人臉識別在新冠肺炎疫情防控中提供了高效的手段，同時也引發(fā)了人們對收集和處理人臉信息等生物識別信息邊界的關(guān)注。我國《個人信息保護法》要求，在公共場所安裝圖像采集、個人身份識別設(shè)備，應(yīng)當為維護公共安全所必需，遵守國家有關(guān)規(guī)定，并設(shè)置顯著的提示標識。所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的；取得個人單獨同意的除外。由于敏感個人信息與自然人的人格尊嚴等基本權(quán)利、重大人身利益和財產(chǎn)利益具有極為密切的聯(lián)系，對此類個人信息的處理會對自然人的基本權(quán)利和人身財產(chǎn)安全產(chǎn)生重大風(fēng)險，我國《個人信息保護法》借鑒了歐盟、美國等法域的立法經(jīng)驗并結(jié)合我國實際，對敏感個人信息的處理進行了專門規(guī)定。敏感個人信息的保護是我國《個人信息保護法》的重要內(nèi)容之一。
首先，《個人信息保護法》對敏感個人信息進行了定義和列舉。
《個人信息保護法》規(guī)定將敏感個人信息定義為一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害的個人信息，同時列舉了敏感個人信息的種類，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息?！秱€人信息保護法》將不滿十四周歲未成年人的個人信息列為敏感個人信息，強化了對未成年人個人信息權(quán)益的保護。
敏感個人信息和非敏感個人信息是我國《個人信息保護法》從規(guī)范個人信息處理行為的角度對個人信息進行的一種重要分類，有針對性地提高處理者在處理敏感個人信息時的法定義務(wù)，更加充分地保護個人信息權(quán)益。
我國《個人信息保護法》在列舉敏感個人信息種類中的“等”字，應(yīng)采“等外”之意，表示列舉未盡?？v使不在法律明文列舉之列，因其在特定場景所具有的高度敏感性，也應(yīng)納入敏感個人信息的保護范疇。技術(shù)的發(fā)展及場景的變化，也為新型的敏感個人信息特殊保護留下空間。
其次，《個人信息保護法》對敏感個人信息規(guī)定了專門的處理規(guī)則。
我國《個人信息保護法》在區(qū)分敏感個人信息與非敏感個人信息的基礎(chǔ)上，在第二章專節(jié)規(guī)定了“敏感個人信息的處理規(guī)則”，對處理敏感個人信息的前提進行了限制，要求只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。以此為基礎(chǔ)，《個人信息保護法》規(guī)定了一些僅適用于敏感個人信息的特殊處理規(guī)則，知情同意原則是個人信息保護領(lǐng)域公認的首要原則，既適用于敏感個人信息，也適用于非敏感個人信息，意在實現(xiàn)與加強個人自決。針對敏感個人信息的處理，《個人信息保護法》提出了更高的要求，要求處理敏感個人信息應(yīng)當取得個人的單獨同意。這意味著在處理敏感個人信息時，概括同意或推定同意的授權(quán)模式為法律所禁止。法律、行政法規(guī)規(guī)定處理敏感個人信息應(yīng)當取得書面同意的，還應(yīng)取得書面同意。
《個人信息保護法》對敏感個人信息處理者的告知義務(wù)提出了更高的要求?！秱€人信息保護法》第17條第1款規(guī)定：“個人信息處理者在處理個人信息前，應(yīng)當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知下列事項：（1）個人信息處理者的名稱或者姓名和聯(lián)系方式；（2）個人信息的處理目的、處理方式，處理的個人信息種類、保存期限；（3）個人行使本法規(guī)定權(quán)利的方式和程序；（4）法律、行政法規(guī)規(guī)定應(yīng)當告知的其他事項?！钡?0條規(guī)定：“個人信息處理者處理敏感個人信息的，除本法第17條第1款規(guī)定的事項外，還應(yīng)當向個人告知處理敏感個人信息的必要性以及對個人權(quán)益的影響；依照本法規(guī)定可以不向個人告知的除外。”
