随着（zhe）大数据、人工智（zhì）能等互联网新技术（shù）的广泛使用（yòng），数字化全面进（jìn）入我们的日常生活，个人信息（xī）数据焦虑成为普遍现象（xiàng）。大数据杀熟、人脸信息过度采集、应用程序（APP）个人信（xìn）息泄露，个人信息安全（quán）究竟谁来守护？

《个人信息保护法》完（wán）善了个人信息处理规则，完善了个（gè）人信息相关投诉举报工作机制及违法处理个人（rén）信（xìn）息涉嫌犯罪案件的移送机制（zhì），在完善个（gè）人信息处理规则方面，特别对APP过度收集个人信（xìn）息、大数（shù）据（jù）杀熟、平台责任（rèn）等作出针对性规范，将使得人们在数（shù）字化社会生活中更有安全（quán）感。

明确个人信息处理合法基础

“《个（gè）人（rén）信息（xī）保护法》并没有（yǒu）禁止（zhǐ）收集个人（rén）信息，而（ér）是反对（duì）过度收（shōu）集（jí）、强制收集和违法收集。”中（zhōng）国社（shè）会科学院学部委员、全国人大宪法（fǎ）和法律委员会委员孙宪忠说（shuō）。

孙宪忠表示，社会（huì）上（shàng）一（yī）度曾对个人信息泄露感到恐慌和（hé）担忧，但（dàn）在防控疫情的过程（chéng）中（zhōng），信息化手段提（tí）供了（le）很大帮助，这使人们认识到个人信息的收集在社会管理过（guò）程中（zhōng）也大有裨益（yì）。在（zài）立（lì）法讨（tǎo）论中（zhōng）大家认为，我国已经进入信息（xī）化（huà）社会（huì），要积（jī）极利（lì）用信息化的（de）利（lì）好方面，但也应认识（shí）到，在信息收（shōu）集（jí）和后续的信息加（jiā）工、管理（lǐ）、应（yīng）用（yòng）等环节确实出现了一些问（wèn）题，因此，《个人（rén）信息（xī）保护法》要着力解决这（zhè）些问题。“《个人信息保护法》进一步完善（shàn）了处理个人（rén）信息的合法性基础，补充（chōng）了个人有权撤回同（tóng）意的（de）内容。”中国信息（xī）通信研究院云计（jì）算与大（dà）数据研究所仵姣姣说，“总体而（ér）言，《个人（rén）信息（xī）保护法》采（cǎi）取了优先保护（hù）个人权利（lì）和社会公共利益的路径。”

仵（wǔ）姣姣表示，《个人（rén）信息（xī）保护（hù）法》列举了个人（rén）信息处理的合法基础，包括授权同意、为（wéi）订立或（huò）履行个人作为一方当事人的合同所必需、履职必需（xū）、应对突发公共卫生（shēng）事件、在合理的范围（wéi）内处理已公开（kāi）的信息、公益目的等。对信息收集者来说，主要（yào）的数据处理合规基础是（shì）被收（shōu）集对（duì）象的（de）授（shòu）权同意、合同必需和在合理（lǐ）范围内处理已（yǐ）公开的信息。

如果不授权就不能使用互联网应用，这一度是很普遍的现象。仵（wǔ）姣姣认为，尽管（guǎn）消（xiāo）费者授权（quán）同意，但仍（réng）存在能否真正保障个人信息主体的知情权（quán）、授权同意是否会流（liú）于形式、强势一手（shǒu）数（shù）据源为后续数据（jù）流转的参（cān）与方带来权利瑕疵等问题，但实践中已逐（zhú）渐形成一定程度上的范例。例（lì）如采用交互式弹窗的形式在用户使用特（tè）定功能时（shí），逐一获取（qǔ）该功（gōng）能必需的数（shù）据（jù）；明确列出数据共享的（de）目的及合（hé）作方（fāng）名单（dān）；在隐私（sī）协议条款前，简要介绍核心（xīn）条款等。

过度索（suǒ）权也是一直为消费者诟（gòu）病的行业痼疾。仵姣（jiāo）姣认为，合同一定要遵循最小必要原则，商家需要审慎衡量获取的（de）数据类（lèi）型是不是提供相关（guān）产品和服务的必要前提。

