目的正当性与处理必要性

《个人信息保护法》与《民法典》、《网络安全法》一脉相承，保持和延续了个人信息处理的原则和规定。

“最小影响、最小范围、最短时间”规则是个保法必要原则与诚信原则的具体化。而个保法要求个人信息处理者处理个人信息必须具有明确、合理的目的，否则不能进行处理活动，也充分体现了个保法中的合法、正当原则。

《个人信息保护法》在第五条中明确了个人信息处理者需要遵循的处理原则：合法、正当、必要和诚信，个人信息处理者不得通过误导、欺诈、胁迫等方式处理个人信息。在该原则的指引下，《个人信息保护法》又进行了进一步细化，明确了个人信息处理者在进行个人信息处理活动时需要遵守的，与处理目的相对应的“最小影响、最小范围、最短时间”规则，具体可参见《个人信息保护法》第六条与第十九条之规定。个保法第六条明确个人信息处理者“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。”个保法对个人信息处理者处理活动的严格限定体现了“最小影响”与“最小范围”的要求；而《个人信息保护法》第十九条规定“除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。”体现了“最短时间”的要求。

而在实践中，大量APP存在收集过量信息的行为。2021年3月12日，中央网信办、工业和信息化部、市场监管总局、公安部等有关部门联合发布了《常见类型移动互联网应用程序必要个人信息范围规定》，列举了“常见类型APP的必要个人信息范围”。对APP采集个人信息的范围进行了一定的限制，而在《个人信息保护法》生效以后，有关监管部门将会对有关个人信息处理进行更严格的监管。

作为个人信息处理者的企业，应当充分结合《个人信息保护法》的合法、正当、必要和诚信原则与“最小影响、最小范围、最短时间”规则，积极进行自查自纠，对自身信息处理行为的目的正当性与处理必要性进行充分说明，明确提供基本功能服务所必须收集的个人信息范围，并与业务部门及时沟通调整实际收集个人信息的范围，以确保符合《个人信息保护法》的要求。

“告知-同意”原则与例外情形

“告知-同意”原则，是指信息处理者在收集个人信息前，应当对信息主体就有关个人信息处理有关事宜进行充分告知，征得信息主体明确同意后方能进行收集的原则。这也是本次个保法中最为核心的处理规则。

近年来，随着《网络安全法》、《民法典》等相关法律法规的出台，“告知-同意”原则已俨然成为了我国个人信息处理活动的合法性基础。其中，《网络安全法》更是将个人信息主体的“同意”视为个人信息处理的唯一合法性基础，这一规定虽然体现了对个人信息主体权利的尊重和保障，但是忽略了实务中大量存在的涉及订立或履行合同所必需、履行法定职责或法定义务、公共利益等多种个人信息处理场景。《民法典》虽规定了同意的例外情形，但也仅限于处理自然人自行公开或其他已公开信息的情形以及维护公共利益或者自然人合法权益的情形。相较于《网络安全法》和《民法典》，《个人信息保护法》采用了与GDPR一致的立法逻辑，将“告知-同意”确立为个人信息处理规则的核心，但《个人信息保护法》规定了更多无需征得个人同意的例外情形，在这些例外情形下，无需取得个人同意，即可处理个人信息。

但是无论是何种合法性事由，个人信息处理者都需要履行事先告知的义务。相比于《网络安全法》、《民法典》，《个人信息保护法》对于告知义务规定的较为详细，给企业在法律层面做出了明确的指引，但企业在不同场景下如何具体落实告知同意原则，后续可参考《信息安全技术 个人信息告知同意指南（征求意见稿）》。

