（原标题：个人信息权利极简史）

文/高玉翔

8月20日审议通过并发布的《个人信息保护法》，涵盖了全部GDPR规定的8项个人信息人格权，某些方面甚至更加严格。

《个人信息保护法》修订历经4年数易其稿，其间不断加入个人信息反对权、可携带权、不受制于自动化决策权等相关内容，反映了个人信息人格权逐渐回归个人的过程。

本文历数了《个人信息保护法》修订过程中个人信息权利的变迁，并对个人信息保护带来的行业影响做了展望。

前言

2021年8月20日，十三届全国人大常委会第三十次会议审议通过了《个人信息保护法》，并将于2021年11月1日正式执行。《个人信息保护法》于2020年10月、2021年4月、2021年8月经全国人大常委会三次审议和公开征求意见，数易其稿，反映了全社会个人信息权利的觉醒，也反映了个人信息保护问题的趋势变化，更将对相关行业造成巨大的影响。

昨天篇

一、个人信息权利之痛

一直以来，我国缺乏针对个人信息权利的法律法规，因而在法律上，互联网用户很难主张个人信息的收集、处置、使用授权等权利，很多情况下，用户不得不通过个人信息来交换一些APP服务的使用，个人信息数据的使用、加工、转售也无法由用户自己掌控。未经同意即采集个人信息、超范围申请和使用用户信息、非法买卖个人信息等严重侵权行为也时有发生。

个人信息权利保护逐渐成为经济发展中的重要问题。

二、个人信息保护立法

情况在2016年出现了转变，当年欧盟通过了《通用数据保护条例（GDPR）》，规定了数据主体对个人信息数据的8项权利。自此以后，国内个人信息保护立法的呼声越来越大，2017年《个人信息保护法（草案）》首次面向社会公开征求意见，2020年10月，《个人信息保护法（草案一次审议稿）》首次提请人大常委会进行审议。二审稿和三审稿则分别于2021年4月和2021年8月提请人大常委会审议，并最终在2021年8月20日审议通过。（具体修订过程可见《2017-2021：个人信息保护立法的演变》）

从一审稿到二审稿、三审稿再到终稿，步步趋严：

一审稿规定了个人信息受法律保护；二审稿在此基础上加重了信息处理者的义务，增强了个人的权利；三审稿则更加犀利，直接针对具体问题开刀：不得超范围使用个人信息、不得未经用户同意买卖个人信息、不得大数据杀熟、个人数据可携带。

自此，个人信息权利得到了法律保障。

今天篇

三、回归个人的个人信息人格权

3.1 个人信息人格权的范围

《个人信息保护法》的立法初衷就是要保护个人信息的人格权，这项权利为国人广泛知晓是在GDPR出台以后。

GDPR规定了数据主体的8项权利：