人脸识别在新冠肺炎疫情防控中提供了高效的手段，同时也引发了人们对收集和处理人脸信息等生物识别信息边界的关注。我国《个人信息保护法》要求，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。由于敏感个人信息与自然人的人格尊严等基本权利、重大人身利益和财产利益具有极为密切的联系，对此类个人信息的处理会对自然人的基本权利和人身财产安全产生重大风险，我国《个人信息?；しā方杓伺访恕⒚拦确ㄓ虻牧⒎ň椴⒔岷衔夜导?，对敏感个人信息的处理进行了专门规定。敏感个人信息的?；な俏夜陡鋈诵畔⒈；しā返闹匾谌葜?。
首先，《个人信息?；しā范悦舾懈鋈诵畔⒔辛硕ㄒ搴土芯?。
《个人信息?；しā饭娑ń舾懈鋈诵畔⒍ㄒ逦坏┬孤痘蛘叻欠ㄊ褂?，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，同时列举了敏感个人信息的种类，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。《个人信息?；しā方宦闹芩晡闯赡耆说母鋈诵畔⒘形舾懈鋈诵畔ⅲ炕硕晕闯赡耆烁鋈诵畔⑷ㄒ娴谋；?。
敏感个人信息和非敏感个人信息是我国《个人信息?；しā反庸娣陡鋈诵畔⒋硇形慕嵌榷愿鋈诵畔⒔械囊恢种匾掷?，有针对性地提高处理者在处理敏感个人信息时的法定义务，更加充分地保护个人信息权益。
我国《个人信息?；しā吩诹芯倜舾懈鋈诵畔⒅掷嘀械摹暗取弊?，应采“等外”之意，表示列举未尽。纵使不在法律明文列举之列，因其在特定场景所具有的高度敏感性，也应纳入敏感个人信息的?；し冻?。技术的发展及场景的变化，也为新型的敏感个人信息特殊?；ち粝驴占?。
其次，《个人信息?；しā范悦舾懈鋈诵畔⒐娑俗诺拇砉嬖?。
我国《个人信息保护法》在区分敏感个人信息与非敏感个人信息的基础上，在第二章专节规定了“敏感个人信息的处理规则”，对处理敏感个人信息的前提进行了限制，要求只有在具有特定的目的和充分的必要性，并采取严格?；ご胧┑那樾蜗?，个人信息处理者方可处理敏感个人信息。以此为基础，《个人信息?；しā饭娑艘恍┙鍪视糜诿舾懈鋈诵畔⒌奶厥獯砉嬖?，知情同意原则是个人信息?；ち煊蚬系氖滓?，既适用于敏感个人信息，也适用于非敏感个人信息，意在实现与加强个人自决。针对敏感个人信息的处理，《个人信息?；しā诽岢隽烁叩囊?，要求处理敏感个人信息应当取得个人的单独同意。这意味着在处理敏感个人信息时，概括同意或推定同意的授权模式为法律所禁止。法律、行政法规规定处理敏感个人信息应当取得书面同意的，还应取得书面同意。
《个人信息?；しā范悦舾懈鋈诵畔⒋碚叩母嬷逦裉岢隽烁叩囊蟆！陡鋈诵畔⒈；しā返?7条第1款规定：“个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：（1）个人信息处理者的名称或者姓名和联系方式；（2）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（3）个人行使本法规定权利的方式和程序；（4）法律、行政法规规定应当告知的其他事项?！钡?0条规定：“个人信息处理者处理敏感个人信息的，除本法第17条第1款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。”
《个人信息?；しā凡唤鼋宦闹芩晡闯赡耆说母鋈诵畔⒘形舾懈鋈诵畔?，还要求个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则?！陡鋈诵畔⒈；しā方宦闹芩晡闯赡耆说母鋈诵畔⒆魑舾懈鋈诵畔ⅲ赜α讼质抵卸畔⑿孤兜任侍?，对未成年人个人信息处理进行了更严格的规范，有利于切实维护未成年人的合法利益并促进未成年人健康成长。
《个人信息?；しā坊构娑ǎ?、行政法规对处理敏感个人信息规定应当取得相关行政许可或者作出其他限制的，从其规定。
再次，个人信息处理者处理敏感个人信息应当事前进行个人信息?；び跋炱拦?。