《個人信息保護法》不僅將不滿十四周歲未成年人的個人信息列為敏感個人信息，還要求個人信息處理者處理不滿十四周歲未成年人個人信息的，應(yīng)當取得未成年人的父母或者其他監(jiān)護人的同意。個人信息處理者處理不滿十四周歲未成年人個人信息的，應(yīng)當制定專門的個人信息處理規(guī)則。《個人信息保護法》將不滿十四周歲未成年人的個人信息作為敏感個人信息，回應(yīng)了現(xiàn)實中兒童信息泄露等問題，對未成年人個人信息處理進行了更嚴格的規(guī)范，有利于切實維護未成年人的合法利益并促進未成年人健康成長。
《個人信息保護法》還規(guī)定，法律、行政法規(guī)對處理敏感個人信息規(guī)定應(yīng)當取得相關(guān)行政許可或者作出其他限制的，從其規(guī)定。
再次，個人信息處理者處理敏感個人信息應(yīng)當事前進行個人信息保護影響評估。
對處理敏感個人信息等幾種特定情形，《個人信息保護法》規(guī)定應(yīng)在事前進行個人信息保護影響評估，并對處理情況進行記錄。個人信息保護影響評估本質(zhì)上是風(fēng)險評估。由于處理敏感個人信息可能對自然人的權(quán)利和自由帶來高度風(fēng)險，對此類處理進行事前風(fēng)險評估可以防患于未然?！秱€人信息保護法》要求個人信息保護影響評估應(yīng)當包括下列內(nèi)容：（1）個人信息的處理目的、處理方式等是否合法、正當、必要；（2）對個人權(quán)益的影響及安全風(fēng)險；（3）所采取的保護措施是否合法、有效并與風(fēng)險程度相適應(yīng)。個人信息保護影響評估報告和處理情況記錄應(yīng)當至少保存三年。
綜上，我國《個人信息保護法》區(qū)分敏感與非敏感的個人信息，并在此基礎(chǔ)上確定了敏感個人信息的特殊處理規(guī)則，與世界主流個人數(shù)據(jù)保護立法一致，體現(xiàn)了對與人格尊嚴或人身、財產(chǎn)安全密切相關(guān)的個人信息的傾斜保護，能更有效地防范個人信息風(fēng)險，更全面保護個人信息主體的利益。同時，區(qū)別對待不同種類的個人信息，能提高對處理行為的可預(yù)測性，明確了企業(yè)合規(guī)重點，在一定程度上降低企業(yè)的合規(guī)成本，有利于數(shù)字經(jīng)濟發(fā)展。
《個人信息保護法》：構(gòu)筑新時代個人信息權(quán)益保護的安全防護網(wǎng)
作者：趙精武 北京航空航天大學(xué)法學(xué)院副教授，工業(yè)和信息化法治研究院研究員
《中華人民共和國個人信息保護法》即將于2021年11月1日起正式施行，這標志著我國個人信息保護立法體系進入新的階段。個人信息保護的相關(guān)制度在《網(wǎng)絡(luò)安全法》就已經(jīng)有了專章規(guī)定，其后的《民法典》人格權(quán)編和《數(shù)據(jù)安全法》也先后規(guī)定了涉及個人信息的具體保護制度。相較于前述立法活動，《個人信息保護法》的出臺為個人信息權(quán)益保護、信息處理者的義務(wù)以及主管機關(guān)的職權(quán)范圍提供了全面的、體系化的法律依據(jù)。個人面對非法收集和處理個人信息的侵權(quán)行為能夠獲得更具體、更多樣的救濟方式，權(quán)利保障范圍涵蓋個人信息收集、存儲、使用、加工、傳輸、提供、公開、刪除等多個環(huán)節(jié)以及敏感個人信息處理、個人信息跨境提供等特定場景。個人信息權(quán)益得到切實有效的制度保障，也為信息產(chǎn)業(yè)明確了經(jīng)營行為的合法性邊界，與《國家安全法》《網(wǎng)絡(luò)安全法》《民法典》和《數(shù)據(jù)安全法》等法律法規(guī)共同構(gòu)建起個人信息保護的法治堤壩。
一、個人信息處理活動的基本原則框架：合法、正當、必要與誠信
