导语
在过去的几天中，你可能已经陆续收到了来自不少互联网公司的邮件或通知，称它们已经「为个人信息保护法做好准备」。毫无疑问，这指的就是在今天（2021 年 11 月 1 日）正式生效的《中华人民共和国个人信息保护法》。
《个人信息保护法》是今年信息安全领域一项重要立法，也是我国首部针对个人信息保护的专门法律。该法贯彻了「保护个人信息权益」「规范个人信息处理活动」「促进个人信息合理利用」三大立法目标，呈现出不少兼具理论高度和现实关怀的立法亮点。我们相信，这部法律的颁行，对于用户和行业都将产生深远的影响。
少数派长期关注信息安全和隐私保护，与我们的作者一起出品过形式丰富的相关内容。这些内容既包括对于专业人士之手，图文并茂的法规解读，也包括易学易用、全面详尽的隐私保护指南，还包括深入浅出、紧跟热点的相关技术解析。
值此新法施行之际，我们对这些内容进行整理汇编，通过这篇合集文章和今天的首页再次展现给读者，以期为读者理解法规、充分保护和行使权利提供参照。相信在国家和社会的共同努力下，我们将看到一个信息权利愈发得到关注和尊重的网络空间。
当然，今天真正的主角还是《个人信息保护法》本身。如果你对于这部法律的内容还有些陌生，不妨先通过我们整理的下列官方链接，阅读法律原文、立法背景文件；有兴趣的读者还可以进一步阅读其后列举的相关法规和国家标准。
📕 《个人信息保护法》：全文 | 草案二次审议稿（2021 年 4 月）| 草案初次审议稿（2020 年 10 月）
📂 立法背景文件：草案说明（2020 年 10 月）| 草案修改情况汇报（2021 年 4 月）| 草案修改意见报告（2021 年 8 月）| 草案审议结果报告（2021 年 8 月）| 主席令（2021 年 8 月）
📚 主要相关法律法规、规范性文件：《民法典》（主要参见 §§ 111, 1032–9）|《网络安全法》（主要参见 §§22, 37, 40–5）|《数据安全法》|《儿童个人信息网络保护规定》|《常见类型移动互联网应用程序必要个人信息范围规定》|《App 违法违规收集使用个人信息行为认定方法》|《移动互联网应用程序个人信息保护管理暂行规定》（征求意见稿）
📐 主要相关国家标准：GB/T 35273-2020《信息安全技术 个人信息安全规范》 | GB/T 39335-2020《信息安全技术 个人信息安全影响评估指南》
（编注：本文所引述文章均代表作者个人观点，仅供读者参考，并不构成对任何具体问题的法律意见。一些内容的参考性和准确性可能随时间推移而改变。）
一、个人信息保护法规解读
从这里入门，读个保法要点亮点
尽管《个人信息保护法》的规制对象与每个人的日常生活息息相关，但《个人信息保护法》的遣词造句还是标准的「法言法语」，普通读者或许会觉得不太容易摸清逻辑、把握重点。例如，与字面上的理解不同，「个人信息处理」并不是一次性的事，而是覆盖了个人信息处理从收集使用到删除的全生命周期。本文由在反垄断与竞争法、数据合规与网络安全领域有丰富经验的律师团队撰写，从用户视角提炼了《个人信息保护法》在个人信息收集、使用方面对互联网公司提出的要求，以及其中与大数据使用、敏感信息处理和个人信息出境等热点场景相关的新规，并配以直观的图表方便理解。作为个人信息保护的入门课，这篇文章是一个很好的起点。
阅读全文：今天开始，与你息息相关：个人信息保护法亮点详解（作者：JSGroup）
放眼看全球，析中美欧法规异同
在信息高速全球互通、网络服务跨越国界的当今，一国用户几乎不可能只跟该国国内的互联网公司打交道；相应地，其个人信息也会被全球各地的公司所收集和处理。在这样的背景下，不仅仅在中国，世界各地的立法和监管部门，都将个人信息相关立法作为高优先级议程。除了中国，世界上目前还有哪些主要的个人信息保护法规，它们与《个人信息保护法》又有哪些异同呢？让我们放眼全球，以《个人信息保护法》、美国加州的《加州消费者隐私法案》和欧洲的《通用数据保护条例》为当今世界个人信息保护法规的代表，对比中、美、欧三地个人信息保护制度的联系与区别。
