“我都不知道自己什么時(shí)候授權(quán)同意他們獲取我的個(gè)人信息了。”“騷擾電話真的太多了，而且上來就能叫出我的名字，有的還能報(bào)出身份證號(hào)碼和家庭住址。”在移動(dòng)互聯(lián)時(shí)代，有關(guān)個(gè)人信息被網(wǎng)絡(luò)平臺(tái)濫用的吐槽不絕于耳。

21日，《中華人民共和國個(gè)人信息保護(hù)法(草案)》(以下簡稱草案)在中國人大網(wǎng)上公布，并向全社會(huì)公開征求意見。草案進(jìn)一步明確了如何保護(hù)公民個(gè)人信息，對(duì)于違法收集、處理個(gè)人信息的行為也制定了更為嚴(yán)厲的處罰措施。

不一攬子授權(quán)就無法使用APP將成歷史

明明只是一款短視頻類APP，卻一定要讀取我的地理位置、通訊錄，否則就不能使用。類似這樣的APP“霸王條款”，在草案中被明令禁止。

草案第17條提出，個(gè)人信息處理者不得以個(gè)人不同意處理其個(gè)人信息或者撤回其對(duì)個(gè)人信息處理的同意為由，拒絕提供產(chǎn)品或者服務(wù);處理個(gè)人信息屬于提供產(chǎn)品或者服務(wù)所必需的除外。

專家認(rèn)為，相較于一年多前國家網(wǎng)信辦發(fā)布的《數(shù)據(jù)安全管理辦法(征求意見稿)》中提出的類似條款，草案的權(quán)威性更高。“如果是跟APP核心功能無關(guān)的權(quán)限，草案明確規(guī)定，如果用戶不同意，你是不能以用戶不授權(quán)為由拒絕為其提供服務(wù)的。”APP專項(xiàng)治理工作組專家、中國電子技術(shù)標(biāo)準(zhǔn)化研究院信息安全研究中心測(cè)評(píng)實(shí)驗(yàn)室副主任何延哲表示，草案保障用戶使用APP時(shí)充分的知情選擇權(quán)，APP強(qiáng)制索權(quán)在法理層面將成為歷史。

何延哲建議，對(duì)于部分APP廠商所提出的“用戶個(gè)人信息授權(quán)與賬戶安全相關(guān)”的訴求，有關(guān)部門也需加快推進(jìn)行業(yè)標(biāo)準(zhǔn)的制定，“有的APP為了保障用戶賬戶安全，可能只需要三個(gè)信息要素，有的可能需要五個(gè)，這些也需要具體問題具體分析。”

公共場(chǎng)所隨意采集人臉信息?不再允許!

在人臉識(shí)別技術(shù)日漸普及的當(dāng)下，部分企業(yè)將人臉作為新的利益增長點(diǎn)，街巷、商場(chǎng)甚至小賣部中，都有他們安裝的人臉信息采集設(shè)備。

草案提出，在公共場(chǎng)所安裝圖像采集、個(gè)人身份識(shí)別設(shè)備，應(yīng)當(dāng)為維護(hù)公共安全所必需，遵守國家有關(guān)規(guī)定，并設(shè)置顯著的提示標(biāo)識(shí)。所收集的個(gè)人圖像、個(gè)人身份特征信息只能用于維護(hù)公共安全的目的，不得公開或者向他人提供;取得個(gè)人單獨(dú)同意或者法律、行政法規(guī)另有規(guī)定的除外。

“草案對(duì)于在公共場(chǎng)所采集人臉等身份特征信息做了進(jìn)一步的規(guī)范，也就是說未來在公共場(chǎng)所，只要不是出于公共安全目的，任何機(jī)構(gòu)不得隨意采集人臉信息。”何延哲說，“個(gè)人圖像”和“個(gè)人身份特征信息”是兩個(gè)不同維度的個(gè)人信息，“個(gè)人圖像”是不包含姓名、身份證號(hào)等其他關(guān)聯(lián)信息的圖像，但也存在識(shí)別出個(gè)人的可能。這意味著機(jī)構(gòu)如非公共安全必需，即便是無意中采集了個(gè)人圖像也不能用于識(shí)別個(gè)人身份，同時(shí)也要保證信息安全，不能對(duì)外提供和公開，以免他人用于識(shí)別個(gè)人身份。

