完善个人信息保护法律制度十分必要

在互联网应用和大数据技术快速发展的今天，个人信息的价值愈加显现，收集、处理、挖掘、利用、传输个人信息数据的现象日益频繁。信息在互联网和大数据时代已经成为与资本一样重要的战略资源，信息就是资产，信息就是财富。随着大数据技术的广泛应用，信息的生成、留存和传输加便捷，信息开发、处理和利用的价值加凸显。在享受信息技术进步带来的福利和财富的同时，信息泄露、信息不对称等风险加剧，带来很多现实问题。
根据《民法总则》《消费者权益保护法》《网络安全法》等法律的规定，公民的个人信息受法律保护。但很多情况下，公民对于自身的个人信息被收集、使用的情况并不知晓，*维权困难，民事索赔较难发起。加强对消费者个人信息权的行政保护可以弥补民事救济的不足。工商和市场监管部门加大查处违法收集、使用消费者个人信息行为的力度很有必要。

违法集中在两个方面
在日常经营活动中，不少经营者随意收集、擅自使用、违规披露消费者的个人信息，严重损害了广大人民群众的生活安宁和人身财产安全。经营者往往通过各种形式引诱消费者提供姓名、联系电话、住址和身份证号码等个人信息，进而直接向消费者进行商业推广或提供给其他有营销需求的经营者使用。具体来看，其中的违法环节主要集中在两个方面。
一是在未向消费者明示收集、使用信息的目的、方式和范围，也未经消费者同意的情况下收集有关个人信息。如本案中，当事人收集业主姓名及共有人姓名、联系电话、具体房号等消费者个人信息的行为，违反了《消费者权益保护法》*二十九条**款“经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息”的规定。
二是未经消费者同意将收集的消费者个人信息非法向他人提供。这既包括未经消费者同意将合法收集的消费者个人信息非法向他人提供的情形，也包括未经消费者同意将非法收集的消费者个人信息向他人提供的情形。此类行为一般违反《消费者权益保护法》*二十九条*二款“经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供”的规定。

保护力度进一步加大
明确加强对消费者个人信息的保护，是《消费者权益保护法》2013年修正的一大亮点。修改后的《消费者权益保护法》既确立了消费者个人信息的合法收集、使用规则，也设定了对侵犯消费者个人信息权益行为的行政责任。经营者侵害消费者个人信息依法得到保护的权利的，除承担相应的民事责任外，其他有关法律、法规对处罚机关和处罚方式有规定的，依照法律、法规的规定执行；法律、法规未作规定的，由工商行政管理部门或者其他有关行政部门责令改正，可以根据情节单处或者并处警告、没收违法所得、处以违法所得一倍以上十倍以下的罚款，没有违法所得的，处以五十万元以下的罚款；情节严重的，责令停业整顿、吊销营业执照。
在侵犯消费者个人信息保护权益的绝大多数案件中，违法经营者因收集、使用消费者个人信息一般不直接产生违法所得或无法计算（如认定本案“违法所得无法计算”），所以相关行政处罚案件中除了责令当事人改正违法行为外，多适用法定处罚（较高）金额以下的罚款。本案中，南宁市工商局对当事人作出从轻处罚。

完善相关法律及制度
分析本案可以看出，在消费者个人信息保护方面，工商和市场监管部门虽积累了一些经验，但在进一步加强对消费者个人信息的行政保护方面，相关立法和制度设计还待完善。
《消费者权益保护法》只规定了法定处罚的较高金额是50万元，对于具体适用情节和裁量基准没有具体规定，不利于执法人员把握相应的处罚幅度。笔者建议，有关部门在未来执法中应研究制定具有可操作性的行政处罚裁量规则，各地也可根据实际细化行政处罚裁量标准。《山东省工商行政管理系统行政处罚裁量参考基准》针对不同的违法行为详细规定处罚内容，可为各地完善行政处罚裁量标准提供参考。
此外，《消费者权益保护法》设定的行政处罚只针对侵犯消费者个人信息的经营者，未对有关主管人员或直接责任人员另行设定独立的行政责任，不利于落实有关人员的主体责任。笔者建议，立法部门可以参考《网络安全法》*六十四条规定的针对网络运营者、网络产品或者服务的提供者违法侵犯个人信息依法得到保护的权利的情形，在《消费者权益保护法》中增设对一般违法经营者的主管人员和其他直接责任人员作出行政处罚的条款。