一、一个严重的社会问题，而法学界答非所问

近年来，因为个人信息泄露而造成的社会问题可以说是愈演愈烈，造成损害可以说是非常严重。不论是徐玉玉死亡案件、李文星死亡案件这些尖锐的个人受损害案件，还是集体性、大面积的民众尤其是老年人群体、青年学生群体受诈骗案件，都不但引起了社会的愤恨，也引起了社会的恐慌。据2017年“两会”期间某个记者见面会公布的消息，仅2016年，我国6.88亿网民因垃圾短信、诈骗信息、个人信息泄露等承受的经济损失达915亿元。有关司法机关开展的针对这些和个人信息泄露有关的案件的查处以及对于罪犯的打击，可以说是力度和规模都越来越大。但是让我们无法得到安慰的是，在无数次这样严厉打击面前，信息泄露造成的损害还是没有得到有效地制止。

只要我们稍加分析就能发现，这种情况发生的原因，是造成信息泄露和损害的源头没有得到有效地治理。现有法律制度在打击信息侵害以及犯罪方面付出的努力值得肯定，但是，这些措施都是针对已经造成的侵害行为的，关于预先防止信息泄露的法律措施，现在整体上还是没有。举例来说，保护个人信息，需要仔细思考信息是怎样被采集、保管和利用的，采集和保管个人信息的是谁，他们有没有在保管好信息方面付出努力?尤其是我们要看到，个人信息采集的主要部门还是公安、民政等政府机关，因此从保护个人信息的国家立法的角度看，应该首先建立针对这些采集、保管和利用个人信息的行为和机构的法律制度。在本文形成时，我国整体的个人信息保护法还没有建立起来，目前一些零散规则，不但没有系统性，而且最重要的是没有明确这些机构采集信息、使用信息的注意事项和法律责任。[1]立法对于那些利用泄露的信息来诈骗的犯罪治理比较严厉，但是对采集和保管信息的不当做法欠缺制度规范。所以，问题在于现有制度只是末端治理而不是源头治理。

对个人信息保护的法律制度建设的立法方案，我国法学界已经提出的几种方案，似乎都没有看到现有法律制度只是末端治理而不是源头治理的缺陷。比如，近年来随着我国民法典编纂工作的展开，法学界一些同事提出，希望在民法典中规定独立的人格权编，通过人格权保护的方法来治理信息泄露问题。提出这个观点的学者的理由是，当前随着高科技的发展，针对个人信息的侵害越来越多，涉及一般自然人生活的方方面面，在高科技、互联网和信息爆炸的时代，科学技术有可能被滥用，会极大地损害个人信息、隐私、健康等等。因此这些学者认为，通过在民法典中将人格权独立成编来加以应对，才能解决这个现实的重大问题。但是我们仔细阅读这些文章、分析这些观点之后，我认为这个建议可以说不足以让立法者采纳。因为在高科技、互联网、信息爆炸时代背景下，人格权侵权虽然加重了，但是仍然还只是民法所说的侵权问题，而且也还是民法要解决且能够解决的问题。将人格权受侵害的侵权法规则从民法侵权法整体中分离出去，单独作为民法典的一个分则，和物权法、合同法相互并列，这不但没有必要，而且法理上无法成立。民法意义上的侵权法要解决的是确认权利受侵害以及损害赔偿的问题，传统民法通过加害行为、损害结果、加害行为和损害结果之间的因果关系这三个要素，来确定加害人应该承担的责任的大小。现在中国法院处理的人格权侵害及其救济，仍然还是使用而且也是必须使用这些规则。

