迎接個人信息保護法，邁入數字經濟新階段
2021-11-25 17:54:18周輝
財經 2021年25期
關鍵詞：法律
周輝
11月1日起，《中華人民共和國個人信息保護法》（下稱“個人信息保護法”）正式施行。這標志著個人的信息權益有了更系統的法治保障，個人信息處理活動有了更明確的法律指引，中國數字經濟發展和治理自此邁入嶄新階段。
如何理解個人信息保護法出臺
信息并非新的概念，個人信息保護也并非新的命題，與個人信息保護相關的法律規則此前更非空白，為什么當下還要出臺一部個人信息保護法？
進入數字時代后，形勢發生革命性變化。正如中共中央總書記習近平所指出：“數字技術正以新理念、新業態、新模式全面融入人類經濟、政治、文化、社會、生態文明建設各領域和全過程，給人類生產生活帶來廣泛而深刻的影響。”隨著數字技術加速創新和數字經濟蓬勃發展，個人信息處理的復雜性、普遍性日益增強，個人信息合理利用的經濟社會價值和濫采濫用的侵權安全風險也同步凸顯，傳統社會法律規則亟待系統性更新。
在數字時代，保障好個人信息權益，需要降低維權成本、提高侵權違法成本，需要賦予相對弱勢的個人更豐富的權利內容和更有力的救濟機制，也需要監管部門發揮好行政執法主動性、專業性的優勢。傳統的民事規則主要調整的是平等民事主體間法律關系，無法有效、及時調整信息大規模、多樣化、廣互聯利用過程中多主體間復雜的社會關系。
所以，需要補充特殊的民事責任規則、訴訟維權程序，也需要明確行政執法權限和強化行政處罰力度，對個人信息監管部門職責范圍以及如何監管執法作出規定。更重要的是，各級國家機關和法律、法規授權的具有管理公共事務職能的組織，在履行法定公共職責的過程中，也存在諸多處理個人信息的情形。對于這些公主體的個人信息處理活動，也需要一并予以規范。
同時，對個人信息權益的保障，不應影響對個人信息的合理利用。個人信息雖然稱之為個人的，但在信息的公共價值日益凸顯的背景下，所有與個人相關的信息，不宜都專屬于個人排他性支配。個人信息的保護不能絕對化，成為個人信息促進經濟社會發展、提高數字經濟國家競爭力的障礙。也正因如此，民法典沒有像對隱私的保護那樣，把個人信息整體明確為一項民事權利，僅申明自然人的個人信息受法律保護，保留了執法和司法裁量的余地，也留出了個人信息主體外的其他主體依法合理利用個人信息的空間。進一步地，就需要建立如何合理利用個人信息的法律規則，對個人信息的權益包括哪些內容、如何實現，個人信息處理者的義務包括哪些以及如何履行做出規定。
信息全球化是繼商品全球化、資本全球化后的最新階段。伴隨數字經濟跨境發展和平臺經濟跨境運營，個人信息的全球流動，給變局下的全球化帶來新的機遇和挑戰。在信息數據資源利用國際競爭日益加劇的背景下，信息產業與信息市場的優勢國家，對個人信息的跨境規則有著明顯分歧，個人信息保護存在成為新型貿易壁壘的態勢。
因此，針對境外在個人信息保護方面對中國采取歧視性的禁止、限制或者其他類似措施的情況，應當提前布局應對。以歐盟為代表，域外個人信息保護立法在為我們提供立法經驗教訓的同時，也因其“長臂管轄”給中國個人信息處理主體帶來沖擊和影響;以跨國企業為代表，在業務開展過程中，存在個人信息跨境的顯著需求。此外，境外司法或執法機構還可能調取存儲于中國境內的個人信息，也會有境外的組織、個人從事損害中國公民個人信息權益、危害中國國家安全和公共利益的個人信息處理活動。因此，有必要從國際大勢出發，積極回應當前國際競爭的需要，明確向境外提供個人信息的條件、程序和管理要求;依法約束境外司法或執法機構跨境調取行為，對等反制任何國家和地區在個人信息保護方面對中國采取的歧視性的禁止、限制或者其他類似措施。
消費者權益保護法的第二次修正和民法典、網絡安全法、電子商務法的制定，都及時回應了個人信息保護實踐中的部分熱點難點問題。但是受限于立法目的和立法體例，它們都不可能系統地解決上述問題。正如《個人信息保護法（草案）》起草說明所指出的，“應當在現行法律基礎上制定出臺專門法律，增強法律規范的系統性、針對性和可操作性，在個人信息保護方面形成更加完備的制度、提供更加有力的法律保障?！?/p>
