AIGC等生成式人工智能的迅猛发展，给个人信息保护带来哪些新的挑战？如何实现个人信息数据保护的同时，保证数据流通和数字经济发展？“亮剑浦江”行动对保护营商环境、促进法治建设，起到什么作用？未来，对“亮剑浦江”行动有哪些建议和期待……

为将网络法治服务送入最基层，2025年上海市网信办等多个部门走进普陀等区，开展“亮剑沪网·E心为民”网络法治服务日活动。

2021年11月1日，《个人信息保护法》（以下简称“个保法”）实施，在届满四年之际，围绕前述问题，澎湃新闻记者专访了华东政法大学教授、博士生导师，华东政法大学互联网法治研究院院长高富平。

他指出，面对新技术的挑战，要区分AI模型训练与部署阶段的差异化合规思路，建议训练阶段弱化个人同意、部署应用阶段严格合规并提供个人选退机制，同时通过政策明确AI训练数据使用的合规边界。

在监管执法层面，他表示，当前数据要素流通面临多重困境，监管部门可以考虑将监管重心从当前偏重事前收集环节（合法性基础+最小必要原则的监管），适度向事中处理合规与事后有效处置延伸，在保障安全的前提下，促进个人数据有序流通利用。

对于“亮剑浦江”专项行动，高富平提出“生态执法”概念，强调需推动全国监管部门建立联动机制，实现执法尺度统一，体现法的一致性和公平性。

上海市网信办联手上海正向数字化技术研究院开发“沪网侠之守未先锋”未成年人保护小游戏。

生成式人工智能迅猛发展，给个人信息保护带来巨大挑战

澎湃新闻：2021年11月1日，《个人信息保护法》正式实施，至今已经4年多了。在个人信息保护方面，您今年最关注什么问题？为什么？

高富平：我今年关注个人信息合法使用问题，尤其是个人信息处理者是否自主对外提供数据问题。因为数据要素市场建设意味着数据持有者可以自主根据市场需求配置或流通数据，而具有分析价值的数据要素中，大多数与个人相关，对外提供必须遵守“个保法”。

“个保法”23条明确，个人信息处理者（在要素市场称为数据持有者）对外提供须取得个人的“单独同意”。单独同意背后的理由是确保个人谁在使用其数据并确保其个人行使权利（比如删除权等）。但是，因为没有交易基础，在首次同意后再次获得个人单独同意，几乎不可能。因而单独同意实质上成为当前数据要素化利用，尤其是流通使用的阻碍。实践中供需双方通常以委托处理或共同处理来规避这一规定，或者在首次同意时以概括同意来替代单独同意。这样的做法存在法律上的不确定性，使数据流通的双方均面临较大的合规风险。因此，如何寻求个人信息合规的流通路径，成为今年关注的重点。

澎湃新闻：AIGC等生成式人工智能的迅猛发展，新技术的出现，给个人信息保护带来哪些新的挑战？又该如何应对？

高富平：生成式人工智能发展和普及应用，给个人信息保护带来了巨大挑战。尤其在基础模型向专业或领域模型发展的关键时刻，反映真实应用场景的数据集用于AI模型训练，成为提升人工智能输出质量的关键，这必然涉及个人的数据集。显然，对外提供数据须单独同意会使数据供不出，获取数据集需要征得个人同意几乎也不经济。

由于生成式人工智能是当今国际竞争的关键领域，世界的主要经济体均在寻求满足AI训练的个人数据。借鉴域外经验，基于“个保法”现状，我提出如下应对措施：其一，区分训练和部署，在训练阶段，弱化个人同意，在部署和应用阶段应当严格“个保法”合规，防范输出结果对个人隐私侵害，对个人识别性的应用应当向个人提供选退机制。其二，通过适当层级的政策明确，个人信息用于AI模型训练不需要征得个人同意，但在部署和应用阶段贯彻“个保法”精神，实施适当合规措施，切实保护对隐私或维护个人对识别性使用的控制权利。

澎湃新闻：伴随电商行业的发展，个人信息几乎处于跨境流通状态，该如何加强个人信息的跨境管理？

高富平：对于个人信息出境，2024年国家网信办发布的《促进和规范数据跨境流动规定》已经做出较大的调整，豁免了许多场景下履行“三种”手续，降低了需要评估的门槛，明确评估、标准合同和认证适用情形。类似电商行业个人信息出境基本上属于不需要评估，只需要通过标准合同或通过个人信息保护认证即可以开展。这为跨境贸易、跨境寄递等提供便利。个人信息跨境流动对个人，对国家都会带来一定的安全风险，但这种风险主要源于域外主体的使用，如何管控域外主体按照约定目的、遵守当地国或国际通行规则使用显得非常重要。显然，出境者在这方面具有一定事实订立完备的合同，事中事后进行必要监督都是必要的。但是一旦出现安全事件，可能单独商事主体很难应对。此时就需要国家出面协调处理，必要时采取外交手段。因此，出境个人信息管理关键在出境后的使用监督，而在这方面需要出境企业预防和监督外加主权国家协助才能解决。

