本报北京10月13日电 今天，备受期待的个人信息保护法草案首次提请十三届全国人大常委会审议。

    相关数据显示，截至2020年3月，我国互联网用户已达9亿，互联网网站超过400万个、应用程序数量超过300万个，个人信息的收集、使用更为广泛。虽然近年来我国个人信息保护力度不断加大，但在现实生活中，一些企业、机构甚至个人，从商业利益等出发，随意收集、违法获取、过度使用、非法买卖个人信息，利用个人信息侵扰人民群众生活安宁、危害人民群众生命健康和财产安全等问题仍十分突出。

    “在信息化时代，个人信息保护已成为广大人民群众最关心最直接最现实的利益问题之一。”全国人大常委会法工委副主任刘俊臣介绍说，制定个人信息保护法是进一步加强个人信息保护法制保障的客观要求，是维护网络空间良好生态的现实需要，也是促进数字经济健康发展的重要举措。

    草案充分借鉴有关国际组织和国家、地区的有益做法，坚持问题导向和立法前瞻性相结合，把握权益保护的立法定位，与民法典等有关法律规定相衔接，建立健全适应中国个人信息保护和数字经济发展需要的法律制度。

    明确适用范围 赋予域外适用效力

    草案共八章七十条，包括总则、个人信息处理规则、个人信息跨境提供的规则、个人在个人信息处理活动中的权利、个人信息处理者的义务、履行个人信息保护职责的部门、法律责任及附则。

       草案规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息；个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等活动。

    草案具有必要的域外适用效力，以充分保护我国境内个人的权益。根据草案，以向境内自然人提供产品或者服务为目的，或者为分析、评估境内自然人的行为等发生在我国境外的个人信息处理活动，也适用本法；并要求境外的个人信息处理者在境内设立专门机构或者指定代表，负责个人信息保护相关事务。

    健全处理规则 对处理敏感个人信息作出更严格限制

    草案确立以“告知—同意”为核心的个人信息处理一系列规则，要求处理个人信息应当在事先充分告知的前提下取得个人同意，并且个人有权撤回同意；重要事项发生变更的应当重新取得个人同意；不得以个人不同意为由拒绝提供产品或者服务。

    根据个人信息处理的不同环节、不同个人信息种类，草案第二十一条至第二十八条对个人信息的共同处理、委托处理、向第三方提供、公开、用于自动化决策、处理已公开的个人信息等提出有针对性的要求。

    草案设专节对处理敏感个人信息作出更严格的限制。规定个人信息处理者只有在具有特定的目的和充分的必要性时，方可处理敏感个人信息，并且应当取得个人的单独同意或者书面同意。

    草案明确，敏感个人信息的定义是一旦泄露或者非法使用，可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息，包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。

    在应对新冠肺炎疫情中，大数据应用为联防联控和复工复产提供了有力支持。为此，草案将应对突发公共卫生事件，或者紧急情况下保护自然人的生命健康，作为处理个人信息的合法情形之一。

    “需要强调的是，在上述情形下处理个人信息，也必须严格遵守本法规定的处理规则，履行个人信息保护义务。”刘俊臣表示。

    明确个人权利和处理者义务 违法行为记入信用档案

    草案与民法典的有关规定相衔接，对个人信息处理活动中个人的各项权利进行了明确，包括知情权、决定权、查询权、更正权、删除权等，并要求个人信息处理者建立个人行使权利的申请受理和处理机制。

    草案明确了个人信息处理者的合规管理和保障个人信息安全等义务，要求其按照规定制定内部管理制度和操作规程，采取相应的安全技术措施，并指定负责人对其个人信息处理活动进行监督；定期对其个人信息活动进行合规审计；对处理敏感个人信息、向境外提供个人信息等高风险处理活动，事前进行风险评估；履行个人信息泄露通知和补救义务等。

    草案对违反规定行为的处罚及侵害个人信息权益的民事赔偿等作了规定。根据草案，有本法规定的违法行为的，将依照有关法律、行政法规的规定记入信用档案，并予以公示。