在线观看一区二区三区三州_日韩精品免费播放_日韩中文娱乐网_日韩欧美一区二

2021年8月20日，全國人大常委會審議并通過《個人信息保護法》。《個人信息保護法》成為我國個人信息保護領(lǐng)域的基礎(chǔ)性法律，與《數(shù)據(jù)安全法》《網(wǎng)絡(luò)安全法》《民法典》共同構(gòu)建了我國的數(shù)據(jù)治理立法框架。《個人信息保護法》的三次審議均引發(fā)了社會的高度關(guān)注，正式發(fā)布版更是細致入理、諸多新意，例如：對大型、小型個人信息處理者進行區(qū)別制度設(shè)計，增加人力資源管理所必需作為處理個人信息的合法性基礎(chǔ)，明確高額罰款、停業(yè)整頓等處罰只能由省級以上履行個人信息保護職責(zé)的部門作出，增加對App個人信息保護的專門性規(guī)定等。

本文結(jié)合《個人信息保護法》正式發(fā)布版中對社會運行和企業(yè)治理影響較大、且在實務(wù)中需落地合規(guī)體系的五大亮點——大數(shù)據(jù)殺熟、兒童個人信息保護、數(shù)據(jù)出境、個人信息轉(zhuǎn)移權(quán)、違法救濟體系，逐一提出實務(wù)觀察。

一. “大數(shù)據(jù)殺熟”：差別待遇不一定違法，需關(guān)注合法前提

“大數(shù)據(jù)殺熟”現(xiàn)象，以“千人千價”、“生客優(yōu)惠”等情形為用戶熟知，伴隨數(shù)據(jù)在平臺經(jīng)濟等領(lǐng)域的經(jīng)濟價值凸顯而備受反壟斷、反不正當(dāng)競爭、電子商務(wù)等不同層面的立法監(jiān)管關(guān)注?！秱€人信息保護法》從個人信息保護角度，整合其他層面的規(guī)制經(jīng)驗，意在引導(dǎo)大數(shù)據(jù)定價行為的合規(guī)開展，條件包括：（1）保證自動化決策的透明度和結(jié)果的公平公正；（2）不得在相同交易條件下通過自動化決策實行不合理的差別待遇；（3）事先開展個人信息保護影響評估（“PIA”）。

由此可見，差別待遇不一定違法，需關(guān)注合法前提?！按髷?shù)據(jù)殺熟”現(xiàn)象與數(shù)據(jù)使用行為直接相關(guān)，但其規(guī)制并不限于數(shù)據(jù)使用環(huán)節(jié)。差別待遇的合法前提覆蓋使用管理、用戶告知、結(jié)果公平、合規(guī)評估。

（一）使用管理前提：實現(xiàn)合理的差別待遇

目前法律法規(guī)（包含近日發(fā)布的《禁止網(wǎng)絡(luò)不正當(dāng)競爭行為規(guī)定（征求意見稿）》）已針對何謂“合理的差別待遇”有所討論，包括正例及反例各三類，具體情形及對應(yīng)實例如下表所示：

總體而言，現(xiàn)有判斷標準允許“基于成本或正當(dāng)營銷策略”，或“符合正當(dāng)交易習(xí)慣、行業(yè)慣例”的情況下，對交易條件相同的交易相對人實施差別待遇。該等判斷標準存有較大模糊性。舉例而言，針對不活躍用戶的派券促活行為是常見的營銷策略且符合行業(yè)慣例，但能否滿足合理性認定，則仍存在較大爭議。較為明確的是，根據(jù)用戶個人信息開展的關(guān)乎人格尊嚴、價值判斷的價格歧視行為則明確被禁止，例如通過瀏覽次數(shù)判斷用戶是否具備較強購買欲望、通過交易所持設(shè)備或過往交易歷史判斷用戶經(jīng)濟水平等，以此提供的差別待遇。

（二）用戶告知與結(jié)果公平：保證自動化決策透明度、公平性

結(jié)合《個人信息保護法》的規(guī)定，個人信息處理規(guī)則中應(yīng)明確開展自動化決策的必要信息，例如處理目的、數(shù)據(jù)類型、對用戶的影響、投訴方式等，同時應(yīng)當(dāng)保證決策的結(jié)果公平公正。 

