但遗憾的是，工信部门通报的多批次违规收集个人信息案中，基本都是通报批评，以治病救人为原则，并没有更严厉的行政处罚。事实上，中国现有法律同样是有牙齿的，只不过监管部门谨遵“行政谦抑”的原则。按照2013年制定的《电信和互联网用户个人信息保护规定》，也可以处一万元以上、三万元以下的罚款。

不过，根据《网络安全法》第六十四条，网络运营者侵害个人信息，没有违法所得的，处一百万元以下罚款。对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款，情节严重的，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。而最新的《个人信息保护法（草案）》则将最高处罚额拉升到5000万元或者营业额的5%，与欧盟规定的2000万欧元或全球营业额4%的处罚上限基本接轨。《网络安全法》比《电信和互联网用户个人信息保护规定》阶位更高，时间更近，应当优先适用。显然，相关监管部门已经手下留情了。

个人信息自决权

2021年新年伊始，《民法典》开始实施。虽然国内理论和实务界对于个人信息究竟属于权利还是利益尚存争议，民法典也没有规定“个人信息权”，但是，《民法典》作为民事基本法，在人格权编中明确规定了“个人信息保护”的基本原则、个人信息处理者的义务和责任。2020年12月30日，最高人民法院发布了与民法典配套的第一批共7件新的司法解释，其中就有“关于个人信息保护”。

保护个人信息本身不是目的，而是要防止因个人信息的处理而产生的对人身财产权益乃至人格尊严、人格自由的侵害的风险。因此，从作为个人这一方来说，其主要的利益是一种防御性利益，即被非法处理而致人身财产权益遭受侵害甚至人格尊严与人格自由受到损害的利益。为了协调个人信息保护与信息的社会经济利用的关系，我国民法典没有规定个人信息权，而是作为人格权益（注3），使用了“个人信息保护”的表述。

可以说，《民法典》的设计是煞费苦心，创立个人信息权或所有权极有可能传递出限制个人信息的开发利用、限缩互联网经济发展空间的意味，而个人信息保护的概念则是意图平衡个人信息的支配程度与利用空间。

事实上，无论国内外的立法实践，个人信息保护制度最重要的制度设计就是建立在个人信息自决基础上的“告知—同意”准则，或者说“告知—同意”实质是明确了个人信息的自决权，个人信息的处理与利用必须获得个人的同意，个人有权否决对个人信息的处理与利用。在我国已经完成的立法来说，《民法典》和《网络安全法》均将此作为整个保护制度的基石。

如《民法典》1035条：

处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意。

《网络安全法》第四十一条同样规定：

网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。

魔鬼在细节。何为同意？何种方式取得同意？同意的内容究竟是什么？这些都是非常关键的问题，也是欧美立法过程中争议的焦点问题。然而，无论是《民法典》，亦或是《网络安全法》都付之阙如，规定相当“原则性”。

2020年10月21日，全国人大公布的《个人信息保护法（草案）》进行了补缺，第十四条规定：

处理个人信息的同意，应当由个人在充分知情的前提下，自愿、明确作出意思表示。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。

对于敏感信息（如个人生物特征信息、地理行踪信息、财务信息等），第三十条特别规定：

基于个人同意处理敏感个人信息的，个人信息处理者应当取得个人的单独同意。法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。

显然，《个人信息保护法》明确了“同意”的确立原则，也就是知情、自愿、明确，以及特殊情况下的单独同意或书面同意，同意的内容包括个人信息处理目的、处理方式、处理的个人信息种类以及处理主体。

2020年10月1日开始实施的国标《个人信息安全规范》进一步区分了授权同意和明示同意。授权同意包括积极行为作出的明示同意（典型行为包括主动勾选、主动点击“同意”“注册”“发送”“拨打”等肯定性动作，或者主动提供信息）和消极不作为作出的授权（如在告知信息收集行为后，仍不离开信息采集区域）。也就是说，授权同意是一个相对低的同意标准，而明示同意是更高的同意标准，单独同意或书面同意则是最高的同意标准。

