規制層面的執法考驗
數據規制是數據合規和個人信息保護的應有之義，與近年來不斷推進的數據立法密切聯繫在一起。數據規制是實現數據安全的必由之路，既需要維護國內外不同市場主體之間的數據競爭與合作，也需要在企業數據權益與個人信息保護之間實現必要的妥協與平衡。同時，依法保護企業與個人的數據權益，更需要嚴厲打擊不同類型違法犯罪行為。
在我國，數據立法目前已取得可喜進步。繼2000年通過實施《關於維護互聯網安全的決定》之後，2012年全國人大常委會再次通過並實施了《關於加強網絡信息保護的決定》，從而確立了個人信息收集、使用的基本規則及網絡服務提供者保護個人信息安全的義務等基本規範。2013年《消費者權益保護法》修改時，在第十四條中新增加了個人信息依法受到保護的權利，同時在第二十九條中明確了經營者收集、使用消費者個人信息時的法定義務，明確了合法、正當、必要原則，經營者需要明示收集使用的目的、方式和範圍等，也強調了經營者的保密義務。2016年《網絡安全法》的頒布，進一步充實完善了收集、使用個人信息的法律規則，細化了網絡運營者保護個人信息安全的義務與責任，專章規定了網絡運行安全、網絡信息安全以及網絡安全支持與促進等內容。2017年頒行的《民法總則》，則在第一百一十一條中將個人信息受到法律保護作為一項重要民事權利予以規定，強調任何組織和個人需要獲取他人個人信息的，應當依法取得並確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。2018年《電子商務法》的頒布，再次將個人信息保護擺在重要位置，明確規定電子商務經營者收集、使用其用戶的個人信息，應當遵守法律、行政法規有關個人信息保護的規定，並明示用戶信息查詢、更正、删除以及用戶注銷的方式、程序，不得對用戶設置不合理條件。在刑法領域，2009年、2015年通過的刑法修正案(七)和修正案(九)，專門增加了出售或者非法提供、竊取或者非法獲取公民個人信息的犯罪及刑罰。
此外，其它數據立法成果還有不少，主要表現為行政法規、部門規章以及行業自律規定等形式。以2016年《數據流通行業自律公約》為例，由中國聯通、中國電信、阿里巴巴、京東等聯合發布的這一自律公約，重點從數據權益、數據流通和數據應用三大板塊分別作出規定，其不但確認企業對其合法、正當途徑采集、獲取、生成的數據享有合法權益，而且強調依法保障用戶在其個人數據流通中享有的選擇、獲取、更正、退出、删除等權利。
從國際層面看，數字經濟的全球博弈引發了各國對數據立法競爭性與外溢性的普遍思考。就歐盟《通用數據保護條例》(General Data Protection Regulation)來說，其實施後所開出的巨額罰單，即在國內引發不少熱議。在這些罰單名字裡，除互聯網企業外，有關航空、酒店、醫療等行業也赫然在列。該條例確立了個人信息保護方面的一系列權利內容，包括隨時撤回同意權、知情權、更正權、擦除權(也稱為被遺忘權)、限制權、攜帶權、訪問權等。對此，歐盟還建立了一套嚴格的執法機制，詳細規定了監管機構的調查權和處罰權。事實上，歐盟的數據保護執法距離中國企業並不遙遠。由於該條例不再堅守屬地原則，而是採用了類似於美國長臂管轄的執法模式，將執法邊界延伸到了所有收集和處理歐盟個人信息的企業，因此對中國企業來說，無論是有意進軍歐洲市場還是與歐洲企業開展業務往來，都應當盡快開展數據合規工作，把企業數據合規業務與個人信息保護緊密銜接起來。
需要強調的是，在利益驅使下，當前一些企業漠視法律，隨意收集、非法獲取、擅自使用甚至洩露、濫用個人信息的現象仍比較突出，嚴格監管、嚴格執法正被各類數據主體寄予厚望。這些年來我國已經逐步建立起企業數據合規和個人信息保護的法律規則體系，其中不乏民法、經濟法、行政法、刑法等部門法的深度介入，由此形成了一套具有可操作性的數據違法責任追究機制。
對於企業而言，數據合規業務仍處在探索階段，尚未形成行之有效的成熟的法律服務體系，但不斷出現的數據糾紛與司法判例無疑具有警示和促進作用。只有提高數據風險防範意識，深刻認識數據保護的國際立法趨勢，並採取切實有效的數據保護措施，平衡好企業數據權益與個人信息保護的關係，企業才能防患於未然，在國內外數據市場避免陷入各類糾紛與麻煩。
從未來立法趨勢看，本屆全國人大常委會已將制定《個人信息保護法》和《數據安全法》列入了立法規劃的第一類項目，企業數據合規與個人信息保護仍然期待專門性立法的持續跟進，為數據主體提供更加全面而細致的保護標準，以適應數字經濟時代多樣化、批量化的跨境數據流動，為世界提供數據法治化的“中國智慧”。
來源：經濟參考報 作者：席月民(中國社會科學院法學研究所研究員)
|
