专家解读 | 《个人信息保护法》实施三周年：十大亮点赢群众叫好

科技 2024-11-18 19:11 北京

扫码订阅《中国信息安全》

邮发代号 2-786

征订热线：010-82341063

文 | 南京邮电大学教授、浙江大学双聘教授、中国科协决策咨询首席专家、工业和信息化部ICT经济专家委员会委员王春晖

《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）自2021年11月1日起施行以来，迄今已满三周年。《个人信息保护法》是我国第一部个人信息保护的专门性法律，开启了依法全面保护个人信息的新时代。《个人信息保护法》是社会关注度极高的一部法律，该部法律总体上坚持了“以人民为中心”的法治理念，突出了国家尊重和保障人权的宪法原则，规范了个人信息处理的规则，强化了对个人敏感信息的保护，充分保障了个人信息权益的行使，强化个人信息处理者的义务等，抓住了当前个人信息保护的主要矛盾和平衡点，是我国个人信息保护领域的一部重要基础性法律，赢得群众叫好。在学习和贯彻《个人信息保护法》的过程中，建议关注十大法律亮点。

一是我国《个人信息保护法》立足“保护”和“利用”同步推进。《个人信息保护法》第一条规定：“为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。”事实上，“规范个人信息处理活动”处于整个《个人信息保护法》的核心地位，只有夯实“规范个人信息处理活动”这个关键环节，才能确保实现保护个人信息权益和促进个人信息合理利用之目的。《个人信息保护法》的立法宗旨，是在确保个人信息安全的前提下，依法促进个人信息的合理利用，“保护”个人信息和“促进”合理利用要同步推进。

二是“个人信息”的定义体现了“保护”与“利用”的并重。《个人信息保护法》的定义与《民法典》《网络安全法》中的“个人信息”最大的不同在于，《个人信息保护法》的定义增加了“不包括匿名化处理后的信息”的除外规定，即明确了“个人信息”经匿名化处理后不属于个人信息，无须适用《个人信息保护法》的相关规定，体现了“保护”与“利用”的并重。

三是确立我国个人信息处理的基本原则。《个人信息保护法》确立的处理个人信息的重要法律原则包括：遵循合法、正当、必要和诚信原则；采取对个人权益影响最小的方式，限于实现处理目的的最小范围原则；处理个人信息应当遵循公开、透明原则；处理个人信息应当保证个人信息质量原则；采取必要措施确保个人信息安全原则等。《个人信息保护法》总则部分中的两个“最小原则”，是个人信息处理应遵循的核心原则。《个人信息保护法》第六条规定：“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。”

四是确立了“告知—知情—同意”的个人信息处理规则。《个人信息保护法》不仅确立了“告知—同意”的个人信息处理规则，而且构建了以“告知—知情—同意”为核心的个人信息处理规则体系。个人信息处理者“告知”的目的是确保被告知者充分“知情”，只有被告知者在充分知情的前提下才能自愿、明确地作出决定。《个人信息保护法》第十四条明确规定：“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。”我国《网络数据安全管理条例》进一步明确了网络数据处理者基于个人同意处理个人信息，应当遵守的六项规定：1．收集个人信息为提供产品或者服务所必需，不得超范围收集个人信息，不得通过误导、欺诈、胁迫等方式取得个人同意；2．处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息的，应当取得个人的单独同意；3．处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意；4．不得超出个人同意的个人信息处理目的、方式、种类、保存期限处理个人信息；5．不得在个人明确表示不同意处理其个人信息后，频繁征求同意；6．个人信息的处理目的、方式、种类发生变更的，应当重新取得个人同意。

五是确立了敏感个人信息的认定与保护规则。《个人信息保护法》没有对自然人的隐私信息做出专门规定，而是将个人信息分为敏感信息和非敏感信息，并设专节设置了“敏感个人信息的处理规则”。《个人信息保护法》第二十八条给出了“敏感个人信息”的定义，即“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息”。《个人信息保护法》对处理敏感个人信息作出了严格的限制性规定，即在履行“告知—知情—同意”原则的基础上，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。特别是处理敏感个人信息应当取得个人的单独同意。

