經(jīng)濟(jì)觀察網(wǎng) 記者 沈怡然 《中華人民共和國(guó)個(gè)人信息保護(hù)法》（下稱“《個(gè)人信息保護(hù)法》”）將于11月1日實(shí)施。作為中國(guó)首部指向個(gè)人數(shù)據(jù)保護(hù)的立法，該法對(duì)普通個(gè)人和整個(gè)數(shù)字經(jīng)濟(jì)產(chǎn)業(yè)，都將產(chǎn)生重大影響。

隨著互聯(lián)網(wǎng)經(jīng)濟(jì)深入到社會(huì)的每一個(gè)角落，人工智能等新興技術(shù)變得平民化，個(gè)人信息的大面積采集和處理，正在成為一個(gè)普遍現(xiàn)象。該法首次提出了個(gè)人敏感信息、公益訴訟等新的司法概念，并針對(duì)用戶畫像、大數(shù)據(jù)殺熟、算法歧視等問題做出規(guī)范。

北京瀛和律師事務(wù)所業(yè)務(wù)中心總監(jiān)高楠對(duì)記者表示，法律的導(dǎo)向是，在面對(duì)自動(dòng)化決策、人臉識(shí)別等新興技術(shù)時(shí)，賦予個(gè)人知情權(quán)和選擇退出的權(quán)利，同時(shí)，肯定這些技術(shù)和企業(yè)在商業(yè)環(huán)境中的價(jià)值。

中倫律師事務(wù)所合伙人陳際紅表示，從企事業(yè)單位角度來看，法律為了促進(jìn)合規(guī)、阻卻違法，制定了嚴(yán)厲的舉措，力度堪比歐盟GDPR（《通用數(shù)據(jù)保護(hù)條例》），企業(yè)應(yīng)提前布局合規(guī)，防范法律風(fēng)險(xiǎn)。

法律規(guī)范了什么

與《網(wǎng)絡(luò)安全法》和《數(shù)據(jù)安全法》有所區(qū)別，《個(gè)人信息保護(hù)法》側(cè)重保護(hù)個(gè)人信息，監(jiān)管對(duì)象是個(gè)人信息的處理者和受托人。簡(jiǎn)單說，如果醫(yī)院收集和處理病人的病例數(shù)據(jù)，醫(yī)院就是處理者，服務(wù)醫(yī)院的數(shù)據(jù)技術(shù)供應(yīng)商就是受托人。所謂個(gè)人信息的處理，包含收集、存儲(chǔ)、使用、加工、傳輸、提供、公開、刪除的完整周期。

從內(nèi)容上看，法律對(duì)個(gè)人信息的范圍作出了界定、確定個(gè)人信息處理的基本原則、個(gè)人信息主體的權(quán)利及保護(hù)、個(gè)人信息跨境傳輸?shù)奶幚恚约皞€(gè)人信息處理者的義務(wù)和責(zé)任。法律還規(guī)范了個(gè)人數(shù)據(jù)的跨境，借鑒國(guó)外立法經(jīng)驗(yàn)，設(shè)定了域外適用原則。

高楠表示，在中央層面，明確了國(guó)家網(wǎng)信部門負(fù)責(zé)統(tǒng)籌協(xié)調(diào)個(gè)人信息保護(hù)工作和相關(guān)監(jiān)督管理工作，在地方層面，明確了由縣級(jí)以上地方人民政府有關(guān)部門履行管理職責(zé)。但是，關(guān)于監(jiān)管機(jī)構(gòu)的職責(zé)，需要在實(shí)踐過程中厘清各部門之間的職責(zé)界限，有待進(jìn)一步探索和明確。

陳際紅表示，《個(gè)人信息保護(hù)法》在國(guó)內(nèi)首次將個(gè)人信息分類成敏感和非敏感個(gè)人信息。法律上看，敏感個(gè)人信息包括生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等，以及不滿十四周歲未成年人的個(gè)人信息。這些信息一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害。相對(duì)來說，個(gè)人姓名、職稱等屬于非敏感個(gè)人信息。

從保護(hù)個(gè)人的角度，法律首次提出了單獨(dú)同意和書面同意的要求。陳際紅表示，涉及個(gè)人的敏感信息、跨境信息等敏感數(shù)據(jù)處理場(chǎng)景時(shí)，要拿到個(gè)人的單獨(dú)同意。比如說，在公共場(chǎng)所安裝圖像采集、個(gè)人身份識(shí)別設(shè)備所收集個(gè)人圖像、身份識(shí)別信息的情況下，如果要用于非安保目的，則要給個(gè)人發(fā)送同意授權(quán)書，明確告知用戶人臉信息的重要性和危害，獲得單獨(dú)同意，而且不能和其他同意捆綁。

常見的情況是，一座商場(chǎng)通過布置監(jiān)控?cái)z像頭來防盜防火，法律是允許的，因?yàn)檫@是出于公共安全的目的，若將攝像頭收集的圖像用于對(duì)來往顧客的分析，則需要經(jīng)過顧客的單獨(dú)同意。另外，如果緊急情況下，例如醫(yī)院對(duì)病人的搶救，無法得到病人的及時(shí)同意，那么也需要延后告知。

個(gè)人的權(quán)益

《個(gè)人信息保護(hù)法》出臺(tái)的產(chǎn)業(yè)背景，是當(dāng)前人工智能等新興技術(shù)的飛速發(fā)展，法律明確指出了自動(dòng)化決策，也就是人工智能的概念。目前該技術(shù)已經(jīng)在中國(guó)的金融、醫(yī)療、安防、教育、交通、零售等多個(gè)領(lǐng)域?qū)崿F(xiàn)技術(shù)的落地。

