互联网企业要当好个人信息“守门人”

本报讯（记者 穆青风）《个人信息保护法》已于11月正式实施。法律明确不得过度收集个人信息、大数据杀熟，对人脸信息等敏感个人信息的处理作出规制，完善个人信息保护投诉、举报工作机制等。

“对于经营者来说，需要从以下几个方面进行合规管理，避免违反《个人信息保护法》。”北京帝兴律师事务所高级合伙人张垚向记者表示。

首先，切实落实“告知—同意”规则。明示处理个人信息的目的、方式和范围，并提供便捷的撤回同意方式。经营者不得采取一揽子授权、强制同意等方式处理消费者个人信息；未经消费者同意，经营者不得向消费者推送商业信息。

其次，不得过度收集消费者个人信息。收集使用个人信息应具有明确、合理的目的，并限制在对个人权益影响最小的方式和实现处理目的的最小范围，不得过度收集消费者个人信息。经营者不得以消费者不同意处理其个人信息或撤回同意为由，拒绝提供产品或服务。

再次，严格限制对敏感个人信息进行处理。敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。法律对其设置了特殊处理规则，即《个人信息保护法》二十八条第二款中规定，“只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。”

最后，禁止“大数据杀熟”等行为。经营者不能利用自身掌握的消费者经济状况、消费习惯以及对价格的敏感程度等信息，对消费者在交易价格等方面实行歧视性的差别待遇，也不能在未获得消费者授权的情况下通过用户画像来开展精准营销。

中国消费者协会提醒互联网平台，需当好个人信息保护“守门人”。提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者应按照国家规定，建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督。对严重违反法律、行政法规处理个人信息的平台内产品或者服务提供者，停止提供服务。定期发布个人信息保护社会责任报告，接受社会监督。

“《个人信息保护法》建立了较为完善的告知同意规则适用体系，通过增设个人信息处理者的法定义务，对信息主体的个人信息予以保护。此举增加了企业管理成本及合规管理风险，这也是大数据背景下对个人信息处理者的必然要求。”上海中联（贵阳）律师事务所律师令狐梓叶表示。