保护法，欧盟的GDPR有很大的借鉴意义。

二、调查现状

根据问卷调查可知，此次调研分布在不同年龄阶段，体现出该项目群体的全民性。如图1所示，项目主体18-25岁的人数占到了74%，作为以后社会的中坚力量，了解这一阶段的人群有助于更好地完善个人信息保护法，整体提高社会公民的维权意识。此外，在所受教育程度方面如图2所示，本科生比例达到58%，学生人数占到了68%。

图1 被调查者年龄大小

图2 被调查者受教育情况

虽然具有一定的知识储备，但调查问卷中却显示大概有69%的人并未留意过手机“App”应用权限的范围，在注册登录App时，上面会出现“你可阅读《用户协议》《隐私条款》了解详细信息，如你「同意」，可点击同意开始接受我们的服务。”选择同意或者不同意，而74%的人没有仔细看该App的隐私条款。

在个人信息被泄露的情况下，高达57%的人选择不理不睬。从这一点来看大家对保护个人信息方面意识并不强，笔者认为需要提高全民信息保护的意识，特别要提高18-25岁这个年龄阶段的人保护个人信息的意识。在不同职业的人群中，有60%的人不了解以及不太了解我国法律在保护个人信息方面所采取的相关措施，仅仅只有35%的人一般了解，5%的人特别了解。

三、原因分析

（一）数据主体的意识不强

在前期调查中，80%的人认为由于立法的不完善才导致公民的个人信息被泄露，用户的主体意识不强。69%的人留意过手机App应用权限的范围，但在注册登录App时，有74%的人是没有细看这些隐私条款的，即使在个人信息被泄露的情况下，高达57%的人选择不理不睬。可见用户的主体意识并不强是个人信息被泄露的原因之一。

（二）社会不够重视，相关企业的责任感不强

据前期调查问卷得知，72%的人认为社会对该问题不够重视，85%的人认为造成个人信息被泄露的原因是数据平台的牟利行为。75%的人接到过了解个人信息的推销电话，52%的人信息被泄露次数达到3次及3次以上，仅有26%的人个人信息未被泄露过，可见社会对保护公民个人信息的重视程度不够高，且开发某些App的企业也并没有自觉遵守保密的义务。

（三）维权力度、惩罚力度不够，维权部门不明确

据前期调查得知，84%的人认为网络监管不力导致公民个人信息被泄露。个人信息泄露现状比较严重，惩罚力度不严，即使经过媒体曝光，其后果也仅仅是予以口头警告。例如上半年曝光的一批恶意搜集公民个人信息的App，相关企业仅是被予以口头警告。

据《刑法》有关规定，认定情节严重和情节特别严重是一个需要考虑的问题。根据2013年最高院、最高检、公安部颁布的通知，司法解释中，最高院、最高检明确了情节严重、情节特别严重的标准，但具体适用中仍存在颇多问题。总结而言，界定情节严重程度主要参考侵犯个人信息数量、获利金额、与他人犯罪关系、曾受过相关处罚四个层面来认定情节严重标准。

此外，维权部门不够明确。维权力度、惩罚力度不够，建立在维权部门不明确的基础之上。当个人信息被侵犯后，数据主体如何维护自己的权利也是一个问题。通过网站搜集可知，个人信息被泄露出去后，可以通过三种方式来维护自己的合法权益。第一种是向互联网管理部门、工商部门、消协、行业管理部门和相关机构进行投诉举报；第二种是向公安部门报案。第三种是向侵权人索赔。①资料来源：个人信息泄露的途径、风险及维权-侦查阶段-法帮网［EB/OL］.http://www.fabang.com/a/20170303/864206.html，2017-03-03/2021-02-02.对于第二种方法，即使报案了，最大可能会涉及处理权限的问题，不仅是处理权限方面，而且处理时间上也是一个问题。第三种方法对于普通公民而言，实施起来会特别困难，所以第一种方法应该是最有效的，但是维权部门不够明确，又杂又乱。

（四）普法力度不够

通过调查问卷数据分析得知，在不同职业的人群中，有60%的人不太了解我国法律在保护个人信息方面所采取的相关措施，仅仅只有5%的人特别了解。而70%的人对GDPR不了解，很熟悉的也仅有2%，说明大家对个人信息保护方面不够关注，所以需要加大对个人信息保护相关方面的宣传力度，让更多的人能够了解并主动去维护自己的权利。

