李恩漢：國家高端智庫，中國綜合開發(fā)研究室博士后

歷經(jīng)18年時(shí)間，《中華人民共和國個(gè)人信息保護(hù)法》終于在2021年8月20日經(jīng)全國人大常委會(huì)表決通過。至此，我國數(shù)字經(jīng)濟(jì)領(lǐng)域的法律規(guī)范完成又一塊重要拼圖。同時(shí)，由《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》構(gòu)成的我國數(shù)字經(jīng)濟(jì)時(shí)代三大法律支柱體系基本確立，共同搭建起數(shù)字經(jīng)濟(jì)“生態(tài)保護(hù)系統(tǒng)”——《網(wǎng)絡(luò)安全法》所保護(hù)的關(guān)鍵基礎(chǔ)設(shè)施可以看作是生態(tài)系統(tǒng)中的底層土壤，《數(shù)據(jù)安全法》則是對(duì)在基礎(chǔ)設(shè)施上如江河奔流的數(shù)據(jù)要素進(jìn)行保護(hù)，《個(gè)人信息保護(hù)法》的重要作用就是確保由土地河流滋養(yǎng)的草木繁茂健康成長。作為我國首部就個(gè)人信息保護(hù)的專門立法，《個(gè)人信息保護(hù)法》在立法高度和路徑上、個(gè)人信息處理原則上，以及社會(huì)重大問題的回應(yīng)上都極具特色。

? 01??

從保護(hù)人格尊嚴(yán)與自由角度出發(fā)，確立寬嚴(yán)相濟(jì)的個(gè)人信息保護(hù)路徑

（一）以憲法為依據(jù)，保護(hù)個(gè)人信息。

《個(gè)人信息保護(hù)法》在一、二審稿的基礎(chǔ)上，著重強(qiáng)調(diào)其立法依據(jù)是憲法，在第一條規(guī)定“為了保護(hù)個(gè)人信息權(quán)益，規(guī)范個(gè)人信息處理活動(dòng)，促進(jìn)個(gè)人信息合理利用，根據(jù)憲法，制定本法?！本唧w而言，《個(gè)人信息保護(hù)法》將人身自由、人格尊嚴(yán)和通信秘密與通信自由等公民的憲法權(quán)利進(jìn)一步落實(shí)到對(duì)個(gè)人信息的保護(hù)當(dāng)中。另外，這種規(guī)定也體現(xiàn)出對(duì)個(gè)人信息的保護(hù)不僅屬于民法范疇，還涉及到公權(quán)力對(duì)個(gè)人信息處理的公法層面的調(diào)整，具有很強(qiáng)的社會(huì)法色彩。

（二）開辟歐、美對(duì)個(gè)人數(shù)據(jù)保護(hù)之外的新路徑。

與歐盟過于嚴(yán)格和美國相對(duì)寬松的個(gè)人信息保護(hù)路徑不同，我國在保護(hù)個(gè)體權(quán)益與促進(jìn)數(shù)據(jù)利用上找到了新的平衡點(diǎn)?！秱€(gè)人信息保護(hù)法》借鑒歐盟《通用數(shù)據(jù)保護(hù)條例》（以下簡稱“GDPR”）中對(duì)個(gè)人數(shù)據(jù)的界定，將“已識(shí)別”與“可識(shí)別”作為判斷相關(guān)數(shù)據(jù)是否屬于個(gè)人信息的依據(jù)，相較于美國只有當(dāng)信息實(shí)際上可與特定人相連接的規(guī)定，保護(hù)范圍更廣。但與GDPR規(guī)定不同的是，《個(gè)人信息保護(hù)法》未就“可識(shí)別”進(jìn)行詳細(xì)的列舉規(guī)定，而是為后續(xù)法律實(shí)踐留有一定探索空間。另外，在權(quán)益保護(hù)方面，不僅賦予個(gè)體尋求救濟(jì)時(shí)的請求權(quán)基礎(chǔ)，還采取行政監(jiān)管的方式補(bǔ)足個(gè)人在對(duì)抗大型企業(yè)時(shí)的力量弱勢；在多元共治方面，該法并沒有將個(gè)人與企業(yè)在個(gè)人信息保護(hù)上進(jìn)行對(duì)立，而是在第十一條確立了政府、企業(yè)、相關(guān)社會(huì)組織與公眾共同參與的多元治理格局。

