时间：2023-10-12 09:45:48
导语：在关于个人信息安全的撰写旅程中，学习并吸收他人佳作的精髓是一条宝贵的路径，好期刊汇集了九篇优秀范文，愿这些内容能够启发您的创作灵感，引领您探索更多的创作可能。
[基金项目]本文为国家社会科学基金（BSH031）阶段性成果。
一 、网络时代的个人信息安全危机
网络时代，随着信息产业的日益发达和互联网的迅猛发展，以计算机为基础的信息技术使得收集、储存、传输、处理和利用个人信息变得易如反掌，个人信息的收集与交换出现了爆炸式发展的态势。科学技术从来都是一把“双刃剑”，网络在使信息流动便捷的同时，也给个人信息安全带来挑战，提高了个人信息保护的难度。近年来，个人信息泄露事件频发，并呈现迅猛发展的态势，人们越来越强烈地感受到个人信息安全危机给生活带来的种种困扰。
网络时代的个人信息危机主要有如下表现：一是个人信息失控的危机。随着信息技术的发展，个人信息有可能在系统安全存在漏洞的情况下被不法访问、使用甚至篡改，信息自决权成为空谈[1]。2011年底中国互联网遭遇了史上最大规模的用户信息泄露事件，多家大型网站的用户数据被泄露，几千万个用户账号和密码被公开，给社会秩序和人民切身利益造成严重危害。二是个人隐私和尊严的危机。在网络环境下，人们越来越多地把自己的生产和生活移到了网络空间，这个空间是由“个人信息”组成的“数字人”的交往空间。大量个人信息在不知不觉中被收集，个体在社会生活中急速“被透明化”，现代人因此而成为“透明人”或“半透明人”，个人毫无隐私可言，尊严难以保证。三是信息利益的危机。个人信息主体的信息收益权被不法商家夺取，个人信息利益丧失，信息主体的财产权因此而受到侵害。更为严重的是，个人信息危机带来的“信息阴影”已经日渐扩散，正常的社会秩序正因此而面临严峻的考验。个人信息安全的危机，将破坏商业秩序，滋长犯罪、危害社会稳定，制约经济发展，甚至引发公共安全危机。鉴于此，公民的个人信息保护势在必行。
目前，我国在个人信息保护领域的行动主要体现在对泄露公民个人信息的行为和当事人进行追究和打击等补救措施上，这实际上属于一种“事后救济”的反馈控制，不仅已经泄露的个人信息“覆水难收”，而且个人维权成本非常之高，根本无法控制已经泄露信息的网络传播，既治不了标，更治不了本。如何应对网络时代对个人信息安全的挑战？我们建议对个人信息保护引入一种新的思想和机制——前馈控制。
二、 前馈控制与个人信息保护的关系
前馈控制（feedforward control）早期是一个工科领域的名词，后来被引申到管理学中，指通过观察情况、收集整理信息、掌握规律、预测趋势，正确预计未来可能出现的问题，提前采取措施，将可能发生的偏差消除在萌芽状态中，为避免在未来不同发展阶段可能出现的问题而事先采取的措施。简而言之，就是事先分析和评估即将输入系统的扰动因素对输出结果的影响，并将期望的管理目标同预测结果加以对照，在出现问题之前就发现问题，事先制订纠偏措施，预控不利扰动因素，将问题解决在萌芽或未萌状态[1]。由此可见，前馈控制是与反馈控制相对而言的。反馈控制是面对结果的控制，旨在亡羊补牢；前馈控制是面向未来的控制，旨在防患于未然。前馈控制的优势在于可以避免反馈控制的“时滞”缺陷。[2]
凡事预则立不预则废。前馈控制立足于“预控”，是对公民个人信息保护的一个新视角、新方法、新技术和新手段。前馈控制将事先分析和评估个人信息传播过程中可能出现的各种问题和困境并对其问题实施超前控制。比如说充分利用法律法规的前馈控制功能制定专门的《个人信息保护法》，对个人信息的收集和使用过程中的违法违规行为进行预测，并做出详细的处罚规定，从而有效防止违法行为的出现。对掌握公民个人信息的单位进行全方位监管，对个人信息的收集、利用、提供和删除等各环节进行严格排查，尽量避免任何环节的纰漏。提高安全管理技术和全民的个人信息保护意识，都能在很大程度上防止个人信息安全危机的发生，使个人信息保护更有效，进步更显著。
总之，前馈控制能使我们在网络时代个人信息保护的过程中掌握更大的主动权，只有前馈控制做好了，才能真正保护好公民个人信息安全。
三、 对个人信息安全保护实施前馈控制的若干建议
对个人信息安全保护实施前馈控制所包含的内容非常广泛，限于目前的认识水平和篇幅，我们主要提出以下建议。
1.建立和完善个人信息安全保护的法律法规
法律是一种社会规范，具有规范作用，法的规范作用表现为指引、评价、教育、预测和强制五个方面。其中，教育作用是指通过法的实施使法律对一般人的行为产生影响。这种作用又具体表现为示警作用和示范作用。预测作用是指凭借法律的存在，可以预先估计到人们相互之间会如何行为，对行为的预期是社会秩序的基础。完善法律法规是对公民个人信息安全危机进行前馈控制的关键环节，充分发挥法律法规“令人知事，明其法禁”[3]的前馈控制功能，用有强制力的条文明确各方的权利与义务关系，能够在很大程度上对个人行为起到规范作用。大多数发达国家都制定了关于个人信息保护的法律，如美国有《信息自由法》和《隐私法》，德国有《联邦资料保护法》，日本和韩国都有专门的《个人信息保护法》，我国香港地区有《个人资料（隐私）条例》等。然而，我国大陆在个人信息立法上却处于滞后状态，专门的个人信息保护法律历经多年却仍然难产。近期通过的《关于加强网络信息保护的决定》（以下简称“决定”）对于我国网络信息保护具有突破性的意义，重点解决了我国网络信息安全立法滞后的问题，体现了国家对于网络信息安全的高度重视，但是《决定》更多的带有宣示性意味，后续仍需要细化工作。
个人信息牵涉每一个人，网络时代最大的特点就是信息的汇聚性，当所有人的信息汇集的时候，信息保护就不是哪个部门的事了，而是在国家层面上需要考虑的战略性问题。从现实看，当前最需要的是加紧推动《个人信息安全保护法》的研究和制订，明确买卖个人信息罪名的界定标准并加大惩罚力度，对擅自披露他人个人信息和未经许可的二次开发利用者给予严厉打击。除了刑事责任外，其他相关的行政责任、民事责任等还应当及时跟进、完善。要保障个人在信息泄露后有获得补偿和救济的权利，明确机构对公民个人信息流失所造成损失的赔偿责任和责任划分原则，比如银行信息泄露后个人账户中的钱被盗，银行需对个人损失进行补偿。继续细化《决定》中的规定，对与《决定》有关的行政法规进行清理，对有些不一致、有冲突的地方，还要进一步加以衔接，同时抓紧制订相关的配套法规。通过法律法规的制订，将公民个人信息保护过程中可能出现的问题进行合理预测，让规定走在行动前面。但是保护个人信息本不应该牺牲信息的流动性，好的立法应该在保证个人信息的合理流动与个人信息的全面保护之间寻找到平衡点，选择吸收各种立法模式的有益经验并结合本国的法律传统和具体国情做出合理的制度设计。
2.建立个人信息安全保护的监管机构
网络时代个人信息泄露的形式多样、手法灵活，应对网络时代的个人信息安全危机，单靠法律不足以解决所有问题，要做到有法必依、执法必严，否则法律不过是纸上谈兵。强有力的行业监管是实施前馈控制的重要手段和有效途径。新通过的《关于加强网络信息保护的决定》明确规定，有关主管部门应当在各自职权范围内依法履行职责，防范、制止和查处窃取或者以其他非法方式获取、出售或者非法向他人提供公民个人电子信息的违法犯罪行为以及其他网络信息违法犯罪行为。在我们国家，个人信息保护目前仍然处于各自为政的状态，某种程度上说，管理者和被管理者并没有严格地区分开，管理部门和被管理对象处在同一个行业，很难完全客观、公正地进行执法。机动车销售、房产中介、医院等行业及其从业人员往往有机会接触、掌握大量公民个人信息。这些行业虽然有内部系统出台的关于个人信息的查询规范、查询电子信息备案及保护工作意见等，但由于部分从业人员法律意识不强，企业管理、执行不到位等情况，存在制度漏洞。因此，这些行业成为个人信息泄露的“重灾区”。 从其他各国情况来看，建立一个独立、统一、权威、有效的监管机构是普遍经验，比如英国的网络自律协会IWF（Internet Watch Foundation），它能够超出行业的局限，独立公正地执法。公民个人信息安全保护，在法律法规之下，需要政府强化监管，只有完善和加强监管才能让无良者无处遁形。应该设立专门的个人信息保护监管执法机构，加强对信息持有单位的监管，进一步加大监督检查力度，建立预警和预控相结合的前馈控制机制，强化对个人信息的事前管理，包括个人信息的获得、收集、持有和使用各个环节全面监管，不要等信息泄露，危机发生之后才补救。充分重视自律机制在个人信息保护中的作用，拥有个人信息采集权的部门和单位要加强行业管理，用行业制度规范个人信息的处理行为，通过行政执法、刑事执法、民事救济手段配合建立政府引导下的行业自律机制和模式，从源头上预防和遏制对个人信息的侵害行为。拓宽公民监督举报渠道，进一步畅通举报受理机制，鼓励公民个人参与个人信息泄露的监督。
此外，尊重网络用户的个人选择权利。就是说，个人角色选择及隐私设置，想匿名还是实名应该由网络用户自己决定。可以提倡有些商业网站的做法，对用户信息采取“分级查看”的权限设置，除了必要的管理员，一般员工无权从后台查看用户的注册信息，倘若确有必要查看，必须按照严格的程序报批。在互联网上，必要时应明确限制政府的权力，有些数据政府必须得到合法的授权才可以看。
3.建立个人信息安全保护的前馈控制技术支撑体系
前馈控制不仅是方法，某种程度上更是一种技术和手段。对个人信息进行保护，除了法律和监管，还需要安全管理技术的提高。“黑客”的攻击，是一些网站数据库失陷的原因。一些网站的疏于防范，给“黑客”造成了不少可趁之机。通过技术手段可落实安全保障，要加强网络安全防护，依据分区域、按等级、多层次的防护思路进行安全规划、安全评估、安全加固与安全维护，并且对已有的安全技术进行改进与完善。建立信息安全管理体系（ISMS），通过系统、全局的信息安全管理整体规划，确保用户所有信息资源和业务的安全与正常运行[1]。网站要在安全建设方面加大资金投入力度，网络运营商应该尽到自己的保密义务，改变数据库存放策略，在当前技术范围内最大限度保证信息安全。比如我们可以设计一种软件，如果我们把自己的个人信息输入到某个网站之后，该网站三个月之后会自动删除我们输入的信息，不会把我们的个人信息留下，这样的话在技术层面上能够保证个人信息的保护。还可构建信息安全平台，为用户提供保护信息安全的产品。
