2026年个人信息保护法修订草案新增‘私密信息’条款解读

《2026年个人信息保护法修订草案新增‘私密信息’条款解读》

2021年正式实施的《中华人民共和国个人信息保护法》（以下简称《个保法》）确立了我国个人信息保护的基本框架。时隔五年，随着数字经济的快速发展和隐私保护需求的深化，2026年修订草案应运而生，其中最引人注目的变化之一便是新增的“私密信息”条款。这一条款不仅是对现有法律体系的细化，更是对个人隐私权益的进一步强化。本文将从定义、法律意义、合规挑战、用户权益及国际比较等角度进行全面解读。

一、什么是“私密信息”？定义与范围辨析

修订草案首次在法律层面明确“私密信息”的概念，将其界定为“涉及自然人隐私、不愿为他人知晓，且一旦泄露可能对个人人格尊严、人身或财产安全造成严重损害的信息”。这一定义与《民法典》中关于隐私权的规定相呼应，但更具有操作性。

从范围上看，私密信息包括但不限于：性取向、性生活、健康病历、遗传基因、生物识别数据（如指纹、人脸、虹膜）、通讯内容、精准位置轨迹、财务账户明细、刑事犯罪记录等。与一般个人信息相比，私密信息的核心特征在于其“高度敏感性”和“非公开性”。值得注意的是，某些原本属于普通个人信息的数据，当其被组合或挖掘后可能揭示私密内容（如购物记录推断健康状况），也将被纳入私密信息的保护范畴。

这一条款的出台，实质上将私密信息从个人信息中独立出来，赋予其更为严格的保护标准，标志着我国个人信息保护进入精细化阶段。

二、新增“私密信息”条款的核心内容与法律意义

修订草案新增的“私密信息”条款主要体现在第十三条、第二十八条及相关附则中，核心内容包括：

1. 单独同意规则升级：处理私密信息必须获得信息主体的“明确、自愿、具体”的单独同意，不可与其他同意捆绑。同时，撤回同意的途径必须便捷无障碍。
2. 最小必要原则强化：收集私密信息须有明确且必要的目的，且仅限于实现该目的的最小范围。禁止无限制收集或超范围使用。
3. 存储与传输安全要求：私密信息必须采用最高等级加密技术存储和传输，且不得向第三方传输，除非法律另有规定或取得单独授权。
4. 泄露强制通知义务：一旦发生私密信息泄露，数据控制者必须在24小时内通知监管机构及受影响个人，并说明泄露原因、可能后果及补救措施。
5. 跨境传输限制：私密信息原则上禁止向境外传输，除非基于国家安全或司法协助等法定情形，并需通过安全评估。

该条款的法律意义在于：一方面填补了原有法律对“敏感个人信息”与“私密信息”之间层级划分的空白，另一方面为司法裁判提供了更明确的依据。此前，法院在审理隐私侵权案件时往往需依赖《民法典》的概括性规定，而修订草案的出台使得私密信息的侵权认定、举证责任、赔偿标准等更加具体化，将有效降低维权成本。

三、与《民法典》隐私权条款的衔接与区别

《民法典》第一千零三十二条将隐私权定义为“自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息”，但并未对私密信息进行独立规制。修订草案新增的条款既是对《民法典》的落实，也是一种超越。

具体来说，两者存在以下衔接与区别：

• 概念衔接：修订草案中的“私密信息”基本与《民法典》中的“私密信息”一致，但增加了“严重损害”后果要素，使得保护门槛更清晰。
• 保护方式：《民法典》侧重事后救济，而《个保法》修订草案强调事前预防、事中控制和事后追责全链条。例如，新增条款要求数据处理者主动建立私密信息分类分级制度，并进行定期风险评估。
• 责任主体：修订草案将私密信息保护的责任明确赋予数据控制者和处理者，而《民法典》主要针对个人侵权。这意味着企业等组织一旦违规，将面临行政罚款（最高可处五千万元或上一年度营业额百分之五）和民事赔偿双重处罚。
• 法律适用：在涉及私密信息侵权时，个人可选择同时依据《民法典》和《个保法》主张权利，但《个保法》的赔偿标准可能更高，且举证责任倒置（信息处理者需证明自身无过错）。

