今天起，你的个人信息安全保障有了它

从今天(11月1日)起，《个人信息保护法》将正式施行。

本法共八章七十四条，明确了个人信息和敏感个人信息的处理规则，完善个人信息保护投诉、举报工作机制，从严惩治违法行为，全方位保护你的信息安全。

任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息;

个人信息处理者利用个人信息进行自动化决策，不得对个人在交易价格等交易条件上实行不合理的差别待遇;

提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务。

此前，报道君就曾关注过这部“严”字当头的《个人信息保护法》。今天我们也再来明确一下，在有关法律的基础上，该法进一步细化、完善个人信息保护应遵循的原则和个人信息处理规则，明确个人信息处理活动中的权利义务边界，健全个人信息保护工作体制机制。

对个人信息和敏感个人信息进行了明确界定。什么是个人信息?《个人信息保护法》进行了明确，即“以电子或其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息”。而个人信息的处理，则包括了收集、存储、使用、加工、传输、提供、公开、删除等。同时，《个人信息保护法》还界定了敏感个人信息的范畴，其中包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等。

告知和同意。《个人信息保护法》强调，首先，处理个人信息，应在事先充分告知的前提下，取得个人同意，不得误导、欺诈、胁迫等;其次，不得以个人不同意为由拒绝提供产品或者服务;最后，信息处理者应当提供便捷的撤回同意的方式。

奇安信集团副总裁张庭认为，目前绝大多数网站和应用程序，在处理个人信息时，进行了告知和提醒，但由于协议很长，关键信息不醒目，很多用户可能未仔细阅读全文，就选择了同意。因此，《保护法》提出“信息处理者应当提供便捷的撤回同意”的要求，具有非常积极的意义。

对未成年人单独提出了保护措施。《个人信息保护法》明确指出，未成年人的个人信息也属于敏感个人信息。处理此类个人信息，应当取得未成年人的父母或其他监护人的同意，并制定专门的个人信息处理规则。

“将不满十四周岁未成年人的个人信息作为敏感个人信息加以保护，相关数据处理者可能需要更改内部数据分级分类的标准，对涉及不满十四周岁未成年人的个人信息进行特别保护。同时，对于面向普通公众提供产品和服务的运营者而言(如搜索服务)，是否与专门针对儿童提供产品和服务的运营者在儿童个人信息保护领域的要求有所区分仍有待理论和实践的进一步探索。”中国信息通信研究院云计算与大数据研究所工程师仵姣姣分析道。

加大对侵犯个人信息行为的惩处力度。《个人信息保护法》指出，违反本法规定处理个人信息，或者处理个人信息未履行本法规的个人信息保护业务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务。对于拒不改正以及情节严重者，还会处以相关罚款。

张庭表示，《个人信息保护法》立足于维护广大人民群众的网络空间合法权益，对利用个人信息进行自动化决策作出有针对性规范，对个人信息处理者尤其是牟利者起到有效的约束和震慑作用。同样，安全厂商在这方面也需要有所作为。

针对自动化决策提出明确要求。“针对用户画像、‘大数据杀熟’等问题，《个人信息保护法》立足于维护广大人民群众的网络空间合法权益，充分吸收了成熟国家标准与行业实践的内容，从算法伦理、数据获取、数据使用、风险评估和日志记录的方面对自动化决策进行了规制。”仵姣姣说。

全面规范个人信息跨境的规则。随着经济全球化、数字化的不断推进以及我国对外开放的不断扩大，个人信息的跨境流动日益频繁，但由于遥远的地理距离以及不同国家法律制度、保护水平之间的差异，个人信息跨境流动风险更加难以控制。

“《个人信息保护法》设置专章对个人信息跨境提供的规则进行了全面的规范，与《数据安全法》《网络安全法》形成了完善的法律体系衔接。”仵姣姣分析道，其中值得注意的是，在境外司法或执法机构要求提供境内个人信息时需要经过主管机关的批准。由于在实践中国际礼让原则逐渐式微，跨国企业可能会在国际诉讼中面临两难处境。因此，也有待后续立法进一步明确批准提供证据的具体主管机关、批准程序和时限等内容，更好地维护我国跨国企业在国际法律纠纷当中的利益。

强化个人信息处理者义务。个人信息处理者是个人信息保护的第一责任人。据此，个人信息保护法强调，个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。

撰文：《中国报道》记者 张利娟

责任编辑：柴晶晶