政府主导：从管理到治理，信息隐私保护制度研究的困境与重建

政府作为公共事务的管理者，在整个信息社会治理体系中发挥着主导作用。就信息隐私保护而言，政府在聚合资源、协调关系以及采取具体措施方面都具有灵活、高效的优势。在互联网领域，资格许可、内容监管是两种基本的政府管理方式，一直以来发挥着重要的作用。但是，随着移动应用、平台化的发展，线上线下一体化的趋势日益明显，这些传统的管理方式已经无法完全满足在新环境中维护信息传播秩序的需要。于是出现了网络实名制、平台主体责任等制度创设。多维度、多层次的制度探索，体现出政府对包括信息隐私保护在内的整个网络管理理念正在从单纯管制发展为全面治理。

与单纯的管理、管制不同，全面治理意味着除了进行以防范控制为目的的行政管理之外，政府还需要为公民基本自由的实现提供条件，这属于柏林的两种自由理论中的积极自由。其中所要具备的条件包括网络安全基础设施建设、协调各方主体利益、整合各种社会资源，以及明确信息传播活动的合法标准等。

美国社会批评家杰里米·里夫金将“确保普遍性的接入”视作“为人类的社会性打开了一道发展之门”。^[1]这里的“接入”就是指人们对网络的接入自由，其实质上是所有社会成员通过互联网参与社会交往的基本自由。在我国，这种接入自由也体现在“互联网+”这一最高行动计划中。“互联网+”要求充分发挥互联网在生产要素配置中的优化和集成作用，将互联网的创新成果深度融合于社会经济的各领域之中。事实上，互联网也正在成为经济、政治、社会、文化等各个领域发展的基础设施和实现工具。而接入自由，也就是使用互联网的自由，就成为人们进行日常生产生活所需的基本自由。

然而，在互联网上，影响接入自由实现的因素是复杂多样的。个人信息的滥用、信息隐私受到侵犯就是这些影响因素的重要体现。人们在接入互联网、使用互联网的时候，会产生大量的个人信息，这些信息集中到网上之后，就成为隐私泄露的隐患。比如，“人肉搜索”对个人隐私的肆意践踏、情报监控对私人领域的现实威胁、个人信息泄露导致的惨重损失等。这些都严重影响到接入自由的正常行使。

互联网信息运动的特点使资产阶级消极自由观的局限性表现得更加明显。网络环境中的各种乱象，要求政府这个主导力量在治理过程中发挥更大的作用。与资产阶级民主理论片面强调“不受限制”的消极自由不同，马克思主义自由观立足于无产阶级的立场，将自由的内涵发展至积极自由的层面。马克思主义自由观除了对人类自由平等的思想怀有深深的敬意之外，还十分强调作为“自由实现条件”的积极自由，这实际上涉及自由实现的具体方式。为公民接入自由的充分实现提供具体方式和条件，是政府职责的题中之义。

互联网的环境特点对政府的职责贡献和行政效率都提出了更高的要求。既然为公民基本自由的实现提供现实条件是政府职责的题中之义，那么政府的“有所为”就应该是紧贴实践中所反映出来的问题。

安全一直是人类社会所追求的核心价值之一。在洛克的政府理论里，防御外敌保证安全是政府产生的一个重要原因。在当代，安全仍然是社会发展的基本保障，网络安全是其中重要的组成部分。

从各国的行动来看，网络安全已经成为政府高度重视的领域。欧盟委员会主席在2017年9月13日的演讲中表示，欧盟将推出网络安全一揽子方案，该方案旨在加强欧盟应对网络攻击的能力，提升欧盟的网络安全防御和应对能力。该方案的内容主要包括：一是成立欧盟网络安全机构，通过组织一年一度的泛欧网络安全演习以及建立信息共享和分析中心，更好地分享威胁情报，从而改善欧盟的网络攻击应对能力。二是计划设立网络安全研究和能力中心，并与各成员国合作，开发与推出新的工具和技术，以应对不断变化的外部威胁，确保欧盟的网络防御系统的先进性。三是计划为成员国提供新的网络安全应急基金，支持那些执行欧盟法律所规定的网络安全措施的成员国。四是鼓励成员国在常设组织合作和欧洲防务基金的框架内支持网络防御项目，并建立网络防御训练和教育平台等。我们从中可以看出，机构设立、技术开发、资金筹措和宣传教育，都是在政府主导下所采取的措施。(www.xing528.com)

2017年10月10日，澳大利亚总检察署发布《关键基础设施安全法草案2017》（Security of Critical Infrastructure Bill 2017），旨在加强澳大利亚政府对于外商投资关键基础设施业务所产生的间谍、破坏和胁迫等行为的国家安全风险的管理能力。与该草案一同发布的还有《关键信息基础设施安全规则草案2017》以及《关键基础设施安全法草案2017说明》两个文件。草案规定了关键基础设施资产的认定方式：除了法律明文规定之外，还有部长宣告以及部长制定法律规则的方式。^[2]另外，草案还规定了关键基础设施资产登记册制度，主要记录该关键基础设施资产所有者和控制者的详细信息，而登记册由大臣负责管理。可见，许可认定、登记注册也是需要政府主导的。