（三）對(duì)大型和小型個(gè)人信息處理者進(jìn)行差異化制度安排。

《個(gè)人信息保護(hù)法》在規(guī)定大型和小型個(gè)人信息處理者的法律義務(wù)上做出了梯度性的制度安排，強(qiáng)化了重要互聯(lián)網(wǎng)平臺(tái)服務(wù)提供者的個(gè)人信息保護(hù)義務(wù)?！秱€(gè)人信息保護(hù)法》第五十八條不僅要求重要互聯(lián)網(wǎng)平臺(tái)服務(wù)提供者要遵循公開、公平、公正的原則制定平臺(tái)規(guī)則，還必須成立主要由外部成員責(zé)成的獨(dú)立監(jiān)管機(jī)構(gòu)，定期發(fā)布個(gè)人信息保護(hù)責(zé)任報(bào)告，接受全社會(huì)的監(jiān)督。對(duì)于小型個(gè)人信息處理者，《個(gè)人信息保護(hù)法》第六十二條第二款要求特別制定專門的個(gè)人信息保護(hù)規(guī)則、標(biāo)準(zhǔn)。對(duì)個(gè)人信息處理者進(jìn)行區(qū)分的差異化制度設(shè)計(jì)，不僅與我國現(xiàn)階段數(shù)字經(jīng)濟(jì)產(chǎn)業(yè)的發(fā)展現(xiàn)狀相適應(yīng)，更是與加強(qiáng)大型平臺(tái)企業(yè)的監(jiān)管力度趨勢相符。

? 02??

確立個(gè)人信息處理的七大基本原則與“告知-同意”核心規(guī)則

（一）個(gè)人信息處理的七大基本原則。

《個(gè)人信息保護(hù)法》確立了處理個(gè)人信息的七項(xiàng)基本原則，即第五條合法性原則，第六條目的明確原則和最小必要原則、第七條公開透明原則、第八條準(zhǔn)確性原則，以及第九條可問責(zé)性原則和數(shù)據(jù)安全原則。在總則部分所規(guī)定的該七項(xiàng)原則，其精神貫穿《個(gè)人信息保護(hù)法》適用的全過程，不僅與國內(nèi)《網(wǎng)絡(luò)安全法》和《民法典》一脈相承，還吸收借鑒了國際上對(duì)個(gè)人信息保護(hù)的先進(jìn)經(jīng)驗(yàn)，增加了對(duì)信息準(zhǔn)確性與可問責(zé)性的新要求。

（二）以“告知-同意”基本邏輯構(gòu)建起個(gè)人信息處理核心框架。

基于個(gè)人信息處理原則，尤其是合法性與公開透明的要求，《個(gè)人信息保護(hù)法》構(gòu)建起以“告知-同意”為核心的個(gè)人信息處理框架。

1. 告知?！秱€(gè)人信息保護(hù)法》第十四條規(guī)定“充分知情”是取得個(gè)人同意的前提條件，并在第十七條具體列舉了應(yīng)當(dāng)告知的具體事項(xiàng)。另外，告知義務(wù)也體現(xiàn)在個(gè)人信息轉(zhuǎn)移（第二十二、二十三條）、處理已公開個(gè)人信息（第二十五條）、處理敏感個(gè)人信息（第三十條）、國家機(jī)關(guān)為履行法定職責(zé)處理個(gè)人信息（第三十五條）和個(gè)人信息出境（第三十九條）等場景。

2. 同意。除《個(gè)人信息保護(hù)法》第十三條第二款到第七款列舉的取得同意的例外情形，取得同意是個(gè)人信息處理者處理個(gè)人信息的大前提，而且在處理目的、方式和種類發(fā)生變更時(shí)，需要重新取得同意（第十四條第二款），在處理特殊信息或事項(xiàng)上，需要取得單獨(dú)同意（第二十三條、第二十五條、第二十六條、第二十九條、第三十九條）。另外，在第十五條賦予個(gè)人撤回同意的權(quán)利基礎(chǔ)上，第十六條進(jìn)行了配套保障，禁止個(gè)人信息處理者以撤回同意為由拒絕提供產(chǎn)品或服務(wù)。

? 03??

