2021年11月1日，《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）正式施行。《个人信息保护法》集中体现了以人民为中心的立法理念，并在国家层面建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为。当前，加强个人信息保护宣传教育，推动形成政府、企业、相关社会组织、公众共同参与个人信息保护的良好环境，确保《个人信息保护法》的各项要求和规定在社会生活中得到全面贯彻和落实，是一项重要任务。

“规范个人信息处理活动”是《个人信息保护法》的核心

目前，在各类个人信息保护法的解读文章中，大多在谈论个人信息保护的内容，很少涉及如何促进个人信息合理利用。实质上，《个人信息保护法》的立法目的不仅是“保护”个人信息，而是“保护”和“利用”同步推进。

《个人信息保护法》第一条规定：“为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。”从《个人信息保护法》的立法目的看，《个人信息保护法》的实质功能是一部个人信息处理活动行为规范法，个人信息保护的真正立法目的有两个，一个是“保护个人信息权益”，另一个是“促进个人信息合理利用”，其中“规范个人信息处理活动”处于整个《个人信息保护法》的核心地位，只有夯实“规范个人信息处理活动”这个关键环节，才能确保实现保护个人信息权益和促进个人信息合理利用之目的。

个人信息的内涵与匿名化

《个人信息保护法》第四条第一款明确了“个人信息”的定义：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。该定义与《网络安全法》《民法典》以及最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》中的“个人信息”定义在基本概念上保持了一致，强调“已识别或者可识别的自然人信息”，但在内涵上却有很大的不同。《个人信息保护法》中的“个人信息”定义增加了“不包括匿名化处理后的信息”，明确了“个人信息”经匿名化处理后不属于个人信息，也就无须适用《个人信息保护法》的相关规定，体现了《个人信息保护法》的“保护”和“利用”并重。

《个人信息保护法》第七十三条（四）将“匿名化”定义为：“是指个人信息经过处理无法识别特定自然人且不能复原的过程。”该定义中的“不能复原”采取了两种方法：一是删除个人信息包含的个人描述部分，包括将描述部分替换为其他描述部分，或者使用具有不可恢复的方法等；二是删除所述个人信息中包含的全部标识符，包括将标识符替换为其他描述部分，或者使用具有不可恢复的方法等。

《个人信息保护法》的域外效力

在数字化、智能化和网络化的时代，数据正在以前所未有的方式自由流动和跨境传输，因此个人信息保护立法仅有域内效力的规定根本无法充分保护本国公民的个人信息。2018年生效的欧盟GDPR率先确立了个人数据保护的域外效力，目前已有多个国家的个人信息保护法借鉴了GDPR域外效力的立法实践，我国的《个人信息保护法》也反映了国际个人信息保护的域外效力趋势。

我国《个人信息保护法》第三条第二款规定，在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列三种情形之一的，也适用《个人信息保护法》：一是“以向境内自然人提供产品或者服务为目的”，比如一家位于美国运营的电子商务网站（Amazon）向中国境内的自然人（包括本国人、外国人和无国籍人）提供产品或服务；二是“分析、评估境内自然人的行为”，比如一家位于境外的社交网站分析、评估中国境内自然人的行为，像全球最大的社交网站Facebook，每年发布专门的用户行为习惯研究分析报告；三是法律、行政法规规定的其他情形，如我国《数据安全法》第二条第二款明确规定：“在中华人民共和国境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。”

个人信息处理的核心原则

《个人信息保护法》总则部分确立了多项处理个人信息的基本原则，对这部法律的实施具有重要的指导意义，《个人信息保护法》的基本原则主要涉及的是个人信息处理的基本准则，特别是在云环境和平台经济的背景下，很多新型和疑难的个人信息保护案件很难精准地适用具体相应的法律条款，但是个人信息处理的基本原则具有协调、漏洞补充的作用，对新型个人信息保护案件的适用将发挥重要作用。

《个人信息保护法》主要确立以下五项重要原则：一是遵循合法、正当、必要和诚信原则；二是采取对个人权益影响最小的方式，限于实现处理目的的最小范围原则；三是处理个人信息应当遵循公开、透明原则；四是处理个人信息应当保证个人信息质量原则；五是采取必要措施确保个人信息安全原则。以上个人信息处理原则，如“遵循合法、正当、必要”“应当遵循公开、透明原则”“保障个人信息安全”等原则在《全国人民代表大会常务委员会关于加强网络信息保护的决定》《网络安全法》《民法典》《消费者权益保护法》等相关个人信息保护立法中均有规定，已经成为我国个人信息处理应遵循的通用规则。

笔者认为，《个人信息保护法》总则部分第六条确立的两个“最小原则”，是个人信息处理应遵循的核心原则，尤其是处理目的的“最小范围”，这是禁止“过度收集个人信息”的关键，因为个人信息处理者只有在严格遵守处理目的的“最小范围”的前提下，即“非必要不收集”的情况下，才能确保其采取对个人权益影响最小的方式。《个人信息保护法》第八条还专门规定了处理个人信息应当保证个人信息的质量，这项原则也极为重要，如果个人信息不准确或不完整将对个人权益造成不利影响。

以“告知-知情-同意”为核心的个人信息处理规则

“告知-同意”这一个人信息处理规则，在《网络安全法》《消费者权益保护法》《民法典》等法律中均有规定。《个人信息保护法》不仅确立了“告知-同意”的个人信息处理规则，而且构建了以“告知-知情-同意”为核心的个人信息处理规则体系。

应当指出，个人信息处理者“告知”的目的是确保被告知者的充分“知情”，只有被告知者在充分知情的前提下才能自愿、明确地做出决定。为此，《个人信息保护法》第十四条明确规定：“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。”由此，《个人信息保护法》构建了以“告知-知情-同意”为核心的个人信息处理规则。

敏感个人信息认定保护规则

《民法典》第一千零三十四条三款规定：“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”因此，《个人信息保护法》没有对自然人的隐私信息做出专门规定，而是将个人信息分为敏感信息和非敏感信息，并设专节设置了“敏感个人信息的处理规则”。

《个人信息保护法》第二十八条给出了“敏感个人信息”的定义，即“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。”该定义采用了“个人信息被泄露或者非法使用﹢危害后果﹢列举重要敏感个人信息”的立法技术，同时将不满十四周岁未成年人的个人信息也纳入了“敏感个人信息”给予重点保护。

《个人信息保护法》对处理敏感个人信息作出了严格的限制性规定，即在履行“告知-知情-同意”原则的基础上，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。特别是处理敏感个人信息应当取得个人的单独同意，如果法律、行政法规规定处理敏感个人信息应当取得书面同意的，应当从其规定。