近年来，发展数字经济已经成为世界主要大国和地区的共同选择。然而，在全球数字产业快速发展的同时，个人信息保护的法律问题受到了日益广泛的关注。企业在利用大数据实施精准营销、风险管控、优化服务等时，可能会过度利用甚至是滥用个人信息，由此就产生了数字经济发展与个人信息保护的冲突。面对企业对个人信息的大量收集、存储、处理，我国仍缺少系统的立法回应。在大数据时代，制定专门的个人信息保护法，来平衡个人信息保护与数字经济发展刻不容缓。

因此，在网络新业态下，加强对公民实名信息权利保护机制的研究，尤其是确立科学完善的个人信息保护基本原则，对保护公民通信秘密、通信自由以及言论自由等宪法权利，维护社会秩序具有重要意义。

本文认为，网络新业态下个人信息保护的基本原则应当主要包括个人信息自决原则、信息收集处理合法原则、信息收集处理规则公开原则、信息收集处理双方地位平等原则、信息收集数量最小化原则、信息收集和利用有限原则、信息安全管理原则以及信息控制者的责任原则等8大基本原则。

个人信息自决原则

个人信息自决原则，主要是抵抗和遏制公共机构无节制地滥用个人信息收集权的行为，是个人信息保护其他一系列原则的前提和基础，是总原则。这一原则的基本内容主要包括以下几点。

第一，个人信息控制者在收集个人信息时要充分保障个人信息主体的同意权。第二，保障信息主体的拒绝权。即如果信息控制者的信息处理行为会对信息主体产生法律影响或其他重要影响，信息主体有权拒绝该信息处理行为，拒绝向信息控制者提交个人信息。第三，保障信息主体的反对权。反对权是指信息主体有权依据法定理由或约定事由反对信息控制者擅自修改、转移或使用其个人信息，包括信息控制者擅自改变信息的使用范围、披露或知悉范围等。第四，保障信息主体的查询权。即提交个人信息后，信息主体有权申请查询个人信息被收集、处理、存储和使用的情况。第五，保障信息主体对其信息的更正权、删除权，对不符合规定的个人信息处理行为或当信息不完全、不准确时，信息主体有权进行修改、更正、删除或限制使用，并通告已接受个人信息披露的第三方。

信息收集处理合法原则

合法原则的核心要求，是个人信息的收集、处理只能在具有法律依据时才能够进行，并且符合所有的法律要求。在处理个人信息的过程中，还必须对个人信息权利和他人利益加以权衡。除一般要求的“目的合法”与“程序合法”，个人信息收集处理合法原则还应扩展到主体合法、内容合法、形式合法、依据合法、使用合法、符合信息主权等各个基本领域。

第一，主体合法。主体合法要求信息收集者系合法机构或组织，拥有收集个人信息或接受个人信息注册的资格。

第二，内容合法。内容合法要求信息控制者收集个人信息的范围是其职责或合法的业务范围必须的信息。

第三，形式合法。形式合法要求信息控制者收集个人信息的形式必须符合收集目的的基本要求，应当以书面形式或电子文档形式收集个人身份类识别信息，不得擅自要求个人提供指纹、血型乃至身体组织等生理识别类或敏感个人信息。

第四，依据合法。依据合法要求信息控制者收集个人信息必须依据现行有效的法律法规，或依据双方达成意思一致、公平公正的信息收集协议，方可进行个人信息收集、处理、存储和使用。

第五，使用合法。信息控制者必须严格按照主体同意或认可的使用范围、使用期限、使用方式使用个人信息。

第六，符合信息主权。信息主权要求禁止境外信息控制者跨境收集个人信息，信息主体也不得擅自将个人信息提交给境外信息控制者。同时，非经政府特许，更应禁止境内个人信息控制者擅自将相关数据移至境外或出售、出租给境外机构或个人使用。

信息收集处理规则公开原则

个人信息收集、加工、存储、转移和使用等规则应当对信息主体公开透明，这是保障信息主体知情权、自决权以及其他相关权利的前提和基础。

规则公开原则应与个人信息主体的知情权、参与权、查询权、修改权等结合起来理解，除信息控制者身份及其收集目的之外，个人信息收集处理规则公开的内容至少还应包括:个人信息加工处理的方式、汇集的方式、数据存储地、信息使用范围、使用方式和使用期限、信息查询及更新方式、信息知情范围及信息安全管理措施、个人信息披露的告知或同意程序、个人信息转移和处置以及个人信息泄露的责任等。

