個人信息保護是信息時代下法律所面臨的重要挑戰(zhàn)。
歐盟2016年出臺《通用數(shù)據(jù)保護條例（GDPR）》，并于2018年正式實施；英國2018年通過《數(shù)據(jù)保護法（DPA 2018）》；瑞士也在2020年9月對其個人信息保護法作大幅度修訂。在美國，加利福尼亞州2018年率先通過了《加州消費者隱私法案 (CCPA) 》，這是美國第一部全面保護隱私的法案。
我國相關部門高度重視個人信息保護的立法工作，全國人大常委會2012年通過《關于加強網(wǎng)絡信息保護的決定》，2016年表決通過《網(wǎng)絡安全法》。2020年5月由全國人大表決通過的《民法典》在人格權編對個人信息保護作出了全面規(guī)定；2020年10月，全國人大常委會審議并公布了《個人信息保護法》一審稿草案，引起了國內外的高度關注和積極評價。
為充分吸收借鑒國際經(jīng)驗，進一步提升《個人信息保護法（草案）》的立法質量，同時增進國際學術界對我國法治建設的全面了解，經(jīng)教育部批準，2021年3月22日至23日，由中國人民大學民商事法律科學研究中心和英國杜倫大學法學院聯(lián)合主辦，英國駐華使館支持的“中英個人信息保護法研討會”在中國人民大學法學院召開。
來自全國人大常委會法工委、最高人民法院、國家互聯(lián)網(wǎng)信息辦公室、北京互聯(lián)網(wǎng)法院、中國人民大學、清華大學、北京大學、中國社會科學院、英國駐華使館、英國杜倫大學、倫敦政治經(jīng)濟學院、倫敦國王學院和瑞士日內瓦大學等各方面的專家學者出席會議，會議采取線上線下結合的靈活方式。
3月22日下午，研討會正式開幕。開幕致辭由中國人民大學民商事法律科學研究中心執(zhí)行主任、法學院教授石佳友主持。石佳友教授首先向參會嘉賓表示了熱烈的歡迎，并由衷感謝與會各方對本次研討會的大力支持。
受中國人民大學副校長、法學院黨委書記兼院長王軼教授的委托，中國人民大學法學院副院長程雷教授代表中國主辦方發(fā)表開幕致辭。程雷教授首先對中外與會嘉賓表示誠摯的歡迎，同時向會議主辦方和支持方表示衷心的感謝。隨后，程雷教授介紹了本次會議的召開背景、目的、意義和主要任務，贊賞了各界人士對個人信息保護立法、司法及業(yè)界規(guī)則的完善等作出的重要貢獻，也特別感謝各位專家和記者對此次會議給予的幫助，并預祝會議圓滿成功。
杜倫大學法學院中國法講席教授陳磊代表英國主辦方致開幕辭。陳磊教授表示非常榮幸參加本次研討會，并向主辦方和各位參會嘉賓致以謝意。陳磊教授認為，數(shù)字經(jīng)濟時代背景下的個人信息保護立法是一項全球性議題，應在國際視野下設計中國方案。同時，相關立法應以強化和平衡個人數(shù)據(jù)的保護和利用為要義。陳磊教授指出，此次會談是針對信息保護難題提出應對策略的重要平臺，并希望通過此次學術交流強化合作、收獲啟發(fā)。最后他衷心祝愿本次會議能夠取得成功。
英國駐華使館政務參贊Alastair Arnold代表支持方致開幕辭。Alastair Arnold參贊首先向本次會議的參會人員和組織人員表達了誠摯的謝意。Alastair Arnold參贊表示，各國共同參與構建可預期的、公平的法律規(guī)則體系是世界人民的共同期望。在信息科技加速發(fā)展的時代，政府、企業(yè)或其他組織對數(shù)據(jù)的利用既帶來效益，也引發(fā)風險，建立安全透明的數(shù)據(jù)監(jiān)管體系具有空前價值。為期兩天的會議有助于深入了解中國法律框架的核心部分，對中國以及與中國交流的其他國家均具有重要的理論意義和實踐價值。
會議的第一節(jié)由杜倫大學法學院中國法講席教授陳磊主持。
