《個人信息保護法》明確個人信息處理合法基礎 遏制大數據殺熟行為

隨著大數據、人工智能等互聯網新技術的廣泛使用，數字化全面進入我們的日常生活，個人信息數據焦慮成為普遍現象。大數據殺熟、人臉信息過度采集、應用程序(APP)個人信息泄露，個人信息安全究竟誰來守護?

《個人信息保護法》完善了個人信息處理規則，完善了個人信息相關投訴舉報工作機制及違法處理個人信息涉嫌犯罪案件的移送機制，在完善個人信息處理規則方面，特別對APP過度收集個人信息、大數據殺熟、平臺責任等作出針對性規范，將使得人們在數字化社會生活中更有安全感。

明確個人信息處理合法基礎

“《個人信息保護法》并沒有禁止收集個人信息，而是反對過度收集、強制收集和違法收集。”中國社會科學院學部委員、全國人大憲法和法律委員會委員孫憲忠說。

孫憲忠表示，社會上一度曾對個人信息泄露感到恐慌和擔憂，但在防控疫情的過程中，信息化手段提供了很大幫助，這使人們認識到個人信息的收集在社會管理過程中也大有裨益。在立法討論中大家認為，我國已經進入信息化社會，要積極利用信息化的利好方面，但也應認識到，在信息收集和后續的信息加工、管理、應用等環節確實出現了一些問題，因此，《個人信息保護法》要著力解決這些問題。“《個人信息保護法》進一步完善了處理個人信息的合法性基礎，補充了個人有權撤回同意的內容。”中國信息通信研究院云計算與大數據研究所仵姣姣說，“總體而言，《個人信息保護法》采取了優先保護個人權利和社會公共利益的路徑。”

仵姣姣表示，《個人信息保護法》列舉了個人信息處理的合法基礎，包括授權同意、為訂立或履行個人作為一方當事人的合同所必需、履職必需、應對突發公共衛生事件、在合理的范圍內處理已公開的信息、公益目的等。對信息收集者來說，主要的數據處理合規基礎是被收集對象的授權同意、合同必需和在合理范圍內處理已公開的信息。

如果不授權就不能使用互聯網應用，這一度是很普遍的現象。仵姣姣認為，盡管消費者授權同意，但仍存在能否真正保障個人信息主體的知情權、授權同意是否會流于形式、強勢一手數據源為后續數據流轉的參與方帶來權利瑕疵等問題，但實踐中已逐漸形成一定程度上的范例。例如采用交互式彈窗的形式在用戶使用特定功能時，逐一獲取該功能必需的數據;明確列出數據共享的目的及合作方名單;在隱私協議條款前，簡要介紹核心條款等。

過度索權也是一直為消費者詬病的行業痼疾。仵姣姣認為，合同一定要遵循最小必要原則，商家需要審慎衡量獲取的數據類型是不是提供相關產品和服務的必要前提。

信息社會發展到今天，一般人都有幾十、上百條注冊信息、授權同意信息，其中很多都不再使用，但卻普遍存在不支持注銷賬戶、撤回同意投訴無門等問題。仵姣姣表示，《個人信息保護法》專門賦予個人撤回同意的權利，明確要求商家必須提供便捷的撤回同意方式。此外還明確，撤回同意不影響撤回前基于個人同意已進行的個人信息處理活動的效力。

“由于數據存在極強的可復制性，個人信息主體在給出首次授權同意后，對于姓名、身份證號、手機號、地址等相對靜態的信息很容易失去控制權，即使在撤回同意后，個人及每一環節數據處理者也很難控制數據的后續流轉。”仵姣姣認為，商家要確保在用戶撤回同意后，相關數據被終止收集，必要時也需要對其進行刪除或匿名化。