在涉及差別待遇的場景下，經(jīng)營者落實透明度要求時存在實踐困惑，即：自動化決策規(guī)則可能涉及商業(yè)秘密，應(yīng)如何掌握展示尺度。除在隱私政策披露必要信息外，還需在具體場景觸發(fā)時展示必要的判定規(guī)則說明及文字提示，說明差別待遇的考慮要素。以信用評價類產(chǎn)品為例，微信支付分、螞蟻信用芝麻分均對賦分所關(guān)注的用戶行為考察要素進行公示。

判斷決策結(jié)果是否公平公正的標準并不明確。無論如何利用大數(shù)據(jù)分析，基于交易成本合理定價的原則仍應(yīng)堅守。向依賴程度高、支付能力強、價格不敏感的用戶提供不合理高利潤率定價，顯然不符合公平、公正原則；反之，在真實的經(jīng)營者讓利場景下，根據(jù)大數(shù)據(jù)分析而給予用戶不同程度優(yōu)惠，則至少可確保不會損害消費者利益。

（三）合規(guī)評估前提：對應(yīng)PIA工作落地

根據(jù)《個人信息保護法》要求，PIA內(nèi)容應(yīng)包括：（1）個人信息的處理目的、處理方式等是否合法、正當(dāng)、必要；（2）對個人權(quán)益的影響及安全風(fēng)險；（3）所采取的保護措施是否合法、有效并與風(fēng)險程度相適應(yīng)。針對自動化決策涉及的差別待遇場景，結(jié)合《個人信息安全影響評估指南》的要求，評估要素應(yīng)包括：

· 是否向用戶說明通過自動化決策給予差別待遇的基本原理、運行機制；

· 是否定期對通過自動化決策進行差別待遇的合理性進行評價；

· 是否對自動化決策所使用的數(shù)據(jù)源、算法等提供持續(xù)優(yōu)化；

· 是否向用戶提供針對自動化決策結(jié)果（差別待遇）的投訴渠道；

· 是否支持對自動化決策結(jié)果（差別待遇）的人工復(fù)核。

經(jīng)營者可選擇由本方或者第三方完成上述PIA工作，并形成PIA報告。PIA報告需依規(guī)定至少留存三年，供運營過程中內(nèi)部評估更新參考、應(yīng)對監(jiān)管部門調(diào)查上報等需要。

二. 兒童個人信息的增強保護：身份識別及產(chǎn)品隱私設(shè)計的實踐范例

《個人信息保護法》將不滿十四周歲未成年人（“兒童”）的個人信息作為敏感個人信息，除了獲取單獨同意外，還要求個人信息處理者對此制定專門的個人信息處理規(guī)則以加強保護，彰顯了國家保護兒童合法權(quán)益，為兒童健康成長創(chuàng)造良好網(wǎng)絡(luò)環(huán)境的決心。該等理念與2019年國家互聯(lián)網(wǎng)信息辦公室出臺的《兒童個人信息網(wǎng)絡(luò)保護規(guī)定》（“《保護規(guī)定》”）一脈相承。從現(xiàn)行規(guī)范結(jié)合域外立法經(jīng)驗和實操來看，理解和適用《個人信息保護法》有關(guān)兒童個人信息保護的規(guī)定需要特別關(guān)注適用范圍、識別兒童身份以及產(chǎn)品的隱私設(shè)計三個方面。

（一）兒童個人信息增強保護的適用范圍

《個人信息保護法》延續(xù)了《保護規(guī)定》嚴格充分保護兒童個人信息的立場，具有廣泛的適用范圍，即只要在中國境內(nèi)事實上從事了針對兒童的個人信息處理活動，無論數(shù)量多少，都要適用特殊規(guī)定，從而為兒童提供最大程度的保護。

