《中華人民共和國國民經(jīng)濟(jì)和社會發(fā)展第十四個五年規(guī)劃和 2035 年遠(yuǎn)景目標(biāo)綱要》（以下簡稱：“十四五”規(guī)劃綱要）提出：“加強(qiáng)涉及國家利益,、商業(yè)秘密,、個人隱私的數(shù)據(jù)保護(hù)，加快推進(jìn)數(shù)據(jù)安全、個人信息保護(hù)等領(lǐng)域基礎(chǔ)性立法,，強(qiáng)化數(shù)據(jù)資源全生命周期安全保護(hù)。” 加快推進(jìn)個人信息保護(hù)立法,，必須恪守“以人民為中心”的理念，構(gòu)建“以人為本”的個人信息保護(hù)法律制度,，提升人民群眾的獲得感,、幸福感、安全感,。

　　一,、認(rèn)識“個人信息”和“個人數(shù)據(jù)”

　　網(wǎng)絡(luò)時代，“數(shù)據(jù)”（Data）和“信息”（Information）是使用頻率最高的兩個詞匯,，經(jīng)常被政府規(guī)范性文件甚至法律視為同一概念,。目前，在各國的個人信息（數(shù)據(jù)）保護(hù)立法中,，多數(shù)國家將“個人信息”表述為“個人數(shù)據(jù)”,。如歐盟《個人數(shù)據(jù)保護(hù)指令》第 2 條（a）規(guī)定，個人數(shù)據(jù)指“與一個人身份已被識別或者身份可以識別的自然人（數(shù)據(jù)主體）相關(guān)的任何信息”,；法國《數(shù)據(jù)處理,、數(shù)據(jù)文件及個人自由法》第 2 條第 1 款規(guī)定，個人數(shù)據(jù)指“可以通過身份證號碼,、一項或多項個人特有因素被肢解或間接識別的自然人相關(guān)的任何信息”,；德國《聯(lián)邦數(shù)據(jù)保護(hù)法》第 3 節(jié)規(guī)定，個人數(shù)據(jù)指“任何關(guān)于一個已識別的或者可識別的個人（數(shù)據(jù)主體）的私人或者具體狀態(tài)的信息”,。

　　我國《網(wǎng)絡(luò)安全法》第七十六條對“網(wǎng)絡(luò)數(shù)據(jù)”給出的定義是：“網(wǎng)絡(luò)數(shù)據(jù),，是指通過網(wǎng)絡(luò)收集、存儲,、傳輸,、處理和產(chǎn)生的各種電子數(shù)據(jù)”。全國人大常委會公布的《數(shù)據(jù)安全法（草案）》第三條第一款對“數(shù)據(jù)”的定義是：“數(shù)據(jù)是指任何以電子或者非電子形式對信息的記錄”,；第三條第二款將“數(shù)據(jù)的收集,、存儲、加工,、使用,、提供、交易,、公開等行為”定義為“數(shù)據(jù)活動”,。

　　關(guān)于“個人信息”的內(nèi)涵，《網(wǎng)絡(luò)安全法》主要突出“識別自然人個人身份的各種信息”,，《民法典》則突出強(qiáng)調(diào)“識別特定自然人的各種信息”,，但是上述兩部法律對“個人信息”的判斷和定義基本采用了兩條識別路徑：一是信息的單獨識別性,，其基本識別路徑是鑒于信息本身的特殊性，識別出特定的自然人,，如姓名,、出生日期、身份證件號碼,、家庭住址等,，從這些信息直接識別出特定的個人；二是信息的關(guān)聯(lián)識別性,，基本路徑是已知特定的自然人，由該特定自然人在其活動中產(chǎn)生的信息,，如生物識別信息,、個人位置信息、個人通話記錄,、個人瀏覽記錄等,。

