8月20日，《個人信息保護法》表決通過，將于今年11月正式施行，大數據殺熟、人臉識別、算法推薦、APP信息收集、大型互聯網平臺監管、信息數據跨境使用等大家關心的議題，均在這部法律中有涉及，通俗講，它都會管到。隨著這部法律的出臺，業界有觀點認為數字經濟野蠻生長的時代將被終結。

人人享有個人信息保護權，這是第一次被法律明確界，隨著法律的施行，權責邊界的廓清，圍繞信息安全的監管，正在步入一個新的軌道。

在《個人信息保護法》出臺之際，就大眾關注的相關問題，網易科技采訪了中國人民大學法學院教授、中國法學會網絡與信息法學研究會副會長張新寶。

張教授是國內資深的侵權法、信息法專家，全程參與了《個人信息保護法》的立法工作，為該法起草了專家建議稿。此前，張教授還是中國法學會民法典起草領導小組成員、侵權責任編總召集人，參與了《中華人民共和國民法典》的編纂工作，他也是《侵權責任法》的主要起草人之一。

個保法出臺后，住宅小區門禁出入還能強制人臉識別嗎?掌握海量用戶信息數據的大企業平臺怎么監管?APP可以隨意收集用戶信息嗎?針對這些問題，張新寶教授分別進行了專業解讀。

以下是采訪：

網易科技：《個人信息保護法》中有任何機構和個人均不得過度收集個人信息的表述，“過度”一詞，怎么界定?

張新寶：通常被理解為超出處理個人信息的目的以及違反“最小化”原則。

《個人信息保護法》規定收集個人信息，應當限于實現處理目的的最小范圍：一方面是指信息處理者不得超出所聲稱的個人信息處理目的收集個人信息，比如隱秘收集;另一方面也要求信息處理者收集個人信息應當限于實現處理目的的最小范圍，不得超出實現個人信息處理目的的必要，比如超出實現業務功能的必要，強制用戶提供個人信息。

另外，針對常見類型的App所需必要個人信息范圍，中央網信辦等四部門已經發布《常見類型移動互聯網應用程序必要個人信息范圍規定》，未來也會持續推進該工作。

網易科技：《個人信息保護法》出臺后，住宅小區的門禁還能不能強制使用人臉識別?

張新寶：這要看人臉識別是否用于公共安全目的。一般說來小區門禁不能強制使用人臉識別，需要有替代措施。

《個人信息保護法》規定，公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，否則應當取得個人單獨同意。

因此，小區安裝門禁，首先需要判斷是否用于公共安全目的;其次，非公共安全目的使用人臉識別門禁，應當征得個人的單獨同意后方可使用;另外，即便使用人臉識別門禁，也應當同時提供替代性的門禁方式，從而確保業主作出的同意是自愿而非被迫作出的。

網易科技：法律出臺后，APP索取用戶個人信息遭到限制，最直接的影響有哪些?

張新寶：法律規定對于敏感個人信息的收集需要特別告知，個人的同意也是“單獨同意”，加強了敏感個人信息的保護。

相較于此前國內相關法律法規，《個人信息保護法》明確提出了敏感個人信息的概念和處理規則，對敏感個人信息實行強化保護，包括特定的目的、充分的必要性、嚴格保護措施、特別告知、單獨同意等。質言之，APP索取個人信息比過去會難一些，而且不得因為個人不同意就拒絕服務。

網易科技：對互聯網企業的影響是什么樣的，比如滴滴等這種大平臺，他們掌握了大量的數據，這個怎么處理和管理?

張新寶：法律規定了個人信息處理者的義務，特別是規定了大型平臺企業的特別義務。這些企業未來在個人信息保護方面會做得更好一些，同時合規成本也會高一些。

法律規定了處理者對處理的個人信息的安全保護義務，規定了泄露等情況下的法律責任。

網易科技：掌握大量用戶數據的公司如果想要海外上市，如何滿足數據保護的要求?

張新寶：《個人信息保護法》明確規定，處理個人信息達到國家網信部門規定數量的個人信息處理者，如確需向境外提供個人信息的，應當通過國家網信部門組織的安全評估。

另外，國家網信部門在近期啟動了《網絡安全審查辦法》的修訂工作，在《網絡安全審查辦法(修訂草案征求意見稿)》中新增了“掌握超過100萬用戶個人信息的運營者赴國外上市，必須申報網絡安全審查”的規定，同時也將大量個人信息被竊取、泄露、毀損以及非法利用或出境的風險，大量個人信息被國外政府影響、控制、惡意利用的風險，納入網絡安全審查的重點考慮因素，這類公司也應當遵守網絡安全審查的相關要求。

網易科技：對互聯網大平臺的第三方監督(或個人監督)，怎么實現?怎么更具操作性?

