2021年8月20日，第十三届全国人大常委会第三十次会议审议通过《中华人民共和国个人信息保护法》。个人信息保护法是我国第一部个人信息保护方面的专门法律，以严密的制度、严格的标准、严厉的责任规范个人信息处理活动，规定了个人在个人信息处理活动中的权利，全方位落实各类组织、个人等个人信息处理者的义务与责任，有力维护了网络空间良好生态，满足人民日益增长的美好生活需要。个人信息保护法协调个人信息权益保护与个人信息合理利用的关系，建立了权责明确、保护有效、利用规范的个人信息处理规则，从而在保障个人信息权益的基础上，促进包括个人信息在内的数据信息的自由安全的流动与合理有效的利用，推动数字经济健康发展。

个人信息保护法是保护个人信息的法律，也是保护个人信息权益的专门法律。个人信息权益是自然人针对个人信息享有的受到法律保护的权益。保护个人信息权益是我国个人信息保护法的重要立法目的，该法第一条明确规定，为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。第二条再次明确，自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益。

笔者认为，个人信息保护法的亮点主要有以下几个方面。

确立个人信息处理活动基本原则

个人信息保护法包括合法、正当、必要、诚信、目的限制、最小必要、质量、责任等原则。这些原则的根本目的就是要规范个人信息处理者的处理活动，保护个人信息权益。例如，依据第六条所确立的目的限制原则，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。无论什么样的个人信息处理者为了何种处理目的，以何种方式实施个人信息处理活动，都应当遵循这些基本原则。不仅如此，调整规范个人信息处理活动的法规规章，也不能违反这些基本原则。

详细规定告知同意规则

明确个人信息处理者处理个人信息前，必须以显著方式、清晰易懂的语言真实、准确、完整地向个人告知法律规定的事项，除非法律、行政法规规定应当保密或者不需要告知，或者告知将妨碍国家机关履行法定职责。如果个人信息处理者基于个人同意而处理个人信息，那么个人的同意必须是个人在充分知情的前提下自愿、明确地作出，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务。

对“大数据杀熟”“人脸识别”等问题予以回应

个人信息保护法明确要求个人信息处理者保证自动化决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。如果通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的，除非取得个人单独同意。

界定敏感个人信息并给予严格保护

敏感个人信息，即一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。依据个人信息保护法的规定，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。同时，处理敏感个人信息应当取得个人的单独同意，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。

专章规定个人在个人信息处理活动中的权利

个人在个人信息处理活动中的权利属于手段性权利或救济性权利，规定这些权利的目的就是为了保护自然人的个人信息权益。个人信息保护法在网络安全法、民法典规定的基础上，立足于我国个人信息保护实践的要求，吸收借鉴比较法上的优秀成果，对个人在个人信息处理活动中的权利作出系统全面的规定，明确个人在个人信息处理活动中享有：对个人信息处理的知情权与决定权、查阅复制权、可携带权、更正补充权、删除权、解释说明权等。此外，为了维护死者近亲属的合法、正当利益，个人信息保护法还规定，自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利，死者生前另有安排的除外。

对个人信息处理者的义务作出详细规定

个人信息保护法构建了完整的义务体系。这些义务包括：个人信息处理者采取措施确保个人信息处理活动合法并保护个人信息安全的义务，按照规定指定个人信息保护负责人的义务，定期合规审计的义务，对于高风险个人信息处理活动进行个人信息保护影响评估并对处理情况记录的义务，在发生或可能发生个人信息泄露等安全事件时立即采取补救措施并通知监管机构和个人的义务，提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者负有的“守门人义务”。

明确违法行为处罚规定

个人信息保护法对于违法处理个人信息或者没有履行法律规定的个人信息保护义务的行为规定了严格的行政处罚。如对于违法行为情节严重的，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照等。对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。再如，对于违反个人信息保护法违法行为的，明确依照有关法律、行政法规的规定记入信用档案，并予以公示。

规定民事责任制度以及民事公益诉讼

依据个人信息保护法的规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。侵害个人信息权益造成损害的赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。在个人信息处理者违反个人信息保护法规定处理个人信息，侵害众多个人的权益时，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。

□ 清华大学法学院副院长、教授、博士生导师 程啸