阅读全文：观千剑而后识器——中美欧个人信息保护法规比较（作者：JSGroup）
协力治侵权，看规范性文件精准出击
《个人信息保护法》一部法律并不能回答所有的问题；实践中，对于违规行为的判断，需要通过执法部门的规范性文件予以细化规定。例如，印发于 2019 年底的网信办《App 违法违规收集使用个人信息行为认定方法》、工信部《关于开展 App 侵害用户权益专项整治工作的通知》等就是两份重要的规范性文件。这些文件对「App违法违规收集使用个人信息行为」「侵害用户权益的行为」作出了更为具体的定义。作为互联网用户，我们有必要了解这些定义，更好地明确和主张自己的合法权益。
阅读全文：你可能没留意到的新变化：国内「毒瘤」Android 应用正在减少（作者：jijiali）
二、个人信息保护指南
小处着手，填补数据安全漏洞
互联网让我们相互连接，但也掌握了太多连我们自己都不认识的自己。使用鼠标的每一次点击，或使用手指的每一次触碰屏幕，都可能在这个互联网世界中成为安全隐患。我们的作者曾结合国内实际环境和自身见闻、思考和实践，从数据安全和隐私保护两个角度给出了一系列建议，例如使用密码管理器、加密设备数据、合理选择搜索引擎和邮箱、移除照片文件中的附加信息等。如果你想加固自己的数字世界，不妨以此为一份检查清单。
阅读全文：做好个人数据与隐私防护，从这份检查清单开始（作者：SanKo）
步步为营，筑牢手机隐私防线
作为与我们生活打交道最多的数码设备，手机带来了很多便利，但也是最容易泄露隐私的后门。然而，「隐私与便利是一门平衡的艺术」，一味图方便、置隐私于不顾固然是对自己不负责的，但因噎废食、追求绝对隐私也是没有必要的。本着这样的思路，这份《Android 手机隐私手册》分为三部分，依次着眼于权限管控、控制联网与应用列表读取，以及冻结应用与禁用应用组件。全文内容以实操为主，对新手友好。
阅读全文：手机使用隐私手册（一） | （二） | （三）（作者：pokon548）
火眼金睛，预防应用越权访问
如今的应用已经越发擅长于巧立名目，收集和上传用户的各类使用数据。尽管这些收集行为名义上都是可选、自愿的，但设计上往往颇为隐蔽，用户一不小心就可能让自己的数据被「暗度陈仓」。对此，我们曾按照厂商分类，列举了关闭常用软件数据收集的具体方式，并给出了对于隐私保护更为友好的改良与替代品供用户选择。
阅读全文：对「自愿」上传隐私数据说不，这些是我们可以做的（作者：Mirtle）
如果说应用上传自身的使用数据还有一定的解释空间，那么收集分析外部浏览器的历史记录就明显超过了合理、必要的范围了。对于一度引起热议的此类案例，我们曾进行过回顾和分析，并以此为契机，提出了使用安全防护软件、沙箱、虚拟机，换用权限审核更严格的商店版应用，以及善用举报渠道等建议。
阅读全文：捍卫浏览器历史记录，你可以从这些地方入手（作者：XavierWang）
除了使用数据和浏览历史，应用还可能获取一些更实质的资料，例如你的截图和照片。此前，就曾发生过应用因功能实现不当，将后台运行期间产生的截图和照片全部在自身目录中缓存的情况；这类事件的发生无疑对开发商和用户都是警钟。我们也曾关注过此类事件，并从管好权限、提高意识两个层面对用户提出了建议。
阅读全文：如何才能阻止下一个京东金融「偷」走你的照片？（作者：SHY）
近而不亵，关注智能家居安全
当家中的联网设备越来越多，你是否会想过，这些设备可能会给家庭网络带来安全风险？事实上，智能家居的隐私风险不容忽视：设备接入家庭网络后，就有能力做到扫描网络中的所有设备，收集家中手机、电脑、路由器等的品牌、型号，以及家庭的地理位置，用于数据分析，或者精准推送广告；设备上的漏洞还可能被黑客利用，监控摄像头、智能音箱甚至可能被用来「偷看」或者「偷听」。对此，应该提高安全意识，通过正确设置、选用可靠软件等方法，增强智能家居设备的安全性。