《保護規(guī)定》在適用范圍方面也為企業(yè)留出了一定的空間。通過計算機信息系統(tǒng)自動留存處理信息且無法識別所留存處理的信息屬于兒童個人信息的，不適用《保護規(guī)定》有關(guān)增強兒童個人信息保護的規(guī)定。正是由于存在這個“開口”，對于并非針對兒童用戶開發(fā)且無法識別用戶年齡的網(wǎng)絡(luò)產(chǎn)品，業(yè)內(nèi)常見的做法是在產(chǎn)品的隱私政策中設(shè)置未成年人條款，禁止未成年人在未得到監(jiān)護人同意的情況下使用產(chǎn)品或服務(wù)。但是，僅憑設(shè)置未成年人條款無法充分保護兒童個人信息。

如何在保護兒童個人信息利益與控制社會成本之間取得平衡是國家和企業(yè)在制定和適用相關(guān)規(guī)范時都會面臨的挑戰(zhàn)。美國《兒童在線隱私保護法》（“COPPA”）可作參考。COPPA的適用范圍包括兩類網(wǎng)絡(luò)運營者，即“針對”兒童提供服務(wù)的網(wǎng)絡(luò)運營者和并非“針對”兒童提供服務(wù)，但確實知道其用戶中包含兒童的的網(wǎng)絡(luò)運營者。在判斷是否“針對兒童”時，監(jiān)管機構(gòu)會采取相對寬泛的認定標準，即“部分”針對兒童的網(wǎng)絡(luò)運營者也要適用COPPA。監(jiān)管機構(gòu)會考慮不同因素，如網(wǎng)站的主題、內(nèi)容、代言人、廣告、語言特征等，如果存在卡通形象等與兒童具有關(guān)聯(lián)性的要素，就可能被認為是“針對兒童”提供網(wǎng)絡(luò)服務(wù)。而對于并非“針對”兒童提供服務(wù)的網(wǎng)絡(luò)運營者，也不意味著就可以高枕無憂。如果此類運營者確實知道存在兒童用戶（例如，已經(jīng)收到過兒童監(jiān)護人投訴），則其也應(yīng)當(dāng)履行COPPA之下的義務(wù)。

（二）如何識別兒童身份

識別兒童身份是履行加強兒童個人信息保護合規(guī)義務(wù)的重要前提。用戶既包含成年人也包括兒童的網(wǎng)絡(luò)運營者，需要使用年齡識別技術(shù)識別出兒童用戶并針對兒童用戶履行《保護規(guī)定》的合規(guī)義務(wù)，但《保護規(guī)定》并未明確網(wǎng)絡(luò)運營者須盡到何種程度的識別義務(wù)。

目前業(yè)內(nèi)實踐廣泛使用的是“告知+兒童自覺獲得監(jiān)護人同意”或者由兒童自覺填報真實年齡等模式，其合規(guī)性有待進一步明確。從域外經(jīng)驗來看，2020年1月21日英國信息專員辦公室（ICO）頒布的《兒童適齡化設(shè)計準則》對此提出了建議，而國內(nèi)部分企業(yè)也已經(jīng)開始類似實踐。

1、自我聲明：僅通過用戶陳述確定年齡，適用于低風(fēng)險數(shù)據(jù)處理活動或與其他技術(shù)結(jié)合使用。例如，通過分析用戶與企業(yè)服務(wù)交互的方式來估計用戶的年齡，與其陳述年齡進行比對并基于對比結(jié)果采取必要措施。國內(nèi)游戲產(chǎn)業(yè)為防止青少年沉迷，已有部分公司將實名校驗確認為成年人，但游戲內(nèi)行為特征卻疑似未成年人的用戶，以人臉識別方式加強核驗用戶身份；又如，如果用戶在首次自我聲明年齡時被拒絕訪問企業(yè)的服務(wù)，則產(chǎn)品將阻止其立即重新提交年齡以獲得服務(wù)。

2、賬戶持有人確認：由已知是成年人的賬戶持有人設(shè)置或者確認有關(guān)兒童的信息。例如，國內(nèi)幼兒App和部分航空公司會員即采取此模式，由成年人開設(shè)賬號后設(shè)置兒童個人信息及子賬號，并賦予成年人對子賬號的管控權(quán)利。

