中国人大今年8月通过的《个人信息保护法》11月起正式实施。不过这部被称为"全球最严之一"的信息保护法给政府获取个人数据留出了余地。


《中华人民共和国个人信息保护法》11月1日起施行。官媒人民网的报道称，该法为保护个人信息权益、规范个人信息处理活动、促进个人信息合理利用提供了明确的法律依据。中国民众的"个人信息安全将得到全方位保护"。

综合媒体报道，新法明确规定不得过度收集个人信息、大数据杀熟、滥用人脸识别技术等；并且将不满十四周岁未成年人的个人信息作为敏感个人信息；个人信息跨境提供的规则也有所修改。中国媒体称该法为个人信息保护提供了法律"安全锁"。

今年8月20日中国全国人大常委会表决通过《个人信息保护法》。一些法律界人士认为，这部法律在很多方面都参照了欧盟的《通用数据保护条例》（GDPR）。而后者被视为目前全球最严格、也最健全的网络数据隐私保护框架。

例外条款颇多

不过中国这部法律并没有对政府部门获取个人数据做出太多限制，只是笼统规定"国家机关为履行法定职责处理个人信息,应当依照法律、行政法规规定的权限、程序进行,不得超出履行法定职责所必需的范围和限度"。新的法律为政府部门留出了不少例外条款，比如"国家机关不得公开或者向他人提供其处理的个人信息,法律、行政法规另有规定或者取得个人同意的除外"。



无所不在的监控摄像获得例外待遇

德国不来梅大学研究中国数据安全立法的学者基普克(Dennis-Kenji Kipker)今年8月接受德国之声采访时指出，尽管中国的《个人信息保护法》在很多方面都参照了欧盟《通用数据保护条例》，但是双方的数据保护不可同日而语。在中国，数据保护"还具有一定的国家安全色彩。"

中国公共场所遍布的监控摄像、人脸识别设备，就在《个人信息保护法》中获得了例外待遇。尽管这部法案指出，种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等敏感个人信息"一旦泄露或者非法使用,可能导致个人受到歧视或者人身、财产安全受到严重危害"。但是同时也写道："在公共场所安装图像采集、个人身份识别设备,应当为维护公共安全所必需,遵守国家有关规定,并设置显著的提示标识。所收集的个人图像、个人身份特征信息只能用于维护公共安全的目的,不得公开或者向他人提供;取得个人单独同意或者法律、行政法规另有规定的除外。"

一些国际人权组织指出，中国当局尤其在新疆地区利用人脸识别、生物特征识别等技术，有针对性地对维吾尔等少数民族群体进行打压。

路透社分析指出，《个人信息保护法》与今年9月已经实施的《数据安全法》共同构成了中国今后管理互联网的两个主要法律支柱。

新法实施之际，中国互联网协会向互联网业界发出倡议：严格遵守法律规定，贯彻落实法律要求。倡议要求互联网企业"确保个人信息处理合法合规，预防和处置侵害个人信息权益行为，发现问题及时采取补救措施"，并开展合规审计评估，接受社会公众监督。