随着大数据、人工智能等互联网（wǎng）新技术的广泛使用，数字化（huà）全面进入我（wǒ）们（men）的日常生活，个（gè）人信（xìn）息数据焦虑成为普遍现象。大数据杀熟、人脸信息过度采集、应用程（chéng）序（APP）个人信息泄（xiè）露，个人信息安全究竟谁来（lái）守（shǒu）护？

《个（gè）人信息保护（hù）法》完善了个（gè）人信息处理规则，完善了个（gè）人信息相关投诉（sù）举报工作机制及违法处理个人信（xìn）息涉嫌犯罪案件的移送机制（zhì），在完善个人（rén）信息处理规则方（fāng）面（miàn），特别对（duì）APP过度（dù）收集个人信（xìn）息、大数据（jù）杀（shā）熟（shú）、平台（tái）责（zé）任等作出（chū）针（zhēn）对（duì）性规范，将使得人们在数字化社（shè）会（huì）生活（huó）中（zhōng）更有安全（quán）感。

明确个人（rén）信息处理合法基础

“《个（gè）人信息保护法》并没有禁止收集个（gè）人信息，而是反对过度收集、强制收集和违法收集。”中国社会科学院学部委员、全国人大宪法和法律委员会委员孙宪忠（zhōng）说。

孙宪（xiàn）忠表示（shì），社会上一度曾对个人信息（xī）泄露感（gǎn）到恐慌和担忧（yōu），但在（zài）防控疫情的过程中，信息化手段提供了（le）很大帮助，这使人们认识到个人信息的（de）收集（jí）在社会（huì）管理过程中也大有裨益。在立法讨论中大家认（rèn）为，我（wǒ）国（guó）已经进入信息化社会，要积极利（lì）用信息化的利好（hǎo）方面，但也应认识到，在信息收集和后续的信（xìn）息加工（gōng）、管理、应用等环（huán）节确实出现了一些问题，因此，《个（gè）人信息保护法》要着（zhe）力解决这些问题。“《个人信息保护法》进一（yī）步完（wán）善了（le）处理个（gè）人信（xìn）息（xī）的合法性（xìng）基（jī）础，补（bǔ）充了个（gè）人有权撤回同意的内（nèi）容（róng）。”中（zhōng）国信（xìn）息通信研究院云计算与大（dà）数据（jù）研究所仵姣姣说，“总体而言，《个人信（xìn）息保护法》采取了优先保护（hù）个人权（quán）利（lì）和社会（huì）公（gōng）共利益的路径。”

仵姣姣表示，《个人信息保护法》列举（jǔ）了（le）个人信息（xī）处理的合法（fǎ）基础，包括授权同意、为订立或履行个人作为一方当（dāng）事人（rén）的（de）合同（tóng）所必需、履职（zhí）必需、应对（duì）突发公共（gòng）卫生事件、在合理的范围内处（chù）理已公开的信息（xī）、公（gōng）益目的（de）等（děng）。对信息收集者来说，主要（yào）的（de）数据处（chù）理合（hé）规（guī）基础是被收集对（duì）象的授权同意、合同必需和在合理（lǐ）范围内处理已公开的信息。

如果（guǒ）不授权就不能使用（yòng）互联网应用，这一度是很普遍（biàn）的（de）现象（xiàng）。仵姣（jiāo）姣认为（wéi），尽管消费者授权同意，但仍存在能（néng）否真（zhēn）正保障个人信息主体的（de）知情（qíng）权、授（shòu）权同意是否（fǒu）会流于形式（shì）、强势一（yī）手（shǒu）数据（jù）源为后续（xù）数据（jù）流转的参与方带来（lái）权利瑕疵等问题，但实（shí）践（jiàn）中已逐渐形（xíng）成一定程（chéng）度上的范例。例（lì）如（rú）采用（yòng）交互式弹窗的形式在用户使（shǐ）用特（tè）定功能时，逐一获取该（gāi）功能必需的数据；明确列出数据共享的目的（de）及合作方名（míng）单；在（zài）隐私协议条款前，简要介绍核心（xīn）条款（kuǎn）等。

