个人信息保护法未列入2018年立法计划，核心学者分析背后原因

北京师范大学法学院教授、亚太网络法律研究中心主任刘德良：立法首先要搞清楚背后的理论问题，如果贸然为立法而立法，会严重脱离实际。对于一般的个人信息而言，收集和公开本身并不会造成损害。造成损害的往往是后续的滥用行为，但现在的立法忽视了对滥用行为的有效规制。比如，在涉及到诸如垃圾信息、骚扰电话、身份假冒和滥用等最为突出的个人信息或数据滥用问题上，我国严重缺乏有效的法律规范。         

正是由于这种立法缺失，导致人们将个人信息或数据的滥用问题，归咎于所谓的个人信息泄露甚至个人信息公开，并把解决问题的希望寄托在确保个人信息的安全上。立法应对滥行为进行有效规制，而不是不加区分地对所有个人信息或数据要求“保密”和收集上的“合规”，不切实际地要求安全。        

个人信息保护法会规范数字经济发展：

《个人信息保护法》专家建议稿起草人、中国人民大学法学院教授张新宝：信息产业的诸多问题不是一个法律能完全解决的。个人信息法规定的肯定只是基础性原则，不可能面面俱到。但有了原则，至少很多事情不会走偏。如果最开始没有这样的基础性原则，政府可能会管得太严，束缚产业的发展，也可能管得太宽松，使得企业为所欲为。

中国信息安全研究院副院长左晓栋：这里可以打个比方，任何汽车都有油门和刹车，我们买汽车是为了开车，刹车却是为了减速，然而不会有人说一辆汽车只要油门就够了。没有规范的互联网发展与失控的汽车没有两样。对互联网企业进行规范的目的，是为了使其更好发展，无论是在国内还是国外，规范管理与加快发展都不构成矛盾。靠非法收集和买卖个人信息变现，这样的企业其负面意义大于正面价值。如果将来有些企业会受到影响，那么这些企业本身的发展路径就是有问题的。         

北京大学法学院教授张平：在过分侧重人格化的欧洲保护模式以及强调个人信息商业化利用的美国模式之间，我国在立法取向上应当综合借鉴。《网络安全法》中的个人信息保护条款应该是相关法律里面最全面和具体的，今后个人信息保护将更多适用这部法律。但是《网络安全法》启动立法的时候，还没有把迅速发展的大数据和人工智能纳入考虑范围。所以，《网络安全法》也存在细化空间，应当配合当前的新技术和商业模式的发展，及时进行下位法的解释。其中一些条款需要做细化的、有可操作性的司法解释、操作指南、技术标准，否则企业会很茫然。

北京师范大学法学院教授、亚太网络法律研究中心主任刘德良：我国现在的主流观点和已有的法律规章，借鉴了欧盟的模式，但混同了个人数据和个人信息。欧盟立法讲个人数据，把个人数据等同于个人隐私，强调保密和安全，强调个人对数据的控制。但个人信息和个人数据需要区分。个人信息强调的是直接识别性，个人数据不一定能够直接或单独识别出特定自然人。         

欧盟强调数据控制的模式在我国不仅难以实施，还会阻碍大数据产业和人工智能的发展。控制信息的成本和信息传播的成本是呈反比的，在网络时代，信息传播的成本非常低，几乎可忽略不计，反过来，控制的成本几乎无穷大，技术上难以实现。大数据的发展离不开与个人有关的数据，如果以此为背景，在立法上讲求个人对数据的控制，大数据和人工智能将无法发展。

全国人大宪法和法律委员会委员、中国社会科学院法学研究所研究员孙宪忠：建立《个人信息保护法》的基本出发点，一是从源头保护做起，从信息获得的源头建立制度，二是采取综合手段保护，以行政法规则、民法规则和刑法规则相结合的综合治理的方式来建立信息保护制度。当然，在立法中，我们应该准确地定义什么是个人信息，不要把个人隐私纳入进来，以避免立法走入歧途。个人信息保护立法的核心环节，是法律许可机构或者个人获得他人信息之后，涉及信息占有者和信息主之间的权利和义务问题。这个问题是立法的核心环节，涉及的法律问题需要借助于各个法律学科共同的力量来攻关解决。无论如何我们认为，信息获得者对这些信息仅仅只有占有的权利，并没有所有权。我们不同意信息占有者将这些信息当作自己的财产的观点。

《个人信息保护法》专家建议稿起草人、中国人民大学法学院教授张新宝：个人信息保护法的立法，还有一些难点问题。比如，个人信息的领导监管体制问题。我们之前的专家建议稿规定了以网信办为主、各行业监管为辅的统筹协调机制，但从历次研讨会的情况来看，大家对这种监管机制的落地情况存在疑虑。         

我国目前的个人信息保护监管方面，既有金融、保险、医疗等行业监管也有去年网安法确立的“三驾马车"的监管体制。如何实现网信办的统筹监管和各产业主管的职权分配和协调配合，是一个有待实践考察的问题。但从个人信息保护问题的全局性、基础性地位来看，统筹监管之下的协作监管十分必要。

再比如，政府现在是最大的个人信息处理者，专家建议稿也将政府纳入规范，但是政府和信息业者的个人信息处理，有相同之处也有不同的例外，这就需要考虑如何在立法技术上妥当编排二者的规范。专家建议稿目前区分信息业者、国家机关分别专章规定，但在二者的一般规定部分，条文重复现象比较明显。反过来，如果将一般规定部分单独作为一章共同规定，又使得二者的各自部分不完整，这是我们后续需要继续完善的问题。

北大法学院教授张平：制订一部专门法律需要考虑很多方面的问题，比如立法宗旨、保护对象、保护主体、权利内容与限制、责任形式等，对个人信息保护还需要考虑跨境数据传输和域外数据管辖及效力问题等。《个人信息保护法》首先需确定保护个人信息是以人格利益为主还是以财产利益为主，是以公法手段规制为主还是以私法手段为主。对此学术界上存在一些争议。        

此外，个人信息保护法的保护对象究竟是个人信息、隐私还是数据？姓名、电话号码和身份证号是个人隐私，而浏览记录、购物倾向、行为轨迹、消费记录等，这些数据是否为个人信息吗？随着大数据产业快速发展以及政府推动下的数据交易，现有个人信息保护原则都处在争议之中。

北京师范大学法学院教授、亚太网络法律研究中心主任刘德良：用户对能够直接识别出其个人的个人信息的商业价盾享有财产权。商家对不能直接识别出特定自然人的所谓个人数据的商业价值享有财产权，其收集、加工、流动无需针得用户同意。同时立法应防止对个人信息（数据）的滥用。