网络个人化信息资料的利用与控制制度研究
作者:李德成 (北京市观韬律师事务所)       本站发布时间:2003-5-13 12:25:16

个人资料,一般是指自然人的姓名、出生年月日、身份证号码、特征、指纹、婚姻、家庭、教育、职业、健康、财务情况、社会活动及其他足以用来识别该个人的资料。[1]互联网上最有价值的是信息资料,它不仅可以为信息的提供者带来经济利益,而且还是网络信息资料使用者带来巨大经济利益的重要资源。网络环境使得信息资料得到最大限度的利用,使得利用成本得到最大限度的降低。而这些数以亿计的网络信息资料中,最引人注目的,也是最有经济价值的,是网络个人化信息资料。这是由于网络环境的虚拟性,网络定位服务的必然要求。



网络个人化信息资料的收集



之所以说,网络个人化信息资料最有价值,是因为:网络世界的交互性是其他任何一种交易环境(工具、商务平台或方法)无法比拟的。可以说,互联网交互性的利用程度,标志着网络经济的发展程度。网络的交互性,能否得到最大限度的实现,在很大程度上取决于,网络各主体所掌握和拥有的网络信息资料的个性化程度。举例说明之,商家拥有网民的信息资料愈多,这些信息资料愈准确,它为网民提供的商品或服务就愈有针对性,它获得的利润相对也就愈大。所以网络各主体对网络个人化信息资料的收集也就显得很急迫,有些已经已经严重地侵犯了用户的网络隐私权。目前国内和国际上,对规范网络个人化信息资料收集行为的呼声愈来愈高,这不仅是网络经济发展的必然要求,也是网络隐私权保护制度建立与完善的客观需要。本文试结合网络隐私权保护制度的建立与完善这个大的论题,从收集网络个人化信息资料声明与网络隐私权保护政策声明两个方面,提出如下意见。



一、收集网络个人化信息资料的主体

根据收集资料机关的性质,可以分为公务机关和非公务机关。针对不同的主体应该有不同的要求。

(一)、公务机关收集行为必须限制在职权行为或职责范围内且遵循必要性原则

公务机关收集网络个人化信息资料,必须是其法律规定的职权与职责范围内的行为。行政机关对网络个人化信息资料的收集行为,可以认定为广义的行政行为。这不仅是法律对行政行为合法性的基本要求,也是对网民网络隐私权保护的前提和基础。对于这一要求,本文认为是必须要遵守的。不论是否经过网络个人化信息资料的所有人或合法提供者同意,也不论对当事人有没有侵害的可能,这一要求都是必须要严格遵守的。

本文的这一观点,与许多地区的现行规定是不一致的。许多地区只是将“职权或职责范围内的收集行为”作为公务机关可以实施收集网络个人化信息资料的一种情况,比如台湾地区。[2]本文之所坚持这一观点,主要出于两方面的原因:

1、以行政机关为例,如果不是行政机关的职权或职责范围,其收集的目的是什么呢?如何来保障行政机关将所收集的这些网络个人信息资料,仅使用于所声明的目的。在这里,提醒注意的是,行政机关不是一般的经营主体。社会上的其他组织和个人对行政机关的监督和约束的力度是很弱的。如果,抛弃了法律这一屏障,恐怕难以控制行政机关滥用所收集来的非职责或职权范围内的网络个人化信息资料,以达到其他非法的目的。在客观上不仅是对相关权利人的民事权利的侵犯,而且不利于行政机关“依法行政”,更不符合网络环境信息的自由流通,将严重地阻碍了网络经济的进一步发展。

2、行政机关过多地掌握网民的网络个人化信息资料,对社会的发展来并不见得有利。这是行政机关收集网络个人化信息资料必要性的必然要求。

这里所说的“必要性”不仅包括公务机关,而且还包括非务公机关。关于必要性中“直接目的、适量收集”问题,容易产生歧义,试用香港地区某一投诉实例[3]说明如下:

