8月20日，《個人信息保護法》表決通過，將于今年11月正式施行，大數(shù)據(jù)殺熟、人臉識別、算法推薦、APP信息收集、大型互聯(lián)網(wǎng)平臺監(jiān)管、信息數(shù)據(jù)跨境使用等大家關(guān)心的議題，均在這部法律中有涉及，通俗講，它都會管到。隨著這部法律的出臺，業(yè)界有觀點認為數(shù)字經(jīng)濟野蠻生長的時代將被終結(jié)。

人人享有個人信息保護權(quán)，這是第一次被法律明確界，隨著法律的施行，權(quán)責邊界的廓清，圍繞信息安全的監(jiān)管，正在步入一個新的軌道。

在《個人信息保護法》出臺之際，就大眾關(guān)注的相關(guān)問題，網(wǎng)易科技采訪了中國人民大學(xué)法學(xué)院教授、中國法學(xué)會網(wǎng)絡(luò)與信息法學(xué)研究會副會長張新寶。

張教授是國內(nèi)資深的侵權(quán)法、信息法專家，全程參與了《個人信息保護法》的立法工作，為該法起草了專家建議稿。此前，張教授還是中國法學(xué)會民法典起草領(lǐng)導(dǎo)小組成員、侵權(quán)責任編總召集人，參與了《中華人民共和國民法典》的編纂工作，他也是《侵權(quán)責任法》的主要起草人之一。

個保法出臺后，住宅小區(qū)門禁出入還能強制人臉識別嗎?掌握海量用戶信息數(shù)據(jù)的大企業(yè)平臺怎么監(jiān)管?APP可以隨意收集用戶信息嗎?針對這些問題，張新寶教授分別進行了專業(yè)解讀。

以下是采訪：

網(wǎng)易科技：《個人信息保護法》中有任何機構(gòu)和個人均不得過度收集個人信息的表述，“過度”一詞，怎么界定?

張新寶：通常被理解為超出處理個人信息的目的以及違反“最小化”原則。

《個人信息保護法》規(guī)定收集個人信息，應(yīng)當限于實現(xiàn)處理目的的最小范圍：一方面是指信息處理者不得超出所聲稱的個人信息處理目的收集個人信息，比如隱秘收集;另一方面也要求信息處理者收集個人信息應(yīng)當限于實現(xiàn)處理目的的最小范圍，不得超出實現(xiàn)個人信息處理目的的必要，比如超出實現(xiàn)業(yè)務(wù)功能的必要，強制用戶提供個人信息。

另外，針對常見類型的App所需必要個人信息范圍，中央網(wǎng)信辦等四部門已經(jīng)發(fā)布《常見類型移動互聯(lián)網(wǎng)應(yīng)用程序必要個人信息范圍規(guī)定》，未來也會持續(xù)推進該工作。

網(wǎng)易科技：《個人信息保護法》出臺后，住宅小區(qū)的門禁還能不能強制使用人臉識別?

張新寶：這要看人臉識別是否用于公共安全目的。一般說來小區(qū)門禁不能強制使用人臉識別，需要有替代措施。

《個人信息保護法》規(guī)定，公共場所安裝圖像采集、個人身份識別設(shè)備，應(yīng)當為維護公共安全所必需，否則應(yīng)當取得個人單獨同意。

因此，小區(qū)安裝門禁，首先需要判斷是否用于公共安全目的;其次，非公共安全目的使用人臉識別門禁，應(yīng)當征得個人的單獨同意后方可使用;另外，即便使用人臉識別門禁，也應(yīng)當同時提供替代性的門禁方式，從而確保業(yè)主作出的同意是自愿而非被迫作出的。

網(wǎng)易科技：法律出臺后，APP索取用戶個人信息遭到限制，最直接的影響有哪些?