個人信息保護關乎人民群眾安全感、獲得感和幸福感，關乎數字經濟規范健康持續發展，關乎國家安全和競爭新優勢。習近平多次強調，要堅持網絡安全為人民、網絡安全靠人民，保障個人信息安全，維護公民在網絡空間的合法權益，對加強個人信息保護工作提出明確要求。
出臺個人信息保護法，就是依據憲法，全面總結民法典、網絡安全法等法律制定和實施經驗，深入研究信息時代個人信息處理基本規律，借鑒有關國家和地區成功的立法經驗，形成一部適應新時代中國特色社會主義發展要求，全面調整不同主體個人信息處理活動的法律，充分發揮法治固根本、穩預期、利長遠、促發展的規范、引導、教育、保障作用。
未來已來。我們已經進入數字社會，個人信息保護法帶來的影響必然也是廣泛而深遠的。圖/視覺中國
如何處理個人信息
與民法典、數據安全法保持一致，個人信息保護法規定了個人信息“處理”這一法律概念，將其作為個人信息收集、存儲、使用、加工、傳輸、提供、公開、刪除等活動的統稱。實施個人信息保護法的關鍵，就在于按照其規定的個人信息處理基本原則，規范個人信息處理活動。
第一，堅持合法正當誠信原則。處理個人信息應當遵循合法、正當、誠信原則，不得通過誤導、欺詐、脅迫等方式處理個人信息。任何組織、個人不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息;不得從事危害國家安全、公共利益的個人信息處理活動。利用個人信息進行自動化決策，應當保證決策結果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇。
第二，堅持處理必要原則。個人信息保護法對個人信息的收集范圍、處理方式、保存期限等作了嚴格限制。收集個人信息，應當限于實現處理目的的最小范圍，不得過度收集個人信息。處理個人信息應當采取對個人權益影響最小的方式。除非處理個人信息屬于提供產品或者服務所必需，個人信息處理者不得以個人不同意處理其個人信息或者撤回其對個人信息處理的同意為由，拒絕提供產品或者服務。除法律、行政法規另有規定外，個人信息的保存期限應當為實現處理目的所必要的最短時間。在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需。對于敏感個人信息，只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理。
第三，堅持目的特定原則。處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關。個人信息的處理目的發生變更的，應當重新取得個人同意。受托人應當按照約定處理個人信息，不得超出約定的處理目的處理個人信息。因合并、分立、解散、被宣告破產等原因需要接收個人信息的接收方，變更原先的處理目的的，應當依照重新取得個人同意。在公共場所安裝圖像采集、個人身份識別設備，所收集的個人信息，除非取得個人單獨同意，只能用于維護公共安全的目的，不得用于其他目的。處理目的已實現、無法實現或者為實現處理目的不再必要的，個人信息處理者應當主動刪除個人信息。
第四，堅持知情同意原則。知情同意是個人信息處理活動中最普遍的合法性基礎。除非包括該法在內的法律、行政法規有特殊規定，處理個人信息應當取得個人的同意。包括地方性法規、部門規章和地方政府規章在內的其他立法，不能創設例外?；趥€人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出。個人信息處理者向其他個人信息處理者提供其處理的個人信息、公開其處理的個人信息、處理敏感個人信息、向境外提供個人信息的，還應當取得個人的單獨同意。
把握個人信息處理規范的時代機遇，無論合規科技，還是監管科技，都會迎來，也應該開拓它們的“藍?！?/blockquote>
