為實施好個人信息保護法 應當處理好六對基本關系

網絡讓生活更便利，加強個人信息保護勢在必行。2019年國家網絡安全宣傳周期間，“堅持”強調國家網絡安全工作要堅持網絡安全為人民、網絡安全靠人民，保障個人信息安全，維護公民在網絡空間的合法權益。2021年8月20日，全國人大常委會通過《中華人民共和國個人信息保護法》(下稱“個人信息保護法”)，于2021年11月1日起施行。為實施好個人信息保護法，應當處理好以下幾對基本關系。

個人信息與公共數據

堅持以人民為中心，保護個人隱私就是以人民為中心，不斷增強人民的獲得感、幸福感、安全感。個人信息是人格權的重要標識和組成部分，對處理其個人信息的行為，公民有知情權、決定權，有權限制或者拒絕他人對其個人信息進行處理。

個人信息的保護是相對的。個人信息是公共數據的來源之一，公共數據的形成依賴個人信息的如實提供。數據的合法有效開發使用，是大數據時代發展的需要。增強政府對社會的有效服務，適度開發大數據顯得尤為重要。在不危害國家、集體和個人信息安全的前提下，開發、開放公共數據是大勢所趨。

保護個人信息與確保公共安全

為了公共安全，特別是應對公共衛生應急事件，適度收集個人信息是必要的，但是披露需適時適度。在大數據背景下，匿名化和去識別化，實際上不可能真正完整地隱去個人信息。只要其中某一信息與特定的個人有相關聯系，那么經過分析比對判斷，個人信息依然有暴露的風險。所以，在個人信息處理過程中要堅持比例原則。處理個人信息應當遵循必要原則，采取對個人權益影響最小的方式來收集、處理，應當限于實現處理目的的最小范圍，不得過度收集。

對公共突發事件，特別是公共衛生事件，相關行政執法過程中采集公布有關信息與個人信息的有效保護之間，應當遵循行政法上的比例原則。通俗地講，當行政機關執法時，應當將民眾的損害程度降到最低，甚至是沒有損害。實際上，時而會發生有關單位和部門對于個人信息的處理欠妥的情形，這就違背了必要性原則，超出了合理的使用范圍，違背了行政法的比例原則。

“取得個人同意”和強制披露

處理個人信息通常需要取得個人同意，但仍有不需要征得個人同意的情形，也就是強制披露。比如：為應對突發公共衛生事件、為公共利益實施新聞報道輿論監督、為個人訂立和履行合同、實施人力資源管理、為履行法定職責或者法定義務等，在合理范圍內處理個人信息，是不需要征得個人同意的。

此外，應理順公民是否同意處理個人信息與商家是否提供產品和服務的關系。若公民不同意處理個人信息或者事先同意但事后撤回同意的，商家不得拒絕提供產品或者服務，除非處理個人信息屬于提供產品或者服務所必須。否則，商家構成捆綁式經營或者歧視性對待，而受到處罰。同意收集個人信息和強制披露個人信息，并不等于可以不受限制地任意處理個人信息。

即使在取得個人同意的前提下，收集和處理個人信息應當具有明確合理的目的，并應當與處理目的直接相關，且不能非法買賣、提供或公開個人信息。

一般個人信息和敏感個人信息

生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿14周歲未成年人的個人信息屬于敏感個人信息。其他信息屬一般個人信息。兩者受保護程度不同。

成年人敏感信息，只有在具有特定目的和充分的必要性時，應當取得個人單獨書面同意，并采取嚴格保護措施的情形下，才可以收集和處理。個人信息保護法規定，為了維護公共安全的需要，在公共場所安裝圖像、采集個人身份識別設備。必須設置明顯的提示標識，確保所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的。城市部分小區門禁安裝人臉識別設備，既沒征得個人的書面同意，也不具有充分必要性，屬于典型的過度收集個人敏感信息的行為，應當予以取締。

不滿14周歲未成年人的個人信息屬于敏感個人信息。處理此類個人信息，必須事先取得未成年人父母或者其他監護人同意。

自力救濟和公力救濟

大數據時代，信息流的多環節性、隱蔽性、技術難度高、取證難等因素，增加了個人信息保護法落實的難度。生活中，個體若缺乏個人信息保護意識，會給違法犯罪分子以可乘之機。街道、社區、村委會、學校以及社會組織等單位在自身加強個人信息安全保護意識的同時應加強面向群眾的相關宣傳教育。

企業要建立合規性收集個人信息的意識。企業確需收集、使用個人信息，應當遵循合法、正當、必要原則，明示收集、使用信息的目的、方式和范圍，并取得被采集者同意。被采集者若因信息泄露導致自身權益受侵害，應當抵制并訴諸法律，維護其合法權益。

個人信息保護私益訴訟和公益訴訟

為有效化解個人信息處理中出現的糾紛，現有法律規定，個人信息處理者應當建立便捷的個人行使權利的申請受理和處理機制，但這是卷入糾紛的一方單方面設置的機制，其公平性有待商榷。若個人向法院起訴，通常因標的額小，損失少，甚至難以量化損失，且訴訟成本較高而放棄，這都不利于保護個人信息權利。

按照個人信息保護法規定，個人信息處理者違法處理個人信息，侵害眾多個人的權益的，人民檢察院、法律規定的消費者組織和由國家網信部門確定的組織可以依法向人民法院提起訴訟。實際上，眾多個人的權益依然是特定的，因數量眾多，若能有效發揮代表人訴訟制度的作用，就可以解決眾多個人信息受到侵害的糾紛。比如委托有關組織機構進行起訴以維護權益。為有效監督有關部門加強對個人信息處理者的管理，檢察機關可以依法提起個人信息保護領域的行政公益訴訟。(作者：廣東財經大學法學院教授 顏運秋)