“某一投诉涉及一家私营屋苑管理公司,因更新保安系统而要求住戶提供他们的姓名、年龄、身分证号码或护照号码及相片,以申请进入屋苑所用的內藏磁带的住戶证。投诉人拒绝向有关的管理公司提供他上述的个人资料,理由是他认为并无需要收集有关的资料,投诉人亦不满他未获告知收集有关资料的目的。经个人资料(私隐)公署劝喻后,有关的管理公司即在申請住戶证的表格上,列明收集个人资料声明,以告知住戶证申请人收集他们个人资料的目的。此外,管理公司承诺检讨申请住戶证的程序,因为藉发住戶证目的而收集申请人的年龄及身分证号码属收集过量资料。因为个人资料的收集必须是为了直接与将会使用该等资料的资料使用者的职能或活动有关的合法目的而收集,而就該目的而言,亦只能收集足夠但不超乎适度的资料。倘若是为发楼宇进出证件的目的而收集个人资料,有关的机构须考虑收集适当但尽量少种类的个人资料”。

(二)、对非公务机关作为收集行为主体的要求

所谓非公务机关收集主体,是指并非依法行使国家公共权力,而收集网络个人化信息资料的其他组织或个人。

1、这些主体在收集网络个人化信息资料时,一般要具备下列要件之一:

一是,经过网络个人化信息资料的所有人或合法提供者的同意,由其自愿提供;二是,对于网络个人化信息资料的所有人及合法提供者的安全或其他权益没有侵害的;三是,已经公开的,对资料的所有人或合法提供者无害且对社会或整个网络环境的发展有利;四是无害于相关的当事人,为学术研究或科学实验所必须的;五是,有关的法律、法规规定的其他情况。

2、要经过有关机关的批准或备案[4]。

对于非以赢利为目的,按照现有的法规的规定,要履行备案手续。

以所收集的网络个人化信息资料为基础而进行赢利为目的的,应当经过有关机关的批准。这此批准不仅有工商行政管理机关,而且还有信息管理部门,本文还主张在条件成熟设立网络隐私权的监督管理机关[5]时,并经过该机关的批准。



二、收集网络个人化信息资料声明的概念及基本要求

所谓的收集网络个人化信息资料声明,是指网络各主体在收集网络个人化信息资料时,应告知的事项。

网络个人化信息资料是指,通过可以识别的特征,能够将其与特定的人联系在一起,或者说能够识别是哪些网民的个人的信息资料。收集这些资料要有声明,对其基本要求如下:

1、有关法律应将其规定为法定义务。

应当明确地,将这一声明规定为,网络各主体在收集网络个人化信息资料时,应严格履行的义务。否则要受到相应的处罚。

2、如何提供收集网络个人化信息资料的声明。

第一,不论是何时,只要向网民收集可以识别其身份的网络信息资料时(不论该资料,是否需要经过特殊的处理),就需要提供该声明。不仅包括网民所浏览的网站时间、周期,访问网页的次数,所关注的内容,而且还包括网民发表的言论以及与他人交换的数据等等内容。

第二,不论是网民事先知道还是不知道,其网络个人化信息资料被收集,都必须在收集之前提供该声明。

在具体操作过程中,最常用的是通过要求网民或用户填写表格的方式,来收集他(她)们的网络个人化信息资料。这就要求,每一份表格应当载有该声明,使其作为该表格的一部分,或者是在表格上设置链接,以便用户点击显示该声明。

由于cookies文件特殊的功能和作用,只要用户访问一次设置了该文件的网站,以后不论是否再访问该网站,只要其他的网站上也设置了该cookies文件,它都可以跟踪该用户。在这种情况下,收集网络个人化信息资料声明理所当然地应当包括其后的所有的收集活动。

第三,网络隐私权保护制度一般要求cookies的提供者,可以屏蔽、拒绝或限制该项功能。如果,某一网站不让拒绝或限制cookies文件的用户访问,那么,要清楚地表明这一点。

第四,网络个人化信息资料声明,既可以是前面所讲的通过链接声明,也可以是在要求用户填写的表格上声明,还可以是在第一次开始收集网络个人化信息资料时,弹跳窗口提供该声明。

第五,该声明的提供应当是清楚明确的,细致全面的,及时迅速的。



三、收集网络个人化信息资料声明的内容

其声明应包括的主要内容如下[6]:

1、收集网络个人化信息资料目的的声明

该声明要清楚地表明,所收集的这些网络个人化信息资料将用于什么目的。比如,有的资料是用来参加活动获得奖品兑现而使用的,有的资料是为了用户提供特殊的服务,有的资料是用于统计用户的访问量,以便计算网络广告的点击率等,不论是何目的,其表述要清楚、明确。