《個人信息保護法》的出臺可謂是順應(yīng)人民群眾最迫切的利益訴求。在數(shù)字經(jīng)濟時代，個人與網(wǎng)絡(luò)信息服務(wù)提供者之間存在明顯的信息鴻溝，為了能夠獲得相應(yīng)的信息服務(wù)使用權(quán)限，個人不得不“主動”提供自己的個人信息，但是卻無法真正知曉自己的個人信息究竟將如何被處理以及誰將擁有自己的個人信息。更有甚者，個人信息買賣已然成為完整的黑灰產(chǎn)業(yè)鏈條，個人的財產(chǎn)安全和人身安全受到嚴重威脅。為了充分保護個人信息權(quán)益，同時也是為了規(guī)范個人信息處理活動，促進信息產(chǎn)業(yè)發(fā)展，《個人信息保護法》順勢而為，明確了個人信息處理活動應(yīng)當以合法、正當、必要和誠信作為基本原則，即任何類型和任何階段的個人信息處理行為均應(yīng)當滿足這些原則性要求，即便現(xiàn)行立法沒有明確規(guī)定特定個人信息處理行為是否滿足法定義務(wù)，如若相關(guān)行為違背合法、正當、必要和誠信四項基本原則之一，也應(yīng)當承擔相應(yīng)的民事法律責(zé)任，情節(jié)嚴重的，應(yīng)當承擔刑事責(zé)任。換言之，這四項基本原則構(gòu)成了《個人信息保護法》的內(nèi)容主線：第一，合法性原則要求個人信息處理行為應(yīng)當滿足法律法規(guī)規(guī)定，這里的“法”并不單一局限于《個人信息保護法》，還包括《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《民法典》《刑法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護條例》等法律法規(guī)。第二，正當性原則要求個人信息處理行為應(yīng)當符合立法宗旨和法律價值，不得以謀求自身利益而侵害其他個人的個人信息權(quán)益。在實踐中，部分APP運營者在用戶注冊階段以不顯著、不直接的方式向用戶展示個人信息處理的目的、范圍和方式等重要信息，這種行為顯然違背了正當性原則。第三，必要性原則要求個人信息的收集范圍和處理方式應(yīng)當僅以實現(xiàn)相應(yīng)的信息服務(wù)功能和業(yè)務(wù)目的為必要。該原則強有力地回應(yīng)了當下社會對APP運營者肆意收集處理個人信息行為的擔憂和質(zhì)疑，避免個人為獲取相應(yīng)信息服務(wù)而被動提供個人信息的問題惡化。例如，地圖導(dǎo)航類APP運營者的個人信息收集范圍僅應(yīng)當以地理位置信息為限，職業(yè)、工資、旅游偏好等其他與地圖導(dǎo)航功能無關(guān)的個人信息顯然不在“與處理目的直接相關(guān)”的范圍之內(nèi)。第四，誠信原則強調(diào)個人信息處理者不得利用自身的優(yōu)勢地位侵害個人信息權(quán)益。一方面，個人信息處理者應(yīng)當誠實信用地按照約定的處理目的和范圍處理個人信息；另一方面，個人信息處理者不應(yīng)當故意隱瞞、有意淡化事關(guān)個人信息權(quán)益的提示說明事項。
二、個人信息權(quán)益保護方式：權(quán)利與義務(wù)的一體化
在歐盟《通用數(shù)據(jù)保護條例》出臺之后，全球各國個人信息立法曾一度或多或少受到歐盟個人數(shù)據(jù)權(quán)利體系的理論影響，刪除權(quán)、更正權(quán)、查詢權(quán)等具體權(quán)利似乎成為個人信息保護領(lǐng)域的“制度范本”。我國《個人信息保護法》則立足于中國本土實踐，向全世界提供了全新的個人信息保護思路：重視個人信息權(quán)益的實質(zhì)性保護，以權(quán)利與義務(wù)的一體化要求為導(dǎo)向。從《個人信息保護法》的第四章和第五章內(nèi)容來看，個人在個人信息處理活動中享有查閱、復(fù)制、更正、補充、請求刪除個人信息等具體權(quán)利。并且，個人信息處理者也應(yīng)當積極履行法定義務(wù)，確保個人權(quán)利能夠有效實現(xiàn)，倘若個人信息處理者設(shè)置各種不合理非必要的維權(quán)程序、客服流程等“維權(quán)門檻”，既違背了個人信息處理行為的基本原則，也構(gòu)成了法定義務(wù)履行不充分。