过度索权也是一直为（wéi）消费者诟病（bìng）的（de）行业痼（gù）疾。仵姣姣认为，合同一定要遵循最小必（bì）要（yào）原（yuán）则，商家需要审慎（shèn）衡量获取的数（shù）据类型是不是提供相关产品和（hé）服（fú）务的必要前提（tí）。

信（xìn）息社会发展到今天，一（yī）般人都有几十、上百条注册信息、授权同意信息（xī），其（qí）中很多都不再使用，但却普遍存在不支持（chí）注（zhù）销账户、撤回同（tóng）意投诉无门等（děng）问题。仵姣姣表示，《个（gè）人（rén）信息保（bǎo）护法》专（zhuān）门赋予（yǔ）个人撤回同（tóng）意的权（quán）利，明确要求商（shāng）家必须提供便捷的撤（chè）回同意方（fāng）式。此外还明（míng）确，撤回（huí）同意不影响（xiǎng）撤回前基于个人同意已进行的个人信息处理活（huó）动的效力。

“由于（yú）数据存（cún）在极强的可复制（zhì）性，个人信息主体在给出首次授（shòu）权同（tóng）意后，对于姓名、身份证号、手机号、地址等相对静（jìng）态（tài）的信息很容易失去控制权，即使在撤回同意后，个人及每（měi）一环节数据处理者也很难控制数据的后续（xù）流转（zhuǎn）。”仵姣（jiāo）姣认（rèn）为，商家要确保在（zài）用户撤回同意（yì）后，相关数据被终止（zhǐ）收集，必要时也需要对其（qí）进行删除或匿名化。

遏制大数据杀熟（shú）行为

大（dà）数据（jù）杀熟近年（nián）来（lái）被（bèi）广泛讨论。在同一网站上，相同的商品或服务不同的人（rén）购买（mǎi）价格却不（bú）一样，这就可能是被“杀（shā）熟”了。大数（shù）据杀熟是（shì）指一种个性化定价（jià），商家通（tōng）过（guò）分析消费者个人（rén）信息（xī）形（xíng）成（chéng）画（huà）像，利（lì）用（yòng）算法对每个消费者的支付意愿进行精准（zhǔn）评估和预测，预测消（xiāo）费者（zhě）最（zuì）高（gāo）保留价格，并以此就同一商品或服务向不同（tóng）消费者设置不同价格。中国信（xìn）息（xī）通信研究院互（hù）联网法律研究中心高级（jí）研究员、个（gè）人信息保护立法研究团队负责人（rén）杨婕（jié）认为，这种歧视性定（dìng）价策略，其实意味着商家可以过度、无限制、不合理地剥夺消费者，损害消费者权益（yì）。

“《个人信息保护法》中的第二十四条，对于大数据（jù）杀熟问题作出明确的规定（dìng）。”杨（yáng）婕（jié）说，《个（gè）人信息保护法》明（míng）确要（yào）求商（shāng）家（jiā）保（bǎo）证（zhèng）自（zì）动化决策的透（tòu）明度（dù）和结果的公平（píng）、公正，在事前进行个（gè）人信息保（bǎo）护影（yǐng）响评估，不得对个人在交易价格（gé）等交（jiāo）易条件上实行不合理的（de）差别待（dài）遇（yù），并赋予个人包括选择权、知情权在内的更充分的权利。

杨婕表示（shì），考虑（lǜ）到个人信息处理活动的多样性、算（suàn）法运行机制的（de）不透明（míng）性（xìng）以及决策（cè）结果的（de）不确定性，《个人信息保护法》规定无论商家是否具有（yǒu）市场支配地（dì）位，只要其（qí）利（lì）用个人信息进行自动化决策，对个人在交易价格等交易条（tiáo）件上实行不合理（lǐ）的差别待遇（yù），就是法律所禁（jìn）止（zhǐ）的行为。“所涉及的（de）适用对象全面，辐射（shè）范（fàn）围广泛，有（yǒu）助于彻（chè）底解决大数（shù）据杀熟问题。”杨婕说。

