最高人民法院研究室主任顏茂昆認為，大數據時代，包括個人信息在內的數據只有通過流動、共享甚至交易才能充分發揮其社會價值、經濟價值，而這些數據在流動和交易過程中，又極易產生個人信息擴散、失控的危險。因此，處理大數據發展的現實需要與保護公民個人信息之間的關系應有兩個關鍵詞:一是兼顧，二是平衡。

顏茂昆認為，所謂兼顧，就是在發展大數據的同時，必須依法保護公民個人的信息安全。只有包括個人信息在內的數據在法律的保護下安全迅速地收集和流通，才能夠真正地推動我國信息產業的可持續發展。

所謂平衡，就是在兩者之間尋求一個結合點和平衡點，在法律層面為個人信息交易和流動保留了一定的空間。顏茂昆舉例說，網絡安全法規定，網絡運營者不得泄露、篡改、毀損其收集的個人信息，未經被收集者同意，不得向他人提供個人信息，但是經過處理無法識別特定個人且不能復原的除外。“這個規定是要嚴格保護公民個人信息，對網絡運營者提出要求，但是同時也為數據提供留下了一些空間。”顏茂昆說。

“誰收集誰負責” 法律責任界定日漸清晰

當前，不少網絡運營者因為履行職責或者提供服務的需要，掌握著海量公民個人信息，這些信息一旦泄露將造成惡劣社會影響和嚴重危害后果。

《法制日報》記者注意到，公民個人信息泄露，往往存在于信息收集源頭到信息倒賣之間的多個環節中。在機票信息泄露事件中，由于從Eterm系統源頭到乘客，中間經歷了中航信、航空公司、第三方航空APP、機票代理商、在線訂票網站等多個環節，每個環節都存在信息泄露的可能性，這也導致了個人信息泄露的受害者難以維權追責。

針對取證難、追責難的困局，網絡安全法明確了網絡信息安全的責任主體，確立了“誰收集，誰負責”的基本原則。其中，第40條明確規定:“網絡運營者應當對其收集的用戶信息嚴格保密，并建立健全用戶信息保護制度。”

5月9日，最高人民法院召開新聞發布會，發布了《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》(以下簡稱《解釋》)。《解釋》共13條，進一步明確侵犯公民信息罪的定罪量刑標準和有關法律適用問題，其中便對如何處理拒不履行公民個人信息安全管理義務行為進行了明確。

顏茂昆介紹說，拒不履行信息網絡安全管理義務罪主體是網絡服務提供者。《解釋》規定，網絡服務提供者拒不履行法律、行政法規規定的信息網絡安全管理義務，經監管部門責令采取改正措施而拒不改正，致使用戶的公民個人信息泄露，造成嚴重后果的，應當依照拒不履行信息網絡安全管理義務罪，追究其刑事責任。

此外，與侵犯公民個人信息罪相關聯的另一個犯罪是非法利用信息網絡罪。顏茂昆說，實踐中，一些行為人通過建立網站、通訊群組等供他人進行公民個人信息交換、流轉、銷售，以非法牟利。

根據刑法規定，設立用于實施違法犯罪活動的網站、通訊群組，情節嚴重的，構成非法利用信息網絡罪。最高法經研究認為，供他人實施非法獲取、出售或者提供公民個人信息違法犯罪活動的網站、通訊群組實際上屬于“用于實施違法犯罪活動的網站、通訊群組”。

因此，《解釋》規定，設立用于實施非法獲取、出售或者提供公民個人信息違法犯罪活動的網站、通訊群組，情節嚴重的，應當以非法利用信息網絡罪定罪處罰；同時構成侵犯公民個人信息罪的，依照侵犯公民個人信息罪定罪處罰。

許劍卓說，隨著《解釋》即將從6月1日起實施，公安機關將針對公民個人信息保護從重點打擊侵犯公民個人信息源頭，落實網絡服務商的網絡安全防護責任，打擊購買、收售、交易、幫助建立平臺和通訊群組整個利益鏈條三方面開展工作。

為切實加大對行業“內鬼”參與公民個人信息泄露案件的懲治力度，《解釋》明確了在認定“情節嚴重”時，對行業“內鬼”泄露信息的數量、數額標準都要減半計算，降低了入罪門檻。“這為我們更好地打擊這類犯罪提供了法律基礎。所以下一步我們要追查源頭，深挖行業‘內鬼’。”許劍卓說。

與此同時，“一些手機APP會收集和它的業務無關的信息，比如公民行蹤軌跡、通話記錄，這種情況相當普遍。這些服務商沒有依法落實有關安全防護措施，導致公民個人信息的泄露。”許劍卓稱，“下一步，我們將結合網絡安全法的實施，進一步強化安全監管，要求這些服務商落實相關的監管義務。對于未按法律要求、未落實相關義務而導致公民個人信息泄露的，我們將根據這次司法解釋和網絡安全法的規定予以嚴厲打擊。”