个人信息不能被服务商使用吗？美国、欧盟对隐私权有明确的规定

互联网时代，个人在网上的数据随时可以被服务商收集，其中不少人对此表示了担心，上网的行为安全吗？随即个人数据是否属于隐私权的问题引起了讨论。这篇文章可以了解一下，关注作者天天看优质的干货文章，稳定更新。

个人信息与隐私权的发展

在美国，个人信息的保护是一个有立法支撑的完整体系，1974年的《隐私法》规定行政机关使用个人信息时应避免滥用权力侵犯个人隐私。除了联邦立法之外，美国有超过40个州制定了隐私保护法案。在商业的个人信息立法上主要体现在《公平信用报告法》、《电子通讯隐私法》及《全球电子商务框架》等。

而欧盟对此也作了相应的调整，1995年欧盟《数据保护指令》中对个人数据的保护、流动进行了全面规定，但是并没有明确个人在个人数据上的权利是否属于隐私权。直到2016年5月4日，欧盟才正式发布《一般数据保护条例》，明确指出个人数据归属于隐私权，这也是隐私法的一个更新。对于个人信息使用的风险，一般认为身份识别为目的的使用风险高于非身份识别，敏感信息风险高于一般个人信息风险，种族起源、政治观点、宗教信仰、哲学、工会成员资格、个人基因数据、生物特征等实行非身份识别的处理，健康、性生活、性取向等被完全禁止处理，不同类型使用者所承担的风险不同。为了促进个人信息的商业使用，欧盟还对敏感信息的处理做了相关规定，敏感信息并非一概禁止商业利用，对儿童信息进行特殊保护。

干货知识

1970年，《公平信用报告法》中认定使用数据的服务商只有征得消费者的统一才可以使用与其相关的数据。以此为前提下，《录像带隐私保护法》进一步规定服务商披露客户信息时需将允许的客户列入一个名单之中，客户有权拒绝加入这个名单，服务商的数据使用是要收费的。而在1994年，《有线电视消费者保护和竞争法》规定，服务商收集用户信息须征得消费者的同意，包括在教育、电子通信、电脑、电话、儿童、电缆、电讯等方面数据的使用需要经得消费者的同意。

大数据时代背景下，谁来保护我们的个人隐私？

以欧盟为例，欧盟对个人信息的权利规定了最低的标准，侧重规定的个人信息权利包括：查询权、修改权、删除权、反对权、自主决定权等。欧盟2016年的GDPR中规定：“本法案对个人数据的处理会对其所属人的信息流动订立规则”，欧盟实际上是对服务商的信息利用的风险程度设置了相应的义务规范（信息用处越大，可能需要付出的费用越多，即信息是一种资产，信息流动的影响力会回报给信息所有人）。美国的信息保护模式和欧盟不同，它仅仅是在对抗国家机关收集民众的信息，在规制相关的服务商滥用个人信息牟利，美国的模式是不允许私自使用数据（信息是个人的，使用信息的服务商须征得同意），而欧盟是对使用的数据有回报机制（信息是可以收集的，信息是一种市场资源），服务商在使用个人信息时须履行相关义务，一般包括限制使用义务、合法性义务、保证数据质量义务、告知义务、 保护数据安全等。

关注点

2016年，GDPR进一步明确了知情权、修改权、删除权、许可同意权、可携权等。以第7条为例，个人有权对自己的信息选择许可或禁止，服务商须征得其同意的情况下才可使用。而在GDPR第8条中对儿童个人信息的同意作出了特殊规定，使用未满16岁儿童的个人信息时须征得监护人的同意。第15条中指出，个人有权查询服务商是否使用其个人信息及可查询其使用目的、使用种类、使用内容等。第20条规定，个人的信息可以转移，其中17条人物个人有权请求服务商删除个人信息，并且规定其使用的权利。

其中，GDPR中仍然有一些特殊的规定，服务商处理大范围的敏感信息时，在此路径下应指定一名数据保护专员，个人有权向使用数据的服务商提出索赔，并且在矛盾纠纷中个人有权向法院提出诉讼。另外，欧盟还针对电信业、数据保存等做了特别规定，电信企业应当尊重用户的话费清单、主叫号码、姓名等个人信息，只有征得个人同意才允许其商业使用，如拨打广告电话、发送广告传真等，在《数据保存指令》中欧盟立法规定决定数据保留储存的期限须在六个月到二十四个月之间。

其实，个人信息的商用规范模式包括立法模式、自律模式，大多数的国家采取立法模式、自律模式相结合的规范模式。美国没有同意的个人信息商用的规范，只有《隐私法》对个人信息（金融、消费者保护、电信、教育）提供了立法保障。遗憾的是，大多数的国家都没有明确个人信息的价值，并且不认可个人的相关联价值。