3、提供硬性標識符：即提供身份證件或其他“硬性標識符”（例如護照）來確認年齡。但是這個方法對隱私的刺探較強，ICO的《兒童適齡化設(shè)計準則》不建議強迫用戶提供硬性標識符，除非企業(yè)數(shù)據(jù)處理活動中因存在固有風(fēng)險而確實需要，例如航空旅客運輸服務(wù)。

（三）產(chǎn)品的隱私設(shè)計要求

《保護規(guī)定》主要著眼于信息處理者的告知義務(wù)以及監(jiān)護人的同意和權(quán)利行使。準確且高效地獲取監(jiān)護人的授權(quán)同意一直是個難題，企業(yè)可以通過完善產(chǎn)品設(shè)計，實質(zhì)提升兒童個人信息保護水平，例如：

1、采取更簡明、顯著、清晰且適合兒童的語言向用戶提供隱私政策、其他規(guī)則或政策，例如搭配視頻、卡通或圖示；

2、將網(wǎng)絡(luò)服務(wù)默認設(shè)置為“高水平隱私保護”。例如，兒童的個人信息默認無法為其他的用戶訪問；個人信息處理者僅能就其核心服務(wù)功能使用兒童信息。

3、地理位置信息、用戶畫像等功能應(yīng)默認關(guān)閉，不使用助推技術(shù)以引導(dǎo)或鼓勵兒童提供不必要的個人信息或關(guān)閉隱私保護功能等。

三. 個人信息出境的國際視角：我國加入跨境數(shù)據(jù)流動的全球治理行列

《個人信息保護法》進一步完善個人信息出境的保護規(guī)則，明確要求個人信息處理者在向境外提供個人信息時，應(yīng)當(dāng)采取必要措施保障境外接收方處理個人信息的活動符合《個人信息保護法》的保護標準；《個人信息保護法》還進一步規(guī)定，若我國締結(jié)或者參加的國際條約、協(xié)定對向境外提供個人信息的條件有規(guī)定的可以按照其規(guī)定執(zhí)行，體現(xiàn)了我國對于個人信息出境保護的高度重視和前瞻認知。個人信息出境不可避免，需從兩個角度予以考慮：其一是保護個人權(quán)益、國家安全利益免受侵害；其二是推動我國參與跨境數(shù)據(jù)流動的全球治理。

長期以來，美歐主導(dǎo)了全球數(shù)據(jù)跨境流動規(guī)則制定的話語權(quán)。作為全球第二大數(shù)字經(jīng)濟體，我國在全球數(shù)據(jù)跨境流動領(lǐng)域具有廣泛和龐大的商業(yè)、經(jīng)濟和政治利益，輸出數(shù)據(jù)跨境流動領(lǐng)域的“中國標準”是應(yīng)有之義。

美國主張個人數(shù)據(jù)跨境自由流動，利用數(shù)字產(chǎn)業(yè)全球領(lǐng)導(dǎo)優(yōu)勢主導(dǎo)數(shù)據(jù)流向，將亞太經(jīng)濟合作組織（APEC）的跨境隱私規(guī)則（CBPR）體系，構(gòu)建成一項政府支持、強調(diào)以市場為主導(dǎo)、以跨境數(shù)據(jù)流動為目標的數(shù)據(jù)隱私認證。歐盟則提出“相同保護水平”要求，即個人數(shù)據(jù)接收國需要達到流出國相同的數(shù)據(jù)保護水平，通過“充分性認定”確定數(shù)據(jù)跨境自由流動白名單國家。對于沒有取得歐盟“白名單”國家資格的相關(guān)法域的個人信息跨境傳輸，也有相應(yīng)的替代性手段，包括采取特定的保障措施如“具有約束力的集團企業(yè)規(guī)則（BCR）”、“歐盟頒布的標準合同條款（SCC）”等。

