《中华人（rén）民共和国个人信息保（bǎo）护（hù）法》（下文（wén）简称“个（gè）保法”）于2021年11月1日起（qǐ）正式实施（shī）。中国人民（mín）大学未来法（fǎ）治研究院副院长丁晓东对新（xīn）京报贝（bèi）壳财经记者表示，个（gè）保法为个人信息处理活动提供（gòng）了明确的法（fǎ）律（lǜ）依据，为个人维护其（qí）个人信息权（quán）益提（tí）供了充分保障，为企业（yè）合规处理提供了操作（zuò）指引。

需要注意（yì）的是，在个保（bǎo）法出台之前（qián），我（wǒ）国并没有一部专（zhuān）门规范使用个人信息（xī）的（de）法律，关于（yú）个人隐私保护（hù）的相关条款分散在不同的（de）法律（lǜ）法规之中。而（ér）随着互联网（wǎng）经济和数字化发展，越来越多的应用场景涉及个人（rén）信（xìn）息处理（lǐ），因此（cǐ）个保法出台可谓（wèi）是“众望（wàng）所归（guī）”。

历经十八载终出（chū）台，构建完整个人信息保护框架

贝壳（ké）财（cái）经记者了（le）解到（dào），2003年，专家起草了个保法（fǎ）建议稿。2018年，个保法正式进（jìn）入立（lì）法（fǎ）流程（chéng），历（lì）经三次审议（yì）最终成型（xíng）。2021年8月20日（rì），十三届（jiè）全国（guó）人大常委会第三十次会议（yì）表决通过了《中华人（rén）民共和国个人信息（xī）保（bǎo）护法》，自2021年11月1日起正式（shì）实施。此时距离个保（bǎo）法建议稿（gǎo）的起草已经过去18年。

《个人信息（xī）保护法》全文（wén）以总计8章74条（tiáo）的篇幅，在总（zǒng）则、个人信息处理规则（zé）、个人信息跨（kuà）境提供的规则、个人在个人信息处（chù）理活动（dòng）中的权利、个人信（xìn）息处理者的义务、履行个人信（xìn）息保护职（zhí）责的部门、法律责任以及（jí）附则等（děng）多个层面（miàn）设计和建构个人信（xìn）息保护的立法框架（jià）。

中国互联网协会研究（jiū）中（zhōng）心副（fù）主任、北（běi）京师（shī）范大学网络法（fǎ）治（zhì）国际中心执行主任吴沈括参与（yǔ）了个保法的（de）制定。据他介绍，个人（rén）信息（xī）保护源于宪法对（duì）于公民人格尊严的保护（hù），个保法涉及的（de）是（shì）个人权益保（bǎo）护，并不直（zhí）接解决个人信息相关的（de）财产权。“立法（fǎ）者给了各方利益平衡的（de）空（kōng）间”。

丁晓东认（rèn）为，从整体（tǐ）来看，个保（bǎo）法构建了完整的个人信息（xī）保护框架。其规定（dìng）涵盖了个人信息的范围以及个（gè）人信息从收集（jí）、存储（chǔ）到使用、加工、传（chuán）输、提（tí）供、公开、删除等所（suǒ）有（yǒu）处理过（guò）程；明（míng）确（què）赋予了个（gè）人对其信息（xī）控制的相关权利，并确认与（yǔ）个人权利相对应（yīng）的个人信息处理者的义务及（jí）法（fǎ）律责任；对个人（rén）信息出（chū）境问题（tí）、个人信息保（bǎo）护的部门（mén）职责、相（xiàng）关（guān）法律责任进行（háng）了规定。

吴沈括称，个（gè）保法以（yǐ）“告知-同意”机制为（wéi）核心逻辑（jí）建（jiàn）构覆盖个人信（xìn）息处理全生命周期的规则框架，强化保障自然人的自主（zhǔ）权利，同时注重与（yǔ）其他重要利益包括国家（jiā）安（ān）全以及公共利益等的平（píng）衡协调，例如针（zhēn）对各类不（bú）同的具（jù）体场（chǎng）景设定告知或者同意的例外规则。

从具体问题（tí）来（lái）看，个保（bǎo）法明确不得过度收集个（gè）人信息、大数据杀熟，对人脸信息等敏感个（gè）人信息的处理作出（chū）规（guī）制，完善个人信息（xī）保（bǎo）护投诉、举（jǔ）报工作（zuò）机（jī）制（zhì）等。

中（zhōng）国政法（fǎ）大学传（chuán）播（bō）法（fǎ）研究中心副主任朱巍告诉贝壳财经记者（zhě），个（gè）保（bǎo）法一经问世，就肩负起统领其他法（fǎ）律（lǜ）法（fǎ）规对个人信息保护（hù）的作用。该法所确立的对（duì）权利（lì）人“最（zuì）小伤害（hài）”“公（gōng）开透明”“准确完整”“合理使（shǐ）用”“合理目的（de）”等原则，是（shì）对先前（qián）相关法律关于个人信息使用“合法（fǎ）性、正当性、必要性”原则的扩（kuò）展（zhǎn）和补（bǔ）强（qiáng）。未来后续新的（de）立法（fǎ）中，凡（fán）是涉及个人信息保护（hù）问题的，都应遵守个人信息（xī）保护（hù）法所确定（dìng）的基本原则，任何规定都不得与之（zhī）相冲突。

