全面保護(hù)個人信息新時代，十大亮點(diǎn)都有啥？
《中華人民共和國個人信息保護(hù)法》（以下簡稱《個人信息保護(hù)法》）自去年11月1日起施行以來，迄今已滿一周年?；仡欉^去十年，我國在個人信息保護(hù)方面的工作，可謂一步一個臺階，法網(wǎng)越織越密。黨的二十大報告再次強(qiáng)調(diào)，要加強(qiáng)個人信息保護(hù)。這為我國今后的個人信息保護(hù)工作，進(jìn)一步奠定了基調(diào)，明確了方向。
我國對于個人信息法律層面的保護(hù)，最早的立法可追溯至2004年的《居民身份證法》，在2009年實施的《刑法修正案（七）》中，專門增加了“侵犯公民個人信息罪”。此后，隨著互聯(lián)網(wǎng)與經(jīng)濟(jì)社會持續(xù)深度融合，以電子等方式記錄的個人信息大量產(chǎn)生，個人信息保護(hù)面臨嚴(yán)峻挑戰(zhàn)，我國對個人信息的保護(hù)愈加重視，特別是黨的十八大以來，立法逐漸完善。
回溯過去十年，可以說，我國基本構(gòu)建了個人信息保護(hù)的四梁八柱。2012年，全國人大常委會出臺《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》，重點(diǎn)強(qiáng)化對個人隱私信息的保護(hù)；2013年，全國人大常委會修訂《消費(fèi)者權(quán)益保護(hù)法》，強(qiáng)調(diào)依法保護(hù)消費(fèi)者個人信息，明確了消費(fèi)者個人信息保護(hù)的基本規(guī)則；2015年，全國人大常委會通過《刑法修正案（九）》，擴(kuò)大了侵犯公民個人信息犯罪主體的范圍；2017年6月1日，我國首部《網(wǎng)絡(luò)安全法》實行，專章規(guī)定了公民個人信息保護(hù)的基本法律制度；2019年1月1日起施行《電子商務(wù)法》，要求電子商務(wù)經(jīng)營者依法履行個人信息保護(hù)的義務(wù)；2021年1月1日，我國首部《民法典》正式實施，確立了個人信息保護(hù)的基本原則和規(guī)則；2021年11月1日，我國第一部個人信息保護(hù)的專門性法律——《個人信息保護(hù)法》開始施行，開啟了依法全面保護(hù)個人信息的新時代。
今天，在這部有著劃時代意義的法律實施整滿一周年的日子，我們有必要再次梳理一下這部法律的十大突出亮點(diǎn)：
一是個人信息的“保護(hù)”和“利用”同步推進(jìn)。《個人信息保護(hù)法》第一條規(guī)定：“為了保護(hù)個人信息權(quán)益，規(guī)范個人信息處理活動，促進(jìn)個人信息合理利用，根據(jù)憲法，制定本法?！笔聦嵣希耙?guī)范個人信息處理活動”處于整個《個人信息保護(hù)法》的核心地位，只有夯實“規(guī)范個人信息處理活動”這個關(guān)鍵環(huán)節(jié)，才能確保實現(xiàn)保護(hù)個人信息權(quán)益和促進(jìn)個人信息合理利用之目的。《個人信息保護(hù)法》的立法宗旨，是在確保個人信息安全的前提下，依法促進(jìn)個人信息的合理利用，“保護(hù)”個人信息和“促進(jìn)”合理利用要同步推進(jìn)。
二是完善了“個人信息”的定義。《個人信息保護(hù)法》第四條第一款將“個人信息”定義為：“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息?！?《個人信息保護(hù)法》的上述定義與《民法典》、《網(wǎng)絡(luò)安全法》中的“個人信息”最大的不同在于，《個人信息保護(hù)法》的定義增加了“不包括匿名化處理后的信息”的除外規(guī)定，即明確了“個人信息”經(jīng)匿名化處理后不屬于個人信息，無須適用《個人信息保護(hù)法》的相關(guān)規(guī)定，體現(xiàn)了“保護(hù)”與“利用”的并重。