实践中有些机构收集网络个人化信息资料时,只是通过一个笼统的声明表示一下而已,这显然是不够的。当要求同一个用户填写不同的表格时,所收集的资料可能有很大程度的不同,这就要求所采取的声明的表示方法及声明的内容与用户所填写的表格,所提交的网络个人化信息资料相一致。

另外,收集网络个人化信息资料的方法,也是要声明的内容。

2、网络个人化信息资料的共享或再利用的声明

所谓共享,意即除了网络个人化信息资料的收集者按照收集的声明目的,正常使用以外,还与其他主体共同使用。所谓再利用,意即除了上述使用以外,收集人还将这些网络个人化信息资料,经过加工进一步的用于其他用途。

不论是网络个人化信息资料的共享还是再利用,也不论共享、再利用是否是用于赢利为目的,只要是许可他人或者是与他人共同使用或再利用该资料,事先必须声明。这不仅是对网络个人化信息的所有人或合法提供者的承诺,同时,也是对其他网络个人化信息资料的收集者所做出的,拒绝转收集的意思表示。比如,某网站声明,“本网站不会将用户提供的网络个人化信息资料,与任何第三人共享或许可他人使用或再利用,法律另有规定的除外”。这一声明,不仅向用户作出了承诺,而且还对其他网站产生约束力。其他的网站,如果未经该用户明确表示许可,直接从该网站获得上述资料的,其行为就构成了对用户网络隐私权的侵犯。

3、查阅、修正及更新网络个人化信息资料的声明

用户针对自己提供的网络个人化信息资料,有权按照一定的程序进行查阅,针对不正确的内容有权修正,对过时的信息有权更新,这是网络隐私权权项中“知情权”、“控制权”的客观要求。该信息资料的收集人针对上述权利要有明确的声明。

网站最常见的这类声明如,“针对本站所收集的关于您的网络个人化信息资料(或可识别性资料),您有查阅的权利;针对其中不准确、不明确或过时的内容,您有修正与更新的权利。”与之相套的条款还有,“如需要实施上述行为,请电邮mail@lidecheng.com.或致电86-10-96589-598567”。或者,当用户点击“查阅”、“修正”和“更新”时,弹出一个窗口,为用户提供联络人或联系地址。

4、网络个人化信息资料的保护措施及隐私权保护政策链接的声明

针对不同的网络个人化信息资料,有着不同保密要求。资料的收集人保证用户提供的网络个人化资料的安全,这是网络隐私权保护制度的基本要求,也是对网络个人化信息资料进一步利用,使网络事业得到最大发展的基础。本文这里要讲的,是和声明有关的保护措施,它并不要求信息资料的收集人通过声明的方式,公开为了保护这些网络个人化信息资料所采取的保密措施和使用的保密方法。因为,有了这样的要求,不仅会给收集人增添受到黑客攻击的机会,而且也没有这个必要。这里的“保护措施声明”是收集人对网络个人化信息资料的所有人或合法提供人的要求。实践中,即主要表现为要求用户将上述资料通过什么样的方式,来传输它。经常见到的表述是,“希望您将上述表格的内容填好后,用加密邮件的方式发送本公司,并请您妥善保管所填的上述敏感资料。”



四、网络隐私权保护政策声明

网络个人化信息资料收集声明中未完善的地方,可以通过链接的方式,将其链接到“网站隐私权保护政策”,使两者可以得到补充。按照香港个人资料私隐公署的意见,隐私政策声明是指,“一般用以述明机构在收集、持有使用个人资料方面的整体私隐政策及实务。《香港个人资料(私隐)条例》规定,机构须确保其他人士可确实得知它们在这方面的政策及实务”[7],对“收集个人资料声明”和“私隐政策声明”是作出区别的。

针对“收集网络个人化信息资料声明”与“网络(或网站)隐私权保护政策”在这两个概念在理论上加以区别是有意义的。简单地讲,收集隐私声明重在“收集”,它的主要内容都是紧紧围绕着对网络个人化信息资料收集而言的。而隐私政策声明却不仅如此,它不仅要对收集过程做出声明,而且还要对网络个人化信息资料管理、使用与处分等各个环节做出声明。

