個人信息保護法終出臺 人臉信息等敏感個人信息獲保護

應用程序過度收集個人信息、大數據“殺熟”……這些侵害用戶權益的行為將無所遁形。8月20日，十三屆全國人大常委會第三十次會議表決通過了《中華人民共和國個人信息保護法》(以下簡稱個人信息保護法)，自今年11月1日起施行。近年來，個人信息泄露事件屢屢發生，用戶的信息安全存在嚴重隱患。作為我國首部針對個人信息保護的專門性立法，個人信息保護法將進一步強化個人信息安全監管與治理。

歷經十八載終出臺

隨著大數據時代的到來，數據已經成為與物質資產和人力資本同樣重要的基礎生產要素。隨著數字經濟的蓬勃發展及5G、人工智能等新興技術的快速崛起，網絡安全問題已成為各行業、各領域關注的焦點，數據集聚開發應用背后的隱私泄露、數據泄露等問題亟待解決。

個人信息保護法千呼萬喚始出來，引發社會高度關注。全國人大常委會法工委副主任劉俊臣曾表示，制定個人信息保護法是進一步加強個人信息保護法制保障的客觀要求，是維護網絡空間良好生態的現實需要，也是促進數字經濟健康發展的重要舉措。

早在2001年，國家就成立了國家信息化領導小組，下設國務院信息化工作辦公室，主要負責推動國家的信息化相關立法;2003年，國務院信息化工作辦公室即著手部署個人信息保護法立法研究工作;2018年9月，全國人大常委會正式將個人信息保護法納入“十三屆全國人大常委會立法規劃”，位列“條件比較成熟、任期內擬提請審議”的69部法律草案之中。

去年5月，十三屆全國人民代表大會第三次會議審議通過了民法典，其最大亮點之一就是人格權編單獨成編，對個人信息受法律保護的權利內容及其行使等內容作了原則規定;全國人大常委會工作報告在下一步主要工作安排中指出，圍繞國家安全和社會治理，制定生物安全法、個人信息保護法、數據安全法，通過刑法修正案(十一)，修改行政處罰法、人民武裝警察法等;同年10月，中國人大網公布了《中華人民共和國個人信息保護法(草案)》(一審稿)全文，公開征求意見，并提請十三屆全國人大常委會第二十二次會議審議。

今年4月，第十三屆全國人大常委會第二十八次會議對《中華人民共和國個人信息保護法(草案二次審議稿)》進行了審議，主要針對廣大人民群眾反映的個人信息收集、使用規則不透明以及個人信息被過度收集、使用等突出問題進行了修改和完善。

全面個人信息保護時代來臨

互聯網數據生態治理在數字化時代已成為一項長期而重要的工程，有關部門已經連續出臺多條政策、法規保護個人信息安全、優化網絡環境。隨著個人信息保護法的出臺，由網絡安全法、數據安全法、個人信息保護法構成的我國數字經濟時代三大法律支柱體系基本確立。

中國信息通信研究院互聯網法律研究中心高級研究員楊婕認為，個人信息保護法從全局高度對各主體利益進行統籌安排和科學分配，在規則安排上既保護了個人信息權益，又拓展了個人信息處理者利用個人信息的合理空間，也回應了國家機關為履行法定職責或者法定義務處理個人信息的訴求，從而最大化實現社會利益。

北京大成(杭州)律師事務所合伙人孫鵬程律師表示，從全球層面上來說，個人信息保護逐漸成為各國立法機構的重要議題，且目前已有超過140多個國家和地區均制定了個人信息保護相關的法律，本次我國出臺的個人信息保護法幾乎與國際個人信息保護通用原則全面接軌，體現了我國包容開發的心態，有助于數字經濟的全球化發展。

個人信息保護法第一條開宗明義地表明其立法依據為憲法，這將我國對個人信息受保護的權利提升到了憲法的高度，標志著我國對個人信息的保護上升到了更高的高度，且在一定程度上回應了公眾對于國內個人信息被侵權、泄露的關切。

與此同時，個人信息保護法的出臺標志我國進入了全面的個人信息保護時代。從個人信息主體來看，其依法享有對其個人信息的查詢權、復制權、刪除權、更正權、保持完整性和準確性權、投訴權、要求說明權和訴訟權。從執法機構來看，除目前常態化的執法行動外，針對個人信息保護的公益訴訟也將常態化地持久發力，最高檢已下發《關于貫徹執行個人信息保護法推進個人信息保護公益訴訟檢察工作的通知》，旨在通過明確個人信息保護公益訴訟辦案重點，加強對于個人信息的保護。