中国首席数据官联盟专家组（zǔ）成员、法律顾（gù）问（wèn），观（guān）韬（tāo）中茂（上海）律师事务所合伙人（rén）王（wáng）渝伟说，今年2月7日，《国务院反垄（lǒng）断委（wěi）员会关（guān）于平（píng）台经济领（lǐng）域的反垄（lǒng）断指南》发布，遏制平台（tái）经营者利用（yòng）其垄断地位进行大数据杀熟、强（qiáng）迫商（shāng）家“二选一（yī）”等不公平竞争等行为。随着《个人信息保（bǎo）护法》的实施，数据可携带权等权益（yì）的实现（xiàn），将（jiāng）有力（lì）保障数据在不（bú）同经营者之间的（de）流动，促进经营者公平竞争。

APP个人信息保护设专章

“你在家里住得好好（hǎo）的（de），结果总有人打电话骚扰你；刚生了孩子从（cóng）医院回来，走在（zài）路上就有人向你推销纸（zhǐ）尿裤等，很显然你（nǐ）的个人信（xìn）息被泄露了。”孙宪忠（zhōng）说（shuō）。这种情况不（bú）属（shǔ）于个（gè）人信息收集环节，而属（shǔ）于信息收（shōu）集之后的“占（zhàn）有（yǒu）和加工管理”环（huán）节。对此，《个人信（xìn）息（xī）保护（hù）法》第五十二条明确规定，个人信（xìn）息收（shōu）集者应（yīng）该对收集来的信息（xī）进（jìn）行妥善的监督和保管。

据（jù）工业和信息化（huà）部（bù）统计，截至2020年底，国（guó）内市场上监测到的（de）APP数量为（wéi）345万款。海量的APP在带来生活（huó）便利的同时，强制索权、过度收（shōu）集、滥用和泄漏个人信（xìn）息（xī）等问（wèn）题也（yě）层出不穷。

杨婕表示，小程（chéng）序、快应用、H5页（yè）面等新应（yīng）用（yòng）形态不断出现，麦克风（fēng）被窃（qiè）听、通（tōng）信录（lù）被窃取、相册非授（shòu）权被读写等问题不断曝出，亟（jí）需从法律层面遏制APP滥用个人信息的现象。《个人信息保护法》增加了对于APP个人信息保（bǎo）护（hù）的专门（mén）性规定，其中第六（liù）十一条将“组织对应用程序等个人信息保护情（qíng）况（kuàng）进行测（cè）评，并公布测评结果”新设为（wéi）履行（háng）个人（rén）信息保护职责的（de）部门的职（zhí）责；第六十六条（tiáo）将（jiāng）“对（duì）违法处理个人信息的（de）应用程序，责令暂停或者终止提供服务”，增加为履行个人信（xìn）息保护职责的部门对违法主体（tǐ）可采取（qǔ）的处罚手段。

中国社会科学院法学研究所副（fù）所（suǒ）长周汉华（huá）说，从适用的对象上来看，《个（gè）人（rén）信息（xī）保（bǎo）护法》把政府（fǔ）机关和市场（chǎng）主体（tǐ）一并纳入规范的对象（xiàng）。

新（xīn）增了对具有管理公共（gòng）事（shì）务职能的组织（zhī）的规（guī）范要求。孙宪忠说，《个（gè）人信息保护法》影响最大的就是（shì）负责收集个人信（xìn）息的部门，包（bāo）括（kuò）政府部（bù）门、大型企业（yè）等。第五十七条明确（què）提出，个人信（xìn）息发生泄露（lù），个人信息处理者即信（xìn）息掌管者要立（lì）即采取补（bǔ）救措施（shī）。具体来说，是指网（wǎng）信部门或者是相关管理机构等，要设法采取（qǔ）补救性（xìng）措（cuò）施。

孙（sūn）宪忠（zhōng）说，就个人（rén）而言，如果发现自己（jǐ）的个人信息已经被泄露，可以依据《个人信息保护法》第六十一条第（dì）二（èr）项的规（guī）定，积极向网信部门、市（shì）场监督管理部门等相关管理机构投诉（sù）。