2020年11月15日，東盟十國、中國、日本、韓國、澳大利亞、新西蘭等15個國家正式簽署《區(qū)域全面經(jīng)濟伙伴關(guān)系協(xié)定》（RCEP），即標志著我國邁出全球數(shù)據(jù)跨境流動規(guī)則體系構(gòu)建的重要一步。RCEP作為區(qū)域貿(mào)易安排，雖未就數(shù)據(jù)跨境制定專門體系，但在電子商務(wù)的框架下規(guī)定了服務(wù)貿(mào)易的數(shù)據(jù)跨境流動原則，明確各成員方不能將設(shè)施本地化作為在其領(lǐng)土內(nèi)開展業(yè)務(wù)的條件，也不能阻止為實現(xiàn)業(yè)務(wù)需要而開展的數(shù)據(jù)跨境流動活動。同時鼓勵成員方之間就金融服務(wù)中的跨境數(shù)據(jù)流動問題進行對話。

我國個人信息跨境領(lǐng)域的規(guī)則生成和實踐經(jīng)驗積累正處于蓬勃發(fā)展的狀態(tài)，多地也正在開展數(shù)據(jù)跨境傳輸安全管理的地方試點工作。本次《個人信息保護法》的出臺無疑促進了我國個人信息跨境領(lǐng)域規(guī)則的完善和成熟，我們有理由相信我國可以探索出一條符合中國國情兼具國際視野的規(guī)則道路。

四．個人信息轉(zhuǎn)移權(quán)：于激發(fā)數(shù)據(jù)創(chuàng)新意義深遠，需明確規(guī)定條件、探索技術(shù)實現(xiàn)

《個人信息保護法》確立了個人對其個人信息處理活動的一系列權(quán)利，包括知情、決定、限制或拒絕處理、查閱、復(fù)制、更正、補充、刪除等權(quán)利，并對傳統(tǒng)的查閱復(fù)制權(quán)進行擴張，新增了有限的轉(zhuǎn)移權(quán)——個人請求將個人信息轉(zhuǎn)移至其指定的個人信息處理者，符合國家網(wǎng)信部門規(guī)定條件的，個人信息處理者應(yīng)當(dāng)提供轉(zhuǎn)移的途徑。

個人信息轉(zhuǎn)移權(quán)的設(shè)立意義深遠。從個體權(quán)利的視角，其進一步增強了個人對其個人信息的控制力。從數(shù)字經(jīng)濟的視角，其試圖打破平臺巨頭的數(shù)據(jù)壟斷、促進數(shù)據(jù)流通與利用、激發(fā)市場競爭與創(chuàng)新。但與此同時，這也可能引發(fā)泄露個人信息、加劇數(shù)據(jù)集中、增加中小企業(yè)合規(guī)負擔(dān)等方面的憂慮。

《個人信息保護法》從原則上確立了個人信息轉(zhuǎn)移權(quán)，并作出了“符合國家網(wǎng)信部門規(guī)定條件”的限定，有待將來出臺細化規(guī)定。與之相似的權(quán)利是歐盟《通用數(shù)據(jù)保護條例》（“GDPR”）下的數(shù)據(jù)可攜權(quán)（Right to Data Portability），GDPR及《關(guān)于數(shù)據(jù)可攜權(quán)的指南》最早對數(shù)據(jù)可攜權(quán)進行闡釋，并在落地過程中提供了實踐參考。鑒于個人信息轉(zhuǎn)移權(quán)的復(fù)雜性，監(jiān)管機構(gòu)應(yīng)充分考慮個人權(quán)益、平臺權(quán)益、第三人權(quán)益的平衡，將其限制在合理范圍；而企業(yè)應(yīng)充分考慮用戶知情與數(shù)據(jù)安全，切實保障權(quán)利的行使。

1、數(shù)據(jù)范圍：歐盟的數(shù)據(jù)可攜權(quán)僅適用于和個人相關(guān)的、通過自動化手段執(zhí)行的（不含紙質(zhì)文件）數(shù)據(jù)，且受限于下列條件：（1）該等數(shù)據(jù)的處理基礎(chǔ)是個人同意或合同履行，不包括出于公共利益等其他情形；（2）該等數(shù)據(jù)由個人主動提供（如設(shè)立賬戶時填寫的信息），或是從個人活動中觀察到的原始數(shù)據(jù)（如網(wǎng)頁瀏覽記錄），不包括用戶畫像等經(jīng)過加工的衍生數(shù)據(jù)；（3）數(shù)據(jù)可攜權(quán)的行使不能影響他人的權(quán)益，例如，個人可以獲得包含第三人信息的數(shù)據(jù)副本（如郵件通訊錄、銀行轉(zhuǎn)賬流水），但接收該等數(shù)據(jù)的第三方控制者不得將第三人的信息用于建立用戶檔案、畫像或營銷等目的。

