8月20日，《中华人民共和国个人信息保护法》（下称“个保法”）经十三届全国人大常委会第三十次会议审议通过，于11月1日实施。

值此之际，南都记者专访了张新宝，畅聊个保法的立法意义、立法过程中的焦点条款以及未来他的重点研究方向等。

在张新宝看来，关于人脸识别和自动化决策的条文值得关注，在欧盟GDPR（通用数据保护条例）中都没有相关条文。他特别提醒说，未来依靠人脸识别进行的情绪分析等应用将会是一件比较麻烦的事情，对于人格的独立和尊严会产生很大的影响。

中国人民大学法学院教授张新宝。受访者供图

南都：你从什么时候开始研究个人信息保护？

张新宝：我在1990年写了一篇关于隐私权的法律保护的文章——《隐私权研究》，这是全国第一篇相较全面讨论隐私权法律保护的文章。

1997年的时候，我写了一本书——《隐私权的法律保护》，讨论了很多隐私权的问题，从今天的角度来看，也是个人信息保护的问题。2003年，在当时国务院信息化工作办公室的资助下，研究过儿童的个人信息在线保护问题；稍后还翻译过欧盟的《个人数据保护指令》和其他国家的个人信息保护的立法，所以一直在做这方面的研究。

在2015年，我在《中国法学》上发表了一篇文章——《从隐私到个人信息：利益再衡量的理论与制度安排》，探讨的是我国个人信息保护的基础理论、重点保护哪些个人信息、个人权益保护与企业数据财产保护以及国家机关在个人信息保护中的角色定位等问题。

南都：2015年的这篇文章，在知网上有超三万的下载量、上千的引用量，里面针对个人信息保护构建了一个“两头强化，三方平衡”的理论体系，可以介绍一下吗？

张新宝：“两头强化”其一说的是个人的私密信息、敏感信息要强化保护，普通信息不用强化保护。比如我叫“张新宝，大学教授”，这是我的个人信息，保护它有什么意义？但是我在银行账户里有多少存款需要强化保护。

另一头强化保护是说法律要对企业的数据资产进行强化保护。数据成为信息社会的产业原料，能够产生无穷的商业价值，应当提高到像知识产权保护一样的高度来保护。

“三方平衡”讲的是个人与信息业者（个人信息处理者）、个人与国家、国家与信息业者三方之间的平衡，即在个人对个人信息“保护”的利益需求、信息业者对个人信息、数据“利用”的财产利益需求与国家管理社会的公共利益之间取得平衡。

南都：我们注意到“三方平衡”中包括政务部门，你起草的个保法专家建议稿也单独设立章节对政务部门处理个人信息作出规定。现在国家机关处理个人信息也被写进了个保法。

张新宝：保护个人信息不光是个人和企业的事情。实际上，大量的个人信息掌握在政府手里，还有就是在许多事业单位如医疗机构手里等。而且，它们比企业掌握的信息更全面，应该受到个人信息保护法律的约束。

其实民法典中也有规定，国家机关、承担行政职能的法定机构及其工作人员对于履行职责过程中知悉的自然人的隐私和个人信息，应当予以保密，不得泄露或者向他人非法提供。

现在政府部门之间在共享数据、打通数据的过程中会不会泄露个人信息、越权、不当地处理个人信息等，这些都是要注意和解决的问题。

南都：你对个保法的哪些条款印象深刻？

张新宝：有两个条文可以注意一下，一个是关于人脸识别的条文，另一个是自动化决策的条文。这两个条文在欧盟GDPR里面都没有单独规定。

互联网应用在这几年的发展中带来一些比较突出的问题，比如人脸识别方面的问题。（以前）拍一张照片然后拿去做识别，在某些应用中比对，这是一般的应用场景。但现在不是这么简单，我在某个场景下对你进行录像，不关心你瞳孔距离有多宽，而是去读懂你在想什么，比如在董事会上分析你会投反对票，然后会下给你“做工作”。

这在将来会是一件比较麻烦的事，对于人格的独立和尊严会产生很大的影响。

南都：就你了解，个保法在制定过程中有哪些争议点？

张新宝：二审稿出来以后的争议，一个是个保法第五十八条，关于大企业的个人信息保护职责，另外一条是第四十九条，关于死者的个人信息保护问题，争议都比较大。

二审的时候，第五十八条规定得还不够全面，（各界）要求更加强调头部企业的保护职责，这是主流的声音。从世界范围来看，无论是美国、欧洲还是中国，对于大型互联网平台的治理有一些共识，包括个人信息保护、数据安全、反不正当竞争和反垄断的共识。

另外在一审的时候，有人提出来要加上这个（第四十九条）条文。但死者的个人信息可能不能够像活人的一样进行处理。死者生前有安排的话，应该服从安排；接下来也只能是有限的保护，以其近亲属的合理利益为界限，比如知识产权利益保护等。如果与近亲属合理利益无关的，比如近亲属想用死者的账号、以死者的名义发布内容，这个是不行的。