建立个人信息安全前馈控制系统。研究个人信息所处环境中可能存在的缺陷、漏洞及面临的威胁，通过安全风险评估技术，观察、测试、收集、评估、分析个人信息存在风险的不确定性和可能性等因素，构建预警体系，制订预控策略和方法，最大限度地避免和减少可能的损失。
4.提高公民的个人信息安全保护意识
关键词：个人信息；安全现状；立法保护
伴随着信息技术的不断提高，各种新型利益不断出现，个人信息作为一项无形资产已成为现代信息社会的一种重要资源。然而最近几年我国个人信息泄露情况严重，尚无一部完整的关于个人信息安全保护的法律且目前相关法律不完善，难以对个人信息起到有效的保护作用，因此完善个人信息安全保护的法律制度显得尤为迫切。
1 国外个人信息保护立法概述
当前世界各国未对个人信息保护形成共识，但是发达的西方国家大多根据本国国情和需要制定了较为系统的个人信息安全保护法律体系。以美国、德国、日本为例。美国模式大体可以总结为分散立法与行业自律相结合，在公领域制定单行法进行分类保护，如1998年的《儿童网上隐私保护法》；在私领域则采取行业自律模式，在政府主导下制定行业准则，通过自我约束保护公民的个人隐私。德国模式则是在公私领域对个人资料采取统一立法模式进行保护，其于1977年制定《联邦数据保护法》对公私领域进行统一规范，同时又制定了适用于所有洲个人资料保护的法律即《洲数据保护法》，并设立独立的监督机构。日本关于个人信息的法律保护模式是建立在美、德模式之上，兼具统一立法规制与行业自律特点，即采用综合性的保护模式。以上三种模式侧重点不同，但都有其合理性。
2 我国个人信息安全法律保护的现状及其缺陷
（一）我国个人信息安全法律保护的现状。由于历史等诸多原因，我国目前没有出台一部专门的关于个人信息安全保护的法律，直接保护个人信息安全的法律数量很少，现有法律对其的保护主要为间接方式，即在个人信息相关的范畴给予局部立法。主要见于以下几个方面：在民事法律方面：《民法通则》规定：公民享有姓名权，有权决定、使用和依照规定改变自己的姓名，禁止他人干涉、盗用、假冒等；在刑事法律方面，《刑法修正案（七）》规定：国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；在行政法律方面《行政诉讼法》规定人民法院审判涉及个人隐私的案件可以不公开审理等；宪法方面，《宪法》规定：公民的人格尊严不受侵犯、公民住宅不受侵犯、公民享有通信自由和通信秘密的权利等。
（二）我国个人信息安全法律保护的缺陷。我国从《宪法》、《民法通则》、《刑法》、《居民身份证法》、《侵权责任法》、《护照法》等都体现了对公民个人信息安全的保护规定，学界也有很多论述。但是理论学说存在一定争议，对于该保护怎样的个人信息，如何保护？还没有完善的措施和体系。更何况信息的内核和外延又在不断变化发展之中。归纳不足之处在于：我国现有法律制度并不能很好的保护个人信息的安全。主要存在以下几个方面的问题。首先，相关概念界定不清。如对于“个人信息”范围未加明确规定从而易造成信息泄露案件取证及责任认定困难，司法实践时可操作性差等。其次，惩罚力度过小，难以起到警示作用。如我国刑法修正案（七）处以非法获取公民罪三年以下有期徒刑或者拘役，并处或者单处罚金，同犯罪分子丰厚的经济收益和巨大的社会危害相比，处以三年以下有期徒刑显得惩罚力度过小，难以对犯罪分子起到有利打击与警示世人的作用。再次，没有建立相应的民事补偿制度。对于滥用个人信息的责任仅仅停留在刑事责任和行政责任上，忽视个人信息泄露后对权力主体可能造成的经济损失，没有建立一套完整的民事补偿机制。最后，现有法律还存在效力层次低、系统性差的缺陷。现行法律多为地方性、行政性法律，层次效用较低且往往是针对特定的部门、地方以及个人信息的某一方面，缺乏系统性。
3 建议尽快出台宏观意义上的《个人信息保护法》
鉴于我国具体国情和历史背景，笔者认为我国应当借鉴德国的统一立法模式，在公私领域制定一部基础法律对个人信息安全进行统一立法保护。理由如下：
第一，从我国法律自身特点来看，我国法律文化深受大陆法系的影响，对大陆法系的接受相对容易。
第二，从我国现实国情来看，现阶段个人信息安全受到威胁的来源主要在两个方面，即政府机关内部及其他个人信息处理者，因此出台一部既适用于政府内部，又适用于其他个人信息处理者的法律显得尤为迫切。我国市场经济不够完善，行业自我约束的意识等尚存在很大不足，单靠行业自律很难保护个人信息的安全，因此需国家统一立法做出规范。
第三，从国际相关发展趋势来看，虽然美国排斥统一立法而更在意市场的自我调节，但其于2000年与欧盟签署的“安全港”协议可视为以美国为代表的行业自律与分散立法模式向以德国为代表的统一立法模式做出的一次让步，因此从整个国际发展趋势来看采用德国的统一立法模式将对我国同欧美国家关于个人信息的交流提供便利，从而有利于促进我国同国际社会的交流与合作。
4 同时完善微观性的法律法规体系
个人信息保护需要的不仅是一部宏观意义上的“母法”，更要求构建起一个微观性的法律法规体系，如此才能为公民个人信息权提供全面而细致入微的保障。
第一，作为社会信息化程度相对较低的国家，信息立法首先面临着信息种类和范围的界定难题。从概念上讲，凡一切与公民个人相关的资讯都应属于个人信息，但对于立法而言，只能将其中的部分信息纳入保护范围，如何划分这个界限就考验着立法者的智慧。是为应受法律保护的个人信息设置具体的标准，还是深入实践排列出个人信息的具体类别，是抽象化地对一般人信息作出规范，还是区分性地对公众人物的信息进行单独规范，这些难题都应当进行科学论证。
第二，如何增强立法的可操作性和公民信息权的可救济性，也是个人信息立法所必须考虑的重要问题。个人信息保护立法必须在确立起一个法律制度框架的同时，于条文设计上注重规范的可操作性，不仅规定公民个人信息的权利范围和对个人信息的保密义务，更需要具体设定国家公权力的相关职责，明确违背职责和保密义务的各种具体法律后果。这样做的最终目的，在于为司法机关提供具体的指引，为公民信息权提供坚实的司法保障，以防止个人信息立法成为装饰性的“花瓶立法”。
第三，对立法模式的选择，也制约着个人信息保护的立法质量。是选择“大一统”的法典模式，还是实行分门别类的法规模式？结合外国立法的相关经验及我国的目前现状个人信息保护需要的不仅是一部宏观意义上的“母法”，更要求构建起一个微观性的法律法规体系，如此才能为公民个人信息权提供全面而细致入微的保障。
总之，个人信息的安全保护问题是我国在社会信息化转型过程中必须面对的，而仅仅通过行业规范、公民个人防护意识等非强制性手段并不能对个人信息的安全起到全面保护作用，只有进行专门立法规制，从宏观和微观两个层面，架构科学的法律法规体系才能确保个人信息的安全。
参考文献
[1]齐爱民：《论个人信息的法律保护》，《民商法学》，2005年第8期。
[2]周汉华：《中华人民共和国个人信息保护法（专家建议稿）及立法研究报告》，北京：法律出版社，2008年。
[3]张新宝：《隐私权研究》，《法学研究》，1990年第3期。
[4]龙西安：《个人信用信息私有产权性质及其保护原则》，《金融法苑》，2003年第8期。
[5]刘修军：《公民个人信息权的刑事保护刍论》，《甘肃社会科学》，2009年第6期。
关键词:网络安全;个人信息;法律保护;重要性
一、我国个人信息网络安全法律保护的现状
(1)不完备的统计称，我国现有约40部法律，30多部法规和近200部规章都牵涉了公民个人信息保护，然而都是法律对个人信息安全的间接保护。这一情况体现出当前我国对个人信息的保护不够重视，将个人信息安全保护分散到各种法律规章中，没有一部完全、系统地保护个人信息安全的法律。这一情况还表现出我国的个人信息安全保护的法律保护不能适应如今人们的需要，它并没有与时俱进。之前我们忽略了的这些安全问题导致了如今的各种网络安全问题的产生，现在，它发展成为我们必须看重的问题。(2)当前有关法律对于网络个人信息的保护不仅立法不够完备，现有的法律法规对信息的保护也不够有效。原因是有关法律没有明确规定个人信息的范畴。致使公民本人没有办法识别自己受到了哪种侵害，也就没法使用法律保护自己。基于此，公民遭到侵害后通常是用隐私权来自保。但隐私权与网络个人信息有异，在被侵害网络信息后，受害者很难得到救助。(3)有学者指出已有的法律体系不能完全处理法律问题，依靠法律制度的完备规范和调整网络行径，网络将不能发展。这体现出单一的法律约束并不够，还应该对行政监管部门的监管有需求。就当前来说，很多企业的统筹和保护体制都忽略了对信息安全的掌控。利益驱动有些网站的商家钻法律的空子，以便免法律的责。
二、网络个人信息安全保护立法的必要性
很多人都了解保护自己的隐私权，但是我们并不知道网络个人信息和网络个人隐私的定位是不是相同的。基于此，法律能够对网络隐私和网络个人信息有个界限，有了确切的界限之后，人们就可以使用法律保护自己的个人权利和利益。如今，网络购物消费十分流行，很多小商家也会选择使用支付宝或者微信支付的新型的付款方式来使人们购物更方便，然而在方便的时候也为人们带来了担心，担心自己的信息被盗。特别是杭州，原因是每天都有很多去杭州旅行的人，支付宝支付随处可见。如果支付宝支付这种方法让一些不法分子有机可乘，将给消费者带来无尽的伤害。这只是一个城市做例子，如果缺乏法律保护，侵害了消费者的权利和利益，那么就会产生信任危机，网络的发展也将止步不前。我们都了解现在讲求科技革新，如果互联网不能站住脚的话。那么我国的经济和科技的发展也会受到波及，社会就无法进步。同时，现在说的只是消费者这个小主体，如果国家机关工作人员的个人信息被走漏的话，将会影响到整个国家的信息安全。
三、个人信息网络安全立法的方式与途径