对处理敏感个人信息等几种特定情形，《个人信息保护法》规定应在事前进行个人信息?；び跋炱拦?，并对处理情况进行记录。个人信息?；び跋炱拦辣局噬鲜欠缦掌拦馈Ｓ捎诖砻舾懈鋈诵畔⒖赡芏宰匀蝗说娜ɡ妥杂纱锤叨确缦?，对此类处理进行事前风险评估可以防患于未然?！陡鋈诵畔⒈；しā芬蟾鋈诵畔⒈；び跋炱拦烙Φ卑ㄏ铝心谌荩海?）个人信息的处理目的、处理方式等是否合法、正当、必要；（2）对个人权益的影响及安全风险；（3）所采取的?；ご胧┦欠窈戏?、有效并与风险程度相适应。个人信息?；び跋炱拦辣ǜ婧痛砬榭黾锹加Φ敝辽俦４嫒辍?/p>
综上，我国《个人信息?；しā非置舾杏敕敲舾械母鋈诵畔?，并在此基础上确定了敏感个人信息的特殊处理规则，与世界主流个人数据?；ち⒎ㄒ恢?，体现了对与人格尊严或人身、财产安全密切相关的个人信息的倾斜?；ぃ芨行У胤婪陡鋈诵畔⒎缦?，更全面保护个人信息主体的利益。同时，区别对待不同种类的个人信息，能提高对处理行为的可预测性，明确了企业合规重点，在一定程度上降低企业的合规成本，有利于数字经济发展。
《个人信息?；しā罚汗怪率贝鋈诵畔⑷ㄒ姹；さ陌踩阑ね?/strong>
作者：赵精武 北京航空航天大学法学院副教授，工业和信息化法治研究院研究员
《中华人民共和国个人信息?；しā芳唇?021年11月1日起正式施行，这标志着我国个人信息保护立法体系进入新的阶段。个人信息?；さ南喙刂贫仍凇锻绨踩ā肪鸵丫辛俗ㄕ鹿娑?，其后的《民法典》人格权编和《数据安全法》也先后规定了涉及个人信息的具体保护制度。相较于前述立法活动，《个人信息?；しā返某鎏ㄎ鋈诵畔⑷ㄒ姹；ぁ⑿畔⒋碚叩囊逦褚约爸鞴芑氐闹叭ǚ段峁┝巳娴?、体系化的法律依据。个人面对非法收集和处理个人信息的侵权行为能够获得更具体、更多样的救济方式，权利保障范围涵盖个人信息收集、存储、使用、加工、传输、提供、公开、删除等多个环节以及敏感个人信息处理、个人信息跨境提供等特定场景。个人信息权益得到切实有效的制度保障，也为信息产业明确了经营行为的合法性边界，与《国家安全法》《网络安全法》《民法典》和《数据安全法》等法律法规共同构建起个人信息?；さ姆ㄖ蔚贪印?/p>
一、个人信息处理活动的基本原则框架：合法、正当、必要与诚信
《个人信息?；しā返某鎏晌绞撬秤θ嗣袢褐谧钇惹械睦嫠咔?。在数字经济时代，个人与网络信息服务提供者之间存在明显的信息鸿沟，为了能够获得相应的信息服务使用权限，个人不得不“主动”提供自己的个人信息，但是却无法真正知晓自己的个人信息究竟将如何被处理以及谁将拥有自己的个人信息。更有甚者，个人信息买卖已然成为完整的黑灰产业链条，个人的财产安全和人身安全受到严重威胁。为了充分保护个人信息权益，同时也是为了规范个人信息处理活动，促进信息产业发展，《个人信息?；しā匪呈贫魅妨烁鋈诵畔⒋砘疃Φ币院戏?、正当、必要和诚信作为基本原则，即任何类型和任何阶段的个人信息处理行为均应当满足这些原则性要求，即便现行立法没有明确规定特定个人信息处理行为是否满足法定义务，如若相关行为违背合法、正当、必要和诚信四项基本原则之一，也应当承担相应的民事法律责任，情节严重的，应当承担刑事责任?；谎灾?，这四项基本原则构成了《个人信息?；しā返哪谌葜飨撸旱谝唬戏ㄐ栽蛞蟾鋈诵畔⒋硇形Φ甭惴煞ü婀娑?，这里的“法”并不单一局限于《个人信息?；しā?，还包括《网络安全法》《数据安全法》《民法典》《刑法》《关键信息基础设施安全?；ぬ趵返确煞ü?。第二，正当性原则要求个人信息处理行为应当符合立法宗旨和法律价值，不得以谋求自身利益而侵害其他个人的个人信息权益。在实践中，部分APP运营者在用户注册阶段以不显著、不直接的方式向用户展示个人信息处理的目的、范围和方式等重要信息，这种行为显然违背了正当性原则。第三，必要性原则要求个人信息的收集范围和处理方式应当仅以实现相应的信息服务功能和业务目的为必要。该原则强有力地回应了当下社会对APP运营者肆意收集处理个人信息行为的担忧和质疑，避免个人为获取相应信息服务而被动提供个人信息的问题恶化。例如，地图导航类APP运营者的个人信息收集范围仅应当以地理位置信息为限，职业、工资、旅游偏好等其他与地图导航功能无关的个人信息显然不在“与处理目的直接相关”的范围之内。第四，诚信原则强调个人信息处理者不得利用自身的优势地位侵害个人信息权益。一方面，个人信息处理者应当诚实信用地按照约定的处理目的和范围处理个人信息；另一方面，个人信息处理者不应当故意隐瞒、有意淡化事关个人信息权益的提示说明事项。