　　可見，純粹的“電子數(shù)據(jù)”是附著在電子信息系統(tǒng)載體的客觀事物記錄,，是未經(jīng)過處理的原始記錄,，一般不具有“可識別”性。數(shù)字時代的“個人信息”主要是以電子方式記錄,，能夠單獨或者與其他信息結(jié)合識別特定自然人的信息,，而“數(shù)據(jù)”之前加“個人”，即“個人數(shù)據(jù)”也屬于“個人可識別信息”（PII）,。因此,，無論是“個人信息”或“個人數(shù)據(jù)”，均具有已識別或可識別自然人（數(shù)據(jù)主體）相關(guān)信息的特征,，兩者應(yīng)屬于意義相同或相近的詞語,。

　　二、強(qiáng)化對個人隱私和敏感信息的保護(hù)

　　2018 年 4 月 20 日,，習(xí)近平總書記在全國網(wǎng)絡(luò)安全和信息化工作會議講話中強(qiáng)調(diào),，要維護(hù)人民群眾合法權(quán)益 , 依法嚴(yán)厲打擊網(wǎng)絡(luò)黑客、電信網(wǎng)絡(luò)詐騙,、侵犯公民個人隱私等違法犯罪行為,。“十四五”規(guī)劃綱要明確要求,，要加強(qiáng)涉及個人隱私數(shù)據(jù)的保護(hù),。

　　當(dāng)前，從國際組織和國外一些立法經(jīng)驗看,，包括《通用數(shù)據(jù)保護(hù)條例》（GDPR）,、經(jīng)合組織（OECD）“隱私框架”,、亞太經(jīng)合組織（APEC）“隱私框架”、歐美隱私盾（EU-US Privacy Shield）協(xié)議,、美國《消費者隱私權(quán)法案》（Consumer Privacy Billof Rights）,、《美國加利福尼亞消費者隱私法案》（California Consumer Privacy Act，CCPA）等個人隱私信息保護(hù)方面的立法,，均強(qiáng)調(diào)未經(jīng)被收集者同意,，不得收集和向他人提供個人隱私信息，突出知情權(quán),、明示同意權(quán),、訪問權(quán)、注銷權(quán),、撤回權(quán),、封鎖權(quán)、更正權(quán),、刪除權(quán)等“個人信息權(quán)”,，特別是 CCPA，規(guī)定了異常嚴(yán)格的個人信息使用規(guī)則,，要求各個公司必須通知用戶他們的私人數(shù)據(jù)將被如何使用,，并且需要為用戶提供“直接退出”的工具。

　　我國《民法典》人格權(quán)編設(shè)專章對隱私權(quán)保護(hù)進(jìn)行了詳細(xì)規(guī)定,，特別是首次對隱私權(quán)的概念和保護(hù)范圍作出明確具體的規(guī)定,。《民法典》第 1032 條規(guī)定：“自然人享有隱私權(quán),。任何組織或者個人不得以刺探,、侵?jǐn)_、泄露,、公開等方式侵害他人的隱私權(quán),。隱私是自然人的私人生活安寧和不愿為他人知曉的私密空間、私密活動,、私密信息,。”關(guān)于個人信息中隱私信息的保護(hù),，《民法典》明確規(guī)定：“個人信息中的私密信息,，適用有關(guān)隱私權(quán)的規(guī)定；沒有規(guī)定的,，適用有關(guān)個人信息保護(hù)的規(guī)定,。” 這一規(guī)定不僅強(qiáng)化了對個人隱私信息的保護(hù)，也為正在制定中的《個人信息保護(hù)法》對自然人個人隱私信息的保護(hù)留出了立法空間,。

　　我國正在制定的《個人信息保護(hù)法（草案）》（以下稱《草案》）沒有對隱私信息做出專門規(guī)定,，而是將個人信息分為敏感信息和非敏感信息，并設(shè)專節(jié)對處理敏感個人信息作出了嚴(yán)格的限制性規(guī)定,，即只有在具有特定的目的和充分的必要性的情形下,，方可處理敏感個人信息，并且應(yīng)當(dāng)取得個人的單獨同意或者書面同意,?！恫莅浮穼Α懊舾袀€人信息”的定義是：“一旦泄露或者非法使用，可能導(dǎo)致個人受到歧視或者人身,、財產(chǎn)安全受到嚴(yán)重危害的個人信息 , 包括種族,、民族、宗教信仰,、個人生物特征,、醫(yī)療健康、金融賬戶,、個人行蹤等信息?！?/p>

