新華社廈門10月23日電  題：個人資訊怎麼用？人臉識別能用在哪裏？濫用個人資訊怎麼罰？個人資訊保護法草案都厘清了

　　新華社“中國網事”記者顏之宏

　　“我都不知道自己什麼時候授權同意他們獲取我的個人資訊了。”“騷擾電話真的太多了，而且上來就能叫出我的名字，有的還能報出身份證號碼和家庭住址。”在移動互聯時代，有關個人資訊被網絡平臺濫用的吐槽不絕于耳。

　　21日，《中華人民共和國個人資訊保護法（草案）》（以下簡稱草案）在中國人大網上公布，並向全社會公開徵求意見。草案進一步明確了如何保護公民個人資訊，對于違法收集、處理個人資訊的行為也制定了更為嚴厲的處罰措施。

　　不所有授權就無法使用APP將成歷史

　　明明只是一款短視頻類APP，卻一定要讀取我的地理位置、通訊錄，否則就不能使用。類似這樣的APP“霸王條款”，在草案中被明令禁止。

　　草案第17條提出，個人資訊處理者不得以個人不同意處理其個人資訊或者撤回其對個人資訊處理的同意為由，拒絕提供産品或者服務；處理個人資訊屬于提供産品或者服務所必需的除外。

　　專家認為，相較于一年多前國家網信辦發布的《數據安全管理辦法（徵求意見稿）》中提出的類似條款，草案的權威性更高。“如果是跟APP核心功能無關的許可權，草案明確規定，如果用戶不同意，你是不能以用戶不授權為由拒絕為其提供服務的。”APP專項治理工作組專家、中國電子技術標準化研究院信息安全研究中心測評實驗室副主任何延哲表示，草案保障用戶使用APP時充分的知情選擇權，APP強制索權在法理層面將成為歷史。

　　何延哲建議，對于部分APP廠商所提出的“用戶個人資訊授權與賬戶安全相關”的訴求，有關部門也需加快推進行業標準的制定，“有的APP為了保障用戶賬戶安全，可能只需要三個資訊要素，有的可能需要五個，這些也需要具體問題具體分析。”

　　公共場所隨意採集人臉資訊？不再允許！

　　在人臉識別技術日漸普及的當下，部分企業將人臉作為新的利益增長點，街巷、商場甚至小賣部中，都有他們安裝的人臉資訊採集設備。

　　草案提出，在公共場所安裝圖像採集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，並設置顯著的提示標識。所收集的個人圖像、個人身份特徵資訊只能用于維護公共安全的目的，不得公開或者向他人提供；取得個人單獨同意或者法律、行政法規另有規定的除外。

　　“草案對于在公共場所採集人臉等身份特徵資訊做了進一步的規范，也就是説未來在公共場所，只要不是出于公共安全目的，任何機構不得隨意採集人臉資訊。”何延哲説，“個人圖像”和“個人身份特徵資訊”是兩個不同維度的個人資訊，“個人圖像”是不包含姓名、身份證號等其他關聯資訊的圖像，但也存在識別出個人的可能。這意味著機構如非公共安全必需，即便是無意中採集了個人圖像也不能用于識別個人身份，同時也要保證信息安全，不能對外提供和公開，以免他人用于識別個人身份。

　　個人資訊授權可隨時撤回，更加體現“以人為本”精神

　　草案提出，基于個人同意而進行的個人資訊處理活動，個人有權撤回其同意。

　　“就像我們平時做出一個決定可以反悔一樣，哪怕你是合規收集處理我的資訊，但是現在我突然不想被你收集資訊了，你就不能再繼續收集了。” 中國信息安全研究院副院長左曉棟認為，這一條款的設立與第17條相輔相成，進一步明確用戶在撤回個人資訊授權後使用産品和服務的權利。

　　同時，草案相關條款還提出，當個人撤回同意後，個人資訊處理者應當刪除個人資訊。也就是説，當用戶“撤回同意”後，相關機構不僅喪失了繼續收集該用戶個人資訊的許可權，同時也應根據草案的有關要求，適時刪除其數據庫中所留存的該用戶的原始個人資訊。

　　此外，草案還要求，個人資訊處理者在緊急情況下為保護自然人的生命健康和財産安全處理個人資訊卻無法及時向個人告知的，個人資訊處理者應當在緊急情況消除後予以告知。“這一規定較好地平衡了各方面的權利。例如，在處置突發公共事件時，有時需要收集或調取個人資訊，可能來不及告知個人資訊主體，但相關機構在處置完畢後應當告知個人資訊被收集人。”左曉棟説。

　　濫用個人資訊企業還能“自罰三杯”嗎？草案大大提高處罰標準

　　此次草案提出的處罰標準也引發輿論關注，過去營收過百億、千億的企業因濫用個人資訊或強制索權被處罰十幾萬的情況也將越來越少。

　　草案提出，違反本法規定處理個人資訊，或者處理個人資訊未按照規定採取必要的安全保護措施的，情節嚴重的，由履行個人資訊保護職責的部門責令改正，沒收違法所得，並處五千萬元以下或者上一年度營業額百分之五以下罰款，並可以責令暫停相關業務、停業整頓、通報有關主管部門吊銷相關業務許可或者吊銷營業執照。

　　長期從事個人信息安全研究的北京安理律師事務所高級合夥人王新銳認為，草案雖然在固定處罰數額上低于歐盟的《一般數據保護條例》（GDPR），但其提高了處罰的營業額佔比，同時還可施加停業整頓、吊銷執照等行政措施；在上限處罰數額的適用范圍上，草案未予以特殊規定，因此當滿足情節特別嚴重的定義時，上述處罰措施可適用于所有違反規定的行為。從這兩方面看，個人資訊保護法草案的處罰力度不小。

　　“相較于GDPR中所規定的罰款最高額為企業上一年‘全球營業額的4%’，草案中並未對企業上一年度‘營業額的5%’是境內還是全球進行范圍説明。”王新銳等人建議，有關部門可對相關處罰門檻做進一步明確。

【糾錯】

責任編輯： 趙文涵