尽管国标并非法律法规，但这反映了制定单位的理念。这份以推荐性国标的形式所确立的同意标准，相对于欧盟以法律的形式对于“告知—同意”所确立的标准，中国的个人信息保护确实是要弱一些，或者说更加倾向于数据的利用与流通。

如欧盟2018年5月25日生效的《通用数据保护法案》（GDPR）对于何为“同意”确立了5项标准，包括自由授权（freely given，即不受胁迫、诱导，如同意与否不能成为是否能继续享受网络运营方服务的条件）、充分知情（informed，特别是信息使用的原因和处理的目的，以及如何撤回同意）、清楚易懂（unambiguous，语言朴实、直接、清晰）、特定的（specific，对于不同处理类型<信息的收集、利用、储存、售卖等都统称处理>都需要获得独立的同意）、肯定性动作（如不能够以默认勾选再由用户点击同意按钮而获得同意）。

一些相关行业网站都重点介绍了GDPR的“同意”的五项标准，并将“同意”视为GDPR的基础之一

美国加州也曾经多次试图参考欧盟的标准，但遭到了互联网等众多行业的集体抵制，在最终成案的《加州隐私法》（2018及2020年）中，也还是没有能够实现。

事实上，默认勾选是中国互联网行业的通行做法，也是企业最期望的做法，这恰恰是欧盟所否定的做法。表面上看，由个人用户来勾选，还是由网络运营方来勾选，并没有本质差别，但这微小的差异几乎就是数据利用和个人信息保护平衡的分界线。2019年10月欧盟最高法院在德国彩票网站（Planet49 GmbH）个人信息违法行政处罚争议案中，对“告知—同意”原则标准进行了详细阐释，明确否定了任何以沉默、不作为的方式或默认勾选的方式作出的同意授权。

公共利益的边界应该明确划定

个人信息保护的黄金法则——“告知同意”原则并非没有例外，政府为了公共利益可以不遵循该原则。《民法典》1035条规定，法律和行政法规有规定的，可以无需个人同意直接处理个人信息。1036条更进一步明确：处理个人信息，有下列情形之一的，行为人不承担民事责任：（三）为维护公共利益或者该自然人合法权益，合理实施的其他行为。

《个人信息安全规范》标准5.6有更加清晰的表述：

征得授权同意的例外

以下情形中，个人信息控制者收集、使用个人信息不必征得个人信息主体的授权同意：C）与公共安全、公共卫生、重大公共利益直接相关的。

对疫情期间的个人信息保护问题，早在疫情初期（2月9日），中央网信办就已经发布《关于做好个人信息保护利用大数据支撑联防联控工作的通知》，明确涉疫情个人信息收集的主体、处理原则等。

中央网信办在通知第一条中指出：各地方各部门要高度重视个人信息保护工作，除国务院卫生健康部门依据《中华人民共和国网络安全法》《中华人民共和国传染病防治法》《突发公共卫生事件应急条例》授权的机构外，其他任何单位和个人不得以疫情防控、疾病防治为由，未经被收集者同意收集使用个人信息。显然，中央网信办的通知明确只有法律授权处置公共卫生事件的机构有权在未经个人同意直接收集处理个人信息，其他任何机构即使以防疫的名义都不能突破“告知同意”准则。

更值得注意的是，全国人大正在征求意见的专门法《个人信息保护法》则采取了更加谨慎的做法，第三十五条规定：国家机关为履行法定职责处理个人信息，应当依照本法规定向个人告知并取得其同意;法律、行政法规规定应当保密，或者告知、取得同意将妨碍国家机关履行法定职责的除外。显然，对于为维护公共利益需要处理个人信息的，仍然着意维护“告知同意”的黄金法则，对于例外情形的应用则设置了较高的门槛。考虑到《个人信息保护法》是在疫情期间征求意见的，可以认为这是对疫情期间一些地方以维护公共利益的理由不合理侵犯个人信息的回应。