随着腾讯360之争以及谷歌街景、Facebook等用户信息泄露等事件在国内外纷争不断，网络隐私的保护问题已经早就超越“是否应当保护”的必要性问题，转向了“应当如何保护”的对策性问题。而其中体现的各种利益纠葛乃至形成的产业链，为解决方案的提出以及管理机制的建立，增加了阻力和复杂性。

    隐私权作为中国人的一项民事权利，直到2009年12月发布的《侵权责任法》才在立法上予以明确，在此之前的司法实践中也已经有了多年的保护。隐私权保护的重要内容就是个人信息，包括能够对主体构成识别的各种信息，例如姓名、住址、出生日期、身份证号码、特征、指纹、婚姻、家庭、教育、职业、健康、病历、财务情况、社会活动、照片等等。

    而对于长期与互联网亲密接触的网民来说，网络上的隐私保护问题恐怕比现实当中更为突出，也更为迫切，从早期的垃圾邮件、垃圾短信，到愈演愈烈的账户、身份盗用，隐私的泄露与保护问题，越来越与每个人的日常生活息息相关。因为在网络上人们从早期单纯的获取信息，已经发展到全方位的生活方式，包括工作、购物、交往、娱乐乃至与不特定的人互动。在这个过程中，与现实物理世界不同的是，每个人的身份很大程度上脱离了物理性的身体，而都是以数字代码的形式体现的，一个用户名和一串密码，构成了虚拟世界主体识别的关键信息。

    在这个意义上，网络上的个人信息已经超越了单纯的“人身权”范畴，由于其在网络交易活动中的重要作用，也具有了非常重要的财产功能。目前网络上层出不穷的“木马”软件，其目标正是在于窃取这些重要的身份认证密码，包括网络银行、网络游戏账号等，在此基础上甚至形成了庞大的地下产业链。

    国内立法现状

    对于网络隐私问题的管理，与其他网络管理尝试所面临的难题是一致的。互联网本身固有的主体分散性、匿名性，传播手段的瞬间性，控制技术的专业性，凡此种种，对于管制者和受害者而言，都给有效的防范措施带来了诸多壁垒。就我国目前的管理来看，还是体现了传统立法行为的局限性，几乎都是采抽象性的法律禁止性规定。

    例如，如果要从《侵权责任法》来寻找侵害隐私权的根据，其中第三十六条(通常称为“互联网专条”)很原则地规定:“网络用户、网络服务提供者利用网络侵害他人民事权益的，应当承担侵权责任。”这其中当然也包括隐私权。在刑法的领域，2009年2月通过的《刑法修正案(七)》增加了“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”两个罪名，分为“获取”和“提供”两种情形规定了“三年以下有期徒刑或拘役，并处罚金”的刑事责任。此外，在立法机关和行政主管机关早期出台的、与互联网有关的法律、行政法规和部门规章里面，同样可以见类似的禁止非法利用个人信息的原则性规定，例如，《全国人大常委会关于维护互联网安全的决定》(2000)，《计算机信息网络国际联网安全保护管理办法》(1997)，《互联网电子公告服务管理规定》(2000)，等等。

    上述这些立法中原则性的规定，更多地具有一种权利宣告的价值，但是并未形成将权利保护落到实处的技术性的手段，更不要说形成一套行之有效的保护机制了。从这个角度看，工信部公布的《互联网信息服务市场秩序监督管理暂行办法(征求意见稿)》(以下简称《征求意见稿》)是一个可喜的突破，其中涉及到网络隐私保护的具体条款(第十二、十三、十四条)，已经具体化为明确的义务性规定，确立了相对细化的规范和标准，从而增强了管制在规则层面的可操作性。

    网络隐私管理框架的三个层次

    要建立一个网络隐私管理的理想机制，首先要了解网络隐私是如何被侵犯和被利用的，了解了个人信息的利用机制，才有可能对症下药，形成有针对性的管理框架。

    在林林总总的网络隐私不当行为中，可以抽象出三个关键环节:个人信息的获取、个人信息的利用、个人信息的维护。例如，腾讯与360之争的缘起原因之一，就是奇虎360推出针对腾讯QQ的“360隐私保护器”，指责腾讯未经用户许可获取(“偷窥”)用户个人信息，这涉及的是个人信息的“获取”环节。而Facebook网站因为“不恰当地与广告商和互联网追踪公司分享用户个人信息”，也深陷所谓“隐私门”，这指向的是个人信息的不当利用环节。而个人信息的维护，指的是网络商对于其获取的用户个人信息承担安全保障义务，应当采取适当措施防止他人从其数据库窃取信息，在未能尽到此种义务时而导致用户损失时，需要承担法律责任。

