11月1日，《中华人民共和国个人信息保护法》（下称《个人信息保护法》）正式实施，这是一部和每一个人都有密切关系的法律。什么是个人信息？“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息”，它不仅包括证件号码、家庭住址这些常用的个人信息，也包括了指纹、脸部等生物识别信息，甚至还包括我们的健康和行踪信息。个人信息越来越频繁地在各种场景使用，大量发生的个人信息泄露事件也让人深受其害。那么，《个人信息保护法》会怎样保护我们的个人信息安全呢？

警惕违法获取个人信息

你是谁、你要到哪里去、你要买什么东西、你需要贷款吗等等，这类信息在传统工业社会，大多只是亲友等小范围关注的事情。但是，在当今快速发展的信息社会，它们具有了巨大的商业价值潜力，推动着我国数字经济的快速发展，成为大数据的关键内容之一，被称为石油一样的生产要素。然而一些企业、机构甚至个人也在随意收集、违法获取、过度使用、非法买卖个人信息。

滥用个人信息，严重侵扰了人们的生活安宁。不仅如此，近年来让很多人深受其害的电信诈骗，也基本都是通过违法利用个人信息来实施的。

个人信息安全关系到每个人、每个家庭和每个组织、机构，是近年来社会广泛关注的问题之一。

新实施的《个人信息保护法》究竟为个人信息保护提供了哪些更加有力的法律保障呢？第一条：“为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。”

中国社会科学院法学研究所副所长 周汉华：《个人信息保护法》的第一条承认，整个个人信息保护法制度设计、基本原则、具体的制度等等都是建立在个人信息权益基础上的，进入数字时代就有了数字时代个人信息的权益，这个权益是根据宪法来制定赋予的，过去的法律立法，没有系统地从权利的视角来对个人信息权益进行系统明确，这成了性质上重大的变化。

个人信息权益包括哪些内容？

《个人信息保护法》确立了宪法赋予我们的个人信息权益，宣示、提升了个人信息权益的法律地位。那么个人信息权益包括哪些内容呢？

中国社会科学院法学研究所副所长 周汉华：个人信息权益最核心的要义，自己能够控制自己的个人信息，被谁采集被谁使用。首先采集方，或者说信息处理者必须要告知，你采集我的信息了，你采集我的信息是为什么，我有知情权，同时我还有决定权，是不是同意你去使用。所以知情权和决定权，可以说是个人信息权益里面最核心的两项权益。

《个人信息保护法》第四十四条规定：“个人对其个人信息的处理享有知情权、决定权。”但是现实中，知情并不容易。由于专业、技术的原因，大多数人很难知道自己的哪些个人信息被收集了，这些信息又被用来做什么。在这种情况下，《个人信息保护法》如何保障公众的知情权呢？

北京互联网法院研究室副主任 李文超：它明确了告知同意的核心原则，只有告诉我、让我知道并且经过我的授权，你才能处理我的这些个人信息。

《个人信息保护法》实施后，一些手机软件弹出新版本的隐私政策，来重新征得使用者同意，比如，让使用者知晓自己授权过的应用和详细权限，并可一键解除授权，行使自己的决定权。围绕着知情权、决定权，《个人信息保护法》中特别强调了对敏感个人信息的保护。

北京互联网法院研究室副主任 李文超：《个人信息保护法》里有一个专章，专门规定了敏感个人信息，这对个人权益保护非常有帮助，是很大的法律武器。

“敏感个人信息”，这是我国法律中第一次明确定义并予以特别保护的。

什么是敏感个人信息？敏感个人信息是“一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息”。

处理敏感个人信息，要求有“特定的目的”“充分的必要性”“严格的保护措施”“取得单独同意”等，其中，还要求“应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响”，强化了个人的知情权，也利于个人更妥当地行使决定权。

《个人信息保护法》对“敏感个人信息”予以特别保护，除了个人敏感信息关系个人信息核心权益，也是因为在现实生活中，侵犯敏感个人信息权益的案例不断增多，引起了社会公众和各方面的关注。

