个人信息保护法 个人信息保护将于11月1日实施 有一把“安全锁”

未来将限制应用程序过度收集个人信息、一揽子授权、强制同意和“杀死”大数据。近日，十三届全国人大常委会第三十次会议表决通过《中华人民共和国个人信息保护法》号(以下简称《个人信息保护法》)，将于今年11月1日起施行。作为我国第一部针对个人信息保护的专门立法，《个人信息保护法》将进一步加强对个人信息安全的监管和治理，将个人信息使用权锁在法律的笼子里。

　　限制过度收集用户信息

“去餐厅吃饭时，需要扫码点餐，有些还必须填写与服务无关的个人信息，如姓名、出生日期、手机号码等。有时候想下载一个App，需要和平台达成某种‘交易’，开放很多个人隐私，比如允许授权打开相册、允许打开通讯录、允许打开定位等等。”谈及商家过度收集个人信息的现象，在北京工作的陈先生频频“吐槽”。他担心自己的信息在这个过程中可能会被泄露，并质疑这些收集信息的方法的合法性。

全国人大常委会法制工作委员会经济法室副主任杨鹤庆指出，随着信息化与经济社会不断深度融合，在现实生活中，一些企业、事业单位甚至个人随意收集、非法获取、过度使用、非法买卖来自商业利益的个人信息，利用个人信息扰乱人民群众生活安宁，危害人民群众生命健康和财产安全。

为了保护个人信息处理的知情权和决定权，《个人信息保护法》将“告知—同意”作为个人信息保护的核心规则。法律规定，处理个人信息应当有明确合理的目的，应当与处理目的直接相关，对个人权益影响最小。出于处理目的，个人信息的收集应限制在最小范围内。同时规定在处理个人信息时，要在提前充分通知的前提下取得个人同意，如果个人信息处理的重要事项发生变化，要再次通知个人并取得同意。这意味着，该法出台后，过度收集用户个人信息，如“一揽子授权”和“强制同意”，将受到限制。

“这种同意必须是基于通知的有效同意，包括‘个人同意’和‘书面同意’，并可在‘同意’后‘撤回’。这充分体现了对个人信息处理知情权和决定权的法律保护。”薛军，北京大学法学院教授。

　　防止大数据“杀熟”

在同一酒店、同一档次、同一时间的机票上，老用户比新用户花钱多，因为他们对新用户更优惠。互联网平台利用大数据和算法分析用户的图像，从而收集不同的价格，这被称为大数据的“杀戮”。目前，包括反垄断法、电子商务法、价格法在内的多部法律法规都对这一行为进行了约束。

根据《个人信息保护法》，个人信息处理者利用个人信息进行自动决策时，应当保证决策的透明度和结果的公平公正，不得在交易价格等交易条件上对个人给予不合理的差别待遇。要通过自动决策向个人推送信息和进行商业营销，应同时提供不针对其个人特点的选项，或向个人提供便捷的拒绝方式。

中国信息通信研究院互联网法律研究中心主任郁芳认为，在反垄断法框架下，“扼杀”大数据是对市场支配地位的滥用，反垄断法已经有类似规定。《个人信息保护法》对此做了规定，可以生物识别、宗教信仰、特定身份、医疗保健、金融账户和行踪等信息对个人来说都很敏感。一旦泄露或非法使用，极易导致人格尊严受到侵害或人身财产安全受到危害。与此同时，随着互联网的不断普及，针对青少年的网络暴力和网络诈骗事件频繁发生，需要在更高层面对青少年个人信息进行保护。

《个人信息保护法》将上述所有信息视为敏感的个人信息，要求只有在具有特定目的和充分必要性并采取严格保护措施的情况下，才能对该信息进行处理。同时，应提前进行影响评估，并告知个人处理的必要性和对其权益的影响。

最高人民法院7月底发布的《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》全面规范了以“人脸识别”为代表的敏感个人信息案件的审理；根据国家网信办此前公布的《汽车数据安全管理若干规定(征求意见稿)》，驾驶员可随时停止采集车辆位置、驾驶员或乘客的音视频等敏感个人信息.随着相关法律法规的出台，国家加强了对个人信息中敏感信息的保护。

《个人信息保护法》专门规定，处理未满14周岁未成年人的个人信息时，处理人应当征得未成年人父母或者其他监护人的同意，并制定专门的处理规则。

中国信息安全研究院副院长左晓东表示，该规定旨在限制某些平台为未成年人非法牟利，要求相关平台切实履行相应的社会责任。“现在有些平台禁止未成年用户充值或‘奖励’，这是专门针对未成年人制定个人信息处理规则的体现。”

　　加强保护个人敏感信息

个人信息处理活动涉及面广、情况复杂、主体多样、隐蔽性强。一旦发生侵犯个人信息权益的行为，往往会给社会造成严重后果。《个人信息保护法》对非法处理个人信息规定了不同的行政处罚。对尚未造成严重后果的轻微或者一般违法行为，执法部门可以责令改正，给予警告，没收违法所得，对拒不改正的，可以处以100万元以下的罚款；对于严重违法行为，最高处罚为50。

00万元或上一年度营业额5%的罚款，并可以对相关责任人员作出相关从业禁止的处罚。杨合庆认为，个人信息保护法以严密的制度、严格的标准、严厉的问责，构建了权责明确、保护有效、利用规范的个人信息处理和保护制度规则。

在监管体制上，个人信息保护法规定国家网信部门负责统筹协调相关监管工作，国务院有关部门依法履行各自监管职责。对外经济贸易大学数字经济与法律创新研究中心执行主任许可说，该法采取“规则制定权相对集中，执法权相对分散”的监管架构，这源于个人信息保护法的执法属多元执法、多头执法，需要网信部门发挥统筹协调功能，统一执法标准。执法机构应根据实际情况制订符合个人信息保护法原则和规则、更细致的执法规范性文件和部门规章、司法解释和具体指导案例，将个人信息保护法落到实处。

对掌握海量用户数据的超大型互联网平台，个人信息保护法要求成立主要由外部成员组成的独立监管机构、定期进行合规审计等。中国人民大学未来法治研究院副院长丁晓东认为，这些规定重在建立事前的预防机制，从源头阻止个人信息被侵害的情形发生。而一旦发生侵害个人信息的行为，将对个人信息处理者实行过错推定原则，不能证明自己没有过错的就应当承担损害赔偿等侵权责任，这将在很大程度上减轻个人维权的难度。