2021年11月1日，《個人信息保護法》正式實施，如今已經(jīng)四年多時間。今年，也是上海網(wǎng)信辦“亮劍浦江”專項行動實施的第三年。

2023年，上海網(wǎng)信、市監(jiān)等多個部門啟動“亮劍浦江”專項執(zhí)法行動。圖為上海市網(wǎng)信辦會同相關(guān)部門召開部分商超企業(yè)個人信息保護合規(guī)工作座談會。

這幾年里，公民的個人信息保護意識是否在提高？目前，在個人信息保護方面，仍有哪些難點？“亮劍浦江”專項行動對個人信息保護、營商環(huán)境以及法治建設(shè)等方面，起到了什么作用……近日，澎湃新聞記者就前述問題專訪了大成（上海）律師事務(wù)所律師楊宇宙。

根據(jù)他的觀察，隨著《個人信息保護法》的實施以及“亮劍浦江”專項行動的開展，近些年，公民和企業(yè)的個人信息保護意識都在不斷提高。但未來可能還需解決三大難點：信息不對稱，用戶缺乏有效手段判斷企業(yè)是否按照隱私政策收集、處理個人信息；違法成本和收益還不平衡；對中小企業(yè)，找到個人信息保護合規(guī)義務(wù)和企業(yè)發(fā)展的平衡點還比較困難。

2024年底，央視《新聞1+1》報道上海如何治理人臉識別濫用問題。

公民個人信息保護意識逐年提高

澎湃新聞：2021年11月1日，《個人信息保護法》正式實施，至今已經(jīng)四年多了。在個人信息保護方面，您最關(guān)注什么問題？

楊宇宙：最關(guān)注個人信息主體同意的認(rèn)定問題?！秱€人信息保護法》雖然規(guī)定了處理個人信息的合法性基礎(chǔ)，但是個人信息主體的同意是實踐中最為普遍采用的合法性基礎(chǔ)。

有效同意以充分告知為前提，隱私政策正是最主要的告知手段。然而，目前的現(xiàn)狀是隱私政策越寫越長，而且還充滿著許多晦澀的專業(yè)術(shù)語，絕大部分用戶也根本不看隱私政策直接就點了同意或者授權(quán)，這就導(dǎo)致同意淪為了形式。

此外，還有部分APP仍將同意隱私政策與使用相綁定，用戶除了點擊同意之外沒有其他選擇。如何讓用戶在真正知情的情況下自愿做出同意，還需要繼續(xù)加以關(guān)注。

澎湃新聞：在司法實踐中，就您的感受來說，公民的個人信息保護意識，是否在發(fā)生改變？有哪些改變？

楊宇宙：我感覺，公民的個人信息保護意識確實在逐年提高，而且已經(jīng)從被動接受改為積極維權(quán)。以前面對個人信息泄露，大家更多表示的是無奈，現(xiàn)在越來越多的人會去學(xué)習(xí)個人信息保護的相關(guān)知識，主動發(fā)現(xiàn)身邊的個人信息侵權(quán)行為，并能識別出侵權(quán)行為的類型。

澎湃新聞：您認(rèn)為是什么促使公民的個人信息保護意識發(fā)生了改變？

楊宇宙：最重要的原因是網(wǎng)信部門的嚴(yán)格執(zhí)法。這種嚴(yán)格執(zhí)法，既是對侵權(quán)行為的糾正，也是對公民個人信息保護的教育，促進(jìn)公民個人信息保護意識的提升。以上海市委網(wǎng)信辦連續(xù)三年開展的“亮劍浦江”行動為例，該行動2023年就對停車?yán)U費、掃碼點餐等場景下強制用戶登錄授權(quán)、不當(dāng)索權(quán)等現(xiàn)象進(jìn)行了整治。之后停車場出現(xiàn)“純凈碼”，可直接支付；餐廳點餐也不強制登錄或者提供手機號。這種變化給公民上了一堂個人信息保護的實踐課。公民看到了這種變化，會意識到之前強制收集用戶個人信息的行為是不恰當(dāng)?shù)?。此時公民保護個人信息的意識就得到了提升。而且侵權(quán)行為能得到糾正，公民也有更多動力維權(quán)。

澎湃新聞：對企業(yè)和個人，您有哪些具體的個人信息保護合規(guī)建議？尤其是在網(wǎng)絡(luò)社交、商業(yè)活動等高頻場景中，需要重點關(guān)注哪些法律風(fēng)險點？

