個人信息保護法草案立足于維護廣大人民群眾的網絡空間合法權益，對利用個人信息進行自動化決策作出有針對性規范，不僅明確了企業、平臺等個人信息處理者的行為邊界，而且賦予個人更加充分的權利保障，同時制定了侵害個人信息權益造成損害的賠償規則。

8月17日，個人信息保護法草案三審稿提請十三屆全國人大常委會第三十次會議審議。草案進一步完善了個人信息處理規則，特別是對應用程序過度收集個人信息、“大數據殺熟”等作出了針對性規定，為個人信息處理活動劃出紅線。對此，眾多業內專家均表示，個人信息保護法草案能夠進一步維護廣大人民群眾的網絡空間合法權益，促進個人信息合理利用。

“決策”不能任性而動

“當前，社會各方面對于用戶畫像、算法推薦等新技術新應用高度關注，對相關產品和服務中存在的信息騷擾、‘大數據殺熟’等問題反映強烈。”全國人大常委會法工委發言人臧鐵偉在日前舉行的記者會上表示，個人信息保護法草案立足于維護廣大人民群眾的網絡空間合法權益，對利用個人信息進行自動化決策作出有針對性規范。

據介紹，公眾熟知的用戶畫像、算法推薦等均屬于自動化決策行為。自動化決策能夠通過程序自動分析使用者的行為習慣、興趣愛好、信用狀況等，再進行決策活動。一旦自動化決策被違規使用，就可能會對個人在交易價格等交易條件上產生不合理的差別待遇。因此，個人信息保護法草案對利用個人信息進行自動化決策作出了專門規范。

此次草案明確，自動化決策應當遵守個人信息處理的一般規則，包括應遵循合法、正當、必要和誠信原則，目的明確和最小化處理原則等。自動化決策應當在充分告知個人信息處理相關事項的前提下取得個人同意，不得以個人不同意為由拒絕提供產品或者服務。

在上述規則下，法律草案提出，個人信息處理者要保證自動化決策的透明度和結果的公平、公正，不得通過自動化決策對個人在交易價格等交易條件上實行不合理的差別待遇，并在事前進行個人信息保護影響評估。對于違法處理個人信息的應用程序，履行個人信息保護職責的部門將責令暫停或者終止提供服務。

個人有權拒絕自動化決策

法律草案不僅明確了企業、平臺等個人信息處理者的行為邊界，而且賦予個人更加充分的權利保障。草案要求個人信息處理者通過自動化決策方式向個人進行信息推送、商業營銷時，應當同時提供不針對其個人特征的選項，或者向個人提供拒絕的方式；作出對個人權益有重大影響的決定，個人有權要求予以說明，并有權拒絕僅通過自動化決策的方式作出決定。

針對敏感個人信息，草案也作出明確規定。敏感個人信息一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害。這類個人信息包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。

只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。處理敏感個人信息應當取得個人的單獨同意，法律、行政法規規定處理敏感個人信息應當取得書面同意的，從其規定。

制定個人信息保護平臺規則

上海段和段律師事務所律師劉春泉建議，軟件、硬件設計、網絡平臺服務應當符合法律法規關于保護個人隱私與個人信息的要求。“為了體現設計保護個人信息的具體制度建設，軟件和硬件必須從設計開始就注重保護個人信息。”

草案還增加規定，大型互聯網企業應當遵循公開、公平、公正的原則，制定有關個人信息保護的平臺規則；國家網信部門針對小型個人信息處理者制定相關規則。

北京師范大學網絡法治國際中心執行主任吳沈括表示，此次立法關注大型互聯網企業的個人信息保護相關平臺治理體系的制度型建設，切中數字生態治理要點，從內外兩個方面要求提升平臺保護水平，一方面為平臺合規風控指明了努力的方向，另一方面為個人信息主體合法權益的有效保護提供了扎實的制度依據，這種內外多方主體共治的思路格局在全世界個人信息保護立法浪潮中獨樹一幟。

據了解，部分常委委員和社會公眾、部門、專家提出，為方便個人獲取并轉移其個人信息，建議借鑒有關國家和地區的立法，增加個人信息可攜帶權的規定。

全國人大憲法和法律委員會經研究，建議增加規定：“個人請求將其個人信息轉移至其指定的個人信息處理者，符合國家網信部門規定條件的，個人信息處理者應當提供轉移的途徑。”

同時，為完善個人信息保護投訴、舉報機制，并在案件查處方面加強協同配合，草案增加規定，國家網信部門統籌協調有關部門完善個人信息保護投訴、舉報工作機制。履行個人信息保護職責的部門發現違法處理個人信息涉嫌犯罪的，應當及時移送公安機關依法處理；對有關責任人員可以決定禁止其在一定期限內擔任相關企業的董事、監事、高級管理人員和個人信息保護負責人等職務。

此外，侵害個人信息權益造成損害，怎么賠？按照草案建議，個人信息處理者不能證明自己沒有過錯的，應當承擔損害賠償等侵權責任。損害賠償責任按照個人因此受到的損失或者個人信息處理者因此獲得的利益確定；個人因此受到的損失和個人信息處理者因此獲得的利益難以確定的，根據實際情況確定賠償數額。如果個人信息處理者違反規定處理個人信息，侵害眾多個人的權益，人民檢察院、由國家網信部門確定的組織可以依法向人民法院提起訴訟。

據介紹，草案三審稿還將不滿十四周歲未成年人的個人信息作為敏感個人信息，并要求個人信息處理者對此制定專門的個人信息處理規則。同時完善個人信息跨境提供的規則，增加個人信息可攜帶權的規定，完善死者個人信息保護的規定等。