华龙网-新重庆客户端11月9日17时21分讯（郭晓彤）《中华人民共和国个人信息保护法》已于2021年11月1日实施，标志着在国家层面建立了个人信息保护制度。今（9）日，西南政法大学张建文教授、孙莹副教授、郑志峰副教授将为您深度解析《个人信息保护法》。

张建文教授：敏感个人信息是个人信息保护法的重中之重

《个人信息保护法》聚焦信息社会中的现实问题，健全了个人信息处理系列规则，并设专节对处理敏感个人信息作出了严格限制，规定只有在具备特定的目的和充分的必要性，并采取严格保护措施的情形下方可处理敏感个人信息，同时明确处理敏感个人信息应当取得个人的单独同意，若法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。可以说，敏感个人信息的保护，是个人信息保护法的重中之重。

事实上，个人信息的种类繁多且其价值梯度、敏感程度和风险程度有所不同，某些个人信息一旦脱离信息主体的控制便可能会对信息主体造成严重损害。可以说，这些信息面临较高的抽象危险性并具有较高的敏感度，蕴含的价值也相应较高，因此与一般的个人信息相比应得到更为充分的保障。通常，这类信息被称为敏感个人信息（Sensitive Personal Information），即一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

敏感个人信息是相对于一般个人信息而存在的，是个人信息的一种特殊类别。将个人信息类型化为敏感个人信息和一般个人信息，进而确立不同的保护规则尤为重要。类型化的意义在于相同事物相同处理，以提高规则建构与规则适用的准度和效率。近年来，无论在学术理论研究还是法律规范制定中，敏感个人信息受到越来越多的关注，而且形成了敏感个人信息应予严格保护的共识。

敏感个人信息的“敏感”表现在两个方面：一是此类信息的收集容易引起个体心理、生理上超乎寻常程度的感受与反应；二是此类信息的处理易引起外界迅速而强烈的是非评价。正因如此，敏感个人信息具有很大程度的脆弱性，其脆弱性来源于其收集和处理后，容易造成信息主体隐私、自由以及人格尊严的威胁与伤害，并有可能造成社会个体甚至群体的不安。因此，对于敏感个人信息的披露与使用作出更为严格的限制，不仅体现了普遍的人格权与自我决定权在信息时代的体现和表达，而且反映了公民维护自身内在同一性、精神自主和独特人格的合理诉求。对于公众来说，个人信息的敏感度具有个体体验特征以及认知上的差别，随着科技的迭代发展和社会观念的持续革新，敏感个人信息的类型与范围会随之发生改变。

同时，敏感个人信息的处理凸显着干扰个人基本权利和自由的潜在危害性，敏感个人信息这一特殊类型的信息极易给个体造成真正的伤害，甚至使信息主体遭受社会歧视。敏感个人信息本身固有的高度人格属性是需对其特别保护的根本原因，在难以计数、范围广泛的个人信息中，敏感个人信息比一般个人信息承载了更高的人格尊严要素。

总而言之，《个人信息保护法》设专节对敏感个人信息作出特殊强化保护的举措，既能落实个人信息保护法的立法精神，有效保护个人的人格尊严和自由，又能在区别规制的基础上促进一般个人信息的利用并推动技术创新，从而在两者之间找到利益平衡的最佳落点。

【专家档案】

张建文教授：法学博士、管理科学与工程博士后、法学教授，西南政法大学民商法学博士生导师、人权法学博士生导师，担任中国法学会案例法学研究会副会长、中国法学会比较法学研究会常务理事、西南政法大学俄罗斯法研究中心主任、西南政法大学中国信息法制研究所所长。主要从事中国民法学、人格权法学和信息法学研究。

孙莹副教授：《个人信息保护法》开启中国个人信息保护领域法治建设的新时代

《个人信息保护法》解决了广大人民群众最关心最直接最现实的利益问题，也开启了中国个人信息保护领域法治建设的新时代。

一、立法目的兼顾“保护个人信息权益”和“促进个人信息合理利用”