信息社会发展到今天，一般人（rén）都（dōu）有几十、上百条注册信息（xī）、授（shòu）权同（tóng）意信息，其中（zhōng）很（hěn）多都不（bú）再（zài）使用，但却（què）普遍存（cún）在不支持注销账户、撤回同意投诉无门（mén）等问（wèn）题。仵姣姣表（biǎo）示，《个人信息保护法》专门赋予（yǔ）个人撤回同意的（de）权（quán）利（lì），明确要求商家必须提供（gòng）便捷的（de）撤回同意方式。此外还明（míng）确，撤回同（tóng）意不影响撤回前基（jī）于（yú）个人同意已（yǐ）进行的个人信息处理活（huó）动的效力。

“由于数据存在极强的（de）可复制性，个人信息主体在给出（chū）首次授（shòu）权同意（yì）后，对于姓名、身份证（zhèng）号、手机号、地址等相（xiàng）对静（jìng）态的（de）信息（xī）很容易失（shī）去（qù）控制权，即使（shǐ）在撤回（huí）同意（yì）后（hòu），个人及每一（yī）环（huán）节数据处理者（zhě）也很难（nán）控制数据的（de）后续流转。”仵姣姣认（rèn）为，商家要确保在用户撤（chè）回同（tóng）意后，相关数据被终止收（shōu）集，必（bì）要时（shí）也需要对其进行删除或匿（nì）名（míng）化。

遏制大数据杀（shā）熟（shú）行为

大数（shù）据杀熟（shú）近年来（lái）被广泛讨论（lùn）。在同一（yī）网站（zhàn）上，相同的（de）商品或服（fú）务不同的（de）人购买价格却不一样，这就可能是（shì）被“杀熟”了。大数据杀熟是指一种（zhǒng）个性化定价，商家通过分析（xī）消费者个人信息形成画像（xiàng），利用算法对每个（gè）消费（fèi）者（zhě）的支付意愿进行精准评估和预（yù）测，预测消（xiāo）费者最高保留价格，并以此就同一商品或（huò）服务向不同消费者设（shè）置不同价格。中国信息通信（xìn）研究院互（hù）联网法律研究中（zhōng）心高级（jí）研究员、个（gè）人信息保（bǎo）护（hù）立（lì）法研究团队负责人杨婕认为，这种歧视性（xìng）定价策略，其实意味着商家可以过度、无限（xiàn）制、不合理地剥夺消费者，损（sǔn）害消费者权益。

“《个（gè）人信息保护法》中（zhōng）的第二（èr）十四条，对于大数据杀熟问题作（zuò）出明确的规（guī）定（dìng）。”杨婕说，《个（gè）人（rén）信息（xī）保（bǎo）护法（fǎ）》明确要求商家保证（zhèng）自动（dòng）化决策的透明度和结（jié）果的（de）公平、公正，在事前进行个人信息保护影响评估，不得（dé）对个（gè）人在交易价格等交易条件上实行不合理（lǐ）的差别待遇，并赋予（yǔ）个人包括选择权、知情（qíng）权在内的更充分的权利。

杨婕表示，考（kǎo）虑到个（gè）人（rén）信（xìn）息（xī）处理活（huó）动的多样（yàng）性、算（suàn）法运行机制的不透明性以及决策结果的不（bú）确定性，《个人信息保护法》规定无论商家是否具有市场（chǎng）支配地位（wèi），只（zhī）要其利用个人信息进行自动化决策（cè），对个人在交（jiāo）易价格等交易（yì）条件上实行不合理的差别待遇，就是（shì）法（fǎ）律所（suǒ）禁止的行为（wéi）。“所涉及的（de）适用对象全面，辐射（shè）范围广泛（fàn），有助于彻底解决大数据杀熟问题。”杨婕（jié）说。

