1. 绪论
1.1. 研究背景
随着信息网络的高速发展，淘宝、拼多多等电商平台在近些年迅速崛起。2022年底商务部发布的《中国电子商务报告(2021)》中称，2021年全国电子商务交易额超过了40万亿元，增长19%以上 [1] 。从这些数据我们可以看出网络购物逐渐成为了一种常见的消费方式，甚至替代了部分的实体店购物。网络购物带给了人们极大的便利，但随之而来的却是各种各样的问题和风险。在网络平台购物时，我们的手机号码、家庭住址等会提供给商家以及电商交易平台；寄收快递时，快递小哥以及快递驿站会得到我们的个人信息等等。美国在1890年就有学者提出了隐私权的概念，开始注重对个人隐私的保护。个人隐私及信息的保护在美国经历了较长时间的发展，制度也较为完善。除了美国，欧盟出台的《通用数据保护条例》(简称GDPR)，也受到世界的关注。因为篇幅的原因，本文仅对美国的网络消费者个人信息保护进行论述，希望可以找寻到保护网络消费者的个人信息、平衡其与信息自由流通之间的关系的规制路径。
1.2. 网络消费者个人信息保护的理论研究和立法现状
早在2005年，齐爱民教授就发表了《论个人信息的法律保护》，文中齐教授讨论了个人信息保护的基础性问题，认为个人信息应当以人格权进行保护，它体现的是人格利益 [2] 。王利明教授也曾发表过多篇关于个人信息的保护和立法的文章。陆青老师提出，若对数据化个人信息进行商业利用应以必要性为前提，对数据库中的个人信息应当同样明确重点保护的范围，这样个人信息商业利用的发展和其保护之间的矛盾才能得到缓解 [3] 。
2016年《中华人民共和国网络安全法》出台，在第四章“网络信息安全”中对个人信息的收集、使用等进行了规定。2020年《中华人民共和国民法典》颁布，其中在第四编人格权编专门对隐私权和个人信息进行了规定。2021年我国通过了《中华人民共和国个人信息保护法》，该法在立法体例和内容上较大程度地借鉴了欧盟立法，完善了对个人信息的保护 [4] 。
2. 网络消费者个人信息保护的基础理论
2.1. 网络消费者个人信息的概念
我国法律对网络消费者这一概念并没有明确的定义，笔者认为可以从“消费者”这一概念入手，探究“网络消费者”这一词语的含义。
国际标准化组织对消费者的定义是——以个人消费为目的而购买使用商品和服务的个体社会成员。结合我国《消费者权益保护法》中的相关规定，我们可以推导出消费者是指为满足生活需要而进行购买、使用经营者所提供的商品和服务的主体。网络消费者与传统的消费者除了媒介不同以外，有其共同点。综上，笔者认为网络消费者个人信息指的是，购买、使用网络平台所提供的商品和服务的主体在交易过程中给出的、存储于交易平台中的可识别的信息，包括直接的或者潜在的信息。
《民法典》第1034条和《个人信息保护法》第4条都对个人信息的含义作出了界定。综合来看，笔者认为网络消费者个人信息指的是，购买、使用网络平台所提供的商品和服务的主体在交易过程中给出的、存储于交易平台中的可识别的信息，包括直接的或者潜在的信息 [5] 。
2.2. 网络消费者个人信息的界定
2.2.1. 网络消费者个人信息的法律属性
在民法典出台之前，学界对于公民的个人信息的法律属性一直争论不休，主要的论点在个人信息是属于民事权利还是民事权益说。现在来看，民法典中第四编人格权各章节几乎都是以“xx权”命名，但在第六章使用的是“隐私权和个人信息保护”。通过体系解释的方法我们可以看出，立法者在立法上还是将个人信息作为一种民事权益加以保护。
2.2.2. 网络消费者个人信息民事权益的性质
个人信息民事权益的性质在理论界和实务界一直争论不休，针对这一问题，笔者认为学界大致有两种观点：一元保护模式和二元保护模式。
支持一元保护模式的学者认为，公民的个人信息属于公民的人格权益。程啸教授认为，《民法典》中的规定说明立法者认可自然人对其个人信息享有的是人格权益，不是财产权益。法律对自然人个人信息予以保护，本质上是保护其人格利益 [6] ，目前学界大多同意这一观点。
支持二元保护模式的学者则认为，在网络信息时代，个人信息正在起到维护个人财产利益的功能，法律应当采取财产权益独立于个人信息人格权益的二元模式，才能实现对个人信息的全面保护。个人信息财产权理论受到了很多学者的拥护，如刘德良教授就主张对个人信息人格权和财产权分别予以保护 [7] 。
3. 网络消费者个人信息保护存在的问题
3.1. 过度收集网络消费者的个人信息
