马上评｜个人信息保护，上海凭什么“走在前列”

个人信息保护，超大城市理应先行探索、走在前列。从2021年地方立法率先破题，到2026年长三角协同治理格局初成，上海用五年多时间走出了一条“制度先行、执法跟进、协同共治”的治理路径。

2026年是个人信息保护法颁布施行五周年。9月20日上午，由上海市网信办主办，上海报业集团协办，澎湃新闻承办的“法治护航、多方协同，共筑个人信息保护新高地—长三角个人信息保护宣传活动”启动仪式在沪举行。长三角个人信息保护海报设计展、个人信息保护主题市集两项线下活动，也在启动仪式同期开展。

活动现场，漫步在海报设计展和主题市集，可以愈发感受到，一张覆盖城市数字生活、服务发展大局的个人信息保护网正越织越密，市民的数字生活安全感因此也越来越高。

9月20日，市民参观长三角个人信息保护海报设计展。

2021年：《上海市数据条例》首设“个人信息特别保护”专节

2021年11月25日，上海市第十五届人大常委会第三十七次会议表决通过《上海市数据条例》，自2022年1月1日起施行。

这部地方性法规在国家数据安全法、个人信息保护法出台后不久即落地，条例专设“个人信息特别保护”一节，明确了处理个人信息应当取得个人同意、处理目的和方式变更时应重新取得同意、不得以误导欺诈胁迫方式取得同意等底线规则。

同时，条例还细化了生物识别信息处理、公共场所人脸识别限制等要求，将“亮剑”指向了彼时市民反映强烈的过度采集问题。

立法先行，上海的治理思路很清晰：超大城市的数据流动密度和场景复杂度远超一般城市，如果不能在地方立法层面把规则立起来、把底线划清楚，基层执法就容易陷入“无法可依”的被动。这一专节的价值，就在于把个人信息保护法中的原则性条款，转化为民众看得见、用得上的操作规则。

2022年：37项配套措施落地，“纸面法规”加速形成“行动方案”

法规的生命力在于执行。2022年1月12日，上海召开市政府新闻发布会，正式发布《贯彻实施〈上海市数据条例〉配套工作分工方案》，梳理了7方面37项配套措施任务。重点聚焦五个方面：完善数据发展机制、构建公共数据治理体系、探索数据要素配置体系、打造区域示范标杆、强化安全管理措施。

值得注意的是，方案明确提出制定首席数据官制度指导性文件，在部分政府、企事业单位试点，推动各行业建立健全数据治理体系。

从“有法可依”到“有章可循”，这一步看似是行政流程上的衔接，实则决定了立法的实际效力。

法律条文对“合法、正当、必要”有原则性要求，但在具体场景中何为“必要”、何为“正当”，企业平台和消费者（用户）往往各执一词。这些配套措施就是要把抽象的法定原则拆解为可执行、可评估的具体任务，为后续的精准执法和行业合规提供依据。

2023年：“亮剑浦江”，以民生“小切口”撬动消费领域“大治理”

数字时代，便利与风险如影随形。上海的选择是，将法治作为人民城市治理的基石，让合规的触角延伸到数字生活的每一个角落。

2023年6月16日，上海市网信办、市市场监管局联合启动“亮剑浦江·消费领域个人信息权益保护专项执法行动”，聚焦餐饮店、停车扫码、少儿学习培训、网络理财小贷、房产中介、租借充电宝、商超购物、汽车4S店八个问题突出的消费场景，集中整治“过度采、强制要、诱导取、违规用”等违法行为。

行动期间，市、区两级网信和市场监管部门累计检查企业6043家，依法对520余家企业进行约谈，查处各类个人信息保护案件50余件；5.5万家全国连锁餐饮门店、1756个停车场、701家少儿培训门店等完成自查整改。数量之多、力度之深、覆盖面之广，可见一斑。

个人信息保护不能只靠个案执法，必须形成行业性、场景化的整改合力。从一杯奶茶、一次扫码点餐、一个停车码这类市民天天遇到的小事入手，“亮剑浦江”逐渐让监管从“纸面上的法条”变成“生活里的在场感”。

2024年：人脸识别专项治理，确立“不刷脸为原则、刷脸为例外”

