随着大数据、人（rén）工智能（néng）等互联网（wǎng）新技术的广泛使用（yòng），数字（zì）化全面进入我们的日常生活（huó），个人信息数据焦（jiāo）虑成为普（pǔ）遍现象。大数据杀熟、人脸信息过度采集、应（yīng）用程序（APP）个人（rén）信息（xī）泄露，个（gè）人信息安全究竟谁来（lái）守（shǒu）护？

《个人信息保护法》完善了个人（rén）信息处理（lǐ）规则，完（wán）善了个人信（xìn）息相关投诉（sù）举报工（gōng）作机制及违法处理（lǐ）个人信息（xī）涉嫌犯罪案件的移送机（jī）制，在（zài）完（wán）善个人信息处理（lǐ）规则方面，特别对APP过（guò）度收集个人信息（xī）、大（dà）数据杀（shā）熟、平台责任（rèn）等作出（chū）针对性（xìng）规（guī）范，将使得人（rén）们在数字化社会生（shēng）活中更有（yǒu）安全感。

明确个人信息处理合法基础（chǔ）

“《个人（rén）信息保（bǎo）护法（fǎ）》并（bìng）没（méi）有禁止收集（jí）个人信息，而是反对过度收集（jí）、强制收集和违法收集。”中国社（shè）会（huì）科学（xué）院学部委员、全国人大宪（xiàn）法和法律委员会委（wěi）员孙宪忠说。

孙宪忠表示，社会（huì）上一度曾对个人信息泄露感到恐慌和担忧（yōu），但在防控疫情的过程中，信息化（huà）手段提（tí）供了（le）很（hěn）大帮助，这使人（rén）们认识到个人信息的（de）收（shōu）集在社会（huì）管理过程中也大有裨益。在立法讨论（lùn）中大家认为，我（wǒ）国已经进入信（xìn）息化社（shè）会，要积（jī）极利用信息化的利好方面，但也应（yīng）认识到，在信息收集和后续（xù）的（de）信息加工、管理、应用等（děng）环节确实出（chū）现了一些（xiē）问题（tí），因此，《个人信息保护法（fǎ）》要着力解（jiě）决这些问题（tí）。“《个人信息保护法》进一步完善了（le）处理个人信息的合法性基础，补充了个人有权（quán）撤回同意的内容。”中国信息（xī）通信研究院云（yún）计算与大数据研究所仵姣姣说（shuō），“总体而言，《个人（rén）信（xìn）息保（bǎo）护法（fǎ）》采取了优先保护个人权利和社会（huì）公共利（lì）益的路径。”

仵姣姣表示，《个人信息保护法》列（liè）举了个人信息（xī）处理的合法基础，包括授权同意、为（wéi）订立或履行（háng）个人（rén）作（zuò）为一方当事人的合同（tóng）所（suǒ）必需、履职必需、应（yīng）对突发公（gōng）共卫生事件、在合（hé）理的范围内处理（lǐ）已公（gōng）开的信息、公益目的（de）等。对信息收集者来说，主要的数据处（chù）理（lǐ）合（hé）规基础是被收集对（duì）象（xiàng）的（de）授权同意（yì）、合同必需和在合理范围内处理已（yǐ）公（gōng）开的信（xìn）息。

如果不授权就不（bú）能使（shǐ）用互联网应用，这一度是很普遍的现（xiàn）象。仵姣姣认（rèn）为，尽管消费者授权同意，但仍存在能否真正保障个人信息主体的知情权、授权同（tóng）意是否会流于形式、强势一手数（shù）据源为（wéi）后续数据流转的参与方带来权利（lì）瑕（xiá）疵等（děng）问题（tí），但（dàn）实践中已逐渐形成（chéng）一定程度上的范例。例如采用交互式弹（dàn）窗的形式在（zài）用（yòng）户（hù）使用特定功能时，逐一获取该功能必需（xū）的（de）数据；明确列出数据共享的目（mù）的及合作方（fāng）名单；在隐私协议条（tiáo）款前，简要（yào）介（jiè）绍核（hé）心条款等。