“明（míng）确个人信息侵权（quán）行为的归责原则为（wéi）过错推定，是对用（yòng）户权益的有力（lì）保护。”仵姣姣说。《个（gè）人信息保护法（fǎ）》明确（què）了当个人信（xìn）息权（quán）益因个人信息处理活动受到侵害时，个（gè）人信（xìn）息处理者不（bú）能证明自己没有过错的，应当承担（dān）损害赔偿（cháng）等（děng）侵权（quán）责任。换言之，个（gè）人信息（xī）处理者如果（guǒ）不（bú）能证明自己在数据处理、数据保护（hù）中（zhōng）不存（cún）在过错，将在（zài）诉讼中面临（lín）一定（dìng）程（chéng）度的（de）败诉（sù）风（fēng）险。

这在司（sī）法实践中实际上已有先例（lì）。如此（cǐ）前消费（fèi）者庞理鹏诉中国（guó）东方航空（kōng）股份（fèn）有限（xiàn）公司、北京趣拿（ná）信息技（jì）术有限公（gōng）司（sī）隐私权纠（jiū）纷案，被告企业被要求证（zhèng）明（míng）自己（jǐ）不存在过错（cuò）、已履行的（de）信息安全保护义务以及（jí）个人信息的具体（tǐ）泄露方（fāng）以及（jí）泄露的具体环（huán）节，并最终（zhōng）由于难以（yǐ）提供相关（guān）证（zhèng）据（jù）而败诉。

人（rén）脸（liǎn）识别条（tiáo）款亮点多

“《个人信息保护法（fǎ）》对人脸信息的保护亮点很多（duō）。”中国信息通信研究院（yuàn）云计算（suàn）与大（dà）数据（jù）研究所人工智（zhì）能部呼娜英说。人脸作为人类社会（huì）相互识别和（hé）验（yàn）证的通用（yòng）身份（fèn）标识符，具（jù）有直接识别（bié）性、独特（tè）性、唯一性、易获（huò）取性等特点。在人工智能（néng）赋能深度广度不断（duàn）加强的科技（jì）浪潮（cháo）下，人脸识（shí）别技术商业化进程不（bú）断加速。从此前的《最高人民法（fǎ）院关于（yú）审（shěn）理使用人脸识别技术处理个人（rén）信息相关民事案（àn）件适用法律（lǜ）若干（gàn）问题的规（guī）定》到目前（qián）的《个信（xìn）息保护法》，都规定人脸识别属（shǔ）于敏感个人信息，需要遵循特殊规则进行保护、处理。

人脸识（shí）别技（jì）术应用需满足“特定目的”及“充（chōng）分必要”。呼娜英（yīng）表示，此前的最高（gāo）人（rén）民法院对人脸识（shí）别的司法解释（shì）中已（yǐ）经明（míng）确，物业（yè）、建筑物管（guǎn）理人不得仅以（yǐ）人脸识别（bié）作为唯一门禁方式（shì），企业亦不得以捆绑、强迫形式获得（dé）消费者同意人脸信息处理（lǐ）。《个人（rén）信息保护法》明（míng）确要求，个人（rén）信息处（chù）理者（zhě）在（zài）处理敏感个（gè）人信息前，需存在“特定的目的”及“充（chōng）分的必要性”。呼娜英认为（wéi），该条款对处理敏感个人（rén）信（xìn）息提出了更（gèng）高的要求。目的正当性和必要性（xìng）不仅仅是指合法合（hé）规，还（hái）蕴含着（zhe）符合目的限制、诚实信用和公开透（tòu）明的要求。“这样（yàng）一（yī）来，零售商要求（qiú）刷脸进（jìn）出或支付、小区要（yào）求刷脸（liǎn）进出、楼宇闸机要求刷脸登（dēng）机等场景，将可能（néng）因缺乏目的正当（dāng）性和必要性而遭受挑战。”呼娜英说。

单独同意（yì）制度。呼娜英说，《个人信息保护法》在“告知+同（tóng）意”规（guī）则的基（jī）础上，引入了“单独（dú）同意”的要求，规定了需要用户“单（dān）独同意”的一些具体场景，包（bāo）括：处理（lǐ）敏感个（gè）人信息、公（gōng）开或（huò）向他人提供个人信（xìn）息（包括在（zài）公共场所（suǒ）安装图像采（cǎi）集和个人身份识（shí）别设备收集的个人（rén）信息），以及（jí）向境外提供（gòng）个人信（xìn）息等。