我们应当对于个人信息进行确切的界限，个人信息是个很抽象而且涉及范围十分广泛的概念，包括所有与个人有关的资料、数据，例如电话号码、身份证号、家庭住址、银行卡号等。这些个人信息的外漏会使不法分子有机可乘。之前网络曝出准大学生不堪网络诈骗的自身压力，最后选择自杀。这些不法分子盗取了高考学生的个人信息，利用了高中生善良易轻信的特点，逐步套出学生自己的个人信息，最后进行诈骗。还有很多不法分子会伪造身份证，在当事人一无所知的情况下违法犯罪。若是对个人信息有确切的界限，在立法过程中就应当明确提出，若是个人行为盗取淘宝账号等信息进行诈骗的，应当接受何种法律制裁。这样就会给那些喜欢钻空子的人震慑，重新捡起我们对于网络的信任。此外就是与个人固定财产有关的信息，例如个人房产、车辆信息。大多数的情况下，我们买房和车的时候都要填写个人的详细信息，有时甚至想让买车人写出自己的孩子在哪里上学。我们填写的信息有些售楼中心或者汽车4s店会卖给服务类公司，例如保险公司。有些时候，我们可能会接到一些保险公司的电话。这些信息一定是我们在购买产品时留给商家的，商家在利益的驱动下变卖我们的信息。立法时应当明确规定商家处理客户个人信息的规定。人们的健康、婚姻状况，手机相册等这些不能公布的公民隐私的信息，如果一旦被走漏，就会侵害公民的隐私权，影响受害者的生活和工作。立法时，不单单要制约走露信息的公司和个人，还要增加对个人信息网络安全监管部门的限制。
四、加大对侵犯个人信息安全犯罪的惩罚力度
目前，侵犯个人信息安全的违法行为屡禁不止，其根本原因是我国当前的法律制度惩治力度不足。不足以让投机的不法分子惧怕，所以也就没有办法阻止犯罪行为的产生。我们应当仿照国际的方法，大力惩罚侵害个人信息网络安全的不法分子。基于此，应当将保护个人信息权写入宪法。然而个人信息权的范围很明显比隐私权笼统只是从隐私权的保护上不能够解决所有侵权问题。当今许多国家都将个人信息权独立为一项公民权利，从而使个人信息权利有更完备的保护。
五、结语
我国是法治大国。我们应当做到让我们的公民，“有法可依，有法必依。”洁净的网络环境可以使我们的公民的个人信息在法律的保护下会变得更加安全。我们的研究结果一定能引发有关部门的关注。个人信息网络安全立法就在不远的将来。
参考文献:
［1］王华永．关于网络信息安全人才建设的研究［J］．劳动保障世界，2019(14):55．
关键词:云计算;个人信息;安全风险
一、云计算及其潜在风险概述
云计算是继分布式计算、网格计算、对等计算之后的一种新型计算方式，通过互联网上异构、自治的服务，为用户提供定制化的计算。云计算是将网络储存技术、虚拟化技术、网格计算技术、并行处理技术、分布式处理技术等软硬件技术融合发展的集大成者，也是集合了网络、服务器、计算、储存、应用软件等资源并提供快速便捷、即需即取服务的共享平台。云计算具有按需服务、广泛的网络接入、资源池化、快速弹性以及按使用量计费等5个特点;涵盖私有云、社区云、公有云、混合云等4种开发模式］。云计算有3大优势:
一是具有强大的存储和计算能力，能提供即需即取的服务。最大的云计算平台的服务器数量达到百万级别，一般的云计算企业的服务器数量在几十万台，比较小的企业私有云服务器数量也要数百上千台。另外，云计算还能够弹性配置、动态伸缩，以满足用户规模和计算量增长的需要。二是具有开放性，能实现资源共享。云计算将虚拟化技术、分布式计算技术、效用计算技术和定制、计量、租用的商业模式相结合，最大效率地利用了随时连接、随时访问、分布存取的各个服务器，实现了资源的共享。三是具有管理成本最小化以及与服务供应商的交互最小化的优势，能降低使用成本。云计算具有规模效应和网络效应，在硬件成本、管理成本、电力成本、资源利用率方面都有极大的成本优势，企业和个人也省去了服务器的磨损、闲置和管理成本，只需按需要使用相应功能、按服务量支付费用。云计算潜在的安全风险与云计算的技术优势和经济效益总是如影随形。用户对于个人信息安全的担忧是云计算服务推广应用的首要障碍，云计算的理念是开放和共享，而个人信息安全注重封闭和私权，两者之间存在一定的矛盾。个人信息是指个人姓名、住址、出生日期、身份证号码、医疗记录、人事记录、照片等单独或与其他信息对照可识别特定个人的信息［5］。个人信息涉及用户的人身自由、人格尊严、财产权利等基本权利，事关重大，一般具有极高的敏感性。用户在决定是否使用云计算之前会对云计算的安全风险加以衡量。使用云计算功能在线存储的文档、图片、视频等文件大量涉及个人信息，一旦云计算的安全体系被攻破，则可能发生个人信息泄露、贩卖等事件，严重危及用户的人身财产安全，甚至会造成社会恐慌。与传统的互联网技术相比，云计算环境下保护个人信息的必要性更加突出。一是因为云计算下个人信息脱离了用户的控制范围，一旦云计算服务商的数据中心发生事故，用户无法知悉，也无法及时采取措施，只能被动挨打。
二是因为云计算的交互式、参与性、网络化的特点，用户几乎将所有个人信息被动或者主动地全部暴露在云计算服务商平台上，存在信息不对称和能力不对称的问题，一旦发生侵权事件，用户损失巨大，而且难以维权。
三是因云计算的普及性和规模性，小的漏洞都会造成巨大的破坏，损害具有连锁反应。比如，2011年亚马逊的EC2业务由于出现一点小的漏洞，整个云计算数据中心出现全范围宕机;2012年微软的WindowsAzure平台由于个人服务的设置问题，导致所有集群的功能不能使用。目前，研究云计算时代个人信息安全保护的学者大多从国家立法、行业立规的角度展开。针对个人信息保护的建章立法固然重要，特别是构建规制云计算环境下个人信息保护问题的法律规范和行业标准正当其时，法律的具体执行，特别是建立个人信息安全风险的防控机制和措施更是迫在眉睫，本文拟从这一角度进行探析。
二、云计算中的个人信息安全体系与技术风险
云计算架构分为基础设施层、平台层和软件服务层3个层次，分别对应简称IaaS、PaaS和SaaS3个服务类型。IaaS是由政府或者企业建立的大规模服务器和网络传输连接装置等基础设施，同时采用虚拟技术将分散到各个数据中心的服务器集中起来。PaaS包括基本硬件、基础软件、储存设备等，起到应用支持的作用。SaaS的作用是制定一系列标准和协议，构建公共平台，提供最终的应用服务。分层是横向的、纵向的管理系统将这些资源进行统一的配置和统一运行，实现一站式的服务。不同的云计算服务模式意味着不同的个人信息安全体系，目前大多数个人信息安全体系就是基于云计算服务模型构建的。
(一)IaaS层的个人信息安全体系与技术风险IaaS服务提供商将基础设施，包括服务器、储存、网络等IT设施进行组合，形成不同规模、不同用途的服务产品，大到集网络、数据计算、数据处理于一体的应用系统，小到一台处理简单业务的服务器，然后以套餐的形式提供给用户。用户可以像在麦当劳点餐一样，租用产品目录上的IT基础设施服务套餐，将自己的应用部署在上面，开展各种业务。使用IaaS服务的信息安全风险比较大，无论是物理设施、虚拟化技术、接口设施、还是应用程序，如果发生自然灾害或者操作错误，将会对信息安全造成釜底抽薪般的巨大影响。其中，虚拟化安全风险是防范重点。一方面是虚拟机自身存在的安全风险，包括可能面临用户劫持、脆弱的防火墙等;另一方面是虚拟化软件带来的安全风险，包括未经授权的访问、非法删除、非法添加等［6］。在传统计算机技术下，对于个人信息的保护已经有比较成熟的技术，包括加密和密钥管理、身份识别和访问控制、安全事件管理等。云计算环境更加复杂，更加开放。云计算环境下的IaaS个人信息安全体系的关键是将这些技术进行融合，按照一定的技术标准，形成兼容的、完备的安全闭环，确保物理安全、网络安全、虚拟化安全、接口安全。一是要加入安全防护技术，利用防火墙、病毒防护墙等对整个IaaS进行防护;二是要加入访问控制技术，利用加密和解密管理、身份识别等技术为用户提供用户登录管理、用户认证、数字签名等安全管理服务;三是要加入审计技术，对用户的登录和使用情况进行统计分析，按照不同的风险级别区分不同的安全域，实施不同等级的安全干预［7］。
(二)PaaS层的个人信息安全体系与技术风险
PaaS层处在云计算的中间层，具有承上启下的作用，其对于个人信息的整体安全具有重要作用。PaaS服务商提供的是应用基础设施服务，即中间件服务。PaaS用户可以将其应用系统布置到PaaS平台上，应用系统服务器、网络、操作系统、信息管理等应用系统运行的环境，由PaaS服务商提供保障。所有PaaS服务商不仅提供平台，还提供安全服务。他们的职责是提供安全可靠的运行环境，保证用户的信息安全。PaaS个人信息安全体系要求数据处理符合国家法律法规的要求，主要包括:数据存放位置、数据删除或持久性、数据备份和恢复重建、数据发现;同时禁止一些不当的个人信息处理行为，比如:不同客户数据的混合、数据聚合和推理。PaaS个人信息安全体系重点在于对价值较高的个人信息的保护，尤其是防范对个人信息的交叉查询。
(三)SaaS层的个人信息安全体系与技术风险
与等软件服务模式类似。在SaaS平台上，用户不用购买软件，也不用维护管理，只需要按照服务类型和服务时间支付费用，就可以选择使用符合自己需求的软件。SaaS服务商不仅要管理维护自身的软件，而且要将用户的个人信息储存在自己的服务器上，以便用户随时随地可以接着使用软件。个人信息违法犯罪的概率总是与管理权限成正比。特别是在SaaS层下，存在一个基本的矛盾，一方面，SaaS需要将用户的个人信息进行备份，保存在多个不同位置的服务器上，防止数据丢失、数据删除，提供及时的数据恢复服务;另一方面，SaaS可能涉嫌秘密保存和永久保存用户的个人信息，在用户不知情或者已经删除软件上的个人信息的情况下，仍然保留电子痕迹并随时可以恢复数据。所以SaaS应该提供给用户透明的个人信息储存、删除和保护方案。当然，由于SaaS的共享性，用户的个人信息安全风险主要来自第三方的攻击、窃取和篡改等。SaaS层的个人信息安全体系应该包括以下4个方面内容:
一是应用的安全，软件运行的环境安全可靠，软件能够及时更新换代，确保没有漏洞;
二是个人信息数据库的安全，数据库与应用软件数据应该隔离分开，多个服务器进行分别储存，并使用防火墙、密钥管理等技术进行数据库的保护;
三是个人信息的传输安全，采用加密的传输协议，确保用户在客户端和云计算服务器之间传输个人信息时不被截留;四是访问控制机制，由于多个用户共用云计算服务器，需要对个人信息进行分块隔离，采用身份识别、数字签名和访问控制技术对访问登录进行严格管理。上述分析是着眼于云计算平台3个层次本身的技术漏洞，除此之外，云计算用户的服务终端也是个人信息安全风险的重要源头。一方面，云计算环境下，服务终端与云计算平台连为一体，构成一个统一的系统，具有极强传染性和破坏性的病毒很可能从服务终端侵入到整个云平台，导致整个云的崩溃或者瘫痪。特别是现在手机服务端日益普及，APP使用率日益增高，手机病毒的传播更加猖獗，也极易侵入云计算网络。另一方面，黑客也很可能通过云计算网络对服务端发起攻击，即使用户的计算机采取防火墙、杀毒软件等安全措施，但毕竟防范投入和水平有限，未必能阻挡病毒的侵袭。恶意代码制作者、病毒邮件发送者以及其他恶意攻击者可能直接窃取用户服务端的个人信息，这种窃取采取各个击破、蚂蚁搬家的形式，更加难以觉察和防范。他们也可能破解或者盗取用户在云计算平台上的登录名称和登录密码，盗取用户储存在云计算数据中心上的海量个人信息。
