早在2003年，国务院有关部门就委托社科院法学所承担《个人信息保护法》比较研究课题，并草拟一份专家建议稿。如今，国内包括个人信息保护内容的法律、法规等规范性文件纷纷出台，但《个人信息保护法》仍停留在专家建议阶段。
近年来，对非法提供、获取、买卖个人信息的打击力度不断加大，但个人信息保护形势仍然严峻，如何在立法上构建一套有效机制，从而更好进行执法、司法，21世纪经济报道记者专访了亚太网络法律研究中心主任、北京师范大学法学院教授刘德良。
《21世纪》：在现有的法律法规体系中，有哪些涉及了个人信息保护的内容?
刘德良：从民法规定来看，个人信息就是指能够直接或间接识别出特定自然人身份的信息，比如姓名、肖像等，这在《民法通则》里有相应的规定。《侵权责任法》提到了隐私，最高法院2014年10月9日发布的司法解释中也以列举方式明确了隐私的范围。还有《身份证法》作为一部专门法，也提出居民身份证中的信息受法律保护。2012年12月，全国人大常委会颁布了《关于加强网络信息保护的决定》，当然这部法律缺乏具体的实操性。2009年《刑法修正案(七)》新增了出售、非法提供个人信息罪，加大了对个人信息的刑法保护。还有一些行政法规和规章里也有相关的个人信息保护的规定。
《21世纪》：传统的民法理论认为，个人信息应该是人格权的一部分，但在信息社会中，个人信息的经济价值被放大，个人信息究竟属于人格权还是财产权，你如何理解这样的争议?
刘德良：承认个人信息的财产属性，可以解释现实中的很多问题。比如买卖个人信息，显然就是把个人信息当作了财产。而传统的人格权现在面临几个问题，首先，人格权受到侵害之后不能申请财产赔偿，反过来，财产权受侵害后也不能要求精神赔偿。当然《侵权责任法》中后来有规定，如果侵害人格权而获利，受害人可以要求财产损害赔偿，但这个规定仍然模糊了人格权与财产权的理论认定。
其次，传统理论无法解决自然人死亡之后，其个人信息的利用问题。因为人格权不能转让或者继承。如果这个人的肖像有商业价值，那么他去世后，关于其个人信息的买卖和使用就无法得到保护。
《21世纪》：是不是正因为个人信息人格权和财产权的属性区分不明确，所以导致在非法买卖个人信息的刑事案件中，很难提起附带民事赔偿的要求?
刘德良：对的，非法买卖个人信息罪在《刑法》中也是在侵害人身自由权的部分，所以法律认为此罪并不侵害公民财产权。而我们要遏制这种非法买卖行为，就应该加大侵权行为的成本，基本的做法就是追究侵权者的财产责任。
《21世纪》：这个人格权和财产权属性纷争的存在，是不是导致单独的《个人信息保护法》无法出台的原因之一呢?
刘德良：可以这样认为。我认为个人信息的保护应该分为两类：一类是与人格利益有直接关系的，比如肖像、姓名、隐私等;一类是与人格利益没有关系的，这些信息可以被正常利用，只要不被滥用或非法买卖，不会对我们的人格权造成损害。信息时代，任何个人信息都有潜在的商业价值，那么其商业价值就应该独立于人格权，二者分开。
我国关于隐私的认定是模糊的。实际上，隐私在不同学科内有不同的含义，法律上的隐私是通过隐私权保护的，隐私权必须有明确的边界。
《21世纪》：如果明确了哪些信息需要严格保密，哪些信息只需防止滥用，对加大个人信息保护有什么帮助呢?
刘德良：因为要保护个人信息，首先要明确想达到什么效果。现在一提个人信息保护，就是防止泄露，其实这个观念是错的。我刚才讲到的第二类个人信息是可以被别人知道并进行正常的利用，但我们现在并没有去做这样的区分。在互联网时代，很多信息不可能也没有必要保密，只需要把重点放在遏制滥用就可以了。
比如身份证的作用是匹配使用者本人和身份证上的有效信息，防止假冒身份，危害公共安全。但现在的法律是把身份证当作隐私，从而忽略了比对认证的环节。所以很多人去银行、保险公司办业务，只需要提供身份证复印件就行了，反而盗用身份证的现象比较常见。对电话号码等个人信息的滥用，主要体现在发送垃圾信息等方面。我觉得可以借鉴英美法的相关规定，认定发送垃圾短信侵犯了个人的信息自主权，以及信息存储空间的权力，即同时侵害了人格权和财产权。这样受害人既可以申请人格权的精神赔偿，也可以申请财产侵害赔偿。
《21世纪》：十八届四中全会提出要制定《网络安全法》，这个法是否也应该包括个人信息保护的?
刘德良：我个人感觉网络安全法和个人信息保护是有区别的，如果存在交集，可能体现在如何规范个人信息的跨境流动。比如像美国那样，云计算的服务器要设在本国境内，从而在国家安全意义上，防止本国国民的个人信息被国外非法利用。
