清华大学法学院副院长程啸谈我国个人信息保护规范体系

“经过十多年的发展，我国目前已经建立起一个由法律、行政法规、司法解释、部门规章、规范性文件以及国家标准等组成的，体系比较完整、内容比较具体的个人信息保护规范体系。”清华大学法学院副院长程啸接受记者采访时表示。

“目前，我国个人信息保护方面存在的问题主要有两方面。”程啸说，一方面，个人信息保护的执法力度和动态监管有待进一步加强。另一方面，个人信息保护规则、配套具体规定有待进一步细化完善，在个人信息处理者在个人信息处理实践中出现的理解与适用上的疑问，履行个人信息保护职责的部门还有待加大专门的解释和答复力度。

“在个人信息保护方面我国已有哪些法律法规？有何特点？”

程啸在回答记者提问时介绍，在法律层面主要包括《宪法》《民法典》《个人信息保护法》《数据安全法》《网络安全法》《电子商务法》《消费者权益保护法》《未成年人保护法》《刑法》《反电信网络诈骗法》《全国人民代表大会常务委员会关于加强网络信息保护的决定》《全国人民代表大会常务委员会关于维护互联网安全的决定》等。

行政法规主要包括《计算机信息网络国际联网安全保护管理办法》《互联网信息服务管理办法》《计算机信息系统安全保护条例》《征信业管理条例》《关键信息基础设施安全保护条例》等。

司法解释包括《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》《最高人民法院、最高人民检察院关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》等。

部门规章如《儿童个人信息网络保护规定》《数据出境安全评估办法》、《电信和互联网用户个人信息保护规定》《互联网信息服务深度合成管理规定》《互联网信息服务算法推荐管理规定》。规范性文件包括《常见类型移动互联网应用程序必要个人信息范围规定》《App违法违规收集使用个人信息行为认定方法》《个人信息保护认证实施规则》《寄递服务用户个人信息安全管理规定》等。

此外，还有大量的国家标准，如《信息安全技术 公共及商用服务信息系统个人信息保护指南》《信息安全技术 个人信息安全规范》《信息安全技术 移动智能终端个人信息保护技术要求》《信息安全技术 个人信息去标识化指南》《网络安全标准实践指南—移动互联网应用程序（App）收集使用个人信息自评估指南》《网络安全实践指南—移动互联网应用基本业务功能必要信息规范》《网络安全标准实践指南—移动互联网应用程序（App）个人信息保护常见问题及处置指南》《网络安全标准实践指南—移动互联网应用程序（App）系统权限申请使用指南》《网络安全标准实践指南—移动互联网应用程序（App）使用软件开发工具包（SDK）安全指引》《移动终端权限申请目的说明实施指南》《个人金融信息保护技术规范》《电信和互联网服务用户个人信息保护定义及分类》等。

“那么，我国在个人信息保护方面还有哪些需要进一步完善？”程啸认为，应该在以下方面做进一步完善。

首先，履行个人信息保护职责的部门应当加强对个人信息保护领域的人力、物力等资源投入，通过各种方式实现对个人信息保护执法的日常监管、动态监管，既管好大型网络平台等个人信息处理者，也针对日常生活中常见的中小企业等个人信息处理者出现的非法处理个人信息的行为加以管理，防范于未然。个人信息保护领域的监管部门之间应当互相沟通协调。

其次，履行个人信息保护职责的部门应当结合我国数字经济与网络信息社会的发展，就《个人信息保护法》的具体规定的落实出台配套的规章、规范性文件、国家标准等。如就个人信息保护合规义务、大型平台守门人义务、人脸识别技术的运用等作出更具体、清晰的规定。

再次，应针对个人信息保护实践中的疑点与难点问题尽快制定个人信息保护法司法解释，科学合理的协调不同法律中的个人信息保护法律规范，将抽象的、原则性的法律规范加以具体化、清晰化，稳定个人信息保护中的各方预期。