推進個人信息保護法相關制度的落實

◎江蘇海洋大學 劉登志

◎南京信息工程大學 沈劍

《中國人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）于十三屆全國人大常委會第三十次會議正式表決通過，這個我國第一部保護個人信息安全的專門法律將于2021年11月1日正式實施。《個人信息保護法》的出臺為個人信息權益保護、信息處理者的義務寄主管機關的職權范圍提供了全面、體統的法律依據，構建起個人信息安全的防護網。

隨著網絡技術、通信技術、電子信息技術的不斷發展，互聯網用戶數量近年也呈爆發式增長趨勢。然而，在當下網絡通信設備逐步普及化的背景下，網民個人信息數據也越來越透明化、公開化。黨的十八大以來，以習近平總書記為核心的黨中央開始重視國家網絡安全和信息化重大問題。中共中央黨史和文獻研究院根據習總書記的重要論述編輯的《習近平關于網絡強國論述摘編》于2021年1月出版，其核心思想是要把維護網絡安全作為推進網絡強國建設的一項重要舉措。

2021年8月20日，十三屆全國人大常委會第三十次會議表決通過了《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）。《個人信息保護法》的頒布標志著我國網民在個人信息保護方面將有法可依、有章可循，對于互聯網企業、公共場所在個人信息收集和使用方面的管理方面也提出了明確的管理標準。認真學習和落實《個人信息保護法》的相關制度，對于提高國民大眾的個人信息保護意識、行使個人信息保護權利、完善相關企業信息管理規范、提升國家網絡空間安全具有重要的意義。

一、《個人信息保護法》的立法背景認識

在國家倡導大力發展網絡信息化的時代背景下，習近平總書記在2016年4月在網絡安全和信息化工作座談會并發表的重要講話中明確指出“網絡安全和信息化是相輔相成的。安全是發展的前提，發展是安全的保障”。隨著大數據分析技術的成熟，通過收集并分析個人信息可以獲取個人的消費習慣、行為習慣。同時，對于不法分子來說，在大量掌握用戶的個人信息后，其可能會通過技術手段獲取用戶個人的敏感信息，從而造成個人的財產損失，增加網絡犯罪記錄，嚴重的甚至會威脅個人的生命安全，進而影響社會的和諧性和國家的穩定性。

在互聯網環境下，導致網民個人信息大量泄露的原因主要包括三個方面：1）網民個人對于信息安全防范意識模糊；2）互聯網企業出于自身利益因素在未征得用戶同意的情況下過度收集用戶個人信息；3）國家對于個人信息保護方面的法規政策完善不夠。美國著名學者阿爾溫·托夫勒在其發表的《第三次浪潮》一書中就曾提出“誰掌握了信息、控制了網絡， 誰就擁有整個世界”的預言。2013年斯諾登曝光的美國“棱鏡門”事件也折射出信息安全對于個人安全和國家安全的重要性。2014年，中共中央黨史和文獻研究院俞曉秋研究員在國家新聞出版總署信息科技類優秀期刊《中國信息安全》上發表的文章中指出“信息安全是信息化社會國家安全的基石。沒有信息安全，國家安全就如釜底抽薪，難以保障。”因此，提高個人信息保護素養、加大互聯網企業管理力度、完善個人信息保護法律體系目前已成為我國信息化網絡強國建設、國家安全維護的重中之重。

二、《個人信息保護法》立法的重要意義

隨著近年各種個人信息泄露相關網絡安全事件的頻發，針對個人信息保護相關法規章程的立項也逐漸得到了國家的重視。2018年4月，習近平總書記在全國網絡安全和信息化工作會議上提出要依法嚴厲打擊網絡違法犯罪行為，維護人民群眾的合法權益。2021年3月，第十三屆全國人民代表大會第四次會議審查并通過的《中華人民共和國國民經濟和社會發展第十四個五年規劃和2035年遠景目標綱要》（簡稱“十四五”規劃）中明確指出在加強數字化發展、建設數字強國的進程中要“健全國家網絡安全法律法規和制度標準”、“加強網絡安全宣傳教育和人才培養”。

個人信息時刻面臨泄露風險

《個人信息保護法》從個人信息處理規則、個人信息所屬人享有的權利、個人信息處理者需履行的義務、履行個人信息保護職責部門等方面入手，針對個人信息處理作出了具體要求，為保障個人信息保護方面的管理規范奠定了法律基石。《個人信息保護法》的出臺是進一步推進建設法治強國、科技強國的一項重要舉措，是黨為中國人民謀幸福、為中華民族謀復興的使命感體現，是實現中華民族偉大復興中國夢的關鍵一步。

