筑牢個人信息保護堤壩 夯實數字經濟法治根基

□ 文|劉芷君

0 引言

習近平總書記在中共中央政治局第三十四次集體學習時指出，“要完善數字經濟治理體系，健全法律法規和政策制度，完善體制機制，提高我國數字經濟治理體系和治理能力現代化水平。”大數據、人工智能、物聯網等數字經濟新技術、新業態的發展和應用在給人們的生活帶來便利的同時，也使人們面臨嚴峻的個人信息泄露、濫用等安全風險，個人信息保護已成為廣大人民群眾最關心、最直接、最現實的利益問題之一。個人信息保護立法是筑牢個人信息保護堤壩，推進數字經濟法治建設的重要一步。

2021年8月20日，《中華人民共和國個人信息保護法》（以下簡稱“《個人信息保護法》”）經十三屆全國人大常委會第三十次會議表決通過，于2021年11月1日起正式施行，從此我國個人信息保護領域有了第一部綜合性的專門立法，開啟了個人信息保護新紀元。

1 《個人信息保護法》出臺的重大意義

《個人信息保護法》與《中華人民共和國網絡安全法》《中華人民共和國數據安全法》共同構筑了我國網絡與數據安全領域的法律根基，是我國數字經濟法律體系的重要組成部分，具有里程碑意義。

1.1 以憲法為根本遵循，將個人信息保護提升到前所未有的高度

《個人信息保護法》第一條明確該法立法目的是“保護個人信息權益，規范個人信息處理活動，促進個人信息合理利用”，并且明確該法“根據憲法”制定，意義重大。我國憲法明確規定，“國家尊重和保障人權”“公民的人格尊嚴不受侵犯”“公民的通信自由和通信秘密受法律的保護”。《個人信息保護法》將憲法作為個人信息保護立法依據和根本遵循，將個人信息受法律保護的權利上升到憲法規定的公民基本權利層面，意味著個人信息保護的法律地位被提升到前所未有的高度。

1.2 堅持以人為本理念，回應人民群眾對于個人信息保護的關切

信息化、數字化、智能化時代，人們在享受數字經濟紅利的同時也面臨著一系列安全挑戰，個人信息被過度索取、個人信息泄露、大數據殺熟等現象時有發生，對人民群眾的個人信息權益造成嚴重威脅。《個人信息保護法》關注與廣大人民群眾日常生活密切相關的個人信息處理場景，明確個人信息處理規則，設置個人信息處理中的權利和義務，規定有力的法律責任，回應了廣大人民群眾的基本關切，使人民群眾享受數字經濟紅利的同時感受到安全感。

1.3 積極融入國際規則，貢獻數字時代個人信息保護的“中國方案”

通過立法推動個人信息和隱私保護已經成為數字時代的全球趨勢，我國出臺個人信息領域的專門立法，順應了全球立法趨勢，《個人信息保護法》所規定的個人信息處理基本原則及相關規則，以及個人在個人信息處理活動中的若干權利等一定程度上借鑒了國外先進的立法經驗，同時根據我國國情和發展階段進行了變通和優化，體現出“中國特色”。此外，《個人信息保護法》第十二條明確“國家積極推動與其他國家、地區、國際組織之間的個人信息保護規則、標準等互認”，也體現出我國個人信息保護的開放態度，以及為個人信息保護全球規則制定貢獻“中國方案”的決心。

2 《個人信息保護法》為個人信息處理提供全方位的法律規范

《個人信息保護法》明確個人信息處理的原則和規則，綜合采取安全評估、認證、標準合同等機制和路徑確保個人信息出境安全，賦予個人在個人信息處理活動中的系列權利，明確個人信息處理者的個人信息保護義務，對個人信息處理活動進行全面規范。

2.1 明確個人信息處理的原則和規則

《個人信息保護法》在總則明確了個人信息處理的各環節，包括“個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除”等，將各類數據處理行為納入法律規制范圍，還提出了個人信息處理應當遵循的原則，總結起來包括合法、正當、必要和誠信原則、明確性和相關性原則、公開透明原則、準確性和完整性原則等。

《個人信息保護法》在個人信息處理的規則方面進行了一般規定和特別規定相結合的規范。在一般規定中，《個人信息保護法》構建了以“告知-同意”為基礎的個人信息處理規則，還明確了個人同意之外的個人信息處理的合法性基礎，在保護個人信息的同時平衡公共利益，最大程度提升個人信息處理效率。此外，還對取得個人同意的方式和效果進行了規定，賦予個人撤回同意的權利，對緊急情況下處理個人信息、共同處理個人信息、委托處理個人信息、轉移個人信息、利用個人信息進行自動化決策、公共場所采集個人圖像或身份識別信息等個人信息處理情形進行了專門規定，對現實生活中社會反映強烈的一攬子授權、強制同意、大數據殺熟、數據濫用等問題進行了回應。

除了一般規定，《個人信息保護法》對敏感個人信息處理和國家機關處理個人信息的規則進行了特別規定。敏感個人信息處理方面，明確了敏感個人信息的概念和范疇，對敏感個人信息處理進行更嚴格規范。在國家機關處理個人信息方面，主要強調了國家機關應當合法合規地處理個人信息，國家機關處理的個人信息在境內存儲，確需向境外提供應進行安全評估。