　　個人隱私信息與個人敏感信息既有聯(lián)系也有區(qū)別,，隱私信息主要是從自然人的人格權(quán)角度來判斷，且主要是精神層面的人格權(quán),，涉及自然人享有的私人生活安寧與私密信息不被搜集,、利用和公開；判斷個人信息中的敏感信息主要是從損害結(jié)果的角度判斷,，即個人敏感信息一旦泄露或者非法使用,，可能導(dǎo)致個人受到歧視或者人身、財產(chǎn)安全受到嚴(yán)重危害,，比如宗教信仰信息,、個人生物特征信息、醫(yī)療健康信息,、金融賬戶信息,、基因信息、個人行蹤信息等,。

　　《個人信息保護(hù)法》作為保護(hù)個人信息的基礎(chǔ)性立法,，應(yīng)堅持以人民為中心，對涉及公民隱私信息和公民不愿意他人知道的財產(chǎn)信息實施雙重保護(hù),，尤其是從個人信息被非法處理可能產(chǎn)生的危害后果出發(fā),，對個人信息實行分級分類，進(jìn)一步突出對個人隱私和敏感信息的保護(hù)力度，在確保公民隱私權(quán)和財產(chǎn)權(quán)不受非法侵害的基礎(chǔ)上,，促進(jìn)個人信息資源在“合法,、正當(dāng)、必要”以及“知情同意”的法定原則框架內(nèi)有限度地適當(dāng)處理和利用,。

　　三,、構(gòu)建“以人為本”的個人信息處理規(guī)則

　　目前，我國有關(guān)個人信息的處理規(guī)則,，主要是適用“合法,、正當(dāng)、必要”,，該處理規(guī)則最早以法律形式出現(xiàn)在 2013 年修訂的《消費者權(quán)益保護(hù)法》第二十九條：“經(jīng)營者收集,、使用消費者個人信息，應(yīng)當(dāng)遵循合法,、正當(dāng),、必要的原則，明示收集,、使用信息的目的,、方式和范圍，并經(jīng)消費者同意,?！?017 年 6 月 1 日起施行的《網(wǎng)絡(luò)安全法》第 41 條采納這一原則規(guī)定：“網(wǎng)絡(luò)運營者收集、使用個人信息,，應(yīng)當(dāng)遵循合法,、正當(dāng)、必要的原則,，公開收集,、使用規(guī)則，明示收集,、使用信息的目的,、方式和范圍，并經(jīng)被收集者同意,?！?/p>

　　《民法典》第 1035 條除規(guī)定“處理個人信息的，應(yīng)當(dāng)遵循合法,、正當(dāng),、必要原則”外，還強(qiáng)調(diào)“不得過度處理”,，并附帶了四個法定條件：一是征得該自然人或者其監(jiān)護(hù)人同意,，但是法律,、行政法規(guī)另有規(guī)定的除外；二是公開處理信息的規(guī)則,；三是明示處理信息的目的,、方式和范圍；四是不違反法律,、行政法規(guī)的規(guī)定和雙方的約定,。

