與時俱進保護個人信息

十三屆全國人大常委會第三十次會議於本月二十日表決通過《個人信息保護法》，並將於今年十一月一日起施行。該法進一步細化、完善個人信息保護應遵循的原則和個人信息處理規則，明確個人信息處理活動中的權利義務邊界，健全個人信息保護工作體制機制。該法實施使中國內地的個人資料得到更全面保護。

澳門於二○○五年制定《個人資料處理及保護的法律制度》，並於二○○六年生效，至今已超過十五年，隨着科技的不斷發展，該法律已跟不上社會發展的需要，需適時作出調整。

我認為，中國內地的《個人信息保護法》有以下幾點內容值得澳門借鑑：

明確處理個人資料目的和原則，禁止收集個人信息用作非法用途，也不得從事危害國家安全、公共利益的個人信息處理活動。

細化和明確個人在個人信息處理活動中的權利有所增加，除知情權、決定權、拒絕權等，還有可攜權。取得同意的實現方式更具體，且包括明示同意、授權同意、重新同意和有權撤回同意。

細化和明確個人信息跨境提供的規則，關鍵信息基礎設施運營者和處理個人信息達到國家網信部門規定數量的個人信息處理者，應當將在中華人民共和國境內收集和產生的個人信息存儲在境內。個人信息跨境移轉需要“告知+同意”，還需要有安全風險評估，有關部門批准才可移轉至境外。

強化個人信息處理者的義務，設專章明確個人信息處理者的合規管理和保障個人信息安全等義務，並為特大服務平台設定特別義務。

加強消費者權益保障，禁止“大數據殺熟”規範自動化決策，明確規定，個人信息處理者利用個人信息進行自動化決策，應當保證決策的透明度和結果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇。

將生物識別、醫療健康、金融帳戶、行蹤軌跡等信息，不滿十四周歲未成年人的個人信息列為敏感個人信息，並給予特殊保護。

同意的切割，規定某些內容應當取得個人的單獨同意，並與一般的同意分割開來。例如將公共場所取得的個人圖像和身份識別信息用作公共安全以外的目的、處理敏感個人信息和將個人信息傳送境外等，均需要個人信息人的單獨同意。

澳門法制研究會會長

陳華強