《個人信息保護法》正式頒布數字經濟野蠻生長時代或終結

孫永杰

今年8月20日，《個人信息保護法》表決通過，定于11月1日起施行。這是中國首部針對個人隱私保護的法律，立法的嚴格程度堪比歐盟《通用數據保護條例》（GDPR）。其中規定：嚴禁“大數據殺熟”;App不得強制推送個性化廣告;不得非法收集、使用、加工、傳輸他人個人信息;不得因用戶不同意提供信息拒絕服務等。可以說，這部專門法律充分回應了社會關切，為破解個人信息保護中的熱點難點問題提供了強有力的法律保障。

侵犯個人信息亂象叢生，《個人信息保護法》生逢其時

據統計，截至去年年底，我國互聯網用戶已達9.89億，互聯網網站和應用程序數量分別超過440萬和340萬。在互聯網的飛速發展中，一些企業、機構甚至個人隨意收集、違法獲取、過度使用、非法買賣個人信息，利用個人信息侵擾人民群眾生活安寧、危害人民群眾生命健康和財產安全等問題變得非常突出。以我們最常用的手機App為例，為實現商業利益最大化，不少移動應用濫采濫用個人信息，嚴重侵害了用戶個人信息的選擇權、知情權、刪除權等權益。

比如由國家互聯網信息辦公室提供的《百款常用App申請收集使用個人信息權限列表》顯示，與個人信息相關的26項權限中，平均每個App申請了10個權限，該列表還顯示，相機、定位、錄音權限、讀取和寫入存儲器成為App最常調用權限，而且高達99.0%的App都默認調用相機權限。今年5月，國家互聯網信息辦公室通報了105款App違法、違規收集使用個人信息情況。其中，《抖音》《快手》等短視頻類App，《搜狗搜索》等瀏覽器類App以及《領英》《獵聘》等求職招聘類App存在“收集與其提供的服務無關的個人信息”等問題;《茄子短視頻》《360瀏覽器》等App存在“未經用戶同意收集使用個人信息”等問題。

除了違法違規收集使用個人信息，“大數據殺熟”問題也十分嚴重。隨著互聯網的高速發展，大數據時代的來臨，消費者—方面在享受便捷服務的同時，也面臨著許多陷阱。從旅行平臺、電商平臺、打車軟件到外賣平臺，不少互聯網企業都曾被曝光利用大數據殺熟。例如2020年12月14日就有自媒體在微信公眾號發表文章，質疑某外賣平臺對外賣會員殺熟，這篇文章在當時引發輿論廣泛關注。文章指出，作者常年點外賣的一家驢肉火燒的配送費從未超過3元，但是購買外賣平臺的會員后配送費竟變為6元。作者在確認了當時并非配送高峰期后，又登錄了自己另一個非會員的賬號進行確認，發現兩個賬號在相同時間相同位置，配送費并不一樣：會員6元，非會員2元。三天后作者再次操作確認，配送費變成了會員4元，非會員2元，會員的配送費還是比非會員高，自此他得出結論認為自己遭遇了大數據殺熟。

不難看到，“大數據殺熟”可帶來惡劣的影響，其最直觀表現就是價格歧視，即對新老用戶制定不同價格，會員用戶反而比普通用戶價格更貴;對不同地區的消費者制定不同價格;多次瀏覽頁面的用戶可能面臨價格上漲;利用繁復促銷規則和算法，實行價格混淆設置，吸引計算真實價格困難的消費者。

最后，離我們日常同樣很近的個人生物信息泄露（例如人臉識別）也是一個大問題。目前，不僅大量的線上應用及線下服務設置了基于生物識別信息的身份認證環節，在會場簽到、景區參觀等線下場景中，人臉識別已經成為必要“門票”，而且還存在公共空間濫用人臉識別攝像頭遠距離偷采人臉圖像信息以牟取私利的情況。比如，去年曾曝光的房產售樓處采集用戶面部信息“殺熟”，再如今年“3·15”晚會曝光的科勒衛浴等多個商家安裝了具備人臉識別功能的攝像頭，偷偷采集了海量顧客人臉信息等。

由上述可知，國內對于用戶個人信息保護存有相當的挑戰，而《個人信息保護法》的即將實施對于化解這些挑戰可謂正當時。那么問題來了，《個人信息保護法》到底能給作為個人的我們帶來什么？

如前述，長期以來，應用程序過度收集個人信息問題是社會關注的一大焦點。在實踐中，互聯網企業推出的App通常以勾選“隱私協議”來獲取用戶一攬子授權，用戶經常面臨著“不同意即不可用”的困境。《個人信息保護法》明確了個人信息處理和跨境提供的規則、個人信息處理者的義務等內容。其規定，任何組織、個人不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。