本法将保护个人信息权益作为首要目的，是因为在信息化时代，个人信息保护已成为广大人民群众最关心最直接最现实的利益问题之一。本法以严密的制度、严格的标准、严厉的责任规范个人信息处理活动，规定了完备的个人在个人信息处理活动中的权利，可以满足人民日益增长的美好生活需要。

本法同时注重促进个人信息合理利用，从而在保障个人信息权益的基础上，促进包括个人信息在内的数据信息的自由安全流动与合理有效利用，以推动数字经济的健康发展。

二、确立个人信息处理的基本原则，规定以“告知-同意”为核心的个人信息处理一系列规则

本法规定了个人信息处理的各项原则，除合法、正当、必要和诚信原则等“总原则”外，还有目的明确与最小化原则、公开、透明原则、信息质量原则、安全责任原则。同时还规定了以“告知-同意”为核心的个人信息处理一系列规则。其中，在国内法中首次规定了个人信息处理的合法性基础。

特别需要指出的是，其一，本法回应人民关切，专门针对个人信息自动化决策、在公共场所安装图像采集或个人身份识别设备作了专门规定；其二，本法界定了敏感个人信息的定义和范围，将不满十四周岁未成年人的个人信息列为敏感个人信息，强化了对未成年人个人信息权益的保护；其三，本法规定了国家机关作为个人信息处理者时，其收集处理范围和限度同样不得超出履行法定职责之需要。

三、强化个人信息本地存储和出境的管理制度，保障个人信息跨境安全流动

本法用6个条文规定了个人信息跨境提供规则，明确了个人信息处理者向境外提供个人信息的前提条件，以保障个人信息跨境安全流动。尤其是，对于“关键信息基础设施运营者”和“处理个人信息达到国家网信部门规定数量的个人信息处理者”这两类特殊主体，要严格遵循个人信息本地化或数据本地化要求，同时在数据出境时，要通过国家网信部门组织的安全评估。这个规定延续了《网络安全法》第37条项下保护国家安全和公共利益的基本要求。

四、明确个人与个人信息处理者在个人信息处理活动中的权利与义务

本法规定了个人在个人信息处理活动中的一系列权利，包括知情权、决定权、查阅权、复制权、信息转移权（可携带权）、更正权、补充权、删除权、规则解释说明权等。此外，本法规定了近亲属对死者个人信息行使权利的规定，是本法的亮点之一，体现了本法的人文关怀和时代精神。

本法还规定了信息处理者在个人信息处理活动中所需遵循的各项义务，包括个人信息安全保障义务、平台型企业“守门人”义务、个人信息风险处置义务等。尤其是，本法对提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，设置了与其能力相适应的义务，包括须按照国家规定成立主要由外部成员组成的独立机构对个人信息保护情况进行监督等。

五、明确了国家网信部门在个人信息保护方面的统筹、协调职责

本法对履行个人信息保护职责的部门进行了规定，确立了中国的个人信息保护体制。建立了由国家网信部门负责统筹协调的,从中央到地方的，跨部门、跨行业、跨领域的多层级个人信息保护监管体制机制。这种体制充分考虑了个人信息保护监管的实际需求，也兼顾了我国既往网络法治监管实践传统。

六、规定多种法律责任制裁违法处理个人信息的行为

本法规定了个人信息处理者违法处理个人信息时，需要承担的行政责任、民事责任与刑事责任等，一起共同构成了较为完善的个人信息保护综合法律责任体系。例如，本法在第66条设置了全面的行政处罚手段，同时区别“情节严重”与“一般违法”从而适用不同的最高罚款限额，此条规定将大幅提高违法者的违法成本，并将促使个人信息处理者加强个人信息保护。对于个人信息处理行为同时侵犯众多个人的权益的，本法还创新性地引入了公益诉讼制度。

总体而言，《个人信息保护法》坚持立足国情与借鉴国际经验相结合，坚持问题导向和立法前瞻性相结合，是我国个人信息保护领域的基本法。本法已经于2021年11月1日正式实施，建议全方位推进相关宣传普及和教育培训工作。但是，本法在实施中还面临着诸多问题，仍需要加快配套规则、标准的制定与颁布，加紧建立健全企业个人信息保护合规制度，努力协调好网信部门与其他国家机关行使个人信息保护职责的关系等等。

