《个人信息保护法》十大要点解析
11月1日，《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）正式施行。《个人信息保护法》集中体现了以人民为中心的立法理念，并在国家层面建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为。当前，加强个人信息保护宣传教育，推动形成政府、企业、相关社会组织、公众共同参与个人信息保护的良好环境，确保《个人信息保护法》的各项要求和规定在社会生活中得到全面的贯彻和实施，是一项重要任务。在学习和贯彻《个人信息保护法》时，建议重点把握以下十大核心要点。
一、“规范个人信息处理活动”是个人信息保护法的核心
目前，在各类个人信息保护法的解读文章中，大多在谈论个人信息保护的内容，很少涉及如何促进个人信息合理利用。实质上，《个人信息保护法》的立法目的不仅仅是“保护“个人信息，而是“保护”和“利用”同步推进。
《个人信息保护法》第一条规定：“为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。” 从《个人信息保护法》的立法目的看，个人信息保护法的实质功能是一部个人信息处理活动行为规范法，个人信息保护的真正立法目的有两个，一个是“保护个人信息权益”，另一个是“促进个人信息合理利用”，其中“规范个人信息处理活动”处于整个《个人信息保护法》的核心地位，只有夯实“规范个人信息处理活动”这个关键环节，才能确保实现保护个人信息权益和促进个人信息合理利用之目的。
二、个人信息的内涵与匿名化
《个人信息保护法》第四条第一款明确了“个人信息”的定义：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。该定义与《网络安全法》《民法典》以及最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》中的“个人信息”定义在基本概念上保持了一致，强调了“已识别或者可识别的自然人信息”，但在内涵上却有很大的不同。《个人信息保护法》中的“个人信息”定义增加了“不包括匿名化处理后的信息”，明确了“个人信息”经匿名化处理后不属于个人信息，也就无须适用《个人信息保护法》的相关规定，体现了《个人信息保护法》的“保护”和“利用”并重。
《个人信息保护法》第七十三条（四）将“匿名化”定义为：“是指个人信息经过处理无法识别特定自然人且不能复原的过程。”该定义中的“不能复原”主采取了两种方法：一是删除个人信息包含的个人描述部分，包括将描述部分替换为其他描述部分，或者使用具有不可恢复的方法等；二是删除所述个人信息中所包含的全部标识符，包括将标识符替换为其他描述部分，或者使用具有不可恢复的方法等。
三、个人信息保护法的域外效力
在数字化、智能化和网络化的时代，数据正在以前所未有的方式自由流动和跨境传输，因此个人信息保护立法仅有域内效力的规定根本无法充分保护本国公民的个人信息。2018年生效的欧盟GDPR率先确立了个人数据保护的域外效力，目前已有多个国家的个人信息保护法借鉴了GDPR域外效力的立法实践，我国的《个人信息保护法》也反映了国际个人信息保护的域外效力趋势。
我国《个人信息保护法》第三条第二款的规定，在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列三种情形之一的，也适用《个人信息保护法》：一是“以向境内自然人提供产品或者服务为目的”，比如一家位于美国运营的电子商务网站（Amazon）向中国境内的自然人（包括本国人、外国人和无国籍人）提供产品或服务；二是“分析、评估境内自然人的行为”，比如一家位于境外的社交网站分析、评估中国境内自然人的行为，像全球最大的社交网站Facebook，每年发布专门的用户行为习惯研究分析报告；三是法律、行政法规规定的其他情形，如我国《数据安全法》第二条第二款明确规定：“在中华人民共和国境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。”
四、个人信息处理的核心原则
《个人信息保护法》总则部分确立了多项处理个人信息的基本原则，对这部法律的实施具有重要的指导意义，个人信息保护法的基本原则主要涉及的是个人信息处理的基本准则，特别是在云环境和平台经济的背景下，很多新型和疑难的个人信息保护案件很难精准地适用具体相应的法律条款，但是个人信息处理的基本原则具有协调、漏洞补充的作用，对新型个人信息保护案件的适用将发挥重要作用。
《个人信息保护法》主要确立以下五项重要原则：一是遵循合法、正当、必要和诚信原则；二是采取对个人权益影响最小的方式，限于实现处理目的的最小范围原则；三是处理个人信息应当遵循公开、透明原则；四是处理个人信息应当保证个人信息质量原则；五是采取必要措施确保个人信息安全原则等。以上个人信息处理原则，如“遵循合法、正当、必要”、“应当遵循公开、透明原则”以及“保障个人信息安全”等原则在《全国人民代表大会常务委员会关于加强网络信息保护的决定》《网络安全法》《民法典》《消费者权益保护法》等相关个人信息保护立法中均规定，已经成为我国个人信息处理应遵循的通用规则。
