個人信息保護法草案二審稿作出多處修改

個人信息保護事關廣大人民群眾的切身利益。繼2020年10月首次提請審議，個人信息保護法草案今天再次亮相，提請十三屆全國人大常委會第二十八次會議審議。相比草案一審稿，草案二次審議稿根據各方意見作出多處修改。

目前，非法收集、過度收集、強制收集個人信息的問題較為突出。草案二審稿針對突出問題，以保護個人信息權益為核心，以嚴格規制個人信息處理活動為重點，進一步完善了相關的制度規范。

值得關注的是，今年1月1日起，民法典正式施行。其中規定，死者的姓名、肖像、名譽等受到侵害的，其近親屬有權依法請求行為人承擔民事責任。草案二審稿增加規定：自然人死亡的，個人在個人信息處理活動中的權利由其近親屬行使。

完善個人信息處理應遵循的原則

當前，個人信息收集、使用規則不透明及過度收集、使用等問題突出。鑒于此，草案二審稿有針對性地完善了個人信息處理應遵循的原則。

草案二審稿進一步明確：不得通過“脅迫”方式處理個人信息;處理個人信息應當限于實現處理目的所必要的最小范圍、采取對個人權益影響最小的方式;處理個人信息應當公開個人信息處理規則，明示處理目的、方式和范圍，并應當保證個人信息的質量，避免因個人信息不準確、不完整對個人權益造成不利影響。

充實合法處理個人信息的規則

根據一些常委會組成人員和地方、部門、專家、企業、社會公眾的意見，草案二審稿進一步完善了個人信息處理規則。

草案二審稿增加規定：個人信息處理者應當為個人提供便捷的撤回同意的方式;個人撤回同意，不影響撤回同意前已進行的個人信息處理活動的效力。同時規定，通過自動化決策方式進行商業營銷、信息推送，應當同時提供不針對其個人特征的選項，或者向個人提供拒絕的方式。

有意見提出，接受委托處理個人信息的受托方不屬于本法規定的個人信息處理者，但仍應履行相應的個人信息安全保護義務。鑒于此，草案二審稿增加規定：接受委托處理個人信息的受托方，應當履行第五章規定的相關義務，采取必要措施保障所處理的個人信息的安全。

此外，草案二審稿明確，個人信息跨境提供的合同應“按照國家網信部門制定的標準合同”訂立。

強化超大型互聯網平臺的義務

有的部門、專家建議，強化超大型互聯網平臺的個人信息保護義務，并加強監督。草案二審稿增加了相關內容，對提供基礎性互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者的義務作出規定。

這些義務包括：成立主要由外部成員組成的獨立機構，對個人信息處理活動進行監督;對嚴重違反法律、行政法規處理個人信息的平臺內的產品或者服務提供者，停止提供服務;定期發布個人信息保護社會責任報告，接受社會監督。

明確國家網信部門的有關職責

為了保證個人信息保護法的有效貫徹實施，草案二審稿明確，由國家網信部門統籌推進個人信息保護有關工作，包括：制定個人信息保護具體規則、標準;針對敏感個人信息以及人臉識別、人工智能等新技術、新應用制定專門的個人信息保護規則、標準;支持研究開發安全、方便的電子身份認證技術等。

此外，為了與民法典有關規定相銜接，草案二審稿還設置了嚴格的侵害個人信息權益的法律責任，規定：個人信息權益因個人信息處理活動受到侵害，個人信息處理者不能證明自己沒有過錯的，應當承擔損害賠償等侵權責任。