中国首席数据官联盟专家组成员（yuán）、法律（lǜ）顾问，观韬中茂（上海）律师事务所（suǒ）合伙人王渝伟说，今（jīn）年（nián）2月7日，《国（guó）务院反（fǎn）垄断委员会关于平台经济领域的反垄断指南》发布，遏制平台经营者利用其垄（lǒng）断地位（wèi）进行大数据杀熟、强迫商家“二选一（yī）”等不（bú）公平竞争等（děng）行为。随着《个人信息（xī）保护法》的实施，数据可携带权等权益的实现，将有力保障（zhàng）数（shù）据在不同经营者之间的流动，促进经营者公（gōng）平竞争（zhēng）。

APP个人信（xìn）息（xī）保护设专章

“你在家（jiā）里住得（dé）好好的，结果总有人打电话骚（sāo）扰你；刚生了孩子从医（yī）院回来（lái），走在路（lù）上就有人（rén）向（xiàng）你推销纸尿裤等，很显然你的个人信息被泄露了。”孙（sūn）宪忠说。这种（zhǒng）情（qíng）况不属（shǔ）于个人（rén）信息（xī）收（shōu）集环节，而属于信息收集之（zhī）后的“占有和加工管（guǎn）理”环节（jiē）。对此，《个人信息保（bǎo）护（hù）法》第五十（shí）二条明确规定，个人信（xìn）息收集者应该对收集来的信息进行（háng）妥善（shàn）的（de）监督和保管。

据工业和信息化部（bù）统计（jì），截至2020年底，国内市场上（shàng）监测到（dào）的APP数量为（wéi）345万款。海（hǎi）量的APP在带（dài）来（lái）生活便利（lì）的（de）同（tóng）时，强制索权、过（guò）度收集、滥用（yòng）和泄漏个（gè）人信（xìn）息等问题也（yě）层出不穷。

杨婕表示，小程序（xù）、快应（yīng）用、H5页面等新（xīn）应用形态不（bú）断（duàn）出现，麦克风（fēng）被窃听、通信录被窃取、相册非授权被（bèi）读写（xiě）等问题不（bú）断曝出（chū），亟需（xū）从法律层面（miàn）遏制APP滥用个人信息的现象。《个（gè）人信（xìn）息（xī）保护法》增加（jiā）了对于APP个人信息保护的专门性规定，其中第六十一条将“组织（zhī）对应（yīng）用程序等（děng）个人信（xìn）息保护（hù）情况进行测评，并公（gōng）布测评结果”新设为履行个（gè）人（rén）信息保护职责的部门的职责；第六（liù）十六（liù）条将“对违法处理个人信（xìn）息的（de）应用程序（xù），责令暂停或者终止提供服（fú）务”，增加为（wéi）履行（háng）个人信息保护职责的部门对违法（fǎ）主体可采取的处（chù）罚手段。

中国（guó）社会科学院法学研究所（suǒ）副所长（zhǎng）周汉（hàn）华说，从适用的对象上来看，《个人信息保护法》把（bǎ）政府机关和市场主体（tǐ）一并纳入规范的（de）对象（xiàng）。

新增了（le）对（duì）具（jù）有管（guǎn）理公（gōng）共事（shì）务职能的组织（zhī）的规范要求。孙宪忠说，《个人信息保护法（fǎ）》影响最（zuì）大的就是（shì）负责收集个人信（xìn）息的部门，包括（kuò）政（zhèng）府部门、大（dà）型企业（yè）等。第五（wǔ）十七条明确提出（chū），个人信息发生泄露，个人信息处理者即信息（xī）掌管（guǎn）者要（yào）立即采取补（bǔ）救（jiù）措（cuò）施。具体来说（shuō），是指网信部门或（huò）者是（shì）相关管（guǎn）理（lǐ）机（jī）构等，要设法采取补（bǔ）救性措施。

孙宪忠说，就（jiù）个人而言，如果发现自己的个人信息（xī）已经（jīng）被泄露，可以依据《个人（rén）信息（xī）保护法》第六十一条第（dì）二项的规定，积极向网信（xìn）部门、市场（chǎng）监督管理部门（mén）等相关管理机构投诉。