扩（kuò）张用户知情权，确立有（yǒu）限制的解释权。《个人（rén）信息保护法》对（duì）包括人脸信（xìn）息在内的敏（mǐn）感个人信息保护提出了更高（gāo）的要求，即信（xìn）息处理者应当告（gào）知个人（rén）处理敏感个人信息（xī）的必要性以及对（duì）个人的影响。“这就（jiù）进一步切实地保（bǎo）障（zhàng）了用户的知（zhī）情（qíng）权。”呼娜英说。

加强限制图像（xiàng）采集、个人身份识信（xìn）息的使（shǐ）用。“《个人信（xìn）息保护法》在（zài）三次审议中（zhōng）不断强（qiáng）化针对公共（gòng）场所安装图像采集、个人身份识别（bié）设备的（de）要求。”呼娜英说（shuō）。《个人信息保护法》明确规定，商家所收集的个人（rén）图像、身份识别信息“不得（dé）用于其他（tā）目的（de）”，进一步限缩了图像采集、个人（rén）身份识别的处理范围。

孙宪忠说，考虑到现在的人脸识（shí）别采集方式，很多情况下都在个体不知情的情况下（xià）进行，因此，《个人信（xìn）息保护法（fǎ）》第二十六（liù）条规定，在（zài）公共场所安装（zhuāng）图像采集个（gè）人身份识（shí）别设备的（de）时候，其出（chū）发（fā）点（diǎn）必须是（shì）要维护社（shè）会公共安全，而（ér）不能用于其（qí）他目的；要符合国家法律规定；安装（zhuāng）时要设置明（míng）显的（de）提示性标识。

平台（tái）“守门人（rén）”条款尚有争议

对（duì）于APP的各种个（gè）人信息（xī）侵（qīn）权问题，平台（tái）责任是大家关注的焦点。《个人信息保护法》第五十（shí）八条进一步（bù）完善了平台“守门人”条款。一是（shì）将提（tí）供基础性服务（wù）的互联网平（píng）台修改为提供重（chóng）要互联网平台服务（wù）；二是在第一项中（zhōng）补充了（le）按（àn）照国家（jiā）规（guī）定建立健全个人（rén）信息保护（hù）合规制度体系的义（yì）务（wù）；三（sān）是单独增加了一（yī）项“守门人”义务，即遵循公开（kāi）、公平、公正的原则，制定平台规则，明确平台内产（chǎn）品（pǐn）或者服务提供者处理（lǐ）个人信息的规范（fàn）和保护个人信息的义务。

杨（yáng）婕认为，这一规定被（bèi）认为是强化基（jī）础性服务平台的个人信息（xī）保护责任（rèn）、促（cù）进其积极展开基于个人信（xìn）息保护治理的制度设置，并能一定程度上为公权力保护个人信息的实践提供有益补充，是一（yī）个创新性制（zhì）度设计。

据杨婕介绍，“数字（zì）守门人（rén）”的（de）概念（niàn），是2020年12月欧盟委员会（huì）公（gōng）布的《数字市场（chǎng）法案》中提出（chū）的（de），被（bèi）认定为“守门人”的（de）平台应承（chéng）担一系（xì）列额外的具（jù）体义务。

中国人民大学法学院教授张（zhāng）新宝（bǎo）此（cǐ）前接受（shòu）媒体（tǐ）采（cǎi）访时表示（shì），对300多万款APP一对一（yī）监管难免力（lì）不从心，应将（jiāng）部分监（jiān）管职责前移（yí），对实际上（shàng）控制技术资源（yuán）、技术环境（jìng）和运营（yíng）环境的信息处理（lǐ）者（zhě），比如应用程序（xù）的（de）分发平（píng）台、操作系统、大型APP平台等，设（shè）置关键（jiàn）环节“守门人”在（zài）个人信息处中的特别义（yì）务。他认为，目（mù）前（qián）国内常（cháng）用的应用平台分（fèn）发（fā）系统不超过80个，移（yí）动终端操作系统不超过10组，搭（dā）载小程序的大（dà）型APP平（píng）台不超过5个，将部分监管职责（zé）前移到关键（jiàn）环节“守（shǒu）门人”，就不用面对海量的APP一对一进行监督管理（lǐ）。

