数字时代，个人信息保护变得愈发重要。在数字经济发展和网络法治建设进程中，我国逐步建立并不断完善个人信息保护法律制度，系统构建起个人信息权益全链条保护的法律屏障。

中国人民大学法学院教授、中国法学会网络信息法学研究会副会长张新宝曾全程参与《个人信息保护法》立法工作，他在接受南都专访时表示，《个人信息保护法》的施行对保护公民个人信息权益发挥了重要作用，但人脸识别技术泛用滥用风险、精准定向广告骚扰民众的日常生活乃至诱骗欺诈民众做出决策等问题仍需要我们关注。

《个人信息保护法》极大促进了公民权益的保护

南都：2024年11月1日，我国第一部个人信息保护方面的专门法律《个人信息保护法》施行满三周年，您如何评价这部法律带来的变化？

张新宝：《个人信息保护法》与《网络安全法》《数据安全法》一起构成我国网络数据安全三大专门法律。个人信息保护涉及到每一个公民的人格权益，也涉及到数据的利用和数字经济的发展。3年来，《个人信息保护法》的施行，极大促进了公民权益的保护，为企业合法合规处理个人信息和利用数据设定了较为明晰的界限，也大大促进了公民个人信息保护意识的提高。

法律重在实施，在这一过程中，国家网信办等国家机关加强监管执法、人民法院和人民检察院依法监督和审理相关案件，在保护个人信息权益、规范个人信息处理活动、促进个人信息合理利用等方面做出了重要贡献。互联网企业也不断探索个人信息保护合规问题，在企业制度建设和商业实践中积累了经验。

南都：就个人信息保护而言，政府部门、企业和个人责任如何划分？

张新宝：保护个人信息不光是个人和企业的事情。实际上，大量的个人信息掌握在政府手里，还有就是在许多事业单位如医疗机构手里等。《个人信息保护法》第二章第三节对国家机关处理个人信息做出了特别规定，国家机关以及法律、法规授权的具有管理公共事务职能的组织为履行法定职责处理个人信息，适用本法关于国家机关处理个人信息的规定。第六章对包括国家网信部门、国务院有关部门、县级以上地方人民政府有关部门在内，履行个人信息保护职责的部门做出了具体规定。

处理个人信息的企业，则应当遵守《个人信息保护法》第一章总则的原则和一般性规定，同时应当履行第五章规定的各种具体义务。而作为提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，及作为“守门人”的大型和超大型互联网平台企业，还需要履行第五十八条规定的特别义务。企业处理个人信息违反上述规定，应当依法承担行政责任和民事责任、刑事责任。

个人在个人信息处理活动中享有决定权、知情权以及请求查阅、复制、补充、更正、删除的权利，还享有请求将个人信息进行转移（即从一个个人信息处理者转移到另一个个人信息处理者）的权利、请求个人信息处理者对个人信息的处理进行说明的权利。作为个人信息处理者的企业拒绝公民个人行使上述权利的，个人可以依法向人民法院提起诉讼。

南都：近年来，我国对未成年人个人信息保护的关注和保护力度明显提升，法律规范体系建设不断完善。在您看来，应如何落细落实相关法律规范，织密未成年人个人信息保护网？

张新宝：《个人信息保护法》《未成年人保护法》对未成年人个人信息保护做出了特殊保护、优先保护的原则性规定，人民法院对此也做出过一些有影响的判决。

互联网平台方面，特别是游戏类、社交类和购物类平台，处理未成年人个人信息应当严格依法依规，违法者应当承担严厉的法律后果。未成年人监护人方面，要严格履行监护职责，在需要监护人同意的环节严格把关而不是放任。学校等教育机构，应加强宣传教育，引导未成年人养成自我保护个人信息的自觉性。

人脸识别、精准定向广告等问题值得关注

南都：数字时代，公民个人信息权益保护面临着新风险、新挑战。在您看来，具体有哪些问题值得我们关注？

张新宝：主要包括以下几种：

第一，基于个人信息处理的人脸识别存在被泛用和滥用的问题。要加强生物识别信息方面的监管，从装备设置、信息采集处理等进行全方位监管；

第二，算法推荐产生的问题仍然是需要治理的重点。一些基于个人信息处理的精准定向广告骚扰民众的日常生活，乃至诱骗、欺诈民众做出决策；

第三，有的个人信息处理者告知不具体不规范、使用目的不明确，收集到个人信息后超出目的进行使用；

第四，向境外提供个人信息方面存在风险，一些不法个人信息处理者违法收集个人信息并向境外提供；

第五，在企业层面和公共管理层面，大量未经匿名化处理的个人信息存在泄漏、毁损、不当处理等方面的风险；

第六，在鼓励包括个人信息数据在内的数据开发利用的同时，需要在制度层面和操作层面更为重视个人信息数据的安全性和合法合规利用。

出品：南都大数据研究院

采写：南都记者 唐静怡

更多报道请看专题：“e法同行”2024年网络普法主题活动

对这篇文章有想法？跟我聊聊吧

唐静怡1179W

南方都市报记者