498科技訊：2020年10月13日，十三屆全國(guó)人大常委會(huì)第二十二次會(huì)議首次審議了《個(gè)人信息保護(hù)法(草案)》。2020年10月21日，中國(guó)人大網(wǎng)公布《個(gè)人信息保護(hù)法(草案)》(以下簡(jiǎn)稱“《草案》”)，向社會(huì)公開(kāi)征求意見(jiàn)，意見(jiàn)反饋時(shí)間截至2020年11月19日。

《草案》吸收了《網(wǎng)絡(luò)安全法》《消費(fèi)者權(quán)益保護(hù)法》《廣告法》《電子商務(wù)法》《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》《電信和互聯(lián)網(wǎng)用戶個(gè)人信息保護(hù)規(guī)定》《信息技術(shù)安全個(gè)人信息安全規(guī)范》等法律文件對(duì)個(gè)人信息保護(hù)的相關(guān)規(guī)定，并結(jié)合實(shí)踐經(jīng)驗(yàn)，同時(shí)吸收GDPR等國(guó)際經(jīng)驗(yàn)，形成了一部相對(duì)完善的立法草案。總體而言，《草案》主要有六大亮點(diǎn)。

一、適用范圍：明確域外適用效力

《草案》第三條指出，該法適用于組織、個(gè)人在中國(guó)境內(nèi)處理自然人個(gè)人信息的活動(dòng)。該條明確域外適用效力，當(dāng)中國(guó)境外處理中國(guó)境內(nèi)自然人個(gè)人信息的活動(dòng)，具備下列情形之一的，也適用《草案》：

“(一)以向境內(nèi)自然人提供產(chǎn)品或者服務(wù)為目的;

(二)為分析、評(píng)估境內(nèi)自然人的行為;

(三)法律、行政法規(guī)規(guī)定的其他情形。”

上述規(guī)定與歐盟的GDPR有著相似之處，GDPR第三條規(guī)定：

“2.本條例適用于在歐盟領(lǐng)域內(nèi)沒(méi)有設(shè)立機(jī)構(gòu)的數(shù)據(jù)控制者或數(shù)據(jù)處理者對(duì)歐盟內(nèi)的數(shù)據(jù)主體的個(gè)人數(shù)據(jù)進(jìn)行的與以下事項(xiàng)相關(guān)的處理活動(dòng)。

(a)向歐盟內(nèi)的數(shù)據(jù)主體提供商品或服務(wù)，無(wú)論是否需要該數(shù)據(jù)主體支付對(duì)價(jià);或

(b)監(jiān)控?cái)?shù)據(jù)主體的行為，只要其行為發(fā)生在歐盟領(lǐng)域內(nèi)。”

同時(shí)，《草案》借鑒GDPR第二條排除了自然人因個(gè)人或家庭事務(wù)而處理個(gè)人信息的法律適用。當(dāng)法律對(duì)各級(jí)人民政府及其有關(guān)部門(mén)組織實(shí)施的統(tǒng)計(jì)、檔案管理活動(dòng)中的個(gè)人信息處理有規(guī)定時(shí)，應(yīng)當(dāng)優(yōu)先適用該特殊規(guī)定。

二、激發(fā)活力：增加個(gè)人信息處理合法性基礎(chǔ)

“告知-同意”仍是個(gè)人信息處理的重要規(guī)則，《草案》第二章“個(gè)人信息處理規(guī)則”的大部分規(guī)定可以說(shuō)都是“告知-同意”規(guī)則的細(xì)化或延伸。“告知-同意”規(guī)則要求處理個(gè)人信息的同意，應(yīng)當(dāng)由個(gè)人在充分知情的前提下，自愿、明確作出意思表示。法律、行政法規(guī)規(guī)定處理個(gè)人信息應(yīng)當(dāng)取得個(gè)人單獨(dú)同意或者書(shū)面同意的，從其規(guī)定。《草案》延續(xù)了《信息安全技術(shù)個(gè)人信息安全規(guī)范》(GB/T35273-2020)(以下簡(jiǎn)稱“《個(gè)人信息安全規(guī)范》”)的很多要求，具體可參考下列對(duì)比表格，在此不再贅述。