三、云计算中的个人信息安全管理风险
除了云计算技术风险，云计算的管理不善也可能带来个人信息的安全风险。天灾易避，人祸难防，云计算时代个人信息安全管理风险更大，后果也更为严重。技术风险多为概率事件，偶然性较强，而管理风险存在主观故意，发生的可能性更高。技术风险可能造成个人信息的破坏或者丢失，但不一定立即引起直接损失，而管理风险一般伴随着恶意商业目的，紧接着就可能造成用户财产的损失或者人格权利的侵害。技术风险可以由云计算服务商通过技术改进进行补漏，通过人工操作进行补救，但是，在信息不对称的现状下，道德缺失造成的云计算服务商监守自盗所带来的风险几乎是难以防范的。下面笔者将从个人信息的收集、利用、处理3个方面归纳总结各种安全风险。
(一)道德的失范导致的个人信息收集风险
在云计算产业巨大利益的驱使下，云计算服务商可能有意或者无意地大量收集用户的个人信息。云计算的主要商业模式是由云计算服务商运用数据挖掘技术，海量收集各类政府机关、企事业单位、个人用户的信息，进行储存、信息交换、个、定向营销等。信息量越大，服务功能越强，商业价值就越大，这直接激发了云计算服务商收集个人信息的动力。首先，用户在使用云计算上的软件时，并不知悉个人信息已经被计算服务商获取。虽然法律规定服务商必须履行告知义务，但是软件的告知明细往往过于复杂，用户如果不仔细阅读一般都难以发现。特别是信息收集技术的不断进步，云计算服务商的信息收集能力不断增强，信息收集的种类和数量往往超出了用户能够知晓的范围。有时候，云计算服务商秘密收集或者备份用户的个人信息，但有时用户知道自己的个人信息要被收集，为了享有便利的服务，不得不放弃个人信息权。其次，由于数据挖掘、数据比对等众多信息收集技术的出现，云计算服务商具备了强大的信息比对、分析、归纳、推理、整理能力，能够将用户在不同平台不同服务中的碎片化个人信息整理成完整的个人信息图谱，能够掌握用户完整的特征和清晰的活动轨迹。虽然这些个人信息能够更方便地为用户提供优质的个性化服务，但这些脱离信息主体的个人信息，往往处于事实上的权利失控状态，信息主体并不知道谁收集、处理和利用了他们的信息，以及以何种手段收集、处理和利用他们的信息，这构成了巨大的个人信息收集风险［8］。第三，不同云计算平台之间可能存在不正当的个人信息交换，秘密签订个人信息共享协议，实现云计算服务商的商业利益最大化。特别是在云计算不区分国界的情况下，个人信息的跨境传输更难以管控。斯诺登事件就曝光了一些云计算企业在国家力量的支持下，收集其他国家公民的个人信息。这样的跨境收集个人信息的行为，不仅侵害了公民的民事权利，还侵害了一个国家的信息。
(二)规则的缺失导致的个人信息利用风险
云计算产业发展迅猛，但是云计算领域的规则和标准的建构与完善却相对滞后，这种不对称的发展造成了个人信息安全领域的无序状况，容易造成个人信息利用的违法和犯罪。首先，云计算安全技术标准还有待强化和细化。没有统一的云安全技术标准，无法强制要求云计算服务商布设有关安全技术措施，导致一些服务商重视能够带来盈利的商业技术，而忽视了不能带来直接利益的安全技术。没有安全技术标准的约束，一些云计算服务提供商还可能在云计算系统中插入秘密收集个人信息的软件，比如等等。其次，云计算行业的制度规范也尚未制定。云计算产业需要一套关于个人信息保护的完整的行为准则，确立个人信息数据库的管理制度，明确个人信息处理人员、安全管理人员、系统开发人员和系统操作人员的职责范围和操作规程。云安全规则的缺失极其容易造成个人信息的滥用。云计算服务商可能将个人信息应用于定向推送广告、不断骚扰下的强迫交易、信息销售等。在现实生活中，用户将身份证复印件提供给服务商时，往往在身份证上注明“仅限用作……”等字样，确保身份证复印件的有限使用和特定用途使用。但是电子数据形式的个人信息极易被复制，很难保证服务商不将其挪作他用。第三，由于个人信息相关法律不够健全，云计算环境下个人信息的保护法更是少之又少，个人信息缺乏有力的司法强制力的保护。云计算用户在个人信息遭受侵犯时，往往难以获得有效的救济。云计算没有地域性，个人信息案件的管辖难以明确，造成立案难;云计算具有虚拟性，电子数据极易篡改，造成个人信息案件的取证难;另外，个人信息具有非物质性，其价值难以计量，造成个人信息案件的赔偿难。
(三)管理的失位引发的个人信息处理风险
我国云计算产业刚刚起步，无论是监管机构还是云计算企业，都尚未建立完整有效的管理机制。一方面，政府监管力度不够。目前，我国云计算的监管部门是国家工信部，由于其职能主要是促进产业发展，因此往往重发展而轻安全。个人信息的违法犯罪涉及司法权和行政执法权，信息化管理部门还无法行使调查取证、强制措施、搜查冻结、罚款没收等权力。另外，由于条件的限制，信息化管理部门进行个人信息安全执法的力量较为薄弱。另一方面，企业管理动力不足。云计算服务商利用个人信息的利益和用户保护个人信息的权利存在一定的矛盾，企业没有足够的动力投入更多的人力物力进行个人信息的管理。云计算企业对于能够产生经济价值的个人信息的利用较为重视，而对于不能直接产生经济效益，甚至有可能产生负效益的个人信息的管理重视不够。云计算服务提供商如果不加强内部操作人员的管理，不加强个人信息保护内部控制的建设，操作人员违规处理个人信息的现象将不断出现。云计算时代，所有IT设备或数据被放到一起集中管理，内部人员拥有的权限让其能轻易获取重要个人信息甚至得到整个云服务平台的完全控制权。用人失察或监管缺位都会给个人信息安全带来灾难性的损失。
四、云计算下的个人信息安全防控措施
云计算下的个人信息安全已经不是一个纯技术问题，仅仅依靠云计算企业采用先进的云安全技术去遏制个人信息的违法犯罪是不够的。唯有法律才能明确管理责任，才能明晰处理个人信息的权限，才能惩罚和防范一些犯罪分子利用个人信息谋取私利。违法收集、利用、处理行为主要承担民事责任、行政责任和刑事责任［9］。个人信息相关法律法规的制定非常重要，而且迫在眉睫。但是个人信息安全防控机制的构建、个人信息安全防范措施的完善同样非常重要。作为以保障公共安全、保护人民生命财产安全为职能的公安机关，在防范和控制个人信息安全违法犯罪中，具有得天独厚的优势。我国应该构建以公安机关为主，信息化管理部门协调配合，法律规制与行业管理相结合的个人信息安全防控体系，构建并完善云计算下的个人信息安全监控机制、侦查机制和应急机制。
(一)云计算下的个人信息安全监控机制
信息的公开具有不可逆性，云计算个人信息安全事故一旦发生，造成的损害无法恢复原状。因而个人信息的保护不能依赖事后的被动处理，而应该着重于监控与预警，从事后救济、被动维护向事前设计、事中报告、主动监控转移，形成常态的监控机制［10］。首先，应该制定统一的技术标准，要求云计算服务商在系统中植入安全监控技术;制定统一的行业规范，要求云计算服务商建立完善的内部控制制度。利用安全监控技术，公安机关、信息化管理部门和云计算服务商都能及时了解云计算系统运行状态。监控技术不仅起到预警作用，也为云计算安全的内部控制提供数据支撑。其次，应该建立常态的个人信息安全报告机制，要求云计算服务商及时报告个人信息流动的异常情况。个人信息安全的报告机制可以借鉴我国《反洗钱法》中的“大额交易和可疑交易监控与报告”制度，要求云计算服务商将可疑的个人信息流动报告给公安机关和信息化管理部门。可疑的个人信息流动是指个人信息流动在数量、频率、流向和性质等方面表现异常，或与客户身份、登录状况、活动规律不符，存有个人信息违法犯罪嫌疑的流动。
(二)云计算下的个人信息安全侦查机制
严格的侦查机制和过硬的侦查能力是个人信息安全保护的根本保障。要整合公安机关、信息化管理部门、行业自律组织的资源，司法、行政与行业之间无缝对接，协调配合，共同执法。在行政和刑事执法过程中，取证难严重降低了打击违法犯罪行为的力度。在云计算环境下，某些电子证据依靠目前的侦查技术，还难以充分侦测与提取。如在云应用服务中，有许多服务通过运行的虚拟专用网络(VPA)访问，现有侦查技术几乎检测不到［11］。对此，可以采用面向取证的现场迁移技术等进行侦查，采取迁移取证监管来调度和监控镜像证据提取层的每一次迁移操作，并记录下全部的迁移过程信息，保证取证数据符合证据法要求的可靠性和完整性［12］。
(三)云计算下的个人信息安全应急机制
云计算服务提供商应当设置个人信息安全监控中心，负责系统安全的全面维护、个人信息安全的总体监控、个人信息安全情况报告和个人信息安全事件的处置等［13］。公安机关和信息化管理部门要根据云计算服务商提交的可疑个人信息流动报告，进行认真研判、仔细甄别。对筛选出来的违反法律规定的个人信息安全事件，要根据严重程度，启动个人信息安全应急机制。应急机制分为轻微、一般、重大、特别重大等不同等级。不同等级的警报对应不同级别的应急方案。应急方案包括提醒客户、数据隔离、数据恢复、停止运行等。其中数据隔离可以保证用户的个人信息运行于封闭且安全的范围内，防止进一步地泄露，避免用户间的相互影响，减少用户错误操作或受到计算机病毒攻击时对整个系统带来的安全风险。数据恢复是针对计算机病毒攻击的重要应急措施，包括恢复个人信息和遭受病毒侵害的软件等。数据恢复是典型的事后应急措施，可以保证云计算服务可靠性和可用性。
五、结语
技术的进步必然引起法律制度的变革，产业的发展必须依赖法律机制的完善。云计算时代，个人信息安全的法律规制迫在眉睫。随着云计算成为人类基本的工作、生活环境，个人信息都无法避免地集中到云上，海量个人信息的安全问题是公安机关必须面对的难题。个人信息安全监控机制旨在防范犯罪，个人信息安全侦查机制旨在打击犯罪，个人信息安全应急机制则是处理已经发生的犯罪。建立系统的个人信息安全防控机制，多方位协同发挥效力，方能最大程度确保个人信息安全可控和云计算产业健康发展。
参考文献:
［1］周汉华．个人信息保护法(专家建议稿)及立法研究报告［M］．北京:法律出版社，2006:3．
［2］姜茸，张秋瑾，李彤，等．电子政务云安全风险分析［J］．现代情报，2014(12):14－15．
