11月1日，《个人信息保护法》正式实施。这是我国首部针对个人信息保护的专门法律，为个人信息权益保护、信息处理者的义务以及主管机关的职权范围提供了全面、系统的法律依据，与《民法典》《网络安全法》《数据安全法》等法律一并构筑起新时代个人信息权益保护的安全防护网，标志着我国个人信息保护立法体系进入新阶段。

个人信息保护是合理利用的前提，合理利用是信息保护的目的，也是实现数字经济长远发展、提升政府治理效能的必然要求。《个人信息保护法》总则第一条即指出“规范个人信息处理活动”“促进个人信息合理利用”立法目标，统筹兼顾保护与利用。除了对群众反映强烈的APP过度收集个人信息、一揽子授权、大数据“杀熟”等重点问题作出规制，聚焦数字经济产业中企业泄露、滥用个人信息乱象，强化互联网平台的责任义务，《个人信息保护法》还特别强调国家机关处理个人信息的活动适用本法，防范行政部门违法违规处理个人信息问题，以期在数字经济活力、数字化治理效能和公众利益之间取得平衡。

与侧重个人信息的间接保护和事后保护不同，《个人信息保护法》凭借清晰的范围界定和可操作的处理规范，更偏向于直接保护和事前控制。首先，《个人信息保护法》明确了可以收集处理个人信息的情形，从源头上避免了随意收集、违法获取个人信息等问题。其次，“告知—同意”核心规则和合法正当必要原则以及诚信原则、目的限制性原则、公开透明原则贯穿个人信息处理过程始终。此外，区分一般个人信息和敏感个人信息(包括不满14周岁的未成年人个人信息)，强化敏感信息保护。最后，根据过错推定责任原则确定法律责任，“处理个人信息侵害个人信息权益造成损害的，个人信息处理者如果不能证明自己没有过错的，就必须承担损害赔偿等侵权责任”，利于减轻受害人举证负担，倒逼个人信息处理者履行个人信息保护职责。

用户被赋予个人信息更正权、删除权和可携带权，是《个人信息保护法》的突出亮点。个人有权请求删除个人信息，死者相关个人信息也可由其近亲属查阅、复制、更正、删除，个人信息处理权利更加充分。“个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径”，用户有权把自己数据从一个平台转移到另一个平台，进一步凸显了处理自主权。个人信息可携带权有望打破“数据孤岛”，发挥数据生产要素的创新引擎作用。如何应对其对不同规模平台可能产生的不同影响，避免“马太效应”，需要更多探索。