《中华人民共和国消费者权益保护法实施条例（征求意见稿）》关于个人信息保护的规定细化

2016年8月5日，国家工商行政管理总局发布《中华人民共和国消费者权益保护法实施条例（征求意见稿）》（以下简称“《征求意见稿》”）向公众征求意见，截至日期为2016年9月4日。《征求意见稿》在2014年修订的《消费者权益保护法》（以下简称“《消保法》”）的基础上对《消保法》的规定作了细化规定。

2014年《消保法》修订的一大亮点是明确地要求保护消费者的个人信息。《消保法》第14条规定，“消费者享有个人信息依法得到保护的权利”，第29条则呼应2012年全国人大常委会出台的《关于加强网络信息保护的决定》（以下简称“人大决定”），强调经营者收集、使用消费者的个人信息应当遵守合法、正当、必要的原则，事先取得消费者的同意，按照公开的收集、使用规则进行收集和使用；并要求经营者严格保密，不得泄露、出售或非法提供消费者的个人信息。未经消费者明确同意或请求，或者消费者明确表示拒绝的，不得向其发送商业性信息。但是 以上规定依然十分概括和原则，在实践中有不少不明确的事项，例如《消保法》没有对消费者的“个人信息”进行定义，没有定义什么是“商业性信息”，没有规定经营者应当以何等形式获取消费者的同意，也没有规定匿名化处理或者聚合处理后的消费者的信息是否可以向第三方提供等。

一、《征求意见稿》在个人信息保护方面做出了更细致的规定

1. 对消费者个人信息做出了定义

2015年国家工商行政管理总局出台的部门规章《侵害消费者权益行为处罚办法》（以下简称“《处罚办法》”）将消费者个人信息定义为“经营者在提供商品或者服务活动中收集的消费者姓名、性别、职业、出生日期、身份证件号码、住址、联系方式、收入和财产状况、健康状况、消费情况等能够单独或者与其他信息结合识别消费者的信息。”

《征求意见稿》第22条首次从行政法规层面对消费者个人信息做出定义，其表述与《处罚办法》非常类似：“经营者在提供商品或者服务活动中收集的消费者姓名、性别、职业、出生日期、身份证件号码、住址、联系方式、收入和财产状况、健康状况、消费情况、生物识别特征等能够单独或者与其他信息结合识别消费者的信息。”

其中，“能够单独或者与其他信息结合识别（消费者）”的兜底描述性的规定与人大决定中对个人信息定义的表述一致，与其他相关法律法规（如工信部2013年出台的《电信和互联网用户个人信息保护规定》）对个人信息的定义逻辑也相同。列举的部分中，《征求意见稿》首次将生物识别特征明确列为个人信息。

2. 扩展了《消保法》第29条的规定，并首次解释了什么是“商业性信息”

《消保法》第29条仅规定 “经营者未经消费者同意或者请求，或者消费者明确表示拒绝的，不得向其发送商业性信息。”《征求意见稿》第23条则增加了“不得拨打商业性推销电话”，更为全面。同时，《征求意见稿》第23条还对“商业性电子信息与商业性推销电话”做出了解释，即“经营者以推销商品或者服务为目的，向消费者固定电话、移动电话等电子终端或者电子邮箱、网络硬盘等电子信息空间发送的信息或者拨打的电话。”

3. 首次强调不得收集与业务无关的信息

第22条首次提出“经营者不得收集与经营业务无关的信息或采取不正当方式收集信息”。虽然《消保法》与人大决定都提出收集信息要遵守“必要”原则，但《征求意见稿》是首次明确提出不得收集与经营业务无关的信息。

4. 首次提出征得消费者同意的证明资料需要留存五年

《征求意见稿》第22条还提出，“经营者在收集、使用消费者个人信息时已履行明示义务并征得消费者同意的证明资料应当至少留存五年”。这一条依然没有规定同意的形式要求，但根据本条规定，经营者无论采取明示同意或者默示同意的方式，均应保留相关证明资料，并且留存时限应当符合要求。

5. 明确经营者可以向他人提供“经过处理无法识别特定消费者且不能复原”的信息

《征求意见稿》第22条规定，经营者应当建立健全信息保密和管理制度，确保消费者个人信息安全。经营者及其工作人员不得泄露、篡改、毁损其收集的消费者个人信息；未经消费者同意，不得向他人提供消费者个人信息。但是，经过处理无法识别特定消费者且不能复原的除外。一方面，经营者可以依据此条规定，向第三方提供匿名化处理后的消费者个人信息；另一方面，此条对匿名信息提出了具体的要求，第一是无法识别特定个人，第二是要求不能复原。

6. 明确了经营者的何种行为构成《消保法》第56条所述的“侵害消费者个人信息依法得到保护的权利”

《征求意见稿》第57条规定，（经营者）强制消费者提供与消费无关的个人信息，未经消费者同意擅自将消费者个人信息向第三人披露的，未经消费者同意或请求而向消费者发送商业性信息、拨打商业性推销电话，或者发送商业性电子信息、拨打商业性推销电话，未经消费者同意而增加费用的，视为违反《消保法》第56条的规定，依据第56条予以处罚。

二、《征求意见稿》在落实消费者权益的保护机制上，做出了有益的细节规定

主要体现在两个方面：

1. 落实行政保护

要求各级人民政府建立消费者权益保护部门协调机制，加强各行政部门之间的协同配合，并提出建立消费维权执法信息的数据共享机制，要求各级政府及行政部门将对经营者侵害消费者权益行为的行政处罚信息记入信用档案，通过“信用中国”（http://www.creditchina.gov.cn）网站和国家企业信用信息公示系统向社会公布并进行信用惩戒。

2. 强化社会保护

明确规定了消费者协会的法律地位及职责，赋予了消费者协会较大的权力。依据《征求意见稿》，消费者协会可以组织、参与有关商品、服务等的听证会并发表独立意见；有权要求经营者配合调查、约谈经营者；有权要求经营者或行业组织对消费者合法权益问题作出书面答复，二十个工作日内未答复的，消费者协会还可进行公开披露。

三、简评

2015年年末，在全国人大常务委员会第17次会议上，全国人民代表大会常务委员会执法检 查组向人大常委会提交了《关于检查<中华人民共和国消费者权益保护法>实施情况的报告》（以下简称“报告”），其中提出，执法检查组的执法检查重点包括个人信息保护制度的落实情况。检查中，各地普遍反映，《消保法》规定的经营者收集、使用消费者个人信息的制度过于原则，执法主体不明确，法律责任不到位，消费者个人信息被违法收集使用的势头还在蔓延。目前的状况是消费者举证难，监管部门和消协组织取证难，即使查实的案件也存在追责难、处罚轻的情况，难以起到震慑作用。因此，报告最后部分提出建议，建议国务院在2016年底前出台《消保法》的实施条例，对个人信息保护等重要制度进行细化补充，使之更具有可操作性。

《征求意见稿》在细化个人信息保护规定，明确举证责任方面做出了可喜的尝试，对于消费者维权提供了更具体的依据，对于经营者而言也提供了更具有操作性的指导。《征求意见稿》征求意见完成后，原则上将由工商总局将草案及其说明、各方面对草案主要问题的不同意见和其他有关资料送国务院法制办公室进行审查，再由国务院法制办公室向国务院提出审查报告和草案修改稿，经国务院全体会议或常务会议讨论决定后，正式公布。

我们会进一步追踪其立法进展。