　　《民法典》第 1035 條有關(guān)個人信息的處理規(guī)則與《網(wǎng)絡(luò)安全法》和《消費者權(quán)益保護(hù)法》基本一致，明確“應(yīng)當(dāng)遵循合法,、正當(dāng),、必要原則”，但是《網(wǎng)絡(luò)安全法》和《消費者權(quán)益保護(hù)法》在“個人信息”之前使用兩個動詞“收集,、使用”,，即“收集、使用個人信息”,，而《民法典》第 1035 條在“個人信息”之前只使用了一個動詞“處理”,，即“處理個人信息”。實際上,，在《民法典（草案）》第三次審議稿中,，仍然采用“收集、處理自然人個人信息”的表述,?！疤幚怼笔且粋€過程，本身包括“收集”,，即收攏和聚合個人在電子信息系統(tǒng)載體上已經(jīng)留下的個人信息（數(shù)據(jù)），同時涵蓋“加工,、傳輸,、提供、公開”等內(nèi)容,。正式實施的《民法典》第 1035 條刪去了“收集”,，只保留“處理”，并對“個人信息的處理”的內(nèi)涵進(jìn)行了解釋,，即“個人信息的處理包括個人信息的收集,、存儲、使用,、加工,、傳輸、提供,、公開等,。”

　　《個人信息保護(hù)法（草案）》明確了個人信息處理應(yīng)遵循的原則，并強(qiáng)調(diào)處理個人信息應(yīng)當(dāng)采用合法,、正當(dāng)?shù)姆绞?，具有明確、合理的目的,，限于實現(xiàn)處理目的的最小范圍,，公開處理規(guī)則，保證信息準(zhǔn)確,，采取安全保護(hù)措施等,，并將上述原則貫穿于個人信息處理的全過程、各環(huán)節(jié),，體現(xiàn)了“以人為本”的個人信息處理規(guī)則,。

　　《個人信息保護(hù)法（草案）》（二審稿）進(jìn)一步明確了“以人為本”的個人信息處理規(guī)則，例如《草案》一審稿中第二十六條規(guī)定：“個人信息處理者不得公開其處理的個人信息,，取得個人單獨同意或者法律,、行政法規(guī)另有規(guī)定的除外?！痹诙徃逯袆h除了“或者法律,、行政法規(guī)另有規(guī)定”，只保留了“取得個人單獨同意的除外”,；一審稿中第二十七條規(guī)定：“在公共場所安裝圖像采集,、個人身份識別設(shè)備，應(yīng)當(dāng)為維護(hù)公共安全所必需 , 遵守國家有關(guān)規(guī)定 , 并設(shè)置顯著的提示標(biāo)識,。所收集的個人圖像,、個人身份特征信息只能用于維護(hù)公共安全的目的，不得公開或者向他人提供,，取得個人單獨同意或者法律,、行政法規(guī)另有規(guī)定的除外?！痹诙徃逯袆h除了“法律,、行政法規(guī)另有規(guī)定”的除外原則，也只保留了“取得個人單獨同意的除外”,。上述處理規(guī)則,，遵循了“以人民為中心”的理念，體現(xiàn)了“以人為本”的個人信息保護(hù)規(guī)則,。

　　四,、嚴(yán)禁超范圍收集個人信息

　　截至 2020 年 12 月，我國手機(jī)上網(wǎng)人數(shù)達(dá)到了9.86 億人,，國內(nèi)市場監(jiān)測到的移動互聯(lián)網(wǎng)應(yīng)用程序（App）數(shù)量高達(dá) 345 萬款,，App 幾乎完全取代瀏覽器成為最大流量入口,。當(dāng)前，大量 App存在強(qiáng)制授權(quán),、過度索權(quán),、超范圍收集個人信息的情形，尤其是違法違規(guī)使用個人信息的問題十分突出,，已經(jīng)毫無規(guī)則和底線,，廣大網(wǎng)民深惡痛絕。

　　近幾年,，盡管相關(guān)部門不斷查處各類違規(guī) App,，細(xì)化各項隱私政策和規(guī)范，起到了一定的震懾作用,，但是 App 超范圍收集和使用個人信息等行為依然嚴(yán)重,。對于治理 App 過度收集個人信息的問題，人民群眾呼吁應(yīng)當(dāng)依法明確“必要個人信息范圍”,，只要超過“必要個人信息范圍”的收集和處理行為,，必須堅決予以打擊和懲處。