三、《個人信息保護法》重點內容解析

《個人信息保護法》主要從保護個人信息權益、處理個人信息規范出發，通過明確個人信息在收集、存儲、使用、傳播等方面的法律規則，從而保障個人信息所屬人所擁有的合法權利。《個人信息保護法》的立法充分體現了政府在國家法律法規制定方面的引領和推動作用。《個人信息保護法》涵蓋的重點內容主要包括以下幾點：

（一） 完善了個人信息處理的規范，并針對個人敏感信息處理的規則給出了明確說明。

法案對于個人信息處理者所能處理的信息范圍作了明確說明，并指出個人信息處理者所處理的個人信息不可超出個人信息所屬人的授權范圍、不可私自更改個人信息處理的目的。同時，法案也要求個人信息處理者不得故意掩蓋或隱瞞個人信息處理的細節，在處理和傳播所處理的個人信息給第三方時應征得個人信息所屬人的同意。

另外，法案也針對個人敏感信息給出了準確的定義。法案規定個人信息處理者應取得相關行政許可后才有權利處理個人敏感信息，并且在個人信息處理者處理個人敏感信息時個人信息所屬人享有信息處理必要性的知情權。最后，法案也對國家機關處理個人信息的相關規定進行了補充說明，規范了國家機關處理個人信息時信息處理機關及個人信息所屬人所享有的義務和權利，充分體現了國家法律政策的民主平等性。

（二）制定了個人信息跨境提供的標準，并針對個人信息跨境提供的規則提出了具體要求。

法案對于需要向境外提供個人信息的個人信息處理者所需具備的條件進行了明確說明，并且個人信息處理者需確保境外個人信息接收方也能達到法案所規定的相關個人信息保護標準。同時，個人信息處理者在向境外信息接收方提供個人信息時，需征得個人信息所屬人的同意，并且個人信息所屬人也享境外信息接收方的詳細信息知情權。另外，對于侵害我國公民個人信息合法權益、危害國家安全和公共利益的境外組織和個人，法案規定將采取個人信息提供方面的限制或者禁止等相關措施。對于歧視我國個人信息保護法的國家和地區，法案指出必要時也將根據實際情況對該國家或者地區采取相應對等措施，體現了政府對于國家安全、民族尊嚴等方面維護的重視。

法案對個人信息的保護作用

（三）闡述了個人信息所屬人享有的權利，并針對個人信息處理者需履行的義務作出了詳細規定。

法案對于個人信息所屬人所享有的權利進行了詳細說明，主要包括對于個人信息的處理享有知情權、決定權以及個人信息處理限制權。同時，法案規定個人信息所屬人還具有向個人信息處理者請求個人信息查閱、復制、更正、刪除等相關權利，并可指定個人信息處理者，保護了個人信息的存儲和處理安全性。另外，法案在制定過程中充分考慮了實際情況。針對信息所屬人亡故、病逝等情況，法案也明確了相關信息管理規則和信息繼承所屬人的權利，體現了黨和政府在政策制定方面堅持以人民為中心。

針對個人信息處理者在個人信息處理過程中所需履行的義務，法案也給出了具體規 定。在個人信息處理過程中，個人信息處理者應該制定合理的機制來保障個人信息處理和存儲的安全性。同時，當個人信息處理者處理信息的體量達到國家網信部門規定的相關要求時，個人信息處理者應當及時落實負責人機制和監督機制，從而有效保障個人信息所屬人的合法權益和個人信息處理的安全性。另外，當個人信息處理者所處理的個人信息涉及個人敏感信息時，個人信息處理者應當提前對其個人信息處理的合法性、風險性以及信息保護措施的合法性等進行評估，從而進一步保障個人信息處理的安全性。最后，法案也規定了個人信息處理者還具有個人信息泄露、丟失等事件補救的義務，從而最大化降低因個人信息丟失給個人造成的損失。

（四）明確了履行個人信息保護職責部門的職責，并針對違反個人信息保護法的處理擬訂了具體思路。

法案規定國家網信部門負責個人信息保護工作和監督管理的統籌協調、相關標準制定及個人信息保護評估等方面的工作，并規定國務院有關部門依照本法案負責個人信息保護和監督管理工作。同時，法案還將個人信息保護宣傳教育、處理個人信息保護糾紛和違法活動等相關職責委托于履行個人信息保護職責的部門，并規定了相關部門在履行個人信息保護職責時可采取的具體措施，提高了相關職責部門的效能，強化了法案實際執行過程中的監督力度。最后，對于違反法案所規定的個人信息處理規則、侵害個人信息所屬人合法權益、未履行個人信息保護義務的個人信息處理者，法案針對不同的違反法律情況也給出了具體處理規定，健全了《個人信息保護法》的法律責任制度，促進了國家社會主義民主政治的進一步發展。

