近日，據(jù)一些媒體報(bào)道，國(guó)內(nèi)安全漏洞監(jiān)測(cè)平臺(tái)烏云發(fā)布報(bào)告稱(chēng)，如家等酒店使用了某網(wǎng)絡(luò)公司開(kāi)發(fā)的酒店wifi管理、認(rèn)證管理系統(tǒng)，并且酒店客戶(hù)的信息被存儲(chǔ)在該網(wǎng)絡(luò)公司的服務(wù)器上，但是，由于該系統(tǒng)存在漏洞，酒店客戶(hù)個(gè)人信息面臨被泄露的風(fēng)險(xiǎn)。這意味著，酒店客戶(hù)的姓名、身份證號(hào)碼、入住和離開(kāi)酒店的時(shí)間等信息，都有可能被黑客輕松截獲。由此，個(gè)人信息保護(hù)問(wèn)題再次引發(fā)了社會(huì)公眾的關(guān)注。
在當(dāng)今的信息社會(huì)，一方面?zhèn)€人隱私以及對(duì)個(gè)人信息的控制權(quán)需要保護(hù)，另一方面，對(duì)信息的合理需求和使用也無(wú)法回避。有業(yè)內(nèi)人士就此指出，對(duì)個(gè)人信息的保護(hù)并不是絕對(duì)的，而是需要進(jìn)行一定的利益平衡，特別是在信息技術(shù)不斷變革的情況下，對(duì)于平衡度的把握需要較高的立法技巧和遠(yuǎn)見(jiàn)。
而不爭(zhēng)的事實(shí)是，關(guān)于個(gè)人信息被濫用、被侵犯的消息屢見(jiàn)報(bào)端，但是各方都積極呼吁的有關(guān)個(gè)人信息保護(hù)的綜合性、基礎(chǔ)性立法，即個(gè)人信息保護(hù)法卻一直難以出臺(tái)。
北京航空航天大學(xué)法學(xué)院副教授、商法與經(jīng)濟(jì)法研究中心副主任周學(xué)峰指出，從形式來(lái)看，我國(guó)目前尚未有個(gè)人信息保護(hù)法之類(lèi)的專(zhuān)門(mén)性法律，而且在短期內(nèi)該法也可能難以出臺(tái)，但是，這并不意味著我國(guó)不存在保護(hù)個(gè)人信息的實(shí)質(zhì)意義上的法律規(guī)范。而在專(zhuān)門(mén)的立法出臺(tái)之前，在現(xiàn)行法律框架下，一旦個(gè)人信息被人侵犯，還是可以有救濟(jì)手段的。如果公民發(fā)現(xiàn)其個(gè)人信息遭到了泄露或被濫用，可以在現(xiàn)有的法律框架下，通過(guò)法律解釋的方法，來(lái)維護(hù)自己的合法權(quán)益。
個(gè)人信息保護(hù)立法進(jìn)程慢原因多
“據(jù)我所知，早在十年前，國(guó)務(wù)院有關(guān)部門(mén)曾就個(gè)人信息保護(hù)法的立法問(wèn)題委托中國(guó)社科院的一些專(zhuān)家進(jìn)行研究，這些專(zhuān)家曾在2005年左右提出過(guò)一份個(gè)人信息保護(hù)法專(zhuān)家意見(jiàn)稿，但是，個(gè)人信息保護(hù)法一直未被列入正式的立法日程。”周學(xué)峰分析認(rèn)為，個(gè)人信息保護(hù)法一直難以出臺(tái)，主要有以下原因：
首先，我國(guó)立法機(jī)關(guān)的立法任務(wù)非常繁重，立法有輕重緩急之分，特別是在去年全國(guó)人大常委會(huì)剛剛通過(guò)了《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》，就目前的情況來(lái)看，可能尚有更為重要的法律需要制定。
其次，一項(xiàng)立法草案需要達(dá)到一定的成熟程度才能順利通過(guò)。從這個(gè)角度來(lái)講，個(gè)人信息保護(hù)還有一些問(wèn)題需要進(jìn)行研究、協(xié)調(diào)和解決。例如，數(shù)據(jù)挖掘技術(shù)是近些年才出現(xiàn)的一項(xiàng)信息技術(shù)，它的出現(xiàn)對(duì)于個(gè)人信息的采集和使用規(guī)則亦提出了挑戰(zhàn)。
第三，個(gè)人信息保護(hù)法是一部個(gè)人信息保護(hù)的基礎(chǔ)性法律，它不僅規(guī)范金融機(jī)構(gòu)、電信機(jī)構(gòu)等對(duì)個(gè)人信息的獲取和使用，政府機(jī)構(gòu)對(duì)個(gè)人信息的獲取和使用亦應(yīng)受其約束。因此，在立法時(shí)需要征集多部門(mén)的意見(jiàn)并進(jìn)行協(xié)調(diào)，這些亦會(huì)導(dǎo)致立法進(jìn)程緩慢。
雖未有單獨(dú)立法但仍有救濟(jì)途徑