三是確立個人信息處理的基本原則。《個人信息保護(hù)法》確立的處理個人信息的重要法律原則包括：遵循合法、正當(dāng)、必要和誠信原則；采取對個人權(quán)益影響最小的方式，限于實現(xiàn)處理目的的最小范圍原則；處理個人信息應(yīng)當(dāng)遵循公開、透明原則；處理個人信息應(yīng)當(dāng)保證個人信息質(zhì)量原則；采取必要措施確保個人信息安全原則等。
《個人信息保護(hù)法》總則部分中的兩個“最小原則”，是個人信息處理應(yīng)遵循的核心原則。《個人信息保護(hù)法》第六條規(guī)定：“處理個人信息應(yīng)當(dāng)具有明確、合理的目的，并應(yīng)當(dāng)與處理目的直接相關(guān)，采取對個人權(quán)益影響最小的方式。收集個人信息，應(yīng)當(dāng)限于實現(xiàn)處理目的的最小范圍，不得過度收集個人信息?！?/p>
四是確立了“告知-知情-同意”的個人信息處理規(guī)則。《個人信息保護(hù)法》不僅是確立了以“告知-同意”的個人信息處理規(guī)則，而且構(gòu)建了以“告知-知情-同意”為核心的個人信息處理規(guī)則體系。個人信息處理者“告知”的目的是為了確保被告知者的充分“知情”，只有被告知者在充分知情的前提下才能自愿、明確地作出決定?！秱€人信息保護(hù)法》第十四條明確規(guī)定：“基于個人同意處理個人信息的，該同意應(yīng)當(dāng)由個人在充分知情的前提下自愿、明確作出。法律、行政法規(guī)規(guī)定處理個人信息應(yīng)當(dāng)取得個人單獨(dú)同意或者書面同意的，從其規(guī)定?！?/p>
五是確立了敏感個人信息的認(rèn)定與保護(hù)規(guī)則。《個人信息保護(hù)法》沒有對自然人的隱私信息做出專門規(guī)定，而是將個人信息分為敏感信息和非敏感信息，并設(shè)專節(jié)設(shè)置了“敏感個人信息的處理規(guī)則”。《個人信息保護(hù)法》第二十八條給出了“敏感個人信息”的定義，即“敏感個人信息是一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財產(chǎn)安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。”
《個人信息保護(hù)法》對處理敏感個人信息作出了嚴(yán)格的限制性規(guī)定，即在履行“告知-知情-同意”原則的基礎(chǔ)上，只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，個人信息處理者方可處理敏感個人信息。特別是處理敏感個人信息應(yīng)當(dāng)取得個人的單獨(dú)同意。
六是規(guī)范自動化決策與遏制“大數(shù)據(jù)殺熟”。針對“大數(shù)據(jù)殺熟”“用戶畫像”和“算法推薦”等涉及個人信息自動化決策的熱點(diǎn)問題，《個人信息保護(hù)法》第二十四條作出了明確規(guī)定：第一，個人信息處理者利用個人信息進(jìn)行自動化決策，應(yīng)當(dāng)保證決策的透明度和結(jié)果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇；第二，通過自動化決策方式向個人進(jìn)行信息推送、商業(yè)營銷，應(yīng)當(dāng)同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式；第三，通過自動化決策方式作出對個人權(quán)益有重大影響的決定，個人有權(quán)要求個人信息處理者予以說明，并有權(quán)拒絕個人信息處理者僅通過自動化決策的方式作出決定。
七是明確個人信息跨境提供規(guī)則。《個人信息保護(hù)法》第三十八條明確了個人信息跨境提供的基本規(guī)則，即個人信息處理者因業(yè)務(wù)等需要，確需向中華人民共和國境外提供個人信息的，應(yīng)當(dāng)具備以下四項條件之一：一是依照《個人信息保護(hù)法》第四十條的規(guī)定通過國家網(wǎng)信部門組織的安全評估；二是按照國家網(wǎng)信部門的規(guī)定經(jīng)專業(yè)機(jī)構(gòu)進(jìn)行個人信息保護(hù)認(rèn)證；三是按照國家網(wǎng)信部門制定的標(biāo)準(zhǔn)合同與境外接收方訂立合同，約定雙方的權(quán)利和義務(wù)；四是法律、行政法規(guī)或者國家網(wǎng)信部門規(guī)定的其他條件。
