隐私护卫队注意到，草案中对于义务主体的表述有两种：第三条和第十条规定义务主体为“组织和个人”，两者是并列关系；而第六十九条中的“个人信息处理者”也包括组织、个人，第六十八条则作出了一定范围的排除。

对此，周汉华提出两点疑问：个人是否成为了草案所规定的义务主体？是否所有“组织”都无差别地成为了这部法律的适用对象？

以欧美立法为例。美国《加州消费者隐私法案》中规定的义务主体明确排除了个人，且为经营实体设立了一定的“适用门槛”，如年收入超过2500万美元，年营收的一半以上来自出售消费者个人信息等。欧盟的《通用数据保护条例》则用控制者与处理者指代义务主体，第二条同样一般性排除了“个人”，并进行多种区分。

周汉华认为，草案对于义务主体的规定更广，缺乏对适用范围的排除规定。欧美的上述做法可以降低执法与守法成本——执法机构尽量抓大放小，进而集中力量维护公共利益。

“如果把个人不加条件地纳入到法律中义务主体里，就会导致执法对象模糊化，甚至以个人为主要执法对象，偏离制度设计的初衷。”他表示，类似的，如果对组织缺乏区分，也会导致守法与执法成本上升，影响法律的适用和实施。

“我们很难设想一个义务主体无所不包的规范体系，不会导致守法成本升高与执法的普遍困境。”周汉华强调。

明年生效的民法典在“隐私权和个人信息保护”章节中，将部分的义务主体表述为“任何组织和个人”“信息处理者”。周汉华认为，草案对于义务主体的规定受到了民法典的影响。

他进一步指出，如果草案在义务主体方面，能够进一步突出个人信息保护法的特点，更有利于明确认识，为法律适用奠定一个坚实的基础。“个保法要差异化对待，不应纳入民法典人格权编的框架。”

周汉华表示，明确个人信息保护法与民法典的关系，实则是明确隐私保护与个人信息保护的差别。而这种明确对于两部法律都生效后的适用，具有重大意义。个人信息的定义、个人信息处理的基本原则等方面，都体现了与民法典相分离的思路，比如“草案没有提‘隐私’这个概念，这和民法典很不一样”。

他将把个人信息保护纳入人格权的范畴来分析比作“把网约车归为出租车”，是典型的“旧瓶装新酒，效果不可能好”。他指出，类似于个人信息保护这样的新领域，都属于“网约车”式的问题，需要逐步摸索形成规则。

对此，周汉华建议，把草案中的“组织和个人”统一表述为“个人信息处理者”，同时增加一些适用的例外来突出《个人信息保护法》的独特性，如：处理个人信息数量较少的小微企业等。

在周汉华看来，突出“个人信息处理者”的间接好处之一是，可以协调好刑法修正案（九）、“两高”2017年出台的相关司法解释与个人信息保护法之间的关系。

根据刑法修正案（九），违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

两高司法解释则就上述规定中“情节严重”的认定标准列举了十种情形，包括非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；非法获取、出售或者提供前两项规定以外的公民个人信息五千条以上的；违法所得五千元以上的等。

周汉华指出，按照上述司法解释，侵犯公民个人信息罪的入罪门槛较低，并且不区分上下游行为，采用的同一个衡量标准。“如果我们不区分义务主体，严格按照刑法执行，个保法的行政处罚大多会被刑罚吸收。”此外，侵犯个人信息罪的最高刑期只有七年。

相对的，草案规定的罚款标准较高。根据草案第六十二条规定，情节严重的并处五千万以下或上一年度营业额百分之五以下罚款。“如果按照上一年营业额的5%来处罚，有可能罚款达到上百亿”，周汉华说。

高额的罚款和较低的刑期对比之下，不排除“有些违法者要求适用刑法，甚至坐完牢再出来领钱”的情况。他提出，两高的上述司法解释应适用于“街头混混”，而不是“大公司”。

因此，周汉华建议，在规制个人信息处理的行为时，需明确行政执法与刑法的边界。“打击‘街头混混’与规范‘大公司’，显然不能适用同一个标准。”他说。

采写：实习生 孙朝  南都记者 蒋琳

编辑：蒋琳

编辑：蒋琳

对这篇文章有想法？跟我聊聊吧

蒋琳5.01亿

南方都市报记者