近日，第十三届全国人大常委会第二十二次会议对《中华人民共和国个人信息保护法（草案）》（以下简称《草案》）进行了审议，面向公众进行意见征求的阶段也进入了尾声，将于明天（11月19日）截止。

实际上，对于个人信息保护的法律完善需求一直以来便受到公众极大的关注。随着大数据时代的到来，个人信息泄露的事件层出不穷，小到我们日常使用app时被定位跟踪、频频接到各销售公司的电话，大到犯罪分子精确报出个人信息而引发的电信诈骗事件等。

公共场所采集信息需设置显著提示

从此次的《个人信息保护法（草案）》来看，其中包含的内容主要涉及到了对于个人敏感信息处理的规定，不乏提及到人脸识别、数据推送营销这样的热点问题；同时明确了个人对个人信息的处理权利，以及对个人信息处理者和个人信息的保护部门都做出了要求。

在个人信息处理方面，想要处理个人信息，取得个人的同意是最基本的要求；前提是个人在充分知情，并且自愿、明确作出意思表示。与此同时，基于个人同意而进行的个人信息处理活动，个人同样有权撤回其同意。

关于个人的敏感信息方面，《草案》也对其做出了界定，认为敏感个人信息是一旦泄露或者非法使用，可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息，包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。

现在，无论是在便利店还是超市，人脸识别支付已经在一二线城市有所普及，针对公共场所的安装图像采集、个人身份识别设备，《草案》提出应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、个人身份特征信息只能用于维护公共安全的目的，不得公开或者向他人提供；取得个人单独同意或者法律、行政法规另有规定的除外。

个人信息存在保存期限

对于个人信息的处理者，《草案》要求，要提供个人信息处理者的身份和联系方式；个人信息的处理目的、处理方式,处理的个人信息种类、保存期限；个人行使本法规定权利的方式和程序;法律、行政法规规定应当告知的其他事项。

如果存在个人信息处理者向第三方提供其处理的个人信息的，则应当向个人告知第三方的身份、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。个人信息处理者向第三方提供匿名化信息的，第三方不得利用技术等手段重新识别个人身份。

但是，是不是个人信息一旦提供出去，我们的个人信息就被无限期掌握了呢？当然不是。

《草案》指出，个人信息的保存期限应当为实现处理目的所必要的最短时间。

有下列情形之一的,个人信息处理者应当主动或者根据个人的请求,删除个人信息:(一)约定的保存期限已届满或者处理目的已实现；(二)个人信息处理者停止提供产品或者服务；(三)个人撤回同意；(四)个人信息处理者违反法律、行政法规或者违反约定处理个人信息；(五)法律、行政法规规定的其他情形。

权利与义务

对于个人在对自己信息的处理方面，《草案》保障了个人的处理权利。包括个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。同时，个人有权向个人信息处理者查阅、复制其个人信息；在发现个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。并要求个人信息处理者对其个人信息处理规则进行解释说明。

而对于个人信息处理者和履行个人信息保护职责的部门，也同样提出了相应的义务要求。

个人信息处理者需要采取必要措施确保个人信息处理活动符合法律、行政法规的规定,并防止未经授权的访问以及个人信息泄露或者被窃取、篡改、删除；如若发现个人信息泄露的,应当立即采取补救措施等。

而个人信息保护职责的部门，在国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门依照《草案》和有关法律、行政法规的规定,在各自职责范围内负责个人信息保护和监督管理工作。

近期，有媒体就爆出了招商银行将客户个人信息泄露给“催收公司”对客户进行“讨债”的事情；与此同时，圆通快递也因员工系统账号盗取公民个人信息，再层层倒卖个人信息至不同下游犯罪人员的事件而备受关注。大数据时代下，个人的信息安全不仅关乎到经济社会的运行和健康发展，更是关系到每个人的切身利益，值得每个人关注。

资料来源：中国人大网法律征求意见《个人信息保护法（草案）》

作者：南都全媒体助理研究员  麦妙钿

编辑：杨嘉静