《中华人民共和国个人信息保护法》亮点解读

建华

在信息化时代，个人信息保护已成为人们颇为关心的利益问题之一。为回应社会关切，8月20日，十三届全国人大常委会第三十次会议表决通过了《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》。这部自2021年11月1日起施行的法律是我国首部专门针对个人信息保护的综合性法律，与我们的日常生活息息相关。本文试对《个人信息保护法》的立法亮点进行解读，以飨读者。

亮点一：规范处理活动保障权益

《个人信息保护法》紧紧围绕规范个人信息处理活动、保障个人信息权益，构建了以“告知——同意”为核心的个人信息处理规则。该法要求，处理个人信息应当在事先充分告知的前提下取得个人同意，个人信息处理的重要事項发生变更的应当重新向个人告知并取得同意；同时，针对现实生活中人们反映强烈的一揽子授权、强制同意等问题，特别强调个人信息处理者在处理敏感个人信息、向他人提供或公开个人信息、跨境转移个人信息等环节应取得个人的单独同意，明确个人信息处理者不得过度收集个人信息，不得以个人不同意为由拒绝提供产品或者服务，并赋予个人撤回同意的权利，在个人撤回同意后，个人信息处理者应当停止处理或及时删除其个人信息。

亮点二：禁止“大数据杀熟”规范自动化决策

当前，越来越多的企业利用大数据分析、评估消费者的个人特征用于商业营销。有一些企业通过掌握消费者的经济状况、消费习惯、对价格的敏感程度等信息，对消费者在交易价格等方面实行歧视性的差别待遇，误导、欺诈消费者。这其中，最典型的就是人们反映突出的“大数据杀熟”。对此，该法明确规定：个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别对待。

亮点三：严格保护敏感个人信息

该法将生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息列为敏感个人信息，规定只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者才可处理敏感个人信息；同时，应当事前进行影响评估，并向个人告知处理的必要性及对个人权益的影响。为保护未成年人的个人信息权益和身心健康，该法特别将不满14周岁未成年人的个人信息确定为敏感个人信息予以严格保护，要求处理不满14周岁未成年人个人信息应当取得未成年人的父母或者其他监护人的同意。

亮点四：强化个人信息处理者义务

该法强调，个人信息处理者是个人信息保护的第一责任人，应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。该法设专章明确了个人信息处理者的合规管理和保障个人信息安全等义务，要求个人信息处理者按照规定制定内部管理制度和操作规程，采取相应的安全技术措施，指定负责人对其个人信息处理活动进行监督，定期对其个人信息活动进行合规审计，对处理敏感个人信息、对外提供或公开个人信息等高风险处理活动进行事前影响评估，履行个人信息泄露通知和补救义务等。

亮点五：赋予大型网络平台特别义务

互联网平台服务是数字经济区别于传统经济的显著特征。互联网平台为商品和服务的交易提供技术支持、交易场所、信息发布和交易撮合等服务。因此，该法对大型互联网平台设定了特别的个人信息保护义务，比如，按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督；遵循公开、公平、公正的原则，制定平台规则；对严重违法处理个人信息的平台内产品或者服务提供者，停止提供服务；定期发布个人信息保护社会责任报告，接受社会监督。这些规定目的是提高大型互联网平台经营业务的透明度，完善平台治理，强化外部监督，形成全社会共同参与的个人信息保护机制。