作者：中科法匠 · 菁年律师学院

刘慧律师

          2021年8月20日，我国首部《个人信息保护法》经十三届全国人大常委会第三十次会议表决获得通过，自2021年11月1日起施行，这也意味着我国首部专门针对个人信息保护的系统性，综合性法律终于正式落地了。

         网络是把双刃剑，网络迅猛发展给我们带来了便捷，同时也让我们的个人信息处于极易暴露的风险中，随着社会的进步，法律也与时俱进对我们个人信息保护方面做了详细的规定，这为保障个人信息主体的权利提供了重要的法律支撑，《个人信息保护法》都规定了哪些重点呢？让我们一一细说。

什么是个人信息？

          个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息，个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。

确立了“告知-同意”的核心规则

          个人信息保护法要求处理个人信息时，应当在事先充分告知的前提下取得个人同意，同时在个人信息处理的重要事项发生变更的时候应当先向个人告知并取得其同意，在未告知的情况下，不能处理个人信息，否则将面临国家相关部门处罚的严重后果。

敏感信息严格保护

        《个人信息保护法》在制定之前也考虑到了个人敏感信息一旦泄露或者被非法使用，极易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害，所以对敏感个人信息也做出了更加严格的限制。

          敏感信息包括生物识别、宗教信仰、特定身份、医疗健康、行踪轨迹、以及不满十四周岁未成年的个人信息，当个人信息保护法要求在特定的目的和充分的必要下，并严格采取保护措施的情况下，才可以处理敏感个人信息。

我们在个人信息处理活动中享有的权利

       《个人信息保护法》规定个人对其个人信息的处理享有知情权、决定权、有权限制或者拒绝他人对其个人信息进行处理。个人有权向个人信息处理者查阅、复制起个人信息。个人在发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。

个人信息处理者的义务有哪些？

很多企业或者相关部门都会涉及到处理个人信息，《个人信息保护法》对信息处理者提出了严格的要求，作为企业家们更应该了解并做好信息保护的规定。

       《个人信息保护法》要求信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失。个人信息处理者应当制定内部管理制度和操作教程；对个人信息实行分类管理；采取相应的加密、去标识化等安全技术措施；合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；制定并组织实施个人信息安全事件应急预案。应当定期对其处理个人信息遵守法律、法规的情况进行审计。同时在发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。

采取过错推定的原则

          个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任，从这也可以看出，对信息处理者提出更高的要求，国家也是加强了个人信息保护的力度。

损害赔偿额如何确定呢？

          损害赔偿额是按照个人受到的损失或者个人信息处理者获得的利益确定，个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。

最终由谁来履行个人信息保护职责呢？

          是由国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国家网信部门通过开展个人信息保护宣传教育、指导、监督个人信息处理者开展个人信息保护工作；接受、处理与个人信息保护有关的投诉与举报，组织对应用程序等个人信息保护情况进行测评，并公布测评结果；调查处理违法个人信息处理活动等。