但《草案》對(duì)已公開(kāi)的個(gè)人信息的處理規(guī)則，相較《個(gè)人信息保護(hù)規(guī)范》將個(gè)人信息已公開(kāi)視為獲取同意的豁免條件不同，其第二十八條規(guī)定，個(gè)人信息處理者處理已公開(kāi)的個(gè)人信息，應(yīng)當(dāng)符合該個(gè)人信息被公開(kāi)時(shí)的用途;超出與該用途相關(guān)的合理范圍的，應(yīng)當(dāng)依照本法規(guī)定向個(gè)人告知并取得其同意。個(gè)人信息被公開(kāi)時(shí)的用途不明確的，個(gè)人信息處理者應(yīng)當(dāng)合理、謹(jǐn)慎地處理已公開(kāi)的個(gè)人信息;利用已公開(kāi)的個(gè)人信息從事對(duì)個(gè)人有重大影響的活動(dòng)，應(yīng)當(dāng)依照本法規(guī)定向個(gè)人告知并取得其同意。

立法者亦已逐漸意識(shí)到“告知-同意”規(guī)則的不足，《民法典》第一千零三十六條在“自然人或者其監(jiān)護(hù)人同意”上增加了“合理處理該自然人自行公開(kāi)的或者其他已經(jīng)合法公開(kāi)的信息”與“為維護(hù)公共利益或者該自然人合法權(quán)益”兩種個(gè)人信息處理合法性基礎(chǔ)，首次在法律層面上對(duì)未經(jīng)同意合法處理個(gè)人信息的情形作出規(guī)定。

《草案》在此基礎(chǔ)上，吸收《個(gè)人信息安全規(guī)范》等規(guī)范內(nèi)容，對(duì)“告知-同意”規(guī)則進(jìn)行一定程度的弱化，其第十三條增加了數(shù)項(xiàng)合法性基礎(chǔ)，一定程度上放寬了個(gè)人信息的處理限制，有利于平衡個(gè)人信息保護(hù)和利用間的利益沖突，激發(fā)數(shù)字經(jīng)濟(jì)創(chuàng)新活力。

三、有序流動(dòng)：構(gòu)建個(gè)人信息跨境流動(dòng)制度

《草案》首次在法律層面構(gòu)建了相對(duì)全面的個(gè)人信息跨境流動(dòng)制度。與國(guó)家互聯(lián)網(wǎng)信息辦公室2019年發(fā)布的《個(gè)人信息出境安全評(píng)估辦法(征求意見(jiàn)稿)》不同，《草案》沒(méi)有要求所有個(gè)人信息跨境流動(dòng)活動(dòng)均需經(jīng)過(guò)安全評(píng)估。《草案》以分級(jí)分類管理思想設(shè)計(jì)了一個(gè)相對(duì)寬松的個(gè)人信息跨境流動(dòng)制度。

《草案》原則上要求國(guó)家機(jī)關(guān)處理的個(gè)人信息以及關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者和處理個(gè)人信息達(dá)到國(guó)家網(wǎng)信部門(mén)規(guī)定數(shù)量的個(gè)人信息處理者在中國(guó)境內(nèi)收集和產(chǎn)生的個(gè)人信息存儲(chǔ)在境內(nèi)。但在確需向境外提供的情況下，國(guó)家機(jī)關(guān)處理的個(gè)人信息應(yīng)當(dāng)進(jìn)行風(fēng)險(xiǎn)評(píng)估;而關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者和處理個(gè)人信息達(dá)到國(guó)家網(wǎng)信部門(mén)規(guī)定數(shù)量的個(gè)人信息處理者在中國(guó)境內(nèi)收集和產(chǎn)生的個(gè)人信息則需先通過(guò)國(guó)家網(wǎng)信部門(mén)組織的安全評(píng)估。此處的“風(fēng)險(xiǎn)評(píng)估”應(yīng)與《草案》第五十四條的“風(fēng)險(xiǎn)評(píng)估”涵義相同。但“風(fēng)險(xiǎn)評(píng)估”和“安全評(píng)估”的具體操作流程和標(biāo)準(zhǔn)如何，兩者是否需一并進(jìn)行還有待后續(xù)規(guī)定的進(jìn)一步明確。

其他個(gè)人信息處理者在至少滿足以下一項(xiàng)條件的情況下，可向中國(guó)境外提供個(gè)人信息：

(一)按照國(guó)家網(wǎng)信部門(mén)的規(guī)定經(jīng)專業(yè)機(jī)構(gòu)進(jìn)行個(gè)人信息保護(hù)認(rèn)證;

