用法律保障個人信息安全

李卓卓　周毅

我國第一部個人信息保護方面的專門法律——《中華人民共和國個人信息保護法》（以下稱《個人信息保護法》）將于今年11月1日起正式施行。這部法律對個人信息處理活動進行了全面規范，明確了個人在信息處理活動中的權利，個人信息處理者的義務與責任，以及個人信息權益保護與個人信息合理利用之間的關系，建立了權責明確、保護有效、利用規范的個人信息處理規則，這將促進包括個人信息在內的數據信息自由安全流動與合理有效利用，進而推動數字治理和數字經濟的健康發展。對政府部門而言，及時權威的信息公開對日常治理尤其是突發事件處置具有重要作用，科學精準的信息公開需要平衡公共利益與個人利益的關系，應該按照《個人信息保護法》要求，建立一套行之有效的制度體系和標準操作流程，切實從機制上保障個人信息安全。

構建“告知-同意”的信息處理原則

《個人信息保護法》強調處理個人信息應當具有明確、合理的目的，并采取對個人權益影響最小的方式，限于最小范圍，保證信息質量，采取安全保護措施等，遵循合法、正當、必要和誠信原則，并將這些原則貫穿于個人信息處理的全過程、各環節。

在知情同意方面，《個人信息保護法》緊緊圍繞規范個人信息處理活動、保障個人信息權益，構建了以“告知-同意”為核心的個人信息處理原則。在處理一般性公共事務和突發事件時，應當在事先充分告知的前提下取得個人同意，如果個人信息處理的重要事項發生變更，還應當重新向個人告知并取得同意。考慮到經濟社會生活的復雜性，《個人信息保護法》同樣從維護公共利益和保障社會正常生產生活的角度，對取得個人同意以外可以合法處理個人信息的特定情形作了規定。明確為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需，不需取得個人同意，緊急情況下為保護自然人的生命健康和財產安全無法及時向個人告知的，個人信息處理者應當在緊急情況消除后及時告知。

在敏感信息保護方面，《個人信息保護法》將生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息列為敏感個人信息，并要求，只有在具有特定目的和充分的必要性，并采取嚴格保護措施的情形下，才可以處理敏感個人信息。同時應當進行事前影響評估，并向個人告知處理的必要性以及對個人權益的影響。針對現實生活中社會反映強烈的一攬子授權、強制同意等問題，《個人信息保護法》特別要求個人信息處理者在處理敏感個人信息、向他人提供或公開個人信息、跨境轉移個人信息等環節應取得個人的單獨同意。這就要求在公開敏感個人信息前必須對信息進行“脫敏”處理，除非取得個人的單獨同意。

《個人信息保護法》明確個人信息處理者不得過度收集個人信息，不得以個人不同意為由拒絕提供產品或者服務，并賦予個人撤回同意的權利，在個人撤回同意后，個人信息處理者應當停止處理或及時刪除其個人信息。如果個人后續不愿公開其個人信息，相關部門應該停止處理并刪除已經公開的個人信息。

明確信息處理者的義務和責任

保護個人信息權益、保障個人信息安全是國家機關應盡的義務和責任。《個人信息保護法》第二章第三節對國家機關及其有關部門處理個人信息進行了特別規定。“國家機關為履行法定職責處理個人信息，應當依照法律、行政法規規定的權限、程序進行，不得超出履行法定職責所必需的范圍和限度”，“處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式”，這意味著，即使個人信息使用是出于公共利益，仍然應當限于實現處理目的的最小范圍，不得過度收集個人信息。

《個人信息保護法》設專章明確了個人信息處理者的合規管理和保障個人信息安全等義務，要求個人信息處理者應當按照規定制定內部管理制度和操作規程，對個人信息實行分類管理，采取相應的安全技術措施，指定負責人對其個人信息處理活動進行監督，定期對其個人信息活動進行合規審計，對處理敏感個人信息、利用個人信息進行自動化決策、對外提供或公開個人信息等高風險處理活動進行事前影響評估，履行個人信息泄露通知和補救義務等?！秱€人信息保護法》實施后，關于個人信息公開的流程、內容都將發生相應變化，相關政府部門必須根據《個人信息保護法》相關規定對制度、規程和措施進行完善。

