個人信息保護是信息時代下法律所面臨的重要挑戰。
歐盟2016年出臺《通用數據保護條例（GDPR）》，并于2018年正式實施；英國2018年通過《數據保護法（DPA 2018）》；瑞士也在2020年9月對其個人信息保護法作大幅度修訂。在美國，加利福尼亞州2018年率先通過了《加州消費者隱私法案 (CCPA) 》，這是美國第一部全面保護隱私的法案。
我國相關部門高度重視個人信息保護的立法工作，全國人大常委會2012年通過《關于加強網絡信息保護的決定》，2016年表決通過《網絡安全法》。2020年5月由全國人大表決通過的《民法典》在人格權編對個人信息保護作出了全面規定；2020年10月，全國人大常委會審議并公布了《個人信息保護法》一審稿草案，引起了國內外的高度關注和積極評價。
為充分吸收借鑒國際經驗，進一步提升《個人信息保護法（草案）》的立法質量，同時增進國際學術界對我國法治建設的全面了解，經教育部批準，2021年3月22日至23日，由中國人民大學民商事法律科學研究中心和英國杜倫大學法學院聯合主辦，英國駐華使館支持的“中英個人信息保護法研討會”在中國人民大學法學院召開。
來自全國人大常委會法工委、最高人民法院、國家互聯網信息辦公室、北京互聯網法院、中國人民大學、清華大學、北京大學、中國社會科學院、英國駐華使館、英國杜倫大學、倫敦政治經濟學院、倫敦國王學院和瑞士日內瓦大學等各方面的專家學者出席會議，會議采取線上線下結合的靈活方式。
3月22日下午，研討會正式開幕。開幕致辭由中國人民大學民商事法律科學研究中心執行主任、法學院教授石佳友主持。石佳友教授首先向參會嘉賓表示了熱烈的歡迎，并由衷感謝與會各方對本次研討會的大力支持。
受中國人民大學副校長、法學院黨委書記兼院長王軼教授的委托，中國人民大學法學院副院長程雷教授代表中國主辦方發表開幕致辭。程雷教授首先對中外與會嘉賓表示誠摯的歡迎，同時向會議主辦方和支持方表示衷心的感謝。隨后，程雷教授介紹了本次會議的召開背景、目的、意義和主要任務，贊賞了各界人士對個人信息保護立法、司法及業界規則的完善等作出的重要貢獻，也特別感謝各位專家和記者對此次會議給予的幫助，并預祝會議圓滿成功。
杜倫大學法學院中國法講席教授陳磊代表英國主辦方致開幕辭。陳磊教授表示非常榮幸參加本次研討會，并向主辦方和各位參會嘉賓致以謝意。陳磊教授認為，數字經濟時代背景下的個人信息保護立法是一項全球性議題，應在國際視野下設計中國方案。同時，相關立法應以強化和平衡個人數據的保護和利用為要義。陳磊教授指出，此次會談是針對信息保護難題提出應對策略的重要平臺，并希望通過此次學術交流強化合作、收獲啟發。最后他衷心祝愿本次會議能夠取得成功。
英國駐華使館政務參贊Alastair Arnold代表支持方致開幕辭。Alastair Arnold參贊首先向本次會議的參會人員和組織人員表達了誠摯的謝意。Alastair Arnold參贊表示，各國共同參與構建可預期的、公平的法律規則體系是世界人民的共同期望。在信息科技加速發展的時代，政府、企業或其他組織對數據的利用既帶來效益，也引發風險，建立安全透明的數據監管體系具有空前價值。為期兩天的會議有助于深入了解中國法律框架的核心部分，對中國以及與中國交流的其他國家均具有重要的理論意義和實踐價值。
會議的第一節由杜倫大學法學院中國法講席教授陳磊主持。
中國人民大學法學院教授張新寶首先作了題為“《個人信息保護法（草案）》：個人信息處理者的義務條文理解與完善”的主旨發言。張新寶教授認為，法律草案第5章沒有明確區分一般的個人信息處理者與充當“守門人”角色的個人信息處理者。鑒于“守門人”處于互聯網個人信息處理的關鍵環節，管控眾多APP接入互聯網進行個人信息收集處理的必要通道、空間以及提供必要的技術資源，因此有必要對“守門人”扼守的關鍵環節設置個人信息保護義務，以實現對APP處理個人信息的有效治理。在具體的法律條文設計上，張新寶教授建議在草案第51條之后增加規定“守門人”對個人信息保護的特別義務。
