数字时代隐私权保护的工商企业责任

中南大学人文社科处处长、人权研究中心执行主任、法学院教授

毛俊响

很荣幸参与此次研讨会，让我有机会向大家分享本人关于数字时代隐私权保护中工商企业责任的观点。

在讨论隐私权保护时，我们通常主要关注国家的义务，这主要基于两方面原因：首先，传统人权保护理论认为，隐私权防范的主要对象是国家权力，因此国家承担着尊重和保障隐私权的义务。这种义务设定建立在“个人—国家”二元社会结构的基础之上。其次，在实践中，国家机关往往出于国家安全、公共秩序等需要，采取监控、截获通信或收集个人数据等措施，以获取打击犯罪所需的证据。

但是，近年来，工商企业监视、截取和收集个人信息的能力正在以难以想象的速度增长。工商企业已经成为数字时代的社会权力主体，有人称之为“数字利维坦”。“数字利维坦”的出现意味着数字时代的社会结构从“个人—国家”二元结构，向“个人—社会—国家”三元结构的转变。在没有法律规制的情况下，工商企业在使用人工智能技术收集个人信息时，可能会侵犯隐私权和其他人权。在这一背景下，2013年以来，联合国人权理事会和联合国大会陆续通过了一系列关于数字时代隐私权保护的决议。这些决议明确指出，工商企业应当承担尊重人权的责任，包括在数字时代遵循隐私权保护的相关原则：透明度原则、必要性与合法性原则、人权导向原则、个人信息自主原则以及补救原则。截至目前，为保护个人信息与隐私，全球已有140多个国家和地区制定了个人信息保护有关的法律。

近年来，中国数字技术和数字经济快速发展，人工智能技术广泛应用在经济社会文化的各个方面。数字经济改变了人们的生产方式和生活方式，数字时代的人权保障也成为中国政府重点关注的议题。为此，中国政府加大对个人信息的立法保护，在促进数字经济发展的同时，注意防范“数字利维坦”对人权尤其是个人隐私权可能造成的侵害。

在立法模式方面，中国形成了以“专门立法为主、其他相关法律为辅”的综合立法模式。一方面，全国人大及其常委会在制定《关于加强网络信息保护的决定》《网络安全法》《电子商务法》，及修改《消费者权益保护法》等立法工作中，确立了个人信息保护的主要规则；在修改《刑法》时，完善了惩治侵害个人信息犯罪的法律制度；在编纂《民法典》时，将个人信息受法律保护作为一项重要民事权利作出规定。另一方面，2021年8月，全国人大常委会表决通过了《个人信息保护法》，围绕个人在个人信息处理活动中的权利、个人信息处理者的行为义务等进行了全面性规定，是个人信息保护领域的基本法律。个人信息处理者主要是在数字经济活动中收集、处理个人信息的工商企业。鉴于日益凸显的侵犯人权风险，《个人信息保护法》明确规定了工商企业收集和处理个人信息的基本原则和具体规则，建立了健全的个人信息保护制度。

《个人信息保护法》确立工商企业处理个人信息应遵循的五项原则。一是工商企业处理个人信息应当遵循合法、正当、必要和诚信原则，应当具有明确、合理的目的，采取对个人权益影响最小的方式。二是工商企业收集个人信息应当遵守最低限度原则，应当限于实现处理目的的最小范围，不得过度收集个人信息。三是工商企业处理个人信息应当遵循公开、透明原则，公开个人信息处理的规则，明确处理的目的、方式和范围。四是工商企业处理个人信息应当遵守准确完整原则，应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。五是安全保障原则，即工商企业应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。

《个人信息保护法》规定了个人信息处理的一般规则和特殊规则。一是确立了以“告知—同意—透明度”为核心的个人信息处理规则。工商企业利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，且不得歧视。除非取得个人单独同意，工商企业不得公开其处理的个人信息。工商企业处理敏感个人信息应当取得个人的单独同意或者书面同意。二是通过赋予个人在处理个人信息中的相关权利，如个人信息删除权、可携带权、查阅复制权，来明确工商企业的相关义务。三是要求工商企业建立处理个人信息的影响评估、补救机制。四是对大型互联网平台设定了特别义务，即按照国家规定建立健全个人信息保护合规制度体系；对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务等等。

综上所述，中国建立了比较完备的个人信息保护法律制度。这一制度具有两大特色：一是顺应了数字经济发展的时代趋势，充分体现了联合国相关决议的基本要求，具有鲜明的时代性；二是明确规定个人信息处理者，特别是工商企业，收集和处理个人信息时所遵循的法律原则、具体规则，构筑了数字时代个人信息保护的制度基础。由此可见，中国已经形成了既彰显国际共识又具有中国特色、既促进数字经济发展又有效保护人权的个人信息保护模式。

以上就是我的发言，谢谢！

（来源：中国人权研究会）