回顾：三次审议稿之变迁
（一）进阶版“最小必要”与“告知同意”原则
“最小必要”与“告知同意”是处理和保护个人信息的基本原则，也是《个保法》审议稿的高频更新点。
在最小必要原则方面，针对过度收集使用个人信息、侵害个人权益的情况，二审稿第六条拔高了最小必要原则的认定标准，要求除了个人信息处理范围的最小必要外，信息处理者也应保证处理方式“对个人权益影响最小”。
（二）“未成年人个人信息”保护升级
从一审稿到终稿，未成年人个人信息的处理规则逐步升级，企业面临着愈发严格的合规要求。
相较于一审稿，二审稿中未成年人的年龄识别标准从“主观”转为“客观”，删去了个人信息处理者“知道或者应当知道”的主观要件。换言之，对于其处理的个人信息是否属于未成年人信息，企业应承担更高标准的注意义务；面临侵权纠纷时，企业也应自行举证证明其不知晓也没有理由应当知晓。
三审稿则更进一步，将不满十四周岁的未成年人个人信息直接定性为“敏感个人信息”，并要求个人信息处理者对此制定专门的信息处理规则。
（三）“个人信息出境”保护标准确定
（四）“自动化决策”规范明细化
解析：个人信息保护法之亮点
（一）实务关切：聚焦新技术、措施可落地
作为聚焦个人信息处理和保护的基本法，《个保法》并非纸上谈兵，多项条款体现了对实务的关切，以实现个人信息保护法的落地操作作为立法要务。
在调整内容方面，《个保法》第二十四条关注“自动化决策”技术，第二十六条聚焦“身份识别”技术，第五十八条则指向互联网平台。从技术到市场，立法及时回应实务中个人信息保护的焦点问题。
在规则设置方面，《个保法》充分理解企业在实践中的合规困难，在个人信息安全与企业合规成本之间作出平衡。以《个保法》第四十七条为例，针对个人信息无法删除的情形，该条第二款规定个人信息处理者“应当停止除存储和采取必要的安全保护措施之外的处理”，这一规定解决了“无法删除”与“继续存储”之间的矛盾。当企业存在删除信息的技术障碍时，可以采取必要的安全保护措施对个人信息予以存储。
（二）权责明确：个人权利、处理者责任与监管权责
（三）立法态度：个人信息谨慎流动，违法行为大力查处
在具象的法律规则背后，是立法态度的彰显。如果深挖《个保法》的监管逻辑，可以看出立法者对于个人信息流动持有谨慎态度，并对个人信息侵权行为予以严厉打击。
虽然数据自由流动能够最大程度地挖掘和释放数据价值，但个人信息关乎个人的人格权和财产权，无论是信息共享、委托处理抑或是跨境传输，《个保法》倾向于严格规范个人信息的流转。
如其第二十一条至第二十三条规定个人信息委托处理和向他方转移的情形下，各方的权利义务应予以明确约定，并保证个人信息主体的知情同意；第五十九条要求受托方同样履行个人信息处理者的安全保障义务；第三章则从跨境条件、审批程序、黑名单制度等角度对个人信息跨境传输实施限制。
在处罚力度方面，第六十六条设置的高额罚金也是《个保法》的一大亮点和威慑力体现。对于情节严重的个人信息违法处理行为，监管部门最高可以罚处五千万元以下或者上一年度营业额百分之五以下罚款，并具有“责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照”等处罚权限。同时，个人信息侵权行为的归责原则被设定为过错推定，个人信息处理者需要“自证清白”。
结 语