　　針對 App 超范圍收集個人信息的亂象,，國家網(wǎng)信辦,、工信部、公安部,、國家市場監(jiān)督管理總局聯(lián)合發(fā)布了《常見類型移動互聯(lián)網(wǎng)應(yīng)用程序必要個人信息范圍規(guī)定》,，對“必要個人信息”做出了定義，即“保障 App 基本功能服務(wù)正常運行所必需的個人信息,，缺少該信息 App 即無法實現(xiàn)基本功能服務(wù),。具體是指消費側(cè)用戶個人信息，不包括服務(wù)供給側(cè)用戶個人信息,?！?該定義有以下特征：首先，必要個人信息是指保障 App 業(yè)務(wù)功能正常運行所最少夠用的個人信息,；其次，所謂“必要個人信息”是指一旦缺少這些必要的信息將導(dǎo)致 App 服務(wù)無法實現(xiàn)或無法正常運行,。

　　中共中央《法治社會建設(shè)實施綱要（2020-2025年）》提出,，嚴(yán)格規(guī)范收集使用用戶身份、通信內(nèi)容等個人信息行為,，加大對非法獲取,、泄露、出售,、提供公民個人信息的違法犯罪行為的懲處力度,。建議應(yīng)當(dāng)將四部委確立的“必要個人信息”法律化,，提高法律位階，把這一制度納入正在審議的《個人信息保護(hù)法（草案）》,。

　　五,、構(gòu)建企業(yè)數(shù)據(jù)合規(guī)體系和 DPO制度

　　“十四五”規(guī)劃綱要明確提出，推進(jìn)產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型,，推動數(shù)據(jù)賦能全產(chǎn)業(yè)鏈協(xié)同轉(zhuǎn)型,。在推進(jìn)產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型進(jìn)程中，將呈現(xiàn)出互聯(lián)網(wǎng)企業(yè)傳統(tǒng)化,，而傳統(tǒng)企業(yè)互聯(lián)網(wǎng)化的新趨勢,。為保證企業(yè)對個人敏感數(shù)據(jù)和個人隱私數(shù)據(jù)處理和利用的合法合規(guī)，多數(shù)國家的數(shù)據(jù)保護(hù)法要求構(gòu)建完善的數(shù)據(jù)合規(guī)體系,，并確定專門的數(shù)據(jù)合規(guī)負(fù)責(zé)人,。

　　GDPR 對企業(yè)合規(guī)處理個人數(shù)據(jù)提出明確要求。GDPR 第 6 條專門規(guī)定了“個人數(shù)據(jù)處理的合法性”：一是數(shù)據(jù)主體同意其個人數(shù)據(jù)為一個或多個特定目的處理,；二是處理應(yīng)為履行數(shù)據(jù)主體參與合同的必要行為,，或處理是因數(shù)據(jù)主體在簽訂合同前的邀約而采取的措施；三是處理個人數(shù)據(jù)是為履行數(shù)據(jù)控制者所服從的法律義務(wù)之必要,；四是處理個人數(shù)據(jù)是為了保護(hù)數(shù)據(jù)主體或另一個自然人的切身利益之必要,；五是處理個人數(shù)據(jù)是為了執(zhí)行公共利益領(lǐng)域的任務(wù)或行使數(shù)據(jù)控制者既定的公務(wù)職權(quán)之必要；六是為了控制人或第三方所追求的合法利益,，處理是必要的,，除非這種利益與保護(hù)個人數(shù)據(jù)的數(shù)據(jù)主體利益或基本權(quán)利和自由相沖突，特別是在數(shù)據(jù)主體是兒童的情況下,，但是該項規(guī)定不適用于政府當(dāng)局在履行其職責(zé)時進(jìn)行的數(shù)據(jù)處理行為,。