比如在疫情防控過程中，流調報告已經成為公眾了解疫情信息的重要渠道、提升防疫效率的重要手段。公開流調報告，關乎防疫大局，但也要體現對個人信息的保護，特別是個人隱私信息的保護。不當公開可能會導致個人隱私信息的暴露和生活細節的放大，經過少數網民“人肉搜索”的數據關聯畫像，甚至會導致網絡暴力等問題。2021年初，北京和上海等地的防疫信息通報就運用了“只提地點不提人”的方式，避免了對個人信息，特別是個人隱私信息的暴露。這充分說明，流調信息等因公共利益需要可以公開，但相關責任部門有義務保護個人信息，做到有限公開，遵循《個人信息保護法》中的“最小化原則”，控制個人信息最小范圍、最小影響的開放;適度公開，要對流調信息的范圍和內容進行必要取舍，隱去病例的年齡、性別、籍貫、工作等與疫情防控關聯性不高的個人信息，進行“脫敏”處理;做到精準公開，流調信息切實從防疫的需要出發，平衡好公共利益和個人權益。

切實加強個人信息保護

當前，個人信息與數據安全成為社會關注的焦點問題，各級地方政府及相關部門應加強對個人信息保護，對個人信息與數據保護采取針對性措施。

加強個人信息權利保護意識。對公眾而言，要通過多種形式、多種渠道宣傳普及個人信息安全知識。例如，通過曝光違法違規行為、發布打擊違法犯罪案例、開展警示教育等提升全民個人數據保護意識和技能，在全社會強化個人信息權保護敏感度，引導個體小心謹慎嚴格授權。同時，加強對網絡服務平臺的宣傳教育，督促平臺對個人信息依法依規采集、規范妥善處理，杜絕濫采濫用。另一方面，要規范信息公開流程和標準，健全個人信息保護制度，對涉及個人信息收集、組織、加工和保存的處理事項進行“瘦身”，對需要公開個人信息的事項進行重新評估和適度精簡。

規范不同情境下信息公開的要素。按照《個人信息保護法》對個人信息處理者的要求，信息公開主體應制定針對不同情境和具體情況的個人信息分類標準，實行情境式分類管理，對公開程度、公開內容、公開方式、安全技術措施等制定分類標準和風險評估，規范不同情境下信息公開要素，實現對個人信息的初評和預判，在信息公開和個人信息保護中取得平衡。

統一個人信息處理和公開的流程。將公民活動行程、活動軌跡等個人隱私信息交由統一部門處理，進一步嚴格法律責任追究。積極推動全國信息安全標準委員會發布的《個人信息安全規范》《大數據服務安全能力要求》等國家標準在省市范圍內的施行，率先組織制定移動互聯網應用程序收集個人數據基本規范等標準草案，對現行政務與商務活動中的個人數據安全出現的問題加大懲罰力度。規范不同場景中個人信息處理責任單位，形成統一規范的“告知-同意”流程和特定場景的信息公開模板，避免出現個人信息保護缺位問題。

開展人肉搜索、網絡暴力等行為的專項治理。通過人肉搜索和網絡暴力等，擅自處理和公開個人隱私信息屬于違法行為，隨意篡改、扭曲公開的個人信息也屬于違法行為。圍繞《關于做好個人信息保護利用大數據支撐聯防聯控工作的通知》等專項治理要求，針對省市域內注冊的企業或平臺所開展App違法違規收集使用個人數據專項治理行動，網信辦、大數據局和行業主管部門等要盯緊房產、金融、教育、旅游、保險等重點領域，嚴防個人數據泄露，同時暢通監督舉報渠道，強化部門聯動協作，堅決斬斷侵害個人數據安全的利益鏈條，要強化個人數據安全保護的主體責任，采取嚴格的管理和技術防護措施，防止個人數據被竊取泄露。

（作者單位：蘇州大學社會學院;蘇州大學數據治理與產業發展研究院）

責任編輯：李佳婧