近年來，我國政府高度重視數(shù)據(jù)在經(jīng)濟新常態(tài)中推動國家現(xiàn)代化建設(shè)的基礎(chǔ)性作用。中共中央辦公廳、國務(wù)院辦公廳于今年7月印發(fā)的《國家信息化發(fā)展戰(zhàn)略綱要》明確指出，“信息資源日益成為重要的生產(chǎn)要素和社會財富。”在中央政府網(wǎng)站（）的“政策”一欄中以“大數(shù)據(jù)”為關(guān)鍵詞進行檢索，一共返回556份國務(wù)院文件，覆蓋各個領(lǐng)域。

在所有類型的數(shù)據(jù)中，個人信息由于明確指向或可識別出特定個人，被當(dāng)做“皇冠上的明珠”。當(dāng)下，信息革命的浪潮和全面鋪開的數(shù)字化使得人們的生產(chǎn)生活越來越與互聯(lián)網(wǎng)深度融合。在線下的各種場景逐漸搬到網(wǎng)上的同時，個人信息得以掙脫紙面的束縛，直接以比特的形式被海量地記錄、傳輸、存儲、使用等。經(jīng)過數(shù)字化、網(wǎng)絡(luò)化后，個人信息一方面繼續(xù)保有“單獨或者與其他信息結(jié)合識別”特定個人的能力，另一方面又能在現(xiàn)代計算和存儲能力的支持下，價值得到進一步挖掘和釋放。放眼全球，個人信息已成為今后數(shù)字經(jīng)濟中提升效率、支撐創(chuàng)新最重要的基本元素之一。

在全面擁抱個人信息數(shù)字化和網(wǎng)絡(luò)化的同時，許多境內(nèi)外的網(wǎng)絡(luò)犯罪團伙已將目標瞄準了個人信息，竊取了數(shù)以億計的個人信息，并形成了交易個人信息的地下黑產(chǎn)。他們利用個人信息與特定個人之間的緊密關(guān)系實施各種犯罪，例如以個人信息為基礎(chǔ)的精準詐騙。除此之外，冒用個人網(wǎng)絡(luò)身份更是直接造成了不可估量的經(jīng)濟損失。前段時間還發(fā)生了“徐玉玉案”等因個人信息泄漏而導(dǎo)致人身傷亡的慘劇。這些都給我們敲響了警鐘。

個人信息的收集和使用與個人的權(quán)益息息相關(guān)，數(shù)字經(jīng)濟能否持續(xù)健康發(fā)展，在很大程度上取決于能不能在開發(fā)和利用個人信息的同時做到趨利避害。對此，《網(wǎng)絡(luò)安全法》在第四章“網(wǎng)絡(luò)信息安全”中用相當(dāng)?shù)钠鶎W(wǎng)絡(luò)運營者處理個人信息的行為做出了規(guī)范，具體有以下五方面特點和創(chuàng)新：

一、系國內(nèi)關(guān)于個人信息保護最為綜合的權(quán)威規(guī)定

目前，我國尚未制定統(tǒng)一的個人信息保護法。在《網(wǎng)絡(luò)安全法》出臺之前，個人信息保護方面最主要的法律是2012年通過的全國人大常委會《關(guān)于加強網(wǎng)絡(luò)信息保護的決定》和2013年通過的全國人大常委會《關(guān)于修改<中華人民共和國消費者權(quán)益保護法>的決定》，以及2009年通過的《刑法修正案（七）》和2015年通過的《刑法修正案（九）》。

《網(wǎng)絡(luò)安全法》不僅繼承了上述法律關(guān)于個人信息保護的主要條款內(nèi)容，而且根據(jù)新的時代特征、發(fā)展需求和保護理念，創(chuàng)造性地增加了部分規(guī)定，例如最少夠用原則（“網(wǎng)絡(luò)運營者不得收集與其提供的服務(wù)無關(guān)的個人信息”）、個人信息共享的條件（“未經(jīng)被收集者同意，不得向他人提供個人信息。但是，經(jīng)過處理無法識別特定個人且不能復(fù)原的除外”）、個人的數(shù)據(jù)權(quán)利（“個人發(fā)現(xiàn)網(wǎng)絡(luò)運營者違反法律、行政法規(guī)的規(guī)定或者雙方的約定收集、使用其個人信息的，有權(quán)要求網(wǎng)絡(luò)運營者刪除其個人信息；發(fā)現(xiàn)網(wǎng)絡(luò)運營者收集、存儲的其個人信息有錯誤的，有權(quán)要求網(wǎng)絡(luò)運營者予以更正。網(wǎng)絡(luò)運營者應(yīng)當(dāng)采取措施予以刪除或者更正”）等。