但是，我们必须指出，传统民法对于高科技互联网信息爆炸情况下个人信息泄露造成的侵权结果的救济确实是不足够的。原因就在于，民法的救济在于信息泄露造成侵权事实之后，受害人提起了损害赔偿的请求权，这时候才能够引发民法救济，这种救济显得十分被动。但是民法的规则只能是这样的，这也不是中国侵权法独有的问题。在高科技互联网信息爆炸的历史背景下，民法的这种不能提供预先保护的缺陷显得十分突出，因为这个时候个人信息泄露造成的群体性多发性的损害，后果更加严重。可是，在个人信息保护的这个特定范畴内，民法不能设定一些规则，要求一些行政机关应该做什么不做什么，这是民法无法做到的。所以即使人格权在民法典中独立成编，也还是解决不了这些问题。所以，要求在民法典中将人格权独立成编的观点，可以说发现了现实生活中的问题，但是却没有找到解决问题的准确方法。这种观点把民法的作用定位似乎都太过于宽泛了。像信息保护这样的法律问题，并不是将这些规范都纳入民法之中就可以解决的。

信息采集、保管、利用，涉及很多行政管理机关及其职权，也涉及很多社会法人自然人的行为；这些行为之中，有很多是合法行为甚至是管理社会的必需行为，而信息泄露造成的犯罪和侵权，其实也并不是采集信息、保管信息和利用信息的必然结果，只要信息的采集、保管和利用能够严谨合法，就能够防止犯罪和侵害。而且从上文分析我们可以看到，这种预先防范，比事后救济要更加符合人民权利保护和法治国家的本意。

从信息采集、保管和利用的法律制度建设的角度分析，这些行为涉及行政管理机构也涉及民事主体，涉及合法行为也涉及不当行为，因此这些法律制度必然涉及行政法、刑法、民法多个法律。而且实事求是地说，民法在其中发挥的作用是候补性的，救济性的，不是预先性的。即使信息泄露造成了损害的结果，有时候也不能仅仅只考虑适用民法规则。比如制定法律应对信息泄露问题时，立法者首先应该考虑的，是谁控制着这个信息?控制者有没有采取措施保护好信息?如果立法者不首先考虑这些问题，而只是考虑侵害人甚至犯罪人的责任，那还是不能有效解决问题。就以山东徐某某上大学信息泄露而受诈骗的案件为例。立法者首先应该考虑的是如何健全信息处理者的责任制度，而不应该仅仅只是利用黑客盗用信息、诈骗徐某某的罪犯的责任。这个信息的采集和掌管者是教育行政管理部门、招生办、大学、中学等，要解决这个案件中的信息保护问题，就应该从这些行政部门和学校入手，立法应该针对这些部门建立相关保障信息不泄露的制度。显然这就不是个民法问题。

信息的采集、保管和利用，包括一些政府部门，电信部门、IT产业、互联网产业、铁路、民航、银行、学校、商场、医院收集信息和保管信息的社会群体性行为，民法完全是无能为力的。另外，将来我国要建立的各种数据中心，所依靠的法律就是典型的行政法规则而不是民法规则。我本人在贵州省法院和检察院调研大数据司法的情况数次，充分认识到这样一个事实：在个人信息“上云端”这个关键的环节中，公共权力机关清洗个人信息（把个人信息去标识化）、防止个人信息泄露才是最关键的。法院检察院掌握的个人信息十分丰富，但是这些信息必须上云端公开，因此必须将这些信息予以清洗，以达到保障个人信息安全的目的。在大数据时代，这个程序上的工作非常重要，但是这恰恰不是民法能够规定的。事实上，信息保护的立法对策，首先应该是行政法、刑法，民法上的侵权问题还并不是主要的法律手段，因为《民法总则》第111条并不禁止收集和保管个人信息，而现实的问题，恰恰首先出现在信息的收集、保管和利用的环节。希望我国立法者能够针对大数据涉及的信息保护问题展开调研，理清此中的问题。

