《消费者权益保护法实施条例》个人信息保护部分解读

  《消费者权益保护法实施条例》于2024年7月1日正式施行,其中第二十三条、第二十四条专门对消费者个人信息保护规定做了重申和细化,重点对经营者收集、使用个人信息的边界进行了界定。

  (一)第二十三条:经营者应当依法保护消费者的个人信息。经营者在提供商品或者服务时,不得过度收集消费者个人信息,不得采用一次概括授权、默认授权等方式,强制或者变相强制消费者同意收集、使用与经营活动无直接关联的个人信息。

  经营者处理包含消费者的生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息以及不满十四周岁未成年人的个人信息的,应当符合有关法律、行政法规的规定。

  总结与延伸:

  1.本条法规主要涉及对消费者个人信息处理相关内容,个人信息处理的核心原则包括:

  (1)合法正当必要诚信原则:经营者处理消费者个人信息,需有明确合理目的,且与经营活动直接相关,不得通过误导、欺诈、胁迫等方式处理个人信息,不得过度收集,遵循最小化处理原则,限于实现处理目的的最小范围。

  (2)公开透明原则:经营者应公开个人信息处理规则,明示处理目的、方式和范围,保障消费者知情权。

  (3)告知-同意原则:以消费者充分知情为前提,在其自愿、明确作出同意后,方可处理个人信息,消费者有权撤回同意,且经营者不得以消费者不同意或撤回同意为由拒绝提供商品或服务。

  2.禁止强制授权:本条法规明确禁止一次概括授权、默认授权等强制或变相强制消费者同意收集无关信息的行为,比如APP安装时默认勾选同意收集非必要信息,或一次性要求消费者授权所有信息使用场景,均属违规。

  3.敏感个人信息保护:本条法规明确了敏感个人信息的范围,处理此类信息需遵循《个人信息保护法》等规定,需有特定目的和充分必要性,采取严格保护措施,通常需取得消费者单独同意或书面同意,例如收集消费者人脸信息用于支付验证,必须单独告知并获得同意。

  (二)第二十四条:未经消费者同意,经营者不得向消费者发送商业性信息或者拨打商业性电话。消费者同意接收商业性信息或者商业性电话的,经营者应当提供明确、便捷的取消方式。消费者选择取消的,经营者应当立即停止发送商业性信息或者拨打商业性电话。

  总结与延伸:

  1.商业信息发送规则:本条法规规定,经营者发送商业性信息、拨打商业性电话必须经消费者同意,且同意应是消费者在充分知情下自愿、明确作出的意思表示,禁止未经同意的骚扰式营销。

  2.取消权保障:本条法规规定,消费者同意接收后,有权随时取消,经营者需提供便捷的取消渠道,如一键退订、明确的取消指引等,且消费者取消后必须立即停止相关营销行为,不得设置障碍或拖延。

  (三)与《个人信息保护法》的衔接:

  《消费者权益保护法实施条例》的上述条款是对《个人信息保护法》在消费领域的细化落实,例如敏感个人信息的单独同意要求、个人信息处理的最小必要原则等,均与《个人信息保护法》保持一致,同时针对消费场景中常见的过度收集、强制授权、营销骚扰等问题作出了更具针对性的规范,为消费者个人信息保护提供了更具体的法律依据和保障。