新闻背景
个人信息保护立法提上日程
随着全球互联网的发展，大数据时代的到来，个人信息数据已经成为一种资源。在数据可以变现的驱动下，个人信息侵权案时有发生，出台相关法律法规一直被视为加强个人信息保护的重要措施。2018年9月10日公布的 《十三届全国人大常委会立法规划》显示，《个人信息保护法》已列入第一类立法项目，这意味着个人信息保护的立法条件已经比较成熟。
今年3月4日召开的十三届全国人大二次会议新闻发布会上，大会新闻发言人张业遂透露，目前相关部门正在抓紧研究和起草《个人信息保护法》草案，争取早日出台。
日前，在北京举办的2019（第十八届）中国互联网大会“互联网个人信息保护论坛”上，多位专家围绕个人信息保护应该如何立法的问题进行了讨论。有专家指出，要理顺国家数据安全与个人信息安全之间的关系，分别确定不同的保护机制。
个人信息保护要符合现有国情
●河北省通信管理局局长 闫宏强
我国对个人隐私的概念认识得比较晚，在法律中强调个人隐私的保护也比较晚，2009年出台的《侵权责任法》首次明确个人隐私是一种民事权利，后来《消费者权益保护法》《网络安全法》等法律法规对其也有不同的规定。我们要正确认识到在大数据时代，个人信息确实是一种资源和生产要素，发展数字经济就离不开这种数据资源。所以，对个人信息的保护，既要有足够的保护力度，不能因为保护不足导致群众的权益受损，又不要超越历史阶段，把群众对个人信息保护的期望抬得过高，过度保护个人信息以至于抑制生产力的发展。
合理的个人信息保护期望有两个要点：一是看个人是不是有主观的隐私保护愿望。也就是说，他是否认为个人的某项信息是需要保护的；二是这个愿望是否被社会承认是合理的。对个人信息保护制度的设计应该与大多数社会公众对个人信息的合理期望程度相适应，一定要符合现在的国情，不能被人为地过度提高。以后随着社会的进步和群众对个人信息保护期望的提高，法律法规等制度也要随之进步，适应群众的期望和需要。
提高保护机制运行的有效性
●中国互联网协会个人信息保护工作委员会主任委员 周汉华
我国以前的立法规划曾打算把网络安全的立法和个人信息保护的立法分开，但后来还是在《网络安全法》立法时写入了一部分个人信息保护方面的内容，这样2016年11月出台的《网络安全法》就承担了双重任务，一是要承担保护网络运行安全的任务，尤其是关键的信息基础设施安全的任务，这是国家层面的安全；二是个人信息的安全，也就是《网络安全法》中关于个人信息保护的部分。在实际执行过程中，国家层面的网络安全要求和个人层面的个人信息安全要求被混在一起，可能会出现就高不就低的情况，导致法律关系出现错位。
建议在相关立法工作中，首先要确立国家数据安全至上的观念，这是信息安全的重中之重。在制度设计上，在完善国家信息安全制度的同时，推进个人信息保护的单独立法，把二者之间的法律关系捋清楚，并分别进行制度设计。在执法机制中，也要把二者分开，确立国家信息安全和个人信息安全不同的执法机构和职能，并为其配套设计不同的法律机制，消除制度错位的根源，提高保护机制运行的有效性。
界定个人信息的范围是核心
●中央网信办政策法规局法务处副处长 李民
关于个人信息保护的立法，首先要界定个人信息的范围，是沿用《网络安全法》的定义，还是提出有所不同的定义？一般来说，个人信息要求具有可识别性，而可识别性又分为两类：一类是直接识别，即能直接识别出个人身份的信息肯定是个人信息；一类是间接识别，就是说一些信息本身可能不具备完整的识别性，但和其他信息组合后依然能明确识别出个人身份，这种间接反映身份的信息是否属于个人信息，如何保护，一直存在争议。一种观点认为，不论是直接识别还是间接识别，都属于个人信息，都需要一视同仁的保护；另一种观点认为，具有直接可识别的信息才叫个人信息，才需要保护，间接识别的不属于个人信息；还有一种观点则是综合以上两种看法，除了直接识别外，单独的间接识别信息本身不算个人信息，但它们组合起来后形成的信息则可以算个人信息。目前，对个人信息概念的争论还没有结果，但这是个人信息保护的核心问题。所以，在立法时一定要进行深入研究，重点考虑。
现在对于个人信息的立法大概有三种模式，一种是按照主体权利责任来立法，代表性法律法规是欧盟的《通用数据保护条例》；第二是按照数据生命周期的框架立法，典型案例是美国加州的消费者隐私保护法案；还有一种是把主题权利责任和数据生命周期结合起来的综合立法方案，典型案例是韩国的个人信息保护法律。应该采用何种框架立法，还是有别于这三种，探索第四种立法框架结构，需要综合考虑。
另外，是否要对一些特殊的个人信息进行特殊保护，主要是指个人的生物识别信息、健康档案、基因信息等，以及要不要对例如未成年人等一些特殊群体的个人信息进行特殊保护，这些问题目前还没有答案，需要在立法过程中不断探索、思考、研究，让未来的个人信息保护法更加科学，能发挥出作用。（来源：中国消费者报） | 