    根据这三个环节作为层次，可以分别建构不同层次的保护制度。

    第一个层次是个人信息的获取。对于个人信息的获取可以分为两种做法，一种是未经用户同意的获取，可以俗称为“窃取”，而另一种则是经过用户同意的获取。对于前一种获取，应当明确予以禁止——这实际上已经体现在刑法的“非法获取公民个人信息罪”以及《侵权责任法》的原则性规定中，是一种比较直观和简单的立法技术。而对于“经过用户同意的获取”这一类别，则有很多有意思的文章可以做。

    对于很多网站而言，取得用户的“同意”是通过“用户注册使用协议”之类的格式合同来实现的。于是，在缺乏政府管制的情况下，网站当然会把用户的“同意”范围扩展到无限大，免得日后限制自己的行为空间。这是其一。此外，用户在初次同意之后，在使用过程中，应当拥有“改主意”的权利，可以改变提供其信息的范围，也可以决定拒绝让网站继续使用其先前提供的个人信息。这种情况在订阅邮件列表的时候比较典型:邮件的发送者应当给予接收者随时退订的权利。这个层次的个人信息保护，可以用“收集限制原则”来加以概括。

    第二个层次是个人信息的利用。即使是对于合法获取(亦即经过用户同意)的个人信息，网站应当仅仅有权应用于事前约定的有限目的，亦即所谓的“目的明确原则”和“使用限制原则”。一般而言，网站收集个人信息，目的无外乎:第一，提供约定的网络服务，并且改善质量和提高效率;第二，自行利用进行更具针对性的业务发展和市场推广;第三，对外进行数据的商业交易。

    从用户的角度而言，第一种目的是符合其自身预期和利益的，一般会抱有欢迎的态度。对于第二种目的，就可能有一部分用户感到受到预期之外的骚扰，例如收到来自网站不请自来的促销邮件，会有私人空间安宁受到干扰的感觉，但对部分用户来说也可能尚可忍受。而对于第三种目的，就是典型的侵犯用户隐私权的体现，除非事先取得了用户的明示许可。

    对于这三种目的的使用，应当采用不同的管制方法。前两种情况可以主要通过对于格式合同的管制来实现，但其中对于第二种目的的使用应当重点关注。而第三种情况应当通过强制性的规定予以禁止。不过，对于个人信息的商业交易而言，实践中的一大难题是难以监控从而难以认定。对于用户而言，能够知晓的只是自己的个人信息被泄露的结果，但是无法了解泄露的源头。对这一执法难题，或者可以通过第三方机构的专业运作来寻求解决之道，这一点在下一部分再仔细讨论。

    第三个层次是个人信息的维护。与这个层次对应的，是网站的“安全保障义务”或者“安全保障原则”。在这里，网站并非主动交易个人数据的“小人”，而是疏忽大意的“君子”，可能本身也是数据泄漏的受害者。但是，权利更多则责任更大，政府通过管制政策，对于网站赋予较高的“安全保障义务”，要求其从技术上和规则上采取措施，是一种防患于未然的有效的管制措施。相对于寻找那些窃取数据的“来无影去无踪”的直接元凶，这种策略的社会成本明显要低得多。

    市场与政府之间的钢丝绳

    网络隐私的政府管理，与所有其他管制政策一样，要面对管理的合法性和合理性的追问。换句话说，如果网络隐私是互联网服务市场这只“无形的手”自身能够解决好的问题的话，或许就只需要政府来监管，而不是直接插手了。事实上，对于这个问题的回答恐怕也已经达成了共识:很明显，仅靠互联网江湖自身的江湖规矩，这个问题不仅解决不好，而且仿佛有越闹越大之势。