中國人民大學法學院教授張新寶首先作了題為“《個人信息保護法（草案）》：個人信息處理者的義務條文理解與完善”的主旨發(fā)言。張新寶教授認為，法律草案第5章沒有明確區(qū)分一般的個人信息處理者與充當“守門人”角色的個人信息處理者。鑒于“守門人”處于互聯(lián)網(wǎng)個人信息處理的關鍵環(huán)節(jié)，管控眾多APP接入互聯(lián)網(wǎng)進行個人信息收集處理的必要通道、空間以及提供必要的技術資源，因此有必要對“守門人”扼守的關鍵環(huán)節(jié)設置個人信息保護義務，以實現(xiàn)對APP處理個人信息的有效治理。在具體的法律條文設計上，張新寶教授建議在草案第51條之后增加規(guī)定“守門人”對個人信息保護的特別義務。
薩塞克斯大學法學院教授Sirko Harder以“《中華人民共和國個人信息保護法（草案）》的地域適用范圍”為主題進行發(fā)言，并著重就草案第3條進行了評議。Harder教授肯定該條在適用主體方面的合理性，并將該條第1款與GDPR相關規(guī)定進行比較，說明了《個人信息保護法（草案）》針對不同類型信息處理者在境內外收集和處理數(shù)據(jù)時可能出現(xiàn)的適用情形及潛在的問題。Harder教授認為草案第3條第2款可能存在適用范圍的模糊性。為避免同一信息處理者可能因地域變化導致法律適用沖突，該款可根據(jù)具體情況再作進一步澄清。
中國社會科學院法學研究所教授周漢華聚焦于“中國《個人信息保護法》起草的國際經(jīng)驗”。周漢華教授詳細梳理了中國《個人信息保護法（草案）》的起草歷程，指出國際經(jīng)驗對草案產生的重大影響。在模式的選擇上，草案綜合吸收了歐盟與美國的有益經(jīng)驗，旨在打造一套激勵相容的法律規(guī)則，實現(xiàn)個人信息保護與數(shù)字經(jīng)濟的平衡發(fā)展。周漢華教授還指出，在借鑒國際經(jīng)驗時可能會面臨各種挑戰(zhàn)，如國際經(jīng)驗如何落地，不同救濟體制之間的銜接，制度的可行性等。
清華大學法學院教授程嘯發(fā)表了題為“中國《個人信息保護法（草案）》中的個人信息處理規(guī)則”的報告。程嘯教授指出，中國的個人信息處理規(guī)則存在四個特征：一是強調“告知—同意”；二是區(qū)分不同類型的個人信息；三是區(qū)分不同的個人信息處理行為；四是區(qū)分不同的個人信息處理者。程嘯教授認為，“告知—同意”作為個人信息處理的基本規(guī)則，本質上是為了維護人格尊嚴和人身自由。草案中敏感信息和《民法典》中私密信息的不同劃分具有不同的規(guī)范目的，不存在沖突。未來應當更多關注國家機關處理個人信息的義務，不斷提高政府的治理能力。
在討論環(huán)節(jié)，與會嘉賓就“守門人”規(guī)則的適用范圍、《個人信息保護法（草案）》與數(shù)據(jù)交易如何銜接、《個人信息保護法（草案）》與公法的關系等問題深入交換了意見。
3月22日第二節(jié)會議由《中國法學》雜志社副編審任彥主持。
杜倫大學法學院中國法講席教授陳磊作了題為“個人數(shù)據(jù)跨境傳輸中的規(guī)則設計：徘徊在監(jiān)管與市場之間”的報告。陳磊教授強調，在跨境數(shù)據(jù)傳輸?shù)膯栴}上，民商法規(guī)則應該與國際貿易投資戰(zhàn)略相協(xié)調。數(shù)據(jù)傳輸涉及“權利經(jīng)濟化”的問題，需要受到數(shù)據(jù)本地化和隱私權監(jiān)管等限制。目前《個人信息保護法（草案）》對于跨境傳輸?shù)南拗齐m然表面上較為嚴格，但網(wǎng)信部門的安全評估豁免權可能使跨境信息流動實際上更加自由�；诶鎱f(xié)調的考慮，提出以下建議：1.將維護數(shù)據(jù)安全作為基本要求；2.進行非敏感信息跨境傳輸?shù)脑圏c；3.重視雙邊投資協(xié)定，提出定制化的解決方案。
