明確不得過度收集個人信息、大數據殺熟,對人臉信息等敏感個人信息的處理作出規制,完善個人信息保護投訴、舉報工作機制……8月20日,十三屆全國人大常委會第三十次會議表決通過的《中華人民共和國個人信息保護法》充分回應社會關切,將于2021年11月1日起施行。
專家表示,當前個人信息保護已成為廣大人民群眾最關心最直接最現實的利益問題之一,個人信息保護法進一步完善我國在數據領域的立法體系,全方位構筑個人信息保護網,標志著我國個人信息保護邁出具有里程碑意義的一步。
全方位構筑個人信息保護網
個人信息保護法共8章74條,在有關法律的基礎上,進一步細化、完善個人信息保護應遵循的原則和個人信息處理規則,明確個人信息處理活動中的權利義務邊界,健全個人信息保護工作體制機制。
“個人信息保護法從全局高度對各主體利益進行統籌安排和科學分配,在規則安排上既保護了個人信息權益,又拓展了個人信息處理者利用個人信息的合理空間,也回應了國家機關為履行法定職責或者法定義務處理個人信息的訴求,從而最大化實現社會利益。”中國信息通信研究院互聯網法律研究中心高級研究員楊婕表示。
針對App過度收集個人信息、公共場所安裝攝像頭和人臉識別設備等個人信息保護中的熱點難點問題,個人信息保護法也給出回應,包括處理個人信息應當具有明確、合理的目的,并應當與處理目的直接相關,采取對個人權益影響最小的方式;在公共場所安裝圖像采集、個人身份識別設備,應設置顯著的提示標識;所收集的個人圖像、身份識別信息只能用于維護公共安全的目的。
中國電子信息產業發展研究院網絡安全所所長劉權表示,針對線上應用和線下設備過度收集用戶信息,造成的個人信息采集邊界模糊問題,個人信息保護法提出以“知情同意”為重要核心、以“最少必要信息”為基本原則的個人信息采集要求,旨在從數據全生命周期源頭為個人信息打造“安全保護鎖”。
中國信息通信研究院云計算與大數據所工程師呼娜英也指出,個人信息保護法明確要求個人信息處理者在處理敏感個人信息前需存在“特定的目的”及“充分的必要性”。這是處理個人信息需遵循“合法、正當、必要”的具體體現,也對處理敏感個人信息提出更高要求。這樣一來,零售商要求刷臉進出或支付、小區要求刷臉進出、樓宇閘機要求刷臉登記等場景僅以人臉識別作為唯一方式,則可能因缺乏目的正當性和必要性而遭受挑戰。
針對越來越多的企業利用大數據分析、評估消費者個人特征用于商業營銷的“大數據殺熟”問題,個人信息保護法給予明確禁止,規定個人信息處理者利用個人信息進行自動化決策,不得對個人在交易價格等交易條件上實行不合理的差別待遇。劉權認為,在社會各界的普遍監督下,濫用技術手段實施“大數據殺熟”行為的主體將會受到高額罰款、終止服務等嚴厲的監管處罰,消費者權益有望得到充分保障。
加強對頭部企業監督規范
當前,不少互聯網巨頭企業掌握大量個人信息,對互聯網生態環境有巨大的影響和控制力。業內人士認為,互聯網巨頭等大型個人信息處理者應受到更加嚴格的規范,在個人信息保護方面應當承擔更多的法律義務。
個人信息保護法對大型和小型個人信息處理者進行區分。對于提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者,特別規定了其需要履行的義務,如建立健全個人信息保護合規制度體系,定期發布個人信息保護社會責任報告,接受社會監督等。而信息量較少、處理活動簡單、技術水平較低的小型企業則由國家網信部門為其制定數據處理的相關規則。
“互聯網巨頭等大型個人信息處理者需履行‘守門人’角色,并承擔更多責任。”劉權表示,這一舉措充分體現我國法律制定對于“因材施教”的考量:針對大型企業,充分發揮其主體責任,重點加強對其個人信息處理活動的監管;對于小型企業,需考慮其強化個人信息保護和負擔合規成本之間的平衡,避免較高的合規成本成為其創新發展的阻礙。
對外經貿大學數字經濟與法律創新研究中心執行主任許可認為,下一步相關部門需要進一步劃分大型和小型個人信息處理者標準,在降低要求、豁免部分責任等方面對小型個人信息處理者作出專門規則設計,這為制定個人信息保護法相關配套性立法留足了空間。
個人信息保護法設立個人信息可攜權,對大型平臺的“數據壟斷”現象亮劍。許可表示,個人信息可攜權代表著用戶有權依照自己意愿將其個人數據從一個平臺轉移到另一個平臺。從個人權益的角度出發,在某些場景下個人信息可攜帶是必需的,例如醫療健康、教育等行業,數據和信息的合理、有序流動為普通民眾帶來了便捷。
楊婕也指出,當前,具有先發市場地位的大型平臺通過在市場早期積累的大量用戶個人信息,逐步形成了不可撼動的行業地位。可攜權的設立,強化了用戶自主權,能夠有效破除個人信息流通障礙,以用戶權益為出發點,形成“用戶主導型”個人信息跨平臺流通,起到防止個人信息鎖定、降低市場準入門檻以及增強平臺之間競爭的效果。
保障數字經濟長遠發展利益
在業內專家看來,個人信息保護法的出臺將促進信息數據依法合理有效利用,為數字經濟健康發展提供法律保障。
“過去幾十年,國際上諸多國家紛紛探索個人信息保護制度,并相繼完成個人信息保護相關立法,我國雖早已發布關于個人信息安全保護的多項規范性文件及國家標準,并組織開展違法違規行為的專項打擊活動,但由于缺乏具有強威懾力的頂層法律制度,個人信息安全亂象屢禁不止,由此對我國數字技術和產業發展造成的風險也逐漸加劇。”劉權說。
中國法學會法治研究所研究員劉金瑞表示,個人信息保護法的頒行實施和有關配套規定的制定落地,必將有力推動我國形成完備的個人信息保護制度體系,進而在保障個人信息權益的基礎上,促進信息數據依法合理有效利用,推動我國數字經濟持續健康發展。
劉權也表示,個人信息保護法為我國數字技術在法律規定的框架內快速發展創造了條件,為數字產業平穩發展提供了良好的社會環境。同時,其確立的個人信息處理原則、個人信息處理者責任義務、設立個人信息跨境標準合同機制等方面均與國際立法具有較強兼容性,為全球數據治理貢獻了中國解決方案。（作者：郭倩）