［3］李连，朱爱红．云计算安全技术研究综述［J］．信息安全与技术，2013(5):44－45．
［4］齐爱民，陈星．云计算时代的个人信息安全危机与法律对策［J］．中国信息安全，2012(11):83－84．
［5］何培育．个人信息盗窃的技术路径与法律规制问题研究［J］．重庆理工大学学报(社会科学)，2015(2):159－162．
［6］林闯，苏文博，孟坤，等．云计算安全:架构、机制与模型评价［J］．计算机学报，2013(9):1775－1776．
［7］丁秋峰，孙国梓．云计算环境下取证技术研究［J］．信息网络安全，2011(11):36－38．
［8］周刚．云计算环境中面向取证的现场迁移技术研究［D］．武汉:华中科技大学，2011:29．
（1）实名制网络信息安全风险分析
实名制工作实行后所面临的网络信息安全风险，主要体现在个人用户资料保护、营销渠道管理、系统防护等方面。
1）个人用户资料保护。企业在收集存储个人用户资料信息后，若缺乏相应的企业内部管理机制，则会存在企业随意滥用个人用户资料信息从事其他业务的风险，导致个人用户信息资料泄露和滥用。
2）营销渠道管理。企业为减轻运营负担，允许一些社会营销机构等加入到企业营销渠道中，虽然拓展了企业营销渠道，但因无相应的网络信息安全保护方面的要求，将导致个人用户信息等资料通过渠道随意扩散。
3）系统防护。一般而言，企业都为用户提供互联网业务办理渠道，相当于个人用户资料库暴露于网络之上。在当前网络信息安全的形势日趋严峻的形势下，若不加强系统网络安全防护，个人用户资料也面临着泄露的风险。
（2）实名制网络信息安全监管
基于以上关于实名制工作的网络信息安全风险的分析，国家行业主管部门应当从以下几方面考虑对实名制工作的网络信息安全进行监管。
1）督促企业完善实名制关于网络信息安全的管理机制。国家行业主管部门应督促企业在实名制工作中制定较为完备的管理机制，杜绝实名制工作网络信息安全的风险。如制定实名制营销管理渠道的管理规章、实名制下个人信息保护制度规定等企业内部的管理制度等。
2）对实名制网络信息安全进行监督检查。为有效推动实名制工作及保护网络信息安全，国家行业主管部门应对各企业的实名制网络信息安全进行监督检查，内容包括：实名制各类管理规章制度的建立、实名制相关系统的安全防护、个人信息保护等方面。
数据表明，2013年中国的信息消费迎来了爆炸式发展。2013年上半年，我国信息消费规模达2.07万亿元，同比增长20.7%，电子交易总额达4.98万亿元。由此可见，信息消费已经成为引领消费、扩大内需、提振经济的新动力。2013年以来移动互联网发展迅猛，信息消费领域的服务和产品快速增长，以家庭宽带接入、网络视频、网络购物、微媒体、手机支付、手机视频为依托的新兴消费对经济增长的拉动作用增强。
此前三年，中国的消费增速逐年放缓趋势明显，2014年我国消费仍将呈现比较平稳的次高速增长并将主要依靠消费内生增长动力拉动，在这样的大环境下信息消费有望成为最大亮点。带动消费增长的内生动力之一就是随着信息化水平的提升，信息消费的增长将会带动社会整体消费增长。2014年，除了信息消费的必备工具如智能手机、智能家电、穿戴型设备等硬件、软件和通讯消费将有较大增长外，电子商务网购、音频视频等间接信息消费也将有不俗表现。
但自信息消费而来的不全是好消息，信息安全已经逐渐成为了阻碍信息消费发展的隐患。
众所周知，当前信息消费市场不规范、网络诚信体系不健全、个人信息保护机制不完善等问题已经妨碍了信息消费市场的良性发展。2013年第四季度中国消费者协会开展了信息消费调研工作，根据调研结果显示：广大消费者对于现阶段信息安全满意度一般，尤其是一线城市以及主要通过互联网获取信息的消费者对于信息安全问题的满意度较低。具体来讲，在调研中受访者最担忧的信息消费安全问题主要是：个人信息泄露、支付诈骗以及账号被窃。
这些问题和现象既侵犯了公民的合法权益，更对信息消费安全构成了威胁。这就要求相关部门必须坚持促进信息消费和规范信息消费市场并举，也要求相关部门顺应信息化发展内在要求的同时要把握住消费发展的趋势特点。
信息消费能否保持持续增长的势头，很大程度上依赖于我们的政策是否具备长效机制，更依赖于能否建立安全可信的信息消费环境，能否切实实现依法加强个人信息保护，规范信息消费市场秩序，提高网络信息安全保障能力，这对相关政策法规及其环境建设提出了更加紧迫的要求。
为了进一步规范信息消费市场秩序、完善信息消费环境，有关部门一方面要加强法规标准建设，加强诚信体系建设，打击侵权假冒、商业欺诈以及市场垄断、欺行霸市等行为，解决突出矛盾和问题，从而清除市场壁垒，净化消费环境。另一方面有关部门要加强网络信息安全保障体系的不断完善。随着社会的发展以及人们物质文化和精神文化生活需求的提高，虚拟网络越来越贴近现实。在网络日益发达的今天，越来越多的信息消费平台如雨后春笋般出现。一个斯诺登事件，把公民个人信息消费安全和国家信息安全问题切实摆在了人们面前，构建安全可信的信息消费环境迫在眉睫。
完善安全环境建设
完善信息消费安全环境建设，是一个多方合力的工作。
一是，要进一步提高对信息消费环境安全保障体系的认识，提升对持续完善信息安全保障体系建设的重视程度，积极构建信息消费的安全环境，这是部署促进信息消费、推动信息消费市场有序安全发展的基本要求。作为主导信息消费市场的职能部门和企业，参与信息消费的公民个人，都必须在思想上高度认识，发挥各自应该发挥的作用，积极建言献策，为安全信息消费营造良好的社会环境和舆论环境。
二是加强法律法规建设。要构建良好的信息消费环境，制度要先行。信息消费，确实还是一个新事物，其中的发展规律，运行规则目前都不完善，这就迫切需要我们的职能部门和广大消费者共同努力，加强顶层设计，加强有关法律法规建设的调研，加强制度建设的探索，完善个人信息保护国家标准，加快信息消费立法步伐。我们要尽早实现信息消费走上法治轨道，让信息消费有法可依，有法必依，违法必究。完善的法律是加强网络与信息安全监管以及提升网络与信息安全监管能力和系统安全防护水平的有力保障。信息消费在中国经济发展中的权重越来越大，必须尽快对信息消费和网络安全进行立法，应将以往的部门规章统一整合成一部法律，从而构建起一道信息消费的安全屏障。
三是亟待重视加强消费者隐私保护。建立信息消费安全可信环境既要强调加强网络安全，更需加强隐私保护，要充分保障消费者个人信息安全。所谓消费者个人信息是指那些对经营者具有商业价值、经济价值的，而对消费者具有个人隐私性质的，也是最容易被侵犯的相关信息，具体而言一般包括四个方面的内容：其一、身份信息，具体包括姓名、电话号码、家庭地址、证件号码、电子邮箱号码等；其二、财产信息，包括银行账户密码、房产、机动车等；其三，健康信息，具体包括血型、血压、视力等；其四，其他个人信息，包括学历、职业等。消费者信息安全问题是指伴随消费活动所产生的消费者个人信息的泄露、滥用等对消费者权益造成侵害或对消费环境构成威胁的问题。
要想认识到消费者信息的重要性，要明确消费者信息的几个特性：
首先，消费者信息具有信息的无形性特点，这就决定了其本身所具有的价值并不依赖于有形的支付，而是对信息本身的知悉，以及控制和开发信息的过程。这一特性也意味着对消费者信息安全的法律保护将有别于对消费者财产权益的保护，其更有难度，也更加具有技术性。其次，消费者信息具有信息的积累性和非消耗性，使得信息的使用不会有损其具有的价值。再次，消费者信息的数字化趋势为其信息安全带来了潜在的隐患。最后，消费者信息具有可传输性，网络的发达和信息的数字化使得信息产品可以在世界范围内进行几乎零成本、即时地传播，这也就意味着，侵犯消费者信息安全的违法成本也更为低廉，为消费者信息安全的法律保护带来了新的挑战。因此消费者信息在新型商业模式下成为一种具有巨大经济价值的资源，而其本身所具有的特点使其安全性面临着巨大的挑战。
在商业活动中，消费者信息往往被非法收集和使用。具体包括以下三种情形：第一，违反约定使用信息。也即经营者与消费者之间就信息使用的目的是有约定的，而经营者在具体使用时却违反此约定，如垃圾邮件的存在。第二，擅自转卖信息数据。消费者在提供自身信息时并未同意将这些信息传播给他 人，更不用说转卖，这在现实中十分普遍。第三，非法运用收集到的个人信息扰乱他人的生活，给消费者带来精神和物质上的损失。如各种诈骗短信、邮件、电话，严重的可给消费者带来人身或财产上的侵害。因此在信息消费时代，数据的掌握者和使用者最应该成为数据保护的主要责任人。同时，法律应对于数据使用做出明确规定。而今世界由于互联网的存在，每一个人、每一个企业都会变成透明的“玻璃人”，如何提升信任和安全感尤为重要。特别是在大数据时代，每一个网民的每一次上网都会留下“痕迹”、这些痕迹将变成数据被存储和研究，从而成为商家研判消费者行为习惯的重要依据。如何保护隐私构建一个安全的信息网络有很多方法，比如对于每一个数据的使用都要有告知和许可的过程，一旦出现问题，使用数据者需要负责任等。但最关键的还是政策法规要有可操作性，否则制定了实施效果不好，会大打折扣。因此必须尽快对信息消费和网络安全进行立法。
为了保障信息消费的安全可靠，有关部门还需要加强技术体系的建设。要统筹规划、打好基础，加强人力、财力和物力的投入，借此机会，确定一个行动计划和时间表，要按照相关政策法规，切实落实重要信息系统和基础信息网络要与安全防护设施同步规划、同步建设、同步运行，切实提高防攻击、防篡改、防窃密能力。通过构建并完善支撑信息消费信息安全保障的基础设施，规划、设计和开发建设支撑信息消费的各类信息资源，加强国内民族信息产业与企业的集成创新、引进消化吸收再创新和自主创新，逐步实现信息化装备的国产替代和技术产品的升级换代，面向全社会提供安全可信的信息网络，宽带服务、无线服务；加强加快公共信息服务平台建设，提升公共服务能力。只有加强信息安全基础设施和信息安全保障技术体系的建设，才能更好地保证个人用户的信息安全，保障企业的信息安全，保障信息消费安全。
提高管理能力建设也是信息消费中的一个重要方面。任何一项工作，都必须有效有序地管理。加强管理能力的建设，要配备一支精干的人员队伍。对参与信息消费的管理部门和人员加强业务及法律法规的学习和培训，提高管理者的管理水平至关重要。与此同时，还要加强引导，培育优质高效的信息消费企业，对不按照规则出牌的信息消费平台予以坚决取缔。只有保障基本的信息消费安全，才能实现信息网络通畅、生产生活便捷、城市管理高效，才能惠及全国人民。