對(duì)個(gè)人信息保護(hù)領(lǐng)域的突出問題予以重點(diǎn)回應(yīng)

（一）針對(duì)“大數(shù)據(jù)殺熟”問題，規(guī)定不得通過自動(dòng)化決策對(duì)個(gè)人進(jìn)行歧視。

隨著大數(shù)據(jù)、算法等技術(shù)的升級(jí)迭代，個(gè)人信息處理者能夠以“千人千面”的個(gè)性化推薦和自動(dòng)化決策對(duì)信息主體進(jìn)行區(qū)別對(duì)待，甚至實(shí)施價(jià)格歧視與不合理的差別待遇。雖然我國《反壟斷法》已經(jīng)在競爭法的框架內(nèi)對(duì)價(jià)格歧視問題進(jìn)行了規(guī)范，但受限于《反壟斷法》較高的適用門檻與條件，“大數(shù)據(jù)殺熟”問題仍屢禁不止。《個(gè)人信息保護(hù)法》第二十四條增加了對(duì)“大數(shù)據(jù)殺熟”的規(guī)定，要求個(gè)人信息處理者在利用個(gè)人信息進(jìn)行自動(dòng)化決策時(shí)，不得對(duì)個(gè)人在交易條件上實(shí)行不合理的差別待遇，同時(shí)賦予個(gè)人要求進(jìn)行說明和拒絕個(gè)性化推送、營銷的權(quán)利，進(jìn)一步豐富了對(duì)“大數(shù)據(jù)殺熟”等歧視性定價(jià)和差別待遇問題的規(guī)制工具箱。

（二）針對(duì)兒童權(quán)益保護(hù)問題，對(duì)不滿十四周歲未成年人的個(gè)人信息作特別規(guī)定。

《個(gè)人信息保護(hù)法》將不滿十四周歲未成年人的個(gè)人信息歸為敏感個(gè)人信息，適用更高層次的保護(hù)規(guī)則，同時(shí)要求個(gè)人信息處理者要針對(duì)不滿十四周歲的未成年人制定專門個(gè)人信息處理規(guī)則。互聯(lián)網(wǎng)的開放性為資訊獲取提供了極大便利，但由于個(gè)人信息保護(hù)意識(shí)相對(duì)淡薄，加之對(duì)新生事物較為好奇，兒童個(gè)人信息很容易被過度采集。針對(duì)兒童權(quán)益保護(hù)問題，《個(gè)人信息保護(hù)法》在《未成年人保護(hù)法》和《兒童個(gè)人信息網(wǎng)絡(luò)保護(hù)規(guī)定》基礎(chǔ)上，兼顧行業(yè)發(fā)展訴求，將未成年人的保護(hù)年齡設(shè)定在十四周歲。一方面，增強(qiáng)對(duì)心智尚未發(fā)展成熟、自我保護(hù)意識(shí)薄弱的未滿十四周歲未成年人保護(hù)，防范其個(gè)人信息被濫用所可能導(dǎo)致的嚴(yán)重后果；另一方面，考慮身心發(fā)展情況，對(duì)十四歲以上的未成年人適用一般規(guī)定，減輕個(gè)人信息處理者的負(fù)擔(dān)。