《法制日?qǐng)?bào)》記者在采訪中發(fā)現(xiàn)，在個(gè)人信息保護(hù)領(lǐng)域，我國(guó)許多省市都已經(jīng)制定了有關(guān)個(gè)人信息保護(hù)的地方性法規(guī)。此外，全國(guó)人大常委會(huì)、國(guó)務(wù)院及其部委也制定了若干專(zhuān)門(mén)領(lǐng)域的個(gè)人信息保護(hù)規(guī)定。例如，在網(wǎng)絡(luò)信息保護(hù)方面，有《全國(guó)人民代表大會(huì)常務(wù)委員會(huì)關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》、工信部制定的《電信和互聯(lián)網(wǎng)用戶(hù)個(gè)人信息保護(hù)規(guī)定》；在金融信息保護(hù)方面，國(guó)務(wù)院制定了征信業(yè)管理?xiàng)l例等。另外，我國(guó)刑法亦規(guī)定有“非法獲取個(gè)人信息罪”和“非法買(mǎi)賣(mài)、提供公民個(gè)人信息罪”。
結(jié)合此次酒店客戶(hù)個(gè)人信息存在泄露風(fēng)險(xiǎn)一事，周學(xué)峰指出，網(wǎng)絡(luò)公司應(yīng)該預(yù)見(jiàn)到，如果其所提供的信息系統(tǒng)有缺陷，將會(huì)導(dǎo)致所存儲(chǔ)的個(gè)人信息受到嚴(yán)重泄露，因此，網(wǎng)絡(luò)公司負(fù)有保障其提供的信息系統(tǒng)具備安全性的義務(wù)。當(dāng)然，這種安全性應(yīng)當(dāng)是一種合理的安全性，而不是絕對(duì)的安全性。在判斷網(wǎng)絡(luò)公司是否盡到了安全保障義務(wù)時(shí)，可以參照工業(yè)和信息化部于2013年7月制定的《電信和互聯(lián)網(wǎng)用戶(hù)個(gè)人信息保護(hù)規(guī)定》。除此以外，《信息安全技術(shù)、公共及商用服務(wù)信息系統(tǒng)個(gè)人信息保護(hù)指南》作為我國(guó)首個(gè)個(gè)人信息保護(hù)的國(guó)家標(biāo)準(zhǔn)，雖然不具有法律上的強(qiáng)制約束效力，但具有指南性，亦可作為衡量互聯(lián)網(wǎng)企業(yè)是否有過(guò)失的參考性標(biāo)準(zhǔn)。
此外，據(jù)了解，從世界范圍來(lái)看，目前關(guān)于個(gè)人信息保護(hù)立法存在兩種立法模式，一種是集中立法模式，如歐盟的《個(gè)人信息保護(hù)指令》；另一種則是分散的立法模式，例如，美國(guó)并不存在像歐盟《個(gè)人信息保護(hù)指令》那樣的一部法典，而是分散在若干部法規(guī)之中。周學(xué)峰認(rèn)為，如果我們要采取集中立法的模式，歐盟的《個(gè)人信息保護(hù)指令》可以作為借鑒的對(duì)象。
受害人可依據(jù)現(xiàn)行法律進(jìn)行索賠
針對(duì)仍在不斷持續(xù)發(fā)酵的酒店客戶(hù)個(gè)人信息存在泄露風(fēng)險(xiǎn)一事，周學(xué)峰分析認(rèn)為，僅就這一個(gè)案而言，即便現(xiàn)在我國(guó)尚無(wú)專(zhuān)門(mén)的個(gè)人信息保護(hù)法，也并不存在“無(wú)法可依”的情況。如果真的發(fā)生了酒店客戶(hù)個(gè)人信息泄露事件，受害人是可以依據(jù)現(xiàn)行法律進(jìn)行索賠的。
首先，在酒店住宿的客戶(hù)與酒店之間存在合同關(guān)系，酒店負(fù)有保障其客戶(hù)的人身和財(cái)產(chǎn)安全的義務(wù)，這其中應(yīng)包括酒店所收集的客戶(hù)個(gè)人信息的安全。此種義務(wù)屬于合同當(dāng)事人的附隨義務(wù)，即使合同中未對(duì)此明確地約定，當(dāng)事人亦可主張。因此，當(dāng)酒店違反了合同義務(wù)時(shí)，客戶(hù)可依據(jù)合同法向酒店主張違約責(zé)任。
其次，客戶(hù)可依據(jù)侵權(quán)責(zé)任法主張酒店未盡到安全保障義務(wù)，從而要求損害賠償。酒店的這一義務(wù)是法定的。根據(jù)《全國(guó)人民代表大會(huì)常務(wù)委員會(huì)關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》第四條的規(guī)定，酒店有義務(wù)采取技術(shù)措施和其他必要措施，確保信息安全，防止其所收集的公民個(gè)人電子信息泄露。值得一提的是，依據(jù)侵權(quán)責(zé)任法，當(dāng)發(fā)生黑客入侵酒店信息系統(tǒng)獲取客戶(hù)個(gè)人信息時(shí)，黑客作為直接加害人應(yīng)承擔(dān)首要的賠償責(zé)任，而酒店僅承擔(dān)與其過(guò)錯(cuò)相應(yīng)的補(bǔ)充責(zé)任。另外，此次事件中，酒店的信息系統(tǒng)是從某網(wǎng)絡(luò)公司采購(gòu)的，并且酒店客戶(hù)的個(gè)人信息是存儲(chǔ)在該網(wǎng)絡(luò)公司服務(wù)器上的，因此，酒店在對(duì)其客戶(hù)進(jìn)行賠償后，可基于合同關(guān)系再向網(wǎng)絡(luò)公司主張賠償。(記者朱寧寧)