个保法一周年丨专访程啸:个保法落地，常态执法、事前监督、事后处罚均需推进

21世纪经济报道 见习记者钟雨欣 记者王俊 北京报道

编者按：

伴随着数字经济发展，对个人信息的采集和利用成为一种“刚需”。个人信息保护不断涌现出新问题，随意收集、违法获取、过度使用、非法买卖个人信息等情况“野火烧不尽”。数据的挖掘利用与个人信息保护之间张力扩大，急需专门法律对个人信息处理活动提供规范样本。

2021年11月1日，《个人信息保护法》正式施行，转眼间即将实施一周年。南财合规科技研究院长期关注个人信息保护议题，持续跟踪报道立法进程、监管动态，反映公众呼声。借此机会，将推出“南财个人信息保护月”系列活动，探讨《个人信息保护法》实施以来的落实情况以及对企业带来的影响。将围绕“守门人”条款的落实、用户个人信息权益的实现、数字广告行业的变革、数字经济发展与合规的平衡等多个维度推出20余篇系列稿件，刊出个人信息保护特刊，并且举办线下高峰论坛。

法律的生命力在于实施，在完成立法后，《个人信息保护法》需司法和执法接力，也需要企业恪守法律要求。我们希望能借助媒体的力量，持续追踪问效，推动个人信息权益的保障，提升全社会个人信息保护的水位线。

进入大数据时代，高频、高速、高密度的数据交流传输，作为原材料的个人信息滥用问题愈发凸显。企业作为个人信息采集、处理的主体，一直在权利天平中占据绝对高地。

2021年8月20日，《中华人民共和国个人信息保护法》由第十三届全国人民代表大会常务委员会第三十次会议通过，自2021年11月1日起施行。

作为中国第一部个人信息保护的专门性法律，《个人信息保护法》首次提出“个人信息权益”的概念，明确了在个人信息处理活动中个人的各项权利，知情权、决定权、限制权、拒绝权以及查阅权、复制权、可携权、更正权、补充权、删除权。个人的权利地位得到很大的转变，一改企业强势、个人弱势的局面。

不过，法律的生命在于落实。颁布一年，《个人信息保护法》实施情况如何？聚焦《个人信息保护法》颁布一周年以来的热点问题，21世纪经济报道记者专访清华大学法学院副院长程啸教授，详谈《个人信息保护法》带来的重要影响及未来个人信息保护的方向。

（清华大学法学院副院长程啸教授｜受访者供图）

21世纪：据您观察，《个人信息保护法》颁布一周年，对整个社会环境带来了怎样的影响？个人、企业、执法者谈论个人信息保护的语境发生了怎样的改变？

程啸：现代社会个人信息处理活动无时不在、无处不在、无所不在。《个人信息保护法》是我国第一部个人信息保护方面的专门法律，有利于保护个人信息权益，规范个人信息处理活动，促进合理利用个人信息。

《个人信息保护法》首次提出了“个人信息权益”的概念，明确了以保护个人信息权益为立法目的之一，规定了任何组织或个人不得侵害个人信息权益，从法律方面体现了国家对于个人信息保护的重视。《个人信息保护法》的落地对于互联网经济生态有重要影响，促使互联网企业加强业务开展及内部数据管理过程中的合规举措，在保护个人信息的基础上合法合理地利用信息价值，进一步促进数字经济健康发展。

21世纪：今年以来，出现了不少滥用个人信息、数据泄露的事件，随着人类向数字空间迁移，个人越发透明，虽然有专门针对个人信息的法律，但是生活中依旧感觉个人不断让渡信息，对此您认为可以从哪些方面改进？

程啸：个人信息的安全与保护是合理利用的前提。《个人信息保护法》第二章规定了个人信息处理规则，明确了处理个人信息的合法性基础，并将国家机关处理个人信息的特别规定纳入进来，防范行政部门违法违规处理个人信息的问题。

在实践中，特别是在疫情期间，尤其需要把握公共利益和个人信息保护的关系，避免随意、过度地收集个人信息，保障信息主体合法的个人信息权益。

在规范主体方面，“个人信息处理者”是主要义务人，为了确保个人信息处理活动的合法合规，防止出现未经授权的访问以及个人信息泄露等安全问题，有义务采取必要的措施，如完善个人信息全生命周期管理制度、对个人信息进行分类管理等等。

21世纪：《个人信息保护法》第四章对“个人在个人信息处理活动中的权利”作出了详细的规定，规定了个人的查阅、复制、删除等系列权利。据您观察，目前个人行权有何难点？个人行权是否能真正实现？

程啸：个人对其个人信息处理的知情权和决定权是个人信息权益最核心的内容，而查阅权、复制权、可携带权、更正权、补充权、删除权、解释说明权等只是手段性或救济性权利，旨在保护知情权和决定权。

《个人信息保护法》第四章所规定的“个人在个人信息处理活动中的权利”指向的义务主体是个人信息处理者，只有个人信息处理者履行对应的义务，才能实现个人的这些权利。如果个人请求查阅、复制其个人信息，个人信息处理者应当及时提供，否则查阅、复制权就无法实现。