北京大學法學院教授薛軍的發(fā)言主題是“中國法上個人信息的分類討論”。薛軍教授認為，私密信息的劃分應當限縮在民法領域�！秱�人信息保護法（草案）》是敏感信息的單獨立法，兩種分類方式不能置于同一層面觀察。雖然私密信息和敏感信息也存在交叉，但是法律適用并不沖突。薛軍教授指出，個人信息的類別決定法律責任的認定，對于敏感信息的列舉要考慮社會文化因素，并保留開放性以適應社會觀念的發(fā)展。此外，薛軍教授建議將敏感信息的認定規(guī)則置于草案的總則部分。
倫敦政治經(jīng)濟學院法學院教授Andrew Murray以“作為個人和經(jīng)濟行為者的數(shù)據(jù)主體”為主題進行報告。Andrew Murray教授認為，中英兩國信息保護法的核心都是數(shù)據(jù)隱私。數(shù)據(jù)具有雙重角色，既是個人權利和尊嚴的體現(xiàn)，又是具有經(jīng)濟價值的資源。信息流動能夠提高生產效率，保證數(shù)據(jù)的合理流動是信息保護法的立法目的。為了平衡兩種價值目標，兩國的信息保護法律都規(guī)定了允許信息使用的條件，比如知情同意、出于履行合同或者合法利益的必要等。與GDPR相比，中國的《個人信息保護法（草案）》在信息跨境傳輸方面還設定了對企業(yè)的監(jiān)管，這為個人數(shù)據(jù)提供了更高強度的保護。
國家互聯(lián)網(wǎng)信息辦公室法治局副局長尤雪云詳細解讀了《APP違法違規(guī)收集使用個人信息行為認定方法》《常見類型移動互聯(lián)網(wǎng)應用程序（APP）必要個人信息范圍》《兒童個人信息網(wǎng)絡保護規(guī)定》三則文件的具體條款和精神。尤雪云副局長指出，以上規(guī)定細化了《網(wǎng)絡安全法》第41條至第45條關于用戶個人信息保護的基本制度，強調收集個人信息的必要性應當以應用軟件的基本功能為準。此外，會議當日通過的《常見類型移動互聯(lián)網(wǎng)應用程序必要個人信息范圍規(guī)定》明確了地圖導航、網(wǎng)絡約車、即時通信等39類常見類型APP必要個人信息范圍，以滿足保護用戶個人信息、監(jiān)管移動互聯(lián)網(wǎng)應用軟件的需求。
在討論環(huán)節(jié)，與會專家學者就《個人信息保護法（草案）》和《民法典》規(guī)定的統(tǒng)一性、個人信息的分類模式、必要個人信息范圍的具體界定以及APP違法違規(guī)收集信息的監(jiān)督處理機制等議題進行了探討。
3月23日第一節(jié)會議由最高人民法院研究室民法室處長陳龍業(yè)主持。
中國人民大學一級教授、中國民法學研究會會長王利明作了“《民法典》對個人信息保護制度的發(fā)展”的主題報告。王利明教授指出，《民法典》將人格權單獨設編是體系上的重大創(chuàng)新。個人信息是人格權編規(guī)定的一項重要人格權益。《民法典》對個人信息保護的特點體現(xiàn)在六個方面：一是進一步擴張了個人信息保護的范圍；二是第一次在中國法中就“個人信息的處理”這一概念作出了廣義理解；三是賦予了個人信息主體提出異議、更正和刪除的權利；四是針對信息共享行為作出了明確規(guī)范；五是規(guī)定了國家機關對個人信息的保護義務；六是確立了隱私權與個人信息并存時應當優(yōu)先適用隱私權保護的規(guī)則。
