《中華人民共和國個人信息保護法》(下稱《個人信息保護法》)將在11月1日落地實施，這是中國首部針對個人信息權益進行保護的法律。該法與已施行的《網絡安全法》、《數據安全法》，共同構成了中國網絡法律體系的“三駕馬車”，管控之嚴，堪比歐盟GDPR(《通用數據保護條例》)。

9月3日，記者專訪了中國人民大學法學院教授張新寶。張新寶專注民法領域，多年研究個人信息保護，全程參與了《個人信息保護法》的立法工作，同時，還參與民法典編纂工作，擔任中國法學會民法典起草領導小組成員和侵權責任編召集人。

張新寶表示，關于個人信息和隱私保護的法學研究，已經在學術界醞釀多年，終于在2018年開始形成立法。中國的互聯網經濟發展深入，智能硬件、算法技術已經平民化，個人信息的收集和處理變得更為普遍，同時，數據處理者侵害個人權益的問題，變得越來越突出。

疫情期間，個人信息再一次被大面積采集和處理，令決策者看到了保護個人信息的必要性，加速推進了立法。

該法主要針對個人信息的處理活動。個人信息，包括個人的身份、消費、金融信息等，以及人臉、語音等生物信息。個人信息的處理，包括收集、存儲、使用、加工、傳輸、提供、公開、刪除等。

該法落地后，個人因權益受害可去投訴個人信息處理的侵權者，不再是無法可依，還對人臉識別監控、用戶畫像、算法歧視等行為特別進行了規范。《個人信息保護法》的適用范圍，并非針對某一類特定企業，凡進行個人信息處理的企事業單位、國家機關均在其中。

張新寶表示，新法落地后，信息處理者的責任和義務、合規成本必然會提高，但也是走向合理規范的一個過程。過去互聯網經濟的野蠻生長，已經給公眾帶來許多問題，國家必須要將其控制在一個正確、健康的范圍內去發展，讓它不僅高速發展，還能健康發展，這也是立法的初衷。

經濟觀察報：《個人信息保護法》醞釀多年，是什么契機推動了它的出臺?

張新寶：新冠肺炎疫情期間，公共場所大面積應用人臉識別監控設備，企業采用大數據決策，有的甚至是濫用這些技術，同時，政府通過健康寶、行程碼等手段采集個人行動信息。其中很多信息對個人是高度敏感、涉及人身安全的。在這個過程中，數據處理者侵害個人權益的問題，變得越來越突出，這讓決策者意識到及時保護個人信息的必要性。

經濟觀察報：這是否也是立法的基本初衷?

張新寶：是的，個人信息保護在2018年之前處于基礎理論研究階段，到2018年開始形成法律框架，始終在關注數據處理者侵害個人權益的問題。在2018年，我們發現，互聯網經濟開始深入到社會經濟的每一個角落，智能硬件和算法技術正在變得平民化、普遍化，甚至變得廉價。這一過程中，國家機關和企業大量收集和處理個人信息，也成為了一個普遍現象。

市政運用監控技術加強城市管理，一些頭部企業還承擔了信息基礎設施的角色。

從產業來看，互聯網經濟中的頭部企業，掌握了個人的消費信息、信用信息、金融信息，甚至還將信息打包提供給第三方;它們運用數據進行自動化決策，收集得信息越多、處理得層次越深、越有利于產品和服務。但是，這會對個人安全造成極大威脅。

經濟觀察報：決策者的推動下，該法的出臺是早于業界預期的?

張新寶：并不是比原計劃要早，當初并沒有規定出臺時間，只是疫情后推進的速度更快。從2020年10月至2021年6月，國家僅用10個月時間完成了法案的一審到三審，原本可能于今年6月正式公布，考慮到時間點與《數據安全法》重合，以及該法修改的難度，就延后至8月公布。

經濟觀察報：簡單來說，該法是如何保護公眾個人利益的?

張新寶：《個人信息保護法》對個人信息進行分級分類，分為敏感和一般，成年人和未成年人，不同分類保護程度不一樣。簡單說，就是強化對敏感信息的保護，尤其是對不滿14周歲未成年人個人信息的保護。

不同信息對個人影響不同。例如“我叫張新寶，是人民大學教授”屬于一條標準的個人信息，法律生效后，數據處理者仍可長期保存和應用。但是，我在哪個銀行賬戶有存款、資金往來，則屬于敏感信息，法律生效后，原則上數據處理者不能收集這些信息。如需處理需要經本人單獨同意，而且只能用于特定目的，用完后不可用到別處或出現泄漏，否則就屬于違法行為。

經濟觀察報：對人臉、聲音等個人生物信息的保護，法律也作出了什么規范嗎?

