进小区须人脸识别、办会员卡要提供电子照片、点菜要识别手机号……在数字化浪潮的冲击下，我们正置身于一个信息的浩瀚海洋中，每一次网络搜索、每一次社交媒体分享，都在无形中描绘着我们的数字轮廓，在带来许多便利的同时，也引发了对个人信息保护的紧迫关切。

为充分保护个人信息，近年来，我国不断加快立法进程，于2021年11月1日起施行了《中华人民共和国个人信息保护法》。

该法律施行两周年之际，澎湃新闻记者专访乌镇数字文明研究院专家、浙江理工大学数据法治研究院副院长郭兵。作为国内“人脸识别第一案”当事人和“知网垄断案”的当事人，在过去几年里，郭兵一直在就数字经济发展和个人信息保护如何实现平衡发展进行相关研究，并在《个人信息保护法》未出台之前，他拿起法律武器维护合法权益，以实际行动来敲响个人信息滥用的警钟。

个人维权困难，仍需强化监管执法

澎湃新闻：在进行“人脸识别”和“知网反垄断”维权时，你觉得个人信息保护面临哪些困难？

郭兵：“人脸识别案”是始发于2019年10月，当时我无意中看到野生动物世界发给我的人脸识别入园短信通知，是比较气愤的，因为2019年4月现场办卡时，我就不认同他们强制指纹识别入园的要求。2019年年初我正好在研究个人信息保护公益诉讼的问题，收到野生动物世界人脸识别入园的要求时，一开始并没有想过自己去起诉，因为我研究认为个人提起诉讼（私益诉讼）并非理性之举，就第一时间将这件事反馈给了检察机关公益诉讼部门的朋友，希望可以作为公益诉讼线索。但当时或许是因为没有明确的个人信息保护公益诉讼法律依据，检察机关没有进展，我就决定自己维权。这个案件最终的结果确实验证了私益诉讼的局限性，尽管这个案件穷尽了所有诉讼程序、前后历时两年多，但我主张野生动物世界强制人脸识别入园的相关“霸王条款”无效的核心诉求并未得到支持。

而“知网反垄断诉讼”也是源于这个个人信息保护公益诉讼研究。当时我写了一篇个人信息保护公益诉讼的论文参加检察机关组织的征文活动，通过初审后，按照要求需要提交查重报告。查重的时候我才知道，论文只能交给学校图书馆的工作人员进行查重。我觉得把论文交给不认识的人不太放心，又去询问了学生，他们反馈的情况更让我震惊，因为他们通过电商平台找到能够提供知网查重服务的店家，不仅需要将论文交给完全陌生的人，还要支付高昂的费用。正是因为这些遭遇，让我对知网拒绝向个人提供查重的行为产生不满，这种涉嫌滥用市场支配地位的商业模式，不仅损害了包括高校师生在内的个人权益，也变相迫使师生将自己的论文等私密文件提供给他人，有着较大的信息泄露风险。

这两个案件，一个直接关系个人信息保护，一个间接关系个人信息保护。前者在一定程度上反映了我们面对个人信息滥用时的无奈，后者体现的是我们面对个人信息泄露时的无奈。这两个案件之所以受到广泛关注，也是因为许多人都遇到过类似的个人信息滥用和个人信息泄露问题，而个人要想维护自身合法权益却是困难重重。

我在起诉时很清楚这样的私益诉讼并非理性之举，正是因为个人的维权存在困难，个人信息保护才需要强化监管执法和公益诉讼。《个人信息保护法》的出台对于强化监管执法和公益诉讼都提供了有力的制度保障。但施行两年间，这部法律的实施效果并不理想，很多地方仍然缺乏有力有效的个人信息保护监管执法，也没有个人信息保护公益诉讼。我了解到目前上海、浙江等长三角地区在个人信息保护的监管执法和公益诉讼方面有不少亮点，或许值得其他地方借鉴。

