个人信息保护法定义

孙永杰

今年8月20日，《个人信息保护法》表决通过，定于11月1日生效。这是中国第一部保护个人隐私的法律，立法的严格程度堪比欧盟的《一般数据保护条例》(GDPR)。其中:严禁“扼杀大数据”；App不得强行推送个性化广告；不得非法收集、使用、处理或传输他人个人信息；不要因为用户不同意提供信息而拒绝服务。可以说，这部特别法充分回应了社会关切，为解决个人信息保护中的热点难点问题提供了有力的法律保障。

个人信息侵权乱象丛生，《个人信息保护法》应运而生。

据统计，截至去年底，我国网民规模为9.89亿，互联网网站和应用数量分别超过440万和340万。随着互联网的快速发展，一些企业、机构甚至个人任意收集、非法获取、过度使用和非法买卖个人信息，利用个人信息扰乱人们的生活安宁，危害人们的生命健康和财产安全等。变得非常突出。以我们最常用的手机App为例。很多手机app为了商业利益最大化，肆意滥用个人信息，严重侵害了用户的个人信息选择权、知情权、删除权等权益。

例如，国家互联网信息办公室提供的100个常用app收集和使用个人信息的权限清单显示，在26个与个人信息相关的权限中，平均每个app申请10个权限。榜单还显示，相机、定位、录音权限、读写内存是app最常调用的权限，高达99.0%的app默认调用相机权限。今年5月，国家互联网信息办公室通报了105个app违法违规收集使用个人信息的情况。其中，Tik Tok、Aauto Quicker等短视频app，搜狗搜索等浏览器app，LinkedIn等求职app存在“收集与其提供的服务无关的个人信息”等问题；“茄子短视频”、“360浏览器”等app存在“未经用户同意收集、使用个人信息”等问题。

除了非法收集和使用个人信息，“大数据杀手”的问题也很严重。随着互联网的快速发展和大数据时代的到来，消费者在享受便捷服务的同时，也面临着诸多陷阱。从旅游平台、电商平台、打车软件到外卖平台，很多互联网公司都被大数据暴露和扼杀。比如2020年12月14日，微信微信官方账号发布了一篇自媒体文章，质疑某外卖平台会员被杀事件，在当时引起了舆论的广泛关注。文章指出，笔者常年订购的一家驴肉火烧店，配送费从未超过3元，但购买了外卖平台的会员后，配送费竟然变成了6元。在确认不是配送高峰时间后，笔者登录了另一个非会员账号进行确认，发现两个账号在同一时间同一地点，配送费用不同:会员6元，非会员2元。三天后，作者再次确认，送货费改为会员4元，非会员2元。会员的送货费仍然高于非会员。从那以后，他断定自己已经被大数据杀死了。

不难看出，“大数据杀熟”会带来恶劣的影响，其最直观的表现就是价格歧视，即对新老用户设定不同的价格，而会员用户的价格却比普通用户贵；针对不同地区的消费者制定不同的价格；多次浏览页面的用户可能面临涨价；利用复杂的促销规则和算法，实施价格混淆设置，吸引难以计算真实价格的消费者。

最后，同样贴近我们日常生活的个人生物信息(如人脸识别)的泄露也是一个大问题。目前，不仅大量线上应用和线下服务设置了基于生物特征信息的身份认证环节，人脸识别也成为了会议考勤、景区参观等线下场景中的必备“门票”。而且还有public 空滥用人脸识别摄像头远距离窃取人脸图像信息谋取私利的情况。比如去年被曝光的楼盘售楼处“秒杀”用户面部信息，今年“3·15”晚会上被曝光的科勒卫浴等多家商家安装具有人脸识别功能的摄像头，偷偷采集大量客户面部信息等。

由此可见，我国用户个人信息的保护存在相当大的挑战，即将实施的《个人信息保护法》正是解决这些挑战的时候。那么问题来了，个人信息保护法能给我们作为个体带来什么？

如上所述，长期以来，应用程序过度收集个人信息的问题一直是社会关注的一大焦点。在实践中，互联网公司推出的app通常会查看“隐私协议”以获得一揽子用户授权，用户往往面临“不同意就不可用”的窘境。《个人信息保护法》明确了个人信息处理和跨境提供的规则，以及个人信息处理者的义务。其中规定，任何组织或者个人不得非法收集、使用、处理、传输他人个人信息，不得非法买卖、提供、泄露他人个人信息。

