《侵害消费者权益行为处罚办法》关于个人信息保护的规定
国家工商行政管理总局（以下简称“工商总局”）于2015年1月5日正式发布《侵害消费者权益行为处罚办法》（以下简称“《处罚办法》”）。
《处罚办法》是工商总局依据2014年3月15日开始施行的、经修订的《消费者权益保护法》（以下简称“《新消法》”）、在总结工商部门监管执法和消费维权工作经验的基础上制定，在禁止行为和处罚方式方面对《新消法》进行了解释，以明确工商部门权责、提供工商部门执法的统一标准。
《处罚办法》关于消费者个人信息保护方面规定的亮点是对“消费者个人信息”进行了列举式定义，说明消费者个人信息是指“经营者在提供商品或者服务活动中收集的消费者姓名、性别、职业、出生日期、身份证件号码、住址、联系方式、收入和财产状况、健康状况、消费情况等能够单独或者与其他信息结合识别消费者的信息”。列举方式有利于实践中各级工商部门把握执法标准、落实《新消法》第二十九条对个人信息保护的要求，但最后的兜底、概括性定义沿袭了国内关于个人信息定义的一贯方式，关于识别或者结合识别的具体标准仍将有赖于工商部门在实践中的理解和定义。
《处罚办法》在消费者个人信息保护方面的另一规定是列举了经营者的禁止性行为，包括：（一）未经消费者同意，收集、使用消费者个人信息；（二）泄露、出售或者非法向他人提供所收集的消费者个人信息；（三）未经消费者同意或者请求，或者消费者明确表示拒绝，向其发送商业性信息。上述规定基本遵循了《新消法》第二十九条的要求，并未加入更具体的行为规范。值得注意的是，《处罚办法》规定的经营者的禁止行为并未包括征求意见稿之中“在发生或者可能发生信息泄露、丢失的情况时，未立即采取补救措施”的情形。我们理解该条删除的主要原因是，信息泄露、丢失的情况较为复杂，实践之中判断经营者是否“立即”采取了补救措施、采取何种补救措施为适当也很困难，另外《新消法》也并未明确授予工商部门在经营者未采取补救措施时进行行政处罚的权利。删除此条也说明，实务之中工商部门是否主动执法将主要以信息泄露或丢失事件是否导致了消费者权益的损害为基础、而并非只要发生了信息泄露、丢失事件即主动执法。
对于违反《新消法》规定的行为，除行政处罚外，《处罚办法》第十九条保留了征求意见稿的信用档案机制，即“工商行政管理部门依照法律法规及本办法规定对经营者予以行政处罚的，应当记入经营者的信用档案，并通过企业信用信息公示系统等及时向社会公布。”目前工商部门的行政处罚已列入“ 全国企业信用信息公示系统”（http://gsxt.saic.gov.cn/）中，可以直接通过网站进行查询，而其他行政部门的行政处罚尚未加入该系统。信用公布系统与目前政府推动社会统一的信息公开体系的建立相一致、将会增强社会舆论监督，企业出于对自身商誉的重视，可能更重视消费者个人信息保护问题。