“明确个人信（xìn）息侵权（quán）行（háng）为（wéi）的（de）归责原则为过（guò）错推定，是对用户（hù）权益的有（yǒu）力保护。”仵（wǔ）姣（jiāo）姣说。《个人信息（xī）保（bǎo）护（hù）法》明确了（le）当（dāng）个人信息权益因个人信（xìn）息处理活动受到侵（qīn）害时，个人信息处理者不（bú）能证明自己没有过错（cuò）的，应当承担损害赔（péi）偿等（děng）侵权责任。换言之，个人信息处理者如果不能证（zhèng）明自己（jǐ）在数据（jù）处理、数据保（bǎo）护中不存在过错（cuò），将在诉讼中（zhōng）面临一（yī）定（dìng）程度的败诉风险。

这在司法实践中实（shí）际（jì）上已有（yǒu）先例（lì）。如（rú）此前消（xiāo）费者庞（páng）理鹏诉中国（guó）东方航空股（gǔ）份有限公司、北京趣拿信息技术有限公司隐（yǐn）私权（quán）纠纷（fēn）案，被告企业（yè）被要（yào）求证明自己不存在过错、已履行的信息安全保护义务以及个人信息的具体泄（xiè）露（lù）方以（yǐ）及（jí）泄露的具体环节，并最（zuì）终由（yóu）于难以提供（gòng）相关（guān）证据而败诉。

人脸（liǎn）识别（bié）条款亮点多（duō）

“《个（gè）人信息（xī）保护（hù）法》对人脸信息的保护亮点很多。”中国信息通信（xìn）研究院云计算与大数据研究所人工智能部呼娜英（yīng）说。人脸作为人类社会相互识（shí）别（bié）和验证的通用身份标识（shí）符，具有直（zhí）接（jiē）识（shí）别性、独特性、唯一性、易获（huò）取性等特点（diǎn）。在（zài）人工（gōng）智能赋能深度广（guǎng）度不断（duàn）加强的科技浪潮下，人脸（liǎn）识别技术（shù）商业化进程不断加速（sù）。从此前（qián）的《最高人民法院关于审理使用人（rén）脸识（shí）别技术处理个人信息（xī）相关民（mín）事案件适用法律若（ruò）干问题的规定》到目（mù）前的（de）《个信息保护法（fǎ）》，都规定人脸识别（bié）属于敏感个人信息（xī），需要（yào）遵循特殊规则进行保护、处（chù）理。

人（rén）脸识别技（jì）术应用需（xū）满足“特定目的（de）”及（jí）“充分必要（yào）”。呼娜（nà）英表示，此前的最高人民（mín）法（fǎ）院对人脸识（shí）别的（de）司法解释中已经（jīng）明（míng）确，物（wù）业、建筑物（wù）管理人不得仅以人脸识别作为唯一门禁方式，企业亦不（bú）得以捆绑、强迫形式（shì）获得消（xiāo）费（fèi）者（zhě）同意人脸（liǎn）信息处理。《个人信息保（bǎo）护法》明确（què）要求，个（gè）人（rén）信息处理者在处理敏感个人（rén）信息（xī）前，需（xū）存在“特定（dìng）的目的”及“充分的必要性”。呼娜英认为，该（gāi）条（tiáo）款对处理敏感个人（rén）信息提出了更高的要求。目的正当性和必（bì）要（yào）性不仅仅是指（zhǐ）合（hé）法合规，还（hái）蕴含着（zhe）符合目的限制、诚实信（xìn）用和公开透明的要求（qiú）。“这样（yàng）一来，零（líng）售商要求刷（shuā）脸进（jìn）出或支付、小（xiǎo）区（qū）要求刷脸进出、楼（lóu）宇闸机要求刷脸登机（jī）等场景，将可能因缺乏目的正（zhèng）当性和（hé）必要性而遭受挑战。”呼娜（nà）英说。

单独同（tóng）意制度（dù）。呼娜英说，《个人信息保护法》在“告（gào）知+同意”规则的基础上，引（yǐn）入了“单独同意”的（de）要求，规定了（le）需要用（yòng）户“单独同意”的一些具（jù）体场景，包括：处理敏感个（gè）人信息、公开或（huò）向他人提供个人信息（包括在（zài）公共场所安装图像采集和个人身份识别设（shè）备收（shōu）集的个人信息（xī）），以及（jí）向境外提（tí）供个人信息等。

