個人信息保護(hù)新紀(jì)元——《個人信息保護(hù)法》下的數(shù)據(jù)合規(guī)要點解讀

個人信息保護(hù)新紀(jì)元——《個人信息保護(hù)法》下的數(shù)據(jù)合規(guī)要點解讀

文＼文曉歡

北京岳成律師事務(wù)所北京總所律師助理

千呼萬喚始出來，2021 年 8 月 20 日，歷經(jīng)三讀的《個人信息保護(hù)法》正式通過，結(jié)束了中國個人信息保護(hù)基本法律缺位的歷史，開啟了一個時代的新篇章。《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》和《個人信息保護(hù)法》，共同搭建了中國網(wǎng)絡(luò)安全領(lǐng)域的法律框架，為數(shù)字時代的網(wǎng)絡(luò)安全、數(shù)據(jù)安全、個人信息權(quán)益保護(hù)提供了基礎(chǔ)制度保障。

一、個人信息之內(nèi)涵

我國法律法規(guī)對個人信息的定義及范圍的相關(guān)規(guī)定主要有：

何為個人信息？通過上表可見，《個人信息保護(hù)法》在《網(wǎng)絡(luò)安全法》以及《民法典》規(guī)定的“識別” 的基礎(chǔ)上，將個人信息的識別區(qū)分為“已識別”及“可識別”表述，即《個人信息保護(hù)法》對個人信息的定義采納了《個人信息安全規(guī)范》個人信息定義的最寬入口模式，無論是識別法（從信息到個人） 或關(guān)聯(lián)法（從個人到信息）得到的信息均屬于個人信息，一定程度上擴大了個人信息保護(hù)的范圍。

二、個人信息處理的重要規(guī)則

1、知情同意不再是處理個人信息的唯一合法基礎(chǔ)《個人信息保護(hù)法》第十三條列舉了多項處理個人信息無需取得個人同意的情形 , 包括：

（1）為履行合同、實施人力資源管理所必需；

（2）為履行法定義務(wù)所必需；

（3）為應(yīng)對突發(fā)公共衛(wèi)生事件所必需；

（4）為保護(hù)生命安全和財產(chǎn)安全所必需；

（5）為公共利益實施新聞報道等所必需；

（6）在合理范圍內(nèi)處理已公開的個人信息。

上述規(guī)定很大程度上放寬了個人信息處理的限制，突破了“告知同意”為核心的個人信息處理規(guī)則， 未來“知情同意”將不再是處理個人信息唯一的合法基礎(chǔ)，這將進(jìn)一步平衡個人信息保護(hù)與信息合理使用之間的矛盾，促進(jìn)創(chuàng)新商業(yè)發(fā)展。

2、處理敏感個人信息應(yīng)取得單獨同意

“個人信息”系《民法典》所第五章所規(guī)定的“民事權(quán)利”之一，與《民法典》第五章相呼應(yīng)，《個人信息保護(hù)法》設(shè)專章對與人格尊嚴(yán)、人身財產(chǎn)安全直接相關(guān)的敏感個人信息進(jìn)行詳細(xì)規(guī)定。

個人信息可以分為一般個人信息與敏感個人信息，在《個人信息保護(hù)法》中，敏感個人信息指生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息。敏感個人信息受法律嚴(yán)格保護(hù)，《個人信息保護(hù)法》要求，只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，方可處理敏感個人信息，同時應(yīng)當(dāng)事前進(jìn)行影響評估，并向個人告知處理的必要性以及對個人權(quán)益的影響。需特別注意的是，《個人信息保護(hù)法》已將不滿十四周歲未成年人的個人信息也歸納于敏感個人信息。基于“知情同意”原則 ,《個人信息保護(hù)法》第二十九條進(jìn)一步要求處理敏感個人信息應(yīng)取得個人的“單獨同意”。                        

3、嚴(yán)格監(jiān)管向第三方提供和共享個人信息

向第三方提供和共享個人信息，一直以來都受到嚴(yán)厲監(jiān)管。《網(wǎng)絡(luò)安全法》第四十二條規(guī)定，網(wǎng)絡(luò)運營者不得泄露、篡改、毀損其收集的個人信息；未經(jīng)被收集者同意，不得向他人提供個人信息。但是， 經(jīng)過處理無法識別特定個人且不能復(fù)原的除外。此外，我國《刑法》第二百五十三條之一第三款規(guī)定， 竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規(guī)定處罰。《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第三條第二款規(guī)定，未經(jīng)被收集者同意，將合法收集的公民個人信息向他人提供的，屬于刑法第二百五十三條之一規(guī)定的“提供公民個人信息”，但是經(jīng)過處理無法識別特定個人且不能復(fù)原的除外。

而新出臺的《個人信息保護(hù)法》第二十一至二十三條對“向第三方提供個人信息”進(jìn)行了明確的限制。個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應(yīng)當(dāng)向個人告知接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個人信息的種類，并取得個人的單獨同意。接收方應(yīng)當(dāng)在上述處理目的、處理方式和個人信息的種類等范圍內(nèi)處理個人信息。接收方變更原先的處理目的、處理方式的，應(yīng)當(dāng)依照本法規(guī)定重新取得個人同意。

企業(yè)對外提供個人信息 , 還需滿足其他條件 , 包括 :

（1）履行告知義務(wù)；

（2）獲取單獨同意；

（3）事先進(jìn)行風(fēng)險評估；

（4）采取必要措施保障境外處理活動達(dá)到個人信息保護(hù)標(biāo)準(zhǔn)。

三、加強對侵犯個人信息行為的懲處互聯(lián)網(wǎng)時代飛速發(fā)展，侵犯個人信息的行為亦層出不窮。順應(yīng)時代要求，《個人信息保護(hù)法》加強了對侵犯個人信息行為的懲處。

如《個人信息保護(hù)法》第六十六條，針對違法處理個人信息，或者處理個人信息未履行《個 人信息保護(hù)法》所規(guī)定個人信息保護(hù)義務(wù)的，設(shè)置了三類處罰措施：（1）暫停或終止服務(wù)；（2） 大額罰款；（3）市場禁入。

《個人信息保護(hù)法》圍繞個人信息的處理，從處理規(guī)則、跨境提供、個人權(quán)利、處理者義務(wù)、保護(hù)職責(zé)部門以及法律責(zé)任等不同角度確立了相應(yīng)規(guī)則，并且針對敏感個人信息和國家機關(guān)處理 強調(diào)了特別規(guī)則，加強了對侵犯個人信息行為的懲處力度，開啟了我國個人信息保護(hù)的新紀(jì)元。