个人信息保护法的具体内容（个人信息保护法关于个人信息处理规则之梳理）

2021年8月20日，第十三届全国人大常委会第三十次会议表决通过《中华人民共和国个人信息保护法》《个人信息保护法》作为我国第一部个人信息保护方面的专门法律，以保护个人信息权益、规范个人信息处理活动、促进个人信息合理利用为立法目的，构建了个人信息处理的基本规则，本文就《个人信息保护法》有关个人信息处理的规则进行了简单梳理，下面我们就来说一说关于个人信息保护法的具体内容?我们一起去了解并探讨一下这个问题吧!

个人信息保护法的具体内容

2021年8月20日，第十三届全国人大常委会第三十次会议表决通过《中华人民共和国个人信息保护法》。《个人信息保护法》作为我国第一部个人信息保护方面的专门法律，以保护个人信息权益、规范个人信息处理活动、促进个人信息合理利用为立法目的，构建了个人信息处理的基本规则，本文就《个人信息保护法》有关个人信息处理的规则进行了简单梳理。

一、个人信息的定义和分类

个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，既包括可单独识别特定自然人或反映特定自然人活动情况的信息，也包括与其他信息结合后可识别特定自然人或反映特定自然人活动情况的信息。除此之外，由特定自然人在其活动中产生的信息（如个人位置信息、个人通话记录等）也视为个人信息。

个人信息并不包括匿名化处理后的信息。匿名化作为一种数据处理技术，可以移除或修改数据中的个人身份信息。经过匿名化处理的数据无法与任何自然人进行关联匹配，当然不属于个人信息。

个人信息举例：

个人基本资料	个人姓名、生日、性别、民族、国籍、家庭关系、住址、个人电话号码、电子邮件地址等
个人身份信息	身份证、军官证、护照、驾驶证、工作证、出入证、社保卡、居住证等
个人生物识别信息	个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等
网络身份标识信息	个人信息主体账号、IP地址、个人数字证书等
个人健康生理信息	个人因生病医治等产生的相关记录，如病症、住院志、医嘱单、检验报告、手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、以往病史、诊治情况、家族病史、现病史、传染病史等，以及与个人身体健康状况相关的信息，如体重、身高、肺活量等
个人教育工作信息	个人职业、职位、工作单位、学历、学位、教育经历、工作经历、培训记录、成绩单等
个人财产信息	银行账户、鉴别信息(口令)、存款信息（包括资金数量、支付收款记录等）、房产信息、信贷记录、征信信息、交易和消费记录、流水记录等，以及虚拟货币、虚拟交易、游戏类兑换码等虚拟财产信息
个人通信信息	通信记录和内容、短信、彩信、电子邮件，以及描述个人通信的数据（通常称为元数据）等
联系人信息	通讯录、好友列表、群列表、电子邮件地址列表等
个人上网记录	指通过日志储存的个人信息主体操作记录，包括网站浏览记录、软件使用记录、点击记录、收藏列表等
个人常用设备信息	指包括硬件序列号、设备MAC地址、软件列表、唯一设备识别码（如IMEI/Android ID/IDFA/OpenUDID/GUID/SIM卡IMSI信息等）等在内的描述个人常用设备基本情况的信息
个人位置信息	包括行踪轨迹、精准定位信息、住宿信息、经纬度等
其他信息	婚史、宗教信仰、性取向、未公开的违法犯罪记录等

（来源：GB/T 35273—2020 信息安全技术个人信息安全规范）

依据《个人信息保护法》第二章的规定，个人信息细分为一般个人信息和敏感个人信息。

敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息。需要注意的是，未满十四周岁未成年人的个人信息均属于敏感个人信息。敏感个人信息之外的其他个人信息属于一般个人信息。

敏感个人信息举例：

个人财产信 息	银行账户、鉴别信息(口令)、存款信息（包括资金数量、支付收款记录等）、房产信息、信贷记录、征信信息、交易和消费记录、流水记录等，以及虚拟货币、虚拟交易、游戏类兑换码等虚拟财产信息
个人健康生理信 息	个人因生病医治等产生的相关记录，如病症、住院志、医嘱单、检验报告、手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、以往病史、诊治情况、家族病史、现病史、传染病史等
个人生物识别信 息	个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等
个人身份信 息	身份证、军官证、护照、驾驶证、工作证、社保卡、居住证等
其他信 息	性取向、婚史、宗教信仰、未公开的违法犯罪记录、通信记录和内容、通讯录、好友列表、群组列表、行踪轨迹、网页浏览记录、住宿信息、精准定位信息等

