摘要：欧盟保障公民个人隐私信息安全的《通用数据保护条例》5月开始实施，将公民的个人隐私信息置于严格的法律保护之下，对违法者进行严厉的处罚。这对我国的公民个人隐私信息保护立法

　　5月25日，欧盟为保障欧盟公民的个人隐私信息安全而制定的《通用数据保护条例》正式生效，其核心规则是：所有能直接或间接识别个人政治理念、种族、健康状况等敏感信息的资料，比如姓名、身份证号、地址、电话等信息，未经当事人授权，企业不得使用或进行其他操作。这项政策影响的并不限于28个欧盟成员国，只要公司为欧盟居民提供服务，收集、持有或处理欧盟居民的数据，即便公司位于欧盟境外，也要受此条例约束。

　　这项法案刚刚生效，美国Google和Facebook公司担心按照《通用数据保护条例》的规定要承担巨额罚款，决定将公司业务从欧盟市场撤出。根据该法律规定，如果企业违法，可以判处罚金高达2000万欧元，也可以判处全球营业额4%的罚款。

　　《通用数据保护条例》旨在切实保护消费者的自主选择权，防止互联网络企业采用格式合同等方式，要求消费者必须放弃自己的隐私。

　　《通用数据保护条例》不仅适用于数据搜集者，而且适用于消费者；不仅适用于处理数据的第三方机构，而且适用于所有掌握消费者信息的企业或者个人。只要通过合法途径获得消费者的信息，就必须接受该法律的管辖，不得滥用消费者的信息。不仅如此，该法律还明确规定消费者可以要求互联网络企业删除属于消费者自己的数据记录。

　　《通用数据保护条例》明确规定，互联网络公司提供服务协议的时候，不得使用模糊或者难以理解的语言，或者使用非常复杂的隐私保护政策，直接或者间接地从消费者那里获得数据使用权限。发生纠纷之后，互联网络公司不得向法庭出示有关不合法的协议以免除自己的责任。为了规避法律，美国许多公司已经开始雇用专业人员，删除有关欧洲客户的信息资料，以防消费者顺藤摸瓜，将美国公司告上法庭。

　　由于中国没有类似的法律，因此，美国公司搜集中国消费者的信息并且建立数据库用于商业用途，中国消费者不能通过诉讼的方式维护自己的合法权益。当然，《中华人民共和国侵权责任法》规定，如果消费者提出请求，要求互联网服务提供商删除有关个人信息，互联网络服务提供商认为信息涉及个人隐私，应当采取“删除、屏蔽、断开链接”等措施，否则，应当承担相应的法律责任。

　　全国人大常委会正在审议《中华人民共和国电子商务法》。对于该项法律是否应当规定消费者隐私保护的内容，学术界仍然存在争议。部分学者认为，按照“契约自由”的原则，如果消费者接受互联网络企业的服务，就应该按照有关协议，交出自己的信息，互联网络企业可以事先约定，将消费者有关信息存储于数据库并且用来作为商业信息使用。而《通用数据保护条例》则明确规定，如果通过格式合同等方式“强迫”消费者放弃自己的隐私，那么该项协议条款违反消费者的选择权，因而不具有法律效力。

　　笔者的观点是，讨论法律问题必须具有层次观念。《通用数据保护条例》包含以下四个方面的内容：第一，在合同签订和履行过程中，不得“过分”搜集消费者的信息，如果搜集消费者个人隐私行为是不必要的，或者搜集消费者个人隐私是出于非法目的，那么执法机关可以追究互联网络企业的法律责任。第二，互联网络企业必须切实保护消费者个人隐私，如果将消费者个人隐私存储在数据库，用于商业目的，显然是一种不合法行为。互联网络企业不得通过格式合同等方式，要求消费者放弃个人隐私。第三，如果消费者签订合同或者履行合同的过程中，拒绝将个人隐私存入互联网络企业的数据库，那么互联网络企业不得拒绝服务，而应当将有关消费者的个人隐私删除，这样才能确保消费者的个人隐私不会在数据库中长期存在，并且被其他企业或者个人所知晓。第四，互联网络企业的数据库存储的消费者个人隐私不得转让，如果互联网络企业将数据库所存储的消费者个人隐私转让，获取商业利益，就应当承担法律责任。这样环环相扣，构成了一个完整的保护消费者个人隐私封闭的法律规范体系，任何互联网络企业都不得以格式合同或者其他方式滥用消费者的个人隐私。

　　笔者建议全国人大常委会认真研究欧洲联盟议会通过的这部法律，从合同签订以及合同履行环节切实保护消费者个人隐私，并且就互联网络企业建立数据库制定专门的法律规范，防止互联网络企业利用自己的数据库中存储的消费者个人隐私从事商业活动，损害消费者的合法权益。多年前笔者曾经提出，数据库信息许多属于消费者个人隐私，因此，必须对数据库制定专门的法律。如今，欧洲联盟议会抢先一步，专门就保护消费者个人隐私制定法律。“他山之石，可以攻玉”，建议全国人大常委会在《中华人民共和国电子商务法》中增加有关消费者个人隐私保护的条款。

　　（作者为中南财经政法大学教授）