在我国，《网络安全法》的出台，标志着我们在网络安全领域首次有了系统化的制度安排。其中，由政府主导的主要包括网络安全的基础设施建设、各种安全标准的制定、安全宣传与教育，以及对网络运营商的相关活动进行安全评估和监督处罚等，这些都同国际上的主流做法基本一致。

值得指出的是，近年来我国的执法力度和执法效率都有较为明显的提高。例如，《网络安全法》规定了网络安全等级保护制度，要求网络运营者按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。2017年9月28日，淮南市网络与信息安全信息通报中心接到国家网络与信息安全信息通报中心通报：淮南职业技术学院系统存在高危漏洞，系统存储的4 000余名学生身份信息已经泄露。经查，确认淮南职业技术学院招生信息管理系统存在越权漏洞，后台登录密码为弱口令，学院未落实网络安全管理制度，未建立网络安全防护技术措施、网络日志留存少于六个月，未采取数据分类、重要数据备份和加密措施，致使系统存储的4 353名学生的身份信息遭泄露。10月12日，安徽省淮南市网警巡查执法官方微博发布通报称，关于淮南职业技术学院未落实网络安全等级保护制度，导致4 000余名学生身份信息泄露一事，淮南市公安局网安支队依法对该学院处以立即整改和行政警告的处罚。

但是，国际之间仍然存在着激烈的竞争和较量。《网络安全法》第三十七条规定的个人信息和重要数据跨境安全评估制度可谓该法案中的一个亮点，这同时也是我国网信安全领域的一项重要举措。但是，2017年9月25日，美国代表团向WTO贸易服务委员会提交了议题议程，以表达其对中国已经采用和正在发展中的诸多网络措施的关注。其重点就是针对中国《网络安全法》第三十七条所规定的数据跨境安全评估制度。在该份文件中，美国认为这项措施会严重阻碍数据自由流动，对外国供应商产生不利影响。为此，美国希望中国在相关事宜未解决之前，暂缓发布和实施有关数据跨境安全评估的最终措施。

海量、隐蔽、难控制是互联网信息传播活动所具有的三个重要特点。以论坛为例，在随时产生的信息中，有正当的言论表达，也夹杂着部分对个人信息的滥用，但其中的信息数量庞大，前面的信息很快被后来的信息所掩盖，以致没有人能够随时发现所有信息被滥用的情况。这些被随意发布的个人信息却长期存留在网络上，一旦被人通过搜索引擎发现或传播，便会引发广泛而难以控制的影响。

面对这种情况，信息官制度在一些国家或地区的个人信息立法中已有明确的规定。“西欧是资料保护的发源地和创新中心，它不仅拉开了资料保护专门和全面立法的序幕，还开创并构建起以资料保护机构为主导的资料保护执行模式。”^[3]比如，英国早在《1984年数据保护法》中就建立了数据保护登记办公室，又在《1998年数据保护法》中将其更名为数据保护专员办公室，设立了“专员”岗位。这里的专员由女皇以颁发专利特许证的方式任命，行使登记、向公众提供信息查询以及对公开信息是否违法的评估等职权。具有地区指导性的欧盟95指令在第六章明确规定成员国应当设立公共机构来监督该指令的适用情况，这里的监管机构享有调查权、有效干涉权和参与诉讼权；同时，该指令还提出了工作组制度，工作组由各成员国指定的一名代表、为共同体相关机关和组织而设立的一名代表，以及欧盟委员会的一名代表组成，负责检查指令适用过程中的问题，对保护水平提出意见或对保护措施提出建议，以及对共同体行为守则提出建议。这里的工作组实际上是由三名来自不同层面的信息官组成的，从职能上看信息官本身也是一种公共机构。选择建立信息官制度，而非设立一个以个人信息保护为名的专门机构的原因在于，信息官（无论是一人还是单数的数人），较之于庞大的机构而言，在行政效率、责任追踪上具有明显优势。

需要说明的是，欧洲地区的信息官制度要求信息处理主体事先向信息官报告信息处理计划，由信息官登记后才能处理。这种过于保守的政策取向已经难以适应当前快速发展的互联网信息传播的实际。较为理想的信息官制度应该是以事中检查和事后协调为主，尽量避免无端增加事前审查的环节，更多地发挥登记、咨询及执法情况监督等服务性功能，在发生争议时能够准确、快速地提供资料和信息，同时便利公众对信息利用情况的查询。这也是政府干预方式从单纯管理走向全面治理的一种要求。