長期以來，應用程序過度收集個人信息問題成為社會關注的一大焦點。截至今年6月，我國網民規模為10.11億人，我國網站數量為422萬個，國內市場上監測到的App數量為302萬款，個人信息的收集、使用越來越廣泛。專家認為，制定個人信息保護法是進一步加強個人信息保護法制保障的客觀要求，是維護網絡空間良好生態的現實需要，是促進數字經濟健康發展的重要舉措。

8月20日，第十三屆全國人民代表大會常務委員會第三十次會議通過了《中華人民共和國個人信息保護法》(以下簡稱個人信息保護法)，該法自今年11月1日起施行。個人信息保護法有哪些亮點，回應了哪些社會痛點?日前，多位專家接受中國商報·法治周刊記者采訪并就相關問題進行了解讀。

引領信息生態

“隨著信息化與經濟社會持續深度融合，網絡已成為生產生活的新空間、經濟發展的新引擎、交流合作的新紐帶，但利用個人信息侵擾人民群眾生活安寧、危害人民群眾生命健康和財產安全等問題仍十分突出，亟須有一部專門的法律來規范信息收集與應用，使信息技術更好地服務于生活。”全國人大常委會法工委副主任劉俊臣說。

近年來，雖然我國個人信息保護力度不斷加大，但是在現實生活中，一些企業、機構和個人從商業利益角度等出發，隨意收集、違法獲取、過度使用、非法買賣個人信息等現象仍然屢見不鮮。

“在信息化時代，個人信息保護已成為廣大人民群眾最關心最直接最現實的利益問題，社會各方面廣泛呼吁出臺專門的個人信息保護法。”劉俊臣說，制定個人信息保護法是進一步加強個人信息保護法制保障的客觀要求，是維護網絡空間良好生態的現實需要，是促進數字經濟健康發展的重要舉措。

針對社會上一些人提出反對收集個人信息的觀點，中國社會科學院學部委員、全國人大憲法和法律委員會委員孫憲忠也對制定個人信息保護法發表了他的看法。“制定個人信息保護法不是為了禁止個人信息收集，而是反對過度收集、強制收集和違法收集，讓網絡空間在法治的規定上運行發展，更好地造福于百姓生活。”孫憲忠說，“我們不能一味地反對個人信息收集。”

“國家已經進入信息化社會，信息化是社會的進步重要體現。”孫憲忠說，信息技術在促進經濟發展、給人民提供更多物質生活和文化生活方面發揮著舉足輕重的作用。“但是，在信息收集環節和后續的信息加工、管理、應用等環節卻出了過度收集、不當收集、信息濫用等問題，個人信息保護法就是針信息收集利用方面提出的一些問題進行規范，讓信息生態在法治框架內良性健康發展。”

確立核心規則

“個人信息保護法明確，處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式。”全國人大常委會法工委經濟法室副主任楊合慶介紹說，“收集個人信息，應當限于實現處理目的的最小范圍。”

楊合慶表示，“告知—同意”是法律確立的個人信息保護核心規則。個人信息處理者在取得個人同意的情形下方可處理個人信息，個人信息處理的重要事項發生變更，應當重新向個人告知并取得同意。

針對群眾反映強烈的一攬子授權、強制同意等問題，楊合慶表示，個人信息處理者在處理敏感個人信息、向他人提供或公開個人信息、跨境轉移個人信息等環節應取得個人的單獨同意，明確個人信息處理者不得過度收集個人信息，不得以個人不同意為由拒絕提供產品或者服務，并賦予個人撤回同意的權利。

個人信息保護法第十四條明確規定，基于個人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出。法律、行政法規規定處理個人信息應當取得個人單獨同意或者書面同意的，從其規定。人信息的處理目的、處理方式和處理的個人信息種類發生變更的，應當重新取得個人同意。

“該法第十五條還提到撤回權的問題，許可個人將信息撤回。”楊合慶說，第十六條針對此問題對信息收集者提出要求——個人信息處理者不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務;處理個人信息屬于提供產品或者服務所必需的除外。

“個人信息保護法針對信息收集有很多條文規定，它的基本原則就是要正當、合法、必要，不能侵犯個人隱私。”孫憲忠說，“談到個人隱私，我們首先要對隱私有一個明確的定義。”

孫憲忠介紹說，所謂個人隱私，用通俗的話說就是指涉及到個人的私生活、居住地、身體狀況等。這些方面的信息是不能收集的，這也是民法典明確規定的。如果某個平臺或者App提供者要求提供涉及個人隱私性信息，從法律上來看有可能會涉嫌違法。”

個人信息保護法第四條明確，個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。從此定義可以看出，個人信息從某種程度上來說即是個人隱私。