全國人大常委會法工委民法室處長李恩正就“個人信息的民法定位與價值平衡”作主旨發(fā)言。李恩正處長介紹了《民法典》編纂過程中對于個人信息保護的各方面考量，認為個人信息雖然可以作為一項民事權利，但也與其他民事權利存在區(qū)別。例如，在支配性方面，個人信息顯然不如物權效力強大。對個人信息進行保護，關鍵是要厘清其中的價值判斷。這不僅要從民事主體的角度予以考慮，還涉及到背后的經(jīng)濟效益。《民法典》已經(jīng)就此構建了基本的制度框架，《個人信息保護法（草案）》的規(guī)定可以更為具體。
北京互聯(lián)網(wǎng)法院綜合審判庭負責人孫銘溪報告的主題是“個人信息保護的司法實踐”。孫銘溪法官指出，在《民法典》實施以前，法院對個人信息保護糾紛主要圍繞隱私權展開，但實際上隱私權糾紛和個人信息保護糾紛存在較大差別。隨著技術的發(fā)展，動態(tài)化的信息會越來越多，信息識別的穿透度更需要加以關注。個人信息的匿名化和去標識化也存在很大的探討空間。要實際理解個人信息匿名化，還需要對技術的發(fā)展有更加深入的了解。
中國人民大學民商事法律科學研究中心主任、法學院教授姚輝以“中國個人信息保護：一個民法上的觀察與思考”為主題進行發(fā)言。姚輝教授認為，無論公法還是私法都與個人信息的保護息息相關。對于個人信息的理解，學界和實務界之間，不同部門法之間都存在不同的看法。在立法論的層面，如果認為個人信息是一項權利，則重點在于闡明它相對于隱私權所具有的特殊性。如果以民法學為觀察視角，在個人信息的侵權責任中，對個體的保護應該堅持無過錯責任，但從信息產業(yè)發(fā)展的角度來看，適用過錯責任顯然更為合適。立法和司法應當尋求一個更為妥當?shù)姆桨竵砥胶飧鞣降睦妗?/p>
倫敦國王學院法學院教授Mateja Durovic和博士后研究員Jonathon Watson共同作了“新興技術和消費者數(shù)據(jù)保護的挑戰(zhàn)”的主題報告。Mateja Durovic教授首先指出，立法既要保護基本的價值和權利，又不能妨礙技術的發(fā)展，但兩者在實踐中經(jīng)常難以平衡。對此，可以從技術監(jiān)管層面著手，鼓勵企業(yè)去開發(fā)對用戶更友好的應用程序，同時以許可的方式實現(xiàn)個人信息使用合法化，比如設置同意管理的工具、信息管理助手等。Jonathon Watson博士進一步認為，應當更加關注人工智能、大數(shù)據(jù)和消費者保護三者之間的融合。在不同的國家，技術發(fā)展的不確定性對消費者的影響也會不一樣。因此需要一個法律框架鼓勵技術的發(fā)展用于滿足消費者的利益和需求。
杜倫大學法學院助理教授王佳的報告題目是“定向廣告與新的《個人信息保護法》”。王佳博士認為，在信息時代，既要加強對個人信息的控制，也要使信息主體享受到現(xiàn)代科技的便利。《個人信息保護法（草案）》一方面對用于定向廣告的個人信息的范圍未作出限制，另一方面對個人信息的定義也略顯寬泛。因此建議對《個人信息保護法（草案）》第4條規(guī)定的間接可識別的個人信息作進一步細化。第14條對個人作出同意的方式可以規(guī)定得更為具體，并明確個人的同意應當是真實的同意。
3月23日第二節(jié)會議由北京互聯(lián)網(wǎng)法院綜合審判庭負責人孫銘溪主持。
日內瓦大學法學院教授Yaniv Benhamou的報告題目是“瑞士的個人信息保護法：其修訂及與其他法律的互動”。Yaniv Benhamou教授認為，當單個數(shù)據(jù)或數(shù)據(jù)集合同時受到幾種制度的約束時，可能會出現(xiàn)權利的重疊。這種制度的重疊和沖突可能會破壞每一項具體權利的平衡。對此，既要限制權利的擴展范圍，也要限制每個法律的規(guī)制范圍。在采用和解釋數(shù)據(jù)保護時，需要在整個法律框架內綜合考慮數(shù)據(jù)保護問題。尤其是今天大多數(shù)數(shù)據(jù)都被匯總在不可分割的混合數(shù)據(jù)庫之中，難以實現(xiàn)有效分類。因此，需要平衡每一種法律制度的基本功能和價值取向，而不是讓一個制度整體凌駕于其他制度之上。