实践中是不是要将二者分别用不同的方式、方法表现出来,本文认为这道不必。在理论上之所以,将上述二者做出区别,其最主要的原因是,收集声明在整个网络隐私保护政策中占非常重要的地位,可以说是整个网络隐私权保护政策能否得到执行的前提和基础。本文主张有条件的收集主体,可以将上述二者通过不同的方式、方法加以区分后,分别表示出来,这当然是好事。但是,将收集资料声明放在网络隐私权政策中加以说明,也不是不可,只要能够达到明确告知收集资料声明的目的即可,国内多数网站也都是这样做的。



网络个人化信息资料的查阅



对网络个人化信息资料保护,不仅要对收集行为进行规范,而且对其他的各个环节也要有相应的规定。如何确保网络个人化信息资料的所有人或合法提供者的查阅权是得到充分的行使,也是网络个人化信息资料的利用与控制制度要解决的重要问题之一。这不仅是维权的需要,同时也是网络事业健康发展的前提和基础。不仅如此,对这一环节进行规范对于整个网络个人化信息资料的利用与控制制度来讲,还起到一个承上启下的作用。



一、网络个人化信息资料的查阅权不得抛弃或以特定的约定加以限制

针对网络个人化信息资料,其所有人或合法提供者的查阅权(或称知情权)、选择权、控制权、安全请求权及利用限制权,不允许预先抛弃或通过特定的协议加以限制。这应该规定为是法定的禁止性条款,违反该条款的行为无效。我国台湾地区还规定了“请求删除的权利”。[8]



二、查阅网络个人化信息资料的要求

按照香港地区《个人资料(私隐)条例》的规定[9],个人有权要求他人,例如某政府部门或某公司证实是否持有他或她的个人资料,以及要求它们提供一份该资料的复制本。个人提出查阅资料要求的一些常见的例子,包括病人索取医疗记录的副本,雇员要求雇主提供雇用有关纪录的副本,比如工作表现评核报告,以及信贷申请者要求索取他们的信贷报告副本。按照香港地区的法律规定,需要查阅资料的个人,在私隐专员提供的专用表格上要清楚地填写相关事项,并提供身份的证明。如果不使用私隐专员提供的专用表格,有关方面可以拒绝其查阅资料的要求。

由于网络个人化信息资料的利用与控制是一个新的问题,虽然这些资料和传统的个人隐私资料在性质上是一样的,但是在表现形式、管理和利用方式上却有着很大的区别。对这些资料的查阅是否要有关政府机关的介入,这是一个值得研究的问题。本文并不怀疑香港个人资料(私隐)专员公署在保护公民个人隐私方面的所发挥的巨大作用和产生巨大影响力和震慑力。而是说,国内本就没有类似于香港个人资料(私隐)专员公署的行政机关,而且传统的保护机制对于网络个人化信息资料的保护并不一定完全吻合。更重要的原因是,政府对网络行为过度介入既不利于信息的自由流通,也有悖网络规则和网络惯例。本文对政府的介入问题,一直秉持“慎重介入”与“被动管制”的观点。更为有效的办法是将政府的介入、法律的管制、网络的规则、行业的自律、第三方的认证等名方面的规范有机地结合起来,针对网络环境中的存在的问题进行协调处理。逐步地形成多元化的网络法则。

出于上述原因考虑,本文主张:

1、首先规定查阅权,非法律明确规定的情形,不得加以限制更不得驳夺;

2、网络个人化信息资料的收集者、管理与使用者实现查阅权的义务。除法定的免责外,要承担相应的民事责任和行政责任;

3、大力扶持行业自律性组织和第三方认证机构,使其在实施查阅权的过程中起到积极的监督和管理作用;

4、赋予查阅权以诉权。当权利人的要求查阅的权利被非法驳夺或非法限制时,赋予其向人民法院提起诉讼或按照其约定申请仲裁机关进行裁决的权利;

5、行政机关通过对主体资格的审查与经营的管理,间接地对查阅义务人进行监督和管理。



三、对网络个人化信息资料查阅的限制

由于网络个人化信息资料通常的表现形式不是单独存在的,在许多情况下,是与其他的信息资料相互依存的,所以,出于对网络个人化信息资料保护的目的出发,对于查阅权通过法律的规定作出适当的限制是必要的。

