小课堂
SMALL CLASS
01
序
个人信息被一些经营者非法搜集、过度使用，某些电商平台利用掌握的大数据杀熟，扰乱正常的市场经营秩序。甚至一些商家利用搜集到的个人信息非法买卖，其中一部分个人信息被非法分子利用实施犯罪等。伴随着互联网技术、信息产业的不断发展，公民个人信息泄漏的问题亦愈来愈严重。如何在社会不断进步、发展的同时，有效保护个人信息不被非法使用，全社会亟待一部针对个人信息保护的法律来保障。
千呼万唤始出来，《个人信息保护法》（下简称“该法”或“本法”）经过多年的酝酿终于经第十三届全国人民代表大会常务委员会第三十次会议于2021年8月20日通过，自2021年11月1日起施行。
02
概 述
本法共计八章七十四条。
第一章是“总则”，明确了本法的立法依据和立法目的，共十二条；
第二章是“个人信息处理规则”，共二十五条，也是重点立法内容，分别明确了个人信息处理的一般规则、敏感信息和国家机关处理个人信息的规则；
第三章是关于“个人信息跨境提供的规则”，共六条；
第四章是“个人在个人信息处理活动中的权利”，赋予了个人享有的信息被使用的知情权、决定权、诉讼权，以及死者的近亲属行使个人信息保护的相关权利等，本章共七条；
第五章是“个人信息处理者的义务”，明确了个人信息处理者应采取措施防止未经授权的访问以及个人信息泄露、篡改、丢失等法定义务，本章共九条；
第六章是“履行个人信息保护职责的部门”，明确了个人信息保护的主要部门和职责，特别明确了网信部门有权对信息使用者进行“约谈”和委托专业机构对其“合规审计”，共六条；
第七章是“法律责任”，明确了个人信息处理者违反本法应当承担的法律责任和国家主管部门在履职中不作为应承担的法律责任，特别明确对个人信息使用人实行“举证责任倒置”和针对侵害众多个人信息权益的，赋予了相关组织发起“公益诉讼”的义务；
第八章是附则，排除了个人因家庭事务处理个人信息的适用本法的规定，同时，分别对“个人信息处理者”、“自动决策”、“去标识化”、“匿名化”等术语作出解释，更容易理解。
03
亮点解读
1
第四条第一款明确“个人信息”的定义
个人信息是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息
第四条第二款明确“个人信息处理的范围”
个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。为个人信息从输入端到输出端全程进行规范，为下一步国家网信部门和个人信息处理者建立个人信息保护的规则和标准及相关制度提供了依据。
在本法对“个人信息”重新作出定义之前，今年实施的《民法典》第一千零三十四条已经给出了完整的定义，并且明确了“私密信息”和“个人信息”的法律适用规则以及就“个人信息保护”安排了四个条款的内容。
笔者认为本法作为基本法，比较《民法典》而言就个人信息保护更是一部特别法，从“新法优于旧法”的原则，在今后的司法实践中也优先适用本法。
2
第五条明确个人信息处理者应当遵循的原则
个人信息处理者应当遵循：合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。
第六条明确个人信息收集的范围尺度
该法第六条明确收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
如何理解“过度”？笔者认为应当与收集的目的直接相关，与使用目的无关的，或虽然有相关性但明显超出使用目的，应当节制。至于，如果产生争议，诉诸法院，在最高人民法院没有出台相关司法解释之前，由法院行使自由裁量权。
结合本法第十条的规定，如果个人信息处理者在信息收集、使用、加工、传输等环节中非法买卖，向他人提供或者公开他人个人信息，或者利用个人信息从事危害国家安全、公共利益之行为的，均应被禁止。
如造成个人权益或公共利益受到损害的，根据本法的第六十六条、六十七条、六十九条的规定承担民事赔偿责任或被追究刑事责任。
3
本法最大的亮点是赋予个人信息权利人的“同意”权和排除信息处理者的“拒绝”权。
第十条规定
基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。
第十六条规定
个人作出“不同意”的情况下，信息处理者不得“拒绝提供产品或服务”。从而避免了生活中，信息处理者将个人的“同意权”与使用产品或服务通过技术手段强制捆绑在一起的“胁迫”行为。
4
在互联网购物盛行的时代，网购经常会遇到卖家推送的商品或服务比新用户的价格更高，或者多次浏览后产品或服务涨价的情况，针对互联网平台商家利用掌握的消费者个人信息采取“杀熟”的作法一直被热衷于网购的消费者非议。该法的实施，个别互联网平台、商家利用“杀熟”的好日子将成为历史。
关于利用大数据“杀熟”的禁止性规定，在该法第二十四条明确作出规定：
第二十四条规定
个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。
同时，针对互联网技术采用的“自动化决策”涉及到消费者或权利人重大利益的，赋予了消费者或权利人的知情权，有权要求个人信息处理者作出说明，并有权针对信息处理者通过“自动化决策”方式作出的决定行使“拒绝权”。
5
本法第二十八条首先对个人“敏感信息”的重要意义进行了陈述，强调了保护“敏感信息”的重要性。
敏感个人信息一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害。
“敏感信息”的非法采集也为大家所诟病。本法通过概括式列举了“敏感信息”的范围：包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
为了保护个人“敏感信息”，该法第二十九条、第三十一条，分别就涉及个人敏感信息的同意权要求书面作出，十四周岁以下的未成年人的个人信息应当取得未成年人的父母或者其他监护人的同意的规定。
个人信息处理者在今后采集个人“敏感信息”时，如未经本法规定的程序，并征得权利人书面同意的，将被认定为违法行为，根据本法的第七章相关规定将承担行政责任、民事赔偿责任，甚至刑事责任。
6
个人信息权利人有权要求个人信息处理者提供个人信息使用的目的、状态等，有权针对个人信息处理者是否继续使用个人信息作出决定，个人信息权利人要求信息处理提供查阅、复制、删除个人信息的，信息处理者不得拒绝，改变了目前个人信息权利人可以就个人信息的如何使用享有充分的自主权。
7
该法明确个人信息处理者应当采取保护个人信息安全的六项具体措施，分别为：
关注微信公众号
