電子商務法擬限制經營者濫用優(yōu)勢地位收集信息

一年一度的各大電商平臺購物狂歡節(jié)落下帷幕，消費者此間收到的各種促銷信息也達到了一個高峰。有媒體稱，網購、海淘已經成為個人信息泄露的主要渠道。如何讓消費者在享受電商優(yōu)惠便捷購物體驗的同時，保護好他們的個人信息安全，是亟待關注的話題。

利用電子商務法的立法契機，把個人信息保護所涉及的主要問題予以規(guī)范和明確，是北京大學教授薛軍的一貫主張。他告訴《法制日報》記者，目前正在制定的“電子商務法”草案中，對網絡交易中的消費者數據保護問題，給予了高度關注。相關規(guī)定有望成為中國法律體系涉及網絡交易中消費者數據保護的基礎性、框架性的規(guī)定。

經營者不得發(fā)送商業(yè)性信息

記者：對于消費者個人信息保護，我國現有的法律規(guī)定都有哪些？

薛軍：在2013年修訂的《消費者權益保護法》第14條中，明確規(guī)定：“消費者享有個人信息得到保護的權利。”

該法第29條則更加具體地規(guī)定：“經營者收集、使用消費者個人信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經消費者同意。經營者收集、使用消費者個人信息，應當公開其收集、使用規(guī)則，不得違反法律、法規(guī)的規(guī)定和雙方的約定收集、使用信息。經營者及其工作人員對收集的消費者個人信息必須嚴格保密，不得泄露、出售或者非法向他人提供。經營者應當采取技術措施和其他必要措施，確保信息安全，防止消費者個人信息泄露、丟失。在發(fā)生或者可能發(fā)生信息泄露、丟失的情況時，應當立即采取補救措施。經營者未經消費者同意或者請求，或者消費者明確表示拒絕的，不得向其發(fā)送商業(yè)性信息。”

中國的《消費者權益保護法》的上述規(guī)定，為網絡交易中的消費者數據保護問題，提供了基本的法律依據。由工商總局組織草擬的“消費者權益保護法實施條例”(目前該法律草案正處于征求意見階段)，對如何保護消費者的個人信息，在該草案的第20到22條中，設置了更加具體而且具有可操作性的法律規(guī)則。根據相關的立法計劃，該條例將在不久的將來由國務院頒布。這一條例的頒布，也將對網絡交易中的消費者數據保護問題，起到非常積極的作用。

不僅只是上述法律、法規(guī)，關注了消費者數據保護問題，中國的諸多部門規(guī)章以及最高法院頒布的司法解釋，都或多或少地涉及到個人信息保護問題。由于中國目前還沒有一部統(tǒng)一的“個人信息保護法”，因此如何協調這些由不同的部門所頒布，具有不同的法律效力等級，涉及不同領域的法律規(guī)范，是一個相當大的挑戰(zhàn)。

有望成為基礎性框架性規(guī)定

記者：由電子商務法對個人信息保護予以專門規(guī)定，有何優(yōu)勢？

薛軍：正是在上述背景下，目前正在制定的“電子商務法”草案中，對網絡交易中的消費者數據保護問題，給予了高度關注。電子商務中的消費者數據保護問題，原本也是電子商務發(fā)展中的核心法律問題。

由于擬制定的電子商務法具有較高的效力等級，以及對相關問題的規(guī)定比較詳盡，所以這一法律中關于消費者數據保護的規(guī)定，有望成為中國法律體系涉及網絡交易中消費者數據保護的，基礎性、框架性的規(guī)定。

界定重點在于“可識別性”

記者：草案是如何界定電子商務消費者個人信息范圍的？

薛軍：草案中將其界定為：信息收集人在電子商務活動中收集的姓名、身份證件號碼、住址、聯系方式、位置信息、交易記錄、支付記錄、快遞物流記錄等能夠單獨或者與其他信息結合識別特定消費者身份的信息。

這是一種結合了“具體列舉”與“概括描述”相結合的，關于個人信息范圍的界定方法，其重點在于“可識別性”要素。通過這個要素，試圖將個人信息，與作為電子商務企業(yè)重要的資產形態(tài)的大數據區(qū)分開來。后者也可能建立在相關的個人信息的集合的基礎之上，但經過了嚴格的匿名化的處理，在不對個人信息權構成侵害的前提下，可以進行商業(yè)化的利用。但必須確保，這種匿名化的過程必須是不可逆的，這一才能夠確保不會導致對消費者個人信息的侵害。

