9月10日，由南方都市报个人信息保护研究中心举办的“南都数字经济治理论坛”第七期——“个人信息保护法解读与展望”论坛在线上召开。全国人大代表、江苏省律师协会副会长车捷就个人信息保护法在立法过程中的焦点条款展开讨论。

他强调，个人信息保护法针对死者个人信息保护的相关规定，既体现立法者对于死者生前意愿的充分尊重，也进一步限缩了近亲属行权的情形。如果企业发现近亲属的行权目的与死者生前意愿相违背，可拒绝响应近亲属的行权请求。

8月20日，个人信息保护法经十三届全国人大常委会第三十次会议表决通过，于11月1日起施行。

从启动立法研究到正式出台，这部法律历时18年，经历了许多社会变化。尤其是互联网的发展，促进了立法进程，也为立法工作带来诸多挑战。作为全国人大代表，车捷多年来建议加快个人信息保护法的立法进程，并在立法期间向全国人大提出修改建议。

与此前的版本相比，个人信息保护法在第一条中新增“根据宪法，制定本法”。车捷指出，这背后的法理是“自然人有独立人格，有权自主塑造其在社会中的身份，自主决定其个人事务，因而个人有权防范他人不当处理涉及个人的信息，以维护主体尊严或人格自主”。

他还表示，宪法具有双重功能，一是防御权功能，即对抗公权主体。国家负有避免侵害基本权利的消极（不作为）义务，在此功能下，个人信息受保护权在国家和个人这一双方关系中竖起屏障，可防御国家在处理个人信息过程中侵害个体尊严。

其次，国家有为公民个人信息提供积极保护的义务。车捷强调，在此功能下，个人信息受保护权处理的是国家、个人和第三方的三边关系，国家为使个人尊严免受第三方侵害需积极提供保护。

如今，利用网络爬虫等技术，从公开渠道获得的大量信息进行收集、聚合、分类、关联和分析，并通过付费会员服务等方式获取利益已成为一种成熟的商业模式。然而，在实务中对于已公开的个人信息的爬取和使用，仍有不少争议。

据车捷介绍，上述问题所对应的条款也是个人信息保护法在制定过程中的焦点条款之一。

个人信息保护法第二十七条规定，个人信息处理者可以在合理范围内处理个人自行公开或者其他已经合法公开的个人信息，个人明确的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当按照本法规定取得个人同意。

而二审稿规定，个人信息处理者处理公开的个人信息，应当符合被公开时的用途，超出该用途相关的合理范围的，应当依照本法规定取得个人同意。

“实际上这一条（二审稿的规定）是比较难掌握的。”车捷解释，因为企业很难判断个人公开时的用途，或者说在用途不明确的时候，合理谨慎地处理个人信息的要求是比较难以掌握的。

“毕竟我们在保护个人信息的同时，还要促进个人信息的使用。”车捷举例说，在基于社会管理、政府管理而使用个人信息，人社部门、教育部门批量使用个人信息的情况下，如果完全二审稿中的相关规定则会增加难度，不利于管理行为。

虽然个人信息保护法的终版“大幅简化了判定个人信息公开时的用途”等内容，但他强调，处理已公开个人信息仍需以“合理”为限。在判断“合理”范围时，应考虑个人信息被公开时的用途、个人的隐私期待、使用公开信息对个人权益的影响等因素，具体标准仍有待监管执法与司法裁判所明确。

此外，据车捷介绍，死者个人信息的保护问题也是个人信息保护法立法过程中讨论较多的内容之一。

个人信息保护法第四十九条规定，自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。

相比于二审稿，终版对死者近亲属行权增加了“为了自身的合法、正当利益”以及“死者生前另有安排的除外”的规定。

车捷表示，此变化一方面体现立法者对于死者生前意愿的充分尊重，另一方面进一步限缩了近亲属行权的情形。当公司等主体在接到死者近亲属行使死者个人信息权利请求时，将有权要求近亲属说明其行权目的，同时可对死者生前是否已对其个人信息的死后处理作出安排予以审查，如果有证据证明不符合上述法定情形，可以拒绝响应近亲属行权请求。

出品：南都个人信息保护研究中心

采写：南都记者 尤一炜

编辑：蒋琳

更多报道请看专题：第七期数字经济治理论坛—个人信息保护法解读与展望