中国个人信息保护规则及图情大数据风险防控

早在2003年，中国政府已经关注到个人信息保护的重要性，当时的国务院信息化办公室正式部署了立法研究工作。2005年，相关学者完成了《个人信息保护法（专家建议稿）》。之后，尽管在中央、国务院等文件中也偶见关于加快个人信息法律建设的部署；每年两会期间，关于个人信息保护立法的人大建议、政协提案也屡见不鲜，但该建议稿并没有进入正式的立法程序。

尽管缺乏法律支撑，但中国目前在保护个人信息方面仍有一套规则。2012年，全国人大常委会发布了《关于加强网络信息保护的决定》，要求企业特别是互联网服务提供商在十条原则下保护中国公民、法人和其他组织的个人信息合法权益。在这一决定之后，中国逐步形成了分散的部门个人信息保护立法制度，国务院各部委如工业和信息化部、原国家工商行政管理总局、原国家卫生和计划生育委员会和中国人民银行等，在过去几年中分别在自己的行政权力下发布个人保护规则，包括《电信和互联网用户个人信息保护规定》、《消费者权益保护法》（第十四条、第二十九条、第五十条、第五十六条）、《人口健康信息管理办法（试行）》、《征信业管理条例》等。在某些情况下，这些规则还存在一定的重叠。在没有统一法律定义的情况下，“个人信息”是根据各特定行业的规则定义的，通常是指与个人有关的信息，单独或与其他信息相结合可用于识别个人。所有这些法规和规则都确定了处理个人信息的一些基本原则，例如个人信息收集应遵循合法性、适当性和必要性的原则，并应取得相关个人的同意。由全国人大常委会2016年11月7日发布，自2017年6月1日起施行的《网络安全法》具有里程碑意义，其中补充了若干个人信息保护条款，例如个人的隐私权受到侵犯，个人可以提起民事诉讼，根据法律法规寻求救济；还比如出售个人信息或非法获取个人信息可能构成刑事犯罪。

中国分散化的个人信息保护制度也体现在图情领域。2018年实施的《公共图书馆法》第四十三条明确了“公共图书馆应当妥善保护读者的个人信息、借阅信息以及其他可能涉及读者隐私的信息，不得出售或者以其他方式非法向他人提供”。中国图情界已经意识到图情大数据风险防控的重要性。(www.xing528.com)

但与发达国家相比，中国在大数据环境下对个人数据或隐私保护的立法迟迟没有进入正式的立法程序，推进情况也显得扑朔迷离；而在政府各部门分散性的政策层面，也只是原则性、宣誓性条款，并没有对实践产生直接影响。