平台擅自收集用户网络记录用于商业营销和公民在相关机构注册的个人信息……近年来，随着大数据技术在各个领域的广泛应用，公民个人隐私的边界也经常受到挑战。
13在全国人大常委会会议上，《个人信息保护法》草案首次亮相“告知——同意”全面加强对个人信息的法律保护，严格限制敏感个人信息的处理，明确国家机关保护个人信息的义务。
看点一:法律适用范围更明确:
草案定义了本法中的个人信息。个人信息是以电子或其他方式记录的与已识别或可识别的自然人有关的各种信息，不包括匿名处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、处理、传输、提供和披露。
相比之下，今年5月通过的《民法典》规定，个人信息可以通过电子或其他方式单独或与其他信息结合，包括自然人姓名、出生日期、身份证号码、生物识别信息、地址、电话号码、电子邮件、健康信息、下落信息等。
北京理工大学法学院民法典研究中心主任孟强表示，该草案没有具体列出个人信息的范围，避免了立法重复；在规定个人信息概念时，不仅强调个人信息的权利保护，还强调个人信息权的规范行使和使用。
陕西省律师协会常务理事王浩公认为，在过去的立法中是否可以“识别自然人的个人身份”草案作为判断个人信息的标准，将其扩展到“与自然人相关的各种信息”，增加个人信息的保护范围；同时，草案对个人信息的定义不包括匿名信息，使立法保护对象的范围更加明确。
看点二:收集用户大数据，取得用户同意
在网上搜索商品，然后收到无数类似商品的广告推送；购买网站VIP会员，平台突然改变规则，购买“VVIP会员”享有所有会员权利……对于这种侵犯用户权益的现象，网民“吐槽”声不绝。
草案明确规定，个人信息处理应当在事先充分通知的前提下取得个人同意，个人有权撤回同意；重要事项变更的，应当重新获得个人同意；不得以个人不同意为由拒绝提供产品或者服务。
一些平台利用用户大数据推送个性化广告，草案对此强调，通过自动化决策方式进行商业营销、信息推送，应当同时提供不针对其个人特征的选项。
中国社会科学院科学部委员孙宪忠表示，信息的核心环节是通知草案的建立“告知——同意”个人信息处理的核心规则是非常必要的，这也是个人信息保护立法的核心制度点。
“草案要求提前通知应以明显、清晰、易懂的语言进行，要求个人信息处理者对自然人的通知必须诚实、清晰，不得故意隐瞒欺骗；此外，草案强调重要事项的变更应重新获得个人同意，这意味着自然人的同意一般不能使用‘霸王条款’一次性取得一般授权同意。”孟强说。
孟强认为，“告知——同意”规则也可以更详细地规定，如区分自然人是否具有完全的民事行为能力，并采取不同的要求；除撤回权外，还可以进一步细化自然人权利的规定，如查询、纠正、删除等权利。
第三点:对敏感信息的限制更加严格
近年来，公众人物航班下落等信息的销售形成了黑色产业链，严重侵犯了个人隐私；公民在有关机构登记的个人信息经常被泄露，甚至用于电信欺诈等非法犯罪活动。
为此，草案设立了一个特别敏感个人信息处理的特别节目。根据草案，敏感的个人信息包括种族、民族、宗教信仰、个人生物特征、医疗保健、金融账户、个人下落等。个人信息处理器只能处理敏感的个人信息，的情况下处理敏感的个人信息，并应单独或书面同意。
国家机关应当按照法律、行政法规规定的权限按照法律、行政法规规定的权限和程序进行，不得超过履行法定职责所需的范围和限度。除法律、行政法规另有规定或者取得个人同意外，国家机关不得向他人披露或者提供个人信息。
草案还将处理紧急公共卫生事件或紧急保护自然人的生命和健康，作为处理个人信息的合法情况之一，并强调在上述情况下处理个人信息也必须履行保护个人信息的义务。
王浩公认为，区分一般个人信息和敏感信息有三个维度：泄露信息是否会造成重大伤害，泄露信息是否会对信息主体造成伤害，以及社会上大多数人对这些信息的敏感性。“一般来说，草案对敏感个人信息的定义清晰准确，有助于更好地区分和有效保护。”他说。
孙宪忠表示，一些管理部门过度收集信息的现象更为普遍，管理不当也给了犯罪分子一个机会。今后，立法应继续努力收集信息，有效加强信息管理措施，制定更有针对性的措施，针对公众反映强烈的问题和针对性的措施。
“个人信息的处理和应用涉及社会生活的各个方面。如果仍按照传统职能部门的划分进行处理，就很难有效防止和控制侵犯个人信息权的问题。”孟强建议，在进一步完善立法的基础上，全面协调有关部门的执法行动，加强中央和地方政府的沟通与合作，实现个人信息保护的有效和全面保障。