格格党

手机浏览器扫描二维码访问

二隐私泄露与保护措施（第3页）

第二十一条国家实行网络安全等级保护制度。

网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：

（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；

（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；

（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；

（四）采取数据分类、重要数据备份和加密等措施；

第二十二条网络产品、服务应当符合相关国家标准的强制性要求。

网络产品、服务的提供者不得设置恶意程序；发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。

网络产品、服务的提供者应当为其产品、服务持续提供安全维护；在规定或者当事人约定的期限内，不得终止提供安全维护。

网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。

第四十二条网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。

但是，经过处理无法识别特定个人且不能复原的除外。

网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。

在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。

根据《中华人民共和国网络安全法》的规定，违反上述三条法规的，根据情节严重程度，有可能被处以罚款、没收违法所得、暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照等处罚措施。

但这些法律条文流于宽泛，把个人信息安全问题完全归结于网络，也不尽合适。

自由裁量权太大，对于恶意泄露个人（或法人）隐私行为，起不到震慑作用，更难以应对人工智能环境下的隐私危机。

目前，我国公安和司法机关打击违法犯罪活动的主要依据，是刑法中的侵犯公民个人信息罪。

刑法打击犯罪卓有成效，但受害者仍很难得到有效的法律救济。

要厘清个人信息在民事、刑事、行政范围内的界限，建议《民法总则》和其他民事规范进一步明晰侵害个人信息的民事责任。

对于不宜入刑的侵害个人信息的行为，应当明确行政责任，由行政机关对相关企业和负责人进行行政处罚。

某种程度上来说，正是对于个人隐私保护尺度的宽松，促使了中国类似百度之类的互联网企业迅速发展，构成了互联网发展的隐性成本。

相比之下，经过欧盟议会四年讨论，2018年5月25日开始实施的欧盟的《一般数据保护条例》（GeaPrulation，简称GDPR）实施，就具体严格得多，它分十大部分九十九个具体条款。

我们在此把关键内容汇总如下：

适用范围：

（1）GDPR适用于在欧盟境内设有业务机构（establishment）的组织，只要这些组织在业务机构在欧盟境内的活动中处理个人数据（而不论此类处理行为是否实际发生在欧盟境内）。

（2）如某一组织虽不在欧盟境内设立业务机构，但却处理欧盟境内个人的个人数据，并且此类处理行为与向欧盟境内个人提供商品或服务相关，无论该等商品或服务是否收费，则也应当适用GDPR。

如果非欧盟组织机构意图向欧盟境内个人提供商品或服务，则其将被视为在欧盟境内提供商品或服务。

（3）GDPR适用于非欧盟组织处理欧盟境内个人的个人数据，只要此类处理行为涉及对这些个人的行为进行监控，且该处理行为发生在欧盟。

GDPR强调了“同意”

的重要性。

“同意”

是处理个人数据的六项法律依据之一，在没有法律依据的情况下处理个人数据是不被允许的。

GDPR也规定，“同意”

是数据处理的法律基础。

GDPR的多个部分都提到了同意机制。

“同意”