張新寶：法律規(guī)定對于敏感個人信息的收集需要特別告知，個人的同意也是“單獨同意”，加強了敏感個人信息的保護。

相較于此前國內(nèi)相關(guān)法律法規(guī)，《個人信息保護法》明確提出了敏感個人信息的概念和處理規(guī)則，對敏感個人信息實行強化保護，包括特定的目的、充分的必要性、嚴格保護措施、特別告知、單獨同意等。質(zhì)言之，APP索取個人信息比過去會難一些，而且不得因為個人不同意就拒絕服務(wù)。

網(wǎng)易科技：對互聯(lián)網(wǎng)企業(yè)的影響是什么樣的，比如滴滴等這種大平臺，他們掌握了大量的數(shù)據(jù)，這個怎么處理和管理?

張新寶：法律規(guī)定了個人信息處理者的義務(wù)，特別是規(guī)定了大型平臺企業(yè)的特別義務(wù)。這些企業(yè)未來在個人信息保護方面會做得更好一些，同時合規(guī)成本也會高一些。

法律規(guī)定了處理者對處理的個人信息的安全保護義務(wù)，規(guī)定了泄露等情況下的法律責任。

網(wǎng)易科技：掌握大量用戶數(shù)據(jù)的公司如果想要海外上市，如何滿足數(shù)據(jù)保護的要求?

張新寶：《個人信息保護法》明確規(guī)定，處理個人信息達到國家網(wǎng)信部門規(guī)定數(shù)量的個人信息處理者，如確需向境外提供個人信息的，應(yīng)當通過國家網(wǎng)信部門組織的安全評估。

另外，國家網(wǎng)信部門在近期啟動了《網(wǎng)絡(luò)安全審查辦法》的修訂工作，在《網(wǎng)絡(luò)安全審查辦法(修訂草案征求意見稿)》中新增了“掌握超過100萬用戶個人信息的運營者赴國外上市，必須申報網(wǎng)絡(luò)安全審查”的規(guī)定，同時也將大量個人信息被竊取、泄露、毀損以及非法利用或出境的風險，大量個人信息被國外政府影響、控制、惡意利用的風險，納入網(wǎng)絡(luò)安全審查的重點考慮因素，這類公司也應(yīng)當遵守網(wǎng)絡(luò)安全審查的相關(guān)要求。

網(wǎng)易科技：對互聯(lián)網(wǎng)大平臺的第三方監(jiān)督(或個人監(jiān)督)，怎么實現(xiàn)?怎么更具操作性?

張新寶：一是個人信息保護主管部門和其他政府部門的日常監(jiān)管，二是內(nèi)部合規(guī)制度，三是建立有外部人員參與的獨立機構(gòu)的監(jiān)督。

網(wǎng)易科技：軟件服務(wù)商經(jīng)常用很長的條款來說明他們使用了我(個人)的信息，但不同意則無法使用他們的app。很多場景下，用戶并不能把條款內(nèi)容全部看完，構(gòu)成了一種事實上的“被迫同意”。這種現(xiàn)象在《個人信息保護法》頒布后能否改善?

張新寶：法律對此等行為進行了規(guī)范，基本意思是不得拒絕交易，即使個人不同意其處理個人信息，也要提供相應(yīng)的基本服務(wù)。

網(wǎng)易科技：《個人信息保護法》出臺后，大數(shù)據(jù)殺熟需要承擔什么樣的法律責任?

張新寶：第一，個人信息處理者利用個人信息進行自動化決策，應(yīng)當保證決策的透明度和結(jié)果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇。

通過自動化決策方式向個人進行信息推送、商業(yè)營銷，應(yīng)當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。

第二，通過自動化決策方式作出對個人權(quán)益有重大影響的決定，個人有權(quán)要求個人信息處理者予以說明，并有權(quán)拒絕個人信息處理者僅通過自動化決策的方式作出決定。

第三，利用大數(shù)據(jù)殺熟，造成個人損害的，需要承擔《個人信息保護法》、《消費者權(quán)益保護法》以及《民法典》等法律規(guī)定的法律責任。

網(wǎng)易科技：有人提到，《個人信息保護法》對個人信息的可攜帶權(quán)設(shè)立，強化了用戶自主權(quán)，能夠有效破除個人信息流通障礙，以用戶權(quán)益為出發(fā)點，形成“用戶主導(dǎo)型”個人信息跨平臺流通，起到防止個人信息鎖定、降低市場準入門檻以及增強平臺之間競爭的效果，您怎么看?通俗來講，什么叫可攜帶權(quán)?

