为个人信息保护筑牢法律防火墙

　　近期，备受关注的《中华人民共和国个人信息保护法(草案)》(以下简称草案)正式提交十三届全国人大常委会第二十二次会议首次审议，揭开我国个人信息立法进程的新篇章。

　　在我国数字化转型加速、新技术新应用层出不穷的背景下，个人信息处理逐渐成为社会进步和产业升级新的驱动力，广大民众对于加大个人信息保护力度有着空前的关切和期待，个人信息保护法的制定是保障公民个人信息权益、促进个人信息合理利用的必然举措。

　　草案对个人信息合理利用以及信息泄露等诸多民众现实关切做出了及时、有效回应：

　　针对目前频发的个人信息泄露事件，草案明确规定个人信息处理者的义务规则，要求其立即采取补救措施，并且向履行个人信息保护职责的部门和个人通知信息泄露的原因、已泄露的个人信息种类和可能造成的危害、已采取的补救措施以及个人可以采取的减轻危害措施等重要事项。

　　针对日益普遍的自动化决策应用，草案明确要求保证决策的透明度和处理结果的公平合理，并赋予个人相关的知情权和拒绝权，特别是在通过自动化决策方式进行商业营销或信息推送的应用场景中，有权同时获得不针对其个人特征的选项。

　　针对广泛存在的已公开个人信息的利用问题，草案明确强调对该类信息的后续利用应当符合该个人信息被公开时的用途，超出与该用途相关合理范围的，应当另行告知并取得同意。在用途不明确的场景中，必须遵从合理、谨慎的处理原则，如果相关个人信息处理活动对个人有重大影响的，则应当依法向个人告知并取得其同意。

　　总体来看，草案在个人信息处理规则、个人在个人信息处理活动中的权利、个人信息处理者的义务、履行个人信息保护职责的部门、法律责任等多个层面设计和建构个人信息保护的立法框架，在规范设计上呈现出众多亮点。

　　草案以“告知-同意”机制为核心逻辑建构覆盖个人信息处理全生命周期的规则框架，强化保障自然人的控制能力，同时注重与其他重要利益包括国家安全以及公共利益等的平衡协调，例如，针对各类不同的具体场景设定告知或者同意的例外规则。这反映了立法者对个人权益的着重保护，并通过系统的个人权利内容以及个人信息处理者义务相关规定予以全面细化落实，切实贯彻保护个人信息权益与促进个人信息合理利用的双重立法目的。

　　草案还通过明确规定履行个人信息保护职责的部门权限分工，进一步提升个人信息权益的保护层次和水平。从国家网信部门、国务院有关部门到县级以上地方人民政府有关部门的职责内容与执法方式等细化规定，将有力推动个人信息处理活动监管机制的革新与完善。

　　草案同时注重发挥国家、社会、企业和个人等不同主体的协同作用，打造个人信息保护领域的多方共享共治模式。草案特别强调国家建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为，加强个人信息保护宣传教育，推动形成政府、企业、相关行业组织和社会公众共同参与个人信息保护的良好环境，为个人信息依法有序自由流动奠定坚实的、可持续的生态基础。(吴沈括)