北京大學法學院教授王錫鋅的主題報告聚焦于“國家機關處理個人信息的規(guī)則建構”。王錫鋅教授認為，國家機關作為信息處理者具有公共性、法定性、壟斷性、強制性等特點，這與以私人機構作為個人信息處理者為設想場景的《個人信息保護法（草案）》具有明顯不同。因此，國家機關在處理個人信息的時候很難照搬《個人信息保護法（草案）》所確立的規(guī)則。未來應當制定一個特別的規(guī)則調整國家機關處理個人信息的行為。這些規(guī)則設計可以根據(jù)時間、空間和責任三個維度來展開。在規(guī)則銜接方面，國家機關處理個人信息的專門立法屬于《個人信息保護法》和《民法典》的特別法，只有在特別法缺位的時候，才能適用一般法律。
中國人民大學民商事法律科學研究中心執(zhí)行主任、法學院教授石佳友的報告以“人臉識別的法律規(guī)制”作為切入點。石佳友教授指出，人臉信息的收集會嚴重威脅個人隱私，人臉識別技術也會造成人身、財產和心理上的安全隱憂，人臉識別算法更可能造成對特定群體的歧視和“自由危機”。石佳友教授強調，應當貫徹《民法典》確立的合法、正當、必要原則，建立人臉識別的技術準入審查機制，落實有效的知情同意原則，嚴格限制“概括同意”的應用場景，引入“動態(tài)知情同意”模式。此外，還應當嚴格規(guī)制公共視頻的人臉識別應用，強調“基于預防、調查違法、犯罪行為等目的”，并增加“依法保護個人的隱私權等合法權益”的規(guī)定。
中國人民大學法學院副教授郭銳的報告圍繞“人臉識別的倫理反思”展開。郭銳副教授指出，在倫理層面，利益平衡的方法可能陷入倫理相對主義的困境。以人臉識別為代表的人工智能的發(fā)展存在“終極準則難題”和“因果關系難題”。前者表現(xiàn)為社會對諸多問題的價值判斷缺乏共識；后者體現(xiàn)在人類缺乏對全部后果的認知，對決策結果的倫理性判斷不足。對此可以從“人的根本利益原則”和“責任原則”兩個方面思考法律規(guī)制的路徑。同時還要更加注重問題產生的社會背景，關注社會的長遠利益和弱勢群體的利益。
中國人民大學法學院副教授丁曉東的發(fā)言以“歐盟GDPR與美國CCPA之間：中國個人信息保護法解讀”為主題。丁曉東副教授對中國《個人信息保護法（草案）》和歐盟GDPR、美國CCPA進行比較分析后認為，歐盟的法律比較偏向于基本權利和合同法，美國的法律民法因素更強，而中國的《個人信息保護法（草案）》介于兩者之間。具體而言，傳統(tǒng)的隱私權保護是以侵權法為主要救濟手段的預防機制，但個人信息保護中的雙方既有合作又有對抗，侵權法的適用具有一定的局限性。知情同意原則實際上是合同法上的規(guī)則，司法實踐對此應當給予更高程度的重視。
在討論環(huán)節(jié)，與會各方就具有社會管理職能的機構應當遵循的個人信息處理規(guī)則、中國《民法典》中的隱私權與個人信息的關系、企業(yè)數(shù)據(jù)的保護和商業(yè)秘密的關系展開了深入交流。
研討結束后，中國人民大學民商事法律科學研究中心主任、法學院教授姚輝發(fā)表了閉幕致辭。姚輝教授表示，與會的國內外專家為此次會議作了精心的準備，討論的內容非常豐富。既有立意高遠的宏觀討論，又有細致入微的具體分析。他代表主辦方感謝各位專家學者在此次會議中貢獻的智慧；感謝合作主辦方英國杜倫大學法學院和陳磊教授，希望這種友誼和交流能夠一直延續(xù)；感謝英國駐華使館給予的大力支持；感謝石佳友教授及其會務團隊為此次會議付出的努力；他還特別感謝參加此次研討會的翻譯老師、嘉賓和同學。