笔者认为，《个人信息保护法》总则部分第六条确立的两个“最小原则”，是个人信息处理应遵循的核心原则，尤其是处理目的的“最小范围”，这是禁止“过度收集个人信息”的关键要点，因为个人信息处理者只有在严格遵守处理目的的“最小范围”的前提下，即“非必要不收集”的情况下，才能确保其采取对个人权益影响最小的方式。《个人信息保护法》第八条还专门规定了处理个人信息应当保证个人信息的质量，这项原则也极为重要，如果个人信息不准确或不完整将对个人权益造成不利影响。
五、以“告知-知情-同意”为核心的个人信息处理规则
“告知-同意”这一个人信息处理规则，在《网络安全法》《消费者权益保护法》以及《民法典》等法律中的均有规定。《个人信息保护法》不仅是确立了以“告知-同意”的个人信息处理规则，而是构建了以“告知-知情-同意”为核心的个人信息处理规则体系。
应当指出，个人信息处理者“告知”的目的是为了确保被告知者的充分“知情”，只有被告知者在充分知情的前提下才能自愿、明确地做出决定。为此，《个人信息保护法》第十四条明确规定：“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。”由此，《个人信息保护法》构建了以“告知-知情-同意”为核心的个人信息处理规则。
六、敏感个人信息的认定与保护规则
《民法典》第一千零三十四条的三款：“个人信息中的私密信息,适用有关隐私权的规定;没有规定的，适用有关个人信息保护的规定。”因此，《个人信息保护法》没有对自然人的隐私信息做出专门规定，而是将个人信息分为敏感信息和非敏感信息，并设专节设置了“敏感个人信息的处理规则”。
《个人信息保护法》第二十八条给出了“敏感个人信息”的定义，即“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。”该定义采用了“个人信息被泄露或者非法使用+危害后果+列举重要敏感个人信息”的立法技术，同时将不满十四周岁未成年人的个人信息也纳入了“敏感个人信息”给予重点保护。
《个人信息保护法》对处理敏感个人信息作出了严格的限制性规定，即在履行“告知-知情-同意”原则的基础上，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。特别是处理敏感个人信息应当取得个人的单独同意，如果法律、行政法规规定处理敏感个人信息应当取得书面同意的，应当从其规定。
七、严禁“大数据杀熟”以及为“用户画像”等涉及不当自动化决策
针对“大数据杀熟”、“用户画像”和“算法推荐”等涉及个人信息自动化决策的热点问题，《个人信息保护法》作出了明确规范（第二十四条）：首先，个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇；其次，通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式；第三，通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。
《个人信息保护法》就个人信息处理者利用个人信息进行自动化决策重点确立了一项义务性规范和一项禁止性规定：一是应当保证决策的透明度和结果公平、公正；二是不得对个人在交易价格等交易条件上实行不合理的差别待遇。
八、个人信息跨境提供规则
在数字和网络时代，特别是疫情引发的非接触式经济，使个人信息的跨境流动日益频繁，但是由于不同国家的个人信息法律制度存在差异，个人信息跨境流动的规则也有所不同。我国《个人信息保护法》立足我国实际，并借鉴了国际立法经验，确立了一套完善的个人信息跨境提供规则。
《个人信息保护法》明确了个人信息处理者向境外提供个人信息应当具备的基本条件，如关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者，确需向境外提供个人信息的，应当通过国家网信部门组织的安全评估；对于其他需要跨境提供个人信息的，应由专业机构进行个人信息保护认证；个人信息处理者因业务需要向境外提供个人信息，需按照国家网信部门的标准合同与境外接收方订立合同；对我国缔结或者参加的国际条约、协定对向我国境外提供个人信息的条件等有规定的，可以按照其规定执行等。
《个人信息保护法》对个人信息处理者跨境提供个人信息的“告知与单独同意”作出了严格的要求；对因国际司法协助或者行政执法协助，需要向境外提供个人信息的，要求依法申请有关主管部门批准，特别是对从事损害我国公民个人信息权益或者危害我国国家安全、公共利益等活动的境外组织、个人，以及在个人信息保护方面对我国采取不合理措施的国家和地区，规定了相应的限制或者禁止措施。
九、个人在个人信息处理活动中的七项权利
《个人信息保护法》全面构建了个人在个人信息处理活动中的权利，包括知情权、决定权（限制、拒绝和撤回权）、查阅复制权、个人信息可可携带权、更正补充权、删除权、规则解释权。
1.知情同意权，收集和使用公民个人信息必须遵循合法、正当、必要原则，且目的必须明确并经用户的知情同意；2.决定权，有权限制、拒绝或撤回他人对其个人信息的处理；3.查阅复制权，个人有权向个人信息处理者查阅、复制其个人信息；4.个人信息移转权，个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径；5.更正补充权，个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充；6.删除权，在五种情形下，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：1）处理目的已实现、无法实现或者为实现处理目的不再必要，2）个人信息处理者停止提供产品或者服务，或者保存期限已届满，3）个人撤回同意，4）个人信息处理者违反法律、行政法规或者违反约定处理个人信息，5）法律、行政法规规定的其他情形；7.规则解释权，个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。