比如，针对信息过度收集、扼杀大数据的问题，《个人信息保护法》明确，处理个人信息应当有明确、合理的目的，应当与处理目的直接相关，并以对个人权益影响最小的方式进行；个人信息处理者利用个人信息进行自动化决策，不得在交易价格等交易条件上对个人给予不合理的差别待遇。—一方面，经营者应当依法设定算法模型、制定规则进行自动决策，遵循公开、公平、公正的原则，不得对消费者实施歧视性、不公平的差别待遇；另一方面，个人信息处理者应该保护消费者的知情权和选择权。在向个人推送和营销信息时，也要提供不针对个人特点的选项，或者为个人提供拒绝的便捷方式。

再比如人脸识别技术的滥用。《个人信息保护法》要求，在公共场所安装图像采集和个人识别设备，应当设置醒目的提示标志。所收集的个人图像和身份信息只能用于维护公共安全的目的。对于提供重要互联网平台服务、用户数量庞大、业务类型复杂的个人信息处理者，《个人信息保护法》专门规定了其需要履行的义务，如建立健全个人信息保护合规制度、定期发布个人信息保护社会责任报告、接受社会监督等。

值得注意的是，《个人信息保护法》还将生物特征信息、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息列为个人敏感信息。《个人信息保护法》要求，敏感的个人信息只有在有特定目的和足够必要性的情况下才能进行处理，并采取严格的保护措施。同时，应事先进行影响评估，并告知个人处理的必要性以及对其权益的影响。

考虑到儿童生理、心理尚未成熟，认知能力和控制自身行为的能力较弱，容易受到信息推送和商业营销的诱导，面对侵犯其合法权益的违法处理行为，缺乏必要的辨别能力和足够的自我保护能力。为了保护未成年人的个人信息权利和身心健康，特别是《个人信息保护法》将不满十四周岁的未成年人的个人信息界定为敏感个人信息，并严格保护。同时，配合《未成年人保护法》的相关规定，《个人信息保护法》要求，对不满十四周岁的未成年人的个人信息进行处理，应当征得未成年人父母或者其他监护人的同意，并制定专门的个人信息处理规则。从上述与我们个人息息相关的领域来看，个人信息保护法明确划出了个人信息保护的红线，对保护个人信息安全将起到重要作用。

不可否认，《个人信息保护法》为解决个人信息保护中的热点难点问题提供了有力的法律保障。但是，从发展的角度来看，立法只是第一步。如何在有法可依的背景下做好个人信息保护工作，是立法后需要高度关注的话题。

众所周知，个人信息的流通链条复杂，涉及环节多。应构建由个人、企业、第三方监测机构、事故处理机构组成的个人信息保护健康生态，建立“事前预防”、“事中监控”、“事后处置”的个人信息安全保障体系，构筑个人信息安全保护屏障。

比如，针对App安全问题，专家建议，未来应继续完善行业监管执法建设，强化行业监管责任，细化违规处置流程和具体措施，提高监管的规范性和透明度。同时，要着眼技术发展规律，聚焦技术产业创新主体，收紧监管责任，提升基于技术检测平台的监管能力，强化以技术标准为核心的监管要求。坚持系统共治思维，坚持政府、企业、行业共同参与，构建多层次App个人信息保护标准体系。

以上可以总结为各方综合治理。另一方面，手机App用户的隐私意识也要提高。与许多发达国家相比，中国人对个人信息保护的认知仍存在明显差异。这里，我们也以App为例。艾瑞数据显示，与2018年相比，2020年认真阅读App隐私条款的网民数量有所上升，从32.4%上升至36.4%，说明中国手机网民的个人隐私保护意识有所增强，但总体情况仍不乐观。艾瑞数据显示，在app申请调用权限时，57.8%的受访网民认同或部分通过申请；30.3%的受访网友会因为拒绝申请强制呼叫权而放弃使用该App。

可以看出，手机网民对区分App权限的态度越来越积极，但面对App过度调用，只有少数网民能够坚决拒绝继续使用App，而绝大多数网民还是迫于需求或方便妥协，向App非法调用用户信息屈服。所以在受到法律保护的同时，我们在未来不断提高信息安全保护意识也是非常重要的。

毫无疑问，作为我国第一部个人信息保护的专门法律，《个人信息保护法》正式颁布实施后，将肩负起数字时代个人信息“护神”的使命，引导我国个人信息保护法制建设进入新篇章。这对于用户的个人信息安全保护无疑是一大利好。对于企业来说，个人信息保护法的正式颁布，也意味着之前数字经济发展野蛮生长的时代已经结束。未来要以个人信息保护法为红线，不断提升自身道德和企业责任，把心思放在真正能给用户带来好处的创新上。毕竟这是企业发展的唯一正道。