文/中國經(jīng)濟50人論壇 吳曉靈

對個人而言，個人信息保護不足導致個人隱私、安寧、財產(chǎn)等權利受到侵害且在受到侵害后無救濟渠道。近年來時有發(fā)生的個人信息泄露事件及因信息泄露導致的欺詐案件，危及了個人財產(chǎn)和生命安全，影響了個人對改革成果的獲得感和幸福感。

　　吳曉靈：盡快制定“個人信息保護法”

個人信息權利是信息社會中公民基本權利的一部分，保護個人信息權利也是維護國家安全和公共安全的基礎。總體而言，我國由于缺少全面系統(tǒng)的個人信息保護法，個人信息侵權和濫用的局面未得到有效改善，外國組織收集我國公民個人信息的行為未得到有效制止。個人信息保護不足，將對個人、企業(yè)和國家都帶來不利影響。

一是對個人而言，個人信息保護不足導致個人隱私、安寧、財產(chǎn)等權利受到侵害且在受到侵害后無救濟渠道。近年來時有發(fā)生的個人信息泄露事件及因信息泄露導致的欺詐案件，危及了個人財產(chǎn)和生命安全，影響了個人對改革成果的獲得感和幸福感。

二是對于互聯(lián)網(wǎng)和信息行業(yè)而言，個人信息保護不力會影響該行業(yè)的健康可持續(xù)發(fā)展。分散的個人信息保護法規(guī)規(guī)定不清晰、不統(tǒng)一、缺乏確定的個人信息權屬、流動和使用規(guī)則，導致個人信息孤島和信息濫用并存，個人信息和大數(shù)據(jù)流通暗流涌動、秘而不宣，既沖擊公眾對互聯(lián)網(wǎng)及信息行業(yè)的信任和信心，又阻礙了政府和商業(yè)領域個人信息的開放流通。相反，那些沒有底線的企業(yè)打著改革創(chuàng)新的旗號行“倒賣數(shù)據(jù)”之實，因“劣幣驅(qū)逐良幣”而獲得了競爭優(yōu)勢，這對數(shù)據(jù)行業(yè)的健康發(fā)展實際上是有百害而無一利。

三是對于整個國家而言，個人信息保護不力會影響我國的信息安全和國際競爭力。由于我國個人信息保護力度不及歐美等地，在國際經(jīng)貿(mào)往來中我國公司不得在境內(nèi)處理歐美的個人客戶信息，在華外資金融機構選擇將境內(nèi)客戶的個人信息轉(zhuǎn)移到新加坡、歐盟處理已成慣例。同時，一國落后的個人信息保護，將成為他國對其實行貿(mào)易壁壘的新依據(jù)。此外，大數(shù)據(jù)背景下基于規(guī)模化個體信息的加工分析，可形成對國家安全的細微洞察，中長期看國家安全也難以得到切實保障。

比較而言，當前我國在個人信息保護領域的理念、原則、立法和實踐，較世界經(jīng)濟發(fā)達國家和地區(qū)明顯落后。從長遠來看，個人信息保護不足對公民個人權益、互聯(lián)網(wǎng)及信息行業(yè)發(fā)展和我國參與國際競爭都會產(chǎn)生不利影響。完善我國個人信息保護的政策和立法十分迫切，這一問題應該得到重視。

為此，筆者提出如下建議。

第一，在《中華人民共和國民法總則》中確立個人信息權。我國在《中華人民共和國民法總則（草案三次審議稿）》中第一百一十條規(guī)定“自然人的個人信息受法律保護。任何組織和個人不得非法收集、使用、加工、傳輸個人信息，不得非法買賣、提供或者公開個人信息”。第一百零九條規(guī)定“自然人享有生命權、健康權、身體權、姓名權、肖像權、名譽權、榮譽權、隱私權、婚姻自主權等權利。法人、非法人組織享有名稱權、名譽權、榮譽權等權利”。建議在第一百零九條列舉具體人格權時，在“隱私權”之后增加“個人信息權”。

第二，盡快制定“中華人民共和國個人信息保護法”。目前全球已有近90個國家和地區(qū)制定了個人信息保護法的法律，全面建立個人信息保護制度已經(jīng)成為國際趨勢和國際慣例，也是開展國際貿(mào)易的必備制度條件。建議盡快制定專門的“中華人民共和國個人信息保護法”，以明確規(guī)定個人信息的涵義，確立個人信息權，明確國家機關信息處理主體和非國家機關信息處理主體收集、利用和處理個人信息的基本原則和規(guī)范，為個人信息保護提供救濟途徑、保護程序，建立個人信息保護專門機構并明確其職責、權限，為我國個人信息的利用和保護構建系統(tǒng)化、整體化的解決方案。

第三，制定“中華人民共和國個人信息保護法”應體現(xiàn)的原則。目前全球已經(jīng)形成了關于個人信息保護的通用原則，并在越來越多的國家和地區(qū)得到貫徹執(zhí)行。自上世紀70年代初個人信息保護問題提出以來，經(jīng)過40余年的發(fā)展演變和提煉，目前基本形成了以下五大國際原則，作為各國和國際組織制定個人信息保護政策的基礎：一是公開性原則，即個人信息處理機構應公開關于個人信息處理的一切政策、流程和處理實踐，禁止個人信息被秘密地處理；二是限制性原則，包括個人信息的所有處理行為要堅持合法原則，個人信息數(shù)據(jù)庫要堅持服務特定目的，在最少必須原則下收集和處理，信息的收集和使用范圍、保存期限和銷毀應受到限制；三是數(shù)據(jù)質(zhì)量原則，即個人信息應當準確、完整和適時更新，機構對此責無旁貸；四是責任與安全原則，即在個人信息保護問題上，作為數(shù)據(jù)控制者的機構必須承擔個人信息保護的主要責任，要將個人信息保護內(nèi)化于其業(yè)務流程和技術設計中，同時采取必要的安全防范措施保護個人信息，防止數(shù)據(jù)丟失或未經(jīng)授權的訪問、銷毀、使用、修改或泄漏，并承擔相應的責任；五是個人信息權利保護原則，充分保障信息主體的知情權、查詢權、異議與糾錯權，甚至是可攜帶權等。（本建議的合作者還有全國人大代表周學東等）

(本文作者介紹：全國人大財經(jīng)委副主任委員、央行原副行長、清華大學五道口金融學院理事長兼院長。)