2021年11月1日起施行的《中华人民共和国个人信息保护法》将包括人脸信息在内的生物识别信息列为“敏感个人信息”，规定“只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下”，方可处理敏感个人信息，实际上确立了“最小必要”的原则。而此次出台的《人脸识别技术应用安全管理办法》，则着力于解决这一技术滥用、泄露隐私与安全风险的问题。在立法与执法上有效落实，或可更好地保护大家的“这张颜面”。

健康码系统中存储了海量的个人信息，其中大部分都属于个人信息保护法中规定的敏感信息，应该受到严格的保护，只有在确有必要的情况下才可收集并使用，而使用目的完成后，应该将数据立即销毁。

疫情三年，几乎每个中国人都有健康码。小小二维码背后，是庞大的个人信息数据。每个人的姓名、身份证号、手机号码甚至人脸、指纹等信息，每一次核酸检测的结果、每一次查询行程卡获得的位置信息、每一次出行扫场所码所记录的场所信息，大数据分析所获得的行踪轨迹，都被储存在了健康码系统里。而这些信息，有很多属于个人信息保护法中规定的敏感信息，应该受到严格的保护。个人信息保护法规定，当个人信息的处理目的已实现，个人信息处理者应当主动删除个人信息。当健康码在疫情防控中的使命结束，健康码系统中存储的数据也应该彻底删除。

（本文首发于2021年11月11日《南方周末》）

“用户运营”是一种新的商业模式，但是，必须建立在符合法律法规的强制性规定、充分尊重用户权益等基础之上。个人信息保护法即将实施，对用户个人信息的保护做出了很多新的规定，企业在“用户运营”时，应该认真研究相关法律规定，恪守法律边界，切实保障用户的权利，而不能任性地“我的地盘我做主”，毕竟，那地盘，不是你的而是用户的。

保护个人信息，只靠互联网企业的自律是不可靠的，还需要有足够公信力的第三方机构，对App的行为进行检测。政府监管部门也要加强监管，一旦发现有违规行为，就应依法严厉打击。

当前个保法涉及的是个人权益保护，并不直接解决个人信息相关的财产权。“立法者给了各方利益平衡的空间。” “从处罚的最高额度来说，除欧盟外，其他地方没有见过这么高的罚款，能起到一定的威慑作用。” （本文首发于2021年8月26日《南方周末》）

参与文件起草的专家：起草过程中，十分注重规定与即将出台的“个人信息保护法”的衔接，避免可能存在的冲突。

“便捷”需求让位于“安全”，《个人信息保护法》即将出鞘 （本文首发于2020年12月31日《南方周末》）