第五，堅持個體參與原則。個人有權要求個人信息處理者對其個人信息處理規則進行解釋說明。個人信息處理者應當建立便捷的個人行使權利的申請受理和處理機制。拒絕個人行使權利的請求的，應當說明理由。通過自動化決策方式作出對個人權益有重大影響的決定，個人有權要求個人信息處理者予以說明。
第六，堅持保證質量原則。處理個人信息應當保證個人信息的質量，避免因個人信息不準確、不完整對個人權益造成不利影響。個人發現其個人信息不準確或者不完整的，有權請求個人信息處理者更正、補充。個人請求更正、補充其個人信息的，個人信息處理者應當對其個人信息予以核實，并及時更正、補充。
第七，堅持公開透明原則。處理個人信息應當遵循公開、透明原則，公開個人信息處理規則，明示處理的目的、方式和范圍。個人信息處理者在處理個人信息前，應當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知法定事項;通過制定個人信息處理規則的方式告知必要事項的，處理規則應當公開，并且便于查閱和保存。個人信息處理者應當公開個人信息保護負責人的聯系方式。個人信息處理者因合并、分立、解散、被宣告破產等原因需要轉移個人信息的，應當向個人告知接收方的名稱或者姓名和聯系方式。個人信息處理者利用個人信息進行自動化決策，應當保證決策的透明度;處理敏感個人信息的，除非法律另有規定，還應當向個人告知處理敏感個人信息的必要性以及對個人權益的影響;向境外提供個人信息的，應當向個人告知境外接收方的名稱或者姓名、聯系方式、處理目的、處理方式、個人信息的種類以及個人向境外接收方行使本法規定權利的方式和程序等事項。
第八，堅持安全保障原則。個人信息處理者應當對其個人信息處理活動負責，并采取必要措施保障所處理的個人信息的安全;根據個人信息的處理目的、處理方式、個人信息的種類以及對個人權益的影響、可能存在的安全風險等，采取相應的保護措施。接受委托處理個人信息的受托人，應當按照規定，采取必要措施保障所處理的個人信息的安全。
不合規會承擔哪些法律責任
個人信息保護法既對個人信息處理各環節作了全流程規范，也對個人信息處理不合規可能承擔的民事、行政和刑事責任作了綜合性規定。
個人信息處理者如果不規范處理活動，產生侵權后果，就要依法承擔民事責任。個人信息保護法充分考慮個人信息權益主體在維權過程中相對弱勢的地位，確立了過錯推定責任規則。處理個人信息如果侵害個人信息權益，并造成損害，除非個人信息處理者能夠證明自己沒有過錯，否則就要承擔損害賠償等侵權責任。
當然，個人信息權益主體仍負有證明存在侵害行為，并因此產生損害的責任。只是當完成這一證明責任后，個人信息權益主體就不必再去證明個人信息處理者存在過錯。不過，個人信息處理者只要違反了上述基本原則，就很難證明自己沒有過錯。此外，針對個人信息處理者違反本法規定處理個人信息，侵害眾多個人權益的情況，為了降低維權成本，個人信息保護法進一步規定了公益訴訟制度，規定人民檢察院、法律規定的消費者組織和由國家網信部門確定的組織可以依法向人民法院提起訴訟。
如果違法處理個人信息，或未履行個人信息保護義務，履行個人信息保護職責的部門還可以根據情節，對個人信息處理者采取包括巨額罰款在內的行政處罰。罰款金額最高可以達5000萬元，或者個人信息處理者上一年度營業額的5%。為了讓個人信息處理者相關責任人切實承擔責任，個人信息保護法也對其設定了法律責任。違法情節嚴重的，對直接負責的主管人員和其他直接責任人員，可以決定禁止其在一定期限內擔任相關企業的董事、監事、高級管理人員和個人信息保護負責人。如果個人信息處理者是國家機關，存在不履行該法規定的個人信息保護義務的，由該國家機關上級機關或者履行個人信息保護職責的部門責令改正;對直接負責的主管人員和其他直接責任人員，也依法給予處分。
個人信息處理活動違反該法規定，如果構成違反治安管理行為的，公安機關還可以依據治安管理處罰法給予個人信息處理者治安管理處罰。例如，散布涉及個人隱私的個人信息，可處5日以下拘留或者500元以下罰款;情節較重的，處5日以上10日以下拘留，可以并處500元以下罰款。
