7.3.1  什么是隐私权？

隐私权是指公民享有的私人生活安宁与私人信息依法受到保护，不被他人非法侵犯、知悉、搜集、利用和公开的一种人格权。主要包括个人生活宁静权、私人信息保密权、个人通信秘密权及个人隐私利用权。

在互联网和电子商务时代，人们出于某种目的会向政府部门和商业机构提交一些个人信息，人们的网络行为和通信的信息也会被各种不同的机构准确地记录在各种数据库中。一些机构为了谋取商业利益将用户数据出售，或者由于数据保护不当，用户数据被窃取和盗用，都会引起用户隐私的泄露。

在电子商务领域，个人的隐私主要包括姓名、住址、身份证号码、电话号码、银行卡卡号和征信情况等。例如，消费者的姓名、住址和电话号码在电子商务交易过程中会提供给卖方和承运方。后两者可能会出于一定的目的，向交易无关方泄露消费者的这些信息，进而对数据主体的隐私权构成威胁。电子商务领域中消费者的个人信息在消费者不知情的情况下被任意收集、被开发和再次开发利用以及被非法出售和转让已成为侵害消费者隐私权的三种主要形式。消费者的个人信息被非法使用，主要目的有两种：向其发送广告和对其进行诈骗。

7.3.2  我国有关隐私权保护的法律法规

目前，隐私权在我国法律上采取的是间接保护的方法，没有把隐私权确立为一项独立的人格权。相关的法律法规除了前一节的《中华人民共和国电子商务法》，还包括《中华人民共和国广告法》、《中华人民共和国网络安全法》和《信息安全技术个人信息安全规范》等。其中《信息安全技术个人信息安全规范》对个人信息的保护做了非常明确和具体的规定。

《中华人民共和国广告法》于1994年10月27日第八届全国人民代表大会常务委员会第十次会议通过，2015年4月24日第十二届全国人民代表大会常务委员会第十四次会议修订。修订后的《中华人民共和国广告法》自2015年9月1日起施行。修订后的《中华人民共和国广告法》第四十三条规定，“任何单位或者个人未经当事人同意或者请求，不得向其住宅、交通工具等发送广告，也不得以电子信息方式向其发送广告。以电子信息方式发送广告的，应当明示发送者的真实身份和联系方式，并向接收者提供拒绝继续接收的方式。”

《中华人民共和国网络安全法》由全国人民代表大会常务委员会于2016年11月7日发布，自2017年6月1日起施行。《中华人民共和国网络安全法》第四章“网络信息安全”中的第四十条至第四十五条对个人信息的搜集和使用等做了较为系统的规定。如其第四十一条规定，“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”再如，其第四十二条规定，“第四十二条 网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。”

《信息安全技术个人信息安全规范》（以下简称《个人信息安全规范》）由全国信息安全标准化技术委员会制定，并于2018年5月1日正式施行，该规范于2019年2月进行了第一次修订。《个人信息安全规范》主要针对个人信息面临的安全问题，规范个人信息控制者在收集、保存、使用、共享、转让、公开披露等信息处理环节中的相关行为，旨在遏制个人信息非法收集、滥用、泄漏等乱象，最大程度地保障个人的合法权益和社会公共利益。

首先是个人信息的收集问题。根据《个人信息安全规范》，在个人信息的收集过程中，需要遵循合法性以及信息收集最小化的要求。也即对个人信息的收集，既不得采取欺骗等非正当手段，也不得收集任何为法律所明令禁止的个人信息内容。同时，由于个人信息在一定程度上被划入隐私范畴，与个人息息相关，因此对于个人信息的收集，必须遵循最小化要求，也即直接关联、最低频率和最少数量。同时，在收集个人信息时，一般情形下必须获得个人信息主体在明确该收集行为前提下的完全同意，只有当该信息与国家安全、公共安全或者犯罪侦查等公共项目相关时，方可不经个人信息主体同意而对其个人信息进行强制收集。而对于个人信息中的敏感内容，必须经过个人信息主体的明示同意方可收集。

其次是个人信息的保存问题。《个人信息安全规范》要求对于信息的保存要做到去标识化处理，同时保存时间要遵循所需时间的最短要求，在信息的传输过程中也必须做到高度的安全防范措施，以避免个人信息在传输或者保存过程中出现不当泄露。再者，对于个人信息的使用问题，无论是个人信息使用者的范围限制、身份要求，个人信息在展示及使用时的场合、范围限制，还是个人信息的访问、删除、更正以及撤回问题，都有严格的程序及原则要求。同时在接受个人信息处理的委托过程中，也必须对该委托进行完整充分的审核，以确保该委托的真实性。最后，对于个人信息的共享、公开、披露、转让等，均需要以《个人信息安全规范》的要求为准，遵循一系列严格的要求，包括事先评估事中监督等诸多措施来确保个人信息在一系列过程中的安全性。

