個(gè)人信息保護(hù)法草案終于“揭開面紗”。草案中確立了以“告知—同意”為核心的個(gè)人信息處理規(guī)則，即處理個(gè)人信息應(yīng)當(dāng)在事先充分告知的前提下取得個(gè)人同意，并且個(gè)人有權(quán)撤回同意;不得以個(gè)人不同意為由拒絕提供產(chǎn)品或者服務(wù)。此外，草案對(duì)違法處理個(gè)人信息行為設(shè)置了嚴(yán)格的法律責(zé)任，其中一大亮點(diǎn)是提高了違法成本，可處5000萬元以下或者上一年度營(yíng)業(yè)額百分之五以下罰款。

不久前，一則“清華大學(xué)教授拒絕小區(qū)人臉識(shí)別門禁”的新聞引發(fā)熱議，也將人們的目光聚焦到個(gè)人信息保護(hù)這一話題上。隨著信息化與經(jīng)濟(jì)社會(huì)的深度融合，人們?cè)絹碓较硎苄畔⒒瘞淼姆N種便利，但也要面對(duì)個(gè)人信息泄露等問題帶來的或大或小的煩惱。為此，制定一部個(gè)人信息保護(hù)方面專門法律的呼聲也不絕于耳。

在10月13日開幕的十三屆全國(guó)人大常委會(huì)第二十二次會(huì)議上，個(gè)人信息保護(hù)法草案終于“揭開面紗”。相關(guān)專家表示，草案的制定將為個(gè)人信息保護(hù)形成更加完備的制度，提供更加有力的法律保障。

千呼萬喚始出來

最新數(shù)據(jù)顯示，截至2020年6月，我國(guó)網(wǎng)民規(guī)模達(dá)9.4億，相當(dāng)于全球網(wǎng)民的五分之一，較2020年3月增長(zhǎng)3625萬。網(wǎng)站數(shù)量為468萬個(gè)，國(guó)內(nèi)市場(chǎng)上監(jiān)測(cè)到的APP數(shù)量為359萬款。個(gè)人信息的收集、使用更為廣泛。

近年來，雖然我國(guó)個(gè)人信息保護(hù)力度不斷加大，但在現(xiàn)實(shí)生活中，一些企業(yè)、機(jī)構(gòu)甚至個(gè)人，從商業(yè)利益等目的出發(fā)，隨意收集、違法獲取、過度使用、非法買賣個(gè)人信息，利用個(gè)人信息侵?jǐn)_人民群眾生活安寧、危害人民群眾生命健康和財(cái)產(chǎn)安全，相關(guān)問題十分突出。相關(guān)業(yè)內(nèi)專家認(rèn)為，我國(guó)個(gè)人信息保護(hù)法律制度已逐步建立，但仍難以適應(yīng)信息化快速發(fā)展的現(xiàn)實(shí)情況。因此，應(yīng)當(dāng)在現(xiàn)行法律基礎(chǔ)上制定出臺(tái)專門法律，增強(qiáng)法律規(guī)范的系統(tǒng)性、針對(duì)性和可操作性。

中國(guó)社會(huì)科學(xué)院法學(xué)研究所研究員周漢華分析，一方面，現(xiàn)實(shí)生活中個(gè)人信息得不到保護(hù)的問題越來越突出;另一方面，隨著信息化時(shí)代的到來，數(shù)字經(jīng)濟(jì)快速發(fā)展，信息即資源，如何處理好保護(hù)個(gè)人信息與數(shù)字經(jīng)濟(jì)發(fā)展的關(guān)系，需要在立法過程中不斷平衡。周漢華認(rèn)為，個(gè)人信息保護(hù)法的制定經(jīng)歷了相對(duì)較長(zhǎng)的周期，可謂“千呼萬喚始出來”。較長(zhǎng)的時(shí)間周期，也為更好認(rèn)識(shí)信息化快速發(fā)展過程中出現(xiàn)的個(gè)人信息保護(hù)問題提供了便利，現(xiàn)在法律草案的亮相可謂“水到渠成”。

保障個(gè)人知情權(quán)決定權(quán)

何謂個(gè)人信息?此次的法律草案明確，個(gè)人信息是以電子或者其他方式記錄的與已識(shí)別或者可識(shí)別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。個(gè)人信息的處理包括個(gè)人信息的收集、存儲(chǔ)、使用、加工、傳輸、提供、公開等活動(dòng)。

周漢華稱，這一概念相對(duì)寬泛，因?yàn)殡S著大數(shù)據(jù)時(shí)代的到來，個(gè)人信息很容易被識(shí)別，相對(duì)寬泛的定義有利于把各種情況包含其中，更好保護(hù)個(gè)人信息。

草案中確立了以“告知—同意”為核心的個(gè)人信息處理規(guī)則，即：處理個(gè)人信息應(yīng)當(dāng)在事先充分告知的前提下取得個(gè)人同意，并且個(gè)人有權(quán)撤回同意;重要事項(xiàng)發(fā)生變更的應(yīng)當(dāng)重新取得個(gè)人同意;不得以個(gè)人不同意為由拒絕提供產(chǎn)品或者服務(wù)。

北京華訊律師事務(wù)所主任張韜表示，“告知—同意”規(guī)則中的告知即要充分保障相關(guān)個(gè)人主體的知情權(quán)，同意是要保障其對(duì)信息的自主決定權(quán)，保障這兩種權(quán)利才能從根本上保障個(gè)人信息安全。

