主持人：大数据时代，基于新媒介技术与传播模式的进步和发展，“数据化”的私人信息得以更快的速度、更大的范围和更隐秘的方式脱离本人的实际控制，个人信息的泄露、交易与滥用风险愈来愈高。与此同时，我们国家的法律也及时提供了应对措施，作为我国民事权益保护的基本法律，《民法典》明确规定“自然人的个人信息受法律保护”，同时又在“人格权编”设立了“隐私权和个人信息保护”专章并将新闻报道、舆论监督与个人信息保护的关系列入专门条款。这些设置与安排，体现了《民法典》对个人信息这一新型民事权益的人文关怀，也标志着我国关于个人信息保护顶层立法设计的初步完成。今天，我们就请刘律师和我们一起来聊一聊公民个人信息保护法律的问题。

刘律师：随着数字经济的发展，个人信息保护是网络的健康和安全的客观需求，相关法律法规的出台，是为了进一步加强了个人信息安全的法律保护，维护网络空间的良好生态。一方面保证了个人信息的合理和有效使用，促进数字经济的发展，另一方面保证了个人信息使用的安全性和合法性。正如主持人刚才所说的，民法典的有关规定标志着我国关于个人信息保护顶层立法设计的初步完成。随之延伸出来的个人信息的民事保护、行政保护，以及民事、行政与刑事保护的衔接也在此后逐步的完善起来，比如2021年11月实施的《中华人民共和国个人信息保护法》就建立起了一个基本完善的公民个人信息保护法律机制。

主持人：关于公民个人信息的保护，我们如何理解，是对公民个人信息使用的禁止吗？

刘律师：事实上《民法典》对自然人的隐私权与个人信息做了区分，法律上对于自然人的隐私权是一种严格保护的状态，禁止窥探和公开，而对个人信息则是采取保护措施，其目的不是禁止使用，而是合法使用。从另外一个角度来讲，我们的法律制度并不是为了禁止使用个人信息，而是为了更好地使用个人信息。

主持人：也就是说，个人信息是可以使用的，但是不能违反法律规定的方式来进行使用。那么刘律师，对于公民个人信息的使用，在法律上有什么样的基本要求呢？

刘律师：对于个人信息的使用，除了法律法规规定的情况之外，原则上必须取得信息个人的知情并同意。根据《个人信息保护法》，对个人信息的使用，除了下列的情况之外，都必须明确告知信息个人，并取得信息个人的明确同意，方能使用。我们先介绍一下无须取得信息个人同意的情况：比如为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；依照个人信息保护法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。除了上述我们列举的这些情况之外，处理个人信息的，应当取得信息个人的明确同意。

主持人：对于您刚才说到的必须取得信息个人同意这个问题，我注意到您提到一个告知，和一个明确同意，这个在实际操作中要注意什么问题呢？

刘律师：我们先谈一谈告知，法律上对告知的形式和内容是有明确规定的。要求个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：一是个人信息处理者的名称或者姓名和联系方式；二是个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；三是行使个人信息保护法规定权利的方式和程序；四是法律、行政法规规定应当告知的其他事项。那么上述告知的内容如果在个人信息处理和使用过程中发生变更的，还应当将变更部分告知信息个人。对于明确同意这个问题，法律上要求该同意应当由信息个人在充分知情的前提下自愿、明确作出来的，如果法律、行政法规有特殊规定的，还应当取得信息个人单独同意或者书面同意。同样的，上面说到的使用中告知的内容产生变化的情况下，还应当重新取得信息个人的同意。这里面我们还要特别强调一点，就是处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。

主持人：刘律师，那我想问一个问题，相信这个问题也是广大听众关心的一个问题，比如说我们在网络上消费的记录数据，这个应该是属于个人信息，之前有过这样的报道，就是一些APP通过大数据分析，针对同样的服务或商品，根据消费者个人的不同消费习惯和消费水平，给出不同的价格，也就是我们俗称的“大数据杀熟”这种情况，那么这种对个人信息的分析使用，有没有受到法律的限制？

刘律师：主持人刚才问的这个问题，恰恰是《个人信息保护合法》中的一个亮点，这也充分体现出立法者的充分调研以及立法的人文关怀。大数据杀熟这种现象，实际三是一个根据大数据分析作出自动化决策所引发的社会问题，就是根据你的消费水平，系统会给出一个消费价格，你的消费水平比较高，那系统就给出一个较高的价格，它的目的就是为了达成交易并且保证最大的利润利益。这实际上是违反公序良俗的一种营销方式，也是法律所不允许的。个人信息保护法第24条就明确规定，个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。而且，通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。也就是说，“大数据杀熟”被法律否定了。