过度索权也是一直为消费者诟（gòu）病（bìng）的行业（yè）痼疾。仵姣姣认为，合同一定要遵循最（zuì）小必要原则（zé），商家需要审（shěn）慎衡量获（huò）取的数据类型（xíng）是不是提供相关产品和服务（wù）的必要（yào）前（qián）提。

信息社（shè）会发展到（dào）今天（tiān），一般人都有几十、上百条注册信息、授（shòu）权同意信（xìn）息，其中很多都不再使用，但却普遍存在不支持（chí）注销账户、撤回同意投（tóu）诉无门等（děng）问题（tí）。仵姣姣表示，《个人信（xìn）息保护（hù）法》专（zhuān）门（mén）赋予（yǔ）个人撤回同意（yì）的权（quán）利，明确要求商家必须提供便捷的撤（chè）回同意方式。此外还明确，撤回同意不影响撤回（huí）前基于个人同意已进行的个人信息处理（lǐ）活（huó）动的效（xiào）力。

“由（yóu）于数（shù）据存在极强的可复制性，个（gè）人信息主体在给出首次授（shòu）权同意后，对于姓名、身份证号、手机号、地（dì）址等相对静态的信息（xī）很容易（yì）失去（qù）控制权，即（jí）使在撤回同意后，个人及每（měi）一环（huán）节数据处理者也很难（nán）控制（zhì）数（shù）据的后续流转（zhuǎn）。”仵姣姣认为，商家要确保在用户撤（chè）回同意（yì）后，相（xiàng）关数据被终止收集，必要时也需（xū）要对其进（jìn）行删除或（huò）匿名化（huà）。

遏制大数（shù）据杀熟行（háng）为

大数据杀熟近（jìn）年来被（bèi）广（guǎng）泛讨论。在同（tóng）一网站上，相同的商品或服务不同的人（rén）购（gòu）买价（jià）格却不一样（yàng），这（zhè）就可能是被“杀熟（shú）”了。大数据（jù）杀熟是指（zhǐ）一种个（gè）性化定价，商家通过（guò）分析消费者个人信息形成画像，利用算法（fǎ）对每（měi）个消费者的支付意愿（yuàn）进行精准评估和（hé）预测，预测消费者最高保留价格，并以（yǐ）此就同一商品或（huò）服务向不同消费者设置不同价格。中国信息通信研（yán）究院互联网法律研究中心高（gāo）级研究员（yuán）、个人信息保护立（lì）法研（yán）究团（tuán）队负（fù）责人（rén）杨婕（jié）认为，这种歧视性定价策略（luè），其实意（yì）味着商（shāng）家（jiā）可以过度、无限制、不合理地剥夺（duó）消费者，损害消费者权（quán）益。

“《个人信息保护法》中的（de）第二十四条，对于大数据杀熟问题（tí）作出明确的（de）规定。”杨（yáng）婕（jié）说，《个人信（xìn）息保护（hù）法》明确要求（qiú）商（shāng）家（jiā）保证（zhèng）自动化（huà）决策的透明度和结果的公平、公正，在事前进行个人信息保护影响评估，不得对（duì）个人在交易价格等交易条件上实行不合理的差别（bié）待（dài）遇，并赋予个人包括选择权、知情权（quán）在内的更充分的权利。

杨婕（jié）表示，考虑到（dào）个人（rén）信息处理活动的多样性、算（suàn）法（fǎ）运行（háng）机（jī）制的不透明性以及决策结果的不确定性（xìng），《个人信息保护法》规（guī）定（dìng）无论商家是否具有市场（chǎng）支（zhī）配地位（wèi），只要（yào）其利（lì）用个人信息进行自（zì）动化决（jué）策，对个人在交易价（jià）格（gé）等交易条（tiáo）件（jiàn）上实行不合（hé）理的差别待遇，就是法律（lǜ）所禁（jìn）止的行为。“所涉及的适用对象全面，辐（fú）射范围广泛，有助于彻底解决大（dà）数（shù）据杀熟问题。”杨婕说。