与同意规则一样，告知规则也有不适用的情形，即在特定的情形下，处理者不负有告知的义务。个保法对告知的例外规定体现在第十八条和第三十五条，《个人信息保护法》第十八条规定：“个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条第一款规定的事项。紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知”；《个人信息保护法》第三十五条规定：“国家机关为履行法定职责处理个人信息，应当依照本法规定履行告知义务；有本法第十八条第一款规定的情形，或者告知将妨碍国家机关履行法定职责的除外”。可见，个保法对免于告知的情况主要体现在法律、行政法规另有规定、紧急情况下为保护自然人的生命健康和财产安全、告知将妨碍国家机关履行法定职责的情形。例如《反恐怖主义法》第51条规定，公安机关调查恐怖活动，有权向有关单位和个人收集、调取相关信息和材料。有关单位和个人应当如实提供。在一些紧急情况下，可以事后告知。

由于在现实生活中存在的利益众多，公共利益、法定职责、国家利益、自然人的生命健康和财产安全等利益有时会存在冲突，所以，“同意+例外”规制方式，给予了个人信息处理更灵活的空间，也能够更好地保护国家和公民的利益。但是我们发现，相较于《个人信息安全规范》第5.6条之规定，《个人信息保护法》大大压缩了理论上可以具有合法性的情形，简化了处理个人信息处理的合法性基础，可能给后续落地带来新的问题，使得一些具有正当性的个人信息处理情形陷入于法无据的困境。

自动化决策

科技是把双刃剑，《个人信息保护法》在吸纳《电子商务法》和《个人信息安全规范》关于定向推送和个性化展示的规定基础上，对“自动化决策”作出专门限制，增加了“禁止大数据杀熟”条款，明确规定“自动化决策应保证透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。”丰富了对歧视性定价、算法歧视问题的规制路径。

《个人信息保护法》第二十四条中还明确“通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。”个保法在赋予个人主体拒绝权的基础上要求个人信息处理者提供“便捷”的拒绝方式，为用户提供退出或关闭个性化展示模式的选项，对信息处理者有较强的制约，信息处理者的责任进一步加重。

撤回同意

撤回同意，实质为个人信息主体意思表示的撤销，即个人信息主体基于“告知-同意”原则，取消自己已经作出的“同意”的意思表示。

个人信息主体行使撤回同意权利的时间不应仅局限于信息的收集阶段，因为在同意收集个人信息的初始阶段，个人信息主体往往很难理解、判断做出该同意将面临何种后果。根据《个人信息保护法》规定可知，个人信息主体撤回同意的权利可以在个人信息的收集、使用、保存、共享等全生命周期内行使，而个人信息主体一旦行使权利，即包含了对个人信息使用全过程中的处分。个人信息主体所撤回的个人同意，对于已经发生的个人信息处理行为，没有溯及力，但是个人信息处理者应主动删除内部所存储的个人信息。

相较于《个人信息保护法》，GDPR中个人信息主体行使撤销同意权的范围更为广泛。在GDPR中，不论数据处理活动是否是基于数据主体同意而进行的，数据主体在任何情况下均可撤回其同意。而《个人信息保护法》规定，个人信息主体仅可对基于其个人同意的处理活动撤回同意。个人信息主体撤回同意之后，个人信息处理的合法性基础将不复存在。作为个人信息处理者，必须立即停止数据处理行为，并根据《个人信息保护法》中的相关规定对其留存的个人信息进行处理，并且不得以撤回同意为由，拒绝提供产品或者服务。

根据《个人信息保护法》第十五条的规定，个人信息处理者应当提供“便捷”的撤回同意方式，我们理解便捷的方式，包括但不限于将撤回的按钮置于醒目的位置，与“同意”的选项相对应，给与对应撤回的选项等等，其困难程度不能高于“同意”的方式，企业在落地实施的过程中，可以参考《信息安全技术个人信息告知同意指南（征求意见稿）》第9.3条同意的撤回的规定。另外，由于数据的可复制性，个人信息处理者在处理个人信息的过程中，可能将个人信息向其他第三方共享、提供、委托处理等等，在这些情况下，个人信息处理者还需要在共享、提供、委托处理等环节设置相应的联动机制，保证在个人信息主体撤回同意后，这些第三方个人信息接收方能够按照个保法的要求进行删除。

05 特殊场景下的增强义务