遏制大數據殺熟行為

大數據殺熟近年來被廣泛討論。在同一網站上，相同的商品或服務不同的人購買價格卻不一樣，這就可能是被“殺熟”了。大數據殺熟是指一種個性化定價，商家通過分析消費者個人信息形成畫像，利用算法對每個消費者的支付意愿進行精準評估和預測，預測消費者最高保留價格，并以此就同一商品或服務向不同消費者設置不同價格。中國信息通信研究院互聯網法律研究中心高級研究員、個人信息保護立法研究團隊負責人楊婕認為，這種歧視性定價策略，其實意味著商家可以過度、無限制、不合理地剝奪消費者，損害消費者權益。

“《個人信息保護法》中的第二十四條，對于大數據殺熟問題作出明確的規定。”楊婕說，《個人信息保護法》明確要求商家保證自動化決策的透明度和結果的公平、公正，在事前進行個人信息保護影響評估，不得對個人在交易價格等交易條件上實行不合理的差別待遇，并賦予個人包括選擇權、知情權在內的更充分的權利。

楊婕表示，考慮到個人信息處理活動的多樣性、算法運行機制的不透明性以及決策結果的不確定性，《個人信息保護法》規定無論商家是否具有市場支配地位，只要其利用個人信息進行自動化決策，對個人在交易價格等交易條件上實行不合理的差別待遇，就是法律所禁止的行為。“所涉及的適用對象全面，輻射范圍廣泛，有助于徹底解決大數據殺熟問題。”楊婕說。

中國首席數據官聯盟專家組成員、法律顧問，觀韜中茂(上海)律師事務所合伙人王渝偉說，今年2月7日，《國務院反壟斷委員會關于平臺經濟領域的反壟斷指南》發布，遏制平臺經營者利用其壟斷地位進行大數據殺熟、強迫商家“二選一”等不公平競爭等行為。隨著《個人信息保護法》的實施，數據可攜帶權等權益的實現，將有力保障數據在不同經營者之間的流動，促進經營者公平競爭。

APP個人信息保護設專章

“你在家里住得好好的，結果總有人打電話騷擾你;剛生了孩子從醫院回來，走在路上就有人向你推銷紙尿褲等，很顯然你的個人信息被泄露了。”孫憲忠說。這種情況不屬于個人信息收集環節，而屬于信息收集之后的“占有和加工管理”環節。對此，《個人信息保護法》第五十二條明確規定，個人信息收集者應該對收集來的信息進行妥善的監督和保管。

據工業和信息化部統計，截至2020年底，國內市場上監測到的APP數量為345萬款。海量的APP在帶來生活便利的同時，強制索權、過度收集、濫用和泄漏個人信息等問題也層出不窮。

楊婕表示，小程序、快應用、H5頁面等新應用形態不斷出現，麥克風被竊聽、通信錄被竊取、相冊非授權被讀寫等問題不斷曝出，亟需從法律層面遏制APP濫用個人信息的現象?！秱€人信息保護法》增加了對于APP個人信息保護的專門性規定，其中第六十一條將“組織對應用程序等個人信息保護情況進行測評，并公布測評結果”新設為履行個人信息保護職責的部門的職責;第六十六條將“對違法處理個人信息的應用程序，責令暫?；蛘呓K止提供服務”，增加為履行個人信息保護職責的部門對違法主體可采取的處罰手段。

中國社會科學院法學研究所副所長周漢華說，從適用的對象上來看，《個人信息保護法》把政府機關和市場主體一并納入規范的對象。

新增了對具有管理公共事務職能的組織的規范要求。孫憲忠說，《個人信息保護法》影響最大的就是負責收集個人信息的部門，包括政府部門、大型企業等。第五十七條明確提出，個人信息發生泄露，個人信息處理者即信息掌管者要立即采取補救措施。具體來說，是指網信部門或者是相關管理機構等，要設法采取補救性措施。