“个人信息保护法是个体（tǐ）权利在个人信（xìn）息（xī）保（bǎo）护领域的新旗帜，极大扩展和补充了民（mín）法典、消费者权益（yì）保护（hù）法等民事（shì）法律关（guān）于个（gè）人信（xìn）息权利的范围。新法将个人权利单独成（chéng）章，赋（fù）予了公民（mín）个体对（duì）自己个人信息的‘自我决定权’和充（chōng）分的‘知情权’。”朱（zhū）巍表示。

向“大数（shù）据杀熟”“信息曝光”说不，个（gè）性化推送可关闭

朱巍（wēi）认为（wéi），“我的权（quán）利我做主”在个人信息保（bǎo）护法中得到（dào）了（le）具（jù）体体现。老百（bǎi）姓依法享有对（duì）自己信息（xī）的查询权、复（fù）制权、删除权、更正权（quán）、保持完整性和准确性权、投诉权（quán）、要求说明权和诉讼（sòng）权。这些新型（xíng）权利基本构（gòu）成了适（shì）应大数据（jù）时代（dài）个（gè）人（rén）信息（xī）保护的权利保护体系。

例如，在个保法出台前，用户在接受互联网产品和服务时，仅享有注（zhù）册（cè）权（quán），很少有人尝试过“注销权”。很多（duō）App或网络服（fú）务（wù），当用户不再使用的时（shí）候（hòu），随手从手（shǒu）机（jī）中删除，却忘记了之前在平台的注册信息、身份信息（xī）和（hé）行（háng）为（wéi）数（shù）据，这些（xiē）信息不会因为个人（rén）删除行为而自行消失。个保法出台后，用户一旦停止使用某款网络服（fú）务，在删除应（yīng）用的同（tóng）时，平台也应（yīng）依（yī）法对（duì）用户现（xiàn）存信息进行删除，确保用户个（gè）人信息不会成为那些“睡眠（mián）应（yīng）用”的非（fēi）法财产。

而对于用（yòng）户在App平台中遇（yù）到同一款（kuǎn）产品，不同人（rén）显示的（de）价（jià）格（gé）不一样，甚至在不同（tóng）型号的（de）手机（jī）上显示价格也不（bú）同的“大数据杀熟”行为，个保法（fǎ）也有了明确的要（yào）求——个人信息（xī）保护法第（dì）二十四条规定，个（gè）人信息（xī）处理者利（lì）用个人信息进行自动化决（jué）策，应当保证决策的（de）透明度和结（jié）果公平、公正，不得对个（gè）人在交易价（jià）格等交易（yì）条件上（shàng）实行不合（hé）理的差（chà）别待遇。丁晓东认为，这明（míng）确否定了“大（dà）数据杀熟”等现象。

此外（wài），个（gè）保法规定，通过自动化决（jué）策方式向（xiàng）个人进行信息推送、商（shāng）业营（yíng）销，应当同时提供不针对其（qí）个（gè）人特征的选项，或者向个人提供便捷的拒绝（jué）方式。

安恒信息高级副总裁、首（shǒu）席科学家刘博（bó）告诉贝壳财经记者，上述条（tiáo）款限（xiàn）制了平（píng）台对个（gè）人画像及针（zhēn）对性营销的能（néng）力。

中国电（diàn）子（zǐ）技（jì）术标准（zhǔn）化研究院网（wǎng）络安全研究中心测（cè）评实验室副何（hé）延哲则表示，（自动化决策条款）肯（kěn）定会对广告业产生（shēng）影响，以前用（yòng）户往往只能被动接（jiē）受个性化广告的（de）推送，用户拥有主动（dòng）权后，可（kě）以自行选择是（shì）否开启类（lèi）似（sì）功能。“以前许多（duō）广告商在（zài）无（wú）限度追求商业利（lì）益的过程中，经常忽略（luè）用户个人（rén）的（de）感受。如今出台了相关法规（guī），他们便要承担之前野蛮发（fā）展（zhǎn）的后果——曾经让多少用户反感，以（yǐ）后可能就要承担（dān）多少用户（hù）关闭（bì）个性化推荐（jiàn）后的损失。”

同时，针对广泛存在的已公开个人信息的（de）利用问题，《个（gè）人信息保护（hù）法》也专门规定个人（rén）信息处理者可以在合理的范围内处理个人自行公开或（huò）者其他已经合法公开（kāi）的个人信息，而（ér）个人（rén）对此有权明确拒绝，并（bìng）且如果个人信息处理者处理已公开的个人信息（xī）对个（gè）人权益有重大影响的，仍然应当依法取（qǔ）得个（gè）人同意（yì）。

