法律的导向是，在面对自动化决策、人脸识别等新兴技术时，赋予个人知情权和选择退出的权利，同时，肯定这些技术和企业在商业环境中的价值。
作者：沈怡然
【导读】
壹||法律对个人信息的范围作出了界定、确定个人信息处理的基本原则、个人信息主体的权利及保护、个人信息跨境传输的处理，以及个人信息处理者的义务和责任。法律还规范了个人数据的跨境，借鉴国外立法经验，设定了域外适用原则。
贰||人工智能在商业领域的合理运用可以提高经济效率，降低双向搜寻成本，有利于消费者的个性化定制与边缘创新。但另一方面，产业的快速爆发也导致其陷入“野蛮生长”，过度的用户画像、大数据杀熟、算法歧视等现象，已经对公众利益造成影响。
叁||对企业组织来说，需要付出一定的合规成本，经历合规的过程。
《中华人民共和国个人信息保护法》（下称“《个人信息保护法》”）将于11月1日实施。作为中国首部指向个人数据保护的立法，该法对普通个人和整个数字经济产业，都将产生重大影响。
随着互联网经济深入到社会的每一个角落，人工智能等新兴技术变得平民化，个人信息的大面积采集和处理，正在成为一个普遍现象。该法首次提出了个人敏感信息、公益诉讼等新的司法概念，并针对用户画像、大数据杀熟、算法歧视等问题做出规范。
北京瀛和律师事务所业务中心总监高楠对记者表示，法律的导向是，在面对自动化决策、人脸识别等新兴技术时，赋予个人知情权和选择退出的权利，同时，肯定这些技术和企业在商业环境中的价值。
中伦律师事务所合伙人陈际红表示，从企事业单位角度来看，法律为了促进合规、阻却违法，制定了严厉的举措，力度堪比欧盟GDPR（《通用数据保护条例》），企业应提前布局合规，防范法律风险。
法律规范了什么
与《网络安全法》和《数据安全法》有所区别，《个人信息保护法》侧重保护个人信息，监管对象是个人信息的处理者和受托人。简单说，如果医院收集和处理病人的病例数据，医院就是处理者，服务医院的数据技术供应商就是受托人。所谓个人信息的处理，包含收集、存储、使用、加工、传输、提供、公开、删除的完整周期。
从内容上看，法律对个人信息的范围作出了界定、确定个人信息处理的基本原则、个人信息主体的权利及保护、个人信息跨境传输的处理，以及个人信息处理者的义务和责任。法律还规范了个人数据的跨境，借鉴国外立法经验，设定了域外适用原则。
陈际红表示，《个人信息保护法》在国内首次将个人信息分类成敏感和非敏感个人信息。法律上看，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等，以及不满十四周岁未成年人的个人信息。这些信息一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害。相对来说，个人姓名、职称等属于非敏感个人信息。
常见的情况是，一座商场通过布置监控摄像头来防盗防火，法律是允许的，因为这是出于公共安全的目的，若将摄像头收集的图像用于对来往顾客的分析，则需要经过顾客的单独同意。另外，如果紧急情况下，例如医院对病人的抢救，无法得到病人的及时同意，那么也需要延后告知。
个人的权益
《个人信息保护法》出台的产业背景，是当前人工智能等新兴技术的飞速发展，法律明确指出了自动化决策，也就是人工智能的概念。目前该技术已经在中国的金融、医疗、安防、教育、交通、零售等多个领域实现技术的落地。
高楠表示，这种技术在商业领域的合理运用可以提高经济效率，降低双向搜寻成本，有利于消费者的个性化定制与边缘创新。但另一方面，产业的快速爆发也导致其陷入“野蛮生长”，过度的用户画像、大数据杀熟、算法歧视等现象，已经对公众利益造成影响。《个人信息保护法》首次对这些情况做出了规范。
另外对人脸、声音、指纹、虹膜等生物信息的识别，属于敏感信息，除非取得个人单独同意，否则只能用于维护公共安全的目的，不得用于其他目的，即便个人同意，处理者也不能将生物特征识别作为唯一选项，应该提供给个人更多的选择权。
企事业单位的责任
对于监管对象，法律规定了两类责任主体，个人信息的处理者和受托人，通常前者为主，后者协助，共同面对监管和惩罚，双方对内再根据过错程度划分责任。
陈际红表示，法律对企业事业单位制定了严厉的举措，包括高额的行政罚款和公益诉讼。
陈际红表示，根据法律，惩罚措施包括责令改正、给予警告，没收违法所得；责令APP暂停或者终止服务。若信息处理者拒不改正，处以一百万元以下罚款，对直接负责的人主管人员和其他直接责任人员处一万元以上十万元以下罚款。
对于个人如何维权，法律的另一项措施是公益诉讼。高楠表示，这是本法的一项首创，当众多个人敏感信息受到侵害，个人可以向三大类机构进行诉讼，包括人民检察院、法律规定的消费者组织、由国家网信部门确定的组织，三选一即可，然后由机构向法院起诉。
陈际红认为，公益诉讼讲究的是社会效果，新法施行后，头部企业、大平台可能会成为公益诉讼的目标。对企业来说，经济损失可以承受，但是声誉损失是难以承受的，因此这是企业防范法律风险时的一个要点。
整体上，该法对企业组织来说，需要付出一定的合规成本，经历合规的过程。对此，陈际红提出了企业合规的基本思路。
原标题：《律师解读《个人信息保护法》：面对用户画像、大数据杀熟、算法歧视个人如何维权？》