但遺憾的是，工信部門通報的多批次違規(guī)收集個人信息案中，基本都是通報批評，以治病救人為原則，并沒有更嚴(yán)厲的行政處罰。事實(shí)上，中國現(xiàn)有法律同樣是有牙齒的，只不過監(jiān)管部門謹(jǐn)遵“行政謙抑”的原則。按照2013年制定的《電信和互聯(lián)網(wǎng)用戶個人信息保護(hù)規(guī)定》，也可以處一萬元以上、三萬元以下的罰款。

不過，根據(jù)《網(wǎng)絡(luò)安全法》第六十四條，網(wǎng)絡(luò)運(yùn)營者侵害個人信息，沒有違法所得的，處一百萬元以下罰款。對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處一萬元以上十萬元以下罰款，情節(jié)嚴(yán)重的，并可以責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、關(guān)閉網(wǎng)站、吊銷相關(guān)業(yè)務(wù)許可證或者吊銷營業(yè)執(zhí)照。而最新的《個人信息保護(hù)法（草案）》則將最高處罰額拉升到5000萬元或者營業(yè)額的5%，與歐盟規(guī)定的2000萬歐元或全球營業(yè)額4%的處罰上限基本接軌。《網(wǎng)絡(luò)安全法》比《電信和互聯(lián)網(wǎng)用戶個人信息保護(hù)規(guī)定》階位更高，時間更近，應(yīng)當(dāng)優(yōu)先適用。顯然，相關(guān)監(jiān)管部門已經(jīng)手下留情了。

個人信息自決權(quán)

2021年新年伊始，《民法典》開始實(shí)施。雖然國內(nèi)理論和實(shí)務(wù)界對于個人信息究竟屬于權(quán)利還是利益尚存爭議，民法典也沒有規(guī)定“個人信息權(quán)”，但是，《民法典》作為民事基本法，在人格權(quán)編中明確規(guī)定了“個人信息保護(hù)”的基本原則、個人信息處理者的義務(wù)和責(zé)任。2020年12月30日，最高人民法院發(fā)布了與民法典配套的第一批共7件新的司法解釋，其中就有“關(guān)于個人信息保護(hù)”。

保護(hù)個人信息本身不是目的，而是要防止因個人信息的處理而產(chǎn)生的對人身財產(chǎn)權(quán)益乃至人格尊嚴(yán)、人格自由的侵害的風(fēng)險。因此，從作為個人這一方來說，其主要的利益是一種防御性利益，即被非法處理而致人身財產(chǎn)權(quán)益遭受侵害甚至人格尊嚴(yán)與人格自由受到損害的利益。為了協(xié)調(diào)個人信息保護(hù)與信息的社會經(jīng)濟(jì)利用的關(guān)系，我國民法典沒有規(guī)定個人信息權(quán)，而是作為人格權(quán)益（注3），使用了“個人信息保護(hù)”的表述。

可以說，《民法典》的設(shè)計是煞費(fèi)苦心，創(chuàng)立個人信息權(quán)或所有權(quán)極有可能傳遞出限制個人信息的開發(fā)利用、限縮互聯(lián)網(wǎng)經(jīng)濟(jì)發(fā)展空間的意味，而個人信息保護(hù)的概念則是意圖平衡個人信息的支配程度與利用空間。

事實(shí)上，無論國內(nèi)外的立法實(shí)踐，個人信息保護(hù)制度最重要的制度設(shè)計就是建立在個人信息自決基礎(chǔ)上的“告知—同意”準(zhǔn)則，或者說“告知—同意”實(shí)質(zhì)是明確了個人信息的自決權(quán)，個人信息的處理與利用必須獲得個人的同意，個人有權(quán)否決對個人信息的處理與利用。在我國已經(jīng)完成的立法來說，《民法典》和《網(wǎng)絡(luò)安全法》均將此作為整個保護(hù)制度的基石。

如《民法典》1035條：

處理個人信息的，應(yīng)當(dāng)遵循合法、正當(dāng)、必要原則，不得過度處理，并符合下列條件：（一）征得該自然人或者其監(jiān)護(hù)人同意。

