《个人信息保护法》施行 经营者不得过度收集消费者个人信息

11月1日起，《个人信息保护法》正式实施，此举标志着我国个人信息保护立法体系进入新的阶段。如何实现《个人信息保护法》下的“同意”?经营者和消费者都应该注意什么?

10月28日，中国消费者协会(以下简称中消协)发布消费提示称，未经同意经营者不得向消费者推送商业信息;小区、经营场所不能强制业主或者消费者进行人脸识别;不能在未获得消费者授权的情况下通过用户画像来开展精准营销。

随着互联网技术的发展，网上购物、移动支付等给人们生活带来便利的同时，个人信息被收集倒卖等现象突出，侵害着消费者权益。近年来，中消协在开展消费维权工作中发现，消费者反映比较突出的个人信息问题主要集中在手机App过度索权、消费者个人信息被泄露、非法推送商业信息、“大数据杀熟”以及敏感个人信息的非法处理等方面。

作为我国首部针对个人信息保护的专门性立法，《个人信息保护法》构建了完整的个人信息保护框架，对个人信息处理规则、个人信息跨境传输、监管部门职责以及罚则等作出全面规定，其与《民法典》《电子商务法》《消费者权益保护法》等法律共同编织成一张消费者个人信息“保护网”。

在互联网大数据发展愈发成熟的背景下，个人数据隐私保护问题与信息发展之间的矛盾更加突出。如何保障消费者个人信息安全?中消协指出，商家要切实落实“告知-同意”规则，任何组织、个人不得非法收集、使用、加工、传输消费者个人信息，不得非法买卖、提供或者公开消费者个人信息。收集消费者个人信息，应在事先充分告知的前提下，保证消费者知情，并征得消费者本人同意。未经消费者同意，经营者不得向消费者推送商业信息。

经营者收集使用个人信息应当具有明确、合理的目的，并限制在对个人权益影响最小的方式和实现处理目的的最小范围，不得过度收集消费者个人信息。手机App等不得因用户不同意提供非必要个人信息，而拒绝用户使用其基本功能的服务。

要严格限制对敏感个人信息的处理，小区、经营场所不能强制业主或者消费者进行人脸识别。小区物业、经营场所将人脸识别作为出入的唯一验证方式缺乏充分的必要性，也很难采取严格的保护措施，应当提供其他替代性的验证方式供业主或者消费者自主选择。经营者更不能为了商业目的非法收集消费者的人脸识别信息。

利用个人信息进行自动化决策要合法，禁止“大数据杀熟”等行为。经营者不能利用自身掌握的消费者经济状况、消费习惯以及对价格的敏感程度等信息，对消费者在交易价格等方面实行歧视性的差别待遇，也不能在未获得消费者授权的情况下通过用户画像来开展精准营销。

大型互联网平台还要注意履行特殊义务，需当好个人信息保护“守门人”。对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务。定期发布个人信息保护社会责任报告，接受社会监督。

关键词： 《个人信息保护法》 经营者 消费者 商业信息