刷脸支付、刷脸解锁、刷脸开门、刷脸进站……“刷脸”，正在越来越频繁地嵌入我们的生活。

2024年，“亮剑浦江·2024”将治理重心转向人脸识别滥用这一“深水区”，明确提出公共场所“不刷脸为原则、刷脸为例外”。同时，细化了公共场所安装人脸识别设备的三大原则：“为公共安全所必须”“有法律依据”“做到单独告知”，并要求做到最大可能“退”、最小范围“用”、最小范围“存”。

治理重点覆盖了健身房、游泳馆等运动场所，商场超市、无人售货机等消费场所，演出场馆、旅游景区、宾馆旅馆等文旅场所，以及售楼处、住宅小区等生活居住场所。截至当年11月，全市600余家商超门店、6300余家酒店、1200余个游泳馆及健身场所、2900余个公共厕所已完成“强制性”“滥用化”刷脸的自查整改。

人脸信息是敏感个人信息中最敏感的一类，一旦泄露，后果不可逆。上海选择在这一领域率先亮明态度，实际上是对“技术便利”与“权利保护”之间权重的一次明确回答：刷脸带来的效率提升，不足以抵消隐私风险带来的代价。这一导向随后也被国家层面的人脸识别技术应用安全管理办法所吸收和确认，规定存储数量达到10万人的处理者，就需向省级以上网信部门备案。

2025年：数据出境负面清单与合规要求体系化，保护与利用平衡

上海个人信息保护进一步向制度体系化纵深推进。一方面，2025年2月，上海率先在自贸试验区及临港新片区发布数据出境负面清单及其管理办法，首批制定涵盖再保险、航运、商贸3个领域，包括重要数据、个人信息2类数据，涉及6个具体场景、84个数据项。清单之外的出境数据免予申报安全评估、标准合同或保护认证，清单之内的则需走合规路径。

另一方面，结合国家层面的要求，同步推进多项制度落地：落实个人信息保护负责人报送、人脸识别达到规模阈值履行备案要求，推动未成年人个人信息保护专项合规审计落地实施。为此，上海市区两级网信部门同步公布了专项咨询电话，为企业合规提供指导。

7月，市政府办公厅印发《上海市公共数据资源授权运营管理办法》，明确公共数据授权运营场景，涉及个人信息必须匿名化处理或者取得个人合法授权，依托随申码搭建个人授权便捷渠道，约束运营机构不得超范围处理个人信息。

这一年的治理特点，是从消费场景延伸到涉外数据流动、政务公共数据、未成年人保护、刑事打击多个维度。不再只是出事之后再处罚，而是事前把风险防控前置，推动个人信息保护由事后处置，转向事前预防、事中监管、事后追责全链条闭环。

2026年：从上海到长三角，协同治理与协同宣传的新格局

2026年4月，上海在全国率先将数据出境负面清单的覆盖范围从自贸试验区扩展至整座城市，标志着数据跨境管理进入“全域实施”阶段。

近日启动的长三角个人信息保护宣传活动，现场发布《个人信息保护合规审计专业机构自律行动倡议》，上线“长三角个人信息保护线上信息聚合平台”，设置“五年答卷”“深度观察”“前沿探索”“守护之声”四大栏目，由上海会同江苏、浙江、安徽三省网信办共同打造，推动区域互学互鉴。

从单体城市的制度探索，到长三角区域的协同共治，这一步跨越回应了一个现实：数据和信息的流动从来不会止步于行政边界。一家企业在上海合规，不代表在长三角其他城市也合规；一个举报平台在沪上线，未必能覆盖跨区域的维权需求。协同治理和协同宣传的价值，在于把上海在制度设计、执法实践、合规服务上积累的经验，转化为区域层面的公共产品。

五年多来，上海的个人信息保护工作始终贯穿着几条清晰的逻辑线索：把敏感信息和一般信息分开对待，用明晰的规则替代模糊的自由裁量，让监管从处罚导向转向合规导向。

从解决停车码、扫码点餐、App过度索权等群众身边事，到促进个人信息高效便利安全跨境流动，上海以民生“小切口”推动超大城市“大治理”，不断健全多部门协同、跨区域联动、全社会参与的个人信息保护体系，构筑起一道个人信息保护坚实的网络法治屏障。这正是超大城市个人信息保护先行探索地——上海走在前列的“密码”。

东平