立法亲历者讲述《个人信息保护法》之立法背景与主要制度：中财策略大数据法制公益讲座第十六期回顾

2021年12月13日，中央财经大学法学院法治中国论坛、中财策略大数据法制公益讲座第十六期在中央财经大学学术会堂顺利举办。本期讲座由北京市金融服务法学研究会、中央财经大学金融服务法研究中心主办、北京策略律师事务所协办。

讲座特邀请全国人大常委会法工委经济法室林一英女士重磅分享《个人信息保护法》的立法背景与主要制度。讲座由中央财经大学法学院邢会强教授主持，法学院李伟副院长、张金平副教授、武腾副教授、朱晓峰副教授及北京策略律师事务所合伙人刘卉博士在内的150余人参与本次讲座。

林一英女士以《个人信息保护法》的立法背景为切入点展开分享。一方面党的十八大以来，习近平总书记多次强调，坚持网络安全为人民、网络安全靠人民，切实保障个人信息安全，维护公民在网络空间的合法权益；另一方面，随着网络的发展普及，骚扰广告、网络诈骗、大数据杀熟等问题成为老百姓最关心最直接最现实的利益问题之一，因此完善我国个人信息保护法律体系既是维护最广大人民利益的切身需要，也是保障我国参与个人信息保护国际治理的有效途径。

由远及近，林一英女士向与会者回顾了个保法的立法过程与主要思路。2018年，制定个人信息保护法被列入十三届全国人大常委会立法规划的第一类立法项目。在经历人大常委会三次审议后，《个人信息保护法》于2021年8月通过，于同年11月1日正式实施。

对于《个人信息保护法》的主要内容和争议，本次讲座也进行了呈现及回应。在《个人信息保护法》的定位争议问题上，主讲人认为，从个人信息保护法的定位观之，一方面个人信息保护法律制度是隐私权保护等法律制度在信息时代的新发展；另一方面该法核心是保护个人信息承载的人格尊严等人格权益，宪法和民法典对保护这些人格利益均有规定。与《民法典》相比，个人信息保护法在调整对象，保护手段，归责原则等方面都有诸多不同，个人信息保护法非民法典的特别法，而是有自己独立保护法益的法。

随后，在《个人信息保护法》中个人信息的处理规则上，她详细讲述了《个人信息保护法》中个人信息处理一般规则的的核心内容——告知同意规则。她指出，“同意”虽被一些学者诟病在现实中流于形式，但其目前仍是保障数据主体决定权最直接有效的途径。只有数据主体在充分知情的前提下自愿、明确作出的同意才能构成数据处理行为的合法基础。

在敏感信息的处理规则上，林一英首先明确敏感个人信息有着更重要的法益保护价值，必须在具有特定的目的和充分的必要性，且事前进行个人信息保护影响评估并取得个人的单独或书面同意情况下，才可处理敏感个人信息。需特别提及的是，《民法典》中的“私密信息”不同于《个人信息保护法》中的“敏感信息”，二者在范围上虽有交叉，但从界定的角度看，私密信息是隐私权的客体，主要是从自然人是否愿意为他人所知晓的角度界定；而敏感个人信息是从个人信息被非法利用后，可能产生的危害后果的角度来界定。

谈及个人信息跨境流动方面，林一英指出，建立个人信息的跨境流动制度，对保护个人信息权益及维护国家网络空间安全有着重要作用。无论是通过标准合同还是国际条约、协定等方式进行个人信息的跨境流动，《个人信息保护法》都要求个人信息处理者采取必要措施，保障境外接收方达到本法规定的保护标准。此外，她还强调，为维护我国国家安全，非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。

最后，林一英女士简要介绍了个人信息保护的工作机制与侵权归责原则。她指出，在个人信息保护机构设置模式上，有欧盟专门保护机构模式、日本委员会模式等不同立法例，我国主要由国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作，国务院有关部门在各自职责范围内负责个人信息的保护和监督工作。在侵权归责原则上，她表示，考虑到现实中公民个人与信息处理者通常地位不对等的情况，《个人信息保护法》采用了过错推定的方式，以提供更好的救济途径。

踊跃的提问环节中，“个人信息共同处理者与个人信息提供之间的关系” “如何在立法上切实落实告知同意原则”等问题被接连抛出，针对这些疑问，主讲人林一英回应认为，共同处理个人信息需要处理者共同决定处理目的和处理方式，共同处理与向其他处理者提供个人信息存在交叉关系但并不相同。另外，在互联网时代下，同意虽然可能流于形式，但告知同意规则一方面有利于落实个人的知情权和决定权，同时也为企业处理个人信息提出了合规要求，督促其落实相关处理规则，保护个人权益。如何更有效落实告知同意规则，确实有待实践的进一步探索。

武腾副教授在评议环节发表观点，认为《个人信息保护法》第六条的目的与原则，应与第五条的正当必要原则相结合，才能有更大的发挥空间与具体内涵。张金平副教授则结合自身研究方向，认为跨境数据流动配套规则方面需要有进一步的立法支撑。他指出，保障个人信息跨境流动的核心要点在于境外保护与我国达到同等要求，如何在立法层面保障《个人信息保护法》第38条的切实展开是学界需要进一步关注与研究的问题。

作为《个人信息保护法》制定过程中的亲历者，林一英女士在本场讲座中详细讲述了个人信息保护的具体规则与背后的价值取向，完善地向在场百余位参会者展现了《个人信息保护法》的整体框架，为与会者带来了一场精彩的学术盛宴。