二、明確個人信息保護的責(zé)任主體

《網(wǎng)絡(luò)安全法》在“網(wǎng)絡(luò)信息安全”這一章的開頭，就明確提出了“誰收集，誰負責(zé)”的基本原則，將收集和使用個人信息的網(wǎng)絡(luò)運營者，設(shè)定為個人信息保護的責(zé)任主體。法律規(guī)定：“網(wǎng)絡(luò)運營者應(yīng)當(dāng)對其收集的用戶信息嚴格保密，并建立健全用戶信息保護制度”。按該條款的規(guī)定，無論是在防范內(nèi)部人員倒賣個人信息，還是保障系統(tǒng)不被攻破導(dǎo)致信息泄露等方面，收集和使用個人信息的網(wǎng)絡(luò)運營者都是第一責(zé)任主體。通過明確責(zé)任，一能避免個人信息泄露導(dǎo)致嚴重后果后“無人負責(zé)”的局面，二能倒逼網(wǎng)絡(luò)運營者重視對其掌握的個人信息的保護工作。   

三、和國際先進理念接軌

總的來說，《網(wǎng)絡(luò)安全法》關(guān)于個人信息保護方面的規(guī)定，與現(xiàn)行國際規(guī)則及美歐個人信息保護方面的立法實現(xiàn)了理念上的接軌。

目前，全球公認的個人信息保護方面的主要法律文本有OECD隱私框架、APEC隱私框架、歐盟《通用數(shù)據(jù)保護條例》（General Data Protection Regulation）、歐美“隱私盾”協(xié)議（Privacy Shield）、美國“消費者隱私權(quán)法案（討論稿）”（Consumer Privacy Bill of Rights Act of 2015）等。綜合這些立法，可得出個人信息保護的主要原則，包括目的明確原則、同意和選擇原則、最少夠用原則、開放透明原則、質(zhì)量保證原則、確保安全原則、主體參與原則、責(zé)任明確原則、披露限制原則等。

上述原則在《網(wǎng)絡(luò)安全法》中均得到體現(xiàn)。例如，開放透明原則是指應(yīng)以明確、易懂和合理的方式如實公示其收集或使用個人信息的目的、個人信息的收集和使用范圍、個人信息安全保護措施等信息，接受公共監(jiān)督。該原則具體化于《網(wǎng)絡(luò)安全法》規(guī)定：網(wǎng)絡(luò)運營者應(yīng)“公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍”。再如主體參與原則，相比國內(nèi)現(xiàn)有的立法，《網(wǎng)絡(luò)安全法》的一大亮點就是賦予個人在一定條件下要求刪除和更正其個人信息的權(quán)利。 

四、在個人信息保護和利用間實現(xiàn)平衡

在大數(shù)據(jù)和云計算的時代，包括個人信息在內(nèi)的數(shù)據(jù)，只有充分地流動、共享、交易，才能實現(xiàn)集聚和規(guī)模效應(yīng)，最大程度地發(fā)揮價值。但數(shù)據(jù)在流動、易手的同時，可能導(dǎo)致個人信息主體及收集、使用個人信息的組織和機構(gòu)喪失對個人信息的控制能力，造成個人信息擴散范圍和用途的不可控。如何實現(xiàn)兩者的平衡是新時期個人信息保護的重要挑戰(zhàn)之一。