在司法实践中，有一种观点认为《个人信息保护法》第50条第2款设置了个人向法院起诉的前置条件。当个人信息权益遭受侵害时，个人应先向个人信息处理者提出请求，只有被处理者拒绝后才能起诉，否则法院应予驳回。

我认为这种观点是有待商榷的。如果个人认为其个人信息权益被侵害后，须先向个人信息处理者提出请求，遭拒后才能向法院起诉，那么法院在决定是否受理时，势必要审查个人是否向个人信息处理者提出请求。如果处理者既不停止对个人信息权益的侵害，也不出具任何拒绝的证明材料，个人岂非无法起诉来维护自身合法权益？这显然是不妥当的。

没有救济，就没有权利。如果规定了个人在个人信息处理活动中的权利，却不允许权利人在权利无法得到实现时寻求法院的救济，那么该权利就没有意义了。

21世纪：《个人信息保护法》中规定了要取得“单独同意”的情形，当时在三审审议中，有委员提出向第三方提供处理个人信息时需要“单独同意”等会增加企业的合规成本，您如何看单独同意在实践中的落地？

程啸：“单独同意”是针对特定事项的同意，如针对处理敏感个人信息、跨境提供个人信息等场景需要取得个人的单独同意。企业作为个人信息处理者，应单独就敏感个人信息的处理取得信息主体的同意，而不能采取一揽子同意的方式。

“单独同意”在实践中有一定的解释空间，且没有限定获取单独同意的形式，个人信息处理者需要考虑到用户体验，如频繁弹窗等方式也会给用户带来困扰。

21世纪：《个人信息保护法》第47条规定了个人信息处理的“删除权”及具体情形，据您的观察来看，这一条款落地的效果如何？实践过程中遇到了那些难点？

程啸：删除权作为个人信息权益的重要内容，是个人对其个人信息处理活动享有决定权的具体体现，也是对目的限制原则与合法原则的贯彻落实。虽然我国《民法典》和《个人信息保护法》都对删除权作出了规定，但这些法律规定总体上仍然是比较原则且抽象的，所以需要未来有相应的法规规章以及标准等加以细化，从而使之具有可操作性。

21世纪：《个人信息保护法》明确逝者近亲属可以在一定条件下对逝者个人信息行使相应的权利，这给个人、企业和社会环境带来了什么影响？该条款能落地吗？

程啸：《个人信息保护法》的这一规定对于保护死者的个人信息、维护死者近亲属的人格利益具有重要的作用。与《民法典》提供事后救济的做法相比，《个人信息保护法》提供了一种积极、主动的保护，属于事先的预防。死者的近亲属无需在死者的隐私被侵害后才能提起侵权诉讼，而是可以直接行使自然人在个人信息处理中的权利。

此外，为了尊重死者的意愿，保护死者与第三人的隐私和通信秘密，该条款也作出了相应的限制。一方面，死者近亲属只有为了自身的合法、正当利益，才能对死者的相关个人信息行使权利。另一方面，允许死者生前根据其意愿对于自己死后个人信息的有关事务作出安排，如允许特定亲属行权、授权遗产管理人行权或禁止任何人行权等。

《个人信息保护法》中没有规定死者近亲属行使权利的位次顺序，在实践中若出现死者的多位近亲属意见不一的情况，可以考虑参照民法典人格权编第994条，配偶、子女、父母优先行权。

21世纪：随着全球数字经济发展，数字遗产概念受到海内外广泛关注，但其法律属性、分类和继承性问题存在一定争议，对此您怎么看？

程啸：进入数字社会，自然人死后留下的财产不仅仅是物权、债权、知识产权以及股权，还会留下“数字遗产”。除了经济价值外，还需要关注其精神价值。人们既可以通过遗嘱对于个人的合法财产进行处分，也可以对数字遗产进行处分。法律对此应当给予尊重。

如个人未在生前通过遗嘱对于其数字遗产作出安排，处分数字遗产的权利应由死者的近亲属决定，而不是由网络服务提供者通过格式条款进行安排。如果互联网公司担心账号的继承和转让会引发混乱，可以通过格式条款进行控制和预防，但不能以此为由剥夺自然人对账号的控制力和支配力以及死后账号被继承的可能。

21世纪：此前，个人信息保护的治理存在“九龙治水”的现象。《个人信息保护法》颁布一年，上述现象是否有所改善？

程啸：《个人信息保护法》第六章明确了履行个人信息保护职责的部门，以及其工作内容和职责。由国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院各有关部门，包括工信部、公安部、市场监管总局等主管部门在各自职权范围内负责个人信息保护和监管工作，考虑到了不同领域的差异性，但同时也需要注意各部门之间的协调问题。

21世纪：您认为接下来有哪些重要抓手推动这部法律的落地？

程啸：信息技术快速发展，面对出现的新问题，首先还是要立足中国国情，加强对于个人信息保护的研究。二是相应的配套文件包括行政法规、部门规章等等还需要进一步细化。三是充分发挥个人信息保护职责部门的力量，常态的执法、事前监督、事后处罚都需要重视。

策划：曹金良、陈磊

统筹：王俊

记者：钟雨欣、王俊