當下，網絡平臺利用算法技術對個人信息保護的影響越來越大。無論是人們注冊網絡平臺時用戶的年齡、性別、地理位置等個人原始信息，還是注冊網絡平臺瀏覽各種頁面停留的時間、所訪問頻率等個人偏好信息，都被網絡平臺利用算法技術所收集與分析。基于實際需要，用戶在注冊、登錄、升級網絡軟件時，常常在無意中點擊相關協議公開授權算法同意訪問個人儲存信息。該如何保護個人信息？筆者認為，個人信息保護應構建以遞進式多階層為特征的法律概念體系，注重構建與公力救濟相配合的算法信任法律機制以應對技術反噬。
個人信息保護的法律概念
從比較法角度看，日本的個人信息概念體系構造較為完善。日本《個人信息保護法》第二條及其相關細則列舉個人信息保護范圍，構筑了從基礎到高階的遞進式的四個階層體系。
第一是基礎層的個人信息描述。具體包括六個方面：一是個人特征，有性別、年齡、地址、宗教、愛好、偏好等；二是身體特征，有血型、體重、眼睛顏色、病歷等；三是信用信息，有納稅、信用等級、收入水平等；四是職業信息，有學校名稱、專業、職業經歷、工作地點等；五是電子媒體信息，有cookie登錄名、訪問日志、GPS數據等；六是家庭信息，有配偶和子女信息等。
第二是低階層的“個人識別碼”。具體包括兩個方面：一是通過字符、數字或者符號將個人的法定信息轉換成可供計算機使用的代碼，例如護照號碼、駕駛執照號碼、個人身份號碼和電子郵箱地址等。二是從生物統計數據中提取特征信息可以在計算機軟件輔助下識別特定人。例如，組成DNA的堿基序列、通過虹膜表面起伏形成的線性圖案、指紋或掌紋等。
第三是需要考慮的個人信息的中階層，即通過唯一描述就可識別特定人的信息。它表現為以不同尋常的事實描述或與其他個人有明顯不同的描述識別特定人，例如某地錄入的罕見病患者的信息等。
第四是高階層的個人數據庫信息。某一類數據庫信息可以分析出個人某一方面的行為習慣，將多個數據庫信息進行疊加可以分析出個人的多個習慣、愛好、偏好，從而識別特定個人。如通過個人移動信息數據庫，可以確定某人房屋或工作位置信息（經緯度信息等）；通過零售商店購買商品記錄個人信息數據庫，可以確定購買者特定產品的購買歷史。個人移動信息數據庫和長期購買商品的數據庫相結合，可以讀取個人行為習慣、愛好、偏好，從而識別特定個人。
《中華人民共和國網絡安全法》第七十六條規定：“個人信息，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。”《中華人民共和國民法典》第一千零三十四條規定：“個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。”目前，利用算法技術對個人信息的監控在實踐中已經涵蓋了中階層需要考慮的個人信息和高階層個人數據庫信息。《中華人民共和國個人信息保護法（草案）（二次審議稿）》采用概括式對個人信息保護進行了界定，這給未來出臺個人信息保護法及相關實施細則留下了很大空間。該草案第四條規定：“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開等。”這對個人信息保護的內涵進行了拓展。
個人信息保護的立法架構
目前，我國與網絡平臺個人信息有關的法律有民法典、電子商務法、消費者權益保護法等。《中華人民共和國消費者權益保護法》第十四條規定，消費者在購買、使用商品和接受服務時，享有個人信息依法得到保護的權利。與網絡平臺個人信息有關的網絡安全法在第六十四條規定，網絡運營者、網絡產品或者服務的提供者違反有關規定，侵害個人信息依法得到保護的權利的，由有關主管部門責令改正，可以根據情節單處或者并處警告、沒收違法所得、處違法所得一倍以上十倍以下罰款；情節嚴重的，可以吊銷相關業務許可證或營業執照。
參考域外經驗，筆者認為，在算法技術快速發展的大背景下，個人信息保護應構建專門的信息保護負責人機制。例如，鼓勵設隱私保護專員保護個人信息安全。《歐盟通用數據保護條例》第三十七條至第三十九條規定確立了“數據保護專員”制度，要求個人數據控制者與處理者都應設專職數據保護專員，且應確保數據保護專員能及時介入與個人數據保護有關的所有問題，并支持其履行職能及不得因執行任務被解雇或處罰。數據保護專員監督個人數據控制者或處理者履行個人數據保護義務，就數據保護進行評估并提出建議。我國擬建立個人信息保護負責人制度規范網絡平臺的個人信息保護。個人信息保護法草案二審稿第五十二條規定：“處理個人信息達到國家網信部門規定數量的個人信息處理者應當指定個人信息保護負責人，負責對個人信息處理活動以及采取的保護措施等進行監督。”外部機制方面，還可以從國家層面設立專門執行公力救濟的保護機構，負責監督、處罰數據處理行為。例如，日本政府成立個人信息保護委員會承擔上述職責。歐盟針對個人數據控制者或處理者違反保護個人數據的法定義務等情形規定了行政罰款程序。我國法律規定，國家網信部門為網絡平臺個人信息專門保護機構。個人信息保護法草案二審稿第五十九條規定了國家網信部門履行個人信息保護職責，具體包括接受處理與個人信息保護有關的投訴、舉報與調查，處理違法個人信息處理活動等。
（作者單位：華東政法大學法律學院）