法治环境是最大营商环境

澎湃新闻：在个人信息保护的监管执法层面，如何实现个人信息数据保护的同时，保证数据流通和数字经济发展？

高富平：自“数据二十条”发布以来，国家和地方不断推出数据要素化和市场化利用政策文件和地方法规，但是数据要素化利用面临不能流通、不愿流通、不敢流通的困境，这根本上制约了我国数智化转型和人工智能发展。实际上，“个保法”是以保护个人为中心的，而忽略了“促进个人信息合理利用”。因而在推进数据要素市场的背景下，如何平衡个人信息社会使用（尤其流通利用）和个人信息权益保护的确是面临监督部门面前的一个棘手问题。

在我看来，随着“个保法”各种实施办法和配套措施陆续出台和实施，如“个人信息保护认证”“个人信息保护合规审计”“个人信息保护影响评估”等措施逐步落地，监管部门可以考虑将监管重心从当前偏重事前收集环节（合法性基础+最小必要原则的监管），适度向事中处理合规与事后有效处置延伸，在保障安全的前提下，促进个人数据有序流通利用。保护个人权益并不是让个人信息处理者（数据持有者）事前进行流程式的同意合规，而是要建立正直负责人处理或流通的个人治理机制，最终实现保护个人信息权益的同时，实现个人数据的社会价值。

澎湃新闻：您认为，“亮剑浦江”行动对保护营商环境、促进法治建设，起到什么作用？

高富平：法治环境是最大营商环境，三年的执法行动并不以惩罚为目的，而是贯彻“执法即服务”的理念，将执法行动“晋升”为服务企业合规举措。执法机构不仅有普法培训和企业自查整改环节，而且形成“点对点”约谈、“一条链”核查、“回头看”检查等多类别、多维度的执法模式，是一种“治病救人”执法。在整个执法过程中，执法部门制定了严格周密的执法流程和规范程序，确保执法各环节本身的合法。“亮剑浦江”执法行动不仅让每个个人感受到法治的力量和法律的关怀，同时也使各类商家提升了守法意识，对“个保法”执行有了真实体验感和执法温度，通过对行政执法的信任，带动了对法治的信任。

全国各地监管部门协同联动，让全国的执法尺度一致

澎湃新闻：从公民权利保障角度，您认为“亮剑浦江”行动能起到怎样的社会引导作用？除了专项整治，还应通过哪些方式提升全社会的个人信息保护意识和法治观念？

高富平：从第二年开始，执法机构将执法行动检验有效的合规与维权措施通过“工具包”“体检包”“服务包”“护身包”的形式固定下来，含括了释法、指导、评估、保护四个层次，既有对个人普法和维权指导，又有对企业详尽的场景指引和具体合规指引，因此是一种双向指引。

除了专项整治，还应当通过各类普法宣传、司法案例、公益诉讼等方式监督对个保法的贯彻执行，提升全社会的个人信息保护意识和法治观念；同时还要继续发挥行业协会的行业影响力，推动各行业制定适合本行业，切实可行的个保法合规指引，同时监督执行。最为重要的是要使保护个人信息的目标与企业经营业务目标一致起来，将个人信息保护和合规转化为自觉的行动。企业不是为了合规而合规，而是让个人感受到企业对个人的尊重和友好，以吸引更多用户，最终提升竞争力。

澎湃新闻：对接下来的“亮剑浦江”行动，您有哪些建议或期待？

高富平：在此前网信办的执法中我发现，有些商家的点餐二维码，其实是平台的一个通道而已，这些商家本身就不知道二维码存在违规收集个人信息的情况。那么，商家在上海，而这些大平台在其他地区，我们该如何执法？在当前的互联网环境下，企业和企业之间链接的地方非常多，大平台链接了众多小商家，这就出现了“生态执法”的问题。

如果说上海执法，别的地方不执法，就会导致不同属地之间企业的不公平竞争。未来，该如何让全国的执法尺度一致，或者说，如何体现法的一致性和公平性，希望全国各地的监管部门，建立联动机制，打破传统的单兵作战，向系统合力转变，一起协同努力。