薩塞克斯大學法學院教授Sirko Harder以“《中華人民共和國個人信息保護法（草案）》的地域適用范圍”為主題進行發言，并著重就草案第3條進行了評議。Harder教授肯定該條在適用主體方面的合理性，并將該條第1款與GDPR相關規定進行比較，說明了《個人信息保護法（草案）》針對不同類型信息處理者在境內外收集和處理數據時可能出現的適用情形及潛在的問題。Harder教授認為草案第3條第2款可能存在適用范圍的模糊性。為避免同一信息處理者可能因地域變化導致法律適用沖突，該款可根據具體情況再作進一步澄清。
中國社會科學院法學研究所教授周漢華聚焦于“中國《個人信息保護法》起草的國際經驗”。周漢華教授詳細梳理了中國《個人信息保護法（草案）》的起草歷程，指出國際經驗對草案產生的重大影響。在模式的選擇上，草案綜合吸收了歐盟與美國的有益經驗，旨在打造一套激勵相容的法律規則，實現個人信息保護與數字經濟的平衡發展。周漢華教授還指出，在借鑒國際經驗時可能會面臨各種挑戰，如國際經驗如何落地，不同救濟體制之間的銜接，制度的可行性等。
清華大學法學院教授程嘯發表了題為“中國《個人信息保護法（草案）》中的個人信息處理規則”的報告。程嘯教授指出，中國的個人信息處理規則存在四個特征：一是強調“告知—同意”；二是區分不同類型的個人信息；三是區分不同的個人信息處理行為；四是區分不同的個人信息處理者。程嘯教授認為，“告知—同意”作為個人信息處理的基本規則，本質上是為了維護人格尊嚴和人身自由。草案中敏感信息和《民法典》中私密信息的不同劃分具有不同的規范目的，不存在沖突。未來應當更多關注國家機關處理個人信息的義務，不斷提高政府的治理能力。
在討論環節，與會嘉賓就“守門人”規則的適用范圍、《個人信息保護法（草案）》與數據交易如何銜接、《個人信息保護法（草案）》與公法的關系等問題深入交換了意見。
3月22日第二節會議由《中國法學》雜志社副編審任彥主持。
杜倫大學法學院中國法講席教授陳磊作了題為“個人數據跨境傳輸中的規則設計：徘徊在監管與市場之間”的報告。陳磊教授強調，在跨境數據傳輸的問題上，民商法規則應該與國際貿易投資戰略相協調。數據傳輸涉及“權利經濟化”的問題，需要受到數據本地化和隱私權監管等限制。目前《個人信息保護法（草案）》對于跨境傳輸的限制雖然表面上較為嚴格，但網信部門的安全評估豁免權可能使跨境信息流動實際上更加自由。基于利益協調的考慮，提出以下建議：1.將維護數據安全作為基本要求；2.進行非敏感信息跨境傳輸的試點；3.重視雙邊投資協定，提出定制化的解決方案。
北京大學法學院教授薛軍的發言主題是“中國法上個人信息的分類討論”。薛軍教授認為，私密信息的劃分應當限縮在民法領域。《個人信息保護法（草案）》是敏感信息的單獨立法，兩種分類方式不能置于同一層面觀察。雖然私密信息和敏感信息也存在交叉，但是法律適用并不沖突。薛軍教授指出，個人信息的類別決定法律責任的認定，對于敏感信息的列舉要考慮社會文化因素，并保留開放性以適應社會觀念的發展。此外，薛軍教授建議將敏感信息的認定規則置于草案的總則部分。
倫敦政治經濟學院法學院教授Andrew Murray以“作為個人和經濟行為者的數據主體”為主題進行報告。Andrew Murray教授認為，中英兩國信息保護法的核心都是數據隱私。數據具有雙重角色，既是個人權利和尊嚴的體現，又是具有經濟價值的資源。信息流動能夠提高生產效率，保證數據的合理流動是信息保護法的立法目的。為了平衡兩種價值目標，兩國的信息保護法律都規定了允許信息使用的條件，比如知情同意、出于履行合同或者合法利益的必要等。與GDPR相比，中國的《個人信息保護法（草案）》在信息跨境傳輸方面還設定了對企業的監管，這為個人數據提供了更高強度的保護。
國家互聯網信息辦公室法治局副局長尤雪云詳細解讀了《APP違法違規收集使用個人信息行為認定方法》《常見類型移動互聯網應用程序（APP）必要個人信息范圍》《兒童個人信息網絡保護規定》三則文件的具體條款和精神。尤雪云副局長指出，以上規定細化了《網絡安全法》第41條至第45條關于用戶個人信息保護的基本制度，強調收集個人信息的必要性應當以應用軟件的基本功能為準。此外，會議當日通過的《常見類型移動互聯網應用程序必要個人信息范圍規定》明確了地圖導航、網絡約車、即時通信等39類常見類型APP必要個人信息范圍，以滿足保護用戶個人信息、監管移動互聯網應用軟件的需求。