相关的限制主要表现以下几个方面:[10]

(一)、查阅人未能提供足够的资料证明自己的身份及证明与所查资料的关系的

对于不同的网络个人化信息资料,可以行使查阅权主体是不同的。这不仅要提供证明自己的身份,而且还要求查阅人证明与所要查阅的资料存在着某种关系。这种关系,应当做狭义的理解,本文主张在一般情况下仅为,该资料是查阅人所拥有,或由其合法提供的,或者查阅人是资料所有人(或合法提供人的)法定代理人、委托代理人等。在特殊情况下,可以基于法定的事实针对特定的主体,赋予相关人员对网络个人化信息资料的非所有人(或合法提供者)查阅该资料的权利。

(二)对于如果不披露他人的个人化资料,无法满足其查阅要求的

对于这种情况一般是要进行限制的。但是有足够的事实能够证明其他资料的所有人(或合法提供者)已经同意披露的,或者可以通过删除该人的姓名或其他的身份识别资料的,则应当满足其查阅要求。

(三)有关的网络个人化信息资料涉及特别的安全事由或法律规定的其他特殊事项的

比如有关机关收集的网络个人化信息资料涉及国家的安全,侦查刑事犯罪等,这时有关方面可以拒绝其查阅的要求。[11]

四、有关机关对查阅网络个人化信息资料要求的处理。

本文认为,在一般情况下,有关方面须在接到查阅人的查阅要求后,应当在一个月内(或30日)满足其要求[12]。不能满足其查阅要求的,或者依法可以拒绝的,也应在这一期间内回复。

由于客观的原因当时不能满足其查阅要求,在该原因消失后,有关机关亦应在切实可行的范围内满足查阅人的要求。



网络个人化信息资料的修正、更新与请求删除



网络个人化信息资料的所有人或合法提供者,通过合理的途径访问该个人资料或向有关机关查阅后,针对错误之处可以申请修改、补充或删除,以保护网络个人化信息资料的准确、完整。这不仅是对网络个人化信息资料的所有人或合法提供者权利的保护,同时,也是该资料科学使用的客观需要。对于上述权利的行使,需要制定相应的规则与程序,以作为网络个人化信息资料的利用与控制制度的重要组成部分,刍议如下。



一、行使资料控制权要求的提出

有权行使资料控制权的主体,根据具体情况不同可以是网络个人化信息资料的所有人或合法提供者,也可以是其法定代理人、委托代理人。

网络个人化信息资料的使用者或有关机关,接受了资料控制权利人的上述要求后,在未满足其要求之前,如果这时需要向第三人披露该项资料的,资料的使用者或有关机关,应当在切实可行的情况下,将正在考虑改正或删除的消息,告知第三人。[13]



二、对行使控制权要求的处理[14]

网络个人化信息资料的使用者或有关机关,在收到控制权人要求修改请求后,应当在一个月(或30天内)内对所及资料做出相应的修正或更新,并向资料的提供修改的的副本一份。

如果网络个人化信息资料的使用者,不能在规定的期间内满足或全部满足上述要求,应书面说明理由。继而在切实可行的范围内尽快满足上述要求。

如果所要求修正的网络个人化信息资料,在做出有关改正之前的12个月内曾披露予第三人的,如果没有理由相信第三人已停止使用,那么,作为网络个人化信息资料使用者或有关管理机关,应当向第三人提供改正后的副本一份并书面说明改正的理由。

有关法律,一般都规定网络个人化信息资料的使用者或有关的管理机关可以拒绝行使控制权的情况。就此问题与网络个人化信息资料的查阅权基本相似,在此不再重复。

网络个人化信息资料的权利人或合法提供者可以提出删除有关资料内容的权利。该资料的使用者,如无需再使用于收集时所声明的目的,除了法律禁止删除或删除这些资料会有损社会公共利益的,应当主动的删除。



网络个人化信息资料的使用



网络个人化信息资料使用行为的规范,是网络个人化信息资料的利用与控制制度的核心部分。所规范的主体主要是网络个人化信息资料的使用者,即是指独自或者联同其他人或与其他人共同控制资料的收集、持有、处理或使用的人。前面已经就资料的收集、管理等行为规范简要地做了分析。这里就网络个人化信息资料的展示、保护和商务使用问题,在对其他地区行为规范研究的基础上,提出如下意见。