個(gè)人信息授權(quán)可隨時(shí)撤回，更加體現(xiàn)“以人為本”精神

草案提出，基于個(gè)人同意而進(jìn)行的個(gè)人信息處理活動(dòng)，個(gè)人有權(quán)撤回其同意。

“就像我們平時(shí)做出一個(gè)決定可以反悔一樣，哪怕你是合規(guī)收集處理我的信息，但是現(xiàn)在我突然不想被你收集信息了，你就不能再繼續(xù)收集了。” 中國信息安全研究院副院長左曉棟認(rèn)為，這一條款的設(shè)立與第17條相輔相成，進(jìn)一步明確用戶在撤回個(gè)人信息授權(quán)后使用產(chǎn)品和服務(wù)的權(quán)利。

同時(shí)，草案相關(guān)條款還提出，當(dāng)個(gè)人撤回同意后，個(gè)人信息處理者應(yīng)當(dāng)刪除個(gè)人信息。也就是說，當(dāng)用戶“撤回同意”后，相關(guān)機(jī)構(gòu)不僅喪失了繼續(xù)收集該用戶個(gè)人信息的權(quán)限，同時(shí)也應(yīng)根據(jù)草案的有關(guān)要求，適時(shí)刪除其數(shù)據(jù)庫中所留存的該用戶的原始個(gè)人信息。

此外，草案還要求，個(gè)人信息處理者在緊急情況下為保護(hù)自然人的生命健康和財(cái)產(chǎn)安全處理個(gè)人信息卻無法及時(shí)向個(gè)人告知的，個(gè)人信息處理者應(yīng)當(dāng)在緊急情況消除后予以告知。“這一規(guī)定較好地平衡了各方面的權(quán)利。例如，在處置突發(fā)公共事件時(shí)，有時(shí)需要收集或調(diào)取個(gè)人信息，可能來不及告知個(gè)人信息主體，但相關(guān)機(jī)構(gòu)在處置完畢后應(yīng)當(dāng)告知個(gè)人信息被收集人。”左曉棟說。

濫用個(gè)人信息企業(yè)還能“自罰三杯”嗎?草案大大提高處罰標(biāo)準(zhǔn)

此次草案提出的處罰標(biāo)準(zhǔn)也引發(fā)輿論關(guān)注，過去營收過百億、千億的企業(yè)因?yàn)E用個(gè)人信息或強(qiáng)制索權(quán)被處罰十幾萬的情況也將越來越少。

草案提出，違反本法規(guī)定處理個(gè)人信息，或者處理個(gè)人信息未按照規(guī)定采取必要的安全保護(hù)措施的，情節(jié)嚴(yán)重的，由履行個(gè)人信息保護(hù)職責(zé)的部門責(zé)令改正，沒收違法所得，并處五千萬元以下或者上一年度營業(yè)額百分之五以下罰款，并可以責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、通報(bào)有關(guān)主管部門吊銷相關(guān)業(yè)務(wù)許可或者吊銷營業(yè)執(zhí)照。

長期從事個(gè)人信息安全研究的北京安理律師事務(wù)所高級(jí)合伙人王新銳認(rèn)為，草案雖然在固定處罰數(shù)額上低于歐盟的《一般數(shù)據(jù)保護(hù)條例》(GDPR)，但其提高了處罰的營業(yè)額占比，同時(shí)還可施加停業(yè)整頓、吊銷執(zhí)照等行政措施;在上限處罰數(shù)額的適用范圍上，草案未予以特殊規(guī)定，因此當(dāng)滿足情節(jié)特別嚴(yán)重的定義時(shí)，上述處罰措施可適用于所有違反規(guī)定的行為。從這兩方面看，個(gè)人信息保護(hù)法草案的處罰力度不小。

“相較于GDPR中所規(guī)定的罰款最高額為企業(yè)上一年‘全球營業(yè)額的4%’，草案中并未對(duì)企業(yè)上一年度‘營業(yè)額的5%’是境內(nèi)還是全球進(jìn)行范圍說明。”王新銳等人建議，有關(guān)部門可對(duì)相關(guān)處罰門檻做進(jìn)一步明確。

標(biāo)簽： 個(gè)人信息保護(hù)法