互联网企业对个人信息的保护责任

根据《刑法》及《网络安全法》的相关规定，公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。这些信息具有非常高的精准投放广告的商业价值。

近年来，个人信息的泄露不仅给人们的生活、工作带来骚扰，而且还经常导致社会经验不足的人们遭遇不法行为的侵害。

问：鉴于个人信息遭遇泄露危害巨大，中国对个人信息的保护立法现状如何？

答：目前来看，《网络安全法》《消费者权益保护法》等法律确立了个人信息事前、事中的控制规定。为防止公民个人信息数据被非法获取、泄露或者非法使用，《网络安全法》就各方责任主体设置了具体义务。而《民法通则》《侵权责任法》《刑法修正案（九）》等其他法律法规、部门规章则从民事和刑事角度为事后责任认定提供了法律依据。

考虑到现在个人信息收集程序及泄露程序大多与互联网有关，中国近年来也针对互联网平台、企业、服务提供商等出台了诸多的法律法规以规制相关行为，包括但不限于《网络安全法》《电信和互联网用户个人信息保护规定》《互联网电子邮件服务管理办法》等法律法规。

由于个人信息保护的具体规定散落于多个法律法规中，且个人信息保护涉及多个部门和机构，这些执行机构如何协调、分工合作都有待进一步规范。

问：从目前法律规定来看，互联网平台对于用户信息保护主要有哪些责任？

答：第一，互联网平台通过提供涉及收集、提供公民个人信息数据的产品，在对公民个人信息进行收集、共享、二次授权和利用时，应当控制用户个人信息的透明度，保障用户能明确知悉其个人信息被收集的情况，征得用户同意并做匿名化处理（剔除个人关联）。笔者建议互联网平台应至少在用户协议或者服务协议中设置“隐私保护”或者“用户个人信息保护”等类似条款，也可以单独制定个人信息保护政策或隐私保护规则，并详细说明在获取、管理及保护用户个人信息方面的政策及措施。

第二，互联网平台应当严格遵守相关法律法规所规定的网络服务数据保护规定，健全网络数据安全保护机制。笔者建议网络运营商及平台服务商在日常运营过程中应定期对系统进行修补维护，及时更新软件版本，消除系统漏洞。需要提醒的是，故意拒不履行公民个人信息安全保护义务不仅可能面临行政处罚，甚至可能构成拒不履行信息网络安全管理义务罪。

第三，互联网平台应当建立网络信息安全投诉、举报制度，公布投诉、举报方式、程序、处理结果等信息，及时受理有关网络信息安全的投诉和举报。笔者建议互联网平台对于客户的举报或投诉，应予以核查、认真处理、保存记录。

第四，互联网平台中的关键信息基础设施运营者在其在中国境内的运营活动中收集和产生的个人信息应当储存于中国境内，并在向境外传输个人信息数据时，应当经过国家有关部门的安全评估后方可传输。这一规定尚待进一步细化。但在操作细则出台之前，笔者建议关键信息基础设施运营者暂停向境外传输个人信息数据。

问：如果互联网企业遭遇用户个人信息侵权纠纷案件，应如何应对用户提起的诉讼？

答：法院一般会采取过错原则归责制，而大部分法院倾向采取举证责任倒置的举证责任分配机制。因此，如果互联网企业遭遇个人信息侵权纠纷案件，可以从以下方面应对：

第一，判断本公司是否是案涉相关个人信息的唯一接触主体。如果案涉相关个人信息的接触主体可能有多个，那么互联网企业可以向法院举证其他接触主体接触的可能性，而权利人则应该进一步举证并确定涉案的侵权责任主体。

第二，可以考虑举证证明其他主体泄露信息的可能性或本公司已经采取了相应的安全措施、不具有泄露个人信息的可能性或过错，包括本公司对用户信息接触的等级要求，本公司员工对用户信息查询、查看记录等。

第三，对确实可能因本公司过错而导致个人信息泄露或侵权的，采取一切可以采取的措施防止进一步扩散。

第四，互联网企业在与其他方进行共享信息时，可以提前以协议的形式约定各方对用户信息的保护义务，并约定泄露用户信息的各方内部赔偿追责机制。

作者：安杰律师事务所程冰、赵倩律师