一、出臺《個人信息保護法》的必要性

1.是對《民法典》內容的一種延伸擴展。《民法典》在第四編人格權中第六章就規定了隱私權和個人信息保護相關的內容，一是對隱私權的定義，侵害隱私權的行為要素做了規范，二是個人信息作為隱私權的一個更具象的內容，該章節中重點對“個人信息”進行了規范，要求在處理個人信息的時候應當遵循合法、正當、必要原則，不得過度處理并符合一定要求，特別強調了信息處理者不得泄露或者篡改其收集、存儲的個人信息。除此之外，國家機關、承擔行政職能的法定機構及其工作人員在履行職責過程中對知悉的自然人隱私或者個人信息，應當予以保密，不得泄露或者向他人非法提供。

2.是現實必要性。隨著如今互聯網的普及發展，我們的任何個人信息都能夠被大數據收集整合測寫，能夠精確地判斷識別一個人，引發數據歧視。若個人信息沒有相關規章制度加以保護，那么相當于任何人都曝光在互聯網中無處遁形，有時候出于對個人信息所體現出來的財產屬性的追逐，如：大數據“殺熟”、販賣個人信息等，所有人都隨時可能有隱私泄露甚至個人生活被擾亂的可能性，因此《個人信息保護法》的出臺及其有必要性。

二、《個人信息保護法》的主要內容解讀

1.在《民法典》基礎上，《個人信息保護法》做了更加具體的規定與區分。第四條明確了個人信息包括以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，這意味著絕大多數與自然人相關的信息都可以納入保護范圍，體現了個人信息保護法廣泛的保護范圍。此外，明確將匿名化處理后的信息排除在外，這表明在大力保護個人信息權益的同時，也希望個人信息處理者能夠采用匿名化等技術，以保障正常的信息處理活動。信息的處理中明確指出處理個人信息應該合法、正當、必要；第六條明確指出處理個人信息應該具有合理的目的，應該與處理的目的直接相關，應該對個人的權益影響最小，任何組織、個人都不得非法買賣、提供或者公開他人個人信息；不得從事危害國家安全、公共利益的個人信息處理活動。

2.《個人信息保護法》制定了個人信息處理的規則。法條第十三條明確了在處理個人信息前要保證個人的知情權，個人信息處理者不得以個人不同意或者撤回同意為由拒絕提供產品或者服務，處理個人信息屬于提供產品或者服務所必需的除外。其中，還規定了“按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需”的條文，為企業需要處理員工的個人信息的情形提供了法律依據。

3.《個人信息保護法》區分了敏感個人信息，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。將不滿十四周歲的未成年人的個人信息納入敏感個人信息范疇，加強了對未成年人個人信息保護的力度。并且在處理敏感個人信息的時候要求更高，需要個人的單獨同意，還需要提前告知必要性和影響力。

4.《個人信息保護法》規定了個人信息跨境提供的合法性基礎，包括通過國家網信部門組織的安全評估、按照國家網信部門的規定經專業機構進行個人信息保護認證、按照國家網信部門制定的標準合同與境外接收方訂立合同并約定雙方的權利和義務等，并且規定了中華人民共和國締結或者參加的國際條約、協定也可以作為合法基礎。

5.《個人信息保護法》規定了履行個人信息保護職責部門的職責。國家網信部門負責統籌協調個人信息保護工作和相關監督管理工作。對于個人信息處理活動有任何疑問的任何組織、個人都有權向履行個人信息保護職責的部門進行投訴、舉報。收到投訴、舉報的部門應當依法及時處理，并將處理結果告知投訴、舉報人。

6.規定了個人及個人信息處理者對個人信息的權利義務，其中對重要的一點是個人信息的可攜帶性。個人請求將個人信息轉移至其指定的個人信息處理者，符合國家網信部門規定條件的，個人信息處理者應當提供轉移的途徑。

三、《個人信息保護法》對企業的啟示

1. 《個人信息保護法》第十三條中以“按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需”為企業需要處理員工的個人信息的情形提供了法律依據。因為勞動關系中從屬性的存在，員工的“同意”往往難以被認定為是自由做出，使得企業處理員工個人信息困難重重，以“按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需”作為合法基礎為企業處理信息預留空間的同時又有著較強的限定，可以避免企業對正當利益合法基礎的濫用，也體現了個人信息保護法嚴格的規制目標。

2.切實履行告知與說明義務。《個人信息保護法》第十七條規定個人信息處理者在處理個人信息前，應當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知。因此企業須保證其開展自動化決策的透明度和結果的公平、公正，不得借此在交易價格等交易條件上實行不合理的差別待遇。企業應向客戶明確其通過自動化決策將要實現的目的，如向用戶開展信息推送、商業營銷等活動，應在用戶知情并同意的基礎上進行個人信息處理，并為用戶提供拒絕的方式。

3.由于該法對敏感個人信息的保護要求更高，法律責任更重。因此企業更應謹慎處理敏感個人信息, 避免承擔更加嚴重的違法責任。企業內部應對涉及的個人信息實行分級分類管理，將個人信息區分為一般個人信息和個人敏感信息，分別明確個人信息主體同意的方式，分別采取對應的技術措施和權限管理措施。