六是明确了个人信息处理者应当履行“个人信息保护影响评估”和“遵守法律、行政法规的情况进行合规审计”的义务。《个人信息保护法》第五十五条规定，有下列五种情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：处理敏感个人信息；利用个人信息进行自动化决策；委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；向境外提供个人信息；其他对个人权益有重大影响的个人信息处理活动。《个人信息保护法》第五十四条明确了个人信息合规审计，即“个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计”。《网络数据安全管理条例》进一步规定，网络数据处理者应当定期自行或者委托专业机构对其处理个人信息遵守法律、行政法规的情况进行合规审计。《未成年人网络保护条例》专门就个人信息合规审计作出规定：个人信息处理者应当自行或者委托专业机构每年对其处理未成年人个人信息遵守法律、行政法规的情况进行合规审计，并将审计情况及时报告网信等部门。

七是明确个人信息跨境提供规则。《个人信息保护法》第三十八条明确了个人信息跨境提供的基本规则，即个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备以下四项条件之一：一是依照《个人信息保护法》第四十条的规定通过国家网信部门组织的安全评估；二是按照国家网信部门的规定经专业机构进行个人信息保护认证；三是按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；四是法律、行政法规或者国家网信部门规定的其他条件。

八是明确个人在个人信息处理活动中的七项基本权利。《个人信息保护法》构建了个人在个人信息处理活动中的七项权利：一是知情同意权，收集和使用公民个人信息必须遵循合法、正当、必要原则，且目的必须明确并经用户的知情同意；二是决定权，有权限制、拒绝或撤回他人对其个人信息的处理；三是查阅复制权，个人有权向个人信息处理者查阅、复制其个人信息；四是个人信息可携带权，个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径；五是更正补充权，个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充；六是删除权，在五种情形下，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：1、处理目的已实现、无法实现或者为实现处理目的不再必要，2、个人信息处理者停止提供产品或者服务，或者保存期限已届满，3、个人撤回同意，4、个人信息处理者违反法律、行政法规或者违反约定处理个人信息，5、法律、行政法规规定的其他情形；七是规则解释权，个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。

九是强调重要互联网平台的“守门人”责任。鉴于重要互联网平台掌握海量用户数据，一旦发生信息泄露或滥用，可能导致严重后果，《个人信息保护法》专门要求其履行“守门人”角色，并承担更多责任，主要包括：1、应按照国家规定建立健全个人信息保护合规制度体系；2、成立主要由外部成员组成的独立机构进行监督；3、遵循公开、公平、公正的原则制定平台规则；4、对严重违法处理个人信息的平台内产品或服务提供者停止提供服务；5、定期发布个人信息保护社会责任报告并接受社会监督等。

十是确立个人信息处理者侵权责任的过错推定。《个人信息保护法》第六十九条规定：“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。”“个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任”，这是一项“过错推定”原则，即在个人信息处理者不能证明其没有过错的情况下，就推定其有过错，应承担赔偿损害责任。

（来源：人民邮电报）

分享网络安全知识强化网络安全意识

欢迎关注《中国信息安全》杂志官方抖音号

《中国信息安全》杂志倾力推荐

“企业成长计划”

点击下图了解详情

http://mp.weixin.qq.com/s?__biz=MzA5MzE5MDAzOA==&mid=2664229766&idx=5&sn=ed9ae6c0459a9e07fb0101f8d60ff6cb