十、重要互联网平台的“守门人”制度
鉴于重要互联网平台掌握海量用户数据，一旦发生信息泄露或滥用，可能导致严重后果，《个人信息保护法》专门要求其履行“守门人”角色，并承担更多责任，主要包括：1.应按照国家规定建立健全个人信息保护合规制度体系；2.成立主要由外部成员组成的独立机构进行监督；3.遵循公开、公平、公正的原则制定平台规则；4.对严重违法处理个人信息的平台内产品或服务提供者停止提供服务；5.定期发布个人信息保护社会责任报告并接受社会监督等。
2021年10月29日，国家市场监督管理总局就《互联网平台分类分级指南（征求意见稿）》《互联网平台落实主体责任指南（征求意见稿）》公开征求意见。《互联网平台分类分级指南（征求意见稿）》根据用户规模、业务种类、限制能力，将互联网平台分为以下三级：超级平台、大型平台和中小平台，其中“超级平台”超级平台指同时具备超大用户规模、超广业务种类、超高经济体量和超强限制能力的平台。其中，超大用户规模，即平台上年度在中国的年活跃用户不低于5亿；超广业务种类，即平台核心业务至少涉及两类平台业务，该业务涉及网络销售、生活服务、社交娱乐、信息资讯、金融服务、计算应用等六大方面；超高经济体量，即平台上年底市值（估值）不低于10000亿人民币；超强限制能力，即平台具有超强的限制商户接触消费者（用户）的能力。
《互联网平台落实主体责任指南(征求意见稿)》明确了超大型平台经营者的八大主体责任，一是公平竞争的示范责任，超大型平台经营者具有规模、数据、技术等优势，应当发挥公平竞争示范引领作用；二是平等治理的责任，超大型平台经营者应当遵守公平和非歧视原则，平等对待平台自身（或关联企业）和平台内经营者，不实施自我优待；三是开放生态的责任，超大型平台经营者应当在符合安全以及相关主体权益保障的前提下，推动其提供的服务与其他平台经营者提供的服务具有互操作性；四是数据管理的责任，超大型平台经营者应当建立健全数据安全审查与内控机制，对涉及用户个人信息的处理、数据跨境流动，涉及国家和社会公共利益的数据开发行为，必须严格依法依规进行，确保数据安全；五是内部治理的责任，超大型平台经营者应当设置平台合规部门，不断完善平台内部合规制度和合规机制，响应监管部门的监管要求，并建立平台内部预防腐败机制；六是风险评估的责任，超大型平台经营者应当至少每年进行一次风险评估，重点识别、分析和评估由其提供的互联网平台服务可能引起的各种风险，并定期发布风险评估报告；七是安全审计的责任，超大型平台经营者应定期委托第三方独立机构对《互联网平台落实主体责任指南》所规定的主体责任的遵守情况进行审计，并由第三方独立机构发布书面审计报告；八是促进创新的责任，超大型互联网平台经营者应当充分利用数据、资金、人才、用户和技术等资源优势，加大创新投入，提升技术水平，组织核心技术攻关，加快技术迭代，扶持中小科技企业创新，不断激发平台经济领域创新发展活力。
为了确保个人信息处理者遵守个人信息保护之义务，严格规范个人信息的处理活动，《个人信息保护法》设置了严格的行政和民事法律责任。
《个人信息保护法》第六十六条对违法处理个人信息，或者处理个人信息未履行法定的个人信息保护义务设置了三项法律责任，一是由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；二是拒不改正的，并处一百万元以下罚款；三是对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
如果有上述规定的违法行为，且情节严重的，设置了两项更严格的法律责任，一是由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；二是对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
特别是“并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照“，这项处罚是非常严厉的。我们可以对比GDPR对违反信息披露和保护个人信息违规实施的处罚：严重违约罚款2000万欧元或全球营业额的4%（以较高者为准）；轻微违约罚款 1000万欧元或全球营业额的2%（以较高者为准），比如苹果公司最近几年的收入都超过了2000亿美元，那么按照“全球营业额的4%”计算，罚金就有可能高达80亿美元。可见，我国个人信息保护法的处罚金额与GDPR的罚金是一个等量级的，不过GDPR对违反信息披露和保护个人信息的经济处罚责任重点强调违约罚款，特别强调了是“全球营业额”的罚款比例。我国个人信息保护法已经设立了域外效力，因此法律责任的适用也应当具有全球视野。
（王春晖：浙江大学教授、博导，南京邮电大学教授，网络空间治理与数字经济法治（长三角）研究基地主任兼首席专家，工业和信息化部信息通信经济专家委员会委员）
编辑：闫瑾 梁晨