张兆安代表：建议制定个人信息保护法，设立信息保护官制度

今年全国两会期间，来自上海代表团的全国人大代表张兆安提交了关于制定个人信息保护法的建议，他认为，应制定一部全面的个人信息保护法，明确个人数据的边界范围，厘清个人信息在民事、刑事、行政范围内的界限，建立个人信息保护官制度。

个人信息保护是今年两会的一大热点。日前，大会发言人张业遂表示，全国人大常委会已将制定个人信息保护法列入本届立法规划。

张兆安介绍，随着经济社会发展进入信息化时代，信息的重要性越来越得到彰显，并且成为了不可忽视的经济社会发展的重要资源。然而，相应的法律法规没有建立健全起来，使得个人信息泄露和不当使用等问题日趋严重，进而引发了全社会关于信息安全的担忧。

张兆安指出，目前，多数企业或者组织的信息意识不强，未建设完善的安全保障系统，甚至未采取任何技术防范措施，容易导致信息泄露和不适当使用。同时，我国对个人信息的二次开发利用行为缺乏规范，界限模糊，个人信息二次加工使用容易引发侵权纠纷，甚至引起行政责任的承担。某些组织或个人通过不正当渠道获取的个人信息，寻找目标人进行推销，甚至传销或者电信诈骗。

针对上述情况，张兆安提出如下七点建议：

1、明确个人数据的边界范围。个人隐私与个人信息是交叉关系，隐私权的内容主要包括维护个人的私生活安宁、个人私密不被公开、个人私生活自主决定等；而个人信息权主要是指对个人信息的控制和决定。因此，应清晰地区分个人信息权和隐私权，界定个人信息的内容和范围。建议对个人敏感信息和个人一般信息的区分应当予以保留，并在法律保护上区别对待。个人敏感信息应限定为个人敏感隐私信息，对此应实施高强度保护，限制收集、加工、流动，及时删除。个人一般信息应强化利用，最大程度地发挥促进其商业和公共管理的作用，但也应防止不当使用。此外，个人信息立法的保护主体不是法人和其他非法人组织，而仅包括自然人。法人以及其他非法人组织的信息应由知识产权法和商业秘密等制度规制。

2、明确相关数据保护执法机构。设立独立的行政执法机构或者明确行政执法机构及其职责。刑事、民事救济手段对个人信息保护都有滞后性和局限性，无法迅速、有效地制止恶意侵权事件。世界主要国家的个人信息保护体系中，行政监管体制皆发挥着不可替代的作用，如美国联邦贸易委员会(FTC)、欧盟的数据保护委员会、日本的个人数据保护委员会，韩国也专门设置了纠纷调解委员会等等。建议我国也设立独立的行政机关，从而不仅能够监督个人信息保护的全部过程，也可以有效地解决纠纷、维护市场的正常发展。

3、赋予个人对个人信息的控制权。在信息时代,自然人对个人信息的支配和控制越来越多地表现为对其个人信息的各种利用。因此，在个人数据使用遵循合法、正当和必要的总体原则外，应给予信息主体对个人信息的控制权。个人信息主体的控制权应主要包括对个人信息的使用、修改或删除等权利。控制权是个人信息保护的重要手段之一，既可以保证个人信息的收集获得信息主体的授权，也可以更全面地保证个人信息的安全。

4、厘清个人信息在民事、刑事、行政范围内的界限。目前，刑法已经对危害个人信息活动的行为进行入罪，且规定了较为详细的刑事责任。建议《民法总则》和其他民事规范在规定对自然人信息保护的基础上，进一步明晰侵害个人信息的民事责任，个人信息立法应当予以明确。除此之外，对于不宜入刑的侵害个人信息的行为，应当规定具体、明确的行政责任，由行政机关给与相关企业、负责人行政处罚。

5、建立个人信息保护官制度。个人信息风险不仅仅是产生于收集个人信息之时，而是在与信息有关的全过程中，因此监管制度的建设，既要从行政层面入手，也不能忽视企业自身的作用和重要性。在美国，很多大型公司都设立首席隐私执行官，德国也要求其企业设立数据保护顾问，评估企业的隐私、数据保护政策和执行情况。建议研究推行个人信息保护官制度的可行性，其主要起到内部监管作用，但同时接受相应行政机关的监督。

6、关注跨国、跨境信息流动。鉴于不同国家的个人信息保护立法存在明显差异，侧重点也有不同，应在《网络安全法》的基础上，重视个人信息的国际间流动，与其他国家进行协商和谈判，切实保护我国数据安全。为促进区域间个人信息的流动，应加强我国的信息跨境流动制度与国际框架，加强我国与其他国家相应行政机构的合作。

7、加强未成年人的信息保护。我国目前青少年网民数量已愈3亿，未成年人的成长伴随着是网络的发展和时代的前进，网络是未成年人生活的重要内容，其生活方式甚至思想意识都与互联网息息相关。因此，在个人信息保护立法中，针对未成年人心智尚未成熟，缺乏足够的认识能力和控制能力等问题，必须为未成年人提供特殊且全面的保护，防止其信息权益受到侵害。