重视维权问题
打造安全健康的信息消费环境是目前促进信息消费发展中尤为重要的一环，因此更要高度重视信息消费中的维权问题，网络消费容易遭遇维权无门，这些都阻碍了信息消费的良性发展。所以信息消费市场若想繁荣，消费者的安全顾虑先要打破。以网购维权为例，网购中以异地购物居多，按照属地管理原则，哪里买的东西就该找哪里的消保委处理，一旦网上卖家是外地的，消费者想要维权就得找卖家所在地的相关部门，这样一来维权的成本比较高，过程也比较麻烦。此外，网购一般没有发票或小票等有效的消费凭证，出现纠纷后，消费者维权没有凭据，网上商家是虚拟的，很多网店不会像现实中的商家一样进行工商登记，甚至没有实体店，消费者想要维权却找不到经营主体。这就要建立新型的线上线下相结合的纠纷调处机制，切实及时妥善处理网络消费纠纷，进一步提升消费者的信息消费意愿，增强对信息消费的信任和安全感。
对比欧盟、美国等发达国家和地区，其信息消费的网络信息安全保障环境建设与发展水平都比我国高出很多，我国目前遇到的一些信息消费问题这些地区和国家早已遇到，其经验值得借鉴。欧盟和美国早在上世纪七八十年代就已意识到保护个人信息安全对于整个消费环境的平稳顺利发展的重要意义，并以立法形式予以体现。此外，从欧盟和美国在消费者信息保护方面采取的做法来看，立法规制和行业自律两者不可偏废，这一点同样可以应用在我国促进信息消费的保障环境建设之中，即既注重以立法规制为主的对于个人隐私的充分保护，同时也要坚持促进行业自律，并加以法律监督等多种监督方式，以保证其规则的公平、公正。
事实上，关于快递面单加密的诉求近两年已在不断重申，很多快递公司也做过很多努力，让快递面单尽可能地保护大多数消费者的隐私，但实际效果却并不理想。如今，“隐形面单”的推出虽无法从根源上保护消费者的信息安全，但也是一次可F的尝试。
毋庸置疑，“隐形面单”的出现是一种尊重消费者意愿的良性市场选择。在以往收取快递的具体情境中，消费者总担心快递包裹信息被利用，导致个人信息遭到泄露，并且这种担心还在快递包裹日渐增加的趋势中被放大。许多人收发快递的习惯也不够仔细，导致个人隐于一种“完全曝光”的状态，虽有一些小窍门教消费者怎样抹掉面单信息，但对于制作面单的快递公司来说，显然更需要这种小窍门的隐私保护意识。
首先，快递包裹的安全性一直就存有争议，但相比于争议，很多保护隐私的措施却总是无疾而终。一方面，从技术手段来说，在快递面单上增加隐私保护流程，势必会相应增加制作成本，对快递公司来说，恐怕并不愿选择这样做。另一方面，从个人保护意识来说，快递面单的隐私保护还没有在人们心中形成一个不需要提醒的常识，以至于隐私泄露的很大一部分原因是人们的不细心所致。
傅聪（1992-），男，广东梅州，工作单位：广东金融学院，职务：学生。
徐文敬（1992-），男，广东梅州，工作单位：广东金融学院，职务：学生。
摘要：近年来，商业银行储蓄金钱的同时贮存了大量的个人信息，我国的法律，法规对商业银行在保护个人财务信息管理制度上是很不完善的，储户对信息保护较低的商业银行的很不满意，常常一起纠纷。本文章简述了个人金融信息保护管理和商业银行对个人信息问题的现状，并提出相关的改进措施或意见。
关键词：商业银行；个人金融信息；保护管理
由于金融领域应用的信息透明和网络虚拟化水平不断上升，造成现代社会个人的信息安全无法有效保护，产生个人财产危害相关问题的不断上升。银行作为一个从公民到政府之间的信息收集专业权利机构，以及为公民财产提供重要的存储和托管的组织，银行必须有责任和义务，为公民的信息安全提供保障。近年来经常发生的银行个人信息泄漏，致使很多公众感到惊讶和恐惧，所以，我国银行应在民众的要求下加强保护个人金融信息。
1.个人金融信息泄漏渠道
1.1银行泄漏
一是银行在有利可图的时候可能会将一些关于个人财务的信息透露给购买方。据调查在2010年，金融管理局披露有6家银行将60多万客户个人金融信息泄露给相关的购买者，这种现象这几年在大陆是很常见的，我们有时是很不容易判别是接到的电话是来自银行还是保险销售公司，还是从事非法活动的的保险公司；二是，银行机构的的内部人员为了个人的利益，倒卖客户的个人财务信息。在上海最近追查到市面上有出售的银行客户信息的情况，后来这两名嫌疑人被依法定罪，罪名包括涉嫌盗窃，出售贿赂，非法提供信用卡信息罪；三是，由于银行外包服务管理出现问题，导致外包商非法的、未经授权访问的个人金融信息及银行账户信息。
1.2商户及支付服务机构泄漏
近年来，许多现场购物和网上购物，可以通过POS机安装商户终端或支付服务平台，并在交易过程中，通过系统内的商家终端或是支付服务平台可记忆个人金融信息，之后商家和支付服务平台人员可随时访问用户的财务信息，最终导致泄漏。 在2010年，警方就已破获一起商场员工在其工作期间，利用便利条件，收银员通过POS机记忆功能，盗用POS机程序致使客户的银行卡信息被盗，银行卡被复制数张，破译一个相对简单的银行卡密码，从而窃取了数张银行卡内的金额，超过20万美元的现金。
1.3黑客及不法分子入侵导致泄漏
黑客自身可以制作脚本，通过无线网络或者植入恶意程序的方式入侵金融系统的电脑程序，进入后端数据库进行盗取，包括复制信息个人行为，账户信息。 在2011年，美国花旗银行就受到黑客的非法攻击，影响到了大约360，000左右的信用卡用户，黑客盗取了客户的姓名，帐号，联系信息。可见多么危险。
2.个人金融信息泄漏的主要原因
2.1银行个人金融信息管理意识淡薄、制度不健全
目前，银行相关机构对个人金融信息的保护不够重视，没有意识到给个人影响巨大，保护个人财务信息，就是保护一项重要的资产银行，就是保护银行的信誉，保护客户隐私的一个综合能力，相反如果个人的金融信息泄露，会带来一个时代的风险来对待，不保护个人财务信息，银行的整体风险管理框架会受到严重的影响。这些往往是由于银行对个人金融信息保护管理机制不健全造成的。所以，要想形成一个完善的个人金融信息保护管理系统，现有分散的相关制度在各业务管理系统需要统一，成立组织的系统性保护，覆盖工作包括信息收集，存储和销毁的所有方面。
2.2银行个人金融信息管理内控机制不健全
现在，银行一般不进行有效的保护个人财务信息，提高信息系统的安全性，各个部门在保护个人财务信息方面凌乱，信息系统没有信息进行整体收集，缺乏统一的管控。内部管控方面，主要是没有形成专门的个人信息的管理机构，缺少专业的人员进行保护个人信息，从而难以实现个人信息保护，无法充分发挥保护功能。其次，内部监管和检查比较薄弱，缺少个人信息保护制度执行的专项检查，检查内容未进行常规检查，定期进行机构检查的覆盖率较低。再一个就是，信息查询跟踪审计工作落实不到位，银行和其他账户的信息当进行过信息查询时缺乏记录过程，难以跟踪谁在这个过程中使用过个人信息。最后一点是，外包管理缺乏，外包人管理的控制的行为是需严格保密的，保密外包整个过程接受审计，评审。
2.3对商户及支付服务机构的管理不规范，缺乏有效制约
与银行合作的商户或是第三方支付服务平台需要提供商为个人金融信息的保护的责任，个人金融信息保护对银行和第三方支付平台也是一种义务。但是，目前银行签约商户没有规范的管理，第三方机构更是缺乏有效的监督，从而造成银行和支付服务平台或提签约商家松散的管理。没有签署合作协议，落实责任。没有明确使用个人金融信息的权力，没有足够的安全的保护技术，银行更是缺乏定期检查监督，常规检查经常流于形式上的。其次，我国未出善的机制进行监督支付服务的企业和组织。付款服务给为商家和用带来了方便，但对个人财务信息往往造成泄漏，这样的监管机制目前缺乏有效的实施。
3.个人金融信息保护的建议与对策
3.1银行层面要提升意识、构建机制
首先是要加大银行内部的管理。银行业金融机构应有约束自身提高客户的个人信息安全管理的制度和法规，主要对客户的个人信息的采集，存贮，信息有效周期等整个过程实施有效地保护，确保客户的个人信息安全，建立完善的信息安全和内部管理规范，将各岗位人员的任务和职责包含信息安全管理与控制，并且对过程中各岗位人员和管理职责和权限实施监督考核，做到切实保密，将带有个人信息的纸张和电子文件集中统一安全监管，个人信息的浏览，复制等必须经过严格的审核，登记和监督管理，加强考核责任制，定期检查信息安全的情况，通过审计工作及时进行用户信息的风险和脆弱性评估。其次提高信息系统的组建和管控。一方面在大量的银行信息系统的基础上，进行信息整合，真正实现以客户为中心的理念，全面整合个人财务信息，方便统一保护和管理；另一个方面要不断的完善信息安全管理机制。银行业金融机构应对信息系统可能遇到问题应用先进的科学技术来评估风险，运用防火墙等工具，数字证书认证等第三方认证技术。
3.2加强银行业个人金融信息保护工作监管
首先，我们必须考虑将保护个人财务信息纳入银行的整体风险监管体系。监管部门按照有关的法律法规保护公民信息，客户的个人信息保护需要有关部门制定不同机构部门的规范进行执行，明确银行对客户的个人信息的收集，使用整个过程受保护的详细的规章制度，明确违反的银行业机构的责任和个人赔偿力度，造成客户较大的经济损失的或者造成不良社会后果，视情节给予处罚，或采取强制措施。其次，银行可以启用标准化技术委员会，制定客户的个人金融信息的保护规范和标准，推动建立完善的监督体制，促进银行业良性发展，从而更好地保护个人信息，使人民利益不受侵害。最后通过加强对银行的师弟监督和非现场监测，加强客户的个人金融信息数据库的维护和管理，银行机构需建立安全管理体系，规范个人金融信息数据库，以防止信息被泄漏、盗用。
3.3国家层面要加快立法进程
首先，国家相关部门建立统一的系统，多角度的法律和法规，创建一整套以保护个人信息法律标准，法律规定要求银行具有完善的信息管理系统，约束金融监管机构的规则及法规，建立合法合理的个人信息的查询方法，奖励行业监管机制。其次成立专业的信息资源管理部门，对使用个人信息的组织或个人严格监督。最后，提高我国民众的自我保护意识。经常开展宣传活动，培训公众注意保护个人信息能力，减少因自身意识不强带来的损失。（作者单位：广东金融学院）
参考文献：
[1]盛雅琴. 论个人金融信息的保护[J]. 法律事务，2011（3）：11～14.