張新寶：這個看法和預(yù)期基本上是正確的。所謂“攜帶權(quán)”是指個人將其個人信息從一個存儲地點轉(zhuǎn)移到另一個存儲地點的權(quán)利，比如你將自己的個人信息從“阿里云”攜帶轉(zhuǎn)移到“百度云”。

網(wǎng)易科技：為什么人臉識別、人工智能技術(shù)和自動化決策需要特別引起重視?如果不重視不規(guī)范不加約束，會有什么后果?

張新寶：這里面涉及到科技發(fā)展和倫理邊界的問題，科技越往后發(fā)展，它所涉及的倫理層面的問題，權(quán)益層面的問題也會凸顯，所以需要重視。立法說明中對此有充分的說明，也是人民群眾的迫切要求。全國人大法工委之前在立法說明中提出：雖然近年來我國個人信息保護力度不斷加大，但在現(xiàn)實生活中，一些企業(yè)、機構(gòu)甚至個人，從商業(yè)利益等出發(fā)，隨意收集、違法獲取、過度使用、非法買賣個人信息，利用個人信息侵擾人民群眾生活安寧、危害人民群眾生命健康和財產(chǎn)安全等問題仍十分突出。在信息化時代，個人信息保護已成為廣大人民群眾最關(guān)心最直接最現(xiàn)實的利益問題之一。社會各方面廣泛呼吁出臺專門的個人信息保護法，本屆以來，全國人大代表共有340人次提出39件相關(guān)議案、建議，全國政協(xié)委員共提出相關(guān)提案32件。

網(wǎng)易科技：個人信息保護的標準和規(guī)則，誰來確定?

張新寶： 法律規(guī)定了基本標準和規(guī)則，細則和技術(shù)標準等，由國家網(wǎng)信部門統(tǒng)籌協(xié)調(diào)有關(guān)部門制定個人信息保護具體規(guī)則、標準，以及適用于敏感個人信息、人臉識別等專門的個人信息保護規(guī)則、標準，相較于此前各主管部門各自推出個人信息保護規(guī)則、標準，《個人信息保護法》強調(diào)了國家網(wǎng)信部門的統(tǒng)籌協(xié)調(diào)職能，有利于規(guī)則、標準的統(tǒng)一。

網(wǎng)易科技：很多時候個人是沒有能力知道自己的個人信息被平臺或設(shè)備商收集的，比如使用手機廠商或者某些服務(wù)平臺提供的產(chǎn)品和服務(wù)過程中，沒辦法知道信息有沒有被收集，這種情況，能怎么化解?

張新寶：法律規(guī)定了告知同意的基本規(guī)則，收集個人信息應(yīng)當告知并取得個人同意，除非法律另有規(guī)定。

這些平臺和設(shè)備收集個人信息也是需要告知同意的，如果違反相關(guān)規(guī)定，主管部門會追究其法律責任，個人也可以起訴，甚至檢察院等可以提起公益訴訟。

另外，《個人信息保護法》也構(gòu)建了多方參與的機制，包括社會化服務(wù)機構(gòu)，如支持有關(guān)機構(gòu)開展個人信息保護評估，通過專業(yè)機構(gòu)開展個人信息保護評估，能夠?qū)€人信息處理者起到監(jiān)督約束作用。

《個人信息保護法》也明確，國家網(wǎng)信部門完善個人信息保護投訴、舉報工作機制，通過具備專業(yè)知識的民眾，作為“吹哨人”，為主管部門提供違法違規(guī)處理個人信息的線索，強化公民參與和監(jiān)督。

關(guān)鍵詞： 小區(qū)門禁 強制使用 人臉識別 個人信息保護法