近日，公開征求意見的《深圳經濟特區數據條例（征求意見稿）》（以下簡稱《條例》），在完善個人信息保護規則等方面有諸多亮點，尤其重要的是，它完善了個人數據處理的基本原則和數據使用者的法律責任。
個人數據處理基本原則的完善
近年來，我國數字經濟快速發展，但數據領域中侵犯公民基本權利的現象時有發生。比如用戶無法充分知曉平臺收集、使用了哪些數據，也無法控制平臺對數據的使用用途。為平衡數據利用與數據保護之間的關系，《條例》在合法、正當、必要的個人信息處理原則基礎上，進一步進行了細化。
第一，將“必要”原則升級為“最小必要”原則，并細化“最小必要”原則的內容。《中華人民共和國民法典》《中華人民共和國網絡安全法》等均將必要作為個人信息處理的基本原則，《條例》在此基礎上確立了個人信息收集的“最小必要”原則。信息收集的最小必要原則之前在相關行業協會規范中也有一定體現，如電信終端產業協會2020年公布的《App收集使用個人信息最小必要評估規范總則》，明確App收集使用個人信息需堅持“最小必要”原則。依照該原則，個人信息處理者不得收集、處理與處理目的無關的個人數據。在此基礎上，《條例》列舉了最小必要原則適用的五種場景，如與信息處理目的直接相關的數據、最低的處理頻率、最小的信息數量、最短的存儲時間、最小的訪問控制策略等。
第二，確立公開透明、準確完整的原則。《條例》規定，個人數據處理者在處理數據時應遵循公開透明、準確完整的原則。首先，公開透明原則的核心是要明示個人數據處理的目的、方式、范圍和規則等，特別是要向當事人公開透明。以該原則為基礎，《條例》構建了以“告知—同意”為核心的個人數據處理規則。其次，準確完整原則要求數據處理者要保證個人數據的準確性和必要的完整性，避免因個人數據不準確、不完整給當事人造成損害。依照該規定，個人數據處理主體不僅要承擔更多的確保數據真實的義務，自然人也享有更廣泛的個人數據異議權，這對確保個人數據真實性大有裨益。
第三，確立數據安全原則。《條例》將數據安全作為數據處理的基本原則之一，要求數據處理者要確保個人數據安全，積極維護自然人合法權益。數據安全原則的確立對確保數字經濟健康有序發展大有必要。基于此，《條例》在維護數據安全的情況下，提出應促進數據利用。如《條例》第一條明確，“為了規范數據處理活動，保護自然人、法人和非法人組織的數據權益，促進數據資源開放流動和開發利用……制定本條例”。同時，《條例》允許對自然人進行用戶畫像等。
完善數據使用者的法律責任
《條例》對數據使用者的法律責任進一步進行規范，完善了“大數據殺熟”行為的罰則、提出建立數據領域公益訴訟制度。
第一，完善“大數據殺熟”行為的罰則。“大數據殺熟”常見于打車、旅游、購物等在線平臺，是平臺通過挖掘消費者的搜索、瀏覽、消費記錄，推導出消費者的購買能力與消費偏好，確定目標用戶，再通過算法對消費者定向推送價格各異的同一產品或服務。“大數據殺熟”在給商家帶來巨大經濟效益的同時，也可能對普通公民的合法權益造成嚴重損害。如商家可能通過算法推送的特定內容構建信息繭房，從而侵害消費者的知情權；算法“黑箱”的存在，可能侵犯消費者的公平交易權等。此次《條例》試圖通過建立更嚴厲的懲罰機制，規制“大數據殺熟”行為。如依據該條例第八十六條的規定，如果“大數據殺熟”等損害公平競爭的行為情節嚴重或造成嚴重后果，市場監督管理部門可對其處5000萬元以下或者上一年度營業額5%以下罰款，并暫扣許可證件、降低資質等級、吊銷許可證件、限制其開展生產經營活動、責令停產停業、責令關閉、限制從業等。
第二，建立數據領域公益訴訟制度。網絡時代的數據侵權很可能是大規模的侵權行為，可能會侵犯不特定多數公民的合法權益。且由于雙方力量懸殊，公民的維權過程會相對艱難。對此，《條例》規定有關行業組織、人民檢察院可以就未落實數據安全保護責任或者非法處理數據致使國家利益或者公共利益受到損害的行為，提起民事公益訴訟；人民檢察院也可對違法行使職權或者不作為致使國家利益或者公共利益受到損害的行政機關，提出檢察建議或者提起行政公益訴訟。
當然，《條例》作為一部先行先試的地方性法規，有些規定也需要進一步細化，如進一步明確消費者享有的數據權利、厘清數字領域中政府監管與企業管理的邊界、明確“大數據殺熟”的認定標準等。
（作者單位：南開大學法學院）