澎湃新闻：目前个人信息泄露的重灾区是什么？

郭兵：当前个人信息泄露可能随时都在发生，只不过有的是大规模的个人信息泄露，有的是小规模的个人信息泄露，甚至是专门针对特定个人的个人信息泄露。此外，有的是已经被公开披露的，有的是仍然在暗地发生的。

当前，电信网络诈骗频发，根本原因在于个人信息泄露，海量个人信息被不法分子（特别是境外不法分子）所掌握。而我们往往难以知晓自己的个人信息在什么时候、通过什么方式被他人泄露了，我们更难以预料到电信网络诈骗何时发生在自己身上、会不会遇到全新的电信网络诈骗，这或许是个人信息泄露最具危害性的情况。

澎湃新闻：作为普通人，在遭遇个人信息泄露时，该如何维护自己的合法权益？

郭兵：我认为对于缺乏法律基础的个人，通过诉讼维权并非明智之举。但这并不意味着就完全无能为力，信息被泄露后个人可以向相关个人信息处理者反馈，也可以向监管执法部门或者公益诉讼部门反馈。当然，在日常生活或者工作中，还是要有个人信息保护意识，不要为了便利或者小恩小惠，随意提供自己的个人信息，特别是敏感的个人信息。

对于具备法律基础的个人，特别是法科学生、法学教师以及律师等法律人群体，在遇到侵犯个人信息权益的行为，拿起法律武器维护自身合法权益是应该鼓励的，通过诉讼等方式维权可能不仅维护了自身合法权益，也间接维护了缺乏法律基础的其他人的合法权益。

个人信息保护需要多元治理

澎湃新闻：在个人信息保护的监管执法层面，该如何平衡数字经济发展和个人信息保护？

郭兵：虽然我们强调保护个人信息，但不是意味着个人信息不能合理利用。个人信息的合理利用不仅会给个人带来便利或者好处，而且某种程度上也是数字经济发展所必需的。正因如此，个人信息的合理利用，不仅在理论上存在共识，也被不少国家的立法所确认。我国《个人信息保护法》在第一条中就明确了保护个人信息权益、促进个人信息合理利用的立法目的，并且在第十三条等具体规则中进一步为个人信息合理利用提供了法律依据。

对于个人信息保护的监管执法而言，如何平衡好个人信息权益保护和合理利用的关系无疑具有挑战的。为此，近年来越来越多的学者主张通过场景理论来破解这种平衡难题。根据场景理论，个人信息保护的监管执法不能僵化地、不差别地适用告知同意等规则，而应当在特定场景中更加精准地对个人信息处理行为是否超出合理边界进行综合评价。我观察到，上海的“亮剑浦江·消费领域个人信息权益保护专项执法行动”就是针对特定消费场景展开的，围绕停车场、扫码点餐、商超购物等常见消费场景，启动针对性的监管执法，我觉得这种行动对于更好地协调解决个人信息保护和合理利用问题具有借鉴意义，也值得其他地方参考借鉴。

澎湃新闻：在未来加强个人信息保护方面，你有什么建议？

郭兵：加强个人信息保护必须要进行多元治理，需要加强公众参与、企业和行业自律、监管执法以及公益诉讼。事实上，《个人信息保护法》也为这种多元治理提供了制度基础：该法的第十一条原则性地规定要“推动形成政府、企业、相关社会组织、公众共同参与个人信息保护的良好环境”。此外，第四章对个人在个人信息处理活动中的权利进行了具体规定，第五章对个人信息处理中的义务进行了具体规定，第六章对监管执法部门的职责进行了具体规定，第七十条对公益诉讼进行了具体规定。

目前《个人信息保护法》的实施效果并不理想，如何落实既有的法律规定是未来多元治理仍需要努力的方向。《个人信息保护法》中的法律规定也还需要配套立法予以细化，通过场景化的监管执法、强化公众参与和公益诉讼等方式或许也有利于更好地出台相关的配套立法。

简而言之，未来多元治理仍然需要更加有力有效的监管执法，需要社会组织更好地发挥行业自律作用，需要强化公众参与以促进企业合规经营，也需要公益诉讼的积极介入。