“个保法从个（gè）人（rén）信息处（chù）理的一（yī）般规则到敏感个人信息（xī）处理的特殊规（guī）则，乃至个（gè）人信息跨境提供的单独规则设定，无不（bú）反映了立法（fǎ）者（zhě）对于（yú）个人权益的着重保（bǎo）护，以（yǐ）及对于（yú）各（gè）利益相关（guān）方（fāng）多样诉求的（de）兼容权衡，并通过系统的（de）个（gè）人权利内容以及个人信息处（chù）理（lǐ）者义务相关规定予以（yǐ）全面的细化落实，切实（shí）贯彻保护个人信息权益（yì）与促（cù）进个人信（xìn）息合理利用的（de）双重（chóng）立法（fǎ）目的。”吴沈括（kuò）表示。

吸（xī）收接轨国际立（lì）法（fǎ），探索开创中国路（lù）径

多位专家认为，个保法（fǎ）吸纳了不少国际立法的成功（gōng）经（jīng）验，但同时也（yě）结（jié）合中国国情做出了创新。

吴沈括（kuò）认为，个保法（fǎ）注重发挥国家、社会、企业（yè）和个人（rén）等不同主体的（de）协同作用，打造（zào）个人（rén）信息保（bǎo）护（hù）领域的多方共享共治（zhì）模式。个保法特别强（qiáng）调国家建立（lì）健全个人信息保护制（zhì）度，预防和惩治侵害个（gè）人信息权（quán）益的行为，加强个人信（xìn）息（xī）保护宣传（chuán）教（jiāo）育，推动形成政府、企业、相关行业组织和社（shè）会公众共同参与个人信息（xī）保护的良好环境，为促（cù）进个人信息合理利用奠定坚实的（de）、可持续的（de）生态基（jī）础。“更进一（yī）步而言，个保法（fǎ）还对当下我国民众（zhòng）的诸多现实关切做出了及时（shí）、有（yǒu）效的回应，提出了具有鲜明时代印（yìn）记与中国特色的规则安排。”

例如，针对目前多发（fā）的个人信息泄露事件，个保法（fǎ）明确规定（dìng）个（gè）人（rén）信息处理者的义（yì）务规则（zé），要求其（qí）立即采取补（bǔ）救措（cuò）施，并且面向（xiàng）履行个人信息保护职责（zé）的（de）部门和个人通知个人信息泄露的（de）原因、丢失的个人信息种类和可能造成的危害、已采取（qǔ）的补救措施以及个人（rén）可以采取的（de）减轻危害的措施等重要（yào）事项。

需（xū）要注意的是（shì），对于（yú）不同类型的个人（rén）信息，个（gè）保法规定，个人信息处理者要针对不同类型（xíng）的信息进行分类处理。

吴（wú）沈括（kuò）认为，信息分（fèn）类（lèi）是立法的总体要（yào）求（qiú），包括数据安全法（fǎ）中提到数据分类（lèi）分级管理。落实到个人信息保护领域，分为（wéi）敏感信息和非（fēi）敏感（gǎn）信息、未成年（nián）人信息和成（chéng）年人信息（xī）等。企业也可基于自身业务实践做进一步分类，“立法（fǎ）者（zhě）也是希望企业能针对不同类型的数据有（yǒu）不同强度、不同形（xíng）式的（de）保护，体现（xiàn）个保法全面（miàn）保护的要求”。

但（dàn）对比个保法二审稿，对个人信（xìn）息进（jìn）行（háng）分级的（de）表述在（zài）正式稿中被删除。

吴沈（shěn）括表示，在不同（tóng）场（chǎng）合中个（gè）人信息的敏（mǐn）感性质不（bú）相同，同一个信息在不同应用场（chǎng）景中的价（jià）值（zhí）属（shǔ）性也不相同（tóng），拿掉“分级”是为了（le）给予企业更具弹（dàn）性（xìng）的操（cāo）作空间，但（dàn）不意味（wèi）着个人信息分级不重要（yào）。

“可以期待，在个保法科学、系统、全面的（de）顶层设（shè）计之下，后续随着监管执法举措的不懈推进、司法裁判（pàn）规则的不断丰富（fù）、多方参与共（gòng）治的持（chí）续培（péi）育（yù）以及国际（jì）交流合作（zuò）的深入开展，置身代（dài）码世界的广大人（rén）民群众将长久拥抱个人信息合法权益受保（bǎo）护、个人信（xìn）息处理（lǐ）活（huó）动受规范、个人信息合理利用受促进的数字（zì）治理新生态。”吴沈括（kuò）表示。

“综合（hé）而言（yán），我国的个人信息保（bǎo）护法对相关制度（dù）进行了全方位的规定，体现了我（wǒ）国政（zhèng）府维护公民基（jī）本权益的决心（xīn），为个（gè）人（rén）信息的规范化收集（jí）与利（lì）用（yòng）提供了（le）保障。随着几个月后（hòu）个人信息保护（hù）法的（de）生效实施（shī），这一数字时（shí）代的基（jī）本法也必（bì）将（jiāng）为我国数字社（shè）会治理与（yǔ）数字经济发（fā）展注入（rù）更为（wéi）强大的（de）动力（lì）。”丁晓东表示（shì）。