阅读全文：如何增强智能家居设备的安全性（作者：Blanboom）
和平分手，转手设备不忘隐私
设备恢复出厂设置有可能并不能彻底清理掉你的个人数据，第三方很有可能会「偷偷地」恢复你的数据，造成隐私等严重问题。这是因为，手机进行「恢复出厂设置」后，和我们在删除闪存上的文件时一样，在那时文件并不会立刻删除，只是统统被标记成了待删除而已。为此，可以根据设备的系统，选择不同工具进行更深层的擦除，以防止信息被别有用心者获取。
阅读全文：重置并非万无一失：设备转手前不能忽视的一件小事（作者：广陵止息）
三、技术术语小百科
Cookies 和 FLoC
Cookie 是存储在终端用户浏览器本地的一小段数据，它可以标识出唯一的用户，是用户的一个身份 ID。FLoC（Federated Learning of Cohorts，即「同类群组联合学习」）是 Google 提出的一种新广告追踪技术。尽管在设计中有隐私保护的考虑（是群体标识而非个人标识，且通过加入随机性实现了差分隐私），但 FLoC 的目的还是追踪用户，以利于广告商精准投放广告。此外，FLoC 由 Google 主导，其他广告平台失去了使用自己第三方 Cookie 收集数据的能力，可能会导致 Google 在广告追踪市场一家独大。
相关阅读：互联网广告机器的新戏法：Google FLoC 科普（作者：Shiau）
匿名设备标识符（OAID）
OAID 是一种在国内 Android 系统内使用的广告跟踪标识符，由移动安全联盟提出。该技术的推出背景是 Android 10 限制读取 IMEI（移动设备识别码），使得这一过去广泛用于识别用户、定向推送广告的方式不再可用，使得厂商需要一种替代方式来满足广告场景的需求。与通过收集 IMEI 追踪用户相比，OAID 一定程度上兼顾了用户隐私安全和广告渠道利益，可以说是一种进步；但国内 Android 生态的规范化还有待手机厂商和开发者的自我约束。
阅读全文：隐私保护更严格的 Android 10 之后，国产应用这样对你进行广告追踪（作者：Noah_Choi）
本地网络权限
本地网络权限是应用获取本地局域网内其他设备的名称和 MAC 地址的权限，在 iOS 14 中首次加入。需要本地网络权限的应用类型比想象中要少；除了利用本地网络进行设备发现、数据传输和网络调试的工具外，使用 HomeKit、AirDrop、AirPlay 和 AirPrint 都不以获得本地网络权限为前提。合理授予或禁止应用获得该项权限，可以保护隐私，防止开发商通过嗅探局域网得知用户拥有的设备类型，从而针对性推荐广告。
阅读全文：iOS 14 新增的本地网络权限，要开给第三方 App 吗？（作者：广陵止息）
应用分区存储
分区存储（scoped storage）是最早在 Android 10 开发者预览版亮相、正式推出于 Android 11 的一项「沙盒」机制。在过去，Android 的开放文件系统方便了用户管理文件，但也被不少应用所滥用，成为了妨害用户实际体验和隐私数据的钥匙。对此，分区存储让应用的写入不再随心所欲，变外部目录为相互隔离的外部目录，并引导应用通过规范接口良性互通。不过，这项技术的普及还取决于开发商的积极适配和自觉合规。
阅读全文：还存储空间一片清朗：Android 的「沙盒」机制何时到来？（作者：武登钧、克莱德）
差分隐私
差分隐私是指在处理数据时添加一些随机性，使得个人数据无法被准确识别，但又能保证统计特征较为准确。这种方法在上世纪七十年代就被初步提出、本世纪前十年已在普查等领域得到应用，但在移动科技领域还是由 Apple 率先大规模应用的，此后其他厂商陆续跟进。在 iPhone 上，差分隐私的使用场景包括 QuickType 提示、Emoji 提示、搜索提示、Safari 电量统计和健康统计等；在 Android 手机上，目前主要用于精度要求不高的定位。
