周輝

11月1日起，《中華人民共和國個人信息保護(hù)法》（下稱“個人信息保護(hù)法”）正式施行。這標(biāo)志著個人的信息權(quán)益有了更系統(tǒng)的法治保障，個人信息處理活動有了更明確的法律指引，中國數(shù)字經(jīng)濟(jì)發(fā)展和治理自此邁入嶄新階段。

如何理解個人信息保護(hù)法出臺

信息并非新的概念，個人信息保護(hù)也并非新的命題，與個人信息保護(hù)相關(guān)的法律規(guī)則此前更非空白，為什么當(dāng)下還要出臺一部個人信息保護(hù)法？

進(jìn)入數(shù)字時代后，形勢發(fā)生革命性變化。正如中共中央總書記習(xí)近平所指出：“數(shù)字技術(shù)正以新理念、新業(yè)態(tài)、新模式全面融入人類經(jīng)濟(jì)、政治、文化、社會、生態(tài)文明建設(shè)各領(lǐng)域和全過程，給人類生產(chǎn)生活帶來廣泛而深刻的影響。”隨著數(shù)字技術(shù)加速創(chuàng)新和數(shù)字經(jīng)濟(jì)蓬勃發(fā)展，個人信息處理的復(fù)雜性、普遍性日益增強(qiáng)，個人信息合理利用的經(jīng)濟(jì)社會價值和濫采濫用的侵權(quán)安全風(fēng)險也同步凸顯，傳統(tǒng)社會法律規(guī)則亟待系統(tǒng)性更新。

在數(shù)字時代，保障好個人信息權(quán)益，需要降低維權(quán)成本、提高侵權(quán)違法成本，需要賦予相對弱勢的個人更豐富的權(quán)利內(nèi)容和更有力的救濟(jì)機(jī)制，也需要監(jiān)管部門發(fā)揮好行政執(zhí)法主動性、專業(yè)性的優(yōu)勢。傳統(tǒng)的民事規(guī)則主要調(diào)整的是平等民事主體間法律關(guān)系，無法有效、及時調(diào)整信息大規(guī)模、多樣化、廣互聯(lián)利用過程中多主體間復(fù)雜的社會關(guān)系。

所以，需要補(bǔ)充特殊的民事責(zé)任規(guī)則、訴訟維權(quán)程序，也需要明確行政執(zhí)法權(quán)限和強(qiáng)化行政處罰力度，對個人信息監(jiān)管部門職責(zé)范圍以及如何監(jiān)管執(zhí)法作出規(guī)定。更重要的是，各級國家機(jī)關(guān)和法律、法規(guī)授權(quán)的具有管理公共事務(wù)職能的組織，在履行法定公共職責(zé)的過程中，也存在諸多處理個人信息的情形。對于這些公主體的個人信息處理活動，也需要一并予以規(guī)范。

同時，對個人信息權(quán)益的保障，不應(yīng)影響對個人信息的合理利用。個人信息雖然稱之為個人的，但在信息的公共價值日益凸顯的背景下，所有與個人相關(guān)的信息，不宜都專屬于個人排他性支配。個人信息的保護(hù)不能絕對化，成為個人信息促進(jìn)經(jīng)濟(jì)社會發(fā)展、提高數(shù)字經(jīng)濟(jì)國家競爭力的障礙。也正因如此，民法典沒有像對隱私的保護(hù)那樣，把個人信息整體明確為一項民事權(quán)利，僅申明自然人的個人信息受法律保護(hù)，保留了執(zhí)法和司法裁量的余地，也留出了個人信息主體外的其他主體依法合理利用個人信息的空間。進(jìn)一步地，就需要建立如何合理利用個人信息的法律規(guī)則，對個人信息的權(quán)益包括哪些內(nèi)容、如何實現(xiàn)，個人信息處理者的義務(wù)包括哪些以及如何履行做出規(guī)定。

信息全球化是繼商品全球化、資本全球化后的最新階段。伴隨數(shù)字經(jīng)濟(jì)跨境發(fā)展和平臺經(jīng)濟(jì)跨境運營，個人信息的全球流動，給變局下的全球化帶來新的機(jī)遇和挑戰(zhàn)。在信息數(shù)據(jù)資源利用國際競爭日益加劇的背景下，信息產(chǎn)業(yè)與信息市場的優(yōu)勢國家，對個人信息的跨境規(guī)則有著明顯分歧，個人信息保護(hù)存在成為新型貿(mào)易壁壘的態(tài)勢。

