近日一款APP应用程序“ZAO”软件，因为具备给动态视频换脸功能，一时风靡朋友圈。在满足大众消费娱乐的同时，该软件在个人信息数据采集使用授权、开发利用用途等方面一些做法也引起了社会普遍担忧，个人信息未经明晰授权利用人工智能技术将个人生物特征信息移木嫁接等做法，受到业界的诟病。数字经济时代个人信息开发利用将无处不在，网络零售、网约车、网络资讯、网络教育等众多互联网应用精准服务能力的提升，都依赖于对个人信息的开发利用，离开了个人信息的开发利用，个人从网络生活中得来的获得感、幸福感都会受到影响，但个人信息的滥采滥用，也会给个人生活带来极大的困扰，甚至有可能埋下重大安全隐患，造成不可估量的损失。如何平衡好个人信息保护和开发利用，是摆在数字经济发展面前必须要解决的问题。

　　发展形势

　　个人信息开发需求非常旺盛。随着互联网应用的普及，以及数字经济和智慧社会的推进，利用个人信息的场景在大幅增加，各行各业对个人信息开发利用需求在不断增加，对于个人信息采集和利用，已经成为推进其管理加强、服务提升、业态创新等的不可或缺要素，严格限制个人信息使用已经不太现实，促进和规范个人信息开发利用已经成为一个不可回避的时代话题。

　　个人信息保护形势非常紧迫。当前，移动APP应用过度采集个人信息、含个人信息数据资源在数据黑市频繁交易、大数据杀熟和大数据追踪个人行踪等违规违法开发行为频繁暴出，不仅降低了大众对数字经济发展的获得感，影响和扰乱了正常的数字经济发展秩序，也给数字经济发展蒙上了一层乌云。个人信息滥采或过度采集、盗窃和贩卖、非法流通交易、违规开发利用等行为，已经成为数字经济时代的社会发展重大安全隐患，加强个人信息保护已经刻不容缓。

　　把握原则

　　个人同意原则。个人同意原则是推进个人信息开发利用的前提，也是维护数据主体个人信息所有权最核心手段。个人信息的采集、流通、开发、利用都需要征得数据主体许可，当数据目的用途、使用范围、控制主体、使用期限等要素发生变化时，都需要再次征求数据主体许可，更不能以一次性一揽子协议方式完成个人数据使用所有授权。当数据主体不同意的时候，个人信息开发利用必须终止。

　　权利保护原则。权利保护原则是判断个人信息开发利用价值取向的重要依据，保护法律赋予个人的各项权利是推进个人信息开发利用必须遵守的准则。当对个人信息开发利用会对法律赋予个人的各项权利正当履行产生影响的时候，必须告知用户，并征得数据主体的同意；当对个人的各项权利正当履行会产生危害时，个人信息开发利用必须终止。

　　有限范围原则。个人信息开发利用必须在有限范围执行，以电子数据形式的个人信息只有在有限范围开发利用，才能实现可管可控。数据使用人使用个人信息时候必须按合同限定的有限目的、范围、方式和期限来使用，当数据使用人使用个人信息的目标、范围、方式和期限等要素发生变化的时候，需要重新征求用户同意。个人数据按照合同约定使用完毕后，数据使用人应当将合同所涉及的个人数据做不可恢复销毁处理。

　　主体责任原则。主体责任原则是推进个人信息开发利用的重要保障，只有数据控制主体或使用主体切实履行了相关主体责任，肩负起了应有的数据合理利用和安全保障责任，才能在可管可控范围实现个人信息开发利用。数据控制主体或使用主体在推进个人信息开发利用时，需要建立相应的组织机制和内控机制，加强安全防护设施建设，健全产品审核、安全测评、风险评估、安全审计、保密审查、日常监测、应急处置、投诉响应等机制，防范未经授权的访问、修改、泄露、窃取、违规利用等风险。

　　合法合规原则。合法合规原则是推进个人信息开发利用的前提条件，也是兜底原则。数据控制主体或使用主体在推进个人信息开发利用时，必须自觉遵守个人信息保护相关法律法规、部门规章和标准规范，按照规定的要求加强技术、设施、制度等建设，自觉维护数据主体的合法权益。

