在信息時代，數(shù)據(jù)被認(rèn)為是比石油更為珍貴的資源。由于絕大多數(shù)的數(shù)據(jù)，都來源于個人或與個人的活動有關(guān)，因而海量的數(shù)據(jù)主要是由個人來貢獻(xiàn)。根據(jù)可識別性標(biāo)準(zhǔn)，即單獨(dú)或結(jié)合其他信息是否可識別到特定的自然人，具有可識別性的個人數(shù)據(jù)，就作為法律上的個人信息而存在。我們在手機(jī)上使用的所有App，網(wǎng)絡(luò)科技公司提供的宣稱是免費(fèi)的所有服務(wù)，其實(shí)都不是無償?shù)�。只不過，作為使用者的我們，支付的代價不是金錢，而是個人信息。個人信息方面的代價，可能比有形的費(fèi)用要高得多。
對數(shù)據(jù)的合理化治理跨出重要一步
個人信息法律保護(hù)命題的復(fù)雜性，根源于在個人數(shù)據(jù)之上，匯集了多方主體不同性質(zhì)的權(quán)益。其中，既涉及作為數(shù)據(jù)主體的個人隱私權(quán)與個人信息權(quán)等，也涉及作為收集者與處理者的企業(yè)、產(chǎn)業(yè)界的經(jīng)濟(jì)性利益，還涉及國家與政府在宏觀經(jīng)濟(jì)與社會治理方面的利益。由于需要在個人權(quán)益的保障、數(shù)字經(jīng)濟(jì)的發(fā)展與社會治理的成效之間進(jìn)行權(quán)衡，這使得有關(guān)個人信息的法律保護(hù)，自始就茲事體大，需要在整體的社會治理框架中來加以考慮。
作為一個超大規(guī)模的復(fù)雜社會，中國在國情方面的特殊性，以及網(wǎng)絡(luò)化與信息化的發(fā)展程度的差異，使得在數(shù)據(jù)的社會治理上，我們并無現(xiàn)成的方案可供照搬。個人信息保護(hù)法草案的出臺，有其積極的意義。它代表著立法者在如何實(shí)現(xiàn)對數(shù)據(jù)的合理化治理的方向上跨出重要一步。
個人信息保護(hù)法草案至少在如下方面取得重要成效：一是在落實(shí)信息收集環(huán)節(jié)的“知情—同意”的機(jī)制方面，草案出臺了比較切實(shí)的舉措。通過對告知事項(xiàng)、各情形中的同意要求、撤回同意權(quán)等做出明確規(guī)定，“知情—同意”的保護(hù)機(jī)制或有望借此得到貫徹與落實(shí)。二是通過規(guī)定包括知情權(quán)、查閱復(fù)制權(quán)、更正權(quán)、刪除權(quán)等在內(nèi)的權(quán)利，草案強(qiáng)化了個人在信息處理環(huán)節(jié)的控制權(quán)能。三是草案試圖構(gòu)建以二元機(jī)制為支柱的法律保護(hù)框架，即在“知情—同意”的機(jī)制外，引入對信息處理者的合規(guī)要求的機(jī)制。為此，草案對信息處理者的義務(wù)做出較為明確的規(guī)定，包括對個人信息實(shí)行分級分類管理與采取相應(yīng)的加密、去標(biāo)識化等安全措施，以及在特定情形中要求進(jìn)行事前的風(fēng)險評估等。四是初步確立按個人信息類型提供分級保護(hù)的機(jī)制，對敏感信息的處理做出專節(jié)的規(guī)定。
法規(guī)制度還有待進(jìn)一步細(xì)化和完善
與此同時，個人信息保護(hù)法草案的不足之處也較為明顯。
其一，草案在明確個人在信息收集與處理環(huán)節(jié)享有諸多權(quán)利的同時，并未規(guī)定相應(yīng)的法律責(zé)任條款與之配套，使得個人事實(shí)上根本難以對信息處理者提出權(quán)利主張。根據(jù)草案第65條的規(guī)定，個人如想向信息處理者主張權(quán)利，要證明自身存在損失或信息處理者獲得利益，此外尚需進(jìn)一步證明侵害行為與自身所受損失或信息處理者所獲利益之間存在因果關(guān)系。在民事訴訟中，這樣的證明責(zé)任于個人而言，無疑是不可承受之重。
其二，草案雖然對國家機(jī)關(guān)處理個人信息作出專門的規(guī)定，但涉及制約性的規(guī)定，其內(nèi)容非常概括，難以對國家機(jī)關(guān)收集與處理個人信息的行為進(jìn)行有效的制約。國家機(jī)關(guān)作為社會治理的主體，本身也擔(dān)任信息處理者的角色。相比于像企業(yè)這樣的私主體，國家機(jī)關(guān)在處理個人信息方面無疑應(yīng)當(dāng)受到更多的制約，需要遵守公法上的比例原則。這不僅是因?yàn)楣珯?quán)力部門的執(zhí)法活動，只有取得法律的明確授權(quán)才可為之，也是因?yàn)楣珯?quán)力的濫用，易于對個人、對社會造成更大程度的危害。尤其是，鑒于草案第27條只是含混地規(guī)定，在公共場所基于維護(hù)公共安全的需要，設(shè)置顯著的提醒標(biāo)識，并遵守國家的有關(guān)規(guī)定，就可不經(jīng)同意而收集與處理個人信息，公權(quán)力部門的濫權(quán)風(fēng)險提升。對于第27條的內(nèi)容，有必要考慮吸納比例原則中的相應(yīng)要求，以對不經(jīng)同意的例外情形做較為嚴(yán)格的限定。
其三，草案專門對監(jiān)管部門的職責(zé)范圍與相應(yīng)職權(quán)作出明確，但對如何確保其合法合理地履行職責(zé)并無具體規(guī)定。國家機(jī)關(guān)除了作為個人信息的處理者之外，也可能以數(shù)據(jù)主體的保護(hù)者或利益沖突的調(diào)解者的角色出現(xiàn)，承擔(dān)起監(jiān)管方面的職能。這種監(jiān)管職能屬于國家權(quán)力的行使，其間勢必涉及行政機(jī)關(guān)與相對方之間的關(guān)系，故監(jiān)管部門應(yīng)當(dāng)如何履行監(jiān)管職責(zé)方面的內(nèi)容，也有必要加以規(guī)定。與此相應(yīng)，在法律責(zé)任條款中，需要考慮如監(jiān)管部門未依法履職，相對方如何獲得救濟(jì)等問題。