楊宇宙：對企業(yè)而言，最重要的是要培養(yǎng)“隱私融入設(shè)計”的意識。在系統(tǒng)設(shè)計和產(chǎn)品研發(fā)階段，就將個人信息保護的需求考慮進(jìn)去，遵循最小化原則，在收集個人信息之前先考慮收集的必要性，處理完個人信息后及時刪除。此外，企業(yè)應(yīng)當(dāng)注重自身個人信息保護體系和制度的建設(shè)，采取適當(dāng)?shù)募夹g(shù)措施保護個人信息安全，不斷提升合規(guī)能力。

對個人而言，每當(dāng)需要掃碼時就要格外注意。要關(guān)注掃碼后的App、小程序等是否收集姓名、手機號等個人信息，是否有隱私政策，是否告知個人信息處理者等內(nèi)容，是否可以注銷賬戶等。對于來源不明的、不規(guī)范的App、小程序直接卸載或關(guān)閉，不向其提供任何個人信息。

個人信息保護仍需解決的難點

澎湃新聞：您認(rèn)為，“亮劍浦江”行動對保護營商環(huán)境、促進(jìn)法治建設(shè)，起到什么作用？

楊宇宙：“亮劍浦江”行動起到了明確合規(guī)底線的作用，通過規(guī)范企業(yè)收集處理個人信息的行為，敦促企業(yè)為個人信息保護投入成本，打擊通過過度收集個人信息而獲取競爭優(yōu)勢的企業(yè)，保證企業(yè)的公平競爭環(huán)境，促進(jìn)個人信息保護制度的落實，營造一個在保護個人信息的環(huán)境下充分競爭的營商環(huán)境。

通過“亮劍浦江”行動，能細(xì)化《個人信息保護法》的規(guī)定，使《個人信息保護法》真正得到落實，使社會公民的個人信息權(quán)益得到保護。

澎湃新聞：個人信息保護還面臨哪些難點、痛點和堵點？對此，您有什么建議？

楊宇宙：首先，信息不對稱是個人信息保護的最大難點。用戶缺乏有效的手段判斷企業(yè)是否合規(guī)收集、處理個人信息。例如最令人詬病的“大數(shù)據(jù)殺熟”，如果用戶沒有和其他用戶比較價格的條件，就幾乎不可能發(fā)現(xiàn)被大數(shù)據(jù)殺熟。這就需要執(zhí)法部門重點監(jiān)管那些容易利用信息不對稱侵犯個人信息的企業(yè)。

其次，違法成本和收益還不平衡。目前對違規(guī)處理個人信息的企業(yè)大部分以警告和責(zé)令改正為主，實施罰款的案例相對較少，司法案例中賠償?shù)臄?shù)額也不是很高。這就導(dǎo)致企業(yè)難有動力主動進(jìn)行個人信息保護合規(guī)工作。我建議在今后的執(zhí)法中，可以適當(dāng)加大處罰力度，對主動合規(guī)的企業(yè)，可以從輕或減輕處罰。通過這種方式增加企業(yè)的合規(guī)收益，引領(lǐng)企業(yè)主動合規(guī)。

最后，對于中小企業(yè)來說，找到個人信息保護合規(guī)義務(wù)和企業(yè)發(fā)展的平衡點還比較困難。個人信息保護合規(guī)義務(wù)過重，對中小企業(yè)的發(fā)展是負(fù)擔(dān)，個人信息保護合規(guī)義務(wù)過輕，又不足以令企業(yè)重視。或許在進(jìn)行處罰裁量時考慮企業(yè)的規(guī)模與合規(guī)能力，有助于找到平衡點。

澎湃新聞：“亮劍浦江”專項行動已連續(xù)進(jìn)行三年。對于“亮劍浦江”行動，您的觀察和感受有哪些？未來有哪些建議或期待？

楊宇宙：“亮劍浦江”行動的成果是具體的，可觀察的。落腳點是人民群眾身邊常見的“小事”，但這些“小事”又威脅到公民個人信息安全，因此又非常重要。“亮劍浦江”行動督促企業(yè)對違規(guī)行為進(jìn)行整改，整治了身邊的個人信息侵權(quán)行為，效果顯著。

此外，“亮劍浦江”行動的成果是可持續(xù)的。除了對具體的侵權(quán)進(jìn)行整治外，還為企業(yè)提供合規(guī)工具，這有助于企業(yè)不斷提升個人信息保護水平。

在執(zhí)法場景的選擇上，我建議“亮劍浦江”行動接下來聚焦一些新興的風(fēng)險場景中。例如，隨著人工智能技術(shù)的普及，人工智能生成內(nèi)容中對個人信息的使用問題應(yīng)當(dāng)重點加以關(guān)注。一些不法分子利用人工智能技術(shù)生成個人形象帶貨，這不僅屬于非法處理公民個人信息的行為，也是對消費者的欺詐，擾亂了市場秩序，應(yīng)重點打擊。