人臉信息等敏感個人信息獲保護

個人信息保護法共八章74條。在有關法律的基礎上，該法進一步細化、完善了個人信息保護應遵循的原則和個人信息處理規則，明確個人信息處理活動中的權利義務邊界，健全個人信息保護工作體制機制。

北京市偉博律師事務所主任李偉民認為，個人信息保護法主要有明確了“個人信息”的定義和法律性質、明確了個人信息保護法特殊的域外效力、明確了與個人信息有關活動的性質和范圍、明確了個人信息處理的基本原則和一般原則、明確了個人信息處理“同意原則”的例外情形、明確了個人信息越境轉移的特殊規則等亮點。

他表示，個人信息保護法是一部信息時代、具有特殊歷史使命的法律，具有私法的特征，同時也兼具公法的特征，個人信息定義的明確具有很大進步性，具有識別功能或者具有識別可能性、與個人有關的電子信息或者其他形式存在的信息都屬于該法保護的個人信息。

與此同時，個人信息保護法還明確了敏感信息的定義和特殊的處理規則，并強調對特定弱勢群體的保護。例如，處理敏感個人信息應當取得個人的單獨同意;法律、行政法規規定處理敏感個人信息應當取得書面同意的，從其規定;個人信息處理者處理不滿十四周歲未成年人個人信息的，應當取得未成年人的父母或者其他監護人的同意。個人信息處理者處理不滿十四周歲未成年人個人信息的，應當制定專門的個人信息處理規則。

李偉民認為，生物識別信息、基因信息、診療信息、未成年的有關信息屬于敏感信息，不同于一般的個人信息，保護程度和造成的損害都有所不同，處理規則也要區別對待，總體原則上，對個人信息中的敏感信息的保護要更加嚴格。

對App過度收集個人信息、公共場所安裝攝像頭和人臉識別設備等個人信息保護中的問題進行規范，也是個人信息保護法的亮點之一。今年央視“3·15”晚會上，上海科勒衛浴、寶馬等商家被發現在門店中裝有特別為人臉識別使用的攝像頭，用于消費者管理。顧客進店后在完全不知情的情況下就被采集了人臉數據，這些信息一旦被泄露，將嚴重威脅個人的財產、隱私安全。

針對濫用人臉識別技術問題，個人信息保護法要求，在公共場所安裝圖像采集、個人身份識別設備，應設置顯著的提示標識;所收集的個人圖像、身份識別信息只能用于維護公共安全的目的。

大數據“殺熟”將無所遁形

大數據“殺熟”是社會公眾對互聯網平臺利用大數據和算法對用戶進行畫像分析，從而收取不同價格等行為的概括性說法。據統計，目前，已經有多部法律法規出臺約束大數據“殺熟”行為，包括反壟斷法、電子商務法、價格法等。

近年來，對于反壟斷的關注不斷增加。國家市場監管總局已多次開出反壟斷罰單，此外，反壟斷還成為全國兩會中的焦點，被寫入了今年的政府工作報告。在這種態勢下，“二選一”、大數據“殺熟”等行為更是無所遁形。

個人信息保護法對大型和小型個人信息處理者進行了區分。對于提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者，要遵循公開、公平、公正的原則制定平臺規則，還必須成立主要由外部成員組成的獨立監管機構，定期發布個人信息保護責任報告，接受全社會的監督。

個人信息保護法第二十四條還規定，個人信息處理者利用個人信息進行自動化決策，應當保證決策的透明度和結果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇;通過自動化決策方式向個人進行信息推送、商業營銷的，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。

孫鵬程律師表示，對于消費者來說，個人信息保護法授予了其知情權、決定權、查閱權、復制權、更正權、保持個人信息完整性和準確性的權利、撤回同意的權利。

事實上，今年以來，隨著執法機構執法的日趨嚴厲以及趨于常態化，應用程序過度收集個人信息以及大數據“殺熟”等行為已逐漸減少。隨著個人信息保護法的出臺和個人信息主體意識的提高(包括向執法機構投訴侵犯其個人權利的情形)，毫無疑問，這些侵權行為將無所遁形。(記者 祖爽)