个人信息保护法共8章74条，在有关法律的基础上，进一步细化、完善个人信息保护应遵循的原则和个人信息处理规则，明确个人信息处理活动中的权利义务边界，健全个人信息保护工作体制机制。

“个人信息保护法从全局高度对各主体利益进行统筹安排和科学分配，在规则安排上既保护了个人信息权益，又拓展了个人信息处理者利用个人信息的合理空间，也回应了国家机关为履行法定职责或者法定义务处理个人信息的诉求，从而最大化实现社会利益。”中国信息通信研究院互联网法律研究中心高级研究员杨婕表示。

针对App过度收集个人信息、公共场所安装摄像头和人脸识别设备等个人信息保护中的热点难点问题，个人信息保护法也给出回应，包括处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式；在公共场所安装图像采集、个人身份识别设备，应设置显著的提示标识；所收集的个人图像、身份识别信息只能用于维护公共安全的目的。

中国电子信息产业发展研究院网络安全所所长刘权表示，针对线上应用和线下设备过度收集用户信息，造成的个人信息采集边界模糊问题，个人信息保护法提出以“知情同意”为重要核心、以“最少必要信息”为基本原则的个人信息采集要求，旨在从数据全生命周期源头为个人信息打造“安全保护锁”。

中国信息通信研究院云计算与大数据所工程师呼娜英也指出，个人信息保护法明确要求个人信息处理者在处理敏感个人信息前需存在“特定的目的”及“充分的必要性”。这是处理个人信息需遵循“合法、正当、必要”的具体体现，也对处理敏感个人信息提出更高要求。这样一来，零售商要求刷脸进出或支付、小区要求刷脸进出、楼宇闸机要求刷脸登记等场景仅以人脸识别作为唯一方式，则可能因缺乏目的正当性和必要性而遭受挑战。