2021年11月1日开始，国内首部个人信息保护方面的专门法律——《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）开始正式实施，个人信息保护正式迈入有专门法律可依的时代。对人身保险公司来说，过去一些潜规则、擦边球操作，必须接受法律的矫正。绷紧个人信息保护这条红线，已成为对人身保险公司的基本要求。

立法从通过到正式实施，有着数月的缓冲期，不过对于很多人身保险公司而言，在合规调整方面显得滞后，主要是因为对法律的理解、认识不深刻或者不到位所致。事实上，《个人信息保护法》将对人身保险公司的承保、理赔流程产生重大影响，只不过很多人尚未意识到这个影响已经到来。

一、关于询问的内容

在承保阶段，依据我国《保险法》第十六条规定，订立保险合同，保险人就保险标的或者被保险人的有关情况提出询问的，投保人应当如实告知。这个询问的过程，实际上就是个人信息收集的过程，也就是处理个人信息的过程。

按照《保险法》的规定， 询问的内容是“保险标的或者被保险人的有关情况”，至于到底有关到什么程度，则无规定。所以现实中很多保险公司在设计询问内容时，五花八门什么都有，什么都可能问得出来。

譬如，有的保险公司在投保单中询问：“平均年收入（过去三年大约的平均年收入值）？”；

有的保险公司在投保单中询问：“是否计划两年内出国？”

有的保险公司在投保单中询问：“父母兄弟姐妹中是否有人曾患有遗传性疾病”；

这些询问到底合理不合理？见仁见智。

不过，《个人信息保护法》第六条规定：“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。   收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。”　

依据这一条，我们认为前述这些询问，其内容似乎与被保险人本人距离较远，对于被保险人是否能够予以承保的影响有限，因此恐涉及过度收集个人信息情形。

二、关于同意主体

按照我国现行《保险法》的框架，人身保险合同是比较独特的一种利他合同、第三方利益合同，即人身保险合同主要围绕着被保险人缔结，目的也是为了给被保险人设定某种利益。所以，被保险人的相关信息对于保险合同的缔结、履行非常重要。然而，被保险人却不是合同当事人，无法参与到人身保险合同订立过程中，实际上并不承担缔约诚信义务，可是有关后果却要由被保险人承受，这个模式比较独特。

依据我国《保险法》第十六条规定，订立保险合同，保险人就保险标的或者被保险人的有关情况提出询问的，投保人应当如实告知。可见，对于被保险人的情况，是要由投保人，而非被保险人，提供信息的。

《个人信息保护法》第十四条规定：“　基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。 个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。”

也就是说，被保险人如果超过14岁，则自己有权决定是否同意处理自己的个人信息，是否同意将自己的个人信息提交、被收集等。即，人身保险公司收集被保险人的信息，应得到被保险人直接同意，而非由投保人径行提供。

如果投保人就是被保险人，那当然无所谓。可是，如果投保人与被保险人不是同一人，那就比较麻烦。一般来说投保人与被保险人总归有某种亲属、利害关系，但是这个也并不能抹杀被保险人的独立意志。因为通常并没有证据表明，投保人的投保行为全部都得到了被保险人的默认授权或者许可。

所以，如果被保险人不愿意提供的信息，投保人提供也是不当的，人身保险公司的收集也是有问题的。到底这个问题多大影响？现在也未必能说清，但是肯定是一种不利影响。

为了应对这个问题，事实上很多人身保险公司在涉及询问表的时候，确实预留了被保险人意思表示的位置，由被保险人提供相应信息或者做出同意的意思表示。

不过，随着互联网保险、电子投保等新的业态出现，无纸化是一个不可更改的趋势，投保变得越来越简化，可是这时候留给被保险人做出意思表示的位置却几乎消失殆尽了，这恐是一个潜在的危机。

三、对于理赔方面的影响

对于人身保险公司而言，接到索赔请求后，大概率会考虑派员、或者委托其他机构去向有关的医院、诊所、体检机构、社保机构等调取被保险人的相关个人信息。

这种信息收集的合法性从何而来呢？一般而言，是因为在投保阶段，被保险人都会在投保单中同意授权保险公司去进行自己个人信息的收集。也是因为这样，所以医院、诊所等机构也会同意配合提供，即大家都认为该信息收集行为得到了被保险人的事先同意。

不过，需要注意，《个人信息保护法》第十四条规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。

个人同意必须以“充分知情”为前提，何为充分知情？《个人信息保护法》第十七条规定：“　个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：（一）个人信息处理者的名称或者姓名和联系方式；（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（三）个人行使本法规定权利的方式和程序；（四）法律、行政法规规定应当告知的其他事项。   前款规定事项发生变更的，应当将变更部分告知个人。   个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。”

也就是说，如果要得到被保险人的事先许可，不是不可以，但是不能笼统，而是应该事先清楚地告知被保险人相关事项与后果。

举个例子，如果保险公司想要去体检机构收集被保险人的个人信息，并且收集到的信息可能对被保险人不利，那么应该事先说明并得到被保险人的事先许可。不过也许这样，被保险人也就不同意了。可是，依法来说，被保险人有这个知情权、选择权。

更为严格的是，《个人信息保护法》第十五条规定：“　基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。”

目前所有的保险公司调查被保险人信息情形，都是建立在被保险人的事先许可不可撤销这一前提下的。然而，法律第一次赋予了被保险人撤销权，并且是随时可以撤销、无条件撤销。这个影响是非常深远的。

譬如被保险人可以在保险合同订立后通知保险公司撤销事先的信息收集许可、可以在保险事故发生后通知撤销。这种情况下，保险公司实际上是无权进行敏感的被保险人个人信息收集的。

不仅如此，因为被保险人的同意与否属不确定状态，所以会影响到到医院、诊所、体检机构等提供个人信息机构的心态。他们恐怕也不愿意在这个问题上惹麻烦，因此肯定会越来越谨慎，在没有得到被保险人的明确同意时，不太愿意配合保险公司的信息收集行为。

综上，人身保险合同各方主体首先是相互信赖，但是从某种方面考虑，各方之间也存在相互博弈的过程。《个人信息保护法》产生的深远影响，会逐渐显现，需要业内认真思考。

北京格丰律师事务所 郭玉涛律师  李婷律师