《網(wǎng)絡(luò)安全法》第四十一條同樣規(guī)定：

網(wǎng)絡(luò)運(yùn)營者收集、使用個人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。

魔鬼在細(xì)節(jié)。何為同意？何種方式取得同意？同意的內(nèi)容究竟是什么？這些都是非常關(guān)鍵的問題，也是歐美立法過程中爭議的焦點(diǎn)問題。然而，無論是《民法典》，亦或是《網(wǎng)絡(luò)安全法》都付之闕如，規(guī)定相當(dāng)“原則性”。

2020年10月21日，全國人大公布的《個人信息保護(hù)法（草案）》進(jìn)行了補(bǔ)缺，第十四條規(guī)定：

處理個人信息的同意，應(yīng)當(dāng)由個人在充分知情的前提下，自愿、明確作出意思表示。法律、行政法規(guī)規(guī)定處理個人信息應(yīng)當(dāng)取得個人單獨(dú)同意或者書面同意的，從其規(guī)定。個人信息的處理目的、處理方式和處理的個人信息種類發(fā)生變更的，應(yīng)當(dāng)重新取得個人同意。

對于敏感信息（如個人生物特征信息、地理行蹤信息、財務(wù)信息等），第三十條特別規(guī)定：

基于個人同意處理敏感個人信息的，個人信息處理者應(yīng)當(dāng)取得個人的單獨(dú)同意。法律、行政法規(guī)規(guī)定處理敏感個人信息應(yīng)當(dāng)取得書面同意的，從其規(guī)定。

顯然，《個人信息保護(hù)法》明確了“同意”的確立原則，也就是知情、自愿、明確，以及特殊情況下的單獨(dú)同意或書面同意，同意的內(nèi)容包括個人信息處理目的、處理方式、處理的個人信息種類以及處理主體。

2020年10月1日開始實(shí)施的國標(biāo)《個人信息安全規(guī)范》進(jìn)一步區(qū)分了授權(quán)同意和明示同意。授權(quán)同意包括積極行為作出的明示同意（典型行為包括主動勾選、主動點(diǎn)擊“同意”“注冊”“發(fā)送”“撥打”等肯定性動作，或者主動提供信息）和消極不作為作出的授權(quán)（如在告知信息收集行為后，仍不離開信息采集區(qū)域）。也就是說，授權(quán)同意是一個相對低的同意標(biāo)準(zhǔn)，而明示同意是更高的同意標(biāo)準(zhǔn)，單獨(dú)同意或書面同意則是最高的同意標(biāo)準(zhǔn)。

盡管國標(biāo)并非法律法規(guī)，但這反映了制定單位的理念。這份以推薦性國標(biāo)的形式所確立的同意標(biāo)準(zhǔn)，相對于歐盟以法律的形式對于“告知—同意”所確立的標(biāo)準(zhǔn)，中國的個人信息保護(hù)確實(shí)是要弱一些，或者說更加傾向于數(shù)據(jù)的利用與流通。

如歐盟2018年5月25日生效的《通用數(shù)據(jù)保護(hù)法案》（GDPR）對于何為“同意”確立了5項標(biāo)準(zhǔn)，包括自由授權(quán)（freely given，即不受脅迫、誘導(dǎo)，如同意與否不能成為是否能繼續(xù)享受網(wǎng)絡(luò)運(yùn)營方服務(wù)的條件）、充分知情（informed，特別是信息使用的原因和處理的目的，以及如何撤回同意）、清楚易懂（unambiguous，語言樸實(shí)、直接、清晰）、特定的（specific，對于不同處理類型<信息的收集、利用、儲存、售賣等都統(tǒng)稱處理>都需要獲得獨(dú)立的同意）、肯定性動作（如不能夠以默認(rèn)勾選再由用戶點(diǎn)擊同意按鈕而獲得同意）。

一些相關(guān)行業(yè)網(wǎng)站都重點(diǎn)介紹了GDPR的“同意”的五項標(biāo)準(zhǔn)，并將“同意”視為GDPR的基礎(chǔ)之一

