企业实务视角解读《个人信息保护法》重点条款

正式稿对《个人信息保护法》第一条引入了关键词汇“根据宪法”， 根据我国宪法规定，国家尊重和保障人权，公民的人格尊严不受侵犯，公民的通信自由和通信秘密受法律保护，鉴此，个人信息权益将被提升为宪法赋予的根本权利。

个人信息的定义采用宽入口设计

从正式稿对个人信息的定义可见，个人信息的定义采纳了《个人信息安全规范》个人信息定义的最宽入口模式，无论是识别法（从信息到个人）或关联法（从个人到信息）得到的信息均被认为是个人信息的范畴。该条款的设计实质上也与GDPR设计思路一致。

适用范围采用属地属人双重适用原则

正式稿中，仍为属地属人原则双重适用。属地原则方面，“组织、个人在中华人民共和国境内处理自然人个人信息的活动，适用本法“；属人原则方面，”在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：

（一） 以向境内自然人提供产品或服务为目的；

（二） 为分析、评估境内自然人的行为；

（三） 法律、行政法规规定的其他情形。“

同时，《个人信息保护法》亦在最末明确了不适用的情形，包括：

  (一)自然人因个人或者家庭事务而处理个人信息的，不适用本法。

  (二)法律对各级人民政府及其有关部门组织实施的统计、档案管理活动中的个人信息处理有规定的，适用其规定。”

正式稿第五条至第十条确立了七项重要原则，包括合法正当必要诚信原则，目的明确合理原则，公开透明原则，质量原则，安全保护原则，禁止非法处理原则，协同治理原则。在三次审议稿中，这些原则都进行了不同程度的微调和修改，也体现了立法者对于个人信息保护认识的全面性。例如：

—合法正当必要诚信原则，是指“处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。”；

—目的明确合理原则，将个人权益的影响程度引入为判断合理的标准，并再次强调收集范围与目的之间的最小关联性，在已有的最小必要原则上进一步强调不得过度收集个人信息：“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围。”

—质量原则，是指“为实现处理目的，所处理的个人信息应当准确，并及时更新”；正式稿加入了对数据质量的要求，显示了立法者对个人信息乃至数据治理体系的全面洞察，对个人信息构建了更为科学和立体的保护立场。

—禁止非法处理原则，正式稿列举了明确的禁止性行为，“任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。”

—协同治理原则，是指“国家建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为，加强个人信息保护宣传教育，推动形成政府、企业、相关行业组织、社会公众共同参与个人信息保护的良好环境”。

“单独同意”成为重要的同意形式

《个人信息保护法》中将单独同意作为了重要的同意形式。在此之前，单独同意的类似概念曾作为《个人信息安全规范》要求个人信息控制者收集生物识别信息前获取用户同意的形式要件。与之相类似的概念，例如“明示同意”至此将被“单独同意”这个更为明确更容易理解的概念所取代。在《人脸识别｜保护人脸信息规范 规范行业法阵的有效司法路径》中，作者洪延青老师对单独同意的具体形式进行了讨论——我们理解，单独同意的形式不限，但应达到破除“无感知收集”“一揽子授权/捆绑授权”和“强迫收集”不利现状的效果。正式法所要求的必须采用“单独同意”的场景也是以往困于前述不利现状中的常见情形，分别是：

—个人信息处理者向其他个人信息处理者提供其处理的个人信息时；

—个人信息处理者公开其处理的个人信息时；

—在公共场所安装图像采集、个人身份识别设备所收集的个人图像、身份识别信息用于维护公共安全的目的之外的其他目的时；

—处理敏感个人信息时。

合乎要求的告知义务是合法正当必要诚信原则和透明原则的重要体现。正式稿在有关告知的要求中，从一般告知内容，告知的形式、变更告知的情形、告知的保存等均作出了细致要求。除此之外正式稿创设了两项豁免告知的情形，分别是基于保密义务的豁免，和基于紧急情况的豁免：

公开的个人信息因其形式的公开性而遭到违背其公开目的滥用。典型案例即如个人用于访寻工作的公开的简历信息被滥用并加工后用户向雇主报告“人员异动情况”的滑稽场面。正式稿中对于已公开信息的处理进行了特别梳理，核心主要在于：