【专家档案】

孙莹副教授：西南政法大学民商法学院副教授、硕士研究生导师；西南政法大学期刊社（《现代法学》《西南政法大学学报》）青年学术编辑；中国法学会民法学研究会理事。主要从事民商法、网络与信息法的研究，曾获得“佟柔民商法学优秀博士论文奖”等奖项，在《中国法学》等核心期刊发表多篇论文，主持国家社科基金青年项目等国家级、省部级项目多项。

郑志峰副教授：我国《个人信息保护法》的国际立场

当前，个人信息保护已经成为一种共识。据统计，全球有140多个国家和地区出台了专门的个人信息保护法。2021年8月20日，我国也出台了《个人信息保护法》，并于2021年11月1日开始实施。《个人信息保护法》的出台开启了我国个人信息保护的新阶段，可以精准有力打击过度收集、随意获取、违法利用、非法买卖个人信息的乱象，提高个人信息保护水平。与此同时，《个人信息保护法》也是我国参与全球数据治理的重要平台，传达我国个人信息保护以及数据治理的国际立场。

第一，宣示主权至上立场。个人信息保护是数据主权不可分割的内容，也是国家整体安全重要组成部分。一方面，《个人信息保护法》第3条延续并细化了《数据安全法》第2条确立的长臂管辖规则，同时《个人信息保护法》第41条明确非经我国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供境内个人信息，有效应对了个别国家借由长臂管辖权干预他国数据主权、抢夺数据权益、打压竞争对手的企图。另一方面，对于境外利用个人信息处理活动危害我国国家安全、公共利益的组织和个人，《个人信息保护法》第42条明确规定可以采取列入黑名单等制裁措施，坚决捍卫我国国家主权和数据安全。

第二，重申积极参与态度。个人信息保护是全球数据治理的重要组成部分，是构建网络空间命运共同体不可缺少的关键一环。我国一直都重视全球数据的交流合作。早在2020年9月8日，我国就发布了《全球数据安全倡议》，呼吁“各方在相互尊重的基础上，加强沟通交流，深化对话与合作”。《个人信息保护法》第12条再次重申这一态度，表达了我国积极参与个人信息保护国际合作的立场。此外，《个人信息保护法》第38条、第41条都强调了国际条约、协定的重要性。

第三，明确对等交往原则。我国在国际交往中一贯坚持平等和相互尊重的基本原则，对于全球数据治理也继续秉持这一原则。一方面，对于外国司法或者执法机构调取境内个人信息的请求，《个人信息保护法》第41条规定按照平等互惠原则进行处理，表达了我国平等友好的数据治理态度。另一方面，对于个别国家和地区在个人信息保护方面采取歧视性的禁止、限制或者其他类似措施的，《个人信息保护法》第43条也明确规定我国可以采取对等反制措施，坚决维护我国数据合法权益。

第四，规定跨境流通规则。个人信息跨境流通是全球数据治理的重点和难点，也是发挥数据价值、优化营商环境的重要窗口。首先，《个人信息保护法》第38条为个人信息处理者提供了四种跨境流通个人信息的选择，分别是安全评估、个人信息保护认证、标准合同以及其他条件。如果属于关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，则必须通过安全评估，除非另有规定。其次，个人信息处理者还必须确保境外接收方处理个人信息的活动达到本法规定的保护水平。最后，个人信息处理者还需要向个人履行告知义务，取得个人的单独同意。

【专家档案】

郑志峰副教授：法学博士，西南政法大学民商法学院副教授、硕士生导师，法学博士、博士后，西南政法大学民法典百人宣讲团骨干成员，人工智能法律研究院自动驾驶法律研究中心主任。兼任重庆市信息化发展专家委员会委员、重庆市自动驾驶道路测试管理专家委员会执行委员，百度公共政策研究专家顾问，腾讯研究院兼职研究员，贵州省大数据政策法律创新研究中心客座研究员，华东政法大学数字法治研究院特聘研究员等。