(二)與境外接收方訂立合同，約定雙方的權(quán)利和義務(wù)，并監(jiān)督其個(gè)人信息處理活動(dòng)達(dá)到本法規(guī)定的個(gè)人信息保護(hù)標(biāo)準(zhǔn);

(三)符合中國(guó)締結(jié)或者參加的國(guó)際條約、協(xié)定中對(duì)向中國(guó)境外提供個(gè)人信息規(guī)定的;

(四)因國(guó)際司法協(xié)助或者行政執(zhí)法協(xié)助，需要向中國(guó)境外提供個(gè)人信息，經(jīng)有關(guān)主管部門(mén)批準(zhǔn)的;

(五)法律、行政法規(guī)或者國(guó)家網(wǎng)信部門(mén)規(guī)定的其他條件。

此外，《草案》明確了個(gè)人信息跨境數(shù)據(jù)流動(dòng)的限制情形：

(一)境外的組織、個(gè)人從事?lián)p害中國(guó)公民的個(gè)人信息權(quán)益，或者危害中國(guó)國(guó)家安全、公共利益的個(gè)人信息處理活動(dòng)的，國(guó)家網(wǎng)信部門(mén)可以將其列入限制或者禁止個(gè)人信息提供清單，予以公告，并采取限制或者禁止向其提供個(gè)人信息等措施;

(二)任何國(guó)家和地區(qū)在個(gè)人信息保護(hù)方面對(duì)中國(guó)采取歧視性的禁止、限制或者其他類似措施的，中國(guó)可以根據(jù)實(shí)際情況對(duì)該國(guó)家或者該地區(qū)采取相應(yīng)措施。

四、保障權(quán)利：明確個(gè)人信息主體權(quán)利

上述權(quán)利在《民法典》《電子商務(wù)法》《網(wǎng)絡(luò)安全法》等法律中均有部分體現(xiàn)，《草案》在前述規(guī)定基礎(chǔ)上，進(jìn)一步構(gòu)筑更為全面的個(gè)人信息主體權(quán)利體系，有利于個(gè)人信息主體主張權(quán)利，并在遭受侵害時(shí)捍衛(wèi)自身權(quán)益。《草案》第六十五條規(guī)定，因個(gè)人信息處理活動(dòng)侵害個(gè)人信息權(quán)益的，按照個(gè)人因此受到的損失或者個(gè)人信息處理者因此獲得的利益承擔(dān)賠償責(zé)任;個(gè)人因此受到的損失和個(gè)人信息處理者因此獲得的利益難以確定的，由人民法院根據(jù)實(shí)際情況確定賠償數(shù)額。個(gè)人信息處理者能夠證明自己沒(méi)有過(guò)錯(cuò)的，可以減輕或者免除責(zé)任。

個(gè)人信息處理者應(yīng)當(dāng)針對(duì)個(gè)人信息主體的各項(xiàng)權(quán)利，建立相應(yīng)的申請(qǐng)受理和處理機(jī)制。拒絕個(gè)人行使權(quán)利的請(qǐng)求的，應(yīng)當(dāng)說(shuō)明理由。

五、促進(jìn)合規(guī)：增強(qiáng)個(gè)人信息處理者責(zé)任

《草案》增加了數(shù)項(xiàng)個(gè)人信息處理的合法性基礎(chǔ)，其中，“為訂立或者履行個(gè)人作為一方當(dāng)事人的合同所必需”一項(xiàng)提高了個(gè)人信息處理者處理個(gè)人信息的自由度，與之相對(duì)地，個(gè)人信息處理者亦需承擔(dān)更為嚴(yán)格的個(gè)人信息保護(hù)責(zé)任。

六、加強(qiáng)監(jiān)管：國(guó)家機(jī)關(guān)的權(quán)力與義務(wù)