在金融业信息化程度不断提升的现代社会，个人金融信息安全与财产安全的关联度日益提升。作为个人金融信息最主要的收集和使用者以及公民财产重要的贮藏和代管者，金融机构有责任和义务成为保护个人金融信息安全的“排头兵”。若是缺乏有效的法律规制难免会出现个人金融信息被误用、滥用的情形，损害信息主体的利益。近年来频频发生个人金融信息泄漏事件，让公众震惊和忧虑，个人金融信息保护工作亟待加强。
一、个人金融信息保护概述
（一）个人金融信息的内涵和外延
个人金融信息是指与公民个人开展金融活动相关，在借贷交易、监管、征信等活动中产生、采集的公民个人身份信息、金融交易信息以及衍生信息。一般应包括：1、个人身份信息，如个人姓名、身份证件种类和号码等；2、个人财产信息，如个人收入状况、不动产状况等；3、个人账户信息，如账号、开户时间、开户行等；4、个人信用信息，如信用卡还款情况、贷款偿还情况等；5、个人金融交易信息，如银行业金融机构在支付结算、理财、保险箱等中间业务过程中获取、保存、留存的个人信息；6、衍生信息，如个人消费习惯、投资意愿等对原始信息进行处理、分析所形成的反映特定个人某些情况的信息；7、个人其他信息。
（二）隐私权和个人金融信息
1890 年，美国学者沃伦和布兰代斯发表了《论隐私权》一文，标志着隐私权概念的产生，自此隐私权逐渐走入各国立法的视野。美国最高法院将隐私权划分为三类：私事决定隐私权、身体隐私权和信息隐私权。信息隐私权是个人对自身可识别信息的收集、披露和使用的控制权。
个人金融信息作为个人信息的重要组成部分，与个人隐私有非常密切的联系。一方面，个人金融信息往往具有私密性，另一方面，侵害个人金融信息的行为一般表现为非法披露个人金融信息资料。然而，保护隐私权的主旨在于保护权利人免受外界的非法干扰，维护个人私密的空间，具有一定的被动性。个人金融信息的保护除了不应被他人非法披露之外，还包括信息主体对个人金融信息的控制权。同时，个人金融信息也不仅仅是私密的信息，部分个人金融信息资料因为涉及公共利益必须在一定范围内公开。 对于侵害个人金融信息的救济，除了精神损害赔偿之外，还应当包含财产损失赔偿。可见，虽然隐私权和个人金融信息具有交叉关系，但是二者无论是从权利内容上还是权利救济途径上看都有一定区别。
（三）个人金融信息保护的必要性
1.保护个人金融信息是对个人隐私权的尊重
隐私权是人的自然权利，它使人成为独立的个体，获得独立的人格，自由支配自己的生活，其重要性不言而喻。对建立在隐私权基础上的个人金融信息权的保护也是对其根基隐私权的保障。个人金融信息中的许多信息是不愿被公开的私人隐秘领域或者是期望排除他人干涉的领域。对于这些信息的侵犯不仅会使个人的财产蒙受损失，而且会使个人的精神受到打击。
2. 保护个人金融信息是信息分享的前提
金融机构通过获取大量个人金融信息，并且对其进行开发利用，能够产生可观的经济价值。但对个人金融信息的分享是以个人金融信息获得充分保护为前提的。如果一个国家的个人金融信息保护处于无序、混乱的状态，个人将会对金融机构和当局失去信任，从而不愿意提供这些信息，个人金融信息分享也就成为空谈。
3.保护个人金融信息是国家金融和信息安全的题中之意
个人金融信息保护关系到国家金融和信息体系的稳定和安全，个人金融信息的泄露将造成金融系统的混乱，破坏金融系统的稳定性和安全性。我国网络购物用户规模占网民的41.6%，远低于发达国家水平，一大原因就是我国网民对通过网络提供个人金融数据的担忧，主要体现在担心被诈骗、信息被泄露或盗取以及个人信息被非法利用。目前，我国金融机构已出现个人金融信息泄露的迹象，而美国信用卡泄露事件更足以让我国提高对个人金融信息保护的重视程度，在该事件中有 8660 名中国客户受到牵连。
二、主要国家和地区个人金融信息保护制度概述及比较
（一）国际上个人金融信息保护的法律制度比较
1.美国
美国在对个人信息保护总体上采取自律模式，主要通过行业性自律规范对个人信息进行保护，而在医疗、金融等领域则通过制定特别法对个人信息予以保护。美国的个人金融信息保护具有以下特点：
（1）实行区别行业保护。对于银行业金融信息保护依据的主要是联邦法律，对于保险业的金融信息保护则依据各州自己制定的法律。在证券业方面，以联邦监管机构制定的规则为主，以行业自律为辅。主要法律依据有：1966 年《信息公开法》、1971年《公平信用报告法》、1974 年《隐私权法》、1978 年《金融隐私权法》、1999年的《金融服务现代化法》、2003 年《公平正确信用交易法》和2010 年《多德―弗兰克法案》等。
（2）确立了权利协调和公益优先原则。如果金融机构严格执行保密义务，不允许向外披露，很可能会放纵违法犯罪行为的发生，因此有必要对个人金融信息权利加以适当的限制。由此，美国确立了协调和公益优先的原则。当一项消费者信息涉及公共利益时，法律规定国家有权力要求金融机构向其披露消费者信息。但同时，这种权力的行使必须限制在一定范围内，由此确立了政府、客户、金融机构、法院四方主体共同构成的金融信息平衡关系。
（3）特别重视行业自律的管理模式。作为以市场为导向的国家，美国特别重视运用行业自律的模式管理金融领域。除个别领域外，金融行业协会制定的自律规范成为金融机构保护个人金融信息的重要基础性依据。
2.欧盟
欧盟则并不区分领域，采取统一保护的模式，对各类数据实行同一水平的保护。1995 年欧盟通过了《关于个人资料处理及自由流通个人保护指令》，该指令一出台即成为了欧盟最重要的个人信息保护法律，其为所有行业的个人信息保护提供了统一的标准，该指令主要规定以下内容：
（1）保护的数据类型。指令对保护的数据类型规定非常广泛，任何与一个被证实的或可以证实的自然人有关的信息均纳入保护的类型中。
（2）信息主体的主要权利。包括：数据主体对个人信息的存取权、获得信息权和拒绝权。数据控制者必须向数据主体提供身份、数据处理目的等信息。数据主体有权随时拒绝关于本人的数据处理，有权拒绝为直接营销目的而进行的处理，或者在个人数据被使用前有权知悉。
（3）信息处理的合法性基础。指令规定在以下情形下可处理个人信息：一是数据主体明确同意。二是为履行约束数据控制者的义务有必要处理时。三是当涉及税收、反洗钱等公共利益时。
3.日本
日本主要是通过法律与自律规范的紧密结合来对个人金融信息进行保护。
（1）建立了相对完善的保护法律体系。自1987 年起，日本相关机构先后制定了《办理关于金融机构保护个人资讯指南》、《关于民间部门保护个人信息指导方针》、《个人信息保护法》、《金融领域个人信息保护方针》与《金融领域个人信息保护方针的安全管理措施实务指南》等法律文件，是日本个人金融信息保护的重要依据。
（2）依靠法律规范和自律规则做好保护工作。主要是通过成文法律与行业性自律规则建立对个人金融信息保护的制度体系。日本全国银行协会参照监管部门的个人资料保护指南，制定了行业内的自律性规则，用以指导金融机构做好个人信息保护工作。
（二）国际个人金融信息保护法律制度的评述
综观各国对个人信息的保护制度，具有以下特点：
1.个人金融信息保护皆有法可依，制度相对完善。美欧日等发达国家或地区大都制定了包括个人金融信息在内的保护法律规范，法律体系相对完善，在保护个人信息安全的理念上具有一致性。
2.基于法律文化差异等原因，个人金融信息保护的模式选择不尽相同。美国是判例法国家，金融监管体制不同于其他国家和地区，采取银行、证券和保险行业分别保护的模式。欧盟作为国家的联盟性机构，考虑各国的不同情况，只能制定涵盖范围广泛的保护规定，因此，采取了全面性保护模式。
3.均规定了信息的来源渠道和收集手段合法。金融机构首次获得信息必须基于建立业务关系的初次契约中，契约的生效也就包含了消费者同意或授权的意思表示。在信息的收集上，必须坚持“最少必需”的原则。在信息流出金融机构时，区别不同的信息类型，决定是否需要获得消费者的明确意思授权。
4.均规定了金融信息保护的例外内容。为合理平衡个人金融信息保护和信息披露之间的关系，保证金融业务的正常开展，在规定金融机构保密义务和客户权利的同时，一些例外规定应运而生。这些例外情况逐渐发展并渗透在以后的有关金融信息保护的法律中，对于解决金融信息权益保护与其他相关规定的冲突起到了一定的平衡作用。
三、我国个人金融信息保护立法及监管情况
（一）现行法律中关于个人金融信息保护的规定
目前，我国个人金融信息保护的制度尚不完善，对个人金融信息的保护主要体现在以下法律法规和规范性文件中。
1.法律层面。我国《民法通则》、《刑法》和《商业银行法》有部分条款直接或间接涉及个人信息的保护。《民法通则》第99-101条分别对公民的姓名权、肖像权和名誉权作出保护规定。《刑法修正案（七）》规定了出售、非法提供公民个人信息罪及非法获取公民个人信息罪两个罪名。《商业银行法》第二十九条规定了商业银行应当遵循为存款人保密的原则、有权拒绝任何单位或者个人查询、冻结、扣划个人储蓄存款（但法律另有规定的除外）。
2.行政法规层面。1992年的《储蓄管理条例》（国务院令第107号）第五条规定“储蓄机构办理储蓄业务，必须遵循……为储户保密的原则”。2000 年的《个人存款账户实名制规定》（国务院令第285号）第八条也规定了金融机构为储户保密的义务。2013年3月15日起施行的《征信业管理条例》（国务院令第631号）是我国个人金融信息保护工作上的一个里程碑，条例共47个条款，有将近一半直接涉及个人金融信息保护。其中关于个人金融信息保护的主要制度设计包括：尽可能地扩大履行个人金融信息保护职责的机构范围、提高征信机构的准入门槛、规范信息的采集和使用、保障信息主体的知情权、设立个人信息纠错机制、严格法律责任等。
3.部门规章层面。人民银行、银监会等在其部门规章中针对电子银行、反洗钱及信用卡业务等方面对银行客户个人信息的保护作出了相关规定。如中国人民银行2005 年制定了《个人信用信息基础数据库管理暂行办法》（中国人民银行令〔2005〕第3号），对个人信用信息采集、整理、保存、查询、异议处理、用户管理、安全管理等方面进行了规范。其中第十三条要求商业银行获取个人信用信息必须取得当事人的同意，使其享有知情权。此外，罚则部分对征信机关、商业银行违反保护规定，泄露个人信用信息行为制定了相应的处罚措施。该暂行办法是我国颁布的第一个专门针对个人信用信息保护的规章。《电子银行业务管理办法》（银监会令2006年第5号）第五十二条规定：“金融机构应采取适当措施，保证电子银行业务符合相关法律法规对客户信息和隐私保护的规定”。人民银行、银监会、证监会和保监会联合颁布的《金融机构客户身份识别和客户身份资料及交易记录保存管理办法》（中国人民银行令〔2007〕第2号）第二十八条规定：“金融机构应采取必要管理措施和技术措施，防止客户身份资料和交易记录的缺失、损毁，防止泄漏客户身份信息和交易信息”。《商业银行信用卡业务监督管理办法》（银监会令2011年第2号）第三条规定：“商业银行经营信用卡业务，应当依法保护客户合法权益和相关信息安全。未经客户授权，不得将相关信息用于本行信用卡业务以外的其他用途”。