这种衔接避免了法律之间的冲突，形成了“民法典兜底+个保法细化”的双重保护网。

四、对互联网企业和数据处理者的合规挑战

新增私密信息条款给互联网企业、金融机构、医疗健康机构、智能硬件厂商等数据密集型主体带来了巨大的合规压力。主要挑战包括：

1. 重新梳理信息分类：企业需要全面盘点现有收集的所有数据，区分哪些属于私密信息。例如，智能手表采集的心率数据、APP获取的通话记录、社交平台上的私密聊天内容等。分类过程需结合业务场景，避免遗漏。
2. 重构同意流程：原有的用户协议中可能包含“默认同意”“概括同意”条款，修订草案要求对私密信息必须弹出独立、明确的同意对话框，且不得以拒绝使用功能相要挟。
3. 技术升级投入：存储和传输私密信息必须采用国密算法或其他等效加密技术，同时需要部署数据脱敏、匿名化处理、访问权限精细化管理等系统。这对于中小型企业而言成本不菲。
4. 建立应急响应机制：24小时泄露通知义务要求企业具备快速的事件检测、分析和通知能力。许多企业目前仅能实现小时级或天级响应，需紧急升级监控系统。
5. 跨境业务受阻：跨国公司需将涉及私密信息的业务数据留在境内，或者寻求通过数据安全评估的有限路径；而对于出海企业，需同时遵守目标国法律（如GDPR）和我国法规，存在双重合规难题。

建议企业尽早开展合规差距分析，引入隐私科技（Privacy Tech）工具，并设立首席隐私官（CPO）或专门的数据保护团队。

五、对普通用户个人权益的实质性提升

普通用户将是此次修订的最大受益者。新增条款赋予了用户几项重要新权利：

• 更严格的知情权：用户有权要求数据处理者明确告知收集的私密信息具体类别、用途、保存期限及处理方式。
• 更便捷的删除权：用户撤回同意后，有权要求立即彻底删除相关私密信息，且数据控制者不得以系统缓存为由拖延。
• 损害求偿权：因私密信息泄露或滥用造成精神损害或财产损失的，用户可主张惩罚性赔偿。诉讼中，用户只需举证存在侵权行为，数据处理者需自证合规。
• 自动化决策拒绝权：若企业基于私密信息对用户进行用户画像、精准营销或信用评估，用户有权拒绝仅由自动化算法作出的决策，并要求人工复核。

这一条款将有效遏制“大数据杀熟”、精准诈骗、隐私泄露等乱象。例如，此前外卖平台通过分析用户订单记录推断其健康状况并推送高糖食品，将被明确禁止。用户可要求平台删除相关私密信息并赔偿损失。

六、国内外私密信息保护立法比较与启示

从全球视角看，私密信息保护已成为立法热点。欧盟GDPR将“特殊类别数据”（Special Categories of Data）与一般数据区分，涵盖种族、政治观点、宗教、基因、生物识别、健康、性生活及性取向等，处理原则接近于我国修订草案。美国加利福尼亚州CPRA则新增了“敏感个人信息”定义，包括社保号码、精确地理位置、种族、性生活取向等。巴西LGPD、日本APPI等也都有类似规定。

相比之下，我国修订草案的独特之处在于：

1. “私密信息”命名：相较于GDPR的“特殊类别”，我国采用“私密”一词，更强调主观意愿和隐私属性。
2. 绝对禁止跨境原则：GDPR允许在充分保护下传输特殊类别数据，而我国草案原则上禁止私密信息出境，力度更大。
3. 处罚强度：我国罚款上限可达年营业额的5%，高于GDPR的4%，显示监管决心。
4. 单独同意要求：许多国家并未要求单独同意，而是采用明确同意即可。我国要求“单独同意”意味着用户必须针对每项私密信息分别点击同意，这是全球最严格之一。

这些特点既是对国内隐私焦虑的回应，也是我国参与全球数据治理话语权构建的体现。未来，我国可能推动双边或多边数据保护互认，尤其在一带一路沿线国家。

七、未来执法与司法实践的展望

修订草案一旦通过，预计国家网信办、工信部、市场监管总局等将联合出台实施细则，明确私密信息清单、加密标准、评估流程等。执法重点可能聚焦于：

• 大型互联网平台的算法滥用（如根据私密信息进行歧视性定价）；
• 医疗数据的黑市交易；
• 智能家居设备窃听或偷拍行为；
• 移动APP超范围索取权限（如日历、相册、通讯录）。

在司法实践中，法院可能设立隐私禁令制度，允许用户在面临即时威胁时申请临时禁止令，阻止数据进一步泄露。同时，公益诉讼适用将扩大，消费者协会或检察院可代表不特定多数人提起私密信息侵权诉讼。

企业应当未雨绸缪，将“私密信息合规”纳入常态化管理，而非一时应对。个人也应主动学习维权途径，善用平台提供的隐私工具。

结语

2026年个人信息保护法修订草案新增“私密信息”条款，是我国数字法治进程中的又一里程碑。它通过精细化分类、严格化规则和强效化执行，构建了更坚实的隐私屏障。尽管企业短期内面临合规阵痛，但从长远看，清晰的规则将降低不确定性，促进健康的数据生态。对于普通用户，这意味着真正的“隐私自主”不再是口号。我们有理由期待，这一条款的实施将推动全社会形成尊重私密信息的文化共识。

（全文约2700字）