因此，針對境外在個人信息保護(hù)方面對中國采取歧視性的禁止、限制或者其他類似措施的情況，應(yīng)當(dāng)提前布局應(yīng)對。以歐盟為代表，域外個人信息保護(hù)立法在為我們提供立法經(jīng)驗教訓(xùn)的同時，也因其“長臂管轄”給中國個人信息處理主體帶來沖擊和影響;以跨國企業(yè)為代表，在業(yè)務(wù)開展過程中，存在個人信息跨境的顯著需求。此外，境外司法或執(zhí)法機(jī)構(gòu)還可能調(diào)取存儲于中國境內(nèi)的個人信息，也會有境外的組織、個人從事?lián)p害中國公民個人信息權(quán)益、危害中國國家安全和公共利益的個人信息處理活動。因此，有必要從國際大勢出發(fā)，積極回應(yīng)當(dāng)前國際競爭的需要，明確向境外提供個人信息的條件、程序和管理要求;依法約束境外司法或執(zhí)法機(jī)構(gòu)跨境調(diào)取行為，對等反制任何國家和地區(qū)在個人信息保護(hù)方面對中國采取的歧視性的禁止、限制或者其他類似措施。

消費者權(quán)益保護(hù)法的第二次修正和民法典、網(wǎng)絡(luò)安全法、電子商務(wù)法的制定，都及時回應(yīng)了個人信息保護(hù)實踐中的部分熱點難點問題。但是受限于立法目的和立法體例，它們都不可能系統(tǒng)地解決上述問題。正如《個人信息保護(hù)法（草案）》起草說明所指出的，“應(yīng)當(dāng)在現(xiàn)行法律基礎(chǔ)上制定出臺專門法律，增強(qiáng)法律規(guī)范的系統(tǒng)性、針對性和可操作性，在個人信息保護(hù)方面形成更加完備的制度、提供更加有力的法律保障?！?/p>

個人信息保護(hù)關(guān)乎人民群眾安全感、獲得感和幸福感，關(guān)乎數(shù)字經(jīng)濟(jì)規(guī)范健康持續(xù)發(fā)展，關(guān)乎國家安全和競爭新優(yōu)勢。習(xí)近平多次強(qiáng)調(diào)，要堅持網(wǎng)絡(luò)安全為人民、網(wǎng)絡(luò)安全靠人民，保障個人信息安全，維護(hù)公民在網(wǎng)絡(luò)空間的合法權(quán)益，對加強(qiáng)個人信息保護(hù)工作提出明確要求。

出臺個人信息保護(hù)法，就是依據(jù)憲法，全面總結(jié)民法典、網(wǎng)絡(luò)安全法等法律制定和實施經(jīng)驗，深入研究信息時代個人信息處理基本規(guī)律，借鑒有關(guān)國家和地區(qū)成功的立法經(jīng)驗，形成一部適應(yīng)新時代中國特色社會主義發(fā)展要求，全面調(diào)整不同主體個人信息處理活動的法律，充分發(fā)揮法治固根本、穩(wěn)預(yù)期、利長遠(yuǎn)、促發(fā)展的規(guī)范、引導(dǎo)、教育、保障作用。

未來已來。我們已經(jīng)進(jìn)入數(shù)字社會，個人信息保護(hù)法帶來的影響必然也是廣泛而深遠(yuǎn)的。圖/視覺中國

如何處理個人信息

與民法典、數(shù)據(jù)安全法保持一致，個人信息保護(hù)法規(guī)定了個人信息“處理”這一法律概念，將其作為個人信息收集、存儲、使用、加工、傳輸、提供、公開、刪除等活動的統(tǒng)稱。實施個人信息保護(hù)法的關(guān)鍵，就在于按照其規(guī)定的個人信息處理基本原則，規(guī)范個人信息處理活動。

第一，堅持合法正當(dāng)誠信原則。處理個人信息應(yīng)當(dāng)遵循合法、正當(dāng)、誠信原則，不得通過誤導(dǎo)、欺詐、脅迫等方式處理個人信息。任何組織、個人不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息;不得從事危害國家安全、公共利益的個人信息處理活動。利用個人信息進(jìn)行自動化決策，應(yīng)當(dāng)保證決策結(jié)果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇。

