不知何时，自己的个人信息就被私下收集，甚至被他人当作了交易产品进行贩卖和使用？

聊到某个话题，打开手机发现被定向投放广告信息；车险快到期前，保险公司就已经开始轮番打电话推销；进入售楼处，人脸信息已被自动采集；时不时收到不明来源的网站访问端口垃圾短信……

在推动经济高质量发展的过程中，数据逐渐成为一项国家基础性战略资源和重要生产要素，个人信息的收集使用简单快捷，给人们带来便利的同时，人脸识别、大数据杀熟等问题却也在侵害着个人合法权益。

面对如此野蛮生长，国家在立法层面开始有所行动。

随着2017年《网络安全法》的正式实施，数据安全及个人信息保护的课题也被提上日程，如何加强个人信息保护，不仅是落实《网络安全法》的应有之义，也是目前在大数据年代，人们面临的亟待解决的问题：2021年1月1日《民法典》正式实施，其中第111条明确规定自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益；而2021年8月20日《个人信息保护法》（以下简称《个保法》）的出台，更是标志着我国法治建设在个人信息保护方面开始发力，个人信息保护的法律屏障逐步建立和完善。

01什么是个人信息处理？

《个人信息保护法》第4条第2款规定，个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。

02个人信息是否全部属于个人隐私？

个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

而依据《民法典》 第1032条规定，隐私指的是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。

由此可见，个人信息范围包含部分隐私信息。对此，法律适用方面，对于个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。该条同样规定自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。

但这里需要强调的是，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

03如何处理个人信息？

《民法典》第1035条规定：“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外……”

其中，对于“取得个人同意”这个问题的理解，需要从以下四点进行把握：

①在处理前就要取得信息所有者的同意；

②需审查信息处理是否在个人同意的范围内，包括但不限于处理目的、处理方式、个人信息种类等；

③遵循最小必要原则，也即以实现基本功能及附加功能的目的；

④敏感个人信息的收集需要用户单独同意。

而什么又是敏感个人信息？

《个保法》第28条规定：敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，比如生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满14周岁的未成年人个人信息。

值得注意的是，不同场景下收集同一类信息可能结果不同，比如：公司组织旅游收集婚姻子女状况便于安排行程食宿，这个是合理的；而企业招聘时要求应聘者披露生育史这个要求一般来说是不合理的。

那是否所有处理个人信息的情况都需取得个人同意呢？对此，《个保法》第13条对这一问题以列举的方式进行了明确：

（一）取得个人的同意；

（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

（三）为履行法定职责或者法定义务所必需；

（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；

（七）法律、行政法规规定的其他情形。

依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

律师有话说：

“加强个人信息保护 避免信息泄露”

个人信息的处理可能涉及到不同主体之间的权利冲突问题，比如劳动关系中个人信息受保护权和单位管理需求之间的矛盾、疫情期间个人隐私和公共健康安全保障之间的矛盾等等。

1、对公众来说，首先尽量从源头斩断风险，避免在网络这种公共平台公开自己的信息、照片，不访问不明信息，不轻易提供个人单据材料等等；此外，要知悉我们对个人信息的处理享有知情权、决定权，即有权限制或拒绝他人对自己的个人信息进行处理（法律法规另有规定除外）；有要求查阅、更正、补充个人信息的权利；同时，对于处理目的已实现、撤回同意信息处理等情况，我们也有权要求信息处理者删除相关信息，避免影响自身合法权益。

2、而对于信息处理者来说，处理个人信息应当具有明确、合理的目的，并应当采取对个人权益影响最小的方式，同时从技术层面对个人信息进行分类管理，并采取相关的安全技术措施防止他人信息泄露。

（本文作者：盈科丁晓雨律师 来源：微信公众号 麦田律师团队）