你的数据隐私什么时候才能受到保护？

隐私泄露有时是黑客的‘杰作’，但更多时候，那些被我们信任的企业，往往成为泄露数据的源头。即便在涉及个人信息交易时，我们都会谨慎选择规模较大的正规企业，最后却像是全世界都知道了我们的隐私。

房屋中介询问租期到了要不要找出租房，招聘网站询问要不要换工作，网校询问要不要考注册会计师，移民机构询问要不要赴海外投资……偶有诈骗电话，情节拙劣让人哭笑不得。显而易见，我们的隐私数据被他人获取了，但是如何获取，被盗或是被买卖，该如何保护这些数据，是否有法可循？对于大众来说，至今仍是无解谜题。

从无到有的法律建设

不久前诺顿委托独立研究机构TheHarrisPoll对全球16个市场，超过16000名18岁以上个人用户进行在线调查，发布了《2018年诺顿网络安全调查报告》。对中国过用户的调查结果显示，2018年有超过五分之一的中国消费者曾遭遇身份盗窃，近7300万人受到影响。

在今年的315晚会中，电话诈骗产业链被曝光，涉及APP安装（隐私截取）、探针盒子（隐私下载）、大数据分析（隐私数据整理）和AI语音电话骚扰（隐私变现）等一系列对个人信息有组织的侵犯。个人信息问题首次出现在315晚会是在2012年，中国电信被曝群发垃圾短信出售信息通道，之后更是多年榜上有名；2013年，高德地图被曝位置共享服务会违规收集用户信息，网易邮箱被曝根据用户邮件内容分析用户习惯并发送精准广告；2014年，大唐旗下高鸿等公司被曝向智能手机植入恶意程序等问题，不仅会恶意扣费，还会泄露用户的个人信息；2015年，中国移动、铁通被曝为骚扰电话提供支持，招商银行、工商银行等银行内部员工被曝泄露出售客户信息……

315晚会上对电信诈骗的报道

被点名的企业不乏知名企业和行业巨头，恰如冰山一角，过去十几年中不为人知的对用户数据的滥用只会更多。这让中国人对企业的信任不断下降的同时，对隐私泄露的不安也日益提升。诺顿的报告显示，50%的中国受访者对政府保护个人信息的能力表示信任，对金融机构只有24%，而对电商只有11%，社交媒体更是低至8%。

诺顿报告中中国受访者对机构的信任度

虽然互联网便利了人们的生活，但消费者在获得便利的同时，安全感却再在逐渐消失。针对个人信息泄露、骚扰信息泛滥的情况，2014年3月重新修订的《消费者权益保护法》，规定了经营者收集、使用消费者个人信息的原则。其中第29条第1款规定：‘经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。’第3款规定：‘经营者未经消费者同意或者请求，或者消费者明确表示拒绝的，不得向其发送商业性信息。’

这一立法显示，隐私保护在我国已经成为重要的社会问题，民众作为消费者的权益受到了侵犯。实际早在我国立法之前，这一问题在国际上就得到了广泛的关注。早在1980年，经济合作与发展组织（OECD）就颁布了《隐私保护与个人信息跨国流通指南》，随着信息化程度的不断提高，世界各国与地区也纷纷出台相应法律，比如2012年新加坡国会发布的《个人数据保护法》，2013年4月25日香港特区发布的《香港隐私保护条例》等。

相比之下，我国在个人信息保护方面的法律法规建设，正从无到有，处于不断完善的阶段，仅仅《消费者权益保护法》的少数条款显然不足以覆盖范围越来越大的隐私保护问题。2017年6月1日，我国正式实施《网络安全法》，这是我国第一部全面规范网络安全管理方面问题的基础性法律，共有11条条款定义个人信息保护的保护规定。其中第22条、41条、44条和45条，要求网络运营者收集、使用个人信息时，要向用户明示并取得同意，不得超范围滥用个人信息，不得已非法方式获取、提供和出售个人信息。第43条规定，个人有权要求网络运营者删除和更改其个人信息。

不过《网络安全法》大多只是原则性规定，且个人信息保护主要集中在第四章网络信息安全，仍有许多不足。而一年后实施的欧盟《一般数据保护条例》（GDPR），被认为是史上最严苛的数据保护法案，以及随后在2018年6月28日经加州州长签署公布的《加利福尼亚州消费者隐私保护法案》（CCPA），条款都更加全面和细化，为我们提供了可供参考的范本。

对比我国《网安》法中相应条款，GDPR和CCPA都对个人信息作了比较广泛地定义，强调个用户对个人信息的自决权，新增了数据可携带权、删除个人信息权等，并规范了企业处理数据的行为，比如要求企业告知用户收集、使用、共享数据的具体信息，强化了企业和数据相关的责任，并设立较为严格的处罚，但也设置了多种合规路径，鼓励数据以合法的途径流通。

两者间的不同之处在于，GDPR和《网络安全法》有所类似，都是基于监管者的立场，强调有关责任主体主动规范数据处理的行为，对数据保护的规定更为全面；CCPA更侧重规范数据的商业化利用，基本是消费者隐私保护的内容，和《消费者权益保护法》的出发点类似。相比较之下，GDPR要更严格和全面，涉及的对象范围也更广，对象是任何拥有欧盟公民个人数据的组织；CCPA主要针对达到相应体量（年度总收入超过2500万美元，或为商业目的购买、出售、分享超过50000个消费者、家庭或设备的个人信息，或通过销售消费者个人数据取得的年收入超过总收入50%）的处理加州居民个人数据的营利性实体。