近日，十三屆全國人大常委會第三十次會議表決通過了《個人信息保護法》，該法自2021年11月1日起施行。這是我國首次以單獨法律的形式規(guī)定了對公民個人信息內(nèi)容的保護。

一、出臺《個人信息保護法》的必要性

1.是對《民法典》內(nèi)容的一種延伸擴展。《民法典》在第四編人格權(quán)中第六章就規(guī)定了隱私權(quán)和個人信息保護相關(guān)的內(nèi)容，一是對隱私權(quán)的定義，侵害隱私權(quán)的行為要素做了規(guī)范，二是個人信息作為隱私權(quán)的一個更具象的內(nèi)容，該章節(jié)中重點對“個人信息”進行了規(guī)范，要求在處理個人信息的時候應(yīng)當遵循合法、正當、必要原則，不得過度處理并符合一定要求，特別強調(diào)了信息處理者不得泄露或者篡改其收集、存儲的個人信息。除此之外，國家機關(guān)、承擔行政職能的法定機構(gòu)及其工作人員在履行職責過程中對知悉的自然人隱私或者個人信息，應(yīng)當予以保密，不得泄露或者向他人非法提供。

2.是現(xiàn)實必要性。隨著如今互聯(lián)網(wǎng)的普及發(fā)展，我們的任何個人信息都能夠被大數(shù)據(jù)收集整合測寫，能夠精確地判斷識別一個人，引發(fā)數(shù)據(jù)歧視。若個人信息沒有相關(guān)規(guī)章制度加以保護，那么相當于任何人都曝光在互聯(lián)網(wǎng)中無處遁形，有時候出于對個人信息所體現(xiàn)出來的財產(chǎn)屬性的追逐，如：大數(shù)據(jù)“殺熟”、販賣個人信息等，所有人都隨時可能有隱私泄露甚至個人生活被擾亂的可能性，因此《個人信息保護法》的出臺及其有必要性。

二、《個人信息保護法》的主要內(nèi)容解讀

1.在《民法典》基礎(chǔ)上，《個人信息保護法》做了更加具體的規(guī)定與區(qū)分。第四條明確了個人信息包括以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，這意味著絕大多數(shù)與自然人相關(guān)的信息都可以納入保護范圍，體現(xiàn)了個人信息保護法廣泛的保護范圍。此外，明確將匿名化處理后的信息排除在外，這表明在大力保護個人信息權(quán)益的同時，也希望個人信息處理者能夠采用匿名化等技術(shù)，以保障正常的信息處理活動。信息的處理中明確指出處理個人信息應(yīng)該合法、正當、必要；第六條明確指出處理個人信息應(yīng)該具有合理的目的，應(yīng)該與處理的目的直接相關(guān)，應(yīng)該對個人的權(quán)益影響最小，任何組織、個人都不得非法買賣、提供或者公開他人個人信息；不得從事危害國家安全、公共利益的個人信息處理活動。

2.《個人信息保護法》制定了個人信息處理的規(guī)則。法條第十三條明確了在處理個人信息前要保證個人的知情權(quán)，個人信息處理者不得以個人不同意或者撤回同意為由拒絕提供產(chǎn)品或者服務(wù)，處理個人信息屬于提供產(chǎn)品或者服務(wù)所必需的除外。其中，還規(guī)定了“按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施人力資源管理所必需”的條文，為企業(yè)需要處理員工的個人信息的情形提供了法律依據(jù)。

3.《個人信息保護法》區(qū)分了敏感個人信息，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。將不滿十四周歲的未成年人的個人信息納入敏感個人信息范疇，加強了對未成年人個人信息保護的力度。并且在處理敏感個人信息的時候要求更高，需要個人的單獨同意，還需要提前告知必要性和影響力。

4.《個人信息保護法》規(guī)定了個人信息跨境提供的合法性基礎(chǔ)，包括通過國家網(wǎng)信部門組織的安全評估、按照國家網(wǎng)信部門的規(guī)定經(jīng)專業(yè)機構(gòu)進行個人信息保護認證、按照國家網(wǎng)信部門制定的標準合同與境外接收方訂立合同并約定雙方的權(quán)利和義務(wù)等，并且規(guī)定了中華人民共和國締結(jié)或者參加的國際條約、協(xié)定也可以作為合法基礎(chǔ)。

5.《個人信息保護法》規(guī)定了履行個人信息保護職責部門的職責。國家網(wǎng)信部門負責統(tǒng)籌協(xié)調(diào)個人信息保護工作和相關(guān)監(jiān)督管理工作。對于個人信息處理活動有任何疑問的任何組織、個人都有權(quán)向履行個人信息保護職責的部門進行投訴、舉報。收到投訴、舉報的部門應(yīng)當依法及時處理，并將處理結(jié)果告知投訴、舉報人。

6.規(guī)定了個人及個人信息處理者對個人信息的權(quán)利義務(wù)，其中對重要的一點是個人信息的可攜帶性。個人請求將個人信息轉(zhuǎn)移至其指定的個人信息處理者，符合國家網(wǎng)信部門規(guī)定條件的，個人信息處理者應(yīng)當提供轉(zhuǎn)移的途徑。

三、《個人信息保護法》對企業(yè)的啟示

1. 《個人信息保護法》第十三條中以“按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施人力資源管理所必需”為企業(yè)需要處理員工的個人信息的情形提供了法律依據(jù)。因為勞動關(guān)系中從屬性的存在，員工的“同意”往往難以被認定為是自由做出，使得企業(yè)處理員工個人信息困難重重，以“按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施人力資源管理所必需”作為合法基礎(chǔ)為企業(yè)處理信息預(yù)留空間的同時又有著較強的限定，可以避免企業(yè)對正當利益合法基礎(chǔ)的濫用，也體現(xiàn)了個人信息保護法嚴格的規(guī)制目標。

2.切實履行告知與說明義務(wù)。《個人信息保護法》第十七條規(guī)定個人信息處理者在處理個人信息前，應(yīng)當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知。因此企業(yè)須保證其開展自動化決策的透明度和結(jié)果的公平、公正，不得借此在交易價格等交易條件上實行不合理的差別待遇。企業(yè)應(yīng)向客戶明確其通過自動化決策將要實現(xiàn)的目的，如向用戶開展信息推送、商業(yè)營銷等活動，應(yīng)在用戶知情并同意的基礎(chǔ)上進行個人信息處理，并為用戶提供拒絕的方式。

3.由于該法對敏感個人信息的保護要求更高，法律責任更重。因此企業(yè)更應(yīng)謹慎處理敏感個人信息, 避免承擔更加嚴重的違法責任。企業(yè)內(nèi)部應(yīng)對涉及的個人信息實行分級分類管理，將個人信息區(qū)分為一般個人信息和個人敏感信息，分別明確個人信息主體同意的方式，分別采取對應(yīng)的技術(shù)措施和權(quán)限管理措施。