中国首席数据官联盟专（zhuān）家组（zǔ）成员（yuán）、法律（lǜ）顾问，观（guān）韬（tāo）中茂（上海）律师事（shì）务所合伙人（rén）王渝伟说，今年（nián）2月7日，《国务院（yuàn）反垄（lǒng）断委员会关于平台经济领域的反垄（lǒng）断指（zhǐ）南》发（fā）布，遏（è）制平（píng）台（tái）经营者利（lì）用其垄断地（dì）位进（jìn）行大数据杀熟、强（qiáng）迫商家“二选（xuǎn）一”等不公平（píng）竞争等行为。随着《个人信（xìn）息保护法》的实（shí）施，数据（jù）可携带权等（děng）权益的实现，将有力保（bǎo）障（zhàng）数据（jù）在（zài）不同经营者之间（jiān）的（de）流动，促进经营者公（gōng）平竞争。

APP个（gè）人信息保护设专章

“你在家里住得（dé）好好的（de），结果总（zǒng）有人打电话骚扰你（nǐ）；刚生了（le）孩子从医院回来，走在路（lù）上就（jiù）有人向你推销纸尿裤（kù）等，很显然（rán）你的个人（rén）信息被泄（xiè）露了。”孙宪忠说。这种情（qíng）况不属于个人信（xìn）息收（shōu）集环节，而属于信息收集之后的“占有和加（jiā）工管（guǎn）理”环节（jiē）。对此，《个人信息保护法》第（dì）五十二条明确规定，个（gè）人信息收集者应该对收集（jí）来的信息进行妥善的监督和保管。

据工业和信（xìn）息化部（bù）统计，截（jié）至2020年底，国内市场上监测到的APP数量为345万款。海量的APP在（zài）带来生（shēng）活便利的同时，强制（zhì）索权（quán）、过（guò）度收集、滥（làn）用和泄漏个人信息（xī）等问题也层（céng）出不穷。

杨婕表（biǎo）示，小程序、快应用（yòng）、H5页面等新（xīn）应用（yòng）形态不断出现，麦（mài）克风被窃听、通信录（lù）被窃取、相册非授（shòu）权（quán）被读写等问题不（bú）断曝出，亟需从法律层（céng）面遏（è）制APP滥用（yòng）个人（rén）信息的现象。《个人信息保护法》增加了对于APP个人信息保护的专（zhuān）门性规定，其中第六十一条将“组织对应用程序等个人信息保护情（qíng）况进行测评，并公布测（cè）评结果”新（xīn）设为履行个人（rén）信息保（bǎo）护职责（zé）的部门的（de）职责（zé）；第六十六（liù）条将“对违法处（chù）理（lǐ）个人信（xìn）息的应用程（chéng）序，责令暂停或者终止提供服务”，增加为履行个人信息保护职责的部门（mén）对（duì）违（wéi）法主体（tǐ）可采取的处罚手段。

中国社会（huì）科学院（yuàn）法学研究所副所长周汉华说，从适用的对（duì）象上来看，《个人（rén）信息保护法（fǎ）》把（bǎ）政府机关和市场主体一并（bìng）纳入规范的对象。

新增了对具（jù）有（yǒu）管理公共事务职能的组织的规范要求。孙宪忠说，《个（gè）人信息保（bǎo）护法》影（yǐng）响最大的（de）就是负（fù）责收集个人信息的部门，包（bāo）括政府部（bù）门、大（dà）型企业（yè）等。第五十七条明确提出，个人（rén）信息发生泄（xiè）露，个（gè）人信息（xī）处理者即信息掌管者要（yào）立即采（cǎi）取补（bǔ）救（jiù）措施。具体（tǐ）来说，是指网信部门或者是相关（guān）管理机构等，要设法采取（qǔ）补（bǔ）救性措施。

孙宪忠说，就个人而（ér）言，如果发现自己的个人信（xìn）息已经（jīng）被泄露（lù），可以依据《个人信（xìn）息保护法》第六（liù）十一条第二项的（de）规定，积（jī）极向网信部门、市场监督管理部门等相关管理机构投诉。

