谷歌公司的座右铭是Don't do evil（不作恶），在谷歌这样的公司律师人数和专业水平应该不会低于中国任何一家企业，然而在欧盟频遭大额罚款，美国的个人信息保护水平是否低于欧盟？ 2018年6月28日，美国加利福尼亚州（下称“加州”）颁布了《2018年加州消费者隐私法案》（CCPA）来看，未必。从美国法治和诉讼制度来看，成熟的法治环境下，不大可能纵容某种侵犯公民权利的行为放纵过度，因为随时都有律师为谋取利益而发起诉讼予以打击。

我们立法时较多参考研究的其他域外立法，包括印度、新加坡、日本，其个人信息保护水平也不低于我国。虽然我支持个人信息保护立法，但我认为中国个人信息保护水平低下的关键问题不在于法律缺失。请看我们相关立法生效后的若干案例：

我国目前为止个人信息保护领域主要有影响的民事诉讼：朱烨诉百度：一审胜诉，二审败诉。我本人发起的诉工商银行：一审胜诉，二审败诉。北京律师庞理鹏诉北京趣拿信息技术有限公司、东方航空公司隐私权纠纷，一审败诉，二审胜诉，但法律责任是赔礼道歉而已。最高法院曾经公布过一个无锡市南长区法院判决某开发商与垃圾短信发送公司合同纠纷案，以合同无效驳回诉讼请求，收缴违法所得。这是一个与个人信息保护沾边的合同案件，法院收缴了合同不法收益，与个人信息维权无关。

目前我国个人信息保护在行政执法领域主要是消保法+网络安全法，网络安全法执法力度相对较大，根据公布的案例，腾讯微信、新浪微博、百度贴吧涉嫌违反《网络安全法》被立案调查，BOSS直聘被网信办责令整改，这些就算目前重大执法案件了。

本次论坛上有学者对于个人信息保护是应学习欧盟大额罚款的行政执法模式，还是司法诉讼保护模式进行了讨论。从中国反垄断法的执法来看，个人信息保护执法不排除学习欧盟的可能性。结合欧盟对谷歌等企业反垄断等多次巨额罚款，该等行政执法措施监管确实震慑力巨大，可以通过巨额罚款的行政责任引导企业合规。司法诉讼可能对企业造成数量更多的烦恼，但每个案件的经济赔偿损失则不会如同欧盟罚款那么巨大，法庭可以通过法律解释为个人信息保护与企业需求之间不断微调，实现法律灵活性与稳定性的相对统一。

因此，尽管目前的中国个人信息民事诉讼案例都不太给力，但司法诉讼仍不失为中国个人信息保护立法值得考虑的主要保护途径。从科学合理与渐进进程角度来说，通过民事诉讼责任引导企业合规，似乎更加科学合理。

（作者系上海段和段律师事务所合伙人）

相关报道: