保护个人信息要立“罚”更要执“罚”

要彻底防止个人信息变成“黑色商品”，治理者不仅要立“罚”，更要严格执“罚”，如此才能在违法者心中确立违法必受罚的预期效应。

针对当前个人信息泄露较为严重的社会问题，河北省人大常委会日前通过《河北省信息化条例》，规定非法泄露他人信息最高罚50万元。

生活中个人信息“躺着也中枪”，普遍性的泄露日渐成为公共治理中的难题。虽然《刑法修正案(七)》将个人信息纳入刑法保护范围，但并未从根本上遏制住信息泄露的势头，仅去年就连续发生了深圳15万新生婴儿信息遭泄露，CSDN网站600万用户资料被恶意披露等恶性案件。

对一般违法行为的矫治，刑罚的威慑力往往有限，尤其是像泄露个人信息这种现象，刑事司法的介入只具有个案意义，而难以形成普遍性的治理效果。由于涉及诸多领域和行业部门，公民个人信息权利的尊重与保护，根本上更依赖于常态化的行政执法。尤其是信息时代，对个人信息如何更好地保护，更是迫在眉睫。工信部近期的一项调查数据显示：90%的受访者表示，自己曾遭遇个人信息泄露；94%的受访者认为，个人信息泄露的问题“非常严重”。在这种背景下，河北地方性立法具有重要的探索意义。

以往对泄露个人信息的纠治之所以乏力，主要是缺乏明确的执法主体，同时对违法者的违法成本设定不够。如新加坡刚通过的个人信息保护法案，就规定违法发送垃圾信息的机构或个人可能会被重罚100万新元（约合514万元人民币），同时新加坡政府将成立个人信息保护署，负责处理这一法案的相关事宜。

河北立法的可贵之处，在于明确了县级以上政府工业和信息化主管部门的执法主体地位，分别就单位和个人设定了最高50万元、5万元的罚款额度，从而有望确立起统一明确的行政执法机制，从执法主体和违法成本上突破以往矫治不力的困局。

当然，面对无处不在的信息泄露，行政执法也面临如何“打一场人民战争”的问题。有媒体做过统计，有七成受访者遭遇信息遭泄后选择“忍耐”，在此背景下，政府工信部门能否绕开与电信、银行等行业的利益干扰，能否为举报者提供便捷而确定的执法救济，能否将立法设定的处罚合乎目的地严格执行，将变得至关重要。