（三）針對(duì)大型平臺(tái)“數(shù)據(jù)壟斷”問題，引入個(gè)人信息可攜權(quán)。

數(shù)據(jù)可攜權(quán)最先由GDPR確立，并在澳大利亞、美國等國家立法中都有體現(xiàn)，具體是指數(shù)據(jù)主體有權(quán)從數(shù)據(jù)控制者處獲取經(jīng)過處理的、常用的且機(jī)器可讀的個(gè)人專屬數(shù)據(jù)，并要求數(shù)據(jù)控制者將其個(gè)人專屬數(shù)據(jù)傳輸給其他數(shù)據(jù)控制者。《個(gè)人信息保護(hù)法》在二審稿的基礎(chǔ)上也增加了對(duì)個(gè)人信息可攜權(quán)的規(guī)定，即經(jīng)個(gè)人請求，個(gè)人信息處理者應(yīng)當(dāng)提供轉(zhuǎn)移的途徑將個(gè)人信息轉(zhuǎn)移至個(gè)人所指定的個(gè)人信息處理者。創(chuàng)設(shè)個(gè)人信息可攜權(quán)能夠一定程度上扼制大型平臺(tái)“數(shù)據(jù)驅(qū)動(dòng)”與“隱私驅(qū)動(dòng)”的增長模式，破除“數(shù)據(jù)壟斷”。數(shù)字經(jīng)濟(jì)時(shí)代，用戶數(shù)據(jù)業(yè)已成為平臺(tái)企業(yè)爭奪的重要資源。大型平臺(tái)利用其早期積累的個(gè)人數(shù)據(jù)資源優(yōu)勢，構(gòu)筑起極高的市場壁壘?？蓴y權(quán)的創(chuàng)設(shè)，增強(qiáng)了平臺(tái)用戶對(duì)其個(gè)人信息的掌控權(quán)，降低了平臺(tái)企業(yè)的用戶黏性，促進(jìn)數(shù)據(jù)流通，為新進(jìn)入者提供了更為平等的競爭環(huán)境，進(jìn)一步加強(qiáng)平臺(tái)之間在產(chǎn)品和服務(wù)上的競爭。

（四）針對(duì)“數(shù)據(jù)遺產(chǎn)”問題，對(duì)死者信息處理作出規(guī)定。

據(jù)統(tǒng)計(jì)，全球每天會(huì)產(chǎn)生2940億封電子郵件、50億次的搜索、4PB數(shù)據(jù)（僅限于Facebook，包括3.5億張照片和1億小時(shí)視頻）、650億條消息（僅限于WhatsApp）、5億條推文（僅限于Twitter）和9500萬份照片視頻（僅限于Instagram）。然而，由于缺乏相關(guān)法律規(guī)定，大量的個(gè)人數(shù)據(jù)往往會(huì)隨著信息主體的死亡而沉睡在數(shù)據(jù)控制者的服務(wù)器中，礙于“用戶隱私”保護(hù)政策成為無法被“繼承”的“數(shù)據(jù)遺產(chǎn)”。2004年，死者的父親向雅虎提出請求，希望獲得已逝孩子的電子郵箱賬號(hào)密碼來檢查郵件，從而制作更完整的紀(jì)念冊，但因隱私政策原因遭到了雅虎拒絕，其訴訟請求也沒有獲得法院支持。不同于GDPR否定式的立法安排，就這一問題，我國《個(gè)人信息保護(hù)法》在第四十九條規(guī)定了自然人死亡后其個(gè)人信息的處理方式，給予其近親屬處理個(gè)人信息的權(quán)力，同時(shí)也兼顧了死者生前意志，尊重其生前就個(gè)人數(shù)據(jù)所做安排。

?我國早在2003年就啟動(dòng)了個(gè)人信息保護(hù)的相關(guān)立法研究，但限于機(jī)構(gòu)改革、立法資源有限等多重因素，立法一度停滯。直至2018年，《個(gè)人信息保護(hù)法》才被列入十三屆全國人大常委會(huì)立法規(guī)劃，并在2020年10月21日行成草案，于2021年8月20日正式公布。（李恩漢? ? 中國綜合開發(fā)研究院博士后工作站）

來源：中國（深圳）綜合開發(fā)研究院