個人信息保護法核心條款

個人信息保護法核心條款引言隨著數字經濟的快速發展，個人信息已經成為重要的生產要素和社會資源，與之相伴的個人信息過度收集、濫用、泄露等問題也日益突出，給自然人的人身財產安全、人格尊嚴帶來了諸多風險。個人信息保護法的出臺，是我國個人信息保護領域的里程碑事件，構建了完整的個人信息保護制度框架。其中核心條款作為整部法律的“骨架”，承載著明確規則、分配權利義務、劃定責任邊界的核心功能，是法律落地實施的關鍵抓手，對保護自然人個人信息權益、規范個人信息處理活動、促進數字經濟健康發展都具有極為重要的意義。一、基礎規則類核心條款：搭建法律適用的基本框架（一）適用范圍與核心概念界定條款基礎規則是整部法律運行的前提，個人信息保護法首先對適用范圍和核心概念做出了清晰界定，解決了“管什么”“管誰”的問題。在適用范圍上，法律明確在我國境內處理自然人個人信息的活動都要遵守本法，即使是在境外處理我國境內自然人個人信息的活動，只要是以向境內自然人提供產品或者服務為目的，或者是對境內自然人的行為進行分析、評估的，同樣適用本法規定，這一規定有效填補了域外主體侵害我國公民個人信息權益的監管空白。在核心概念層面，法律明確個人信息是指以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息，同時將敏感個人信息單獨列為重點保護范疇，明確敏感個人信息是一旦泄露或者非法使用，容易導致自然人人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，涵蓋生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等多個類別，還特別將不滿十四周歲未成年人的個人信息全部納入敏感個人信息范疇，強化對未成年人的特殊保護。這一系列界定既充分考慮了個人信息的識別性本質，也兼顧了不同類型信息的風險等級差異，為后續的分類保護規則奠定了基礎（全國人大常委會法工委經濟法室，2021）。（二）個人信息處理的基本原則條款在明確基本概念和適用范圍的基礎上，個人信息保護法確立了個人信息處理活動應當遵循的五項基本原則，為所有處理活動劃定了不可逾越的底線。第一項是合法、正當、誠信原則，要求個人信息處理活動不得通過誤導、欺詐、脅迫等方式處理個人信息，不得違反法律法規的規定和雙方的約定。第二項是目的限制與最小必要原則，要求處理個人信息應當具有明確、合理的目的，并且應當與處理目的直接相關，采取對個人權益影響最小的方式，收集個人信息的范圍不能超出實現處理目的的必要限度，這一原則直指社會公眾反映強烈的APP過度索權、“一攬子授權”等問題，從源頭上限制了個人信息被過度收集的可能。第三項是公開透明原則，要求處理個人信息應當公開處理規則，明示處理的目的、方式和范圍，保障個人的知情權。第四項是準確完整原則，要求處理者保障其處理的個人信息的準確性、完整性，避免因信息錯誤、不實給個人權益造成損害。第五項是安全保障原則，要求處理者采取必要的技術和管理措施，保障個人信息的安全，防止信息泄露、篡改、丟失。這些基本原則貫穿于個人信息處理的全流程，是判斷處理活動是否合法的基本標準，有學者將其稱為個人信息保護的“帝王條款”，對具體規則的解釋和適用也具有重要的指導作用（王利明，2021）。基礎規則搭建起了法律的整體框架，而要實現保護個人信息權益的立法目的，核心是要明確自然人在個人信息處理活動中享有的各項權利，為個人維護自身合法權益提供直接的法律依據。二、權利配置類核心條款：明確自然人的個人信息權益（一）基礎性權利集群個人信息保護法系統規定了自然人享有的六項核心權利，形成了完整的個人信息權利體系。