在討論環節，與會專家學者就《個人信息保護法（草案）》和《民法典》規定的統一性、個人信息的分類模式、必要個人信息范圍的具體界定以及APP違法違規收集信息的監督處理機制等議題進行了探討。
3月23日第一節會議由最高人民法院研究室民法室處長陳龍業主持。
中國人民大學一級教授、中國民法學研究會會長王利明作了“《民法典》對個人信息保護制度的發展”的主題報告。王利明教授指出，《民法典》將人格權單獨設編是體系上的重大創新。個人信息是人格權編規定的一項重要人格權益。《民法典》對個人信息保護的特點體現在六個方面：一是進一步擴張了個人信息保護的范圍；二是第一次在中國法中就“個人信息的處理”這一概念作出了廣義理解；三是賦予了個人信息主體提出異議、更正和刪除的權利；四是針對信息共享行為作出了明確規范；五是規定了國家機關對個人信息的保護義務；六是確立了隱私權與個人信息并存時應當優先適用隱私權保護的規則。
全國人大常委會法工委民法室處長李恩正就“個人信息的民法定位與價值平衡”作主旨發言。李恩正處長介紹了《民法典》編纂過程中對于個人信息保護的各方面考量，認為個人信息雖然可以作為一項民事權利，但也與其他民事權利存在區別。例如，在支配性方面，個人信息顯然不如物權效力強大。對個人信息進行保護，關鍵是要厘清其中的價值判斷。這不僅要從民事主體的角度予以考慮，還涉及到背后的經濟效益。《民法典》已經就此構建了基本的制度框架，《個人信息保護法（草案）》的規定可以更為具體。
北京互聯網法院綜合審判庭負責人孫銘溪報告的主題是“個人信息保護的司法實踐”。孫銘溪法官指出，在《民法典》實施以前，法院對個人信息保護糾紛主要圍繞隱私權展開，但實際上隱私權糾紛和個人信息保護糾紛存在較大差別。隨著技術的發展，動態化的信息會越來越多，信息識別的穿透度更需要加以關注。個人信息的匿名化和去標識化也存在很大的探討空間。要實際理解個人信息匿名化，還需要對技術的發展有更加深入的了解。
中國人民大學民商事法律科學研究中心主任、法學院教授姚輝以“中國個人信息保護：一個民法上的觀察與思考”為主題進行發言。姚輝教授認為，無論公法還是私法都與個人信息的保護息息相關。對于個人信息的理解，學界和實務界之間，不同部門法之間都存在不同的看法。在立法論的層面，如果認為個人信息是一項權利，則重點在于闡明它相對于隱私權所具有的特殊性。如果以民法學為觀察視角，在個人信息的侵權責任中，對個體的保護應該堅持無過錯責任，但從信息產業發展的角度來看，適用過錯責任顯然更為合適。立法和司法應當尋求一個更為妥當的方案來平衡各方的利益。
倫敦國王學院法學院教授Mateja Durovic和博士后研究員Jonathon Watson共同作了“新興技術和消費者數據保護的挑戰”的主題報告。Mateja Durovic教授首先指出，立法既要保護基本的價值和權利，又不能妨礙技術的發展，但兩者在實踐中經常難以平衡。對此，可以從技術監管層面著手，鼓勵企業去開發對用戶更友好的應用程序，同時以許可的方式實現個人信息使用合法化，比如設置同意管理的工具、信息管理助手等。Jonathon Watson博士進一步認為，應當更加關注人工智能、大數據和消費者保護三者之間的融合。在不同的國家，技術發展的不確定性對消費者的影響也會不一樣。因此需要一個法律框架鼓勵技術的發展用于滿足消費者的利益和需求。
杜倫大學法學院助理教授王佳的報告題目是“定向廣告與新的《個人信息保護法》”。王佳博士認為，在信息時代，既要加強對個人信息的控制，也要使信息主體享受到現代科技的便利。《個人信息保護法（草案）》一方面對用于定向廣告的個人信息的范圍未作出限制，另一方面對個人信息的定義也略顯寬泛。因此建議對《個人信息保護法（草案）》第4條規定的間接可識別的個人信息作進一步細化。第14條對個人作出同意的方式可以規定得更為具體，并明確個人的同意應當是真實的同意。