孫憲忠說，違規收集個人隱私是違法的，但不能說只要收集個人隱私就都是違法的，如醫院收集個人身體狀況有關信息就是必要的，因為醫院要給病人治病。個人信息保護法第六條明確，處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式。收集個人信息，應當限于實現處理目的的最小范圍，不得過度收集個人信息。

直擊五大痛點

針對當前存在的五大痛點，個人信息保護法均給出了相應的回應。

痛點一：“大數據殺熟”侵犯消費者權益。“大數據殺熟”是指在互聯網銷售平臺利用消費者的消費數據，就相同的產品對不同用戶給出不同的價格。楊合慶表示，根據個人信息保護法，個人信息處理者利用個人信息進行自動化決策，應當保證決策的透明度和結果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇。通過自動化決策方式向個人進行信息推送、商業營銷，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。

痛點二：敏感個人信息被濫用。“個人信息保護法將生物識別、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息列為敏感個人信息。”楊合慶說。該法要求，只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，方可處理敏感個人信息，同時應事前進行影響評估，并向個人告知處理的必要性以及對個人權益的影響。

痛點三：個人信息跨境提供不規范。劉俊臣介紹，個人信息保護法明確關鍵信息基礎設施運營者和處理個人信息達到國家網信部門規定數量的處理者，確需向境外提供個人信息的，應當通過國家網信部門組織的安全評估。對于其他需要跨境提供個人信息的，規定了經專業機構認證等途徑。

痛點四：個人信息被泄露。比如，一些人反映，自己的手機時不時地收到貸款、培訓、購房等諸如此類的廣告推銷信息。“這屬于在信息收集之后的‘占有和加工管理’。”孫憲忠介紹說，個人信息保護法對此也有一些明確的規定。此外，在應對新冠肺炎疫情過程中，大數據應用為聯防聯控和復工復產提供了有力支持。個人信息保護法將應對突發公共衛生事件，或者緊急情況下保護自然人的生命健康，作為處理個人信息的合法情形之一。“需要強調的是，在上述情形下處理個人信息，也必須嚴格遵守本法規定的處理規則，履行個人信息保護義務。”劉俊臣說。

痛點五：“人臉識別”泛濫。個人信息保護法規定，在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，并設置顯著的提示標識。“不是任何主體都有權在公共場所安裝圖像采集、個人身份識別設備，必須是為了維護公共安全并且要符合國家有關規定，同時還要通過設置顯著的提示標識加以告知。”清華大學法學院副院長、教授、博士生導師程嘯說，“對于收集的個人圖像、身份識別信息只能用于特定的目的即維護公共安全，未取得個人單獨同意的，不得用于其他目的。”

明確各方義務

“個人信息保護法明確個人信息處理活動中個人的權利和處理者義務。”劉俊臣說。

一方面，與民法典的有關規定相銜接，明確在個人信息處理活動中個人的各項權利，包括知情權、決定權、查詢權、更正權、刪除權等，并要求個人信息處理者建立個人行使權利的申請受理和處理機制。

另一方面，明確個人信息處理者的合規管理和保障個人信息安全等義務：要求其按照規定制定內部管理制度和操作規程，采取相應的安全技術措施，并指定負責人對其個人信息處理活動進行監督;定期對其個人信息活動進行合規審計;對處理敏感個人信息、向境外提供個人信息等高風險處理活動，事前進行風險評估;履行個人信息泄露通知和補救義務，等等。

“超大型互聯網平臺掌握了海量用戶數據，一旦發生信息泄露或者濫用，可能導致極為嚴重的后果。”楊合慶說，個人信息保護法特別規定了這類平臺需要履行的義務，包括按照國家規定建立健全個人信息保護合規制度體系，成立主要由外部成員組成的獨立機構進行監督，遵循公開、公平、公正的原則制定平臺規則，對嚴重違法處理個人信息的平臺內產品或者服務提供者停止提供服務等。

個人信息保護法根據個人信息處理的不同情況，對違法處理個人信息的行為設置了不同梯次的行政處罰。對未造成嚴重后果的輕微或一般違法行為，可由執法部門責令改正、給予警告、沒收違法所得，對拒不改正的最高可處一百萬元罰款;對情節嚴重的違法行為，最高可處五千萬元或上一年度營業額百分之五的罰款，并可以對相關責任人員做出相關從業禁止的處罰。

“在監管部門方面，個人信息保護法法明確，國家網信部門和國務院有關部門在各自職責范圍內負責個人信息保護和監督管理工作。”楊合慶說，“同時對個人信息保護和監管職責作出規定，其中包括指導監督個人信息保護工作、接收處理相關投訴舉報、組織對應用程序等進行測評、調查處理違法個人信息處理活動等。”

(記者 李海洋)

關鍵詞： 個人信息 保護力度 護航 數字生態 建設