另外，目前我国社会和法学界一些同事将信息和“隐私”相混淆，从而把信息保护纳入到隐私保护，进而纳入到人格保护；进而用人格权保护的方法来保护信息，这种观点也是概念不清。在英文中，Privacy这个词，指的是涉及个人的事务，它也许可以包括个人信息。但是在汉语中，隐私和个人信息是有明确区分的。汉语中的隐私一词，指的是和个人私密性质的情况，其中以性的生活作为典型。含义隐私强调个人私密的基本特点，是任何人任何机关都不可以掌握的（只有医院医生等为例外）。而个人信息多是可以公开的，比如姓名、性别、手机电话号码、家庭住址、年龄、出生地、民族、婚姻子女状况、党派以及信仰等，都是公开的。所以，信息不能混同于隐私，不可以用隐私来概括信息；更不应该在用隐私包揽信息之后，将其纳入自然人的人格权范畴。否则我们就会得出一些非常混乱可笑的结论。比如，我知道了你的手机号码，这是你的个人信息；你的个人信息属于隐私，因此我现在也掌握了你的隐私。如此种种，岂不荒唐而且可怕。[2]

也就是这样，我国《民法总则》第110条规定了包括隐私在内的人格权保护，而第111条规定了信息保护，立法将这两者分开规定，以示这两件事情有重大的区别。如果法学界在这个问题上不能建立准确认识，那必将会把信息保护问题引入歧途。

本文的要点，是考虑到信息保护涉及多个机构、多种涉法行为，因此适用法律也涉及多个法律领域、多种法律手段，因此提出必须采取综合治理的方式来解决信息保护问题。通过立法对策分析，我们认为，这种预先防范的制度，应该才是有效的保护个人信息的法律措施。总体而言，我国应该通过制定信息保护的特别法来解决这个严重而且紧迫的社会问题。

二、现行制度的不足之处

（一）信息侵害的源头在于信息的采集和保管

根据中国社会科学院多年以来的研究，我国信息侵害的源头在于信息的采集、保管和利用环节。我们针对个人信息保护现状组成的课题组，在全国多个地区进行调研，发现了很多涉及信息保护的问题。调查发现我国信息保护的法律制度缺陷主要在于：

1. 收集个人信息没有准入规则，似乎谁都可以收集个人信息。现实生活中我们发现，在我国没有收集个人信息的法律准入规则，结果是谁都可以采集个人信息。除了一些政府部门和商家之外，我们还可以在一些公共场所遇到一些采集个人信息的个人或者企业。甚至有一些民间调查结构，似乎可以把采集个人信息作为自己的专业。另外，一些没有必要收集个人信息的单位，为了固定自己的客户，也采取各种手法收集个人信息。

2.有权收集个人信息者，多数存在着过度收集的问题。有关机构办理个人业务采集信息时，过度收集成为普遍现象，把大量基本无关的个人信息纳入自己的控制范围之内。从目前掌握的情况看，几乎所有相关行业都存在着采集与本业务无关的信息的问题。一些政府部门收集的个人信息，可以说无所不包。电信部门、IT产业、互联网产业、铁路、民航、银行、学校、医院或者个体医生等部门，总是要利用自己预先确定的格式合同来收集个人信息，都采集了与自己专业无关的身份信息。比如，这些部门常常要求个人登记自己的家庭电话、手机号码、电子邮箱、银行卡号码、家庭住址以及家庭成员的情况等信息，这些信息实际上有很多和这些机构的业务毫无关系。在这一方面做得最为过分的是一些商家，他们借助为客户办理积分卡的名义，要求客户提供的个人信息甚至要包括工作机构、受教育程度、婚姻状况、子女状况等全部信息。一些银行甚至要求申办信用卡的客户提供个人党派信息、配偶资料乃至联系人资料等。

3.掌握个人信息者，均认为他们获得的信息是自己的财产，而不认为自己应该对于信息涉及自然人承担严肃的法律义务。最近，腾讯与华为两个大公司之间，因为关于用户数据收集发生了激烈争议。新浪和脉脉也为抓取“微博”用户数据而发生激烈争议。北京市某法院刚刚审结了淘友技术公司等与微梦公司合作期间取得并使用新浪微博用户的职业信息、教育信息的案件。本人从这些案件的材料中看到，这些公司都认为这些个人信息属于自己本公司的资产，如果未经许可取得别的公司的资产，就认为这是侵权。但是，这些公司没有一家认识到，这些信息涉及到的信息主体的权益问题，也认识不到自己对信息主体严肃的法律义务。