第二，堅持處理必要原則。個人信息保護(hù)法對個人信息的收集范圍、處理方式、保存期限等作了嚴(yán)格限制。收集個人信息，應(yīng)當(dāng)限于實現(xiàn)處理目的的最小范圍，不得過度收集個人信息。處理個人信息應(yīng)當(dāng)采取對個人權(quán)益影響最小的方式。除非處理個人信息屬于提供產(chǎn)品或者服務(wù)所必需，個人信息處理者不得以個人不同意處理其個人信息或者撤回其對個人信息處理的同意為由，拒絕提供產(chǎn)品或者服務(wù)。除法律、行政法規(guī)另有規(guī)定外，個人信息的保存期限應(yīng)當(dāng)為實現(xiàn)處理目的所必要的最短時間。在公共場所安裝圖像采集、個人身份識別設(shè)備，應(yīng)當(dāng)為維護(hù)公共安全所必需。對于敏感個人信息，只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，個人信息處理者方可處理。

第三，堅持目的特定原則。處理個人信息應(yīng)當(dāng)具有明確、合理的目的，并應(yīng)當(dāng)與處理目的直接相關(guān)。個人信息的處理目的發(fā)生變更的，應(yīng)當(dāng)重新取得個人同意。受托人應(yīng)當(dāng)按照約定處理個人信息，不得超出約定的處理目的處理個人信息。因合并、分立、解散、被宣告破產(chǎn)等原因需要接收個人信息的接收方，變更原先的處理目的的，應(yīng)當(dāng)依照重新取得個人同意。在公共場所安裝圖像采集、個人身份識別設(shè)備，所收集的個人信息，除非取得個人單獨同意，只能用于維護(hù)公共安全的目的，不得用于其他目的。處理目的已實現(xiàn)、無法實現(xiàn)或者為實現(xiàn)處理目的不再必要的，個人信息處理者應(yīng)當(dāng)主動刪除個人信息。

第四，堅持知情同意原則。知情同意是個人信息處理活動中最普遍的合法性基礎(chǔ)。除非包括該法在內(nèi)的法律、行政法規(guī)有特殊規(guī)定，處理個人信息應(yīng)當(dāng)取得個人的同意。包括地方性法規(guī)、部門規(guī)章和地方政府規(guī)章在內(nèi)的其他立法，不能創(chuàng)設(shè)例外?；趥€人同意處理個人信息的，該同意應(yīng)當(dāng)由個人在充分知情的前提下自愿、明確作出。個人信息處理者向其他個人信息處理者提供其處理的個人信息、公開其處理的個人信息、處理敏感個人信息、向境外提供個人信息的，還應(yīng)當(dāng)取得個人的單獨同意。

把握個人信息處理規(guī)范的時代機(jī)遇，無論合規(guī)科技，還是監(jiān)管科技，都會迎來，也應(yīng)該開拓它們的“藍(lán)海”

第五，堅持個體參與原則。個人有權(quán)要求個人信息處理者對其個人信息處理規(guī)則進(jìn)行解釋說明。個人信息處理者應(yīng)當(dāng)建立便捷的個人行使權(quán)利的申請受理和處理機(jī)制。拒絕個人行使權(quán)利的請求的，應(yīng)當(dāng)說明理由。通過自動化決策方式作出對個人權(quán)益有重大影響的決定，個人有權(quán)要求個人信息處理者予以說明。

第六，堅持保證質(zhì)量原則。處理個人信息應(yīng)當(dāng)保證個人信息的質(zhì)量，避免因個人信息不準(zhǔn)確、不完整對個人權(quán)益造成不利影響。個人發(fā)現(xiàn)其個人信息不準(zhǔn)確或者不完整的，有權(quán)請求個人信息處理者更正、補(bǔ)充。個人請求更正、補(bǔ)充其個人信息的，個人信息處理者應(yīng)當(dāng)對其個人信息予以核實，并及時更正、補(bǔ)充。

