北京政法网

　　2021年11月1日，《个人信息保护法》正式实施。它是我国第一部专门针对个人信息保护的法律。该法明确了个人信息的定义和处理规则，对个人和信息处理者双方的权利义务进行了细化，并建立了个人信息保护投诉、举报工作机制，全面系统地回应了关于个人信息安全的热点问题，堪称一把保护个人信息的“安全锁”。

　　一、明确“个人信息”

　　该法第四条第一款对“个人信息”进行了界定：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。而第七十三条第四款则对匿名化进行了解释：指个人信息经过处理无法识别特定自然人且不能复原的过程。这一定义与《网络安全法》《民法典》及相关司法解释基本一致，强调可识别性，但也明确经匿名化处理后不属于个人信息，这体现出《个人信息保护法》“保护”和“利用”并重的色彩。同时，《个人信息保护法》单独区分了“敏感个人信息”，即一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，以及不满十四周岁未成年人的个人信息，对此类信息进行严格保护。

　　二、建立“告知-同意”机制

　　根据该法第十三条、第二十二条和第二十三条，无论是对于个人信息的收集、处理、使用还是进行转移或提供给其他处理者，个人信息处理者均应提前告知个人并取得同意，以确保个人充分知情、明确决定。但也存在不需要经过同意的例外情形：为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息等。这部分例外情形应当做严格解释，方不与该法立法目的相悖。

　　三、针对性回应社会热点

　　《个人信息保护法》针对一系列热点问题进行了专门规定，切实回应了群众需求。如针对“大数据杀熟”问题，第二十四条规定个人信息处理者应当保证自动化决策的透明公正，“不得对个人在交易价格等交易条件上实行不合理的差别待遇”；针对网购“信息茧房”问题，该条规定“进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式”；针对手机、软件开发者“一揽子授权”、“强制同意”等问题，第十六条规定“不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务”；针对公共场所强制“刷脸”问题，第二十六条规定只能“为维护公共安全所必需”。这些规定将有助于规范市场秩序、鼓励互联网平台良性竞争，切实保障个人权利。

　　四、落实保护和责任机制

　　《个人信息保护法》明确了违法后的追责机制和法律责任。个人信息安全受侵害的，可以向履行个人信息保护职责的部门进行投诉、举报，也可以自行提起民事诉讼；侵害众多个人权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以提起公益诉讼，这为被侵权人提供了救济途径。在行政责任方面，该法第六十六、六十七条规定了相关处罚，并明确违反规定将计入信用档案，具备一定的威慑作用；在民事赔偿责任方面，该法第六十九条规定个人信息侵权行为原则上采用过错推定，即无需被侵权人举证，个人信息处理者如不能证明自己无过错，则推定其承担民事赔偿责任，应当按照个人因此受到的损失或者个人信息处理者因此获得的利益进行赔偿。

　　以案说法

　　河南郑州的陈先生，两年来无法正常回家。原来去年1月，小区强制安装人脸识别门禁，他不愿意录入真实信息。而物业表示，如果不录入，只能偷偷跟随在其他人身后进入小区，这为陈先生的生活带来诸多不便。针对这种情况，《个人信息保护法》第十六条规定：“个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务。”陈先生可以向网信部门投诉、举报，也可以以此为依据向法院提起民事诉讼，保障个人合法权利。