第163页

    《公共图书馆法》第43条规定：“公共图书馆应当妥善保护读者的个人信息、借阅信息以及其他可能涉及读者隐私的信息，不得出售或者以其他方式非法向他人提供。”
    《旅游法》第52条规定：“旅游经营者对其在经营活动中知悉的旅游者个人信息，应当予以保密。”
    《刑法》第253条之一规定：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”
    
    
    理解与适用
    
    一、不得泄露、篡改收集、存储的个人信息
    
    信息处理者在告知并取得自然人同意后或者依据法律的规定而合法地处理个人信息，这种处理行为的合法性是一个全过程的体现，即不仅收集个人信息的行为应当是合法的，保管、加工、使用等行为也必须是合法的。《民法典》第1038条第1款第1句规定了信息处理者不得泄露或者篡改其收集、存储的个人信息的义务。该义务的确立也为相应的法律责任（民事责任、行政责任和刑事责任）确立了前提，这种义务属于法定义务，不得因当事人的约定而改变，即便是作为个人信息主体的自然人也无权就自己的个人信息单方面免除信息处理者的此种义务。当然，《民法典》第1038条第1款第1句的目的是将处理者不得泄露或者篡改其收集、存储的个人信息的义务确立下来。至于该义务的具体内容，如采取何种措施防止个人信息被泄露、篡改甚至丢失，在发生个人信息泄露等情形下应当采取何种措施，则由本条第2款以及《网络安全法》等法律法规作出具体的规定。具体而言，信息处理者不得泄露、篡改所收集、存储的个人信息的义务分为以下两类。
    1.禁止泄露的义务，即信息处理者不得泄露其所收集、存储的个人信息。这就是说，一方面，信息处理者对于其合法收集、存储的个人信息应当依法妥善保管，以免该信息因为信息处理者自身的原因或者其他原因而被泄露。个人信息的处理会给自然人的人格自由、人格尊严以及人身财产权益造成不同可能性和不同程度的风险，如果信息处理者没有妥善保管，导致个人信息被泄露，就会对自然人造成难以预测的损害或危险，故此，法律上首先要给信息处理者施加不得泄露其所收集、存储的个人信息的义务。另一方面，不得泄露所收集、存储的个人信息的义务也意味着对个人信息的处理应当符合必要的原则，不是个人信息收集得越多越好。因为收集、存储的个人信息越多，意味着法律上的义务和责任越大，一旦泄露个人信息，所带来的危险和损害后果也就越大，故此，《民法典》第1038条第1款第1句实际上也在提高个人信息处理的门槛，没有有效地履行防止泄露个人信息义务的能力的组织或个人，不应当去收集、储存个人信息。
    2.禁止篡改的义务，即处理者有不得篡改个人信息的义务。个人信息处理者收集和存储个人信息本身不是目的，目的是要加工、使用之，从而在各种场景中予以运用，进而在客观上影响个人信息被收集的自然人的社会生活的方方面面。如果处理者可以随意篡改个人信息，则这些被篡改的个人信息就是虚假的、错误的。对这种个人信息进行处理的直接后果就是损害自然人的权利和自由。例如，基于虚假的个人信息而对某人作出的信用评价就是错误的，受此评价的自然人将会因此遭受无法取得贷款、无法获得相应的商品或服务的困难，进而遭受人身财产权益上的损害。长此以往，对于网络信息社会和数字经济的健康发展也是不利的。故此，《民法典》一方面要赋予自然人在发现其个人信息是错误的情况下，提出异议并要求处理者及时采取更正等必要措施的权利；另一方面，又要给处理者施加不得篡改个人信息的义务。二者相互配合，才能保证真实的个人信息被合法地进行处理。
    
    
    二、禁止非法提供个人信息的义务
    
    （一）非法提供个人信息的含义
    个人信息的处理包括个人信息的收集、使用、加工、传输、提供、公开等。其中，个人信息的提供，是指个人信息处理者将所收集、存储的个人信息通过信息网络及其他方式传输给他人，使他人能够据此对这些个人信息进行处理。个人信息尤其是以数据形式出现的个人信息即个人数据，具有“非独占性”或“共享性”的特点。一方面，与作为物权客体的有体物在占有、使用上的独占性所不同的是，数据无论在占有还是使用上都不具有独占性。数据并不会因为被某一特定主体收集、存储而无法被其他人收集、存储。数据完全可以同时在不同的地点由不同的人以不同的方式加以收集和存储，并进行使用、加工、传输、公开。另一方面，数据也不会因为被某人使用而减少其他人的使用，相反，数据可以由无穷多的人进行使用并创造出不同的价值。也就是说，即便是完全相同的个人数据，也可以出于不同的目的进行开发和使用，产生不同的增值服务或衍生应用，而这种多目的或多用途的适用之间又会相互影响和作用，从而产生更复杂和更高级的应用。[1]正因如此，有观点认为，“数据不应该以它的存储而定义，应该由它的流转来定义”[2]，大数据时代也正是由于数据可以在网络空间自由流动与分享才到来的。
    因此，个人信息尤其是个人数据的处理者除了自己使用个人信息外，也可能将个人信息提供给他人使用，接受该个人信息的组织或个人还可能再次将这些信息提供给他人，如此循环下去，在使个人信息的处理者越来越多且纷繁复杂的同时，这将极大地增加个人信息被处理的自然人所面临的人格自由、人格尊严和人身财产权益上的风险。因为自然人并不知道这些处理者保护其个人信息的能力如何，不知道它们以何种方式出于何种目的而处理其个人信息，在其个人信息被泄露的情况下，甚至完全不知道究竟哪个环节出现了问题。因此，无论是域外的个人信息保护法，还是我国《民法典》等法律，都必须针对个人信息的提供作出特别的规范。
&nb