一、网络个人化信息资料的展示[15]

网络个人化信息资料是网民网络隐私资料的重要组成部分,在网上使用网民的个人化资料,除了法律规定或当事人明确表示同意以外,对该资料的使用仅应限制在收集时所声明的目的。在网上对网络个人化信息资料的展示,是一种最常见最主要的使用方式,其行为规范主要包括以下方面:

(一)、展示前必须征同网络个人化信息资料的所有者或合法提供者的同意

本文这里所说的征得其同意,一般可以通过两种方式来实现。

一种是在收集时已经声明,所收集具体资料会在什么样的环境下在网上展示。一种是收集资料后,在决定展示前征得网络个人化信息资料的所有者或合法提供者的同意。

较为常见,也比较具有典型性的是网上招聘服务。一些“网络猎头公司”通过网络向他人提供求职者的个人资料。在向求职者收集这些资料时就作出声明,否则在用此方式展示资料前,须先取得求职者的同意。

(二)、展示资料时采用匿名的方式

由于匿名的资料不能确切地确定有关人士的身份,其识别性较弱,所以一般不将匿名资料做为网络个人化信息资料来对待。在网上展示资料时,建议有关网络个人化信息资料的使用者针对部分资料采用匿名的方式,作为一项额外的预防措施,以避免因提供过多的详细资料而导致被滥用。

例如在网页上展示幸运抽奖及比赛得奖者的个人资料时,应考虑采取上述预防措施,特别是不应将得奖者的姓名及身份证号码一同展示。只展示身份证号码一般都可以接受,因为这种方法除提供所需可靠资料外,更可稳妥地隐匿有关人士的身份。

二、网络个人化信息资料使用中的安全要求及相应的保密措施

对网络个人化信息资料的保护,是网络安全保障制度中的重要组成部分。针对不同的对象所采取的保安措施有很大的区别。对网络个人化信息资料保护的基本要求是,能够足以反映若违反这些措施可能引致损害的严重性。

就此问题,主要体现在对网络个人化信息资料的储存及传输上,相关的建议如下[16]:

(一)、应采用加密法传输敏感性的网络个人化信息资料

比如,网络招聘服务商,要求应聘者提供详细履历或为支付服务费用而要求客户提供信用卡、银行户口资料的机构,在传输有关个人资料时,一般都应采取比传输姓名办公室地址较严密的保密措施。此外,在网上传输当中载有敏感性个人资料的电子邮件时,亦应做出类似的考虑。

(二)及时地提供保密警告信息

如果使用未加密的传输敏感性的网络个人化信息资料时,作为资料的使用者要及时发现并告知有关机构和个人有可能出现的危险,以提高他的警觉性。或者是告知应当采取的措施。

(三)、通过电子邮件传输网络个人化信息资料的规范制度

使用电子邮件来传输网络个人化信息资料是常用的一种方法,为了保障该资料的安全,使用者应当制订相应的措施,以确保控制及查阅资料的人员,有良好的道德品质、审慎的工作态度。要求网络个人化信息资料的使用者就以下几个方面采取相应的措施。

1、制定电子邮件的管理制度

前面已经讲到了,并不是所有的网上电子邮件都需要同等程序的保护,这就决定着所采取的保密措施也要针对所及网络个人化信息资料的敏感程度及数量而定。所以,第一步要做的工作是将所持有网络个人化信息资料进行等级分类,并且制定出在什么样的情况下准许通过网络传输什么样的资料。

同时,网络个人化信息资料的使用者,还要制定相关的规章制度限制有关人员接触敏感性或级别较高的资料,并采取适当的程序确保只有经过批准的职员才能查阅和保管上述资料。

2、积极采取先进的技术办法

在通过电子邮件传输网络个人化信息资料前,将所及资料加密,是禁止未获授权人截取或查阅该等敏感资料的重要方法。举例来说,网络个人化信息资料的使用者为了达到上述目的,可以通过设置将自己本身运行的服务器自动使电子邮件传输到一个预先指定的服务器目录机密邮箱,只供获得授权的人员查阅。

如果网络个人化信息资料的使用者的服务器是网络服务商来管理和维护的,那么,在这种情况下,就应当考虑网络服务商所推行的保障措施,是否利用服务器软件、硬件提供适当的保障措施,然后再决定选用相应的网络服务商。