高楠表示，這種技術(shù)在商業(yè)領(lǐng)域的合理運(yùn)用可以提高經(jīng)濟(jì)效率，降低雙向搜尋成本，有利于消費(fèi)者的個(gè)性化定制與邊緣創(chuàng)新。但另一方面，產(chǎn)業(yè)的快速爆發(fā)也導(dǎo)致其陷入“野蠻生長(zhǎng)”，過度的用戶畫像、大數(shù)據(jù)殺熟、算法歧視等現(xiàn)象，已經(jīng)對(duì)公眾利益造成影響。《個(gè)人信息保護(hù)法》首次對(duì)這些情況做出了規(guī)范。

一個(gè)普遍的現(xiàn)象是，在同一個(gè)APP上訂酒店，不同用戶顯示不同價(jià)格，這違反了算法處理的公平公正原則，是不被法律允許的。高楠表示，對(duì)于企業(yè)以商業(yè)目的，對(duì)用戶進(jìn)行畫像、算法，應(yīng)當(dāng)在充分告知個(gè)人信息處理相關(guān)事項(xiàng)的前提下取得個(gè)人同意，或者提供一個(gè)替代方案。一旦算法決策對(duì)個(gè)人權(quán)益有重大影響，包括影響升職加薪、貸款申請(qǐng)等，用戶對(duì)此有權(quán)要求企業(yè)予以說明，并且有權(quán)拒絕。當(dāng)個(gè)人拒絕，企業(yè)不得以此為由拒絕提供產(chǎn)品或者服務(wù)。

另外對(duì)人臉、聲音、指紋、虹膜等生物信息的識(shí)別，屬于敏感信息，除非取得個(gè)人單獨(dú)同意，否則只能用于維護(hù)公共安全的目的，不得用于其他目的，即便個(gè)人同意，處理者也不能將生物特征識(shí)別作為唯一選項(xiàng)，應(yīng)該提供給個(gè)人更多的選擇權(quán)。

企事業(yè)單位的責(zé)任

對(duì)于監(jiān)管對(duì)象，法律規(guī)定了兩類責(zé)任主體，個(gè)人信息的處理者和受托人，通常前者為主，后者協(xié)助，共同面對(duì)監(jiān)管和懲罰，雙方對(duì)內(nèi)再根據(jù)過錯(cuò)程度劃分責(zé)任。

陳際紅表示，法律對(duì)企業(yè)事業(yè)單位制定了嚴(yán)厲的舉措，包括高額的行政罰款和公益訴訟。

陳際紅表示，根據(jù)法律，懲罰措施包括責(zé)令改正、給予警告，沒收違法所得；責(zé)令A(yù)PP暫停或者終止服務(wù)。若信息處理者拒不改正，處以一百萬元以下罰款，對(duì)直接負(fù)責(zé)的人主管人員和其他直接責(zé)任人員處一萬元以上十萬元以下罰款。

情節(jié)嚴(yán)重時(shí)，高達(dá)五千萬元以下或者上一年度營(yíng)業(yè)額5%以下罰款，并可責(zé)令暫停業(yè)務(wù)或者停業(yè)整頓、吊銷執(zhí)照。對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處十萬元以上一百萬以下罰款，并可禁止其擔(dān)任董監(jiān)高或DPO（數(shù)據(jù)保護(hù)官）。同時(shí)，組織和個(gè)人的相關(guān)違法行為還會(huì)被記入信用檔案并予以公示。

對(duì)于個(gè)人如何維權(quán)，法律的另一項(xiàng)措施是公益訴訟。高楠表示，這是本法的一項(xiàng)首創(chuàng)，當(dāng)眾多個(gè)人敏感信息受到侵害，個(gè)人可以向三大類機(jī)構(gòu)進(jìn)行訴訟，包括人民檢察院、法律規(guī)定的消費(fèi)者組織、由國(guó)家網(wǎng)信部門確定的組織，三選一即可，然后由機(jī)構(gòu)向法院起訴。

陳際紅認(rèn)為，公益訴訟講究的是社會(huì)效果，新法施行后，頭部企業(yè)、大平臺(tái)可能會(huì)成為公益訴訟的目標(biāo)。對(duì)企業(yè)來說，經(jīng)濟(jì)損失可以承受，但是聲譽(yù)損失是難以承受的，因此這是企業(yè)防范法律風(fēng)險(xiǎn)時(shí)的一個(gè)要點(diǎn)。

整體上，該法對(duì)企業(yè)組織來說，需要付出一定的合規(guī)成本，經(jīng)歷合規(guī)的過程。對(duì)此，陳際紅提出了企業(yè)合規(guī)的基本思路。

第一，數(shù)據(jù)合規(guī)不再僅僅是法務(wù)的事情，而是企業(yè)管理層的決策，管理層需要授權(quán)給主管的部門，調(diào)配資源；第二，應(yīng)設(shè)置一個(gè)專門機(jī)構(gòu)，承擔(dān)數(shù)據(jù)合規(guī)的執(zhí)行的角色；第三，要根據(jù)流程做數(shù)據(jù)盤點(diǎn)，作為家底的數(shù)據(jù)有多少、有哪些，具備什么特點(diǎn)；第四，構(gòu)建數(shù)據(jù)合規(guī)體系，制定公司數(shù)據(jù)保護(hù)合規(guī)綱領(lǐng)性文件，規(guī)定基本原則和底線要求；針對(duì)業(yè)務(wù)需求，為業(yè)務(wù)人員制定可執(zhí)行、可量化、具體化的操作手冊(cè)等，并且提前關(guān)注一些風(fēng)險(xiǎn)點(diǎn)。