此次草案出臺可謂對民眾呼聲的及時回應。數據顯示,截至2020年3月,我國互聯網用戶已達9億,互聯網網站超過400萬個,應用程序數量超過300萬個,個人信息的收集、使用非常廣泛。然而,一些企業、機構,甚至個人,為謀取商業利益,隨意收集、違法獲取、過度使用、非法買賣個人信息,利用個人信息侵擾他人生活安寧、危害他人生命健康和財產安全等問題突出。個人信息保護已成為民眾最關心、最直接、最現實的利益問題之一。
數字經濟時代的到來,使個人信息的商業價值越來越大,如何解決個人信息保護、有序獲取、合理使用已成當務之急。有關方面曾先后出臺《互聯網個人信息保護指南》《個人信息安全標準》等規范性文件,并在民法典、《刑法修正案九》當中明確了保護個人信息的鮮明導向,以及刑責標準。
據介紹,該草案首先對何為個人信息做出了界定,明確個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息,包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等,不包括匿名化處理后的信息;個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開等活動。
草案確立以“告知-同意”為核心的個人信息處理一系列規則,要求處理個人信息應當在事先充分告知的前提下取得個人同意,并且個人有權撤回同意;重要事項發生變更的應當重新取得個人同意;不得以個人不同意為由拒絕提供產品或者服務。諸如最常見的日常個性化推薦,不少過于精準的推送有時會讓用戶產生自己“被手機監聽”的感覺。對此,草案強調,通過自動化決策方式進行商業營銷、信息推送,應當同時提供不針對其個人特征的選項。
同時,草案還明確了國家機關對個人信息的保護義務。值得注意的是,草案規定侵害個人信息權益的違法行為,情節嚴重的,沒收違法所得,并處5000萬元以下或者上一年度營業額5%以下罰款,5%的額度甚至超過了在個人信息保護方面規定“最嚴”的歐盟。
此外,草案設專節對處理敏感個人信息作出嚴格限制。敏感個人信息包括種族、民族、宗教信仰、個人生物特征、醫療健康、金融賬戶、個人行蹤等。個人信息處理者只有在具有特定的目的和充分的必要性的情形下,方可處理敏感個人信息,并且應當取得個人的單獨同意或者書面同意。
在數字經濟時代,保護個人信息的內涵是多重的,保護個人信息既是保護自然人在網絡上的基本權利與自由,也是保護個人數據信息權利;個人數據信息權利保護既包括個人數據隱私權利保護,也包涵個人數據作為市場要素的商業應用保護。
數據要素也被稱為第五市場要素,那么個人數據信息保護,不僅是隱私人身安全信息的保護,而且涉及到個人數據信息的商業應用界定與歸屬。個人信息保護必然面臨著隱私保護與便利相左的困擾,也必將面臨個人數據信息權利與商業價值的對立與辨析。這都是需要深入探討的問題。
一部法律法規出臺,不僅要關注立法的宗旨、過程,更要看司法實踐的檢驗。草案及時回應了民眾的呼聲,體現了對人民的尊重。加強個人信息保護法制保障,是維護網絡空間良好生態的現實需要,更是促進數字經濟健康發展的重要舉措。