“明确个人信息侵权行为（wéi）的归责原（yuán）则为过错（cuò）推定，是对用户权益（yì）的有力保护。”仵姣（jiāo）姣说。《个人信息保护法》明确（què）了当（dāng）个人（rén）信息权益因个（gè）人（rén）信息处理活动（dòng）受（shòu）到侵害时，个人信息处理者不能证明自己没有过错（cuò）的（de），应（yīng）当承担损害赔（péi）偿等（děng）侵（qīn）权责任。换（huàn）言（yán）之，个人信息处理者如（rú）果不（bú）能证明自己在数据处理、数据（jù）保护中不存在过错，将在诉讼中面临一定（dìng）程度的败（bài）诉风险（xiǎn）。

这（zhè）在司法实践中实（shí）际（jì）上（shàng）已有先例。如此前消（xiāo）费（fèi）者庞理鹏（péng）诉中国东方航空股份有限公司、北京趣拿信息技术有限公司隐私权纠纷案，被告（gào）企业被（bèi）要求证明自己不存在过错、已履行（háng）的信（xìn）息安全保护义务以及个人信息的具（jù）体（tǐ）泄露（lù）方以及泄（xiè）露（lù）的具体环节，并最终由于难以（yǐ）提供相关证据而败诉（sù）。

人脸（liǎn）识（shí）别条款亮点多（duō）

“《个（gè）人信息保护法》对人脸信息的保护亮点很多。”中国信息通信研究院云计算与大数据研究（jiū）所人工（gōng）智（zhì）能部呼娜英说。人脸作为人（rén）类社会（huì）相互识别和（hé）验证的（de）通用（yòng）身份（fèn）标识符，具有直接识（shí）别性、独（dú）特（tè）性、唯一性、易获（huò）取性等特（tè）点。在人工智能赋能（néng）深度广度不断加强的科（kē）技浪潮下（xià），人脸识别（bié）技术商业化进程（chéng）不断加速。从此前的《最（zuì）高人民法（fǎ）院关于审理使用人脸识别技术（shù）处理个（gè）人信（xìn）息相（xiàng）关（guān）民事案件适用法律（lǜ）若干问题的规定》到目（mù）前的《个信息保（bǎo）护（hù）法》，都规（guī）定（dìng）人（rén）脸识别属于（yú）敏（mǐn）感个人信息，需要遵循特殊规则进行（háng）保护、处理（lǐ）。

人脸（liǎn）识别技术应用需满足“特（tè）定目（mù）的”及“充分必要（yào）”。呼娜（nà）英表示，此前的最高人民法院（yuàn）对人脸识（shí）别的司法解释中已经明确（què），物业、建（jiàn）筑物管理人不得（dé）仅以（yǐ）人（rén）脸识别作（zuò）为唯一门禁方（fāng）式（shì），企业亦不（bú）得（dé）以捆绑、强迫形式获得消费者（zhě）同意人脸信息处（chù）理。《个（gè）人信息保护法》明确（què）要求（qiú），个人信息处理者在处理（lǐ）敏感（gǎn）个人（rén）信息（xī）前（qián），需存（cún）在“特定的目的”及“充分（fèn）的必要性（xìng）”。呼娜英（yīng）认为，该条款对处理敏感个人信息提出了更（gèng）高的要（yào）求（qiú）。目的正当性和（hé）必要性（xìng）不仅（jǐn）仅是指（zhǐ）合（hé）法合（hé）规，还蕴含着符（fú）合目的限制、诚实信用（yòng）和公开透明的要求。“这样一来，零售商要求刷脸进出（chū）或支（zhī）付（fù）、小区（qū）要求刷脸（liǎn）进出、楼（lóu）宇闸机要（yào）求刷脸登机等（děng）场（chǎng）景（jǐng），将可能因缺乏目的正当性和必要性而遭（zāo）受挑战。”呼（hū）娜英说。

单独同意（yì）制（zhì）度（dù）。呼娜英（yīng）说，《个人（rén）信息保护法》在“告知+同（tóng）意”规则的基（jī）础上，引入了“单独同意”的要求，规定了需（xū）要用户“单独同（tóng）意”的一（yī）些具体场景，包括：处（chù）理敏感个人（rén）信息、公（gōng）开或向（xiàng）他人提供个（gè）人信息（包括在公共场所安装图（tú）像采集和个人（rén）身份识别设备收集的个人信息），以及向（xiàng）境外提供个（gè）人信息等。