個人在個人信息處理活動中行使權(quán)利有兩個前提條件：第一，個人對個人信息處理應(yīng)當享有充分知情權(quán)和決定權(quán)。所謂的知情權(quán)是指個人有權(quán)知曉其個人信息的收集處理目的、范圍和方式，并且這種知情應(yīng)當是以清晰易懂的顯著方式予以實現(xiàn)。換言之，如果個人信息處理者為避免承擔法律責(zé)任將所有個人信息處理事項事無巨細地向用戶直接展示，又或是以小號字體、密集文字排版等方式告知用戶個人信息處理活動，則顯然構(gòu)成對個人信息知情權(quán)的實質(zhì)侵害。第二，個人在實現(xiàn)知情權(quán)之后應(yīng)當能夠獨立自主地決定是否提供個人信息以及決定個人信息的實際處理范圍和方式。在實踐中，部分用戶即便知曉個人信息處理的相關(guān)事項，但囿于使用特定信息服務(wù)的需要以及行業(yè)內(nèi)格式合同的泛濫，用戶無力決定個人信息的具體處理方式。為了解決此類問題，《個人信息保護法》明確個人有權(quán)限制或限制對其個人信息處理。此外，決定權(quán)也有其例外情形。
三、充足的安全感：國家機關(guān)全方位保護個人信息
《個人信息保護法》提供的個人信息保護路徑并不局限權(quán)利與義務(wù)的一致性要求，還包括專門的國家機關(guān)履行個人信息保護職責(zé)，提供全方位的個人信息保護和救濟方式?！秱€人信息保護法》所提供的充足安全感既來自于國家機關(guān)處理個人信息的特別規(guī)定，也來源于國家機關(guān)履行職責(zé)的專門規(guī)定。一方面，《個人信息保護法》規(guī)定國家機關(guān)處理個人信息同樣應(yīng)當遵守法律、行政法規(guī)規(guī)定的權(quán)限和程序。個人信息權(quán)益受到前所未有的重視，即便個人信息處理者是國家機關(guān)，其收集處理范圍和限度同樣不得超出履行法定職責(zé)之需要。并且，國家機關(guān)處理個人信息之前，應(yīng)當依照規(guī)定，履行告知義務(wù)。另一方面，《個人信息保護法》明確規(guī)定了國家網(wǎng)信部門負責(zé)統(tǒng)籌協(xié)調(diào)個人信息保護工作和相關(guān)監(jiān)督管理工作。國務(wù)院有關(guān)部門依照本法和有關(guān)法律、行政法規(guī)的規(guī)定，在各自職責(zé)范圍內(nèi)負責(zé)個人信息保護和監(jiān)督管理工作。具體而言，除了日常熟知的個人信息保護宣傳教育，接受、處理與個人信息保護相關(guān)的投訴、舉報，調(diào)查、處理違法處理個人信息等活動之外，還包括個人信息保護評估、個人信息跨境傳輸安全評估、第三方安全認證體系、個人信息保護技術(shù)標準制定等具體領(lǐng)域的工作內(nèi)容。此外，為了切實解決近期出現(xiàn)的“監(jiān)控偷拍人臉識別”“大數(shù)據(jù)殺熟”等社會熱點問題，《個人信息保護法》還專門規(guī)定國家網(wǎng)信部門統(tǒng)籌協(xié)調(diào)有關(guān)部門依據(jù)本法推進人臉識別、人工智能等新技術(shù)、新應(yīng)用領(lǐng)域個人信息保護規(guī)則、標準制定工作。
個人信息保護絕不能停留于紙面的權(quán)利宣誓與義務(wù)要求，更要重視之后法律實施過程中可能面臨的新問題和新挑戰(zhàn)，平衡個人信息權(quán)益與信息產(chǎn)業(yè)良性發(fā)展的雙重訴求，個人信息保護還需要有效統(tǒng)籌協(xié)調(diào)立法、執(zhí)法和司法三個環(huán)節(jié)，要讓老百姓看得到、摸得著、感受得到真正的個人信息權(quán)益保護，推進個人信息保護工作的縱深化發(fā)展。
信息港微信公眾號
信息港微博公眾號