​

《民法总则》第一百一十一条规定，"自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

该条款正式确立个人信息是一项基本民事权利。个人信息受到侵害时，最直接的受害者即是个人，可以通过《民法总则》第一百七十九条规定的方式进行救济。个人作为消费者，亦可以根据《消费者权益保护法》第三十九条和第五十条的规定，通过协商、投诉、仲裁或诉讼途径追究经营者的责任，经营者应当停止侵害、恢复名誉、消除影响、赔礼道歉，并赔偿损失。

案例

在中国的司法实践中个人信息遭受侵犯的案件并不少见，但消费者追究经营者侵犯个人信息民事责任的案例却较少，因为该等案件普遍存在诉讼标的低、举证困难、损失难以证明及赔偿额度低等问题。

消费者通过网络平台或其它渠道提供个人信息，数据库软硬件资料都掌握在经营者公司，消费者无法取得证明个人信息泄露的证据，如果依据"谁主张谁举证"的原则要求消费者对泄露的具体环节进行举证，对消费者明显有失公平、公正，还会助长经营者对保护消费者个人信息的漠视。

因此在实践中，为加大对于个人信息的司法保护，法院很可能会加重经营者的举证责任，要求经营者承担举证倒置的责任，即证明采取了合理的保护措施，并没有导致个人信息的泄露。为避免对消费者的相关民事赔偿责任,经营者一方面确需完善保护个人信息的措施，另一方面也需要考虑，一旦发生纠纷如何主动证明其没有泄露个人信息。

值得一提的是，依据《消费者权益保护法》第四十七条的规定，对侵害众多消费者合法权益的行为，消费者协会亦可以代表消费者向人民法院提起诉讼。

此前，Facebook泄密事件引发全球关注，如果该泄密事件发生在中国，中国消费者和消费者协会均可以向其提起诉讼，维护个人的合法权利。那么作为社交平台的Facebook，可否通过诉讼追究直接肇事者Cambridge Analytica公司的法律责任呢？在中国，这一问题可以参考2016年北京市十大知识产权典型案例之北京淘友天下技术有限公司、北京淘友天下科技发展有限公司（合称"淘友公司"）与北京微梦创科网络技术有限公司（以下简称"微梦公司"）不正当竞争纠纷案【案例(2016)京73民终588号】。

案例

上述案例是全国首例关于用户个人信息的社交网络平台不正当竞争纠纷案。对于社交媒体网络平台而言，用户信息是重要的竞争优势与商业资源，保护社交网络平台上的各类用户信息，不仅是互联网经营者开展正常经营活动、维持并提升用户活跃度、保持竞争优势的必要条件，也是对广大用户权益的尊重和保障。其他经营者在与社交网络平台开展合作时，不仅要合法获取社交网络平台的用户信息，也应妥善保护并正当使用用户信息。通过上述案例可见，企业在违规获取潜在竞争者的用户信息时，或将承担不正当竞争的法律责任。

不过，虽然微梦公司在上述案例中赢得了胜诉，法院仍然指出微梦公司对于涉及用户隐私信息数据的保护措施不到位，暴露出其作为网络运营者在管理、监测、记录网络运行状态，应用、管理、保护用户数据，应对网络安全事件方面的技术薄弱问题。《个人信息安全规范》对于个人信息的委托处理、共享、转让和公开披露以及个人信息安全事件处置等方面均提出了严格的要求，加强对于网络用户个人信息的保护，企业应当参考。

2018年1月11日，工业和信息化部信息通信管理局针对媒体报道相关手机应用软件存在侵犯用户个人隐私的问题，约谈了北京百度网讯科技有限公司、蚂蚁金服集团公司（支付宝）、北京字节跳动科技有限公司（今日头条）。信息通信管理局指出，对照《网络安全法》《全国人民代表大会常务委员会关于加强网络信息保护的决定》《电信和互联网用户个人信息保护规定》（工业和信息化部令第24号）有关规定，三家企业均存在用户个人信息收集使用规则、使用目的告知不充分的情况，要求三家企业本着充分保障用户知情权和选择权的原则立即进行整改。