网络消费者在注册平台账号时，都会弹出网络服务协议页面，该页面需要消费者阅读并同意，其中就包括了隐私保护协议。隐私协议中会对个人信息的收集和使用、存储与保护以及用户个人信息权等进行说明。许多电商平台还运营先进技术如cookie等，对账户进行追踪，保护消费者个人信息。
但是隐私保护协议常以“全有或者全无”的形式出现，如果不同意协议的内容，那么你就无法正常注册该软件，这其实就违反了收集消费者信息的最小必要原则 [8] 。这份协议通常是“折叠”起来的，只有当消费者主动点开时才会看到文本内容。所以一般情况下消费者在注册账号时也不会点开仔细阅读，协议也就流于形式。在对个人敏感信息的处理上，软件大都包含了“精确地理位置”这一敏感信息。法律规定若要处理个人敏感信息，只能在具有特定的目的和充分必要的情况下才可以，处理者还应采取严格保护措施。但现实情况是，大部分的软件都未向用户单独同意个人信息的共享，而是将其放在隐私政策中打包同意 [9] 。还有些平台在注册时仅能使用手机号码注册，这些行为都超过了收集个人数据的限度，属于对网络消费者个人信息的过度采集。
3.2. 网络平台及第三方易泄露网购消费者个人信息
电商平台上的商家可以在后台看到在自己店铺购物的消费者的个人信息，因差评被短信和电话骚扰的消费者数不胜数，更不要说有些公司的内部员工利用职务便利，为自己谋求非法利益。曾经就有新闻报道有人在线上兜售他人的个人信息，而一条个人信息的代价只要几毛钱就可以获取。
除了电商平台，快递物流公司也是泄露个人信息的重要一环。根据国家邮政局的统计，截止2023年4月，我国的快递业务量就已经超过了300亿件。快递单上包含了消费者个人信息，这给网络消费者个人信息的泄露带来了巨大的风险。2020年圆通快递公司被曝出公司员工擅自窃取客户信息将其出售，导致40多万条个人信息被泄露。不得不承认，类似情况甚至已经形成了完整“黑色产业链”，消费者的个人信息安全受到了巨大的威胁 [10] 。
3.3. 网络消费者个人信息权益救济困难
网络是虚拟的，而电子技术又具有专业性和隐蔽性等特点，所以当网络消费者的个人信息受到侵害时，其权益往往难以得到保障和救济，其中最大的困难就是举证问题。我国《民法典》中对于侵权责任的规定，除了八种举证责任倒置的情形外，一般遵循“谁主张，谁举证”的原则。但对于网络消费者个人信息的侵权来说，消费者自己进行举证是很困难的。
网络上的各种电子数据基本都掌握在平台以及商家手中，消费者个人在一般情况下无法访问、获取，消费者个人也无法准确评估自己所遭受损失的确切数额。即使在电商平台提供了帮助的情况下，平台也只能提供获取消费者个人信息的商家的相关信息，并无法证明消费者的个人信息被商家非法利用，也无法证明侵权人的侵权行为是直接导致被害人的信息被泄露的这种因果关系 [11] 。所以消费者承担举证责任是很难掌握对方侵权的证据，而进行起诉所承担的诉讼成本和耗费的时间与最终得到的救济赔偿往往不成正比。
4. 对中美网络消费者个人信息保护的比较分析
4.1. 美国网络消费者个人信息保护的相关立法
“隐私权”概念的第一次提出是在沃伦和布兰迪斯于1890年发表的《论隐私权》一文中，他们将隐私权定义为“个人独处的权利”。随后隐私权的内涵不断发展，逐渐扩张至个人信息领域。1986年，国会颁布了《电子通讯隐私法》，其中明确指出网络服务平台必须依法保护消费者的个人隐私，对其个人信息等予以保护，而消费者在个人信息遭受侵害时依法享有相应的要求删除、寻求赔偿等权利。2020年开始执行的《加州消费者隐私法案》是美国第一部完整的隐私权法案。法案中规定，消费者主要拥有个人诉讼权、删除权、知情权、选择权等六大权利。
4.2. 美国在保护网络消费者个人信息中出现的问题
我国对网络消费者个人信息的保护起步较晚，还有许多措施并不完善。但这方面发展较早的美国，近些年也出现了各种状况。2017大洋彼岸的美国信用调查巨头Equifax承认，1.45亿居民的个人信息被泄露，这是美国历史上最严重的数据安全泄露事件。这次事故的发生主要是因为美国的个人征信系统完全由私人机构运营，而Equifax安全系统并没有做到严密防范。2022年得克萨斯州的保险部因出现安全漏洞，泄露了近三年来近200万得州人的个人信息。该部门表示，事件从2019年3月持续到2022年1月，包括社会安全号码、出生日期、电话号码、地址等个人信息被泄露。此次泄露事件是因为管理工人薪酬数据的编程代码出现了问题，允许了公众访问在线应用程序中应受保护的部分。