個人信息處理活動違法程度足以構成犯罪的，依法追究個人信息處理者的刑事責任。
例如，根據刑法和相關司法解釋的規定，出售或者提供行蹤軌跡信息，被他人用于犯罪的;知道或者應當知道他人利用公民個人信息實施犯罪，向其出售或者提供的;非法獲取、出售或者提供行蹤軌跡信息、通信內容、征信信息、財產信息五十條以上的;非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產安全的公民個人信息五百條以上的，都可處三年以下有期徒刑或者拘役，并處或者單處罰金。
走向更規范的新時代
法律的生命在于實施，法律的權威也在于實施。個人信息保護法的施行，只是開啟了數字中國法治的一扇大門。個人信息權益能否真正得到保障、個人信息利用效能可否更好發揮，需要所有個人信息處理者切實落實個人信息保護法的管理要求。
原則之下，更需細化規則。個人信息保護法盡管是綜合且全面的，但畢竟不能涵蓋所有的個人信息處理細節。無論是履行個人信息保護職責的部門依法履職，還是個人信息處理者依法合規，都需要更加具體的規則甚至標準指引。更何況個人信息保護法本身就將許多規則的具體設計，授予了以國家網信部門為代表的監管機構。
例如，專業機構如何進行個人信息保護認證？按照怎樣的標準合同，可以通過與境外接收方訂立合同，向境外提供個人信息？在何種條件下，個人可以請求將個人信息轉移至其指定的個人信息處理者，要求個人信息處理者為此提供轉移的途徑？對于監管部門而言，這既是權力，更是責任。如果這些配套規定不能及時出臺，個人信息保護法的實施效果顯然將受到影響。
法律之外，也需技術。個人信息處理活動是高度技術性的，法律規則能否得到遵循也離不開技術的評估、審計、驗證和檢查。個人信息保護法也充分考慮到技術治理的必要性和重要性。一方面注重明確技術措施要求：個人信息處理者應當根據比例原則，采取加密、去標識化等技術措施保障所處理的個人信息的安全;把所采取的安全保護措施是否合法、有效并與風險程度相適應，明確為個人信息保護影響評估的法定內容。另一方面，也鼓勵應用有利于保護個人信息的先進技術：如果應用匿名化技術，使得個人信息經過處理無法識別特定自然人且不能復原，就可以豁免該法針對個人信息處理的各項要求。更規范的個人信息處理，也離不開包括隱私計算、量子加密等安全技術的發展和應用。
未來已來。我們已經進入數字社會，個人信息保護法帶來的影響必然也是廣泛而深遠的。個人信息處理的整體規范化、合規化將是一個系統的工程，需要政府、產業和社會投入相當大的人力、物力、技術資源。信息的處理已經技術化，監管與合規唯有輔以相當的技術能力，才能“魔高一尺道高一丈”，實現個人信息處理的真實、持續規范?？梢灶A見，個人信息保護法的實施也會帶來新的經濟增長點。把握個人信息處理規范的時代機遇，無論合規科技，還是監管科技，都會迎來，也應該開拓它們的“藍?！薄?/p>
編輯：朱弢
猜你喜歡見義勇為的法律保護 新少年(2023年9期)2023-10-14 15:57:47法律推理與法律一體化 法律方法(2022年1期)2022-07-21 09:17:10法律解釋與自然法 法律方法(2021年3期)2021-03-16 05:57:02為什么法律推理必須是獨特的 法律方法(2019年4期)2019-11-16 01:07:16法律適用中的邏輯思維 法律方法(2019年3期)2019-09-11 06:27:06法律擬制與法律變遷 法律方法(2019年1期)2019-05-21 01:03:26非正義法律之解釋與無效 法律方法(2018年2期)2018-07-13 03:21:38《歡樂頌》中的法律“梗” 學生天地(2016年23期)2016-05-17 05:47:10讓人死亡的法律 山東青年(2016年1期)2016-02-28 14:25:30“互助獻血”質疑聲背后的法律困惑 中國衛生(2015年1期)2015-11-16 01:05:56