(1) opt-out模式：针对个人自行公开或者其他已经合法公开的个人信息，除非个人明确拒绝，个人信息处理者可以在合理范围内处理；

(2) Opt-in模式：处理已公开的个人信息对个人权益有重大影响的，个人信息处理者应当依照本法取得个人同意。请注意，此处的已公开信息并未强调其类别为“个人自行公开”或“合法公开”。

敏感个人信息在正式稿中的定义采用了概念与示例的方式，强调这类个人信息一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害，其中，不满十四周岁未成年人的个人信息被正式纳入敏感信息范围，给予整体更加严格的保护。敏感个人信息处理的严格限制体现在（1）处理前提是特定目的和充分的必要性，并已采取严格保护措施；（2）基于个人单独同意（法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定），没有其他合法处理理由；（3）征得同意的告知事项增加告知处理敏感个人信息的必要性以及对个人权益的影响（依照本法规定可以不向其告知的除外）；（4）处理不满十四周岁的未成年人个人信息的，应当取得其父母或者监护人同意，并应当制定专门的个人信息处理规则；（5）处理敏感个人信息或将持牌，有待进一步观察。

捋顺了个人信息跨境提供需要满足的前提条件，探索全球数据流动新局面

在原有个个人信息保护体系下，个人信息跨境提供的规则难以捉摸。正式稿对个人信息跨境需要满足的必要前提进行了整合和梳理，并将向个人主体的告知和获取个人主体的单独同意作为另一必要前提条件。

值得一提的是，必要前提外，《个人信息保护法》要求个人信息处理者采取必要措施保障境外接收方处理个人信息的活动达到《个人信息保护法》的保护标准，并承诺按照中国缔结或者参加的国际条约、协定对向中国境外提供个人信息的条件等有规定的参照规定执行。该条款反映了《个人信息保护法》在确保自身数据资产流入同等保护水平环境的同时，不断探索在全球数据流动圈中的新局面。

此外，除了关键信息基础设施运营者应当将在中国境内收集和产生的个人信息存储在境内外，处理个人信息达到国家网信部门规定数量的个人信息处理者，同样也受到了前述境内存储的本地化约束。二者若确需向境外提供个人信息的，应当通过国家网信部门组织的安全评估。

第三十八条第（三）款将数据出境与境外接收方订立合同限定为“按照国家网信部门制定的标准合同”。SCC（standard contractual clauses）是欧盟2010年提出的数据跨境标准之一，目的是为了对数据进口方的个人信息保护能力的确定。作为主要官方白名单标准（充分性认定原则）的替代性解决方案，SCC一直是国际业务企业数据商业跨境传输的最常选择适用模式。但在Schrems II引发欧美隐私盾失效后，欧盟法院对于SCC的普适性已经提出警告，欧盟委员会在2021年6月公布了个人数据从欧盟转移到第三国的新标准合同条款，EDPB并随后发布了补充措施指南，并确认了技术保护补充措施的重要适用原则。

《个人信息保护法》此次将SCC纳入顺应国际惯例，也可以预见到会成为商业数据出境尤其为总部管理、跨境电商、进出口业务等数据出境所需企业提供重要适用机制。国家网信部门已在布局标准合同的草拟，相信其中的考量要点也会集中于跨境目的限制、进口方和进口国数据安全能力评估、主体权利保障、再传输以及途径跨境规定和本土权益救济便利要求等。

出于在全球数据治理博弈中对中国个人数据主体和数据主权的保护，也出于在国际关系中取得微妙的平衡，《个人信息保护法》与《数据安全法》保持了一致，确保了对个人数据的管制和反制条款，具体体现的措施为将管制和反制对象列入限制或禁止个人信息提供的清单。管制和反制的适用条件也进行了严格限制。其中管制的对象为：从事损害了中国数据主体权益或危害中国国家安全、公共利益的个人信息处理活动的境外机构和个人；而反制的对象则是：对中国采取歧视性的禁止、限制或者其他类似措施的国家和地区。

此外，尽管确认了对外国司法或者执法机构的协助原则，但《个人信息法》同样与《数据安全法》保持了一致的执法协助限制，即“非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息”。该条款措辞严厉，有可能对位于境外但适用《个人信息保护法》的个人信息处理者造成适用困扰，有关本条的具体实施尚且有待进一步的落地细则出台。

