今年年初，杭州互联网法院依法公开审理公益诉讼起诉人下城区人民检察院诉被告孙某个人信息保护民事公益诉讼一案，这是《民法典》实施后全国首起个人信息保护民事公益诉讼案件。由此可见，我国个人信息的私权保护相关立法进程显着加快。

“个人信息保护民事公益诉讼第一案在实践层面拓宽了公益诉讼的适用范畴，尤其是在疫情背景下，个人信息被侵权情况时有发生，但因个体损失较小和维权成本较高，个人信息权益保护力度仍不够，此次由检察院提起公益诉讼，既是检察机关发挥公益诉讼职能，也推动全社会更加重视个人信息权益保护。”广东省法学会网络与电子商务法学研究会会长、暨南大学法学院教授刘颖在接受《中国贸易报》记者采访时表示，目前，在对个人信息保护法律上，《民法典》、《网络安全法》与《个人信息保护法（草案）》（简称《草案》）虽各有侧重，但未来的《个人信息保护法》将成为个人信息保护方面最基本的法律。

步入“互联网+”时代，个人信息保护尤为重要。去年年底，最高人民法院公开印发修改后的《民事案件案由规定》，其中，“个人信息保护纠纷”成为能够单独适用的民事案由。

刘颖表示，原来没有“个人信息保护纠纷”案由的时候，可能存在不立案、乱立案的情况，甚至在操作中提高立案标准等，都无形增加权利人的程序负担。“个人信息保护纠纷”案由增加，可以更直接迅速立案，为当事人在立案阶段提供更直接的程序保障。

目前，《草案》经过一审。刘颖指出，“《草案》进一步明确了个人信息使用的知情同意原则，并强调个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。基于个人同意而进行的个人信息处理活动，个人有权撤回其同意。”

据悉，目前在《个人信息保护法》中，对是否确立个人信息权争议较大。

刘颖认为，《民法典》人格权编第1034条规定“自然人的个人信息受法律保护”，不同于民法典对具体人格权的规定，该表述只是将个人信息确立为法律应予保护的利益而非“权利”，这一法益保护模式值得肯定，表明了现阶段我国立法机关并未对个人信息进行确权，只是确立了个人信息的法益保护模式。《民法典》仅将个人信息作为一种法益而非权利予以保护，符合目前经济社会生活中个人信息利用的复杂性和多元价值性，有利于实现个人信息的不同价值，有利于在保障数据主体利益的同时促进数字经济的发展，这一方案应该在《个人信息保护法》中延续。

人脸识别第一案、人脸识别进校园、APP ZAO事件……近期，由于人脸识别隐私问题而导致的事件屡见不鲜。此外，敏感个人信息如何处理、大数据杀熟等热点问题层出不穷。

“《草案》是个人信息保护立法向前迈进的一大步。”刘颖介绍，大数据杀熟是利用个人信息进行自动化决策的典型表现，《草案》第25条强调，利用个人信息进行自动化决策要保证决策的透明度和处理结果的公平合理，并且为信息主体提供了救济途径。如果依据数据模型自动作出决定的，个人可以要求信息处理者予以说明，并且拒绝个人信息处理者仅通过自动化决策的方式作出决定。当然，为防止个人滥用本条规定，《草案》规定个人仅在“对其权益造成重大影响”的前提下才得以适用，防止数据主体随意拒绝自动化决策处理结果而造成企业负担。生活中许多应用场景，例如，大型商场安装人脸识别装置用于人流测算或精准识别，而并非用于维护公共安全目的。《草案》第27条明确了在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需。如果本条规定得以通过实施，继续基于前述场景进行人脸识别将会违反法律规定，这将给许多企业的数据合规带来很大的挑战。此外，本次草案的一大亮点是对敏感个人信息的处理规则作出专节规定，包括敏感个人信息的定义、有关个人同意的要求、处理敏感个人信息的告知义务、特殊限制性措施等。

此外，刘颖认为，《草案》第69条（四）项将“匿名化”界定为“个人信息经过处理无法识别特定自然人且不能复原的过程”，有待商榷。间接标识符的存在、新的数据连接的可能、网络与通信技术的日新月异都会产生再识别风险。因此，个人信息去身份的过程是一个相对的、动态的过程，要达到“经过处理无法识别特定自然个人且不能复原”的标准，不仅在技术上尚不可能，且也无法制定相应的法律标准。对匿名化的界定直接关系到《个人信息保护法》的适用范围及数字企业的合规风险。

刘颖建议，应用“去身份化”概念取代“匿名化”概念。我国《个人信息保护法》应规定“去身份化，是指个人信息去除或改变标识符无法识别特定自然人身份的过程。”我国《个人信息保护法》还应规定去身份化的客观合理标准，即“去身份化的法律标准为个人信息控制者和第三人采取一切合理手段无法识别特定自然人身份。”有关个人信息去身份化应成为我国《个人信息保护法》规范的重要内容之一。