第一項是知情權與決定權，自然人對其個人信息的處理享有知情權，有權知曉自己的個人信息被誰處理、用來做什么、怎么處理，同時享有決定權，有權自主決定是否同意他人處理自己的個人信息，有權限制或者拒絕他人對其個人信息進行處理，除非法律、行政法規另有規定，這是個人信息權益中最核心的權利，其他各項權利都是這一權利的延伸和具體化。第二項是查閱、復制權，自然人有權向個人信息處理者查閱、復制自己的個人信息，這一權利保障了個人對自己信息的控制權，也為個人發現信息錯誤、維護自身權益提供了前提。第三項是信息可攜帶權，自然人如果請求將其個人信息轉移至其指定的其他個人信息處理者，并且符合相關部門規定的條件的，處理者應當提供轉移的途徑，這一權利打破了部分平臺對用戶數據的壟斷，有利于促進數據的合理流動和市場的公平競爭。第四項是更正、補充權，自然人發現自己的個人信息不準確、不完整的，有權要求個人信息處理者予以更正、補充，避免因錯誤信息給個人帶來不利影響。第五項是刪除權，當處理目的已經實現、無法實現，或者實現處理目的已經不再必要，或者處理者違反法律規定或者雙方約定處理個人信息，或者個人撤回同意等情形出現時，自然人有權要求處理者刪除其個人信息，這一權利是“被遺忘權”在我國法律中的具體體現，回應了個人希望消除不必要的個人信息留存的合理需求。這些權利的配置，徹底改變了此前個人信息處理活動中處理者占據絕對主導地位、個人只能被動接受的局面，為個人的信息權益提供了全方位的保護（張新寶，2022）。（二）特殊場景下的權利強化條款除了通用的權利規定之外，個人信息保護法還針對高風險的處理場景和特殊群體，設置了專門的權利強化規則，進一步提升了保護的精準性。針對敏感個人信息的處理，法律明確要求處理者必須取得個人的單獨同意，而不能通過“一攬子授權”的方式獲得同意，同時還要向個人說明處理敏感個人信息的必要性以及對個人權益的影響，只有在為了保護自然人的生命健康和財產安全等緊急情況下，或者法律、行政法規另有規定的情況下，才可以免除單獨同意的要求。針對不滿十四周歲未成年人的個人信息處理，法律明確要求處理者必須取得未成年人的父母或者其他監護人的同意，并且應當制定專門的個人信息處理規則，這一規則針對未成年人自我保護能力弱、個人信息泄露風險高的特點，為未成年人的個人信息權益搭建了額外的保護屏障。此外，針對自動化決策這一近年來爭議較多的處理場景，法律明確規定個人有權拒絕處理者僅通過自動化決策的方式作出對其權益有重大影響的決定，這一規定有效避免了算法濫用給個人權益帶來的不合理侵害。權利的實現離不開義務的約束，個人信息保護法在明確自然人權利的同時，也對個人信息處理者應當承擔的義務做出了詳細的規定，壓實了處理者的主體責任，從源頭減少個人信息權益被侵害的可能。三、義務約束類核心條款：壓實個人信息處理者的主體責任（一）通用義務條款個人信息保護法對所有個人信息處理者規定了統一的通用義務，覆蓋個人信息處理的全流程。首先是內部管理義務，處理者應當建立健全個人信息保護內部管理制度和操作規程，對個人信息實行分類管理，采取相應的加密、去標識化等安全技術措施，合理設置個人信息處理的操作權限，定期對從業人員進行個人信息保護相關的安全教育和培訓，制定并組織實施個人信息安全事件應急預案，從制度、技術、人員等多個層面保障個人信息的安全。其次是風險事前評估義務，對于處理敏感個人信息、利用個人信息進行自動化決策、委托處理個人信息、向境外提供個人信息等高風險的個人信息處理活動，處理者應當事前開展個人信息保護影響評估，對處理活動的合法性、正當性、必要性，以及對個人權益可能帶來的風險，采取的保護措施是否合法有效等內容進行評估，并且要對評估情況和處理活動的情況進行記錄留存。第三是安全事件通知義務，如果發生或者可能發生個人信息泄露、篡改、丟失的情況，處理者應當立即采取補救措施，并且按照規定通知履行個人信息保護職責的部門和受影響的個人，只有在處理者采取措施能夠有效避免信息泄露帶來的損害，或者有關部門認為通知可能帶來更大風險的情況下，才可以暫時不通知個人。