3、思想性和组织性的措施

网络个人化信息资料的使用者,不论是领导层还是一般的员工,都要对电子邮件的保密问题达成共识,并应对职员加强教育。比如利用会议、内部刊物加强宣传、发放保护手册等。并制定相应的规章制度、查阅的审批手续和监督措施。另外还要建立相应的处罚和奖励措施。



三、网络个人化信息资料的保留期限

不论所收集的网络个人化信息资料已经被使用或者将要使用,对其所保留的期限均不应当超过收集时声明目的所需要的时间。这是网络个人化信息资料保留期限应遵循的基本原则。否则,在实践中很难对保证上述网络个人化信息资料不被滥用。

同时,本文建议,对于特殊的主体所持有的网络个人化信息资料而言,可以通过法律对保留的最长期限做出限制性的规定,但这一限制性的规定在操作时有一定的困难。

比如,有关因雇用关系产生的网络个人化信息资料的保留期限,就是一个很突出的问题。通过网上招聘,向有关“猎头公司”或招聘单位提供的个人资料,对这种网络个人化信息资料应保留多长时间,不仅对应聘的人很重要,对于用人单位或“猎头公司”而言,也是一个很大的资源信息。通过法律,来规定网络个人化信息资料的持有者对该资料的最长保持时间,是有很大的难度的,一方面要考虑到持有者的成本,和对资源利用的最大化要求;另一方面,网络个人化信息资料的所有者或合法提供者的合法权益,是一个绝对不容忽视的问题。之所以说这些合法权益不容忽视,不仅是因为它关及网络个人化信息资料的所有人或合法提供者的人格权的保护问题,同时,它还直接影响到网络信息的来源,这对于网络经济的发展所带来的负面影响是绝对不容低估的。

以于传统的人力资源管理问题,有地区建议分为两项主要的类别:

一是,在一般情况下,落选的求职者的个人资料的保留期,自求职者落选之日起不行超过两年。

二是,除非符合其他的法律规定,或有保留的理由,否则前雇员的的个人资料不能保留超过7年。[17]

这种分类的方法及相应的最长保留期限,以于网络个人化信息资料的利用与控制制度的建立与完善而言,有很大的参考价值。



四、将网络个人化信息资料用于直接促销活动的行为规范

网络个人化信息资料的使用者,在首次使用将上述资料用于直接的促销用途时,应当在不收取任何费用的情况下,为网络个人化信息资料的当事人提供拒绝服务的机会和方法。[18]这是网络个人化信息资料当事人选择权的基本要求,同时也是网络公司网上促销活动中,向个人发送传输未经要求的网络广告或促销邮件时,应遵循的基本准则。

在具体的执行时,提醒注意以下几个方面的问题:[19]

(一)、声明应明确、清楚,拒绝服务的选择应简单、方便

不仅在收集网络个人化信息资料时要有声明,关于这个问题在网络隐私权保护政策中也要得到充分地体现。但是仅仅停留在这一点上,还是不够的,这里强调的是对声明的要求。直接促销的目的,必须要明确、清楚,同时还要表明如何使用这些资料,使之一目了然。

为网络个人化信息资料的当事人提供拒绝服务的选择,应当在网上发出直接促销邮件之前,在显眼的位置,让收件人有机会拒绝继续接收这些邮件。有关的表述必须清楚明确地告知收件人他们有权拒绝服务的选择。比如,“假如您不再希望收到我们的直销邮件,请写信或利用电子邮件通知我们”。这项拒绝服务的选择也适用于,促销商本身的资料库以外的其他资料来源,例如,促销商租赁的外间名单或资料库。

(二)、备存拒绝服务的客户名单

为了符合拒绝服务的要求,促销商等网络个人化信息资料的使用者,应当备存纪录,内载所有提出拒绝的人员名单,并在接获新的拒绝服务要求时,要定期更新。如资料是来自促销商本身的客户资料库,则应在接获该人的拒绝服务要求时,在其资料旁边加上抑制使用标记。



五、网络服务商使用网络个人化信息资料的行为规范[20]