　　關(guān)于個人數(shù)據(jù)處理過程的安全性問題，GDPR 第32 條規(guī)定：考慮目前的工藝水平,、實施成本,、處理過程的性質(zhì)、范圍,、目的,，以及自然人自由和權(quán)利所面對的不同可能性和嚴(yán)重性風(fēng)險，控制者,、處理者應(yīng)當(dāng)執(zhí)行適當(dāng)?shù)募夹g(shù)和組織措施來保證合理應(yīng)對風(fēng)險的安全級別,，尤其要酌定考慮以下因素：一是個人數(shù)據(jù)的匿名化和加密；二是確保處理系統(tǒng)和服務(wù)現(xiàn)行的保密性,、完整性,、可用性以及可恢復(fù)性；三是在發(fā)生物理事故或技術(shù)事故的情況下,，恢復(fù)可用性以及及時獲取個人信息的能力,；四是定期對技術(shù)措施以及組織措施的有效性進(jìn)行測試,、評估、評價處理,，力求確保處理過程的安全性,。

　　我國《個人信息保護(hù)法（草案）》明確規(guī)定了個人信息處理者的合規(guī)管理和保障個人信息安全等義務(wù)，要求其按照規(guī)定制定內(nèi)部管理制度和操作規(guī)程,，采取相應(yīng)的安全技術(shù)措施,，并指定負(fù)責(zé)人對其個人信息處理活動進(jìn)行監(jiān)督；定期對其個人信息活動進(jìn)行合規(guī)審計,；對處理敏感個人信息,、向境外提供個人信息等高風(fēng)險處理活動，事前進(jìn)行風(fēng)險評估,；履行個人信息泄露通知和補(bǔ)救義務(wù)等,。

　　《草案》（二審稿）第五十一條規(guī)定，個人信息處理者應(yīng)當(dāng)根據(jù)個人信息的處理目的,、處理方式,、個人信息的種類以及對個人的影響、可能存在的安全風(fēng)險等 , 采取必要措施確保個人信息處理活動符合法律,、行政法規(guī)的規(guī)定 , 并防止未經(jīng)授權(quán)的訪問以及個人信息泄露或者被竊取,、篡改、刪除,。對此,，《草案》提出了六項具體要求：一是制定內(nèi)部管理制度和操作規(guī)程；二是對個人信息實行分類管理,；三是采取相應(yīng)的加密,、去標(biāo)識化等安全技術(shù)措施；四是合理確定個人信息處理的操作權(quán)限 , 并定期對從業(yè)人員進(jìn)行安全教育和培訓(xùn),；五是制定并組織實施個人信息安全事件應(yīng)急預(yù)案,；六是法律、行政法規(guī)規(guī)定的其他措施,。

　　數(shù)據(jù)保護(hù)官（Data Protection Officer,，DPO）這一專職保護(hù)個人數(shù)據(jù)的負(fù)責(zé)人制度，是 GDPR 率先以法律形式確定的,，GDPR 對 DPO 的任命提供了詳細(xì)指引,。GDPR 要求，數(shù)據(jù)保護(hù)官的任命必須基于其專業(yè)素養(yǎng),，包括數(shù)據(jù)保護(hù)的法律及實踐知識，以及完成一系列數(shù)據(jù)保護(hù)官職責(zé)的能力,。根據(jù) GDPR的規(guī)定,，數(shù)據(jù)保護(hù)官的職責(zé),，主要是為保護(hù)處理中的數(shù)據(jù)始終處于安全狀態(tài)，即個人數(shù)據(jù)不得被泄露,、非法買賣,、轉(zhuǎn)讓等。

　　借鑒 GDPR 的 DPO 制度,，《草案》（二審稿）第五十二條規(guī)定,，處理個人信息達(dá)到國家網(wǎng)信部門規(guī)定數(shù)量的個人信息處理者應(yīng)當(dāng)指定個人信息保護(hù)負(fù)責(zé)人，負(fù)責(zé)對個人信息處理活動以及采取的保護(hù)措施等進(jìn)行監(jiān)督,。個人信息處理者應(yīng)當(dāng)公開個人信息保護(hù)負(fù)責(zé)人的姓名,、聯(lián)系方式等 , 并報送履行個人信息保護(hù)職責(zé)的部門。