美國加州也曾經(jīng)多次試圖參考?xì)W盟的標(biāo)準(zhǔn)，但遭到了互聯(lián)網(wǎng)等眾多行業(yè)的集體抵制，在最終成案的《加州隱私法》（2018及2020年）中，也還是沒有能夠?qū)崿F(xiàn)。

事實(shí)上，默認(rèn)勾選是中國互聯(lián)網(wǎng)行業(yè)的通行做法，也是企業(yè)最期望的做法，這恰恰是歐盟所否定的做法。表面上看，由個人用戶來勾選，還是由網(wǎng)絡(luò)運(yùn)營方來勾選，并沒有本質(zhì)差別，但這微小的差異幾乎就是數(shù)據(jù)利用和個人信息保護(hù)平衡的分界線。2019年10月歐盟最高法院在德國彩票網(wǎng)站（Planet49 GmbH）個人信息違法行政處罰爭議案中，對“告知—同意”原則標(biāo)準(zhǔn)進(jìn)行了詳細(xì)闡釋，明確否定了任何以沉默、不作為的方式或默認(rèn)勾選的方式作出的同意授權(quán)。

公共利益的邊界應(yīng)該明確劃定

個人信息保護(hù)的黃金法則——“告知同意”原則并非沒有例外，政府為了公共利益可以不遵循該原則?！睹穹ǖ洹?035條規(guī)定，法律和行政法規(guī)有規(guī)定的，可以無需個人同意直接處理個人信息。1036條更進(jìn)一步明確：處理個人信息，有下列情形之一的，行為人不承擔(dān)民事責(zé)任：（三）為維護(hù)公共利益或者該自然人合法權(quán)益，合理實(shí)施的其他行為。

《個人信息安全規(guī)范》標(biāo)準(zhǔn)5.6有更加清晰的表述：

征得授權(quán)同意的例外

以下情形中，個人信息控制者收集、使用個人信息不必征得個人信息主體的授權(quán)同意：C）與公共安全、公共衛(wèi)生、重大公共利益直接相關(guān)的。

對疫情期間的個人信息保護(hù)問題，早在疫情初期（2月9日），中央網(wǎng)信辦就已經(jīng)發(fā)布《關(guān)于做好個人信息保護(hù)利用大數(shù)據(jù)支撐聯(lián)防聯(lián)控工作的通知》，明確涉疫情個人信息收集的主體、處理原則等。

中央網(wǎng)信辦在通知第一條中指出：各地方各部門要高度重視個人信息保護(hù)工作，除國務(wù)院衛(wèi)生健康部門依據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國傳染病防治法》《突發(fā)公共衛(wèi)生事件應(yīng)急條例》授權(quán)的機(jī)構(gòu)外，其他任何單位和個人不得以疫情防控、疾病防治為由，未經(jīng)被收集者同意收集使用個人信息。顯然，中央網(wǎng)信辦的通知明確只有法律授權(quán)處置公共衛(wèi)生事件的機(jī)構(gòu)有權(quán)在未經(jīng)個人同意直接收集處理個人信息，其他任何機(jī)構(gòu)即使以防疫的名義都不能突破“告知同意”準(zhǔn)則。

更值得注意的是，全國人大正在征求意見的專門法《個人信息保護(hù)法》則采取了更加謹(jǐn)慎的做法，第三十五條規(guī)定：國家機(jī)關(guān)為履行法定職責(zé)處理個人信息，應(yīng)當(dāng)依照本法規(guī)定向個人告知并取得其同意;法律、行政法規(guī)規(guī)定應(yīng)當(dāng)保密，或者告知、取得同意將妨礙國家機(jī)關(guān)履行法定職責(zé)的除外。顯然，對于為維護(hù)公共利益需要處理個人信息的，仍然著意維護(hù)“告知同意”的黃金法則，對于例外情形的應(yīng)用則設(shè)置了較高的門檻。考慮到《個人信息保護(hù)法》是在疫情期間征求意見的，可以認(rèn)為這是對疫情期間一些地方以維護(hù)公共利益的理由不合理侵犯個人信息的回應(yīng)。