网络运营者、网络产品或者服务的提供者均可能成为行政处罚的对象，本文提到的上述几个案例中，四川航空公司、百度公司、淘友公司以及工业和信息化部信息通信管理局约谈的三个公司，或都存在因侵害个人信息而受到《网络安全法》第六十四条规定的行政处罚的可能，但各个案例中对于个人信息的侵犯程度明显不同，实际处罚可能涉及的多个问题也有待明晰。例如，根据《网络安全法》的有关规定，国家网信部门、电信主管部门、公安部门和其他有关机关在各自职责范围内负责网络安全保护和监督管理工作，但《网络安全法》第六十四条规定"有关主管部门"可以作出行政处罚，具体由何等级别的哪个行政主体进行处罚，目前尚不明确。又如，侵犯个人信息的程度、危害结果等因素，对于实际处罚结果有何影响，亦尚不明确。针对这种模糊性，企业不能掉以轻心，反之，应当严格遵守个人信息保护的相关规定，避免遭受"有关主管部门"作出的任何行政处罚。

2009年颁布的《刑法修正案（七）》首次将侵犯公民个人信息罪纳入刑法。自然人和单位都可能构成犯罪主体，表现形式包括向他人出售或者提供个人信息，窃取或者以其它方法非法获取个人信息。但是《刑法修正案（七）》将出售或者提供个人信息的责任主体限于"国家机关或者金融、电信、交通、教育、医疗等单位的工作人员"，2015年颁布的《刑法修正案（九）》进行了相应的修订，将出售或者提供个人信息的责任主体范围扩大至任何自然人，同时将"履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人"的情形修订为从重处罚的情节。个人作为犯罪主体时，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金；单位作为犯罪主体时，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各款的规定处罚。2017年5月9日，最高人民法院、最高人民检察院发布的《两高解释》，对该罪名的具体适用问题做出了详细解释。

一般而言，个人作为犯罪主体的侵犯个人信息罪案例较多。2017年5月9日，最高人民法院发布《侵犯公民个人信息犯罪典型案例》，共计七起，犯罪主体均为个人，侵犯个人信息的范围包括个人户籍、车辆档案、手机定位、个人征信、旅馆住宿记录，也包括个人银行征信信息、学生信息、网购订单信息等类型。

那么，单位在哪些情形下可能构成侵犯个人信息的犯罪主体？企业如何杜绝因员工违规侵犯个人信息而遭受刑事处罚的风险？下述（2016）甘0102刑初第605号案对广大企业具有一定的参考意义。

案例

法院判决认为："经查，陈某某等证言、雀巢公司DR任务材料、雀巢公司证明、雀巢公司政策、员工行为规范等，证明雀巢公司不允许向医务人员支付任何资金或者其他利益。不允许员工以非法方式收集消费者个人信息。对于这些规定，雀巢公司要求所有营养专员接受培训并签署承诺函。被告人郑某、杨某甲、杨某、李某某、杜某某等明知法律法规以及公司禁止性规定的情况下，为完成工作业绩而置法律规范、公司规范于不顾，违规操作进而贿买医务人员，获取公民个人信息的行为，并非雀巢公司的单位意志体现，故本案不属于单位犯罪。"

通过上述案例可见，单位构成侵犯个人信息犯罪的要件之一，就是单位具有实施犯罪行为的主观意志。法院在判断单位员工的犯罪行为是否体现了单位意志时，很重要的考量因素就在于单位是否有隔绝员工实施犯罪行为的相关政策和措施。由此可见，企业应加强关于个人信息保护的合规建设，通过发布各项公司政策或规章制度，明文禁止员工向他人销售或提供、窃取或通过其它方法非法获取个人信息，并通过举办员工培训、讲座等活动增强员工的意识。并且，在培训完成后，应要求员工签署相关书面承诺函，从而尽量减少单位因员工侵犯个人信息犯罪而被"拉下水"的风险。