應征得消費者的明示同意

記者：個人信息的收集、處理與利用，是個人信息保護中的一個重要問題。草案對此是如何規(guī)定的？

薛軍：在電子商務消費者個人信息的收集上，草案原則上要求，信息收集人收集電子商務消費者個人信息，應當遵循合法、必要、正當原則，事先告知消費者信息收集、處理和利用的規(guī)則，并征得消費者的同意。

需要強調的是，關于這里的同意應該理解為是明示同意，也就是將缺省狀態(tài)設置為不同意，但消費者可以明確選擇同意(opt in)，而非將缺省狀態(tài)設置為同意，允許消費者另行選擇不同意(opt out)。

為了限制經營者在這一問題上通過格式條款等方法，侵犯消費者實質性的選擇權，草案還規(guī)定，信息收集人不得以拒絕為消費者提供服務為由強迫消費者同意其收集、處理、利用個人信息。這一規(guī)定的目的在于，結合信息數據收集上的必要性原則，限制經營者濫用其在合同締結方面的優(yōu)勢地位。

草案還規(guī)定，禁止采用非法交易、非法入侵、欺詐、脅迫或者其他未經消費者授權的手段收集個人信息。信息收集人修改個人信息收集、處理、利用規(guī)則的，應當取得消費者的同意。消費者不同意的，信息收集人應當提供相應的救濟方法。

關于電子商務消費者個人信息的處理和利用問題。這一問題受到高度關注。必須在與數據利用相關的商業(yè)利益與個人信息保護，這二者之間尋求最完美的均衡。總的來說，電子商務法草案中的相關思路是，以保護消費者作為基本的出發(fā)點。

電子商務消費者對個人信息的處理和利用應當符合消費者同意的處理、利用規(guī)則。信息收集人處理、利用個人信息的行為可能侵害消費者合法權益的，消費者有權請求信息收集人中止相關行為。

信息收集人變更收集信息時約定的處理、利用的目的、方式和范圍的，應當告知消費者，并征得消費者的明示同意。法定或者約定保存期限屆滿，信息收集人應當主動或者按照消費者的請求刪除、停止處理、利用或者銷毀相關個人信息。

經營主體負有信息安全保障義務

記者：草案對于消費者個人信息安全是否予以專門規(guī)定？哪些主體負有這一義務？

薛軍：草案規(guī)定，信息收集人應當建立健全內部控制制度，并采取必要措施防止信息泄露、丟失、毀損，確保消費者個人信息安全。在發(fā)生或者可能發(fā)生消費者個人信息泄露、丟失、毀損時，信息收集人應當向相關部門報告、采取補救措施，并及時告知消費者。

歐盟不久前剛剛通過網絡安全相關的法案。而中國也已通過《網絡安全法》。網絡安全中的重要內容就是消費者個人信息安全問題。互聯網世界中已經發(fā)生多起大規(guī)模的個人信息泄露的事件，造成非常巨大的負面影響。因此中國的電子商務法草案對于從事電子商務經營活動的主體，課加了特別的信息安全保障義務。這是完全合理的，而且也是必要的。

管理部門承擔過錯賠償責任

記者：網絡經營主體對于監(jiān)管部門提供數據信息，容易處于兩難境地。一方面，政府主管部門落實管理和監(jiān)管措施，往往要依賴于電子商務經營者的配合。另一方面，如果提供給政府的相關數據發(fā)生泄露或不當使用，將直接導致經營者承擔法律責任。如何平衡此二者的關系？

薛軍：為了平衡二者的需求，電子商務法草案規(guī)定電子商務管理部門應當依法要求電子商務經營主體提供電子商務數據信息，并采取必要措施保護相關數據信息的安全。因電子商務管理部門的過錯導致數據信息泄露、丟失、毀損，侵害當事人合法權益的，電子商務管理部門應當依法承擔損害賠償責任。

關于這一問題，因為涉及企業(yè)的公法上的義務與私法上的義務的交叉影響，同時也與政府相關執(zhí)法部門存在密切聯系，因此如何合理界定其范圍，平衡不同的訴求，還處于熱烈的討論之中。