个保法三审变化：平台不得大数据杀熟，新增个

　　8月13日，全国人大常委会法制工作委员会举行记者会。全国人大常委会法制工作委员会发言人臧铁伟在会上介绍，个人信息保护法草案（三次审议稿）有六处主要修改，不仅对App过度收集个人信息、“大数据杀熟”、利用个人信息进行自动化决策等作出了针对性规范，还首次要求平台为不满十四岁的未成年人专门制定个人信息处理规则。

　　此外，有专家认为，三次审议稿新增个人信息可携带权的规定可能给整个互联德国网行业带来巨大变化，有利于打破数据领域的垄断以及数据孤岛局面，也对公司的技术能力提出了很高要求。

　　平台不得通过自动化决策实行价格差别待遇

　　随着大数据时代的到来，千人千面的个性化推荐、自动化决策被广泛应用于各类App中。与此同时，人们也开始担忧这些机制的安全，背后是否暗藏算法陷阱，遭遇大数据杀熟、陷入“信息茧房”等。

　　对此，三次审议稿作出针对性规范。

　　臧铁伟介绍，三次审议稿首次中对明晰自动化决策的概念：通过程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。

　　三次审议稿明确，自动化决策不得以个人不同意为由拒绝提供产品或者服务。平台还应同时提供不针对其个人特征的选项，或者向个人提供拒绝的方式；作出对个人权益有重大影响的决定，个人有权要求予以说明，并有权拒绝仅通过自动化决策的方式作出决定。

　　7月中旬，浙江省绍兴市柯桥区人民法院开庭审理的一桩案件引发关注。当事人胡女士明明是可享受8.5折优惠价的钻石会员，通过某在线旅游平台预订酒店的价格却比别人多出一倍。法院最终判令平台“退一赔三”。

　　不仅是在线旅游平台，打车、德国德国网商等各大平台都被屡屡诟病“大数据杀熟”，但由于难以举证，真正拿得出证据、站出来维权的消费者却寥寥无几。

　　为进一步应对社会反映强烈的“大数据杀熟”问题，三次审议稿要求，个人信息处理者须保证自动化决策的透明度和结果的公平、公正，不得通过自动化决策对个人在交易价格等交易条件上实行不合理的差别待遇，并在事前进行个人信息保护影响评估。

　　平台需为不满十四周岁未成年人制定专门规则

　　随着德国网络的迅速普及，青少年触德国网年龄越来越低。由于心智尚未成熟，他们很容易被德国网上的不良信息所诱惑。此外，由于个人信息保护意识相对淡薄，加之对新生事物较为好奇，青少年的个人信息很容易被过度采集。

　　6月1日正式实施的未成年人保护法设德国网络保护专章，规定信息处理者处理不满十四周岁未成年人个人信息的，应当征得未成年人的父母或者其他监护人同意，但法律、行政法规另有规定的除外。

　　南都·隐私护卫队注意到，个人信息保护法二次审议稿中延续了上述规定。而臧铁伟提到，三次审议稿将不满十四周岁未成年人的个人信息作为敏感个人信息，并要求个人信息处理者制定专门的个人信息处理规则。

　　南都个人信息保护研究中心曾对上千款App做过多次隐私政策合规及未成年人保护合规测评，发现只有极少数App会提供专门针对未成年人的个人信息保护规则。

　　对此，北京师范大学德国网络法治国际中心执行主任、博导、中国互联德国网协会研究中心副主任吴沈括表示，三次审议稿加大对未成年人个人信息的保护力度，既是顺应未成年人保护法等法律法规的整体要求，也是贯彻落实这些法律法规在个人信息领域的一种体现。

　　“从目前的产业生态看，在社会公众舆论中，未成年人个人信息已经出现诸多焦点案例，这既是回应公众的需求，也是强化对特定弱势群体的保护，有利于解决监管合规领域中的部分焦点问题。”他说。

　　新增个人信息可携带权

　　据臧铁伟介绍，三次审议稿还新增了个人信息可携带权的规定。

　　南都·隐私护卫队了解到，可携带权的概念在欧盟《通用数据保护条例》（GDPR）出台后被广泛熟知。

　　在GDPR中，数据可携带权是指数据主体有权获得其已向数据控制者提供的个人数据，以结构化的、通用化的机器可读的形式，并有权不受数据控制者限制，将这些数据转移给其他数据控制者。

　　也就是说，用户把自己的所有个人数据从一个平台转移到另一个任意平台或许有望做到“一键转移”，无须先逐个下载再逐个导入。

　　浙江垦丁律师事务所联合创始人麻策对南都·隐私护卫队表示，个人信息可携带权此前仅存在于理论探讨的范畴，从未落实到实际司法或立法执法过程中。“此次将该内容放入个人信息保护法，可能给整个互联德国网行业带来巨大变化。”

　　他进一步解释，一方面，个人信息的可携带权对公司可实现的技术能力提出了很高要求。另一方面，该规定可能影响我国目前的执法状态，有利于打破数据领域的垄断以及数据孤岛局面。由于数据不完全归特定平台所有，用户完全有权把数据转移给其他平台。

　　麻策还强调，企业投入非常多的人力物力去形成数据，它本身就有相应的民法权益，可以基于这些权益来产生一定收益，“在立法倾向性上，我们除了要以个人信息可携带权来保护个人信息自决权，还应该在立法上考虑企业所享有的数据权益，二者应当达到一定平衡，否则会对企业造成伤害。”

　　文/南都个人信息保护研究中心研究员 尤一炜 樊文扬