這些義務條款將個人信息保護的關口從事后追責前移到了事前預防和事中管控，有效降低了個人信息安全事件發生的概率（周漢華，2021）。（二）重點主體與場景的特別義務條款針對部分主體和場景的特殊性，個人信息保護法還設置了專門的特別義務，提升了規則的針對性。針對用戶數量巨大、業務類型復雜的重要互聯網平臺，法律明確要求其承擔額外的個人信息保護義務，包括成立主要由外部獨立成員組成的個人信息保護監督機構，對平臺的個人信息保護情況進行監督；每年發布個人信息保護社會責任報告，向社會公開其個人信息保護工作的開展情況，接受社會監督；對平臺內的產品和服務提供者的個人信息處理活動進行規范，發現其違反法律規定處理個人信息的，應當及時采取措施制止，情節嚴重的還要停止為其提供平臺服務。這些特別義務回應了超級平臺在個人信息處理中的特殊地位，解決了普通用戶和平臺之間地位不對等的問題。針對自動化決策場景，法律明確要求自動化決策應當遵守透明度原則，不能對個人在交易價格等交易條件上實行不合理的差別待遇，也就是社會公眾深惡痛絕的“大數據殺熟”行為，同時如果通過自動化決策的方式向個人推送信息、開展商業營銷的，應當同時提供不針對個人特征的選項，或者向個人提供便捷的拒絕方式，這一規定有效保障了個人不被算法“算計”的權利。完善的義務約束還需要有嚴格的責任追究機制作為保障，才能讓法律的各項規定真正長出“牙齒”，確保個人權益受損之后能夠得到有效的救濟。四、責任與救濟類核心條款：保障權益受損后的追責落地（一）過錯推定的歸責原則條款個人信息保護法對侵害個人信息權益的侵權責任確立了過錯推定的歸責原則，明確處理個人信息侵害個人信息權益造成損害的，個人信息處理者如果不能證明自己沒有過錯，就應當承擔損害賠償等侵權責任。這一規則的設置充分考慮了個人和處理者之間的信息不對等地位，在個人信息處理活動中，處理者掌握著處理活動的全部流程和相關信息，個人很難舉證證明處理者存在過錯，過錯推定原則將舉證責任轉移給處理者，只要個人能夠證明自己的權益因為處理者的處理活動受到了損害，處理者就要舉證證明自己沒有過錯，否則就要承擔責任，這一規則大大降低了個人的維權成本，解決了長期以來個人信息維權舉證難的痛點（程嘯，2021）。（二）多元責任與救濟渠道條款在責任承擔層面，個人信息保護法設置了行政、民事、刑事三位一體的多元責任體系，大幅提升了違法成本。在行政責任方面，對于違反法律規定處理個人信息的行為，履行個人信息保護職責的部門可以責令改正，給予警告，沒收違法所得，還可以處以相應額度的罰款，對于情節嚴重的違法行為，還可以責令暫停相關業務、停業整頓，甚至吊銷相關業務許可或者營業執照，同時對直接負責的主管人員和其他直接責任人員也可以處以罰款，還可以禁止其在一定期限內擔任相關企業的董事、監事、高級管理人員和個人信息保護負責人。在民事責任方面，處理者侵害個人信息權益造成損害的，應當承擔損害賠償責任，賠償數額按照個人因此受到的損失或者處理者因此獲得的利益確定，如果個人的損失和處理者的獲利都難以確定的，法院可以根據實際情況確定合理的賠償數額，對于損害眾多個人信息權益的行為，法律還明確規定人民檢察院、法律規定的消費者組織和由國家網信部門確定的組織，可以依法向人民法院提起公益訴訟，解決了個人維權成本高、分散維權難度大的問題。在刑事責任方面，違反法律規定處理個人信息，構成犯罪的，依法追究刑事責任。在救濟渠道方面，個人發現自己的個人信息權益受到侵害的，可以向履行個人信息保護職責的部門投訴舉報，也可以直接向人民法院提起訴訟，相關部門收到投訴舉報之后應當及時依法處理。結語總的來看，個人信息保護法的核心條款從基礎框架搭建、權利體系配置、義務責任落