《中华人民共和国个人信息保护法》即将于2021年11月1日起正式施行，这标志着我国个人信息保护立法体系进入新的阶段。《个人信息保护法》的出台为个人信息权益保护、信息处理者的义务以及主管机关的职权范围提供了全面的、体系化的法律依据。个人信息权益得到切实有效的制度保障，也为信息产业明确了经营行为的合法性边界，与《国家安全法》《网络安全法》《民法典》《数据安全法》等法律法规共同构建起个人信息保护的法治堤坝。

顺应人民群众迫切的权益诉求

“个人信息是信息时代的‘石油’，谁掌握了信息，谁就掌握了智慧时代的‘按钮’。个人信息不仅是财产问题，还涉及国家社会、经济安全、数字经济社会发展等重要问题，再加上当前个人信息的收集广度与深度前所未有地加强，亟须制定专门的信息保护法。与此同时，在国际上，欧盟、美国都出台了相关的法律，《个人信息保护法》的制定也是适应个人信息跨境流动、个人信息国际合作保护的需要。”中南大学法学院院长许中缘说。

《个人信息保护法》的出台可谓顺应人民群众最迫切的权益诉求。在数字经济时代，个人与网络信息服务提供者之间存在明显的信息鸿沟，为了能够获得相应的信息服务使用权限，个人不得不“主动”提供自己的个人信息，但是却无法真正知晓自己的个人信息究竟将如何被处理以及谁将拥有自己的个人信息。更有甚者，个人信息买卖已然形成完整的黑灰产业链条，个人的财产安全和人身安全受到严重威胁。

为了充分保护个人信息权益，同时也是为了规范个人信息处理活动，促进信息产业发展，《个人信息保护法》顺势而为，明确了个人信息处理活动应当以合法、正当、必要和诚信作为基本原则。北京航空航天大学法学院副教授赵精武表示，任何类型和任何阶段的个人信息处理行为均应当满足这些原则性要求，即便现行立法没有明确规定特定个人信息处理行为是否满足法定义务，如若相关行为违背合法、正当、必要和诚信四项基本原则之一，也应当承担相应的民事法律责任，情节严重的，应当承担刑事责任。

针对社会上热议的许多现象，《个人信息保护法》做出了回应。如第二十四条规定直指“大数据杀熟”：“个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。”

加强对敏感信息的保护

人脸识别在新冠肺炎疫情防控中提供了高效的手段，同时也引发了人们对收集和处理人脸信息等生物识别信息边界的关注。我国《个人信息保护法》要求，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。由于敏感个人信息与自然人的人格尊严等基本权利、重大人身利益和财产利益具有极为密切的联系，对此类个人信息的处理会对自然人的基本权利和人身财产安全产生重大风险，我国《个人信息保护法》借鉴了欧盟、美国等法域的立法经验并结合我国实际，对敏感个人信息的处理进行了专门规定。

《个人信息保护法》规定将敏感个人信息定义为一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，同时列举了敏感个人信息的种类，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。《个人信息保护法》将不满十四周岁未成年人的个人信息列为敏感个人信息，强化了对未成年人个人信息权益的保护。

此外，有的用户对用户协议表示疑惑。“在下载APP时，为了使用功能，直接对弹出的服务协议点击‘同意’。虽然协议表述清楚，但最后往往会加上一句‘需要您的同意’，不同意就会强制退出应用。”此前个人信息被采集之后，往往不知道信息的流向，“单向告知”成为常态。这一现象得到《个人信息保护法》的充分重视。

中央党校政法部教授刘锐表示，将“告知-同意”确定为个人信息处理的基本规则，是个人对个人信息处理享有知情权、决定权的必然要求。要保证个人对信息处理“充分知情”，就应该以显著的方式、清晰易懂的语言让个人知道谁在处理他的信息、信息被怎样处理、可能对他造成何种影响，以及怎么要求更正、查询、删除个人信息等。

综上，我国《个人信息保护法》区分敏感与非敏感的个人信息，并在此基础上确定了敏感个人信息的特殊处理规则，与世界主流个人数据保护立法一致，体现了对与人格尊严或人身、财产安全密切相关的个人信息的倾斜保护，能更有效地防范个人信息风险，更全面保护个人信息主体的利益。同时，区别对待不同种类的个人信息，能提高对处理行为的可预测性，明确了企业合规重点，有利于数字经济发展。