该规定是对今年1月1日起施行的民法典中有关死者人格权继承的立法衔接。2018年，发生在河南郑州的“空姐乘顺风车被杀案”引发轰动。一张包含被害空姐个人信息的案件照片在网络流传，经查是郑州市公安局警犬训导支队警务辅助人员郝某利私自传播给朋友，进而引发全网扩散，对其个人和家人造成不良负面影响。事后，郝某利等人就被郑州警方以涉嫌侵犯公民个人信息罪为由刑拘。

逝者权利保障目前主要还是集中于对与经济性权益的继承以及著作权、署名权等传统知识产权权利的保护。全球法律对于死者的隐私权和个人信息保护（right to post-mortem privacy）仍处于探索阶段，个别国家和领域法律开始立法监管。例如，美国HIPPA规定了对于死者的医疗隐私的保护（死亡后2年内）。《2018年西班牙个人数据保护和数字权利保障组织法》承认个人有权获得数字遗嘱，并规定死者的继承人有权行使查阅、删除和更正数据的权利，除非死者会禁止或者不符合适用法律。

全球立法对于死者个人信息的保护的谨慎源于其较生者信息保护更加复杂。包括，个人隐私侵犯对于主体的伤害性判定，逝去主体个人知情同意权确认难度较大。基因遗传疾病信息对于其他家族成员的个人影响导致个人信息的保护需求也往往超出数据主体本身。另外死者后人对于死亡影像、尸检记录的隐私保护要求与医学研究、公共安全的冲突尤其在犯罪查处以及医疗研究方面表现突出。

随着在线交易和数据存储的数据资产需求增多，互联网平台在对于死者账户删除或经法院调令才可提供的传统处理之上，也在拓展账户继承等新型资产利用和保护模式。相较于二审稿，本条在最终发布的时候细化了继承人行使权利的法定基础（合法、正当，或遵照死者生前安排），以及可行使权利类型（查阅、复制、更正、删除），对于平台和企业用户权限设计和行使判定赋予更明确的指导性。当然实践中其他常见的问题，例如信息获取类型是否需要进一步划分限制、死者个人信息再传播限制以及公开监管等方面仍然需要细化落地，才能充分发挥该项权利赋予的正面作用。

《个人信息保护法》自草案发布以来，个人信息处理者的主要义务的要求呈现比较成熟稳定的立法状态，即围绕着制度建设、信息分类、技术措施、人员管理、应急预案这五大角度以及最后兜底的其他措施，这六点个人信息处理者的义务已经深入企业的实践，被业界接受认可，三次草案征求意见基本没有变动。

《个人信息保护法》对满足一定条件的个人信息处理者（即处理个人信息达到国家网信部门规定数量）要求指定个人信息保护负责人。个人信息保护负责人对外披露的要求仅限于联系方式，但需报送履行个人信息保护职责的部门的信息则包括姓名和联系方式。

对于适用本法的境外个人信息处理者，《个人信息保护法》要求设立境内专门机构或指定境内代表，并要求向履行个人信息保护职责的部门报送的义务，该项规定弥补了一直以来针对境外机构监管的敞口，与《个人信息保护法》的域外管辖扩展落地直接呼应，也是与欧盟GDPR等域外个人信息保护法的机制保持一致性的对等要求。因此，对于可能触发《个人信息保护法》适用的境外个人信息处理者应做好设立中国境内机构或指定代表的报送准备。

高风险处理活动进行个人信息保护影响评估（DPIA）是个人信息处理者合规经营、持续自主运转以及满足自证要求的最重要渠道之一。但此前，我国DPIA的规定处于《个人信息安全规范》非强制性标准级别，大多数企业也未将评估作为必备内控手段。《个人信息保护法》此次将DPIA要求提升至法律强制性要求，对于企业内部合规制度建设提出更严格要求。相比《个人信息安全规范》存在的“高风险”性笼统场景性规定（产品或服务发布前、业务功能发生重大变化时、法律法规有新的要求时、业务模式、信息系统、运行环境发生重大变更时、发生重大个人信息安全事件时），《个人信息保护法》提出的强制性DPIA要求则从更加具体化的处理活动为出发点：处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息、向境外提供个人信息，以及其他对个人权益有重大影响的个人信息处理活动。对于处理者来说有了本条规定，DPIA的遵循执行上减少内部判断繁琐和不确定性风险。另外，对于个人信息保护影响报告和处理情况记录保存时间提出了至少三年的期限性要求，也应作为企业档案保管制度新变化点。