    究其原因，恐怕还是出在信息不对称这个问题上。市场这只“无形的手”的运作原理在于，消费者可以通过对于商品和服务的自由比较，选择最有利于他们的结果，从而使得竞争朝着社会效益最大化的方向去发展。但是在互联网上，尤其是涉及到个人信息利用的领域，在越来越复杂的代码世界中，消费者作为势单力薄的个人，无法辨别谁在收集自己的信息，如何收集自己的信息，更无法知晓是谁卖掉了自己的信息，是谁滥用了自己的信息。消费者的雾里看花，导致了服务商的“劣币驱逐良币”:越是努力保护用户个人信息的商人，面临的成本就越高，却无法取得消费者相应的认可，就越会在竞争中处于劣势。

    这种情形可以称为典型的“市场失灵”。但并非所有的具体管理政策都必然具有合理性，当然也不必然具有可行性。在笔者看来，政府采取的管理政策，依然要遵循对症下药的原则，直接针对“信息不对称”这个问题，从个人信息管制的三个层面入手，为市场建立促使信息充分披露的“基础设施”。具体而言，这些“基础设施”包括第三方专业认证机构的建设、网站使用格式合同的管制、投诉与纠纷解决机制的有效运行等等。也就是说，政府并不是要直接干预市场，而是用“钢丝绳”把政府管理政策与市场运行机制对接起来，为市场运作提供重要的支撑机制。接下来分别简要分析。

    在个人信息的获取和利用方面，消费者和网站服务商都处于严重的信息不对称状况，消费者无从辨认哪些是诚信获取、利用、维护个人信息的好商人，哪些不是。而这个任务如果要转由政府来承担，无论从财政和专业性的角度而言，都并不合适，也不现实。第三方专业认证机构作为市场主体的一种，通过专业的技术和监控能力来提供专业的识别信息，对于诚信经营的网站给予相应的认证，而对于非法获取、交易个人信息的行为给予披露和公开，这就为市场的良性运作提供了非常重要的信息和信号。第三方机构的中立性和专业性正是其安身立命之所在，与此同时，政府通过对这些机构的监管，来间接实现对于网络隐私保护三个层次的管制，这比政府直接监管更加可行和有效。

    政府监管的第二个角度，是对于网站与用户之间的格式合同条款的监管。前文提到的三个层次，在没有政府监管的情况下，都会在网站使用格式合同的条款中出现，并且一般都是以扩大了网站自身的权利、免除其责任，而限制用户权利的形式出现的。

    由于网站与用户之间的订约地位并不真正平等，尤其是对于那些占有实质性市场份额的网络服务商，再加上实践中用户在注册的时候很少认真阅读这些格式合同，这些都导致了网站倾向于在其中无限制地扩大自己的权利、限制自己的责任，给自己对个人信息的获取和利用披上了“用户同意”的外衣。政府需要通过对格式合同的管理，来树立一种新的平衡。例如政府可以通过组织编写涉及个人信息获取、利用与维持的格式合同条款的模板，如果有网站并未采用模板的条款，则需要对用户作出特别提示，并说明理由。政府还可以要求各网站主动将其格式合同报送政府部门或者第三方机构备案等措施，通过对合同的管理，实现对网站和用户之间信息不对称格局的间接调整。

    如果说第三方机构的建设和格式合同的管理，是防患于未然的管理政策的话，建立便捷、有效的投诉和纠纷解决机制，则是事后的救济途径。这个机制实质上是将监控和管理的权力分散到具体的每个潜在受害者手中，这种比司法程序更加快捷、更加专业的纠纷解决机制，可能可以成为解决互联网管理整体困局的一个很好的思路。

    就《征求意见稿》本身的落实来说，工信部作为互联网信息服务行业主管部门，从专业和资源的角度来说，其效果是值得期待的。对于网络隐私保护这样具有很强的技术性和专业性的领域，笔者认为部门规章相比于法律和行政法规而言，更具有现实的针对性和可操作性，但另一方面，互联网信息服务市场又是一个典型的多头管理的领域，《征求意见稿》也考虑到了与其他相关主管部门“联动管理”的必要性，但是这种联动管理如何能够不成为互联网信息服务企业的负担，也是一个需要认真关心的问题。