阅读全文：差分隐私是如何保护个人隐私的？（作者：Seine_in_rain）
儿童安全功能
儿童安全功能是 Apple 于 2021 年 8 月公布的一系列拟发布功能和机制，旨在保护未成年人免受性虐待等违法行为的伤害、阻却涉儿童色情相关内容。具体而言，主要包括 (a) 在信息 app 中向儿童及其家长警示对话中的不当内容；(b) 在 Siri 和搜索功能中提供求助资源和提示信息；以及 (c) 检测 iCloud 图库中的未成年人色情图像（CSAM），在超过一定门槛后禁用账户同时向安全部门举报等。这些功能宣布后引发了广泛的讨论，各类观点普遍就其对用户隐私和设备安全的潜在影响表达了担忧。Apple 后宣布延迟上线部分争议功能。
阅读全文：从 Apple 儿童安全功能的原理出发，聊聊它为什么引发热议（作者：SCHOENBERG）
第三方登录
第三方登录通常基于开放授权（OAuth）技术，这是一个开放标准，允许用户在不提供密码的情况下，授权接入了 A 网站第三方登录支持的第三方应用，访问自己在 A 网站上的特定数据。这给用户和第三方服务商带来了不少的好处，但如果服务商行为不当或用户操作不慎，也有潜在的信息泄露风险。「用 Apple 登录」是 Apple 于 2019 年提出的第三方登录方案，从安全性还是便捷性上都有一定改进；其代表性功能就是在注册时生成随机邮箱，从而很好地避免了邮箱泄漏带来的垃圾邮件骚扰问题。
阅读全文：第三方登录与 Sign In with Apple（作者：Fairyex）
四、隐私防护工具箱
手机篇
尽管各系统都在加强对用户的隐私保护，例如 iOS 强硬的审核机制、要求 App 权限透明化的政策，又如 MIUI 支持给应用提供「空白权限」等；但面对日益严峻的隐私环节，系统提供的隐私保护机制可能仍然不足，为此，最好利用一些第三方应用，进一步加强对隐私的保护。我们曾经分图片传输、网上冲浪、信息往来等场景，介绍过相关的实用工具。
阅读全文：如何更好地保护手机数据隐私？这 10 款 App 你可能用得上（作者：Tp）
此外，对于 Android 手机，还有一批或许默默无名、但功能上格外强大或巧妙的小众工具，值得了解和按需选用。
阅读全文：真正解决你的痛点，那些良心的 Android 独占应用：隐私工具篇（作者：Fairyex）
电脑篇
另一方面，在访问信息世界的另一主阵地——桌面电脑端，大多数人都已经安装了第三方安全防护类软件。相比之下，系统内置的保护功能反而容易受到忽略，而它们在不少情况下是更值得优先使用的。
例如，Windows 7 之后，微软开始陆续向 Windows 系统添加安全特性，原本用于服务器操作系统 Windows Server 文件安全的 「访问控制列表」（ACL）就是其中之一。通过 ACL，我们可以指定哪个用户或系统进程可以访问什么对象，以及后续可以在对象上做什么操作。这样一来，就可以将那些可能会对系统设置和系统文件进行恶意修改的行为，锁定在受限用户当中。
阅读全文：新建一个账户就能隔离毒瘤应用：Windows 自带权限工具妙用（作者：SunsetYe）
如果想要保护电脑里的数据不被未经许可访问，Windows 也内置了一个工具——BitLocker。它的核心作用是对 Windows 系统的数据进行全盘加密。尽管不能保证万无一失，但得益于系统内置、配置简单，BitLocker 仍不失为阻止恶意入侵、保障数据安全的「基础款」工具，值得了解和使用。
阅读全文：这个常被忽略的「小钥匙」，每个 Windows 用户都应该用起来（作者：广陵止息）