張新寶：一是個人信息保護主管部門和其他政府部門的日常監管，二是內部合規制度，三是建立有外部人員參與的獨立機構的監督。

網易科技：軟件服務商經常用很長的條款來說明他們使用了我(個人)的信息，但不同意則無法使用他們的app。很多場景下，用戶并不能把條款內容全部看完，構成了一種事實上的“被迫同意”。這種現象在《個人信息保護法》頒布后能否改善?

張新寶：法律對此等行為進行了規范，基本意思是不得拒絕交易，即使個人不同意其處理個人信息，也要提供相應的基本服務。

網易科技：《個人信息保護法》出臺后，大數據殺熟需要承擔什么樣的法律責任?

張新寶：第一，個人信息處理者利用個人信息進行自動化決策，應當保證決策的透明度和結果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇。

通過自動化決策方式向個人進行信息推送、商業營銷，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。

第二，通過自動化決策方式作出對個人權益有重大影響的決定，個人有權要求個人信息處理者予以說明，并有權拒絕個人信息處理者僅通過自動化決策的方式作出決定。

第三，利用大數據殺熟，造成個人損害的，需要承擔《個人信息保護法》、《消費者權益保護法》以及《民法典》等法律規定的法律責任。

網易科技：有人提到，《個人信息保護法》對個人信息的可攜帶權設立，強化了用戶自主權，能夠有效破除個人信息流通障礙，以用戶權益為出發點，形成“用戶主導型”個人信息跨平臺流通，起到防止個人信息鎖定、降低市場準入門檻以及增強平臺之間競爭的效果，您怎么看?通俗來講，什么叫可攜帶權?

張新寶：這個看法和預期基本上是正確的。所謂“攜帶權”是指個人將其個人信息從一個存儲地點轉移到另一個存儲地點的權利，比如你將自己的個人信息從“阿里云”攜帶轉移到“百度云”。

網易科技：為什么人臉識別、人工智能技術和自動化決策需要特別引起重視?如果不重視不規范不加約束，會有什么后果?

張新寶：這里面涉及到科技發展和倫理邊界的問題，科技越往后發展，它所涉及的倫理層面的問題，權益層面的問題也會凸顯，所以需要重視。立法說明中對此有充分的說明，也是人民群眾的迫切要求。全國人大法工委之前在立法說明中提出：雖然近年來我國個人信息保護力度不斷加大，但在現實生活中，一些企業、機構甚至個人，從商業利益等出發，隨意收集、違法獲取、過度使用、非法買賣個人信息，利用個人信息侵擾人民群眾生活安寧、危害人民群眾生命健康和財產安全等問題仍十分突出。在信息化時代，個人信息保護已成為廣大人民群眾最關心最直接最現實的利益問題之一。社會各方面廣泛呼吁出臺專門的個人信息保護法，本屆以來，全國人大代表共有340人次提出39件相關議案、建議，全國政協委員共提出相關提案32件。

網易科技：個人信息保護的標準和規則，誰來確定?

張新寶： 法律規定了基本標準和規則，細則和技術標準等，由國家網信部門統籌協調有關部門制定個人信息保護具體規則、標準，以及適用于敏感個人信息、人臉識別等專門的個人信息保護規則、標準，相較于此前各主管部門各自推出個人信息保護規則、標準，《個人信息保護法》強調了國家網信部門的統籌協調職能，有利于規則、標準的統一。

網易科技：很多時候個人是沒有能力知道自己的個人信息被平臺或設備商收集的，比如使用手機廠商或者某些服務平臺提供的產品和服務過程中，沒辦法知道信息有沒有被收集，這種情況，能怎么化解?

張新寶：法律規定了告知同意的基本規則，收集個人信息應當告知并取得個人同意，除非法律另有規定。

這些平臺和設備收集個人信息也是需要告知同意的，如果違反相關規定，主管部門會追究其法律責任，個人也可以起訴，甚至檢察院等可以提起公益訴訟。

另外，《個人信息保護法》也構建了多方參與的機制，包括社會化服務機構，如支持有關機構開展個人信息保護評估，通過專業機構開展個人信息保護評估，能夠對個人信息處理者起到監督約束作用。

《個人信息保護法》也明確，國家網信部門完善個人信息保護投訴、舉報工作機制，通過具備專業知識的民眾，作為“吹哨人”，為主管部門提供違法違規處理個人信息的線索，強化公民參與和監督。

關鍵詞： 小區門禁 強制使用 人臉識別 個人信息保護法