《中華人民共和國個人信息保護法》即將于2021年11月1日起正式施行，這標(biāo)志著我國個人信息保護立法體系進入新的階段。個人信息保護的相關(guān)制度在《網(wǎng)絡(luò)安全法》就已經(jīng)有了專章規(guī)定，其后的《民法典》人格權(quán)編和《數(shù)據(jù)安全法》也先后規(guī)定了涉及個人信息的具體保護制度。相較于前述立法活動，《個人信息保護法》的出臺為個人信息權(quán)益保護、信息處理者的義務(wù)以及主管機關(guān)的職權(quán)范圍提供了全面的、體系化的法律依據(jù)。個人面對非法收集和處理個人信息的侵權(quán)行為能夠獲得更具體、更多樣的救濟方式，權(quán)利保障范圍涵蓋個人信息收集、存儲、使用、加工、傳輸、提供、公開、刪除等多個環(huán)節(jié)以及敏感個人信息處理、個人信息跨境提供等特定場景。個人信息權(quán)益得到切實有效的制度保障，也為信息產(chǎn)業(yè)明確了經(jīng)營行為的合法性邊界，與《國家安全法》《網(wǎng)絡(luò)安全法》《民法典》和《數(shù)據(jù)安全法》等法律法規(guī)共同構(gòu)建起個人信息保護的法治堤壩。

一、個人信息處理活動的基本原則框架：合法、正當(dāng)、必要與誠信

《個人信息保護法》的出臺可謂是順應(yīng)人民群眾最迫切的利益訴求。在數(shù)字經(jīng)濟時代，個人與網(wǎng)絡(luò)信息服務(wù)提供者之間存在明顯的信息鴻溝，為了能夠獲得相應(yīng)的信息服務(wù)使用權(quán)限，個人不得不“主動”提供自己的個人信息，但是卻無法真正知曉自己的個人信息究竟將如何被處理以及誰將擁有自己的個人信息。更有甚者，個人信息買賣已然成為完整的黑灰產(chǎn)業(yè)鏈條，個人的財產(chǎn)安全和人身安全受到嚴(yán)重威脅。為了充分保護個人信息權(quán)益，同時也是為了規(guī)范個人信息處理活動，促進信息產(chǎn)業(yè)發(fā)展，《個人信息保護法》順勢而為，明確了個人信息處理活動應(yīng)當(dāng)以合法、正當(dāng)、必要和誠信作為基本原則，即任何類型和任何階段的個人信息處理行為均應(yīng)當(dāng)滿足這些原則性要求，即便現(xiàn)行立法沒有明確規(guī)定特定個人信息處理行為是否滿足法定義務(wù)，如若相關(guān)行為違背合法、正當(dāng)、必要和誠信四項基本原則之一，也應(yīng)當(dāng)承擔(dān)相應(yīng)的民事法律責(zé)任，情節(jié)嚴(yán)重的，應(yīng)當(dāng)承擔(dān)刑事責(zé)任。換言之，這四項基本原則構(gòu)成了《個人信息保護法》的內(nèi)容主線：第一，合法性原則要求個人信息處理行為應(yīng)當(dāng)滿足法律法規(guī)規(guī)定，這里的“法”并不單一局限于《個人信息保護法》，還包括《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《民法典》《刑法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護條例》等法律法規(guī)。第二，正當(dāng)性原則要求個人信息處理行為應(yīng)當(dāng)符合立法宗旨和法律價值，不得以謀求自身利益而侵害其他個人的個人信息權(quán)益。在實踐中，部分APP運營者在用戶注冊階段以不顯著、不直接的方式向用戶展示個人信息處理的目的、范圍和方式等重要信息，這種行為顯然違背了正當(dāng)性原則。第三，必要性原則要求個人信息的收集范圍和處理方式應(yīng)當(dāng)僅以實現(xiàn)相應(yīng)的信息服務(wù)功能和業(yè)務(wù)目的為必要。該原則強有力地回應(yīng)了當(dāng)下社會對APP運營者肆意收集處理個人信息行為的擔(dān)憂和質(zhì)疑，避免個人為獲取相應(yīng)信息服務(wù)而被動提供個人信息的問題惡化。例如，地圖導(dǎo)航類APP運營者的個人信息收集范圍僅應(yīng)當(dāng)以地理位置信息為限，職業(yè)、工資、旅游偏好等其他與地圖導(dǎo)航功能無關(guān)的個人信息顯然不在“與處理目的直接相關(guān)”的范圍之內(nèi)。第四，誠信原則強調(diào)個人信息處理者不得利用自身的優(yōu)勢地位侵害個人信息權(quán)益。一方面，個人信息處理者應(yīng)當(dāng)誠實信用地按照約定的處理目的和范圍處理個人信息；另一方面，個人信息處理者不應(yīng)當(dāng)故意隱瞞、有意淡化事關(guān)個人信息權(quán)益的提示說明事項。

二、個人信息權(quán)益保護方式：權(quán)利與義務(wù)的一體化

在歐盟《通用數(shù)據(jù)保護條例》出臺之后，全球各國個人信息立法曾一度或多或少受到歐盟個人數(shù)據(jù)權(quán)利體系的理論影響，刪除權(quán)、更正權(quán)、查詢權(quán)等具體權(quán)利似乎成為個人信息保護領(lǐng)域的“制度范本”。我國《個人信息保護法》則立足于中國本土實踐，向全世界提供了全新的個人信息保護思路：重視個人信息權(quán)益的實質(zhì)性保護，以權(quán)利與義務(wù)的一體化要求為導(dǎo)向。從《個人信息保護法》的第四章和第五章內(nèi)容來看，個人在個人信息處理活動中享有查閱、復(fù)制、更正、補充、請求刪除個人信息等具體權(quán)利。并且，個人信息處理者也應(yīng)當(dāng)積極履行法定義務(wù)，確保個人權(quán)利能夠有效實現(xiàn)，倘若個人信息處理者設(shè)置各種不合理非必要的維權(quán)程序、客服流程等“維權(quán)門檻”，既違背了個人信息處理行為的基本原則，也構(gòu)成了法定義務(wù)履行不充分。