扩张（zhāng）用（yòng）户知（zhī）情权，确立有限制的解释权。《个人信息保护（hù）法》对包（bāo）括人脸信息在内（nèi）的敏感个人信息保护提出了更高的要求，即（jí）信息处（chù）理者（zhě）应当告知个（gè）人处理敏感个人信息的必要性（xìng）以及对个（gè）人的（de）影（yǐng）响。“这就进一步切实地保障了用户的知情权。”呼娜英说（shuō）。

加强限制图像采集、个人身份识信息的使用。“《个人信（xìn）息保护法》在三次审议（yì）中不断强化针对公共场所（suǒ）安（ān）装（zhuāng）图像采集、个人身份识别设（shè）备的（de）要求。”呼娜英说。《个人信息保护法（fǎ）》明确规定（dìng），商家所收集的个人图（tú）像、身份（fèn）识别信息（xī）“不得用于其他（tā）目的”，进一步限缩了图像采集、个人身份识别的处理范围。

孙宪忠（zhōng）说，考虑到现在的人（rén）脸（liǎn）识别采集（jí）方式，很多情况下都在个体不知情的情况下进行（háng），因（yīn）此，《个（gè）人（rén）信息保护法》第二十六条规（guī）定（dìng），在公共（gòng）场（chǎng）所安装（zhuāng）图（tú）像采集个人身份识别设备的时候，其出发（fā）点必须是要维（wéi）护社（shè）会公（gōng）共安（ān）全，而不能用于其他（tā）目的；要符合国家法律规定；安装（zhuāng）时（shí）要设置明显的提示性标识。

平台（tái）“守（shǒu）门人”条款尚（shàng）有争议

对（duì）于（yú）APP的各（gè）种个人信息侵权问题（tí），平（píng）台责任是大家关注的焦点。《个（gè）人信息（xī）保（bǎo）护法》第五十八条进一步完（wán）善了平台“守（shǒu）门人”条款。一是将提供基础性服务（wù）的互联网平台（tái）修改（gǎi）为提供重要互（hù）联（lián）网平台服务；二（èr）是在第一项中补（bǔ）充了按照国家规（guī）定建（jiàn）立健全个人信息保护合规制度体（tǐ）系的义务；三是单独增加了一（yī）项“守（shǒu）门人”义务，即遵循（xún）公（gōng）开、公平、公正的（de）原则，制定平台规则，明确平台内（nèi）产品或者服务提供者处理（lǐ）个（gè）人信息的（de）规范（fàn）和保护个人（rén）信息的义务（wù）。

杨婕认为，这一（yī）规定被认（rèn）为（wéi）是（shì）强化基础性服务（wù）平台（tái）的个人信息保护责任、促进（jìn）其积（jī）极（jí）展开基（jī）于个人信（xìn）息保护治理的制度设置，并能（néng）一定程度上（shàng）为（wéi）公权力保护个人信息（xī）的（de）实践（jiàn）提供有益补充，是一（yī）个创新性（xìng）制度设计。

据杨（yáng）婕介绍，“数字守（shǒu）门人”的概（gài）念，是2020年12月欧盟委员会公布（bù）的《数字市场（chǎng）法案》中提出的，被认定为（wéi）“守门人”的平（píng）台应承担（dān）一系列额外的具体义务。

中国人民大学法学（xué）院教授张新宝（bǎo）此（cǐ）前接受（shòu）媒（méi）体采访（fǎng）时表示，对300多（duō）万款（kuǎn）APP一对一监管难免力不从（cóng）心（xīn），应将部（bù）分监管职责前移，对（duì）实际上控制技术资（zī）源、技术环境（jìng）和运营环境（jìng）的信息处理者，比（bǐ）如应用程序的分发平（píng）台、操（cāo）作系统、大型APP平（píng）台等，设置（zhì）关键环（huán）节“守门人”在个人信息处中的特（tè）别义务。他认为，目前（qián）国内常用（yòng）的应用平台分发系统（tǒng）不超过80个（gè），移（yí）动终（zhōng）端操作系统不超过（guò）10组，搭载小程序的大型APP平台不超过（guò）5个，将（jiāng）部分监管（guǎn）职责前移（yí）到关键环节“守门人”，就不用（yòng）面对海量的（de）APP一对一进（jìn）行监督管理。