4.规范性文件层面。人民银行《关于银行业金融机构做好个人金融信息保护工作的通知》（银发〔2011〕17号）第2条规定：“银行业金融机构在收集、保存、使用、对外提供个人金融信息时，应当严格遵守法律规定，采取有效措施加强对个人金融信息保护，确保信息安全，防止信息泄露和滥用”。
（二）个人金融信息保护现状分析
目前，我国对个人金融信息的保护已在相关立法上有所体现，但也应该看到，与其它国家或地区相比，我国在个人金融信息保护方面仍然存在较大的缺陷，主要表现在以下几个方面：
1.法律制度不完善
一是法律体系不完备。目前对个人信息保护的民事法律依据主要是《民法通则》有关个人姓名权、肖像权和名誉权的规定，刑事法律依据主要是刑法修正案（七）有关出售或非法提供、获取公民个人信息犯罪的规定，无法规制那些侵犯个人信息但尚未构成犯罪的行为，信息主体的权利得不到全面确认和保护。各类经济主体收集、保存、交换个人信息等所应遵循的基本原则、程序和制度也得不到统一的规范。二是相关规定较为抽象、零散。现行金融法律，如《商业银行法》、《证券法》、《保险法》等仅对金融机构保密义务进行原则性规定，导致金融机构难以执行。《个人存款账户实名制规定》、《银行卡业务管理办法》等金融法规规章仅对某类个人金融信息，或者某个金融业务领域或环节作了保密规定，无法覆盖全部个人金融信息。三是相关规定效力层级低。中国人民银行出台了《个人信用信息基础数据库管理暂行办法》、《关于银行业金融机构做好个人金融信息保护工作的通知》，《办法》和《通知》对个人金融信息收集、保存、使用等做了相应规定，但前者属效力层级较低的部门规章，后者为规范性文件，不属于广义法律的范畴。四是信息主体享有的权利不明，救济手段有限。信息主体对其个人金融信息应享有知情权、异议权、索赔权等权利，而这在我国现行法律体系中未得到明确。从司法实践看，个人金融信息遭受非法侵犯后，受害人多数获得的仅仅是停止侵害、消除影响等名誉补偿方式，经济和精神赔偿请求基本得不到司法部门支持。尤其是因个人金融信息泄露导致诈骗、资金被盗等，除犯罪分子承担刑事责任以外，受害人难以获得经济赔偿。
2.立法理念有偏差
从我国个人金融信息保护的相关规定来看，个人金融信息保护的法则与保护例外的规则对比较为失衡。对个人金融信息保护的规定主要是原则性的内容，比较抽象，操作性不强。而与此相反，对个人金融信息保护例外性的规定无论是从实体权利与义务的安排上，还是从对个人金融信息披露的程序上都比较具体，更具有操作性。这表明我国在个人金融信息保护立法上存在“重信息披露、轻信息保护”的价值取向，立法理念有一定的偏差。
3.监管效果不明显
《中国人民银行法》、《商业银行法》、《银行业监督管理法》等法律法规没有明确规定个人金融信息保护工作的监督管理部门。由于缺乏基础性制度支持，金融监管部门执法时，对违法行为的认定和处理存在较大困难，能够用来处理违法金融机构的手段少之又少，只能运用通报、约见谈话等惩戒性不强的手段，不能对违法机构产生威慑力。
4.保护意识待强化
一方面，金融机构对个人信息安全保护认识不足。缺乏个人信息安全管理制度，对客户个人信息保密责任不明晰，没有对信息实行有效的安全等级分类管理；对制度的执行监督检查、评估不够，而问责更少，对掌握重要信息的离岗人员的保密责任没有严格的约束措施。另一方面，公众对个人信息保护虽有一定的认识，但对个人信息的重要性及个人信息保护制度的相关细节却普遍缺乏深入的了解，对个人信息保护的意识并不高，风险防范意识较为薄弱。
四、加强我国个人金融信息保护的建议
（一）立法理念
1.保护模式的选择
美国采取分散立法模式，欧盟采取综合性的立法模式。两种立法模式均有其深刻的历史和社会背景。分散立法模式使得美国对个人信息的保护显得错综复杂。不同类的信息由不同的法律管辖，不同机构涉及个人信息的行为也由不同法律管辖，这种“支离破碎”的模式要较欧盟的“综合”模式在法律保护的充分性上相对弱一些。欧盟模式是对所有行业实行统一标准，并在欧盟内部确立了个人信息保护的最低标准，该模式有利于个人信息得到全面的保护。但同时，欧盟的全面立法也可能阻碍个人信息的正常流通。
鉴于两种制度都各有其利弊，我国比较好的选择是采用统一立法与行业自律结合的保护模式，制定个人信息保护法作为对我国个人信息保护的基本法，并结合金融行业的行业自律，为个人金融信息的保护构建出一个基本的框架。同时，修正我国现行法律已有的相关条款，对银行保密做出明确的规定，并根据经济、社会发展之需要而在金融领域制定专门的法律法规来完善对个人金融信息的保护。
2.隐私权保护和信息公开的协调
为平衡对个人金融信息的保护与信息公开之间的关系，协调其相互冲突的价值，需要遵循以下原则：
（1）公共利益优先原则
这项原则要求凡是与社会政治和公共利益有关的信息，政府享有知情权，有权将此信息公开。个人金融信息利益与公共利益发生冲突时，个人金融信息利益应让位于公共利益，以确保公共利益的优先实现。
（2）权利协调原则
这项原则要求对具体情况进行具体分析，达到权利的协调与平衡。在社会生活中，金融信息权和政府知情权都十分重要，对任何一种权利都不能完全抛弃。因此，权利协调原则就是要求一种权利做出让步以便使另一种权利得到基本满足。
（3）最大限度保护人格尊严原则
在一些特殊情况下，金融隐私权必须让位于政府知情权，但是政府在利用个人信息时必须最大限度的保护公民的人格尊严。必须对行政机关收集和利用个人信息做出限定，赋予信息主体知情权和救济权，确立政府、个人、金融机构、法院四方主体共同构成的金融信息获知与保密的平衡关系。
（4）信息流通原则
高度发达的信用体系在防范金融风险，提高市场资源配置效率等方面发挥着积极作用。信用从封闭走向公开，这是现代商业社会发展的需要。信息时代对个人金融信息保护的原则是力求获得两者的平衡，即既要保护个人金融信息，又不能使对个人金融信息保护成为信息自由流通的障碍。个人信息立法应该兼顾个人权利的保护与信息自由流通两个目标。
（二）构建我国个人金融信息保护制度的具体建议
1.明确个人金融信息的法律地位
构建个人金融信息保护制度，首先必须明确个人金融信息的法律地位。加快个人信息保护立法步伐，条件成熟时，制定专门的《个人信息保护法》；尽快修改《中国人民银行法》、《商业银行法》、《证券法》、《保险法》等法律，明确金融机构保护个人金融信息的义务和法律责任；进一步强化金融部门规章立法建设。形成以专门法律为核心、其他法律法规相配合、部门规章和制度为补充的个人金融信息保护法律体系。
2.明确个人金融信息的主体
个人金融信息主体应当是个人金融信息的所有者，个人金融信息主体对其自身的金融信息享有所有权，能够占有、使用、收益和处置自己的金融信息。可明确规定信息主体至少应包括以下权利：一是知情权，信息主体有权知晓金融机构收集、使用、披露、转移个人金融信息等的目的、范围；二是选择权，信息主体可自主选择是否接受金融机构对其个人金融信息的收集、披露等；三是访问权，有权查询其在金融机构的个人金融信息及其管理情况；四是异议权，信息主体有权要求金融机构对其个人金融信息进行适当更改、删除；五是索赔权，信息主体有权要求其信息免受非法和不当使用的侵害，并在遭受侵害时要求赔偿。
3.明确个人金融信息的内容
如果将金融信息视为个人产权的话，权利的行使必然涉及产权界定，而明确金融信息保护的范围实质上就是界定产权的边界。因此，要科学划定个人金融信息的包含内容，建议以列举加兜底的方式，明确个人金融信息保护的范围，如个人身份信息、财产信息、账户信息、信用信息、金融交易信息、衍生信息，以及金融机构在与个人建立业务关系过程中获取、保存的其他个人信息。
4.明确个人金融信息保护的例外情形
在强调对个人金融信息保护的同时，出于对国家利益、社会公共利益等因素的考虑，也应明确对个人金融信息保护的例外情形――信息披露。例外情形可以包括以下几方面的内容：源于法律的规定而进行的信息公开、出于公共利益的考虑而对个人金融信息的披露、基于征信的需要而进行的信息交流、金融机构基于自身的利益而进行的合理披露以及经客户同意而进行的信息公开等。
5.明确个人金融信息保护的监管机关
可设立独立的机构或指定机构负责个人金融信息保护的监管，明确监管职责。监管机构负责建立个人金融信息保护的统一规范和标准，督促金融机构加强信息安全管理，强化个人信息数据库的管理，防止信息被滥用等。为确保监管机构更好第履行个人金融信息保护职责，法律应赋予监管机构必要的监管手段，对违规泄漏个人金融信息，造成个人损失或引发不良社会影响的，可实施行政处罚或采取其他监管措施。
6.明确个人金融信息保护的救济机制
我国现行法律制度对个人金融信息侵权的民事责任缺乏规定或是规定得过于抽象，信息主体在权利受到侵害后不能寻求充分的救济。我国在制定及修正相关法律法规时应对法律责任进行重构，能够对民事责任给予更多的关注，以建立更为科学的个人金融信息保护法律责任体系。我国《民法通则》第一百三十四条规定了承担民事责任的方式，包括：（1）停止侵害；（2）排除妨碍；（3）消除危险；（4）返还原物；（5）恢复原状；（6）消除影响、恢复名誉；（7）赔礼道歉；（8）赔偿损失。在侵害个人金融信息所应承担的民事责任方面，赔偿责任是关注的焦点。个人金融信息侵权行为侵害的是信息主体于个人金融信息上的一般人格权，对人格权的侵害将可能造成本人的财产利益损害和人身利益损害。因此，侵害个人金融信息的赔偿责任也应包括财产损害赔偿和精神损害赔偿。
参考文献：
[1]张磊.个人金融信息保护管理现状与改进[J]. 中国金融电脑，2012，（2）.井慧宝，常秀娇.个人信息概念的厘定[J].法律适用，2011，（3）.
[2]艾瑞咨询.2011 年中国网络购物年度数据. http：///others//20120113/161491.shtml，2012-01-10.
[3]人民网.信用卡泄密波及中国持卡人 四商业银行紧急应对. http：//.cn/GB/3493444. html，2005-06-24.
[4]王宝刚，张立先，马运全，荆伟，陈 晨.个人金融信息保护法律问题研究[J].金融理论与实践，2013，（2）.
[5]周学东.关于完善个人金融信息保护法律体系的思考[N].金融时报.2013-03-18.
[6]陈永.欧盟和美国关于信息隐私保护的比较研究―兼论“9.11”后隐私立法政策的变化[A].北大国际法与比较法评论[C].2003.
[7]熊远艳.论个人金融信息的法律保护[D].重庆大学，2008.
[8]齐爱民.制定个人信息保护法的人权意义与经济功能[J].嘉兴学院学报，2007.
购物车(0)