中消协建议：综合施策强化消费者个人信息保护

　　3月8日，中国消费者协会发布《2022年个人信息保护领域消费者权益保护报告》(以下简称《报告》)。《报告》指出，随着立法的完善和社会共治的强化，我国消费者个人信息保护水平显著提高，但仍存在侵犯消费者个人信息的现象，还需在立法和执法方面进一步完善。

　　对此，《报告》从保护消费者权益的角度建议，通过再次启动《中华人民共和国消费者权益保护法》修订、推广公益诉讼保护、强化社会共治等方面，完善消费者个人信息保护网络。

　　法律体系更加完善

　　2022年，消费者个人信息保护政策制定层级更高，要求也更加具体。《中共中央、国务院关于构建数据基础制度更好发挥数据要素作用的意见》(下称《数据二十条》)的发布，进一步从数据治理的角度对后续制度制定提出了明确要求，作为消费者个人信息主要表现形式的个人数据，同样属于《数据二十条》关注重点。

　　消费者个人信息保护法律体系的建构，也在2022年取得长足进步。《报告》提出，在消费者个人信息保护上，《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》与《中华人民共和国网络安全法》三部法律，均以“告知—同意”原则为中心，对个人信息保护框架进行了建构，而2022年制定的、涉及消费者个人信息保护的行政法规、部门规章与其他规范性文件，更关注如何落实上述三部法律的要求。

　　此外，2022年，网信、市场监管部门同样通过行政执法的方式，对个人信息、数据处理者进行了有效监管。中国消费者协会和各地消协组织高度重视消费者个人信息保护工作，通过专项行动、公益诉讼、消费警示、约谈经营者等多种方式加以推进。

　　给网络平台使用个人信息“加把锁”

　　大数据时代，消费者在网络平台购买商品、寻求服务，总是无法避免向平台提供个人信息，时常发生因个人敏感信息泄露而被骚扰或造成损失。

　　网络平台经营者对个人信息的使用，怎样才算有必要性？云南曲直律师事务所律师李俊芳表示，必要性原则指经营者在收集消费者个人信息时，应限于实现处理目的的最小范围，不得过度收集个人信息。收集的个人信息的类型，应与实现产品或服务的业务功能有直接关联，没有该信息的参与产品或服务的功能无法实现；自动采集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率。“比如去年7月，滴滴公司过度收集用户个人信息，相关部门依照有关法律规定对滴滴作出处罚。用户的剪切板信息、应用列表信息、年龄段信息、职业信息、亲情关系信息等，并不影响消费者打车出行，这就属于典型的超出必要性的个人信息处理。”李俊芳解释说。

　　“告知—同意”规则在《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《中华人民共和国网络安全法》等法律法规中均处于核心地位，要求以在案件所处的具体场景中是否得到个人信息权益人同意，作为判断个人信息处理是否合法的关键因素。虽然这一规则在立法中早已得到确定，但在丰富的商业实践中，消费者往往“被默认”接受修改的用户协议，“注册时同意等于永远同意”。

　　在实践中，经营者无法保证个人信息的质量，因算法运行错误导致个人信息不准确、不完整的，也会对消费者造成损失。

　　《报告》认为，消费者个人信息维权成本与损害赔偿尚待平衡，也是需要关注和解决的问题。从司法实践看，消费者在个人权益受到侵害而选择维权时，需要付出金钱、时间、人力等有形和无形的成本，因无法提供证据证明而不能得到有效赔偿，于消费者而言，维权更像是一种负担，从而打击了消费者的维权积极性。

　　综合施策提供全方位保护

　　《报告》提出，消费者个人信息保护尚有待从立法、司法、执法与社会共治等方面进一步完善。

　　立法方面，《报告》建议再次启动《中华人民共和国消费者权益保护法》修订，完善消费者个人信息保护法律制度。2013年修订的《中华人民共和国消费者权益保护法》，首次将“个人信息”列入应予保护的消费者权益范围，从而开创了消费者个人信息保护的新阶段。但随着近年来数字经济的兴起，为适应新的消费需求，应当侧重于“消费中”与“消费后”两个方面，通过制度化保障消费者个人信息不受不法侵害、立法设置最低赔偿金额等方面，对消费者个人信息权益进行保障。

　　在司法和行政监管方面，《报告》建议增加提起公益诉讼的总量，鼓励可以提起消费者个人信息保护诉讼的主体积极提起公益诉讼；发挥监管部门的指导管理作用，为消费者个人信息权益保护提供坚实后盾。

　　李俊芳表示，当消费者个人信息权益受到侵害时，可以通过以下方式维权：个人信息一旦泄露，可向公安机关、互联网管理部门、市场监管部门、消协、行业管理部门等进行投诉、举报；保留相应证据，向法院提起民事诉讼；向公安机关报案，根据刑法的相关规定，向他人出售或者提供公民个人信息以及非法获取公民个人信息情节严重的，可能涉嫌刑事犯罪，公安机关可以介入调查，相关责任主体可能承担刑事责任。（本报记者 雷霁）