全球席卷“云”浪潮，云计算时代的到来加速了信息流动，使人们能够通过各种类型的互联网终端获取自己所需要的大量信息，极大地提高了信息资源的获取率和利用率。然而，云计算如同一把“双刃剑”，人们因云计算应用而受益匪浅，但个人隐私也无处遁形。近年来，云计算服务曾多次发生数据泄露、服务中断、系统瘫痪等一系列事件，这也令社会各界对云计算心有余悸。云计算在给社会带来极大便利的同时，也对公民个人信息安全提出了严峻的挑战。因此，云计算时代应当加强个人信息保护的法律规制，为个人信息保护提供坚实的法律保障。

云计算时代个人信息保护的法律困境

个人信息的法律界定不明确。首先，我国现行法律法规并未明确定义个人信息，容易导致其具体适用时出现争议。其次，我国现行法律法规未对个人信息与个人隐私之间的区别予以明确，无法分类保护，致使司法实践中甚至将其作为相同概念进行处理。最后，云用户在使用云服务时不可避免地要将一部分个人信息的所有权转移给云服务商，经过云服务商、网络服务商等多个主体的参与，就难以界定个人信息的权利边界。

个人信息保护的法律体系不完善。目前，我国已出台了近四十部法律、三十余部法规和近两百部规章，其中包括《电信和互联网用户个人信息保护规定》、《关于加强网络信息保护的决定》、《刑法修正案(七)》等，但是仍然与当前个人信息保护的现实需求存在鸿沟。现行个人信息保护的法律法规基本上都存在法律位阶较低、适用范围狭窄、操作性不强等问题，难以为个人信息保护提供坚实的法律基石。云计算环境下的个人信息保护问题更具有新颖性和特定性，如用户个人数据的交互使用方式、控制权等均发生巨大变化，相关法律法规的缺位问题更为突出。此外，我国尚未制定一部综合性的个人信息保护法律，现行法律法规过于分散、缺乏系统性，这也导致个人信息保护的司法实践缺乏具体的定位与指导。

个人信息保护的惩罚机制不健全。首先，我国现行法律法规主要采用间接保护的形式，对云计算环境下个人信息泄露问题的惩罚范围和惩罚力度均未明确，缺乏相应的制度约束。一旦云用户的个人信息泄露，云用户难以依法维护自己的合法权益。人民法院在收到受害者的起诉请求后，受制于无法可依，难以有效打击这种侵权行为，只能对双方当事人进行调解或建议受害者通过行政渠道解决个人信息泄露问题。其次，云计算时代的数据交换传输随时都有可能发生跨境传输，但是每个国家的法律体系各有不同，对个人信息泄露行为的惩罚范围和惩罚力度也有所不同，这也容易导致个人信息泄露的侵权行为难以得到有效惩罚。

云计算时代个人信息保护的法律路径

明确个人信息的法律界定。个人信息的法律界定成为划定法律保护范围和判断罪与非罪、此罪与彼罪的标准。首先，从法律层面定义个人信息。从域外立法及司法实践来看，个人信息是指可以识别某个自然人身份的任何信息。其次，明确区分个人信息与个人隐私。从欧盟、美国等国的立法对个人信息与个人隐私的界定来看，个人信息具有身份识别性，而个人隐私是指公民个人不想为他人所知或公开的秘密。相关立法应当紧密结合我国国情，推动西方先进的立法技术本土化。最后，明确个人信息的权利边界。在立法层面应当明确规定将个人信息纳入公民的私人财产范围之内，云服务商、网络服务商等相关主体在未获得用户许可的前提下不得私自使用。

完善个人信息保护的法律体系。在云计算时代，个人信息保护离不开法律的保驾护航。首先，制定一部系统完整的《个人信息保护法》。该法应当对个人信息保护的基本原则、权责关系、惩罚赔偿机制等予以明确。在《个人信息保护法》的总体指导下，中央政府部门和各级地方政府可以结合自身业务领域、区域的实际情况进一步制定相关法规。其次，制定专门的云计算环境下个人信息保护条例。该条例应当对云计算环境下个人信息保护的基本原则、数据跨境流动的基本要求、云服务商和网络服务商等主体应当承担的个人信息保护责任、用户个人信息泄露的责任追究机制和赔偿机制等一系列重要问题予以明确，为云计算时代个人信息保护提供立体化、多层次的法律保障。最后，健全个人信息保护法律法规的实施细则。尤其是针对云计算时代个人信息保护的特殊情形，应当注重法律法规是否普遍适用，细化相关法律法规，提高个人信息保护法律法规的可操作性。

健全个人信息保护的惩罚机制。在云计算时代，一旦个人信息被泄露并被非法使用，就会带来诸多不可挽回的损失和影响。第一，明确个人信息保护的惩罚范围和惩罚力度，建立健全企业个人信息泄露问责机制和赔偿机制，增强云服务商、网络服务商等主体对用户个人信息安全保护意识。第二，建立个人信息保护监管机构，理顺个人信息保护监管机制，着力强化“事前预防、事中处理、事后补救”的立体化个人信息保护机制。第三，加强国际合作，协同推进云计算时代个人信息保护。各国之间可以起草与签署云计算时代个人信息保护的国际公约，建立沟通协作机制和执法合作机制等，协调各国在云计算环境下个人信息保护的争议纠纷和跨国执法，共同搭建云计算时代个人信息保护的安全防护平台。

关于信息安全等级保护工作的实施意见

信息安全等级保护