第七，堅持公開透明原則。處理個人信息應(yīng)當(dāng)遵循公開、透明原則，公開個人信息處理規(guī)則，明示處理的目的、方式和范圍。個人信息處理者在處理個人信息前，應(yīng)當(dāng)以顯著方式、清晰易懂的語言真實、準(zhǔn)確、完整地向個人告知法定事項;通過制定個人信息處理規(guī)則的方式告知必要事項的，處理規(guī)則應(yīng)當(dāng)公開，并且便于查閱和保存。個人信息處理者應(yīng)當(dāng)公開個人信息保護(hù)負(fù)責(zé)人的聯(lián)系方式。個人信息處理者因合并、分立、解散、被宣告破產(chǎn)等原因需要轉(zhuǎn)移個人信息的，應(yīng)當(dāng)向個人告知接收方的名稱或者姓名和聯(lián)系方式。個人信息處理者利用個人信息進(jìn)行自動化決策，應(yīng)當(dāng)保證決策的透明度;處理敏感個人信息的，除非法律另有規(guī)定，還應(yīng)當(dāng)向個人告知處理敏感個人信息的必要性以及對個人權(quán)益的影響;向境外提供個人信息的，應(yīng)當(dāng)向個人告知境外接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式、個人信息的種類以及個人向境外接收方行使本法規(guī)定權(quán)利的方式和程序等事項。

第八，堅持安全保障原則。個人信息處理者應(yīng)當(dāng)對其個人信息處理活動負(fù)責(zé)，并采取必要措施保障所處理的個人信息的安全;根據(jù)個人信息的處理目的、處理方式、個人信息的種類以及對個人權(quán)益的影響、可能存在的安全風(fēng)險等，采取相應(yīng)的保護(hù)措施。接受委托處理個人信息的受托人，應(yīng)當(dāng)按照規(guī)定，采取必要措施保障所處理的個人信息的安全。

不合規(guī)會承擔(dān)哪些法律責(zé)任

個人信息保護(hù)法既對個人信息處理各環(huán)節(jié)作了全流程規(guī)范，也對個人信息處理不合規(guī)可能承擔(dān)的民事、行政和刑事責(zé)任作了綜合性規(guī)定。

個人信息處理者如果不規(guī)范處理活動，產(chǎn)生侵權(quán)后果，就要依法承擔(dān)民事責(zé)任。個人信息保護(hù)法充分考慮個人信息權(quán)益主體在維權(quán)過程中相對弱勢的地位，確立了過錯推定責(zé)任規(guī)則。處理個人信息如果侵害個人信息權(quán)益，并造成損害，除非個人信息處理者能夠證明自己沒有過錯，否則就要承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任。

當(dāng)然，個人信息權(quán)益主體仍負(fù)有證明存在侵害行為，并因此產(chǎn)生損害的責(zé)任。只是當(dāng)完成這一證明責(zé)任后，個人信息權(quán)益主體就不必再去證明個人信息處理者存在過錯。不過，個人信息處理者只要違反了上述基本原則，就很難證明自己沒有過錯。此外，針對個人信息處理者違反本法規(guī)定處理個人信息，侵害眾多個人權(quán)益的情況，為了降低維權(quán)成本，個人信息保護(hù)法進(jìn)一步規(guī)定了公益訴訟制度，規(guī)定人民檢察院、法律規(guī)定的消費者組織和由國家網(wǎng)信部門確定的組織可以依法向人民法院提起訴訟。

如果違法處理個人信息，或未履行個人信息保護(hù)義務(wù)，履行個人信息保護(hù)職責(zé)的部門還可以根據(jù)情節(jié)，對個人信息處理者采取包括巨額罰款在內(nèi)的行政處罰。罰款金額最高可以達(dá)5000萬元，或者個人信息處理者上一年度營業(yè)額的5%。為了讓個人信息處理者相關(guān)責(zé)任人切實承擔(dān)責(zé)任，個人信息保護(hù)法也對其設(shè)定了法律責(zé)任。違法情節(jié)嚴(yán)重的，對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員，可以決定禁止其在一定期限內(nèi)擔(dān)任相關(guān)企業(yè)的董事、監(jiān)事、高級管理人員和個人信息保護(hù)負(fù)責(zé)人。如果個人信息處理者是國家機(jī)關(guān)，存在不履行該法規(guī)定的個人信息保護(hù)義務(wù)的，由該國家機(jī)關(guān)上級機(jī)關(guān)或者履行個人信息保護(hù)職責(zé)的部門責(zé)令改正;對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員，也依法給予處分。

個人信息處理活動違反該法規(guī)定，如果構(gòu)成違反治安管理行為的，公安機(jī)關(guān)還可以依據(jù)治安管理處罰法給予個人信息處理者治安管理處罰。例如，散布涉及個人隱私的個人信息，可處5日以下拘留或者500元以下罰款;情節(jié)較重的，處5日以上10日以下拘留，可以并處500元以下罰款。