個人信息轉(zhuǎn)移權(quán)并不意味著個人與平臺、平臺與平臺的對立沖突。用戶數(shù)據(jù)是平臺的經(jīng)營成果與重要資源，平臺對此享有正當(dāng)利益；個人信息轉(zhuǎn)移權(quán)請求是用戶主動發(fā)起的、個體性的行為，屬于用戶的正當(dāng)權(quán)利。而類似于“新浪訴脈脈案” 中大規(guī)模抓取、使用用戶的賬號信息、好友關(guān)系、微博內(nèi)容的行為，則可以通過反不正當(dāng)競爭法進行規(guī)制。

2、技術(shù)實現(xiàn)：轉(zhuǎn)移權(quán)的實踐難點還在于個人信息如何在處理者之間進行轉(zhuǎn)移，因為不同處理者的信息系統(tǒng)、數(shù)據(jù)結(jié)構(gòu)、數(shù)據(jù)格式等往往不同。對此，歐盟的數(shù)據(jù)可攜權(quán)要求以一種結(jié)構(gòu)化、普遍使用、機器可讀的形式來提供或傳輸個人數(shù)據(jù)，如XML、JSON、CSV等常用的開放數(shù)據(jù)格式；并且，GDPR鼓勵數(shù)據(jù)控制者探索具有互操作性的數(shù)據(jù)格式，但其無須為響應(yīng)數(shù)據(jù)可攜權(quán)而特意采用在技術(shù)上兼容的處理系統(tǒng)。

目前，歐洲互操作性框架尚未落地。根據(jù)2019年的實證研究，企業(yè)提供數(shù)據(jù)副本的格式迥異，其中大部分格式無法滿足GDPR的要求（詳見下圖）。在美國，谷歌、臉書、微軟、推特、蘋果等科技巨頭建立了數(shù)據(jù)可攜權(quán)平臺，以實現(xiàn)相互之間的數(shù)據(jù)直接轉(zhuǎn)移。而中小企業(yè)往往對互操作性、跨平臺遷移束手無策，甚至在數(shù)據(jù)格式上面臨考驗。因此，個人信息轉(zhuǎn)移權(quán)的落地首先面臨技術(shù)實現(xiàn)問題，即如何形成一種通用的、且成本可控的數(shù)據(jù)格式，以實現(xiàn)跨平臺的個人信息轉(zhuǎn)移。

3、用戶知情：個人信息轉(zhuǎn)移權(quán)是一種新型的人造權(quán)利，對用戶而言比較陌生。因此，企業(yè)首先應(yīng)當(dāng)對用戶進行充分的告知與教育，使其了解自己的權(quán)利。例如，在隱私政策中對個人信息轉(zhuǎn)移權(quán)的內(nèi)涵、數(shù)據(jù)范圍、行使方式等進行介紹，并在產(chǎn)品設(shè)計中嵌入相應(yīng)的功能按鈕。

4、安全保障：轉(zhuǎn)移權(quán)使個人信息離開原處理者的掌控，從而增加了安全風(fēng)險，但企業(yè)仍應(yīng)在其能力范圍內(nèi)保障個人信息安全。例如，在轉(zhuǎn)移個人信息前，應(yīng)采取強化的身份認證措施，以免個人信息的盜用；在個人信息傳輸時，應(yīng)強化加密等措施，以免傳輸過程中的攻擊與泄露；對于敏感個人信息，還應(yīng)向個人及數(shù)據(jù)接收方提示關(guān)于存儲、使用該等數(shù)據(jù)的建議。