南都：你觉得出台个保法的意义是什么？

张新宝：一是要保护个人信息，保护个人的人权、人格尊严和安全等方面的权益，实现个人信息的规范处理、合理利用。既然有这个目的，就说明现在个人信息受到很多威胁，比如不经过同意、过多收集不必要的个人信息或胡乱处理甚至是倒卖个人信息。

另外，大量个人信息被收集处理后，可能涉及社会和国家的安全问题，这也是要规范的。

个人信息不是说不能收集和处理，而是要合法收集处理，合理地利用，以促进经济的发展、社会的发展和社会的治理等，这些都是立法要解决的问题。

南都：你怎么看在当下出台个保法？

张新宝：催生这部法律出台我觉得有一个很突发的意外事件，就是新冠肺炎的发生及国家对它的应对。因为对个人信息如个人行踪的处理，使用大数据的分析、人脸识别等应用，我们相较外国在疫情防控上获得了优势。

而且，从商业角度来讲，海量的个人信息经过匿名化处理后，就会形成一种现代产业原料，像煤炭一样。比如收集很多人的交通习惯信息、驾驶信息，是谁的不重要，进行大数据处理后去“喂”人工智能系统，写程序，人工智能系统就能帮助做辅助驾驶，将来甚至能够实现无人驾驶。

但在利用个人信息过程中也带来一些问题，比如哪个地方都去搞人脸识别，可能用于商业目的，对个人信息的安全、人格尊严有很大影响。还有自动化决策，收集个人信息后给你推送一些东西，影响你的独立判断和决策。

这都使我们进一步认识到，要积极规范地利用个人信息，更要保护个人信息。在这样的背景下，国家通过加强网络法治建设，规范个人信息的处理和合理利用，在民法典和数据安全法后出台个人信息保护法，我觉得是正当其时。

南都：如今数据已成为一种生产要素，前面你也讲到数据处理后可成为产业原料。可以再具体解释一下个人信息和数据的价值吗？

张新宝：在信息化社会中，每个人都是信息化的人，只是程度高低不一样而已。如果你顽固地拒绝进入信息社会，就会被淘汰，生活圈子越来越小，最后封闭。如果类比一个人的年龄，现在信息化时代应该在少年时期，大概十三四岁的样子，未来还有很长的路要走。

大家可能观察过两种动物，一种是蛇，一种是蝉，它们都会蜕皮。个人信息和个人的关系，形象地看，大致就像蜕下来的皮与蛇、蝉的关系一样，通过皮就能识别它们的特征。

收集、使用蜕下来的皮是没问题的，但不能滥用，不能危害蛇和蝉的安全。而且少量收取的经济意义不大，收集多了就可以作为工业原料，就可以做药。这个时候完全不必考虑皮是从谁身上蜕下来的，这就是说去标识化的数据能为产业带来经济价值。

南都：一直以来，数据确权难阻碍着数据的流转和产业的发展，而个保法和数据安全法等都未全面回应这个问题。

张新宝：数据确权不是个保法解决的问题，需要将来单独立法。
数据确权实际上是数据财产权方面的问题。有一些错误的认识，说个人对个人信息具有财产权利。这实际上是没有搞清楚权益的本质。个人对自己的个人信息不具备法律上的财产利益，而是享有人格利益，也就是人权、安全和尊严等方面的利益，还包括通信秘密等利益。

个人信息被收集处理之后，处理者享有财产利益，与个人本身没有关系——我不能主张说某企业的数据库里面有我的财产（即个人信息），但我可以主张删除、修改数据。比如因为很多地方收集了“张新宝，人民大学教授”这个信息，如果我主张这些地方应该给我钱，这是很荒唐的。

南都：这与你提出的“两头强化”中保护企业的数据资产的思想是一脉相承的。

张新宝：对。企业收集数据后，规范性地处理能够产生无限的价值，所以企业现在非常重视数据。以汽车行业为例，以前是奔驰、宝马跑在前面，但现在是特斯拉跑在前面。而且，百度在积极造车，华为虽然声称不造车，但实际在造汽车的核心技术，也就是操作软件。这是因为未来无论是油车还是电车，都是靠数据、人工智能驱动的。所以我强调对企业的数据资产要强化保护。

虽然这些保护建议在民法总则第127条（法律对数据、网络虚拟财产的保护有规定的，依照其规定）有所体现。但比较遗憾的是民法分则写了物权篇，没有财产权篇，使得这一新型的财产权利没办法在民法典里加以规定。

尽管现在有许多通过反不正当竞争法、知识产权法、合同法等保护个人信息、保护数据财产的案例，但在民法典里只有一条指引性条文，在分则里面没有规定。

另外，数据安全法中有一些相关规定，但总的来说还是从安全角度考虑，在数据的利用、交换和价值的挖掘等方面没有规定。所以我想在未来推动数据财产保护方面的立法，让数据财产受到更严格和更有效的保护，推定信息产业数字经济的高速健康发展。


采写：南都记者 尤一炜

更多相关报道请看：《个人信息保护法》专题

编辑：蒋琳

更多报道请看专题：个人信息保护法来了
《个人信息保护法》通过