四、落實法案要求的重點任務思考

黨和人民政府出臺的《個人信息保護法》是促進國家網絡信息化、響應新時代號召邁出的第一步，也是國家堅持“以人民為中心”、“一切為了人民”謀發展思路的重要體現。在《個人信息保護法》正式施行后，對于相關企業、個人、職責部門在未來工作中落實法案要求時有以下幾個重點任務需要思考：

（一）加大企業對個人信息保護的力度，扮演好個人信息保護的“主人翁”。

一是企業應落實對個人信息在存儲、使用、傳播等過程中數據安全保障的義務，完善個人信息加密機制，避免個人信息數據“裸奔”。在執行個人信息處理之前與個人信息所屬人簽訂電子、書面條約或合同，讓個人信息所屬人充分了解其個人信息使用范圍，并且企業在實現個人信息處理目的過程中應當避免對個人信息數據的濫用和過度收集。

二是企業在公共場所收集個人信息數據應征得個人的同意或授權，保證個人信息所屬人享有個人信息被采集、被使用的知情權和選擇權。

三是企業在提供信息處理服務時要避免“大數據殺熟”，在服務提供時對任何個人、單位、組織應一視同仁。同時，企業在提供服務的過程中要為個人提供明顯的拒絕個性化推送選項，從而保障服務提供的公平性，避免個人在網絡上的行為習慣信息被泄露。

四是企業應為個人提供方便、高效的個人信息數據操作機制，包括個人信息所屬人對個人信息數據的檢索、修改、刪除等操作，保障個人信息所屬人對其個人信息享有操作權、控制權。

五是針對個人敏感信息采集、處理和存儲，企業應當出臺完善的個人信息處理政策方針。另外，企業應當加強對未成年個人信息保護的力度，在服務提供前需制定詳細的未成年人個人信息保護和處理規則。同時，也要保證未成年人的父母或監護人享有未成年人個人信息處理方面細則的知情權。

（二）強化個人對個人信息保護的意識，構筑好個人信息保護的“橋頭堡”。

一是在個人信息被采集、處理、傳播等過程中，個人需強化個人信息保護意識，積極參加單位、企業和相關職責部門組織的個人信息保護宣傳活動，提高個人對于個人信息采集方式、個人信息處理目的的判定能力。同時，堅決杜絕個人信息被過度收集，尤其是對于個人敏感信息更要“嚴防死守”。

二是個人避免安裝未經有關部門合法性驗證、授權的軟件或登陸境內外非法網站。在使用軟件、網站服務過程中，遇到輸入個人信息才能繼續使用服務的，個人需要甄別個人信息提供后對個人產生的不利影響。同時，當發現過度采集個人信息或非法的軟件、網站時，個人需在第一時間向有關職能部門投訴、舉報。

規定了個人信息處理者需履行的義務

三是在未來工作生活中，個人應合理規范地管理個人信息，尤其是個人的敏感信息非必要不對其他任何個人、組織機構公開。

四是積極維護個人信息處理和存儲的知情權。在把個人信息提交給個人信息處理者之后，個人應定期向個人信息處理者查詢個人信息的處理、存儲情況。一旦發現個人信息數據超出前期約定的個人信息處理范圍，個人應在第一時間向相關職責部門進行投訴、舉報。另外，在個人信息處理者處理完個人信息或者已達到前期約定的個人信息處理目的后，個人應要求個人信息處理者及時刪除個人信息。

（三）明確履行個人信息保護職責部門管理的規定，擔當好個人信息保護的“守門員”。

一是加大對履行個人信息保護職責部門的管理，建議增加第三方監督機構，提高履行個人信息保護職責部門的效能和工作執行度。

二是履行個人信息保護職責的部門應持續加強個人信息保護的宣傳引導工作，提高民眾的個人信息保護意識。建議將個人信息保護法相關培訓納入中小學、高校、企事業單位的日常培訓中，并輔以考核機制，提高個人信息保護法基本規章制度在民眾中的普及率。

三是履行個人信息保護職責的部門應提高對其職責范圍內負責個人信息保護部門的監管力度，杜絕企業以不提供個人信息數據就停止為個人提供服務現象的發生。

四是履行個人信息保護職責部門應完善個人信息保護有關的投訴、舉報機制，為個人和企業提供便捷的投訴、舉報方式。同時，履行個人信息保護職責的部門應成立專門的處理個人信息保護有關糾紛的機構。建議政府在地方、區域成立受理個人信息保護有關投訴、舉報的部門，增設專用投訴、舉報熱線或網站。

《個人信息保護法》的出臺為我國個人信息防護安全工作的落實提供了指引，也為國家“十四五規劃”中建設數字中國、科技強國、法治強國奠定了基礎。落實《個人信息保護法》中的相關制度，不僅需要靠國家政府部門、相關職責部門的推進，也需要靠全國人民、各個企業組織和機構的共同努力，從而為建設社會體制更加健全的民主法治中國貢獻力量。