孫憲忠說，就個人而言，如果發現自己的個人信息已經被泄露，可以依據《個人信息保護法》第六十一條第二項的規定，積極向網信部門、市場監督管理部門等相關管理機構投訴。

“明確個人信息侵權行為的歸責原則為過錯推定，是對用戶權益的有力保護。”仵姣姣說。《個人信息保護法》明確了當個人信息權益因個人信息處理活動受到侵害時，個人信息處理者不能證明自己沒有過錯的，應當承擔損害賠償等侵權責任。換言之，個人信息處理者如果不能證明自己在數據處理、數據保護中不存在過錯，將在訴訟中面臨一定程度的敗訴風險。

這在司法實踐中實際上已有先例。如此前消費者龐理鵬訴中國東方航空股份有限公司、北京趣拿信息技術有限公司隱私權糾紛案，被告企業被要求證明自己不存在過錯、已履行的信息安全保護義務以及個人信息的具體泄露方以及泄露的具體環節，并最終由于難以提供相關證據而敗訴。

人臉識別條款亮點多

“《個人信息保護法》對人臉信息的保護亮點很多。”中國信息通信研究院云計算與大數據研究所人工智能部呼娜英說。人臉作為人類社會相互識別和驗證的通用身份標識符，具有直接識別性、獨特性、唯一性、易獲取性等特點。在人工智能賦能深度廣度不斷加強的科技浪潮下，人臉識別技術商業化進程不斷加速。從此前的《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》到目前的《個信息保護法》，都規定人臉識別屬于敏感個人信息，需要遵循特殊規則進行保護、處理。

人臉識別技術應用需滿足“特定目的”及“充分必要”。呼娜英表示，此前的最高人民法院對人臉識別的司法解釋中已經明確，物業、建筑物管理人不得僅以人臉識別作為唯一門禁方式，企業亦不得以捆綁、強迫形式獲得消費者同意人臉信息處理?！秱€人信息保護法》明確要求，個人信息處理者在處理敏感個人信息前，需存在“特定的目的”及“充分的必要性”。呼娜英認為，該條款對處理敏感個人信息提出了更高的要求。目的正當性和必要性不僅僅是指合法合規，還蘊含著符合目的限制、誠實信用和公開透明的要求。“這樣一來，零售商要求刷臉進出或支付、小區要求刷臉進出、樓宇閘機要求刷臉登機等場景，將可能因缺乏目的正當性和必要性而遭受挑戰。”呼娜英說。

單獨同意制度。呼娜英說，《個人信息保護法》在“告知+同意”規則的基礎上，引入了“單獨同意”的要求，規定了需要用戶“單獨同意”的一些具體場景，包括：處理敏感個人信息、公開或向他人提供個人信息(包括在公共場所安裝圖像采集和個人身份識別設備收集的個人信息)，以及向境外提供個人信息等。

擴張用戶知情權，確立有限制的解釋權?！秱€人信息保護法》對包括人臉信息在內的敏感個人信息保護提出了更高的要求，即信息處理者應當告知個人處理敏感個人信息的必要性以及對個人的影響。“這就進一步切實地保障了用戶的知情權。”呼娜英說。

加強限制圖像采集、個人身份識信息的使用。“《個人信息保護法》在三次審議中不斷強化針對公共場所安裝圖像采集、個人身份識別設備的要求。”呼娜英說?！秱€人信息保護法》明確規定，商家所收集的個人圖像、身份識別信息“不得用于其他目的”，進一步限縮了圖像采集、個人身份識別的處理范圍。

孫憲忠說，考慮到現在的人臉識別采集方式，很多情況下都在個體不知情的情況下進行，因此，《個人信息保護法》第二十六條規定，在公共場所安裝圖像采集個人身份識別設備的時候，其出發點必須是要維護社會公共安全，而不能用于其他目的;要符合國家法律規定;安裝時要設置明顯的提示性標識。