7.3.3  欧盟的通用数据保护条例

2018年5月25日，欧盟的《通用数据保护条例》（General Data Protection Regulation），开始实施。这个专门关于数据保护的条例引起了全世界的关注，对欧盟以外关于个人隐私保护的立法具有很高的参考价值。

《通用数据保护条例》是一项全面的法律，赋予了欧盟居民对个人数据的更多控制权，并试图澄清在线服务商在收集、利用欧洲用户个人数据的规则和责任。它取代了1995年通过的欧盟关于数据保护的法律，并对现有的公约做出了一些重大改变。该规定扩大了公司必须考虑到的个人数据范围，并要求他们密切跟踪他们存储的欧盟居民的数据。如果欧盟的某个人想要一个公司删除他或她的数据，发送数据副本，或者更正数据中的错误，该公司必须遵守。欧盟居民可以反对公司使用他们数据的具体方式，但只要公司停止将这些信息用于特定目的，他们就不介意这家公司保留这些数据。更重要的是，GDPR要求公司需要在数据泄露的72小时内通知用户——目前还很少有公司做到这点。

欧盟的每个成员国都将有自己的执行机制，每个国家都将有一个GDPR主管。居民可以向各自国家的管理机构投诉。违反该法律的公司将面临可能非常严重的罚款。对GDPR违规的最大罚款是2000万欧元，或者一家公司年度全球收入的4%，将取两者中的较高者。

该规定适用于广泛的个人数据，包括一个人的姓名和身份证号码。它还能保护一个人在网上和现实世界中所做活动的信息数据。这包括位置信息，以及IP地址、cookies和其他数据，这些数据可以让公司在用户浏览互联网时追踪他们。

GDPR适用于任何收集、处理、管理或存储欧洲公民数据的组织，包括大多数主要的在线服务和收集、处理、管理或存储数据的企业。正因为如此，GDPR本质上是为数据保护设置了一个新的全球标准。其一些主要特点如下：

1. 地域适用范围广

任何收集、传输、保留或处理涉及到欧盟所有成员国内的个人信息的机构组织（即使该组织机构不属于欧盟成员国的公司），只要其是“为了向欧盟境内可识别的自然人提供商品和服务（包括免费服务）或者为了监控欧盟境内可识别的自然人的活动而收集、处理他们的信息”，那么均受该条例的约束。

2. 数据主体的权利多

数据主体的权利包含知情权、访问权、更正权、可携权、删除权、限制处理权、反对权以及与自动化个人决策相关的权利。数据主体不仅有权知道谁基于什么目的在处理哪些数据，还有删除权（又称为被遗忘权）。如果数据主体不再希望数据控制者和数据处理者处理其个人数据，并且它们没有合法的理由保留它，那么数据主体可以要求他们删除其个人数据。

3. 禁止处理的数据多

（除非另有规定）禁止处理揭示种族或族裔出身、政治观点、宗教或哲学信仰、工会成员身份的个人数据，以及用于识别唯一自然人而处理的遗传数据和生物特征数据、与健康或与自然人的性生活或性取向有关的数据。

4. 设置数据保护官

在多种情形下（如对大规模数据主体进行定期和系统的监测时和处理刑事定罪和犯罪有关的个人数据时），数据控制者和处理者需要指定一名数据保护官。数据保护官作为监管机关的联络点，需要就与数据处理有关的问题与监管机构合作。数据主体可就与处理其个人数据和行使本条例所规定的权利有关的所有问题联系数据保护官。

5. 对违规者处罚重

对违规者的罚款可高达2000万欧元或相关组织机构全球年营业总额的4％（以较高者为准）。这样的处罚力度，足以让很多违规的企业破产。

在我国，对隐私的保护相对薄弱。欧盟《通用数据保护条例》的实施，对我国跨境电子商务企业提出了新的要求，对我国隐私保护相关法律的制定和修改具有很好的参考价值。为了遵守该条例，建议企业在系统设计之初就应把隐私保护和默认隐私保护考虑进来，在处理数据的活动中做好详细记录，否则很容易违反该条例，从而遭受巨额处罚。