對此，《網(wǎng)絡(luò)安全法》首先在法律層面給予個人信息交易一定的空間，這是一個巨大的進步。《關(guān)于加強網(wǎng)絡(luò)信息保護的決定》規(guī)定“不得出售”公民個人信息；而《網(wǎng)絡(luò)安全法》規(guī)定“不得非法出售”公民個人信息，換句話說，按《網(wǎng)絡(luò)安全法》的規(guī)定，在一定情形下是可以出售公民個人信息的，無疑給符合規(guī)定的個人信息交易開了綠燈，為我國大數(shù)據(jù)產(chǎn)業(yè)發(fā)展提供了空間。當(dāng)然，交易的合規(guī)條件有待后續(xù)進一步的規(guī)定。

其次，《網(wǎng)絡(luò)安全法》進一步規(guī)定了合法提供個人信息的情形，這也是一個重要的創(chuàng)新。法律規(guī)定，“未經(jīng)被收集者同意，不得向他人提供個人信息。但是，經(jīng)過處理無法識別特定個人且不能復(fù)原的除外。”從條文理解，至少在兩種情形中，可以合法對外提供個人信息：一是被收集者也就是個人的同意；二是將收集到的個人信息進行匿名化處理，使得無論是單獨或者與其他信息相結(jié)合后，仍然無法識別特定個人且不能復(fù)原。

五、規(guī)定了個人信息安全事件發(fā)生后的強制告知和報告

《網(wǎng)絡(luò)安全法》規(guī)定，“在發(fā)生或者可能發(fā)生個人信息泄露、毀損、丟失的情況時，應(yīng)當(dāng)立即采取補救措施，按照規(guī)定及時告知用戶并向有關(guān)主管部門報告”。相比以往的法律規(guī)定，新增了個人信息安全事件發(fā)生后的強制告知和報告。

在全球范圍看來，包括個人信息安全事件在內(nèi)的網(wǎng)絡(luò)安全事件的強制報告和告知，是近期的立法重點。許多國家和地區(qū)都注重通過強制對外報告和告知，進一步增強組織和機構(gòu)的責(zé)任主體意識，敦促其認真對待保護個人信息的義務(wù)。在美國，聯(lián)邦層面有健康保險攜帶和責(zé)任法案（HIPAA, Health Insurance Portability and Accountability Act）、金融業(yè)的格雷姆-里奇-比利雷法案（GLB Act, Gramm-Leach-Bliley Act）規(guī)定了數(shù)據(jù)安全事件強制告知和報告制度；此外，美國有47個州，以及哥倫比亞特區(qū)、關(guān)島、波多黎各和美屬維爾京群島都通過了數(shù)據(jù)安全事件強制告知和報告法律。在歐盟，《通用數(shù)據(jù)保護條例》和歐盟網(wǎng)絡(luò)信息安全指令（NIS Directive）也都規(guī)定了強制告知和報告的義務(wù)。此次，《網(wǎng)絡(luò)安全法》吸納了國外個人信息保護的先進經(jīng)驗。

2016年4月19日，習(xí)近平總書記在網(wǎng)絡(luò)安全和信息化工作座談會上發(fā)表重要講話，要求貫徹“以人民為中心”的思想，提出了“網(wǎng)絡(luò)安全為人民、網(wǎng)絡(luò)安全靠人民”的理念?！毒W(wǎng)絡(luò)安全法》加強了對個人信息的保護，讓人民安全地享用互聯(lián)網(wǎng)帶來的紅利，是貫徹習(xí)近平總書記重要指示的具體體現(xiàn)?！毒W(wǎng)絡(luò)安全法》的出臺落實能夠遏制個人信息濫用亂象，提升個人信息保護水平，最大程度地保障用戶合法權(quán)益和社會公共利益。

（本文作者系數(shù)據(jù)保護與治理研究中心研究員）

【聲明：本文代表作者個人觀點，不代表本網(wǎng)立場，僅供參考?！?/p>

本文系宣講家網(wǎng)獨家稿件，轉(zhuǎn)載請注明來源。

網(wǎng)友之家欄目投稿郵箱為：jst71ztz@126.com，歡迎大家踴躍投稿。

歡迎加入網(wǎng)友之家QQ交流群，2群：531249826，大學(xué)生交流群： 522415122。