中国信息安全

《中国信息安全》杂志，介绍国内外最新网络安全动态，深度解读网络安全事件。

最新文章

全球视野 | 国际网安快讯（第38期）

行业 | 360发布全球首份《大模型安全漏洞报告》，曝光近40个大模型相关安全漏洞

关注 | 四部门开展“清朗·网络平台算法典型问题治理”专项行动

关注 | 建设100个以上可信数据空间，这份文件以可信安全促要素流通

前沿 | 推动构建网络空间命运共同体迈向新阶段

专家观点 | 法律监管+技术人工审核：提升AI内容输出可控性

国际 | 印度惊现“数字逮捕”电诈骗局

关注 | 多名网络主播被约谈！

发布 | 国家数据局印发《可信数据空间发展行动计划（2024—2028年）》（附全文）

专家解读 | 什么是可信数据空间？国家针对这一新型数据基础设施进行布局

一图读懂 | 可信数据空间发展行动计划（2024—2028年）

《中国信息安全》2024年第9期目录

聚焦乌镇 | 全球AI大模型攻防挑战赛乌镇收官：十强选手现场用AI对抗AI 保护大模型安全

警惕 | 针对我国用户的“银狐”木马病毒出现新变种！

通知 | 国家数据局就《国家数据基础设施建设指引（征求意见稿）》向社会公开征求意见（附全文）

重点防范！又公布一批境外恶意网址和恶意IP

关注 | 《2024中国数字银行调查报告》发布

关注 | 缅北规模化电诈园区全部被铲除

前沿 | 《密码法》颁布五周年：法治成效、实施难点与未来走向

聚焦乌镇 | 《中国互联网发展报告2024》和《世界互联网发展报告2024》蓝皮书发布

聚焦乌镇 | 2024年世界互联网大会乌镇峰会主论坛举行

外交部：中方愿与各方深化数据跨境流动领域交流合作

聚焦乌镇 | 世界互联网大会人工智能专业委员会成立

通知 | 网安标委发布《网络安全标准实践指南——粤港澳大湾区（内地、香港）个人信息跨境处理保护要求》（附全文）

聚焦乌镇 | 打造大模型安全标杆！360安全大模型在世界互联网大会连获两项殊荣

聚焦乌镇 | 《2024年全球发展倡议数字合作论坛主席声明》发布（附全文）

习近平向2024年世界互联网大会乌镇峰会开幕视频致贺

发布 | 全球数据跨境流动合作倡议

聚焦乌镇 | 共同推动构建网络空间命运共同体迈向新阶段——写在2024年世界互联网大会乌镇峰会开幕之际

CNNVD | 关于Palo Alto Networks PAN-OS安全漏洞的通报

CNNVD | 关于Apache OFBiz安全漏洞的通报

图解｜我国数据出境合规指引

评论 | 让未成年人模式真正成为“保护盾”

杂志征订 | 2025年《中国信息安全》杂志征订开始！

聚焦乌镇 | 2024年世界互联网大会“互联网之光”博览会在浙江乌镇开幕

聚焦乌镇 | 共赴美好数字未来——我国积极推动全球互联网发展治理迈向更高水平

发布 | 17家单位联合发布《工业和信息化领域数据安全合规指引》（附下载）

专家解读 | 构建国家数据标准体系推动数据要素高水平应用

专家观点 | 法治化防控人工智能风险

关注 | 起底网络水军：“这必然是一场持久的较量”

评论 | 为“吃谷”未成年人构建防诈安全网

全球视野 | 国际网安快讯（第37期）

王崧：共同推动构建网络空间命运共同体迈向新阶段

通知 | 住建部印发《城市数字公共基础设施标准体系》（附全文）

专家解读 | 构建国家数据标准体系，助力数据要素可信流通发展

专家解读 | 《个人信息保护法》实施三周年：十大亮点赢群众叫好

国际 | 美国科技巨头各出奇招争相“押宝”人工智能赛道相关监管政策和立法监管迟缓

评论 | “未成年人模式”防沉迷，握好“钥匙”是前提

2024年网络安全漏洞研究人才培养交流活动成功举办

发布 | 国家网信办发布《移动互联网未成年人模式建设指南》（附全文）

分类

时事

民生

政务

教育

文化

科技

财富

体娱

健康

情感

旅行

百科

职场

楼市

企业

乐活

学术

汽车

时尚

创业

美食

幽默

美体

文摘

原创标签

时事社会财经军事教育体育科技汽车科学房产搞笑综艺明星音乐动漫游戏时尚健康旅游美食生活摄影宠物职场育儿情感小说曲艺文化历史三农文学娱乐电影视频图片新闻宗教电视剧纪录片广告创意壁纸头像心灵鸡汤星座命理教育培训艺术文化金融财经健康医疗美妆时尚餐饮美食母婴育儿社会新闻工业农业时事政治星座占卜幽默笑话独立短篇连载作品文化历史科技互联网

发布位置

广东北京山东江苏河南浙江山西福建河北上海四川陕西湖南安徽湖北内蒙古江西云南广西甘肃辽宁黑龙江贵州新疆重庆吉林天津海南青海宁夏西藏香港澳门台湾美国加拿大澳大利亚日本新加坡英国西班牙新西兰韩国泰国法国德国意大利缅甸菲律宾马来西亚越南荷兰柬埔寨俄罗斯巴西智利卢森堡芬兰瑞典比利时瑞士土耳其斐济挪威朝鲜尼日利亚阿根廷匈牙利爱尔兰印度老挝葡萄牙乌克兰印度尼西亚哈萨克斯坦塔吉克斯坦希腊南非蒙古奥地利肯尼亚加纳丹麦津巴布韦埃及坦桑尼亚捷克阿联酋安哥拉