中国社会科学院大学（xué）互联网（wǎng）法治研究中（zhōng）心执行主任（rèn）刘晓春（chūn）认为，在个（gè）人信（xìn）息保护领域（yù），设立通过平台（tái）实现治理的规则，即通常所（suǒ）说的“守门人”制度，一方面是法律（lǜ）对于平（píng）台责任在个人信息保护领域的扩展；另一方面，也会构成法（fǎ）律对（duì）于负有此等责任平（píng）台的（de）一种赋权，进一步扩大了（le）大（dà）型基础性平台（tái）制定规则、展（zhǎn）开治理、采取措施（shī）方面的实质性权力。若没有相（xiàng）应的制约性配套制度，则有可（kě）能会造成平台地位在个人信息保护领域（yù）的强化，并且带来权力滥用的（de）可（kě）能性，这（zhè）也正是目前国内外（wài）针对平台的“守（shǒu）门人”地位及其滥（làn）用行为对于竞争环境产生（shēng）不（bú）良影响的担忧焦点所在。“如果赋（fù）予电（diàn）商平台（tái）或社交平台上一些经营者个人信（xìn）息（xī）审核义务，有（yǒu）可能会出现权（quán）力滥用（yòng），或通过审核权来进行自我优待、差别待遇（yù）等。”刘晓春认（rèn）为，极有可（kě）能出（chū）现平（píng）台利（lì）用（yòng）个（gè）人信息（xī）治理机制，进（jìn）行反竞（jìng）争投机行为，从而（ér）损害平（píng）台内经营者，特别是（shì）中（zhōng）小经营者的利益。

刘晓春认为，针（zhēn）对制（zhì）度可能带来（lái）的消极影响进行评估和预（yù）判，应（yīng）建构防范风险、降（jiàng）低成本的配套措施，可以将个人信息（xī）保护“守门人”制度（dù）可能带（dài）来的顾虑和风险（xiǎn）尽量降到最（zuì）低。“以目前（qián）的平台内容治（zhì）理和知识产权治（zhì）理为类比，这（zhè）两项都需要投入大量人力物力，组建专（zhuān）门的管理（lǐ）、技术团队，建立实体判断标准、程序流程规（guī）则、争议解决渠道、纠错救济机制等复（fù）杂（zá）的规则和（hé）执行体系（xì）。经济成本、专业（yè）能力、技术和管（guǎn）理、组织资源（yuán）等方面，都会对平（píng）台提出相当高（gāo）的要求。”刘（liú）晓春说（shuō），基础性服务平台（tái）是否（fǒu）具有能力对平台内其他经营者的个人信息合规（guī）情况展开审（shěn）核？而且（qiě），平台内经营（yíng）者运作和（hé）使（shǐ）用过程中的（de）个人信息收（shōu）集和处理过程，并不一定能（néng）够（gòu）由基（jī）础性服务平台（tái）直接监测和发（fā）现（xiàn）。这些都（dōu）有待进（jìn）一步探索和（hé）完善。

周汉华（huá）表示，《个人（rén）信（xìn）息保护法》在第（dì）一条就明确（què）了“根据宪法”，这（zhè）几个（gè）字有非（fēi）常（cháng）重大的意（yì）义。这（zhè）表明《个人信息保护法》的立法依据是我国宪法规定的（de）“公（gōng）民的人格尊严与自（zì）由不受侵犯”，表明《个人信息保护法》也（yě）是个人信息保护领域的基本法。也就是说，如果出现和其（qí）他个人信息保护相关法律（lǜ）规定冲突的情况，应该优先适用《个人信（xìn）息保（bǎo）护法》。

孙宪忠认为（wéi），《个人（rén）信息保护法》实施后，对老百姓而言，最（zuì）直（zhí）观的（de）感受就（jiù）是数字化的社会（huì）生活会更加可靠、安全。总（zǒng）之，《个人信（xìn）息保护法》对整个（gè）社会而（ér）言是一（yī）个很重要的利好。