个人信息保护与数据治理：真正的消费者权利、安全例外与执法缺口

完整性标签： 官方政策 / 执法与监测数据 / 外部视角 / 当前FCM治理替代方案

政策问题

中国的《个人信息保护法》于2021年8月20日由全国人民代表大会常务委员会通过，2021年11月1日起施行，赋予个人对企业收集和使用其个人数据的可执行权利——知情同意、目的限制，以及知情权、删除权和数据可携权。该法与《网络安全法》（2017年）和《数据安全法》（2021年9月1日施行）一起，构成了全球针对商业主体最严格的数据监管框架之一。治理上的问题在于：普通公民在面对国家机关过度收集数据时，是否享有同等的保护；以及执法是否足够透明和一致，使法律具有可预期的含义。

政策值得肯定的部分

从文本上看，这部法律确实具有消费者保护性，这一点值得公允肯定。其以同意为基础的模式、明确禁止超出最小必要范围的”过度”收集、敏感个人信息规则（生物识别、健康、金融及未成年人数据）、对境外处理中国境内居民个人信息的域外适用，以及数据跨境传输的通道——安全评估、标准合同、认证——与可比框架相当，在某些方面甚至更为严格。2024年3月国家网信办发布的《促进和规范数据跨境流动规定》也体现了监管上的学习：提高了数量门槛（触发强制安全评估为100万人；10万至100万人适用标准合同路径），豁免了不含个人信息或重要数据的普通贸易和学术数据，并赋予自由贸易试验区负面清单的自主裁量权——减轻了中小企业的合规负担。

证据显示的情况

执法是真实的，但集中且不透明。标志性案件仍是2022年7月21日网信办对滴滴全球（Didi Global）的处罚：对公司罚款80.26亿元，对董事长和总裁各罚款100万元，认定存在16类违法情形，包括过度收集人脸识别数据、剪贴板内容、相册截图，以及以明文存储的司机身份证号码。此后，应用监管部门已责令多批应用下架或整改——据法律界分析，据称法律生效后几天内就有106款应用被下架。这些数据并非对全国企业合规情况的代表性调查，不应用于宣称全国性的违规率；它们是选择性、高曝光执法的证据，而非系统性监管的证据。

结构性不对称就写在制度架构本身之中。《个人信息保护法》用专章规范国家机关处理个人信息，但国家机关的数据收集通过平行的国家安全制度运行——网络安全审查、数据安全审查——其范围和结果很少公开。”重要数据”的边界由主管部门逐案划定，而非依据已公布的目录。目前没有统一公开的执法决定登记册，公民和企业难以看清规则在实践中如何适用。

FCM历史记录

尚未核实自由中国运动（FCM）在2021年《个人信息保护法》或2021年《数据安全法》通过时发表过同期立场。以下建议是当前的治理提案，不作倒填历史处理。

FCM治理替代方案

第三共和国的数据治理体系应当保护公民免受一切过度的数据收集者——无论公私——的侵害。具体而言：（1）公布”重要数据”的法定定义和示例性目录，在作出认定前经过公开征求意见程序，以取代逐案行政通知的做法。（2）要求国家机关获取个人信息须经司法令状或同等的独立授权，并公布申请、批准与驳回的汇总统计。（3）建立统一的公开执法登记册——可检索，必要时匿名化——记录每一项行政处罚、其法律依据和责令采取的补救措施，由监管部门按季度更新。（4）设立独立的数据保护委员会，有权调查商业和国家两类数据处理者，每年向立法机关报告，并有权强制证人作证。（5）将最小必要收集规定为国家机关的法定义务，个人对国家机关享有与对企业相同的删除权和查阅权。