大量的应用程序都有个人信息的超范围收集 必须停止过度收集

需要安装天气预报应用才能访问通讯录，需要下载健身软件才能访问手机相册.这种“礼貌”的询问，很多手机用户都经历过。表面上商家似乎履行了告知义务，实际上用户只能被动接受。因为如果不接受，就无法正常下载或使用这些应用。

目前，大量的应用收集超出范围的个人信息。在不必要功能的情况下，有些应用过度获取用户隐私，收集个人信息。

不久前，个人信息保护法草案首次提交全国人大常委会审议。如何通过立法有效遏制和打击个人信息的过度收集成为关注的焦点。

个人对信息处理享有知情权决定权

为了充分实现对自然人个人信息权益的保护，并与《民法人格权》第六章“个人信息的隐私与保护”的规定衔接，草案第四章对“个人信息处理活动中的个人权利”作了详细规定，明确了个人在个人信息处理活动中的各项权利，包括知情权、决定权、查询权、更正权和删除权等。并要求个人信息处理人员建立个人行使权利的申请受理和处理机制。

清华大学法学院副院长、教授程晓认为，这些规定值得肯定。特别是草案第44条规定，个人有权了解和决定其个人信息的处理，有权限制或拒绝他人处理其个人信息；法律、行政法规另有规定的除外。

“这个内容可以说是真正奠定了个人信息权的其他权力基础。”程潇具体指出，正是因为知情权和决定权，个人信息处理者在未给出充分信息并取得自然人同意的情况下，不能处理其个人信息，法律、行政法规另有规定的除外。同时，个人信息处理者也有义务向自然人解释其个人信息处理规则。自然人符合规定条件时，有权要求个人信息处理器删除其个人信息。

与民法典衔接规定更加明确

面对个人信息处理者，尤其是那些经济实力较强的网络企业，如何行使自然人的个人信息权益是一个非常现实的问题。

草案第49条规定：个人信息处理人应当建立个人行使权利的申请受理和处理机制。个人拒绝行使权利的，应当说明理由。“这意味着个人信息处理者有义务建立一种程序机制，确保自然人行使其个人信息权益，并受这种程序机制的约束。拒绝个人行使权利时，还应说明理由。”程潇说。

值得一提的是，《民法典》第1037条第二款规定：“自然人发现信息处理人违反法律、行政法规的规定或者双方当事人约定处理其个人信息的，有权要求信息处理人及时删除。”但不清楚自然人在什么情况下可以请求个人信息处理器及时删除个人信息。

草案对此进行了细化，不仅规定了个人可以请求删除，还明确规定了个人信息处理人员应当主动删除，包括：约定的保留期已经到期或者处理目的已经达到；个人信息处理器停止提供产品或服务；个人撤回同意；个人信息处理人员违反法律、行政法规或协议处理个人信息；法律、行政法规规定的其他情形。

建议立法明确禁止过度收集行为

记者注意到，过度收集个人信息的行为

“相关法律已经规定，不得收集与业务无关的信息，与业务无关的信息未经我同意不得使用。建议增加这项法律，以防止滥用收集信息的权力、机会和条件。”委员傅莹建议，内容应限于无边界任意索取个人信息的行为。第一，不应该收集与业务无关的信息；第二，应该有双向承诺。在用户“同意”后，服务提供者还应承诺不随意在无关业务中使用信息。

财经委委员祁方立认为，虽然目前草案第6、14、17条的规定可以规范过度收集个人信息的现象，但仍存在规避法律的可能性，如处理个人信息。目的含糊地表述为“保证用户体验”等。因此，建议要明确，要处理的个人信息的类型，每种个人信息的详细处理目的和处理方法都要告知，并有效保证个人的充分知情

“现在草案对个人信息的保护主要是基于知情同意的原则。当互联网公司拥有大量个人信息时，应避免以表格形式提前通知。”委员左认为，除了加强政府部门的监管外，还应引入有效的行业治理，发挥行业协会的作用，帮助信息主体做出更好的决策。

建议进一步完善细化法律责任

草案除显著提高行政处罚标准外，还规定了侵犯个人信息权益的民事责任，明确了侵犯个人信息权益的归责原则为过错推定责任，并确定了侵犯个人信息的损害赔偿方法。草案还规定了针对个人信息权益的公益诉讼。这一规定将有助于解决个人自然人在大规模侵犯个人信息时因经济实力、专业知识等原因而面临的维权困境。

"规定侵犯个人信息权的民事责任，尤其是民事责任十分重要."程潇表示，目前草案共同规定了个人信息权益损害赔偿责任的归责原则和赔偿方式，建议草案分两段。同时明确了自然人有权要求个人信息处理人停止侵权、排除障碍、消除危险。此外，建议在区分敏感和非敏感个人信息的基础上确定不同的归责原则，即对于侵犯敏感个人信息权的赔偿责任，危险责任为无过错责任，而对于侵犯非敏感个人信息的赔偿责任，可以采用过错推定责任。

“有效遏制和扭转个人信息过度收集的现状，不仅是衡量我国法治文明和法治建设的重要指标，也是保护公民个人信息权利、促进个人信息合理使用的必然举措。“北京师范大学国际网络法治中心执行主任、中国互联网学会研究中心秘书长吴申阔认为，可以通过重点关注当前个人信息收集和处理的生态环境，进一步完善和细化草案。在法律责任分配层面，可以考虑分配更高强度的侵犯敏感个人信息的处罚规则。在权利救济层面，鉴于新技术环境下普通民众在认知和能力上的相对弱势地位，可以考虑借鉴域外立法的实践，在个人信息侵权领域增设集体诉讼条款，丰富个人权利保护的司法救济。