中（zhōng）国社会（huì）科学院大学互（hù）联网法治研究中（zhōng）心执行主任刘晓春认为，在个人信息保（bǎo）护领域，设立通过（guò）平台实现治理的规则，即通常（cháng）所说的“守门人（rén）”制度（dù），一（yī）方面是（shì）法律对（duì）于平台责任在个人信息保护领域的扩（kuò）展；另（lìng）一方面，也会构成法（fǎ）律对于负有此等责任平台（tái）的一种赋权，进一步扩大了大型基础性（xìng）平（píng）台制（zhì）定规则、展开（kāi）治理、采取措施方（fāng）面的实质（zhì）性权（quán）力。若（ruò）没有相应的制约性配套制（zhì）度（dù），则有可能会造成平台地位在个人信（xìn）息保（bǎo）护领域（yù）的强化，并且（qiě）带（dài）来（lái）权力（lì）滥用的可（kě）能性，这（zhè）也正是目前国内外针对平（píng）台的“守门人（rén）”地位及其滥用行为对（duì）于竞（jìng）争环境产生不（bú）良影（yǐng）响的（de）担忧焦点（diǎn）所（suǒ）在（zài）。“如果赋予电商平台（tái）或社交平台（tái）上一些经（jīng）营者个人信（xìn）息审核义务，有（yǒu）可能会出现权（quán）力滥用，或通过审核权来进行自我优待、差别待遇等（děng）。”刘晓春认（rèn）为，极（jí）有可能出现平台利用个人信息治理机制，进行（háng）反竞（jìng）争投机行为，从（cóng）而损害平台（tái）内（nèi）经营（yíng）者（zhě），特别（bié）是中小经营者（zhě）的利（lì）益。

刘晓春认（rèn）为（wéi），针对制度可能带来（lái）的消极影响进（jìn）行评估和预判（pàn），应建（jiàn）构防范风险、降低成本的配套措施（shī），可以将个人信息保护“守门人”制度可能带来（lái）的顾虑和风险尽量降到最低。“以目（mù）前的平台内容治理和知识产权治理为（wéi）类比，这两项都需要投入大量人（rén）力物力，组建专门的管（guǎn）理、技术团队，建立实体判断标准、程（chéng）序流程规则、争（zhēng）议解决渠道、纠错救济机制（zhì）等（děng）复（fù）杂的（de）规则和执行体系。经（jīng）济（jì）成本、专业能力、技（jì）术（shù）和管理、组织资源（yuán）等（děng）方（fāng）面（miàn），都会对（duì）平（píng）台提出相当高的要求。”刘晓春说，基（jī）础（chǔ）性服（fú）务平台是否（fǒu）具有（yǒu）能（néng）力对平台内其他经营者的个人信（xìn）息合规情况展开审核？而且（qiě），平台（tái）内经营者（zhě）运作和（hé）使用过程中（zhōng）的个人（rén）信息收（shōu）集和处理（lǐ）过程，并不一定能够由基（jī）础性服（fú）务平台直接监测和发（fā）现。这些都有待进一步探（tàn）索和完善。

周汉华表示，《个人信息保护法》在第一条就明（míng）确（què）了“根据宪法（fǎ）”，这几（jǐ）个（gè）字（zì）有（yǒu）非常重大的意义。这表（biǎo）明《个人信息保护法》的立法依据是（shì）我国宪（xiàn）法（fǎ）规（guī）定的“公民的人格（gé）尊严（yán）与（yǔ）自（zì）由不受侵犯”，表明《个人信息保护法》也是个人信息保护领域的（de）基本法。也就是说，如果出现和其他个（gè）人信息保护相关法（fǎ）律规（guī）定冲（chōng）突的情况，应该优先（xiān）适用《个人信息保护法》。

孙（sūn）宪忠认为，《个人信息保（bǎo）护（hù）法》实施后，对老百姓而言，最（zuì）直观（guān）的感受就是数字化的社会生活会更加（jiā）可靠、安全（quán）。总之，《个人信息保护法（fǎ）》对整（zhěng）个社会而言是一（yī）个很重要（yào）的利（lì）好。