3月23日第二節會議由北京互聯網法院綜合審判庭負責人孫銘溪主持。
日內瓦大學法學院教授Yaniv Benhamou的報告題目是“瑞士的個人信息保護法：其修訂及與其他法律的互動”。Yaniv Benhamou教授認為，當單個數據或數據集合同時受到幾種制度的約束時，可能會出現權利的重疊。這種制度的重疊和沖突可能會破壞每一項具體權利的平衡。對此，既要限制權利的擴展范圍，也要限制每個法律的規制范圍。在采用和解釋數據保護時，需要在整個法律框架內綜合考慮數據保護問題。尤其是今天大多數數據都被匯總在不可分割的混合數據庫之中，難以實現有效分類。因此，需要平衡每一種法律制度的基本功能和價值取向，而不是讓一個制度整體凌駕于其他制度之上。
北京大學法學院教授王錫鋅的主題報告聚焦于“國家機關處理個人信息的規則建構”。王錫鋅教授認為，國家機關作為信息處理者具有公共性、法定性、壟斷性、強制性等特點，這與以私人機構作為個人信息處理者為設想場景的《個人信息保護法（草案）》具有明顯不同。因此，國家機關在處理個人信息的時候很難照搬《個人信息保護法（草案）》所確立的規則。未來應當制定一個特別的規則調整國家機關處理個人信息的行為。這些規則設計可以根據時間、空間和責任三個維度來展開。在規則銜接方面，國家機關處理個人信息的專門立法屬于《個人信息保護法》和《民法典》的特別法，只有在特別法缺位的時候，才能適用一般法律。
中國人民大學民商事法律科學研究中心執行主任、法學院教授石佳友的報告以“人臉識別的法律規制”作為切入點。石佳友教授指出，人臉信息的收集會嚴重威脅個人隱私，人臉識別技術也會造成人身、財產和心理上的安全隱憂，人臉識別算法更可能造成對特定群體的歧視和“自由危機”。石佳友教授強調，應當貫徹《民法典》確立的合法、正當、必要原則，建立人臉識別的技術準入審查機制，落實有效的知情同意原則，嚴格限制“概括同意”的應用場景，引入“動態知情同意”模式。此外，還應當嚴格規制公共視頻的人臉識別應用，強調“基于預防、調查違法、犯罪行為等目的”，并增加“依法保護個人的隱私權等合法權益”的規定。
中國人民大學法學院副教授郭銳的報告圍繞“人臉識別的倫理反思”展開。郭銳副教授指出，在倫理層面，利益平衡的方法可能陷入倫理相對主義的困境。以人臉識別為代表的人工智能的發展存在“終極準則難題”和“因果關系難題”。前者表現為社會對諸多問題的價值判斷缺乏共識；后者體現在人類缺乏對全部后果的認知，對決策結果的倫理性判斷不足。對此可以從“人的根本利益原則”和“責任原則”兩個方面思考法律規制的路徑。同時還要更加注重問題產生的社會背景，關注社會的長遠利益和弱勢群體的利益。
中國人民大學法學院副教授丁曉東的發言以“歐盟GDPR與美國CCPA之間：中國個人信息保護法解讀”為主題。丁曉東副教授對中國《個人信息保護法（草案）》和歐盟GDPR、美國CCPA進行比較分析后認為，歐盟的法律比較偏向于基本權利和合同法，美國的法律民法因素更強，而中國的《個人信息保護法（草案）》介于兩者之間。具體而言，傳統的隱私權保護是以侵權法為主要救濟手段的預防機制，但個人信息保護中的雙方既有合作又有對抗，侵權法的適用具有一定的局限性。知情同意原則實際上是合同法上的規則，司法實踐對此應當給予更高程度的重視。
在討論環節，與會各方就具有社會管理職能的機構應當遵循的個人信息處理規則、中國《民法典》中的隱私權與個人信息的關系、企業數據的保護和商業秘密的關系展開了深入交流。
研討結束后，中國人民大學民商事法律科學研究中心主任、法學院教授姚輝發表了閉幕致辭。姚輝教授表示，與會的國內外專家為此次會議作了精心的準備，討論的內容非常豐富。既有立意高遠的宏觀討論，又有細致入微的具體分析。他代表主辦方感謝各位專家學者在此次會議中貢獻的智慧；感謝合作主辦方英國杜倫大學法學院和陳磊教授，希望這種友誼和交流能夠一直延續；感謝英國駐華使館給予的大力支持；感謝石佳友教授及其會務團隊為此次會議付出的努力；他還特別感謝參加此次研討會的翻譯老師、嘉賓和同學。