此外，此次草案還設(shè)專節(jié)對(duì)處理敏感個(gè)人信息作出嚴(yán)格限制，只有在具有特定目的和充分必要性的情形下，方可處理敏感個(gè)人信息，并且應(yīng)當(dāng)取得個(gè)人單獨(dú)同意或者書面同意。

張韜表示，敏感個(gè)人信息包括種族、民族、宗教信仰、個(gè)人生物特征、醫(yī)療健康、金融賬戶、個(gè)人行蹤等信息，從其定義就可看出，一旦泄露或者非法使用，可能導(dǎo)致個(gè)人受到歧視或者人身、財(cái)產(chǎn)安全受到嚴(yán)重危害。“敏感個(gè)人信息和每個(gè)人都有重大利害關(guān)系，設(shè)專節(jié)既能顯示立法機(jī)關(guān)對(duì)這一問題的重視，又能更具針對(duì)性地對(duì)相關(guān)方面問題作具體約束和專門管理，為個(gè)人信息保護(hù)筑起堅(jiān)固堡壘。”張韜說。

解決大數(shù)據(jù)殺熟等問題

在網(wǎng)上搜索一個(gè)商品，接著就不斷收到同類商品的廣告推送……生活中，我們多少都遇到過類似問題。

對(duì)此，草案規(guī)定，通過自動(dòng)化決策方式進(jìn)行商業(yè)營(yíng)銷、信息推送，應(yīng)當(dāng)同時(shí)提供不針對(duì)其個(gè)人特征的選項(xiàng)。

周漢華說：“定制化服務(wù)是大數(shù)據(jù)時(shí)代的一個(gè)特點(diǎn)，隨之出現(xiàn)的一個(gè)挑戰(zhàn)是大數(shù)據(jù)被濫用以及可能造成的‘大數(shù)據(jù)殺熟’等問題。對(duì)‘自動(dòng)化決策’作出規(guī)定，就是為了解決相關(guān)問題。”

此外，草案還明確，個(gè)人認(rèn)為自動(dòng)化決策對(duì)其權(quán)益造成重大影響的，有權(quán)要求個(gè)人信息處理者予以說明，并有權(quán)拒絕個(gè)人信息處理者僅通過自動(dòng)化決策的方式作出決定。

張韜認(rèn)為，這些規(guī)定意味著解決“信息繭房”問題受到了重視，“數(shù)據(jù)信息的利用過程中可能產(chǎn)生的負(fù)面問題，正通過立法方式進(jìn)行規(guī)制，平臺(tái)不能向用戶僅推送個(gè)性化信息及廣告，否則用戶有權(quán)拒絕”。

草案規(guī)定，在公共場(chǎng)所安裝圖像采集、個(gè)人身份識(shí)別設(shè)備，應(yīng)當(dāng)為維護(hù)公共安全所必需，遵守國(guó)家有關(guān)規(guī)定，并設(shè)置顯著的提示標(biāo)識(shí)。所收集的個(gè)人圖像、個(gè)人身份特征信息只能用于維護(hù)公共安全的目的，不得公開或者向他人提供。

周漢華認(rèn)為，這一規(guī)定可以看作整部草案的一大亮點(diǎn)。“現(xiàn)在‘無處不在’的人臉識(shí)別、視頻監(jiān)控等系統(tǒng)存在信息泄露風(fēng)險(xiǎn)，相關(guān)信息一旦被泄露和濫用，有可能威脅個(gè)人的人身、財(cái)產(chǎn)安全以及公共安全。從草案中可以看出，這一問題已經(jīng)得到了立法機(jī)關(guān)的重視。”周漢華說。

張韜表示，公共場(chǎng)所中的監(jiān)控或其他個(gè)人信息識(shí)別設(shè)備的安裝及使用，既關(guān)系公共安全，也關(guān)系廣大不特定人群的信息安全，因此有必要對(duì)其進(jìn)行規(guī)制。

提高違法行為打擊力度

草案對(duì)違法處理個(gè)人信息行為設(shè)置了嚴(yán)格的法律責(zé)任。周漢華表示：“對(duì)每個(gè)人很小的一點(diǎn)侵害，在全社會(huì)范圍合起來都會(huì)造成很大的問題，因此要提高對(duì)違法行為的打擊力度。如何提高違法成本，同時(shí)把法律規(guī)定的內(nèi)容落實(shí)下來是草案起草的一大難點(diǎn)。”

可以看到，此次草案對(duì)法律責(zé)任作出的具體規(guī)定包括：違反本法規(guī)定處理個(gè)人信息，或者處理個(gè)人信息未按照規(guī)定采取必要的安全保護(hù)措施的，由履行個(gè)人信息保護(hù)職責(zé)的部門責(zé)令改正，沒收違法所得，給予警告;拒不改正的，并處100萬元以下罰款;對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處1萬元以上10萬元以下罰款。

上述違法行為情節(jié)嚴(yán)重的，由履行個(gè)人信息保護(hù)職責(zé)的部門責(zé)令改正，沒收違法所得，并處5000萬元以下或者上一年度營(yíng)業(yè)額百分之五以下罰款，并可以責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、通報(bào)有關(guān)主管部門吊銷相關(guān)業(yè)務(wù)許可證或者吊銷營(yíng)業(yè)執(zhí)照。

周漢華認(rèn)為，“并處5000萬元以下或者上一年度營(yíng)業(yè)額百分之五以下罰款”這一規(guī)定是一大亮點(diǎn)，按營(yíng)業(yè)額百分比進(jìn)行罰款可以提高法律對(duì)相關(guān)企業(yè)違法行為的威懾力。