只有将这些信息会无保留地向信息主体公开。信息主体才有可能对是否向信息控制者提交自己的实名信息做出真实、自由的判断。

信息收集处理双方地位平等原则

依据个人信息收集处理协议或合同，在意思一致基础上收集个人信息，日益成为个人信息收集处理的重要原则或主流原则之一。

按照信息收集的不同依据，信息控制者和信息主体之间的关系有平等关系和不平等关系两种。依法收集个人信息的政府机构或其他获得授权拥有公共管理职能的机构在收集个人信息时处于行政主体的地位，而信息主体则处于行政相对方的地位，收集或要求公民提交个人信息时带有强制性。而商业机构在收集个人信息时，则必须在相互平等的基础上才能收集、处理个人信息。

平等原则要求，信息控制者必须在充分告知信息主体有关背景，在确保信息主体完全自愿的情况下，通过公平合理的信息收集协议，收集或使用个人信息。信息控制者不得利用自己的技术和平台优势，强制收集个人信息。

 

信息收集数量最小化原则

信息控制者在收集个人信息时，应当最大限度地克制自己获取公民个人信息的欲望，严格遵循数量最小化原则，限制个人信息的披露。

个人信息收集数量最小化原则要求，个人信息收集者在确定收集公民个人信息的范围和数量时，应当以达到对信息主体的有效识别为限，即满足信息控制者识别信息主体的基本要求即可。

信息收集和利用有限原则

不仅应对个人信息的收集实行数据量最小化的限制，对收集个人信息的目的、数据处理的数量、存储的时间期限、加工处理的程度、个人信息使用的范围等也应实行有限原则。有限原则要求，信息控制者在进行个人信息处理时采取克制态度，所收集数据的数量、数据存储时间、处理的范围、使用的范围、披露的范围、数据库的转移或处置等必须与信息控制着的基本目的相适应。据此，可认为个人信息收集有限原则包括目的限制、时间限制和使用限制等。

信息安全管理原则

个人信息安全管理原则是指信息控制者应采取充分必要的技术措施和内部管理措施，确保个人信息收集、处理、流转、使用的质量及安全。安全管理原则要求信息控制者制定严格的机构内部信息安全与秘密保护规则;制定并执行严格的个人信息数据保护技术措施和组织措施;限制实名使用，逐步实现对个人信息的实名注册，化名、匿名化管理和使用，等等。

信息控制者的责任原则

个人信息长期得不到有效保护，与信息控制者的责任制度缺位直接相关。因此，确立个人信息主体的损害救济制度，尤其是建立以赔偿责任为核心的信息控制者责任制度，也应成为个人信息保护的一项基本原则。

在个人信息收集处理过程中，鉴于个人信息主体始终处于弱势地位，为恢复双方地位之间的平衡，应当突出强调个人信息控制者的义务及其对信息主体的责任承诺，并在信息控制者违反合同或法定义务时，向信息主体承担救济责任，包括赔偿责任。

首先，是信息控制者对保护信息主体权利的承诺责任。承诺责任的基本要求包括:第一，向信息主体承诺不非法收集，披露、使用和传播个人信息；第二，预先告知信息主体，特定情况下收集、转移个人数据的可能性；第三，收集个人信息前给信息主体明确具体的通知；第四，明确告知信息主体查询、更正错误或过时个人信息的权利和程序；第五，对个人信息的安全和保密作出公开承诺；第六，搭建简便易行的个人信息查询程序;第七，建立个人数据遭受侵害时的权利救济途径和程序。

其次，是信息控制者的救济责任。救济责任的基本要求是:如果信息控制者违反承诺或产生承诺之外的其他过失，造成信息主体权利损害的，应当向信息主体承担救济责任，包括停止收集和处理个人信息，停止流转和交易个人信息，停止使用个人信息，等等。如果信息控制者的违约行为给信息主体造成精神损害或财产损失，信息控制者有义务向信息主体予以赔偿。

同时，个人信息主体也有权就其所受的损害向信息控制者投诉并要求停止侵害、消除影响、恢复名誉，甚至要求给予赔偿。

可见，网络新业态下，个人信息保护的原则不仅包括信息收集应当遵守的原则，还包括信息处理、转移和使用应当遵守的原则;不仅包括信息主体对信息处理的自决原则、信息收集的合法性原则、信息收集和利用的目的有限原则以及个人隐私保护原则等实体性原则，还包括收集程序的公开、告知、协议、匿名等程序性原则；不仅包括信息主体的权利原则，也包括信息控制者的义务性原则，以及个人信息违约侵权的责任归属原则和权利救济原则等。其中，自决原则是基础，合法原则是核心，隐私和信息安全保护是目的。其他原则都应当围绕这些原则发挥作用。唯其如此，才能从根本上保护公民个人的信息权利。

 

 

 

（本文转载自《保密工作》十一期，原创国家无线电监测中心;长安通信科技有限责任公司）