張新寶：人臉識別是本法規范的一個重要內容，也是相對于歐盟GDPR法案的特色之處。法律規定，人臉等生物信息屬于敏感信息。簡單說，對于人臉信息的收集和處理，要有合法依據，目的必須是服務公共安全;同時，信息處理者還要提供替代措施，比如工作單位考勤，不能強制性要求員工進行人臉圖像采集和比對，對拒絕者，要有提供身份證核對等一些替代措施。

之所以將人臉識別納入管控，是看到在人工智能技術的進步下，人臉識別首先在中國實現了大規模應用。以人臉識別為代表，法律傳達了對整個生物識別技術的規范，還包括虹膜識別、語音識別、指紋識別、血型識別等，只是沒有一一列入條文進行列舉。

經濟觀察報：若被機構侵害權益，個人可以起訴嗎?

張新寶：原則上可以，但實際上一些情況下起訴對個人可能是不經濟的。《個人信息保護法》最新規定，若侵權情況嚴重，可以提起公益訴訟。針對違法處理個人信息的行為、受害人人數眾多，個人可向三大類機構進行起訴，包括人民檢察院、法律規定的消費者組織、由國家網信部門確定的組織。這些機構再針對性地提起個人信息保護公益訴訟。過去，個人通常也是采取投訴的辦法，但如今更做到了有法可依。

經濟觀察報：作為數據處理者，該法會對企業產生哪些影響?

張新寶：最大的影響是企業合規成本會提高。要達到《個人信息保護法》合規標準，企業首先要具備相應的能力，需要增加法務、安全方面的人員配置和相應機制，還要接受網信部門定期或非定期的監管，這些都會對企業生產經營造成影響。

其中頭部企業承擔了更多責任和義務。法律在二審稿中又加入了一些條文。其中一項是在今年年初，我作為專家向立法部門提出的，簡單說，提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者，相比一般企業，要做到更高標準的信息合規處理，同時，還要明確平臺上商戶企業的合規。

例如，電子商務企業的平臺上，有成千上萬的小商戶，政府無法一一進行管理，法律將管理義務交由平臺企業，大企業要制定相應的平臺規則，且公正、公平、公開地對小商戶進行規范。

經濟觀察報：法律對政府和事業單位作出了哪些規范?

張新寶：對事業單位的規定和對企業一樣。對政府的規定有所區別，比如國家機關采集個人信息，需要有特別的法律依據，需要組織專門機構處理信息，并保證信息的安全;另外，國家機關不適用公益訴訟。健康寶和行程碼是有法律法規依據的，政府的責任是要保證數據安全，待疫情過后停止使用這樣的個人信息，進行后續的處理和銷毀。

經濟觀察報：作為立法參與者，您如何回應產業對該法的一些關切、甚至擔憂?

張新寶：其實立法前專家組就評估過法案的產業影響，也按照民主程序，征求頭部企業機構的意見。我認為，企業其實是沒有必要擔憂的。首先，法律的監管，并非針對某個行業或者某個企業，所有企業的成本都在增加，是在平等基礎上進行競爭的;其次，很多產品和服務都沒有統一定價，企業可以通過定價機制來化解成本。長遠來看，合規對企業發展是有利的。做到合規，處理信息的質量更高，也是一種信譽的保證，方便企業之間的交易，以及出海做國際生意。

經濟觀察報：根本上說，這部法的價值導向是什么?

張新寶：立法的目的是多維的，首先是保護個人信息，但不單是保護，還是規范個人信息處理活動，促進個人信息的合理利用。如果在數據的收集、處理過程中不會傷害公眾，那么經過處理的個人信息數據仍然是科技創新、經濟發展的“原料”，國家也對企業創造的財富予以保護。

之所以前幾年立法進展稍慢，是和產業發展水平有關。法學家的認識應該超越他人走得更前，但法律永遠是走在經濟發展的后面，只有等到產業發展到一定程度，再運用法律加以規范。

這部《個人信息保護法》，代表了價值取向、法律制度基本框架，具體到如何實施，需要大量的配套細則。細則主要由網信管理部門制定，目前已經公布了一些，但是還有內容尚未處理完善的。即便到11月1日正式實施，配套細則也未必制定完全，其間也要向各方征求意見，工作還在持續中。

(沈怡然)

關鍵詞： 個人信息保護法 具體實施 需要 配套細則