个人信息保护立法 企业泄露个人信息会受到法律惩罚

根据中国人大网10日公布的《十三届全国人大常委会立法规划》，69件法律草案列入第一类项目，即条件比较成熟、任期内拟提请审议。其中，个人信息保护法是第61个项目，这意味着个人信息保护立法提上日程，企业泄露个人信息会受到法律惩罚。

个人信息泄露后果严重

8月28日，一张“华住旗下酒店开房数据”的截图在网上疯转。信息显示，此次数据泄露几乎涉及华住旗下所有酒店的用户数据，共计约5亿条公民个人信息。

当天下午，华住集团发表声明称，已在第一时间报警，公安机关正在开展调查，且已聘请专业技术公司对网上兜售的“相关个人信息”是否来源于华住集团进行核实。与此同时，华住也在内部迅速开展核查，确保客人信息安全。

华住酒店集团的“疑似信息泄露”事件，再次刺痛了社会公众“个人信息保护”这根神经。

在互联网时代，由于信息的可复制性，个人信息在泄露后几乎没有可能再被全部追回。现实中，人们往往不知道自己的信息在何时以怎样的方式被泄露，也无法预知信息泄露会导致怎样的伤害，正因如此，每次个人信息泄露的大事件，都让人们有一种危及自身的危机感和不知所措的无力感。

从民法角度探讨个人信息保护立法

民法总则第一百一十一条规定，“自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息”。

民法处理人与人之间的人身和财产关系，和个人信息相关的也不外乎人身和财产关系。把个人信息单独作为一种权利客体，会冲击现行民事权利保护体系。

如果将个人信息权类型化并赋予它类似于所有权的权能，包括占有、使用、收益和处分，实际上和现实并不相符，因为有相当部分的个人信息允许企业采集、使用，收集和分析。

个人信息本身具有很高的经济和社会价值，互联网产业、数据产业发展都有赖于此，只是必须在投资激励和人格权保护之间取得平衡。有的个人信息公开后个人无权要求删除，比如生效判决书依法上网公布，除了法定情形个人不能要求法院删除。

在个人信息上设定类似于所有权的绝对权，可行性微乎其微。即使将个人信息权类型化，这种权利也不可能像物权、知识产权一样成为全面的绝对权，而是一种基于政策考量和利益衡量并经特别制度设计的民事权利，目的是确保自然人利益受到侵害后有救济手段，如此则通过侵权法即可实现。

社会实践中，关于个人信息的采集和使用已经形成综合性的法律关系，民事、行政、刑事问题交织在一起，必须进行分解处理：事前、事中应该以行政管理、自我管理为主，从源头上治理；事后以民事救济、刑事保护为主，主要以诉讼的方式进行。