主持人：之前有过这样的报道，就是某些商家会在他的经营场所设置人脸识别的装置，用于对客户的统计分析，判断客户的消费频率、消费习惯、消费水平等等，这是法律允许的吗？

刘律师：这是法律所不允许的，对于人脸识别技术的应用，法律上是有明确限制的。首先，人脸识别装置所捕捉到的个人信息，属于敏感信息。所谓敏感个人信息，是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，它包括了生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。法律规定，处理敏感个人信息应当取得个人的单独同意，并且如果法律、行政法规有规定的，还应当取得书面同意；其次呢，在公共场所安装诸如人脸识别这种图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的。主持人刚才所说的商家为了经营，采用人脸识别技术采集消费者信息，这显然不属于公共安全所必须，因此，它是法律所不允许的。

主持人：刘律师，那么对于不当使用个人信息的行为，甚至造成信息个人损害、损失的行为，这个使用人可能会面临怎样的法律风险，或者说法律责任呢？

刘律师：通常我们讲法律责任，离不开三种形式，一是民事责任，二是行政责任，三是刑事责任。如果使用公民个人信息不当，造成信息个人经济损失的，那么信息使用人可能会承担一个民事赔偿责任。从民事法律的角度来讲，这是一种侵权行为，应当承担侵权责任。在法律上，侵权责任的承担有几种形式，包括停止侵害、排除妨碍、消除危险、返还财产、恢复原状、赔偿损失、赔礼道歉、消除影响、恢复名誉。以上承担侵权责任的方式，可以单独适用，也可以合并适用。

主持人：那么被侵权人要如何去主张侵权人承担侵权责任呢？

刘律师：对于个人信息侵权行为的责任承担，法律上在举证责任方面设置了一个过错推定的机制。根据《个人信息保护法》第六十九条的规定：“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。”一般的侵权责任承担，被侵权人必须证明侵权人是有过错的，但在个人信息侵权这个领域呢，法律规定了个人信息处理者如果无法证明自己没有过错，那么就必须承担责任。也就是说，被侵权人无须证明对方有过错，而是侵权人一旦实施了使人受到损害的行为，法律上就推定你是有过错的，除非你能证明自己没有过错，否则，就要承担相应的责任。

主持人：刘律师，您刚才讲到了个人信息侵害的民事责任，那么行政责任又是如何规定的呢？

刘律师：违反《个人信息保护法》规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，会被责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。这是情节较轻的情况，如果有上述的行为并且情节严重的，则会被责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

主持人：明白了，刘律师，您刚才讲到的刑事责任，又是什么样的情况？

刘律师：除了上述的民事责任和行政责任的规定之外，如果侵害个人信息的行为涉嫌犯罪的，还可能会承担刑事责任。通常这种的犯罪被称为“侵犯公民个人信息罪”，它是指向他人出售或者提供公民个人信息，情节严重的行为，或者是将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的行为。对于上述的犯罪行为，《中华人民共和国刑法》第二百五十三条规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金;情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

主持人：好，不知不觉节目时间已近尾声，十分感谢刘律师关于个人信息保护法律问题的分享。收音机前的听众朋友们，希望刘律师今天分享的内容能够对您有所帮助。

相关选择题

1. （单选）《民法典》中对自然人个人信息保护是如何规定的（D）

A. 仅仅规定在公民人格权中；

B. 规定在公民的隐私权中；

C. 仅仅在总则中予以规定；

D. 在总则与人格权编中均由规定。

2.（单选）个人信息侵权行为在诉讼中采取的是什么样的过错原则（A）

A. 采用过错推定原则；

B.采用过错原则；

C.采用无过错原则；

D.采用过错原则。

3.（单选）下列说法正确的是（C）

A.所有使用个人信息的行为都必须取得同意；

B.为生产经营而使用个人信息无须取得同意；

C.除了法律规定的情形外，使用个人信息的行为必须取得同意；

D.采用人脸识别技术可以用于商业用途。

4.（多选）处理个人信息时进行的告知，具体内容包括（ABCD）

A.个人信息处理者的名称或者姓名和联系方式；

B.个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；

C.信息个人行使个人信息保护法规定权利的方式和程序；

D.法律、行政法规规定应当告知的其他事项。