今年3·15晚会曝光了一个案例：多家实体店在顾客根本不知情的情况下，收集了大量人脸识别数据，还有商家根据其获得的数据，对顾客使用不同的营销策略和商品报价。民法典和消费者权益保护法都规定，处理个人信息应征得同意。显然，店家收集人脸识别信息，违反了这些法律。在《个人信息保护法》中对这种违法行为如何认定，有了更加具体的规定。

首先，根据《个人信息保护法》，人脸识别信息属于敏感个人信息，这类做法违反了敏感个人信息处理规则。单独同意，相对于概括性同意、一揽子授权而言，它要求个人信息处理者处理敏感个人信息时，事前做出特别的提示并获得个人的专门同意。这表明个人信息保护法对于敏感个人信息给予了更高程度的保护。

北京互联网法院研究室副主任 李文超：一些敏感的个人信息要经过单独提示，这是现在《个人信息保护法》一个非常严格的规定。如果违反了这些，从民事责任的角度来讲就是侵权。

商家收集顾客的敏感个人信息没有征得顾客单独同意，这属于违法行为。不仅如此，商家收集的个人敏感信息是人脸识别信息，对于收集人脸识别信息，《个人信息保护法》还有特别的规定。

《个人信息保护法》规定：“在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需”，“所收集信息只能用于维护公共安全的目的”。也就是说，人脸识别信息作为敏感个人信息这类特殊内容，商家为了营销，通过摄像头收集人脸识别信息也是违法的。

违法行为将承担哪些后果？

那么，这类违法行为将承担什么法律后果呢？收集人脸识别信息被曝光后，这些店家撤下摄像头，停止侵权行为并道歉。经过调查，其中一家公司虽然没有非法所得，但因存在未经消费者同意，收集、使用消费者个人信息等违法行为，且收集信息数量巨大，今年7月，当地工商管理部门依据消费者权益保护法相关规定，认定经营者未经消费者同意收集消费者个人信息，构成违法行为，罚款50万元。而在《个人信息保护法》实施之后，这类违法收集个人敏感信息的行为，又将面临什么样的处罚呢？

全国人大常委会法制工作委员会经济法室副主任 杨合庆：如果追究责任，需要根据违法收集的个人信息数量，还有使用的用途等等，这些条件综合考虑，对它处以罚款。

中国社会科学院法学研究所副所长 周汉华：在网络时代，对于违法行为过去一直存在违法成本低，收益高，难以有效地遏制违法行为蔓延的现象。通过高额罚款，包括设立行业的进入制度一系列措施，《个人信息保护法》使得个人信息保护，成了一个更加锋利的法律武器。

现实中，更多的是侵犯个人信息权益情节并不严重，但却给人们带来严重困扰的现象。但是，大多数人很难靠个人力量获取相关证据。《个人信息保护法》回应了公众对这一问题的关切。

全国人大常委会法制工作委员会经济法室副主任 杨合庆：只要是违法处理个人信息、侵害个人信息权益造成损害的，原则上个人信息处理者都要承担损害赔偿等民事责任。只有当个人信息处理者能够证明自己没有过错的，那才可以免除责任，才可以不承担责任。

只要个人信息处理者无法证明自己无错，就需要承担责任，这在很大程度上减少了维权障碍。除此以外，此前个人信息权益的维权成本相对较高，也是个体维权的另一个主要障碍，个人针对侵害个人信息权益而打官司的，少之又少。对此，《个人信息保护法》也有了专门的规定。

全国人大常委会法制工作委员会经济法室副主任 杨合庆：个人信息保护法专门对侵害众多个人信息权益的公益诉讼作出了规定，赋予人民检察院、法律规定的消费者组织，以及国家网信部门确定的组织，来代表消费者向人民法院提起民事诉讼。公益诉讼发挥社会的监督，来促使我们个人信息处理者加强个人信息保护。

保护好我们的个人信息，既是在保护我们的身份，也是在保护我们的生活。《个人信息保护法》刚刚实施不久，有一系列配套规则、标准需要制定，有许多细则需要经过司法实践后确立，网站、平台等个人信息处理者也特别需要根据法律要求来调整完善对用户个人信息的保护机制。同时，我们自己也要有保护个人信息的意识，得知道哪些信息属于我们的个人信息，我们对自己的个人信息有怎样的权益，并且积极地主张这些权益，这样《个人信息保护法》的实施才能达到效果。

关键词：