五．個人信息救濟體系：三位一體的保護與救濟體系，需關(guān)注行刑銜接標準

《個人信息保護法》為個人信息的保護提供了民事、行政、刑事三位一體、相互銜接的救濟體系，強調(diào)人民群眾、行政機關(guān)、司法機關(guān)之間的協(xié)調(diào)與配合，體現(xiàn)了我國保護個人信息的決心與智慧。

1、民事救濟：當(dāng)數(shù)據(jù)處理活動侵害個人權(quán)益時，一方面，個人作為個人信息權(quán)利的主體、產(chǎn)品或服務(wù)合同的主體，有權(quán)直接提起民事訴訟，如侵權(quán)之訴、合同之訴，且侵權(quán)責(zé)任采用過錯推定原則。正式發(fā)布版新增了個人信息處理者拒絕個人行使權(quán)利請求時，個人可依法起訴的規(guī)定。另一方面，個人信息處理活動往往牽涉甚廣，當(dāng)其侵害眾多個人的權(quán)益時，檢察院或其他經(jīng)授權(quán)的組織，可以依法提起公益訴訟，從而大大降低個體維權(quán)的成本。

2、行政救濟：一方面，履行個人信息保護職責(zé)的部門（“個保部門”）有權(quán)對涉嫌違法的個人信息處理活動主動開展調(diào)查，并對違法行為進行行政處罰。另一方面，個保部門應(yīng)當(dāng)公布接受投訴、舉報的聯(lián)系方式，任何組織、個人有權(quán)對違法活動進行投訴、舉報，個保部門應(yīng)及時處理，并將處理結(jié)果告知投訴、舉報人，通過群眾路線強化行政監(jiān)管。

3、刑事救濟：違反《個人信息保護法》而構(gòu)成犯罪的，依法追究刑事責(zé)任。我國《刑法》規(guī)定了侵犯公民個人信息罪、非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪等涉及個人信息處理活動的罪名，司法實踐中也產(chǎn)生了魔蝎科技等典型案例，企業(yè)面臨高額罰款、直接責(zé)任人面臨有期徒刑。

4、行刑銜接：《個人信息保護法》正式發(fā)布版增加規(guī)定，個保部門在履行職責(zé)中發(fā)現(xiàn)違法處理個人信息涉嫌犯罪的，應(yīng)當(dāng)及時移送公安機關(guān)。在行刑過渡地帶，一方面，情節(jié)嚴重的犯罪行為應(yīng)當(dāng)受到及時的刑事追訴與適當(dāng)?shù)男淌仑?zé)任；另一方面，鑒于刑法的謙抑性原則，普通的違法行為不應(yīng)動輒得刑。因此，刑事案件的移送標準尤為重要。

在實踐中，如2021年的科勒人臉信息案，科勒公司未經(jīng)個人同意，通過門店攝像頭獲取并存儲人臉信息220萬余條，用于精準統(tǒng)計到店的客流。該案經(jīng)央視315晚會曝光后，由上海市靜安區(qū)市監(jiān)局立案，并移送區(qū)公安分局，但被公安退回，最終作出罰款50萬元的行政處罰。

又如2020年的浙榮貸款推銷案，浙榮公司從房屋銷售跑盤、企查查App等多個渠道獲取18萬余條個人信息，用于電話推銷其貸款中介業(yè)務(wù)，最終被責(zé)令停止違法行為、并罰款12萬元。對此，杭州市江干區(qū)市監(jiān)局認為，為合法經(jīng)營活動而非法購買、使用個人信息，其社會危害小，適用行政處罰；如果后續(xù)用于詐騙或造成其他犯罪后果的，則由公安機關(guān)追究刑事責(zé)任。

《個人信息保護法》在全社會的共同關(guān)注下塵埃落定，開啟了我國個人信息保護的新紀元。頂層制度設(shè)計已逐漸明朗，但我國的個人信息保護才剛剛起步。接下來，有待于各部門細化配套規(guī)定、履行監(jiān)管責(zé)任，有待于企業(yè)革新產(chǎn)品設(shè)計與內(nèi)部管理、落實數(shù)據(jù)合規(guī)義務(wù)，有待于廣大群眾發(fā)揮主體地位、廣泛參與個人信息的保護與治理。路在腳下，大有可為。