2020年10月21日，《中华人民共和国个人信息保护法（草案）》公布并公开征求社会公众意见，截至日期为2020年11月19日。

个人信息保护事关每位公民的切身利益，也关系到国家和数字经济的发展大计。虽然近几年我国各相关立法和执法部门都出台了一系列的法律法规，但由于缺乏根本法和顶层设计，该领域还是存在保护力度不够、系统性不强，法律衔接不到位等诸多难点，而此次个人信息保护法的制定，不仅有望从根本上解决这些问题，更会使该法为我国发展建设信息社会奠定法律和规则的基石，为我国数字经济和数字社会的健康长远发展打下坚实的基础。

同时，国际社会对个人信息保护的法律模式尚不确定，缺乏成熟的经验和规则，所以该法律草案的审议，自然引发了各行各业、国内国外的重点关注。

要明确个人信息保护的类型

所谓保护法，无非有两种类型：为保护而保护的，为发展而保护的。典型的为保护而保护的，如未成年人保护法；为发展而保护的，如版权法、商标法、消费者权益保护法等，可以说，绝大部分保护法都属于这一类。保护的目的不是保护本身，而是利用和发展。保护知识产权的目的是使得这些权利能够更好地流通和应用，保护消费者权益的目的也是要把市场和交易做大做活，如果因过度保护损害发展，则就是本末倒置了。

那么，个人信息保护法属于哪一类？这是首先要明确的核心问题，这个定位不清晰，会导致后续的措施、原则、逻辑和关键问题处理上的混乱，损害立法、执法的效果和效率。笔者认为，个人信息保护也是为发展而保护的，千万不要将个人信息保护理解为为了保护而保护！

我们已步入信息社会，评价信息社会发展程度的核心指标就是信息的质量和流通效率，个人信息既是信息的基础和重要来源，基本所有的信息也都和个人信息有着千丝万缕的关联，无法做到截然分开。如果因为订立法律而把个人信息的流通、运转、利用限制死了，那么，信息社会、大数据、云计算、区块链、物联网等等的先进理念和先进技术，都会成为无源之水、无本之木。个人本身也无法从中受益，享受更好的产品和服务。

同时，绝大部分的信息也包括绝大部分的个人信息，都有一个共同特点，那就是存在的意义就是流通和传播，越传播越有价值，而且传播本身和保护没有矛盾，人类社会通过几百年的探索，已经通过知识产权保护制度的建设很好地解决了这个问题。

因此，笔者建议，在总则里增加一条基本原则——“保护与利用兼顾”的原则。只有把这个原则写进法条，才有可能在其他法条的措辞和设计，在相关法律细则的订立、法律法规的执行中，真正体现为了发展而保护的立法目的。

保护与权利是相对的

目前个人信息保护存在一个非常突出的问题，即在政府执法、媒体报道、公共场所社会公德监督等情况下，相关个人信息是否还需要完全保护的问题。这个问题已经存在很多年，困惑了不少人和部门，作为个人信息保护的大法和顶层设计，是不应该回避这个问题的，亟须在这部法里对这个大问号画上一个句号。

所有的保护和权利都是相对的，没有绝对的和不变的保护。笔者认为，个人信息保护也是如此，当相关权利主体违反法律法规的规定，侵害他人合法权益或者严重违反社会公德时，他的这部分权利会因制止和惩处违法的需要而受到限制，不能再主张相关权利。笔者建议，在这种情况下，相关执法部门及媒体等，可以在编辑和传播相关信息时使用其基本的个人信息的规定写进这部法律里。

明确个人信息的“分类保护原则”

个人信息保护是一个世界性的难题，从最根本的个人信息的权利属性到最细节的保护手段，有很多的不同观点和争议。究其原因，很重要的一点就是个人信息千差万别，同一个原则或措施针对一类个人信息来保护可能是对的，但放在另一类中，问题就出来了。

比如，我们的身份证信息、手机号码、银行账号、汽车牌照、违章记录等，虽然都属于个人信息，但这些信息个人基本没有什么决定权，和微信朋友圈头像、发布的照片和评论等个人能有决定权的信息相比，性质有很大不同。因此，笔者建议在立法时将基于国家治理、公共服务等取得的个人信息和基于民商事活动获取的个人信息的保护分开处理，其保护的范围、力度和救济都有很大的差别。虽然已在草案里增加了第二章第三节来解决这个问题，但感觉还不够，应当把这个问题的解决上升到原则的层面，即明确个人信息的“分类保护原则”，并加以解释。

要统筹兼顾类似相关法律的要求

该草案第16条规定：“基于个人同意而进行的个人信息处理活动，个人有权撤回其同意。”对于这一条，笔者是有疑问的。如果这样随意撤回，建立秩序、提高效率、减少社会成本可能就会成空，大数据产业的发展也会面临难题。因此，笔者建议，可改为“有先决条件的撤回”。这就又回到讨论的第一个问题上了，这部法律的制定到底是为了保护而保护，还是为了发展而保护；是要平衡还是要无限制地给予个人以相应的权利？建议在这一条上慎重处理，以减少社会成本。

此外，该草案第24条第2款规定：“个人信息处理者向第三方提供匿名化信息的，第三方不得利用技术手段重新识别个人信息”，而在草案的第69条第4款里规定：“匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程”。这两条是相互矛盾的，既然匿名化信息无法复原，第三方又怎能重新识别呢？建议这两款规定作相应的调整，以理顺关系。

（作者为电子商务法律网创始人）