（来源：GB/T 35273—2020 信息安全技术个人信息安全规范）

二、以“告知-同意”为核心的个人信息处理规则

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等，覆盖个人信息全生命周期的各个环节。

依据《个人信息保护法》第十四条、第十七条的规定，个人信息处理者在处理个人信息前，应当将个人信息处理者的名称、联系方式，个人信息的处理目的、方式，处理的个人信息种类、保存期限，个人行使法定权利的方式和程序等事项，真实、准确、完整地向个人告知。由于个人信息处理具有技术门槛，涉及一定的技术性与专业性，《个人信息保护法》还要求个人信息处理者在向个人进行告知时，应以显著方式和清晰易懂的语言进行告知。只有在个人充分知情的前提下，自愿、明确表示同意后，个人信息处理者方可进行个人信息的处理。

以上便是《个人信息保护法》关于个人信息处理中告知-同意规则的基本规定，也是个人信息处理的一般规则。

具体到个人信息处理的对象、阶段和应用场景等，对“告知-同意”亦有着不同的要求。就“同意”而言，纵观《个人信息保护法》全文，存在“（一般）同意”“单独同意”“书面同意”“重新同意”“监护人同意”等不同的表述，对应的则是对个人信息处理活动的不同要求。

就个人信息处理的对象而言，敏感个人信息关乎个人的人格尊严、人身和财产安全利益，敏感个人信息的处理较一般个人信息的处理而言，对告知、同意等事项均有着更高的要求。依据《个人信息保护法》第二十九条的规定，一方面，个人信息处理者应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；另一方面，处理敏感个人信息应当取得个人的单独同意，法律、行政法规要求书面同意的，还应当取得个人的书面同意。而未满十四周岁未成年人个人信息作为敏感个人信息的一种，应当取得未成年人的父母或者其他监护人的同意。依体系解释，此处监护人的同意应当是指“单独同意”。

除了在处理敏感个人信息时，需要取得个人的单独同意。在面对下列情形，个人信息处理者也应当要取得个人的单独同意：

（一）个人信息处理者向第三方个人信息处理者提供处理的个人信息的；

（二）个人信息处理者公开处理的个人信息的；

（三）个人信息处理者向中华人民共和国境外提供个人信息的；

（四）将公共场所图像采集、个人身份识别设备所收集的个人图像、身份识别信息用于维护公共安全之外的目的。

此外，个人所作出的“同意”并非是当然涵盖个人信息全生命周期的全部处理环节，在个人信息处理的目的、方式和处理的个人信息种类发生变更时，个人信息处理者均应当重新取得个人的同意。在个人信息处理者向第三方个人信息处理者提供处理的个人信息，若个人信息接收方变更原先的处理目的、处理方式的，个人信息接收方也应当依法重新取得个人的同意。

三、“告知-同意”规则的例外

《个人信息保护法》建立了“告知-同意”的个人信息处理基本规则，但身处大数据时代、信息社会，一味强调个体对个人信息的知情同意权，显然是会在无形中增加社会运转的整体成本。必要时，个人的知情同意权是要作一定的让步。比如在新冠肺炎疫情期间，个体的个人信息知情同意权显然是要让位于社会公共卫生安全的。

因此，《个人信息保护法》规定了“告知-同意”规则例外适用的情形，也就是个人信息处理者面临法律规定的情形，可以不用取得个人的同意，即可处理个人信息，具体如下：

（一）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

（二）为履行法定职责或者法定义务所必需；

（三）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

（四）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

（五）依照《个人信息保护法》规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。

（六）法律、行政法规规定的其他情形。

四、结语

身处于一个飞速发展的信息社会，公共和私人组织越来越依赖大数据收集和分析作为决策的基础。大数据收集和分析，无疑会对个人信息权益有所侵害。而《个人信息保护法》的出台，正是为了规范个人信息处理活动，避免此种现象的发生。《个人信息保护法》中“告知-同意”的个人信息处理规则，作为规范个人信息处理活动的基本规则，为大数据时代下个人信息权益保护构筑了第一道防线。

【版权声明】

“常闻律师”由江苏常闻律师事务所注册并运营，该账号发布的原创内容均为江苏常闻律师事务所自有版权或取得授权作品。

欢迎转载，转载须征得江苏常闻律师事务所同意，并在显要位置注明来源于“常闻律师”。

,