(一)、与网络技术服务商有关的行为规范

提供网络技术接入服务的供应商,在运行网络服务器时,就其他服务器取得网络个人化信息资料而传输给第三者而言,一般不认为是使用网络个人化信息资料。这里所讲的是网络服务商为了本身的目的而使用该上述资料。业界有这样一种观点,即网络技术服务商由于对所传输的信息资料无法控制与管理,所以关于网络个人化信息资料的有关规范与其无关。这种观点是不正确的。当使用互联网服务供应商网上服务的用户是该供应商的客户时,网络服务商就无可避免的要为了用户的管理等目的而收集用户的网络个人化信息资料。这时,本节所讲的关于网络个人化信息资料使用者的规范,也将使用之。

(二)与网络内容服务商有关的行为规范

这里要分析的不是所有的行为规范,而是针对业界一些有争议的观点做一阐述,以利于进一步地建立和完善网络个人化信息资料的利用与控制制度。

1、于用户浏览纪录的识别性分析问题

当客户在网上浏览时,其所访问的每一个网址或浏览的每一个网页,都会储存在网络服务商的电脑纪录档案(log files),即用户浏览纪录资料(clicktrails)。这些纪录如果通过特别的方法与有关的客户联系起来,便成了网络个人化信息资料。通常是指对上述纪录进行技术分析,从而建立一个关于该人兴趣与爱好的个人档案(profile),或是将这些档案出售,或是用于直接促销用途。网络服务商的这些做法都是不允许的,因为,客户并不是为了上述目的而提供这些网络个人化信息资料的。而实际上,这种行为很普遍,是业界要急待解决的重要问题之一。

2、网络服务商提供安全的环境以配合服务承诺

有关的资料通常是储存在互联网服务供应商的电脑内的,互联网服务供应商有责任实施保安措施,以避免该等资料被未获授权的人查阅或私自进入者私自存取(Hacker attacks)。为履行此项责任,互联网服务供应商应将有关的电脑安放在有保安设施的地点;制订客户电子邮件保密政策及不可使用从电子邮件取得的资料的政策;向全体员工宣布其个人资料政策;以及经常提示员工遵守有关政策等措施。



--------------------------------------------------------------------------------

[1] 参见台湾《电脑处理个人资料保护法》第一章第三条第一项。

[2] 见台湾《电脑处理个人资料保护法》第二章第七条、第八条

[3] 见香港个人资料私隐专员公署通讯——《私潮》。2000年5月第三期。

[4] 见中华人民共和国国务院颁布的《互联网信息服务管理条例》。

[5] 如香港个人资料(私隐)专员公署。

[6] 主要参见《香港个人(私隐)条例》附表1“保障資料原則”。

[7] 香港个人资料私隐专员公署于1998年12月公布的咨询性文件《拟务网上收集个人资料声明及私隐政策声明有什么不同?》

[8]参见台湾地区《电脑处理个人资料保护法》第四条。

[9] 参见香港个人资料私隐专员公署,1999年8月公布的《如何行使〈个人资料(私隐)条例〉赋予您的查阅的权利》。

[10] 参见《香港个人资料(私隐)条例》第20条第1、2、3款

[11] 台湾地区将称之为“有妨害公务执行之虞者”。见台湾《电脑处理个人资料保护法》第12条及《电脑处理个人资料保护法施行细则》第二十二条。

[12] 各地对于查阅要求的回复期间,根据具体情况有所不同。香港地区规定的为40日。见《香港个人资料(私隐)条例》第21条。

[13] 参见《香港个人资料(私隐)条例》第22条第3款。

[14] 参见香港个人资料(私隐)专员公署:《个人资料(私隐)条例资料使用者指引第2号》。

[15] 参见香港个人资料(私隐)专员公署《个人资料私隐与互联网——资料使用者指引》。

[16]  参见香港个人资料(私隐)专员公署《个人资料私隐与互联网——资料使用者指引》。

[17] 参见2000年第四期《私潮》之“公署即将发出《人力资源管理实务守则》”。

[18] 参见香港《个人资料(私隐)条例》第34条之最后部分。

[19] 参见香港个人资料(私隐)专员公署《个人资料私隐与互联网——资料使用者指引》。

[20] 参见香港个人资料(私隐)专员公署《个人资料私隐与互联网——资料使用者指引》。

( 说明:文中的观点或信息与本网站主办单位无关)