通过以上论述，我们可以看出因为中美文化上的差异，美国很多的机构都是属于商业性质，政府介入较少。而且美国属于英美法系国家，这就导致除了少部分立法外，美国还是以企业自律为主进行自我管理。虽然自律制度有利于信息的自由流通，但也会导致很多弊端，例如联盟覆盖企业的范围有限，没有加入联盟的企业就无法受到该联盟内制度的约束等。
4.3. 《加州消费者隐私权法案》
美国虽不是成文法国家，但现在已有很多州出台了消费者隐私权法前文提到的《加州消费者隐私权法案》(又称“CCPA”)被大家称为美国当前最严格的消费者数据隐私保护法案，其中个人诉讼权是最受大家关注的。CCPA第1798条规定了个人诉讼权利，这是法案的一个重大突破。消费者个人可以向法院提出损害赔偿的请求，同时也可向法院提出其他救济方式。但是CCPA的私人诉讼权也不是涵盖所有的侵权行为，只有在企业因自身原因导致消费者个人数据泄露时，消费者才可提起个人诉讼。
对于删除权，CCPA赋予了消费者可以请求平台删除自己的个人信息权利，并且企业在核实、删除其个人信息之后，需要求其他服务提供平台同时删除相关信息。这样在保障了信息自由流通的同时，当消费者个人信息需要保护，电商平台也可及时作出反应。CCPA还规定了“选择加入权”，这是专门针对未成年人制定的。对于未成年人的个人信息，如果消费者本人小于13岁，消费者企业应当在取得其父母、监护人明确同意的情况下方可出售其个人信息；如果消费者在13~16岁，则也可以取得本人的同意。
5. 对网络消费者个人信息保护的建议
5.1. 完善对网络消费者个人信息保护的法律法规
就现阶段对个人信息保护的发展程度来说，我国可能还无法全面推行行业内的自律制度，但美国的行业自律制度也有值得我国借鉴的地方，比如上文提到的在线隐私联盟和隐私标志计划。但我们在学习其长处的同时也要克服该制度的弊端，所以在进行内部自律的同时，强制性的法律政策也是非常必要的。网络技术不断发展，网络消费者的个人信息传播也有其特殊性，不能仅按照一般个人信息的保护方法来对待。
我们可以学习借鉴美国对于个人信息保护的法律模式，比如对网络消费者的个人信息保护进行详细规定，限制网络平台对个人信息的使用权限，支持个人提起诉讼或者由专门机构起诉来追究电子商务企业的法律责任。我们还可以明确规定相关信息处理者(比如平台运营者等)的首要责任人的地位，将消费者使用网购平台的使用管理权限公开透明化。对于收集个人信息的范围、敏感性等，我们可以根据保护力度不同设置相应勾选框，而不是一次性勾选。
5.2. 明确第三方快递物流对消费者个人信息保护责任
在消费者网购过程中，快递物流也是保障消费者个人信息不容忽视的环节。2023年4月，市场监管总局发布了《快递电子运单》国家标准，其中要求禁止显示完整的收寄件人个人信息。我国也应当通过完善相关立法，明确第三方快递物流的个人信息保护的责任。
我们可以隐藏或者数据化打码消费者个人信息，规定面单上不得显示买家与卖家的详细信息，只有经手的分配员和配送员使用仪器扫码才能显示具体信息，这样可以避免快递面单倒卖的情况；也可以把快递公司的侵权责任纳入到《消费者权益保护法》二十三条需要承担侵权责任的情形。此外还需要加强对快递驿站的监管，以防快递站非法使用网络消费者的个人信息。
5.3. 解决网络消费者维权难的问题
通过前文的论述，我们可以看出来因为网络服务的特点，导致了网络消费者维权具有一定的难度。《个人信息保护法》第六十九条规定了，对私密信息涉及上述敏感信息的内容适用过错推定原则，这为网络消费者的维权提供了一定的帮助，但过错推定原则仍未解决网络消费者举证难的困境。我们可以将网络消费者个人信息保护的侵权举证责任纳入举证责任倒置的行列中，由可能的被侵权人承担举证责任，来保护网络消费者这一弱势方 [12] 。
6. 结语
在数字经济和互联网科技蓬勃发展的今天，人们的目光也慢慢聚焦到网络消费者个人信息保护的问题上，加强网络消费者个人信息的保护已成为迫切的需求。
本文通过分析我国保护网络消费者个人信息过程中存在的问题，并与美国个人信息保护的现状进行比较，可以看出在保护网络消费者个人信息这一问题上，我国仍有很长的路要走。保护网络消费者个人信息并不是口号，而应当有具体的机制和法律为其保驾护航。只有在加强电商平台行业内部自我管理的同时，制定良好的监督机制和完善法律法规才能使得信息的自由流通和保护网络消费者个人信息相协调，更好地推动电子商务的发展。