個人信息保護與數據治理：真正的消費者權利、安全例外與執法缺口

完整性標籤： 官方政策 / 執法與監測數據 / 外部視角 / 當前FCM治理替代方案

政策問題

中國的《個人信息保護法》於2021年8月20日由全國人民代表大會常務委員會通過，2021年11月1日起施行，賦予個人對企業收集和使用其個人數據的可執行權利——知情同意、目的限制，以及知情權、刪除權和數據可攜權。該法與《網絡安全法》（2017年）和《數據安全法》（2021年9月1日施行）一起，構成了全球針對商業主體最嚴格的數據監管框架之一。治理上的問題在於：普通公民在面對國家機關過度收集數據時，是否享有同等的保護；以及執法是否足夠透明和一致，使法律具有可預期的含義。

政策值得肯定的部分

從文本上看，這部法律確實具有消費者保護性，這一點值得公允肯定。其以同意為基礎的模式、明確禁止超出最小必要範圍的「過度」收集、敏感個人信息規則（生物識別、健康、金融及未成年人數據）、對境外處理中國境內居民個人信息的域外適用，以及數據跨境傳輸的通道——安全評估、標準合同、認證——與可比框架相當，在某些方面甚至更為嚴格。2024年3月國家網信辦發布的《促進和規範數據跨境流動規定》也體現了監管上的學習：提高了數量門檻（觸發強制安全評估為100萬人；10萬至100萬人適用標準合同路徑），豁免了不含個人信息或重要數據的普通貿易和學術數據，並賦予自由貿易試驗區負面清單的自主裁量權——減輕了中小企業的合規負擔。

證據顯示的情況

執法是真實的，但集中且不透明。標誌性案件仍是2022年7月21日網信辦對滴滴全球（Didi Global）的處罰：對公司罰款80.26億元，對董事長和總裁各罰款100萬元，認定存在16類違法情形，包括過度收集人臉識別數據、剪貼板內容、相冊截圖，以及以明文存儲的司機身份證號碼。此後，應用監管部門已責令多批應用下架或整改——據法律界分析，據稱法律生效後幾天內就有106款應用被下架。這些數據並非對全國企業合規情況的代表性調查，不應用於宣稱全國性的違規率；它們是選擇性、高曝光執法的證據，而非系統性監管的證據。

結構性不對稱就寫在制度架構本身之中。《個人信息保護法》用專章規範國家機關處理個人信息，但國家機關的數據收集通過平行的國家安全制度運行——網絡安全審查、數據安全審查——其範圍和結果很少公開。「重要數據」的邊界由主管部門逐案劃定，而非依據已公布的目錄。目前沒有統一公開的執法決定登記冊，公民和企業難以看清規則在實踐中如何適用。

FCM歷史記錄

尚未核實自由中國運動（FCM）在2021年《個人信息保護法》或2021年《數據安全法》通過時發表過同期立場。以下建議是當前的治理提案，不作倒填歷史處理。

FCM治理替代方案

第三共和國的數據治理體系應當保護公民免受一切過度的數據收集者——無論公私——的侵害。具體而言：（1）公布「重要數據」的法定定義和示例性目錄，在作出認定前經過公開徵求意見程序，以取代逐案行政通知的做法。（2）要求國家機關獲取個人信息須經司法令狀或同等的獨立授權，並公布申請、批准與駁回的匯總統計。（3）建立統一的公開執法登記冊——可檢索，必要時匿名化——記錄每一項行政處罰、其法律依據和責令採取的補救措施，由監管部門按季度更新。（4）設立獨立的數據保護委員會，有權調查商業和國家兩類數據處理者，每年向立法機關報告，並有權強制證人作證。（5）將最小必要收集規定為國家機關的法定義務，個人對國家機關享有與對企業相同的刪除權和查閱權。