例如針對過度收集信息、大數據殺熟的問題，《個人信息保護法》明確，處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式;個人信息處理者利用個人信息進行自動化決策，不得對個人在交易價格等交易條件上實行不合理的差別待遇。—方面，經營者應當按照法律規定，遵循公開、公平、公正的原則設定算法模型、制定自動化決策的規則，不得對消費者實行歧視性的不公平的差別待遇;另—方面，個人信息處理者應當保障消費者的知情權和選擇權，向個人進行信息推送、商業營銷時，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。

又如針對濫用人臉識別技術問題，《個人信息保護法》要求，在公共場所安裝圖像采集、個人身份識別設備，應設置顯著的提示標識;所收集的個人圖像、身份識別信息只能用于維護公共安全的目的。對于提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者，《個人信息保護法》特別規定了其需要履行的義務，如建立健全個人信息保護合規制度體系，定期發布個人信息保護社會責任報告，接受社會監督等。

值得關注的是，《個人信息保護法》還將生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息列為敏感個人信息。《個人信息保護法》要求，只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，方可處理敏感個人信息，同時應當事前進行影響評估，并向個人告知處理的必要性以及對個人權益的影響。

考慮到少年兒童在生理上和心理上尚不成熟，認知能力和控制自己行為的能力都較弱，容易受到信息推送和商業營銷的誘導，在面對違法處理行為侵害其合法權益時缺乏必要的分辨能力和充分的自我保護能力，為保護未成年人的個人信息權益和身心健康，《個人信息保護法》特別將不滿十四周歲未成年人的個人信息確定為敏感個人信息予以嚴格保護同時，與未成年人保護法有關規定相銜接，《個人信息保護法》要求處理不滿十四周歲未成年人個人信息應當取得未成年人的父母或者其他監護人的同意，并應當對此制定專門的個人信息處理規則。通過上述與我們個人密切相關的領域看，《個人信息保護法》為個人信息保護明確劃出一條紅線，對保護個人信息安全將起到重要作用。

不可否認，《個人信息保護法》為破解個人信息保護中的熱點難點問題提供了強有力的法律保障，但從發展角度來看，立法只是第一步，如何在有法可依的背景下做好個人信息保護是立法之后需要高度關注的課題。

眾所周知，個人信息流通鏈條復雜，所涉環節眾多，應構建由個人、企業、第三方監測機構與事故處理機構等組成的個人信息保護健康生態，建立“事前預防”“事中監控”和“事后處置”三管齊下的個人信息安全保障體系，筑牢個人信息安全保護屏障。

例如針對App安全問題，專家建議今后要持續完善行業監管執法建設，強化行業監管職責，細化違規處置流程和具體措施，提升監管的規范性和透明度。同時，要著眼于技術發展規律，以技術產業創新主體為重點壓實監管責任，以技術檢測平臺為依托提升監管能力，以技術標準為核心強化監管要求。堅持體系化共治思維，堅持政府、企業、行業共同參與，構建多層次的App個人信息保護規范體系。

上述可以概括為各方協力綜合治理的化，另—方面，手機App用戶的隱私意識也應該提升。同很多發達國家相比，中國民眾對個人信息保護的認知依舊存有明顯差別。我們這里同樣以App為例，據艾瑞數據顯示，相比于2018年，2020年認真閱讀App隱私條款的網民有所增加，從32.4%上升為36.4%，說明中國手機網民的個人隱私保護意識在一定程度上有所增強，但整體情況依舊不容樂觀。艾瑞數據顯示，有57.8%的受訪網民在App申請調用權限時辨別后或選擇部分通過;30.3%的受訪網民會因拒絕應用強迫調用權限而放棄使用該App。

由此可見，手機網民對于辨別App權限漸趨于主動，但在面對應用過度調用的情況下僅有少數網民能夠堅定拒絕繼續使用應用，而絕大多數網民仍迫于需求或者方便妥協于讓步于應用不法調用用戶信息。所以在受到法律保護的同時，未來我們還需不斷提升自身對于信息安全的保護意識，這也相當重要。

毫無疑問，作為中國首部個人信息保護方面的專門法律，《個人信息保護法》在正式頒布實施后將肩負起數字時代下個人信息“保護神”的使命，引導我國個人信息保護的法制建設步入一個新的篇章。這對于廣大用戶個人的信息安全保護無疑是一大利好。對于企業來說，《個人信息保護法》的正式頒布也意味著此前在數字經濟發展中依靠謀“私”獲得野蠻成長的時代終結了，今后應當以《個人信息保護法》為紅線，不斷提升自身的道德和企業責任，將心思用到真正可以給用戶帶來實惠的創新上，畢竟這才是才是企業發展唯一的正道。