八是明確個人在個人信息處理活動中的七項基本權(quán)利。《個人信息保護(hù)法》構(gòu)建了個人在個人信息處理活動中的七項權(quán)利：一是知情同意權(quán)，收集和使用公民個人信息必須遵循合法、正當(dāng)、必要原則，且目的必須明確并經(jīng)用戶的知情同意；二是決定權(quán)，有權(quán)限制、拒絕或撤回他人對其個人信息的處理；三是查閱復(fù)制權(quán)，個人有權(quán)向個人信息處理者查閱、復(fù)制其個人信息；四是個人信息可攜帶權(quán)，個人請求將個人信息轉(zhuǎn)移至其指定的個人信息處理者，符合國家網(wǎng)信部門規(guī)定條件的，個人信息處理者應(yīng)當(dāng)提供轉(zhuǎn)移的途徑；五是更正補(bǔ)充權(quán)，個人發(fā)現(xiàn)其個人信息不準(zhǔn)確或者不完整的，有權(quán)請求個人信息處理者更正、補(bǔ)充；六是刪除權(quán)，在五種情形下，個人信息處理者應(yīng)當(dāng)主動刪除個人信息；個人信息處理者未刪除的，個人有權(quán)請求刪除：1）處理目的已實現(xiàn)、無法實現(xiàn)或者為實現(xiàn)處理目的不再必要，2）個人信息處理者停止提供產(chǎn)品或者服務(wù)，或者保存期限已屆滿，3）個人撤回同意，4）個人信息處理者違反法律、行政法規(guī)或者違反約定處理個人信息，5）法律、行政法規(guī)規(guī)定的其他情形；七是規(guī)則解釋權(quán)，個人有權(quán)要求個人信息處理者對其個人信息處理規(guī)則進(jìn)行解釋說明。
九是強(qiáng)調(diào)重要互聯(lián)網(wǎng)平臺的“守門人”責(zé)任。鑒于重要互聯(lián)網(wǎng)平臺掌握海量用戶數(shù)據(jù)，一旦發(fā)生信息泄露或濫用，可能導(dǎo)致嚴(yán)重后果，《個人信息保護(hù)法》專門要求其履行“守門人”角色，并承擔(dān)更多責(zé)任，主要包括：1）應(yīng)按照國家規(guī)定建立健全個人信息保護(hù)合規(guī)制度體系；2）成立主要由外部成員組成的獨(dú)立機(jī)構(gòu)進(jìn)行監(jiān)督；3）遵循公開、公平、公正的原則制定平臺規(guī)則；4）對嚴(yán)重違法處理個人信息的平臺內(nèi)產(chǎn)品或服務(wù)提供者停止提供服務(wù)；5）定期發(fā)布個人信息保護(hù)社會責(zé)任報告并接受社會監(jiān)督等。
十是確立個人信息處理者侵權(quán)責(zé)任的過錯推定。《個人信息保護(hù)法》第六十九條規(guī)定：“處理個人信息侵害個人信息權(quán)益造成損害，個人信息處理者不能證明自己沒有過錯的，應(yīng)當(dāng)承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任。前款規(guī)定的損害賠償責(zé)任按照個人因此受到的損失或者個人信息處理者因此獲得的利益確定；個人因此受到的損失和個人信息處理者因此獲得的利益難以確定的，根據(jù)實際情況確定賠償數(shù)額?！?/p>
“個人信息處理者不能證明自己沒有過錯的，應(yīng)當(dāng)承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任”。這是一項“過錯推定”原則，即在個人信息處理者不能證明其沒有過錯的情況下，就推定其有過錯，應(yīng)承擔(dān)賠償損害責(zé)任。
作者：王春暉 網(wǎng)絡(luò)空間治理與數(shù)字經(jīng)濟(jì)（長三角）研究基地主任兼首席專家