《个人信息保护法》二审稿的亮点之一即“守门人”责任的落实在正式稿中予以完善。本条涉及的基础性互联网平台一般包括三类：一是应用程序的分发平台，二是操作系统，三是大型平台App。立法的监管思路包括平台本身引入机构监督，平台内有关处理和保护个人信息规则的制定，对平台内产品或服务违规行为的管理，以及通过发布社会责任报告接受社会监督四类模式共存。我们认为这样的探索非常有益，也是个人信息保护发展的必然路径，但监督机制的细化和执行方案，以及实际的监督效果，还有待各守门人在实践中得出结论，当然，这其中免不了又将展开各方权利和义务的边界博弈，我们将拭目以待。

推动标准和认证体系建设

与《网络安全法》《数据安全法》重视标准认证体系建设的原则一致，《个人信息保护法》在“履行个人信息保护职责的部门”专章中设有专门条款强调网信办统筹有关部门推进个人信息保护工作中有关标准和认证的工作职能。同时，《个人信息保护法》将个人信息保护评估、认证服务纳入到个人信息保护社会化服务体系建设当中，呼应了重要原则中的“协同治理原则”，提出推进网络身份认证公共服务建设，呼应了有关方面遵循自愿原则正在试点的应用网络身份认证公共服务，这将成为减少网络身份认证中对个人信息的过度采集的有力技术手段。但哪些机构有权开展、开展流程以及认证结论的时效性等问题仍有待关注具体的实施细则如何确定。

在《个人信息保护法》中，行政责任的处罚标准在延续原有的《网络安全法》的百万处罚标准基础上，新设了“情节严重”的处罚标准，并将单位罚金提高至“五千万元以下或者上一年度营业额百分之五以下”，并同时可导致业务暂停乃至“吊销相关业务许可或者营业执照”的严厉处罚。直接负责的主管人员和其他直接责任人员罚金提高至“十万元以上一百万元以下”，同时，新增了省级以上履行个人信息保护职责的部门可以决定“禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。”

该处罚明显借鉴了GDPR中2000万欧元或者企业上一年度全球营收的4%（两者取其高）罚款的严厉处罚思路，也反映了监管对于整肃个人信息处理市场、打击违法处理个人信息的决心。值得注意的是，在尚未构成情节严重的违反规定处理个人信息的情形下，除了原有的责令改正，没收违法所得，警告，罚款的行政处罚之外，对应用程序可“责令暂停或者终止提供服务”，为目前行政部门采取的下架处罚提供了法律依据。

民事责任赔偿制度一直是个人信息保护中的弱项，《个人信息保护法》规定的民事责任赔偿制度沿用二审稿的规则，即可证明损失或获益的，以具体损失或获益承担赔偿责任；难以计算损失或获益的，根据实际情况确定赔偿数据。可见，个人信息侵权赔偿亦存在权利性质的特殊性和损失难以计算的属性，同时笔者也相信，在该具体条款的适用中，将面临侵犯个人信息主体多项权利时如何计算赔偿额，各区域是否存在统一的赔偿量化标准等，届时还有待司法审判的智慧与实践。

同时需要注意的是，《个人信息保护法》明确个人信息民事侵权赔偿适用过错推定原则。根据《民法典》第1165条的规定，“行为人因过错侵害他人民事权益造成损害的,应当承担侵权责任。依照法律规定推定行为人有过错,其不能证明自己没有过错的,应当承担侵权责任。”对于个人信息处理者来说，过错推定原则的适用意味着个人信息处理者必须时刻注意履行“自证合规”义务，在日常的处理活动中严守合规制度，并做好相应的记录和存证。

《草案》提出个人信息权益保护的公益诉讼制度。《个人信息保护法》正式稿中对公益诉讼的主体进行了明确，包括“人民检察院、法律规定的消费者组织和由国家网信部门确定的组织”，这些机构，特别是检察院和消费者保护协会，已经在近些年的公益诉讼中扮演了重要角色并成功维护了社会公益，而国家网信部门确定的组织虽尚无定论，但被寄予厚望。不可否认，公益诉讼制度的提出意味着监管当局已经注意到了广大公民个人信息遭受侵犯而无力承担诉讼成本的现状，而我们也相信该现状将在近年内从多个层面得到有力遏制。