不同行業(yè)的個(gè)人信息保護(hù)有著不同的特點(diǎn)和需求，《草案》沒(méi)有一刀切地將個(gè)人信息保護(hù)職責(zé)單獨(dú)賦予某一部門(mén)，而是由國(guó)家網(wǎng)信部門(mén)負(fù)責(zé)統(tǒng)籌協(xié)調(diào)個(gè)人信息保護(hù)工作和相關(guān)監(jiān)督管理工作。國(guó)務(wù)院有關(guān)部門(mén)依照本法和有關(guān)法律、行政法規(guī)的規(guī)定，在各自職責(zé)范圍內(nèi)負(fù)責(zé)個(gè)人信息保護(hù)和監(jiān)督管理工作。同時(shí)，按照國(guó)家有關(guān)規(guī)定，確定縣級(jí)以上地方人民政府有關(guān)部門(mén)的個(gè)人信息保護(hù)和監(jiān)督管理職責(zé)，從而形成了一個(gè)以行業(yè)為橫軸的，從中央到地方的個(gè)人信息保護(hù)監(jiān)管體系。在要求個(gè)人信息處理者加強(qiáng)內(nèi)部個(gè)人信息保護(hù)制度建設(shè)的基礎(chǔ)上，從外部施加監(jiān)管壓力，促進(jìn)個(gè)人信息處理者落實(shí)個(gè)人信息保護(hù)要求。

《草案》也設(shè)置了較為嚴(yán)格的法律責(zé)任條款。根據(jù)《草案》第六十二條，違反規(guī)定處理個(gè)人信息，或者處理個(gè)人信息未按照規(guī)定采取必要的安全保護(hù)措施的，由履行個(gè)人信息保護(hù)職責(zé)的部門(mén)責(zé)令改正，沒(méi)收違法所得，給予警告;拒不改正的，并處一百萬(wàn)元以下罰款;對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處一萬(wàn)元以上十萬(wàn)元以下罰款。而情節(jié)嚴(yán)重的，由履行個(gè)人信息保護(hù)職責(zé)的部門(mén)責(zé)令改正，沒(méi)收違法所得，并處五千萬(wàn)元以下或者上一年度營(yíng)業(yè)額百分之五以下罰款，并可以責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、通報(bào)有關(guān)主管部門(mén)吊銷相關(guān)業(yè)務(wù)許可或者吊銷營(yíng)業(yè)執(zhí)照;對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處十萬(wàn)元以上一百萬(wàn)元以下罰款。有前述違法行為的，將依照有關(guān)法律、行政法規(guī)的規(guī)定記入信用檔案，并予以公示。

《草案》還明確了可以提起公益訴訟的主體，個(gè)人信息處理者違反本法規(guī)定處理個(gè)人信息，侵害眾多個(gè)人的權(quán)益的，人民檢察院、履行個(gè)人信息保護(hù)職責(zé)的部門(mén)和國(guó)家網(wǎng)信部門(mén)確定的組織可以依法向人民法院提起訴訟。個(gè)人信息保護(hù)公益訴訟在實(shí)踐中已有案例，比如2020年3月12日，虹口檢察院針對(duì)兩起教育培訓(xùn)行業(yè)從業(yè)人員侵犯公民個(gè)人信息案件提起刑事附帶民事公益訴訟，為個(gè)人信息保護(hù)的公益訴訟作出有益探索。在信息主體和企業(yè)的場(chǎng)景中，個(gè)人信息主體往往作為消費(fèi)者使用企業(yè)提供的產(chǎn)品或服務(wù)，在此過(guò)程中也面臨著個(gè)人信息侵害風(fēng)險(xiǎn)。將各級(jí)消費(fèi)者權(quán)益保護(hù)協(xié)會(huì)亦可成為消費(fèi)者集體的代言人，針對(duì)企業(yè)在個(gè)人信息保護(hù)方面存在的不當(dāng)行為提起公益訴訟，彌補(bǔ)個(gè)人信息主體的弱勢(shì)地位結(jié)語(yǔ)。

《個(gè)人信息保護(hù)法(草案)》從源頭上賦予了自然人各項(xiàng)個(gè)人信息權(quán)利，明確個(gè)人信息處理者義務(wù)，并加強(qiáng)國(guó)家機(jī)關(guān)監(jiān)管，我國(guó)個(gè)人信息保護(hù)立法已經(jīng)走出了重要一步。

我們建議個(gè)人信息處理者不僅應(yīng)密切關(guān)注《草案》制定的后續(xù)動(dòng)態(tài)，還應(yīng)積極投入到《草案》的意見(jiàn)征求環(huán)節(jié)之中。同時(shí)早作準(zhǔn)備，參照《草案》目前的要求對(duì)本個(gè)人信息處理者內(nèi)部的個(gè)人信息保護(hù)情況進(jìn)行摸底和前期評(píng)估，以有效應(yīng)對(duì)《個(gè)人信息保護(hù)法》及各項(xiàng)配套措施的出臺(tái)及實(shí)施。