扩张用户知（zhī）情（qíng）权，确立有限制的解释权。《个人信息保护法》对（duì）包（bāo）括（kuò）人（rén）脸信息在内（nèi）的敏感个人信息保（bǎo）护提（tí）出了更高的要求（qiú），即信（xìn）息（xī）处理者应当告知个人处理敏感个人信息的必（bì）要性以（yǐ）及对（duì）个人的影响。“这就进一步切（qiē）实地保障了用户的知（zhī）情权。”呼娜英说。

加强限制图像采集、个人（rén）身份（fèn）识信息的使用。“《个人信息保（bǎo）护法》在三次（cì）审议（yì）中（zhōng）不断强化针（zhēn）对公共场所安装图（tú）像采（cǎi）集、个人身份识别设备的（de）要求。”呼娜英说。《个人信息保护法》明（míng）确规定，商家所收集的个人图像、身份识别信（xìn）息“不（bú）得（dé）用于其他目的（de）”，进一步限缩（suō）了图像采集、个人（rén）身份识别的（de）处理范（fàn）围。

孙宪忠说，考虑（lǜ）到现在（zài）的人脸识别采集方式，很多情况下都在个（gè）体不知（zhī）情的情况（kuàng）下进（jìn）行，因此，《个人信息（xī）保护（hù）法》第二十六条（tiáo）规定，在公（gōng）共场所安装（zhuāng）图像采集个人身份识别设（shè）备的时候，其（qí）出（chū）发点必（bì）须是要维护（hù）社会公共安全，而（ér）不能用于其他目的（de）；要符（fú）合国（guó）家法律规定；安装时要设置明显的提示性标（biāo）识。

平台“守门人”条（tiáo）款（kuǎn）尚有争（zhēng）议

对于APP的各种个人信息侵权（quán）问题，平台责任是大家关（guān）注的焦点。《个人信息保护（hù）法》第五十八条进（jìn）一（yī）步完善了平台“守门人”条款。一（yī）是将提供基础性服务（wù）的互联网（wǎng）平台修改为提供重要互联网平（píng）台服务；二（èr）是在第（dì）一项（xiàng）中补充了按照国（guó）家（jiā）规定建（jiàn）立健全个人信（xìn）息保（bǎo）护（hù）合规制度体系的义务；三是单独增加了一项（xiàng）“守门（mén）人”义务，即（jí）遵循公开、公（gōng）平、公正的原（yuán）则，制定平（píng）台规（guī）则，明确平台（tái）内产（chǎn）品（pǐn）或者服务提（tí）供者（zhě）处理个（gè）人信（xìn）息的规范和（hé）保护个人信息的（de）义务。

杨婕认为，这一规定（dìng）被认为是强化基础性服务平台的个人信息保护责（zé）任（rèn）、促进（jìn）其积极展开（kāi）基于个人信息保护治理的制（zhì）度设置，并能一定程度上为公权力保护个人信息的实践提（tí）供有益补充，是一个创新性制度设计。

据杨婕介（jiè）绍（shào），“数字守门人（rén）”的概念，是2020年（nián）12月欧盟委（wěi）员会公（gōng）布的《数字市场法（fǎ）案》中提出的，被认定为“守门（mén）人”的（de）平台应承担一系列额外的具体义务。

中国人民大学（xué）法学院教授张新宝（bǎo）此前接受媒体采访时表示，对300多万（wàn）款APP一（yī）对一监管难免力（lì）不（bú）从心，应将部（bù）分监（jiān）管职责前移（yí），对实际上控制（zhì）技术资源、技术（shù）环境和运营环境的信息（xī）处理者，比如应用（yòng）程序的分发平（píng）台、操作（zuò）系统、大型APP平（píng）台等，设置关键环节“守门人”在（zài）个人信息处中的特别义务（wù）。他认为，目前国内常用（yòng）的应（yīng）用平台分发系统不超过80个，移动终端（duān）操作系统不超过10组，搭载小程序的大型APP平台不超过5个，将部分监管职责（zé）前（qián）移到关键（jiàn）环节“守门人（rén）”，就（jiù）不（bú）用面（miàn）对海量的APP一对（duì）一进行（háng）监（jiān）督管理。