（五）立法的缺失

不论是数据主体个人意识不强、社会关注度不够、企业责任心不强，还是维权普法力度不够，归根到底就是立法的缺失。笔者认为，如果能够统一立法，那么对于个人信息保护方面将会是一项特别重要的举措。另外，未来会随着改革的不断深入，与境外合作将不可避免地要搜集用户的个人信息［3］。何况我国国策是依法治国，个人信息保护草案也正在修订之中，个人信息保护方面如何立法就是一个值得研究的问题。

四、措施及其建议

（一）立法层面的保护

针对以上现状，完善立法应当是最主要的解决办法。在立法层面上，借鉴欧盟GDPR。GDPR分为十章，前两章为一般规定以及原则。从章节条例中可知，数据处理应当合法、合理、透明、要进行目的限制且个人数据的处理也应当保证适当、适度，这些原则也应当贯穿于我国的个人信息保护法中。此外，对个人信息的处理，也应当建立在“同意”的基础之上。当然，“同意”也应该有例外情形，比如危害国家及社会公共秩序、便于诉讼的情形。否则，对当事人的数据进行处理，必须经过当事人的同意。例外情形也得保证当事人享有“知情权”，还需承诺不得收集与情形无关的数据，关于收集数据后的处理也应当让当事人知晓。

此外，GDPR中也有对儿童“同意”的规定，满16周岁，本人同意即可。但不满16周岁，需经其监护人同意。我国对“同意”也可以进行限制，不仅仅是“儿童”。按照我国的法律制度，我们可以规定具有完全民事行为能力人可由本人享有“同意权”，但是“无民事行为能力人”以及“限制民事行为能力人”应当由其监护人“同意”，除监护人“同意”外，还应当经过审查，充分保障数据拥有者的权利。

GDPR第三、四章是对数据控制者、处理者以及数据主体的规定，而我国个人信息保护法中应当对数据控制者、处理者以及数据主体分别进行规定。GDPR第六章中有对独立监管机构的规定，我国的个人信息保护法中也可以设立一个专门的监管机构。GDPR第八章规定了救济、责任与惩罚，对于数据主体的救济，在欧盟GDPR中规定，数据主体获取司法救济的一大前置程序即为申诉。所谓申诉，是指欧盟GDPR赋予各数据主体享有的向各个监管机构，在认为自己的数据权利受到侵犯时所提出抗议、要求的权利。我们的个人信息保护法中也可将申诉作为救济的前置程序。此外，GDPR通过严苛的罚款保障数据主体的权利不受侵犯。

据GDPR有关规定，违反基本原则、违反数据主体权利规定、违反数据跨境转移规定、不遵守监管机关的纠正命令等属于严重的违法行为，行政罚款上限为上财年全球营收4%或2000万欧元中取高者，如果我们在个人信息保护法中规定较为严格的罚款金额，那么就会大大降低违法的概率。当然，这个处罚数额也必须设置在一个适当的范围之中。①本段内容引自SCA官方微信公众号“奥航智讯”［EB/OL］.https：//blog.csdn.net/weixin_40344166/article/details/99622845，2019-08-15/2021-02-02.

（二）加大普法宣传力度，提高公民的维权意识

除了在法律之中进行规定外，还应当加大普法力度。比如不定期进行个人信息保护的有奖问答、运用相关技术手段制作视频等通过多媒体方式进行扩大宣传。

（三）严格监管模式

在立法之中，我们可以借鉴GDPR设立专门的监管机构进行监管。那么该监管机构也应当接受监督，比如不定期披露一些侵犯个人信息的事例放在网站上。此外，行业自律模式也应当作为监管的一种有效手段，比如新浪网。

综上，作为一项特殊的权利，随着大时代的变化，零散的法律法规已然不能有效地保护公民的个人信息了，那么主要应当从完善立法方面，制定一部统一的个人信息保护法，才更能适应社会的需要。基于欧盟GDPR的启示，笔者主要从完善立法层面，借鉴欧盟GDPR并结合我国国情，进行相关问题的研究，提出了一些完善我国个人信息保护方面的相关举措。