个人信息保护立法这些年落了哪些地：从APP索权到人脸识别，普通人维权终于有了抓手
手机刚装个手电筒软件，上来就要通讯录、位置、电话权限，不给就不让用。搁十年前这事一点辙都没有，人家一句"不同意就别用"就把你顶回来了。这几年情况真不一样了，个人信息保护立法一步一步落地，APP再这么干是有明确法律能管的。今天就捋一捋这条立法线走到哪了，普通人手里多了哪些能用的牌。
先说立法的脉络，这事不是一步到位的。最早是2009年刑法修正案把出售、非法提供公民个人信息入了刑，不过那会儿主要管的是掌握信息的机构内部人往外倒卖。2017年网络安全法施行，网络运营者收集用户信息开始有章可循。真正的大招是2021年11月施行的个人信息保护法，这是第一部专门针对个人信息保护的综合性法律，跟之前的网络安全法、数据安全法，加上民法典里的人格权条款，凑成了一张比较完整的保护网。立法思路上跟欧盟的GDPR有点像：收集之前要讲清楚目的是什么，只能收必要的，用户有权不同意也有权反悔。
对做APP和做网站的企业来说，影响最直接的是"最小必要"和"知情同意"这两条。收集用户信息得跟功能对得上号，手电筒要通讯录就是超范围，监管真查真下架，这几年工信部通报违规APP一波接一波，动不动几十款被下架整改。还有单独同意这个要求很关键，人脸信息、行踪轨迹这类敏感个人信息，不能用一揽子勾选的用户协议糊弄过去，必须单独弹窗讲清楚。大数据杀熟也被明文点名了，平台不得利用数据和算法在交易价格上搞差别待遇，虽然实际认定起来有难度，但条款摆在那，平台多少收敛了些。
再说普通人这头多了哪些牌。以前遇到人肉搜索、骚扰电话、信息被卖，除了生闷气基本没招，现在个保法给了明确的权利清单：有权要求对方说明收集了什么、怎么用的，有权要求删，不同意还能撤回授权。举两个实在的例子：小区物业装人脸识别门禁，必须提供刷卡这类替代方案，不能强制刷脸；有人在群里扒你照片挂你信息，以前只能道德谴责，现在这叫侵犯个人信息，报警是真够得着案的。杭州那个人脸识别第一案，最后是原告赢了，动物园强制刷脸入园被判违法，这个案子对后来的立法和执法都有推动。
当然也得说句实话，立法落地到真维权中间还有距离。最大的坎是举证难，你说平台杀熟了，人家价格是动态的，你怎么证明同一商品同一时间别人买更便宜？所以真要用法律这张牌，平时得留证据：发现可疑定价就截图录屏，把账号、商品、时间都拍进去；APP乱要权限的，应用商店举报加12315投诉双管齐下；涉及个人信息被滥用的，网信办的违规收集举报渠道也开着，处理速度比想象中快。真到损失比较大的地步，按个保法起诉，现在法院立案的意愿比以前明显高。
总结一下：个人信息保护立法这些年的进展是实打实的，从刑法兜底到三部专门法律织成网，从没人管到通报、下架、罚款一套机制跟上来，普通人头一回手里有了趁手的武器。但法律是防线不是保险箱，执行有滞后，举证有难度，该捂紧的信息——身份证复印件、验证码、人脸——自己还是得捂紧。立法管平台，习惯管自己，两道防线一起上，个人信息才真兜得住。
上一篇：大数据时代信息安全怎么守：企业常见的泄露点，普通人防坑也用得上
下一篇：没有了