個人信息處理活動違法程度足以構(gòu)成犯罪的，依法追究個人信息處理者的刑事責(zé)任。

例如，根據(jù)刑法和相關(guān)司法解釋的規(guī)定，出售或者提供行蹤軌跡信息，被他人用于犯罪的;知道或者應(yīng)當(dāng)知道他人利用公民個人信息實施犯罪，向其出售或者提供的;非法獲取、出售或者提供行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息五十條以上的;非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產(chǎn)安全的公民個人信息五百條以上的，都可處三年以下有期徒刑或者拘役，并處或者單處罰金。

走向更規(guī)范的新時代

法律的生命在于實施，法律的權(quán)威也在于實施。個人信息保護(hù)法的施行，只是開啟了數(shù)字中國法治的一扇大門。個人信息權(quán)益能否真正得到保障、個人信息利用效能可否更好發(fā)揮，需要所有個人信息處理者切實落實個人信息保護(hù)法的管理要求。

原則之下，更需細(xì)化規(guī)則。個人信息保護(hù)法盡管是綜合且全面的，但畢竟不能涵蓋所有的個人信息處理細(xì)節(jié)。無論是履行個人信息保護(hù)職責(zé)的部門依法履職，還是個人信息處理者依法合規(guī)，都需要更加具體的規(guī)則甚至標(biāo)準(zhǔn)指引。更何況個人信息保護(hù)法本身就將許多規(guī)則的具體設(shè)計，授予了以國家網(wǎng)信部門為代表的監(jiān)管機(jī)構(gòu)。

例如，專業(yè)機(jī)構(gòu)如何進(jìn)行個人信息保護(hù)認(rèn)證？按照怎樣的標(biāo)準(zhǔn)合同，可以通過與境外接收方訂立合同，向境外提供個人信息？在何種條件下，個人可以請求將個人信息轉(zhuǎn)移至其指定的個人信息處理者，要求個人信息處理者為此提供轉(zhuǎn)移的途徑？對于監(jiān)管部門而言，這既是權(quán)力，更是責(zé)任。如果這些配套規(guī)定不能及時出臺，個人信息保護(hù)法的實施效果顯然將受到影響。

法律之外，也需技術(shù)。個人信息處理活動是高度技術(shù)性的，法律規(guī)則能否得到遵循也離不開技術(shù)的評估、審計、驗證和檢查。個人信息保護(hù)法也充分考慮到技術(shù)治理的必要性和重要性。一方面注重明確技術(shù)措施要求：個人信息處理者應(yīng)當(dāng)根據(jù)比例原則，采取加密、去標(biāo)識化等技術(shù)措施保障所處理的個人信息的安全;把所采取的安全保護(hù)措施是否合法、有效并與風(fēng)險程度相適應(yīng)，明確為個人信息保護(hù)影響評估的法定內(nèi)容。另一方面，也鼓勵應(yīng)用有利于保護(hù)個人信息的先進(jìn)技術(shù)：如果應(yīng)用匿名化技術(shù)，使得個人信息經(jīng)過處理無法識別特定自然人且不能復(fù)原，就可以豁免該法針對個人信息處理的各項要求。更規(guī)范的個人信息處理，也離不開包括隱私計算、量子加密等安全技術(shù)的發(fā)展和應(yīng)用。

未來已來。我們已經(jīng)進(jìn)入數(shù)字社會，個人信息保護(hù)法帶來的影響必然也是廣泛而深遠(yuǎn)的。個人信息處理的整體規(guī)范化、合規(guī)化將是一個系統(tǒng)的工程，需要政府、產(chǎn)業(yè)和社會投入相當(dāng)大的人力、物力、技術(shù)資源。信息的處理已經(jīng)技術(shù)化，監(jiān)管與合規(guī)唯有輔以相當(dāng)?shù)募夹g(shù)能力，才能“魔高一尺道高一丈”，實現(xiàn)個人信息處理的真實、持續(xù)規(guī)范?？梢灶A(yù)見，個人信息保護(hù)法的實施也會帶來新的經(jīng)濟(jì)增長點。把握個人信息處理規(guī)范的時代機(jī)遇，無論合規(guī)科技，還是監(jiān)管科技，都會迎來，也應(yīng)該開拓它們的“藍(lán)?！薄?/p>

編輯：朱弢