中国社会科学（xué）院大学互联网（wǎng）法治（zhì）研究中心执行主任（rèn）刘晓春认（rèn）为，在个人信息保护（hù）领域，设（shè）立通（tōng）过平台实现治理的规则（zé），即（jí）通（tōng）常所说（shuō）的“守门人”制度，一方面是法律（lǜ）对于（yú）平台责任在（zài）个人信息保护领（lǐng）域的扩展；另一方面（miàn），也会构（gòu）成（chéng）法律对于（yú）负（fù）有此（cǐ）等责任平（píng）台（tái）的一种（zhǒng）赋（fù）权，进一步（bù）扩大了大型基础性平台制定规则、展开治理（lǐ）、采（cǎi）取措施（shī）方面的实质性权力。若（ruò）没有（yǒu）相应的制约性配套制度，则有可能（néng）会造成平（píng）台（tái）地位（wèi）在个人信息保（bǎo）护领域的强化，并且带来（lái）权力滥用的可能性，这也（yě）正是目前国内外针（zhēn）对平（píng）台的“守门（mén）人（rén）”地位（wèi）及其滥用行（háng）为对于竞争环（huán）境产生不良影响的担（dān）忧焦点所在。“如果（guǒ）赋予电商平（píng）台或（huò）社交平台上一些经营者（zhě）个人信息审核义务，有可（kě）能会出现权（quán）力滥用，或通（tōng）过审核权来进行自我优待、差别（bié）待遇等。”刘晓春认为，极有可能出现平台利用个人（rén）信息治理机制，进行反竞（jìng）争投机（jī）行为，从（cóng）而损害平台内经营者，特别（bié）是中（zhōng）小（xiǎo）经（jīng）营（yíng）者（zhě）的利益（yì）。

刘（liú）晓春（chūn）认为，针对制度（dù）可能（néng）带来的消极影响进行评估和预判，应建构防范风险、降低成本的配（pèi）套措（cuò）施，可以将个人信息保护“守门人”制（zhì）度可能带来的（de）顾虑和风（fēng）险尽量（liàng）降到最低。“以目前的平台内容（róng）治理和知识产权治理为类比，这两项（xiàng）都需要（yào）投入大量（liàng）人力物力，组建专门的管理、技术团队，建立实体判（pàn）断标准、程（chéng）序流程规则、争议解决（jué）渠道、纠错救（jiù）济机（jī）制（zhì）等（děng）复杂的规则和（hé）执行（háng）体系。经济成本、专（zhuān）业能力（lì）、技术和（hé）管（guǎn）理、组织资源等方面，都会（huì）对平台提（tí）出相当高的要求。”刘晓春说，基础性（xìng）服务平台是否具有能力对平台（tái）内其他经营者的个人信（xìn）息合规情况展开审核？而且，平（píng）台内经营（yíng）者运（yùn）作和（hé）使用过程中的（de）个人信息收集和处理过程，并不一定能够由（yóu）基础性服务（wù）平台（tái）直接监测和发现。这些都有（yǒu）待进一步探索（suǒ）和完（wán）善。

周（zhōu）汉华表（biǎo）示，《个人信息保护法》在（zài）第（dì）一条就明确了“根据宪法（fǎ）”，这几个字有非常（cháng）重大的意义（yì）。这表（biǎo）明《个人信息保护法》的立法依据（jù）是我国宪法规定的“公民的人（rén）格尊（zūn）严（yán）与（yǔ）自由不受侵犯”，表（biǎo）明《个人信息保护法》也是个人信息保护领域（yù）的基本法。也就（jiù）是说，如果出现和其他个（gè）人信息保护相关法律规定冲突的情况（kuàng），应该（gāi）优（yōu）先适用《个人信息保护（hù）法》。

孙宪忠认为，《个人（rén）信息（xī）保护法》实施后，对老百（bǎi）姓而言，最直观的感受（shòu）就是数字（zì）化的社会（huì）生活会（huì）更（gèng）加可（kě）靠、安（ān）全。总之，《个（gè）人信息（xī）保护法》对整个社会而言是一个很重要的（de）利好（hǎo）。