龙卫球：如何约束网络经营者掠夺性利用个人信息

【财新网】/意见领袖（记者 周东旭）背景：近日，为了贯彻落实《网络安全法》，中央网信办、工业和信息化部、公安部、国家标准委四部门指导开展的个人信息保护提升行动之隐私条款专项工作，公布首批十款互联网产品和服务隐私条款评审结果。十款网络产品和服务分别是京东商城、航旅纵横、滴滴出行、携程网、淘宝网、高德地图、新浪微博、支付宝、腾讯微信、百度地图，由专家组对其隐私条款内容、展示方式和征得用户同意方式等进行综合评判。

评审结果显示，八款产品和服务做到了向用户主动提示、并提供更多选择权。例如运用增强式告知、即时提示等方式，在注册、使用环节引导用户阅读、了解隐私条款的核心内容；主动区分核心功能和附加功能提供用户选择。其中，五款产品和服务还提供了更便利的在线“一站式”撤回和关闭授权，在线访问、更正、删除其个人信息，在线注销账户等功能。

近年来，网络平台在收集、使用个人信息过程中频繁出现争议，甚至滥用现象。另外一组数据显示，据不完全统计，中国2016年通过不同渠道泄露的个人信息达65亿条次。隐私条款的背后，是个人信息保护的艰难历程。

【意见领袖观点】

北京航空航天大学法学院院长龙卫球表示，贯彻落实2017年6月1日正式施行的《网络安全法》，可以选择很多点，这次集中在隐私条款，属于问题比较突出、社会反映也比较大的涉及到公众利益的事项。十种产品和服务只是具有一般的示范，涉及到个人信息保护的服务和产品非常多，现实中，存在大量不注重个人信息保护甚至侵犯隐私的行为。

用户信息安全只是个人信息保护的一个领域，而且，用户信息安全本身也可能涉及较多维度，其中之一就是网络运营者对于个人隐私的保护。龙卫球介绍，实践中个人信息保护不足的一个重要原因就在于网络运营者有巨大利益需求，存在对隐私加害的可能，所以，法律对网络运营者限定了一种特殊的法定保护义务。

比如，网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度。网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。

近年来爆发的侵犯个人信息或者隐私的案件，其中不乏一些较大网络平台员工的“监守自盗”。甚至，不单是个别员工，一些网络平台的个人信息保护观念也有待强化。龙卫球说，由于实践中缺乏细化的法律保护，尤其是在个人敏感信息上，很多平台在做产品或服务时，“觉得空间很大，很具有掠夺性，个人或用户信息不小心就授权出去，其实，类似‘授权’本身就是有问题的。”

另一方面，“相关机关的监督和管理往往不能及时跟进，抽检也多是一时性，而且企业本身也有很多绕过法律的技巧。谁来监督，需要不断完善。”龙卫球说，个人信息保护不单是私法，也有行政法规的意味，特别是要强化对平台的监督。

目前，个人信息保护还面临着与数据开发之间的协调关系，且这一问题日益突显。在龙卫球看来，不管怎么平衡，个人信息保护都是第一位的，要首先做到保护，其次才能考虑数据开发，二者的关系应该是非常明确的。“大数据是经济社会发展的重要资源和动力，但是，个人信息保护是更重要的前提，只有确立了这一前提，数据发展才能更有效，进而形成良性的保护开发而不是恶性竞争。”

龙卫球分析，数据开发和个人信息保护的关系，背后其实是网络经营者与个人信息之间的利益问题，“很多国家或地区，一般都是先进行个人信息保护立法，明确前提，然后再给企业或网络经营者数据的开发和保护确定空间。”其中，欧盟对于个人信息采取比较严格，明显偏向个人信息保护的立法，建立了非常严格的信息保护前提。美国则通过判例，或者州的规定，借助隐私保护规则的松动或者软化，区分敏感和非敏感信息等，为数据开发圈定边界。

龙卫球介绍，中国在这一问题上通过人大决议、司法部门意见，以及部门规章等，越来越重视个人信息保护，同时，也注意区分敏感和非敏感信息。不过，由于缺乏明文规定，立法上也出现一些摇摆，加之企业一方往往占有优势，所以，立法就变得更为迫切。

虽然《民法总则》有了个人信息保护的原则性规定，但是，作为一束权利，怎么保护，仍有待立法予以展开，还有很多工作要做。龙卫球介绍，民法典如果能确定人格权编，个人信息保护可以包含在其中，也可能是民法典完成之后再单独规定，“这样时间可能会更长。”

“对于个人信息保护而言，用户或个体对于平台来说，一般都是弱势的。”龙卫球强调，对于个人隐私，属于个人信息的敏感部分，在制度设计上应该具有更多的绝对性，甚至，个人都不能随便让渡，“可惜目前的所谓大数据时代并没有把隐私放到这种地位，甚至认为个人同意就能用于开发。包括通讯自由和秘密等，价值不低于隐私。”■