2.2 多路徑保障個人信息出境安全

對于因業務等需要確需向境外提供個人信息的情形，《個人信息保護法》提出了安全評估、個人信息保護認證、標準合同等多元化管理路徑，還可按照我國締結或參加的國際條約和協定的規定執行。關鍵信息基礎設施運營者和處理個人信息達到網信部門規定數量的個人信息處理者確需向境外提供個人信息的需要通過安全評估路徑出境。2021年10月29日，國家互聯網信息辦公室發布《數據出境安全評估辦法（征求意見稿）》，列出了應當進行安全評估的個人信息出境情形，并明確了評估流程、申報材料、重點評估內容等，為個人信息出境安全評估提供了具體規則指引，是建立個人信息出境規則體系的重要一步。可以預見，除了安全評估，個人信息保護認證、標準合同等方面的具體規則將繼續研究出臺，我國個人信息出境安全保護體系將持續完善。

此外，《個人信息保護法》還明確了限制或禁止向境外提供個人信息的情形：一是非經我國主管機關批準，不得向外國有關司法、執法機構提供存儲于境內的個人信息；二是限制或禁止向被列入限制或禁止個人信息提供清單的境外組織和個人提供個人信息；三是針對其他國家或地區在個人信息保護方面對我國采取歧視性的禁止、限制等措施的，我國可以采取對等措施。

2.3 厘清個人信息處理中的權利義務邊界

《個人信息保護法》充分賦予了個人在個人信息處理活動中享有的權利，為個人維護其合法個人信息權益、權益受侵害后尋求司法救助奠定堅實的法律基礎。具體而言，個人對其個人信息的處理享有的權利包括知情權、決定權、查閱和復制權、個人信息攜帶權、請求個人信息處理者更正、補充個人信息的權利、特定情形下個人信息刪除請求權、要求個人信息處理者解釋說明處理規則的權利等，個人信息處理者應當為個人行使權利提供便捷的申請受理和處理機制。此外，還特別明確了死者的部分權利可以由近親屬行使。

《個人信息保護法》明確了個人信息處理者的義務，包括采取相關的管理和技術措施、指定個人信息保護負責人（處理規定數量個人信息的個人信息處理者履行）、在我國境內設立專門機構或指定代表負責處理個人信息保護相關事務（符合法定情形的境外個人信息處理者履行）、定期進行合規審計、法定情形下事先進行個人信息保護影響評估、在發生或可能發生個人信息泄露、篡改、丟失的情形下采取補救措施并通知相關部門和個人等。對于提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者還應履行成立獨立監督機構、制定平臺規則、定期發布個人信息保護社會責任報告等義務。

3 《個人信息保護法》吹響我國個人信息保護新號角

《個人信息保護法》為我國個人信息保護奠定了堅實法律基礎。在《個人信息保護法》搭建的法治框架下，我國個人信息保護體系將不斷健全完善，個人信息保護工作將邁入嶄新階段。

3.1 個人信息保護制度規則體系將不斷完善

在上位法搭建的法律框架內，個人信息保護具體規則和標準將陸續出臺，現有標準規范將持續修改完善，個人信息出境安全管理等制度規則將進一步細化，針對小型個人信息處理者、敏感個人信息處理及人臉識別、人工智能等新技術、新應用的專門個人信息保護規則標準將制定出臺，為個人信息保護工作提供具體指引。

3.2 企業的個人信息保護合規將進入新階段

《個人信息保護法》給個人信息處理者設置了更嚴格的個人信息保護義務，提出了更高的個人信息保護要求，企業作為重要的個人信息處理者，將加大合規投入力度，全方位部署個人信息保護的管理、技術手段，依法進行個人信息保護相關評估和認證，強化從業者個人信息保護教育培訓，建立健全個人信息保護合規制度體系。

3.3 個人信息保護社會服務體系將日益健全

《個人信息保護法》明確推進網絡身份認證公共服務建設和個人信息保護社會化服務體系建設。相關專業技術機構、企業、高校等機構將研究開發和推廣應用安全、方便的電子身份認證技術，積極開展個人信息保護評估、認證服務，不斷提升個人信息保護服務能力，形成多方參與的個人信息保護社會服務體系。

3.4 公民個人信息權益救濟渠道將不斷暢通

《個人信息保護法》明確要求國家網信部門統籌協調有關部門完善個人信息保護投訴、舉報工作機制，公布接受投訴、舉報的聯系方式。此外，《個人信息保護法》正式將個人信息保護納入檢察公益訴訟領域。可見，公民個人信息權益受到侵害后的投訴舉報和司法救助的渠道將更加暢通，個人信息權益將得到切實保障。

4 結束語

《個人信息保護法》奠定了我國個人信息保護法治根基，搭建了我國個人信息保護制度框架，開啟了我國個人信息保護工作的新階段。在新階段，應持續完善個人信息保護法律體系，構建統籌協調的個人信息保護工作機制，建立健全個人信息保護制度，加強個人信息保護宣傳教育，推動形成政府、企業、公眾多方參與、共同維護的良好個人信息保護環境，持續護航數字經濟健康發展。