4.擅自披露个人信息。有关机构未获法律授权、未经本人许可或者超出必要限度地披露他人个人信息的情形普遍而且严重。比如，一些地方对行人、非机动车交通违法人员的姓名、家庭住址、工作单位以及违法行为进行公示；有些银行通过网站、有关媒体披露欠款者的姓名、证件号码、通信地址等信息；有的学校在校园网上公示师生缺勤的原因，或者擅自公布贫困生的详细情况。

5.对个人信息保管不力，内部管理不严格。获得个人信息者，一般均不设定信息保护密码，或者只设立非常简单的密码，不但这些单位职工非法转让个人信息牟利，其他一些不法分子也可以登录其网页找寻他们占有的个人信息。从媒体报道的情况看，这种情形以银行、保险公司、航空公司、铁路、医院、大中小学校、教育行政管理部门等行业为甚。这些部门对于他们收集的个人信息没有采取必要的管理措施，造成信息被本单位职工和他人盗用牟利。

6.非法买卖个人信息。调查发现，社会上出现了大量兜售房主信息、考生信息、股民信息、商务人士信息、车主信息、电信用户信息、患者信息的现象，并以此形成了违法和犯罪产业，从而造成严重的社会恶果。徐玉玉案件、李文星案，就是典型。现在，考生在高考之后，其个人信息很快就会进入市场买卖。个人在办理购房、购车、住院等手续之后，相关信息被有关机构或其工作人员卖给房屋中介、保险公司、母婴用品企业、广告公司等。

（二）中国现有立法并未从源头解决信息保护问题

显然，建立保护个人信息的立法，在目前已经显得刻不容缓。这是因为我国目前还没有这样的法律。目前，我国法律提及个人信息保护的，在国家基本法层面的，仅仅只有2017年3月刚刚制定的《民法总则》的第111条。该条文规定：“自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应该依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”这个规定从基本法的角度第一次建立了信息保护的规则，可以说意义非常重大。但是我们从它的内容可以清楚看出，这个法律条文是从禁止侵害的角度来保护个人信息的。这个条文没有禁止采集、保管和利用信息，那么，如何合法地“收集、使用、加工、传输”个人信息，这个法律条文没有任何规定。《民法总则》的这个规定是十分正确的，因为民法无法建立管理社会群体性行为的规则。从上文的分析我们可以看出，信息的采集、保管、利用，在我国是涉及很多机构和单位的群体性社会行为。举例来说，可以发生这些行为的，有公安以及民政等多个政府部门，也有互联网产业、电信产业、IT产业、铁路、民航、银行、学校、医院或者个体医生等等产业行业。对这种群体性社会行为建立法律规则，属于社会管理性规则，这种法律规制，显然应该属于行政法范畴，而不是民法能够承担的责任，所以《民法总则》仅仅从侵权禁止的角度（也就是上文所说的信息保护的末端治理的角度）来规定个人信息保护是非常正确的。

另外，我国针对个人信息保护的法律还有《刑法》。2009年2月，我国最高立法机关通过了《刑法修正案（七）》,在刑法第二百五十三条后增加一条，作为第二百五十三条之一：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。”之二：“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。”之三：“单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”这个规定虽然十分重要，但是因为它仅仅了规定信息犯罪与惩罚的规则（这是立法职责划分的必要）,它仍然是信息保护的末端治理，而不是源头治理。该法律修正案生效已经多年，它在打击信息犯罪方面确实发挥了极大的作用，但是我们可以看到，这种犯罪仍然没有得到有效的遏制。这一点，非常清楚地说明了对信息保护的立法必须转变观念。

事实上，我国已经制定的针对某些行业和部门的单行法规中，已经规定了不少涉及个人信息保护的内容，尤其是近年来全国人大制定的单行法律在内，都注意写入个人信息保护的内容。如下表格可以清楚地看到这一点。

我国涉及个人信息保护的单行法律规定