《个人信息保护法（草案二次审议稿）》公开征求意见（附全文及一二审稿对比）
第十三届全国人大常委会第二十八次会议对《中华人民共和国个人信息保护法（草案二次审议稿）》进行了审议。现将《中华人民共和国个人信息保护法（草案二次审议稿）》在中国人大网公布，社会公众可以直接登录中国人大网（www.npc.gov.cn）提出意见，也可以将意见寄送全国人大常委会法制工作委员会（北京市西城区前门西大街1号，邮编：100805。信封上请注明个人信息保护法草案二次审议稿征求意见）。征求意见截止日期：2021年5月28日。
关于《中华人民共和国个人信息保护法（草案）》修改情况的汇报
常委会第二十二次会议对个人信息保护法草案进行了初次审议。会后，法制工作委员会将草案印发各省（区、市）、中央有关部门和部分基层立法联系点、人大代表、企业、研究机构等征求意见，在中国人大网全文公布草案征求社会公众意见。宪法和法律委员会、法制工作委员会联合召开座谈会，听取中央有关部门和部分人大代表、专家、企业的意见，到北京、深圳、湖南调研，听取地方意见，并就草案的有关问题与有关方面交换意见，共同研究。宪法和法律委员会于4月1日召开会议，根据常委会组成人员的审议意见和各方面意见，对草案进行了逐条审议。中央网络安全和信息化委员会办公室有关负责同志列席了会议。4月20日，宪法和法律委员会召开会议，再次进行了审议。现将个人信息保护法草案主要问题修改情况汇报如下：
一、草案第五条至第八条规定了个人信息处理应遵循的原则。一些常委会组成人员和地方、部门、专家、社会公众提出，当前，个人信息收集、使用规则不透明及过度收集、使用等问题仍很突出，建议有针对性地完善上述内容。宪法和法律委员会经研究，建议对上述规定予以修改完善，进一步明确：不得通过“胁迫”方式处理个人信息；处理个人信息应当限于实现处理目的所必要的最小范围、采取对个人权益影响最小的方式；处理个人信息应当公开个人信息处理规则，明示处理目的、方式和范围，并应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。（草案二次审议稿第五条、第六条、第七条、第八条）
二、根据一些常委会组成人员和地方、部门、专家、企业、社会公众的意见，宪法和法律委员会经研究，建议进一步完善个人信息处理规则，对草案作以下修改：一是增加规定：个人信息处理者应当为个人提供便捷的撤回同意的方式；个人撤回同意，不影响撤回同意前已进行的个人信息处理活动的效力。二是规定：通过自动化决策方式进行商业营销、信息推送，应当同时提供不针对其个人特征的选项，或者向个人提供拒绝的方式。三是明确：个人信息跨境提供的合同应“按照国家网信部门制定的标准合同”订立。（草案二次审议稿第十六条、第二十五条第二款、第三十八条第三项）
三、有的常委委员和专家、社会公众提出，民法典中规定，死者的姓名、肖像、名誉等受到侵害的，其近亲属有权依法请求行为人承担民事责任。建议参照上述内容对死者的个人信息保护问题作出规定。宪法和法律委员会经研究，建议增加一条规定：自然人死亡的，个人在个人信息处理活动中的权利由其近亲属行使。（草案二次审议稿第四十九条）
四、有的部门、专家建议，强化超大型互联网平台的个人信息保护义务，并加强监督。宪法和法律委员会经研究，建议增加一条规定：提供基础性互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务：（一）成立主要由外部成员组成的独立机构，对个人信息处理活动进行监督；（二）对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务；（三）定期发布个人信息保护社会责任报告，接受社会监督。（草案二次审议稿第五十七条）
五、有的常委委员和部门、专家提出，接受委托处理个人信息的受托方，不属于本法规定的个人信息处理者，但仍应履行相应的个人信息安全保护义务，建议增加这方面的内容。宪法和法律委员会经研究，建议增加一条规定：接受委托处理个人信息的受托方，应当履行第五章规定的相关义务，采取必要措施保障所处理的个人信息的安全。（草案二次审议稿第五十八条）
六、有的部门、专家提出，应当充分发挥国家网信部门的统筹协调作用，推进配套规定制定等工作，保证本法有效贯彻实施。宪法和法律委员会经研究，建议在有关条款中明确由国家网信部门统筹推进个人信息保护有关工作，包括：制定个人信息保护具体规则、标准；针对敏感个人信息以及人脸识别、人工智能等新技术、新应用制定专门的个人信息保护规则、标准；支持研究开发安全、方便的电子身份认证技术等。（草案二次审议稿第六十一条）
七、草案第六十五条规定，因个人信息处理活动侵害个人信息权益，个人信息处理者能够证明自己没有过错的，可以减轻或者免除责任。一些常委委员和地方、部门、专家、企业建议，根据过错推定责任原则确定侵害个人信息权益的损害赔偿责任。宪法和法律委员会经研究，建议根据民法典有关规定，将上述规定修改为：个人信息权益因个人信息处理活动受到侵害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。（草案二次审议稿第六十八条第一款）
此外，还对草案作了一些文字修改。
、、