該法的出臺首次將個人信息受法律保護以一部基本法律的形式確立下來，是繼《民法典》將個人信息保護納入人格權保護范圍后的又一里程碑意義的立法，引起了社會的廣泛關注與探討研究。本文歸納了新法的重點條款并簡要分析對個人信息保護領域帶來的影響。

《個人信息保護法》（以下簡稱新法）亮點多多，建立起以告知-同意為核心的信息處理規則，明確個人權利、強化處理者義務及監管部門職責，特別規定敏感個人信息給以更嚴格保護，聚焦社會關切領域如大數據殺熟、數據壟斷、APP濫用個人信息等突出問題并作出回應。

1、建立起告知-同意邏輯下的個人信息處理規則體系

新法第十三條規定了信息處理者處理個人信息應當取得個人的同意并列舉了人力資源管理所必需、為應對突發公共衛生事件等六項例外情形，確立了取得同意是處理個人信息的原則。

第十四條進一步規定基于個人同意處理個人信息的前提是個人充分知情，并在第十七條列舉了應當告知的事項以及告知需達到以顯著方式、清晰易懂的語言真實、準確、完整地告知的要求。

此外，第十四條還規定了個人信息的處理目的、處理方式和種類發生變更的，應當重新取得個人同意，第十五條明確了個人有權撤回其同意，第十六條提供了撤回保障，即禁止個人信息處理者以撤回同意為由拒絕提供產品或服務。

上述一系列規定體現了新法充分尊重和保障個人在其個人信息方面的自主決定權，同時對個人信息處理者履行告知義務作出了具有實操性的規范要求。

2、大數據殺熟問題不再無解

第二十四條 個人信息處理者利用個人信息進行自動化決策，應當保證決策的透明度和結果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇。

通過自動化決策方式向個人進行信息推送、商業營銷，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。

通過自動化決策方式作出對個人權益有重大影響的決定，個人有權要求個人信息處理者予以說明，并有權拒絕個人信息處理者僅通過自動化決策的方式作出決定。 大數據殺熟一詞近年來頻頻出現在大眾面前，并引起不少人的反感和排斥，筆者認為對于該問題的認知不應片面來源于某些極端事件的媒體報道，商家利用大數據分析從而更精準地向消費者推薦服務，本質是一種營銷手段，引發消費者陷入被監視之恐慌感的背后是該手段存在不透明、不公平對待之嫌。此次新法出臺，我們可以看到對該問題有了直面回應，規定自動化決策不得在交易條件上實行不合理的差別待遇并要求向個人提供拒絕的途徑。

今后，我們將更常見地在各類商品、服務類網站、應用程序頁面上看到可供選擇拒絕個性化推薦的彈窗等，而商家究竟會如何適用新法，值得期待。

3、個人信息可以轉移

第四十五條第三款 個人請求將個人信息轉移至其指定的個人信息處理者，符合國家網信部門規定條件的，個人信息處理者應當提供轉移的途徑。

該條規定是本次新法的一大亮點，意味著個人有權攜帶個人信息并選擇儲放對象，也意味著以往占據數據壟斷地位的企業必須基于個人的意愿交出其個人信息，未來數據流通將可能成為一大趨勢。

4、大型企業將受更嚴格監管

第五十八條　提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者，應當履行下列義務：

（一）按照國家規定建立健全個人信息保護合規制度體系，成立主要由外部成員組成的獨立機構對個人信息保護情況進行監督；

（二）遵循公開、公平、公正的原則，制定平臺規則，明確平臺內產品或者服務提供者處理個人信息的規范和保護個人信息的義務；

（三）對嚴重違反法律、行政法規處理個人信息的平臺內的產品或者服務提供者，停止提供服務；

（四）定期發布個人信息保護社會責任報告，接受社會監督。

可見新法對大型企業，特別是大型互聯網平臺提出了更高的監管要求，除國家網信部門、社會等監管、監督，還必須成立外部、獨立的監督機構，勢必將帶來行業的一大變革。 5、APP違法處理個人信息將下架

第六十六條第一款 違反本法規定處理個人信息，或者處理個人信息未履行本法規定的個人信息保護義務的，由履行個人信息保護職責的部門責令改正，給予警告，沒收違法所得，對違法處理個人信息的應用程序，責令暫停或者終止提供服務；拒不改正的，并處一百萬元以下罰款；對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款。

新法賦予監管部門直接下架應用程序的職權，意味著一直以來各類APP肆意收集、使用、出售個人信息的亂象將受到更強有力的打擊，未來APP使用者在個人信息保護方面的體驗感將得到提升。 6、個人行使權利獲多方面保障

第五十條　個人信息處理者應當建立便捷的個人行使權利的申請受理和處理機制。拒絕個人行使權利的請求的，應當說明理由。

個人信息處理者拒絕個人行使權利的請求的，個人可以依法向人民法院提起訴訟。

該條規定了個人行使權利的渠道，在向信息處理者申訴處理失敗后，可尋求司法救濟。第六十五條還規定了投訴、舉報的渠道（網信辦）。多途徑暢通個人信息保護渠道。

此外，第六十九條規定了在個人信息權益的損害賠償中，舉證責任落在個人信息處理者一方，處理者需要證明自己不存在過錯，方能避免承擔損害賠償等侵權責任。這意味著當個人想要通過司法途徑維護自身信息權益時，不必過分擔憂舉證的壓力，使得該類訴訟可能在未來不斷涌現。

第六十七條 有本法規定的違法行為的，依照有關法律、行政法規的規定記入信用檔案，并予以公示。

該條把個人信息處理行為納入信用體系，是對信息處理者的又一威懾力舉措，在信用社會時代，失信將可能給企業融資、交易等方方面面帶來阻礙，信息處理者可要提高注意力了。

7、敏感個人信息的處理規則更為嚴格

新法在一般個人信息的基礎上，劃分出敏感個人信息，并提出更高的保護要求，諸如應當取得個人的單獨同意、應當向個人告知處理敏感個人信息的必要性以及對個人權益的影響、采取嚴格保護措施等，意味在一般信息中包含敏感個人信息的情況下，信息處理者必須針對敏感部分特別告知并取得單獨同意。

敏感個人信息系與人格尊嚴人身、財產安全相關，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息。新法明確規定了不滿十四周歲未成年人的個人信息屬于敏感信息，第三十一條進一步規定處理不滿十四周歲未成年人的個人信息應當取得未成年人的父母或者其他監護人的同意、應當制定專門的個人信息處理規則，體現了對兒童權益的特別保護。

綜上，《個人信息保護法》的出臺將在個人信息保護領域帶來深遠影響，不僅給個人帶來信息保護方面的諸多權利，也給信息處理企業提出了諸多規范要求，企業要如何根據新法調整自身、達到法律要求，將是不小的挑戰。