平臺“守門人”條款尚有爭議

對于APP的各種個人信息侵權問題，平臺責任是大家關注的焦點。《個人信息保護法》第五十八條進一步完善了平臺“守門人”條款。一是將提供基礎性服務的互聯網平臺修改為提供重要互聯網平臺服務;二是在第一項中補充了按照國家規定建立健全個人信息保護合規制度體系的義務;三是單獨增加了一項“守門人”義務，即遵循公開、公平、公正的原則，制定平臺規則，明確平臺內產品或者服務提供者處理個人信息的規范和保護個人信息的義務。

楊婕認為，這一規定被認為是強化基礎性服務平臺的個人信息保護責任、促進其積極展開基于個人信息保護治理的制度設置，并能一定程度上為公權力保護個人信息的實踐提供有益補充，是一個創新性制度設計。

據楊婕介紹，“數字守門人”的概念，是2020年12月歐盟委員會公布的《數字市場法案》中提出的，被認定為“守門人”的平臺應承擔一系列額外的具體義務。

中國人民大學法學院教授張新寶此前接受媒體采訪時表示，對300多萬款APP一對一監管難免力不從心，應將部分監管職責前移，對實際上控制技術資源、技術環境和運營環境的信息處理者，比如應用程序的分發平臺、操作系統、大型APP平臺等，設置關鍵環節“守門人”在個人信息處中的特別義務。他認為，目前國內常用的應用平臺分發系統不超過80個，移動終端操作系統不超過10組，搭載小程序的大型APP平臺不超過5個，將部分監管職責前移到關鍵環節“守門人”，就不用面對海量的APP一對一進行監督管理。

中國社會科學院大學互聯網法治研究中心執行主任劉曉春認為，在個人信息保護領域，設立通過平臺實現治理的規則，即通常所說的“守門人”制度，一方面是法律對于平臺責任在個人信息保護領域的擴展;另一方面，也會構成法律對于負有此等責任平臺的一種賦權，進一步擴大了大型基礎性平臺制定規則、展開治理、采取措施方面的實質性權力。若沒有相應的制約性配套制度，則有可能會造成平臺地位在個人信息保護領域的強化，并且帶來權力濫用的可能性，這也正是目前國內外針對平臺的“守門人”地位及其濫用行為對于競爭環境產生不良影響的擔憂焦點所在。“如果賦予電商平臺或社交平臺上一些經營者個人信息審核義務，有可能會出現權力濫用，或通過審核權來進行自我優待、差別待遇等。”劉曉春認為，極有可能出現平臺利用個人信息治理機制，進行反競爭投機行為，從而損害平臺內經營者，特別是中小經營者的利益。

劉曉春認為，針對制度可能帶來的消極影響進行評估和預判，應建構防范風險、降低成本的配套措施，可以將個人信息保護“守門人”制度可能帶來的顧慮和風險盡量降到最低。“以目前的平臺內容治理和知識產權治理為類比，這兩項都需要投入大量人力物力，組建專門的管理、技術團隊，建立實體判斷標準、程序流程規則、爭議解決渠道、糾錯救濟機制等復雜的規則和執行體系。經濟成本、專業能力、技術和管理、組織資源等方面，都會對平臺提出相當高的要求。”劉曉春說，基礎性服務平臺是否具有能力對平臺內其他經營者的個人信息合規情況展開審核?而且，平臺內經營者運作和使用過程中的個人信息收集和處理過程，并不一定能夠由基礎性服務平臺直接監測和發現。這些都有待進一步探索和完善。

周漢華表示，《個人信息保護法》在第一條就明確了“根據憲法”，這幾個字有非常重大的意義。這表明《個人信息保護法》的立法依據是我國憲法規定的“公民的人格尊嚴與自由不受侵犯”，表明《個人信息保護法》也是個人信息保護領域的基本法。也就是說，如果出現和其他個人信息保護相關法律規定沖突的情況，應該優先適用《個人信息保護法》。

孫憲忠認為，《個人信息保護法》實施后，對老百姓而言，最直觀的感受就是數字化的社會生活會更加可靠、安全?？傊?，《個人信息保護法》對整個社會而言是一個很重要的利好。(記者 武曉莉)