二、个人信息权益?；し绞剑喝ɡ胍逦竦囊惶寤?/strong>
在欧盟《通用数据保护条例》出台之后，全球各国个人信息立法曾一度或多或少受到欧盟个人数据权利体系的理论影响，删除权、更正权、查询权等具体权利似乎成为个人信息?；ち煊虻摹爸贫确侗尽?。我国《个人信息?；しā吩蛄⒆阌谥泄就潦导蛉澜缣峁┝巳碌母鋈诵畔⒈；に悸罚褐厥痈鋈诵畔⑷ㄒ娴氖抵市员；ぃ匀ɡ胍逦竦囊惶寤笪枷颉４印陡鋈诵畔⒈；しā返牡谒恼潞偷谖逭履谌堇纯?，个人在个人信息处理活动中享有查阅、复制、更正、补充、请求删除个人信息等具体权利。并且，个人信息处理者也应当积极履行法定义务，确保个人权利能够有效实现，倘若个人信息处理者设置各种不合理非必要的维权程序、客服流程等“维权门槛”，既违背了个人信息处理行为的基本原则，也构成了法定义务履行不充分。
个人在个人信息处理活动中行使权利有两个前提条件：第一，个人对个人信息处理应当享有充分知情权和决定权。所谓的知情权是指个人有权知晓其个人信息的收集处理目的、范围和方式，并且这种知情应当是以清晰易懂的显著方式予以实现?；谎灾?，如果个人信息处理者为避免承担法律责任将所有个人信息处理事项事无巨细地向用户直接展示，又或是以小号字体、密集文字排版等方式告知用户个人信息处理活动，则显然构成对个人信息知情权的实质侵害。第二，个人在实现知情权之后应当能够独立自主地决定是否提供个人信息以及决定个人信息的实际处理范围和方式。在实践中，部分用户即便知晓个人信息处理的相关事项，但囿于使用特定信息服务的需要以及行业内格式合同的泛滥，用户无力决定个人信息的具体处理方式。为了解决此类问题，《个人信息保护法》明确个人有权限制或限制对其个人信息处理。此外，决定权也有其例外情形。
三、充足的安全感：国家机关全方位?；じ鋈诵畔?/strong>
《个人信息?；しā诽峁┑母鋈诵畔⒈；ぢ肪恫⒉痪窒奕ɡ胍逦竦囊恢滦砸?，还包括专门的国家机关履行个人信息?；ぶ霸?，提供全方位的个人信息?；ず途燃梅绞健！陡鋈诵畔⒈；しā匪峁┑某渥惆踩屑壤醋杂诠一卮砀鋈诵畔⒌奶乇鸸娑?，也来源于国家机关履行职责的专门规定。一方面，《个人信息?；しā饭娑ü一卮砀鋈诵畔⑼Φ弊袷胤?、行政法规规定的权限和程序。个人信息权益受到前所未有的重视，即便个人信息处理者是国家机关，其收集处理范围和限度同样不得超出履行法定职责之需要。并且，国家机关处理个人信息之前，应当依照规定，履行告知义务。另一方面，《个人信息保护法》明确规定了国家网信部门负责统筹协调个人信息?；すぷ骱拖喙丶喽焦芾砉ぷ?。国务院有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息?；ず图喽焦芾砉ぷ?。具体而言，除了日常熟知的个人信息?；ば逃?，接受、处理与个人信息?；は喙氐耐端?、举报，调查、处理违法处理个人信息等活动之外，还包括个人信息?；て拦馈⒏鋈诵畔⒖缇炒浒踩拦?、第三方安全认证体系、个人信息?；ぜ际醣曜贾贫ǖ染咛辶煊虻墓ぷ髂谌?。此外，为了切实解决近期出现的“监控偷拍人脸识别”“大数据杀熟”等社会热点问题，《个人信息保护法》还专门规定国家网信部门统筹协调有关部门依据本法推进人脸识别、人工智能等新技术、新领域个人信息?；す嬖?、标准制定工作。
个人信息保护绝不能停留于纸面的权利宣誓与义务要求，更要重视之后法律实施过程中可能面临的新问题和新挑战，平衡个人信息权益与信息产业良性发展的双重诉求，个人信息?；せ剐枰行吵镄髁⒎?、执法和司法三个环节，要让老百姓看得到、摸得着、感受得到真正的个人信息权益保护，推进个人信息?；すぷ鞯淖萆罨⒄?。
来源：澎湃新闻·澎湃号·政务
作者：刘颖 广东省法学会网络与电子商务法学研究会会长，暨南大学法学院教授