　　对策建议

　　加快个人信息保护立法。加快制定和出台个人信息保护法，明确个人信息范围、种类和权属，特别要明确互联网服务平台、大数据挖掘分析、大数据交易流通、政务信息资源共享、公共信息资源开放等情况下个人信息内容和权属的界定办法，同时明确个人信息采集、传输、存储、流通、交易、开发、利用等全流程环节权利和责任等法律要求，为个人信息保护提供法律依据，为推进个人信息开发利用提供法律准绳。具体包括以下几方面内容：一是明确个人信息范围，建立个人信息分级分类制度，明确个人隐私、敏感、非敏感、可公开等各类信息的范围和边界。二是明确个人信息控制者和使用者的权责，压实相关实体的主体责任。三是明确个人信息开发利用禁区，建立个人信息开发利用目的用途禁区。四是明确个人信息监管主体，明晰违法行为处罚方式和力度。

　　建立个人信息开发利用标准和指南。加快出台个人信息开发利用标准和指南，明确个人信息采集、存储、传输、开发利用等环节资质要求、操作流程、业务规范、管理要求、防护措施等，具体包括：一是按照业务相关、最小够用、用户同意等原则，建立个人信息采集标准和指南，防止过度采集或超范围个人数据。二是按照个人同意、权利保护、有限范围、主体责任等原则，建立个人开发利用标准和指南，防止个人数据被滥用或误用。三是按照主体责任、合法合规等原则，建立个人信息存储标准和指南，防止个人数据泄露和被非法窃取等。四是按照有限范围、主体责任的原则，建立个人信息销毁标准和指南，防止数据使用到期后留置产生安全风险。五是按照个人同意、权利保护、有限范围、合法合规等原则，完善个人信息流通标准，防止个人数据非法买卖和非法交易。六是规范互联网服务用户同意承诺书，制定规范统一的企业个人信息收集和使用用户同意承诺书通用模板，统一明确企业必要的权责，有效规范企业个人信息开发利用行为。

　　加大个人信息滥采滥用整治力度。随着数字经济的发展，当前各个领域中个人信息滥采滥用问题日趋严重，必须完善治理机制，健全规章制度，增强技术防范能力，建立有效的个人信息滥用整治机制。一是加强对从事个人信息开发利用企业的管理，建立企业备案和开发产品备案管理制度。二是压实从事个人信息开发利用企业主体责任，建立健全企业内控机制，完善个人信息存储环境、开发环境、算法模型、数据产品等审核机制，落实安全测评、风险评估、安全审计、日常监测、应急处置等各类安全管理责任制度，防止个人信息滥用、误用和泄露。三是加大个人信息违法交易和利用打击整治力度，加强监督检查，提高处罚力度，将处罚力度与企业经营收入、违规利用或泄露信息规模等要素挂钩，强化法律震慑作用。四是建立个人信息开发利用网络监测平台，加大对各类网络应用程序个人信息开发利用的日常监测。

　　强化个人信息保护行业自律。一是推动电信、金融、互联网、大数据、人工智能等重点领域成立个人信息保护行业自律联盟，从技术、标准、管理、法律等角度加强个人信息保护行业研究和法律法规宣传。二是发布个人信息保护行业自律公约，推动龙头企业更加重视个人信息保护，形成社会引导和示范效应，带动行业个人信息保护水平的整体提升。三是依托行业自律联盟，开展行业自律动态监测，实施个人信息保护发展水平评估，定期发布个人信息保护行业自律报告。四是定期开展行业自律交流，组织研讨会、经验交流会、论坛等形式，深入交流企业个人信息开发、利用、保护等经验，共同探讨行业发展存在的问题和应对措施。五是提高个人信息保护透明度，定期发布企业个人信息保护白皮书，告知社会企业在个人信息采集、开发、利用、保护等方面采取措施和取得效果，提高大众对企业个人信息保护信任度。