以法治統籌個人信息保護與利用

系統應對數字經濟發展帶來的新挑戰，切實統籌個人信息保護與利用，是個人信息保護法立法的重要任務

8月20日，十三屆全國人大常委會第三十次會議通過了個人信息保護法，該法將于今年11月1日起施行。個人信息保護法聚焦個人信息保護領域的突出問題和人民群眾的重大關切，不僅進一步完善了個人信息保護制度規則，系統強化個人信息權益保護，還全面規范了個人信息處理活動，有效促進個人信息合理利用，為數字經濟健康發展提供了有力保障。

隨著移動互聯網、云計算、大數據、物聯網和人工智能等新技術的迅速發展和應用，人類社會已經邁入了數字經濟時代，數據成為推動經濟發展的關鍵生產要素。在這一背景下，個人信息數據的經濟價值和公共價值日益凸顯，成為數字經濟發展的重要“原料”。與此同時，受利益驅使，利用數字技術隨意收集、違法獲取、過度使用、非法買賣個人信息，甚至利用個人信息侵害人民群眾生活安寧、生命健康和財產安全等問題日益突出。雖然近年來我國個人信息保護力度不斷加大，但與實踐需求相比，此前法律規定比較分散、針對性不強，仍有較大完善空間。系統應對數字經濟發展帶來的新挑戰，切實統籌個人信息保護與利用，成為個人信息保護法立法的重要任務。

對此，個人信息保護法從兩方面進行了制度設計：一方面，強化個人信息權益保護，明確個人信息處理活動的底線紅線。構建以“告知-同意”為核心的個人信息處理規則，要求處理個人信息應當在事先充分告知的前提下取得個人同意，不得以個人不同意為由拒絕提供產品或者服務等。有針對性地規范特定場景下的個人信息處理活動。例如，對于利用個人信息進行自動化決策帶來的信息騷擾、“大數據殺熟”等問題，個人信息保護法明確規定，個人信息處理者利用個人信息進行自動化決策，應當保證決策的透明度和結果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇；通過自動化決策方式向個人進行信息推送、商業營銷，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。明確了個人信息處理的底線紅線，實際就劃出了產業發展和市場競爭的合法空間。

另一方面，確立個人信息合理利用規則，促進個人信息的有效利用。例如，考慮到經濟社會生活的復雜性和個人信息處理的不同情況，不同于網絡安全法將同意作為處理個人信息的唯一合法基礎，個人信息保護法規定了基于個人同意以外合法處理個人信息的情形。具體包括：為訂立、履行合同或者依法實施人力資源管理所必需；為履行法定職責或者法定義務所必需；為應對突發公共衛生事件，或者緊急情況下為保護自然人生命健康和財產安全所必需；為公共利益在合理范圍內處理個人信息；在合理的范圍內處理已公開的個人信息；法律、行政法規規定的其他情形。明確個人信息處理的多元合法基礎，有利于充分實現個人信息利用的多元價值。新冠肺炎疫情暴發以來，為了防控疫情收集利用病患相關個人信息，就是個人信息公共價值的典型體現。

從個人信息保護法規定來看，一些個人信息合理利用制度的落地實施，仍需后續配套規定的細化支撐。例如，為滿足跨平臺轉移個人信息的需求，個人信息保護法規定個人有權請求將其個人信息轉移至其指定的個人信息處理者，但前提是符合國家網信部門規定的條件，而具體包含哪些條件就有待進一步明確。再如，為規范個人信息跨境流動，規定了個人信息跨境提供的合法途徑，包括通過國家網信部門組織的安全評估、經專業機構認證、訂立標準合同等，這些合法途徑的具體實施也有待細化規定。

相信隨著個人信息保護法的頒行實施和有關配套規定的制定落地，必將極大增強我國個人信息保護法律規范的系統性、針對性和可操作性，有力推動我國形成統籌個人信息保護與合理利用的制度體系，從而有利于在保障個人信息權益的基礎上，促進個人信息依法合理有效利用，有力推動我國數字經濟持續健康發展。

（作者系中國法學會法治研究所研究員）