中国迈入个人信息保护新纪元：《个人信息保护法》的分析与解读

2021年8月20日，第十三届全国人大常委会第三十次会议审议通过并公布了《中华人民共和国个人信息保护法》（以下简称“《个保法》”），该法将于2021年11月1日起生效。
信息化时代下，个人信息保护一方面已成为广受公民关注的极为迫切的现实问题，另一方面也与企业发展、社会稳定、国家安全密切相关。为回应社会关切，维护国家安全与利益，促进各行业、领域健康有序发展，我国不断完善网络数据方面的立法。除《网络安全法》、《数据安全法》等网络数据方面的专门立法外，《消费者权益保护法》、《民法总则》（以及2020年颁布的《民法典》）等中也均增添了有关个人信息保护的条款。然而这些条款间的关联较为松散，各有其侧重，无法构成完整的个人信息保护体系。
2018年9月，《个保法》被正式列入立法规划，历经三年间的多次审议修订最终落地。至此，网络数据法律方面最为重要的三块拼图《网络安全法》、《数据安全法》、《个人信息保护法》终于集齐，一柄完善而有力的个人信息保护伞正在徐徐展开。
《个保法》共计八章七十四条，在系统整合先前散见于各法规中的个人信息保护相关规定的基础上，进一步强调了个人信息保护的权利和义务，回应了社会关注的热点问题，实现了个人信息权益保护与促进数据合理利用的平衡。《个保法》的重点内容主要如下。
一 、适用范围与基本原则
《个保法》第三条第一款规定：“在中华人民共和国境内处理自然人个人信息的活动，适用本法。”由此明确了《个保法》适用的属地原则，要求境内外所有主体在中国境内开展个人信息处理活动均应遵守《个保法》的规定。
同时，同条第二款则在属地原则的基础上拓宽适用范围，规定了三种域外管辖的例外情形：
其一，以向境内自然人提供产品或者服务为目的；
其二，为分析、评估境内自然人的行为；
其三，法律、行政法规规定的其他情形。
为此，《个保法》还专门规定了境外的个人信息处理者的境内专门机构或指定代表设立义务和相关信息报送义务（第五十三条），以及从事侵害中国公民个人信息权益、危害中国国家安全和公共利益的个人信息处理活动的制裁措施（第四十二条）。
为准确适用《个保法》，该法明确了“个人信息”以及“个人信息的处理”这两个重要概念。《个保法》第四条规定 “个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”经过《网络安全法》以及《民法典》的理论与实践探索，《个保法》最终确立了“识别+关联”的个人信息认定标准，降低了个人信息的认定难度。另一方面，《个保法》将“匿名化处理后的信息”排除在个人信息之外，适当地限制了个人信息的范围，为合理的信息处理活动预留了一定的空间，有利于促进数据的合理使用。
对于“个人信息的处理”，相较于《网络安全法》将“处理”置于与“收集”“存储”“传输”“交换”同一层级内（第七十六条），《个保法》则与《民法典》的有关规定相切合，将“处理”变为了“收集”“存储”“使用”“加工”“传输”“提供”“公开”“删除”等行为的上位概念（第四条第二款）。此外，《个保法》在二审稿的个人信息处理范围基础上新增了“删除”行为，体现了《个保法》对个人信息全生命周期保护的完善与强化。
《个保法》第五至九条明确了个人信息处理的五项基本原则。其一，合法、正当、必要和诚信原则（第五条）；其二，目的明确合理、直接相关、最小必要原则（第六条）；其三，公开、透明原则（第七条）；其四，准确完整原则（第八条）；其五，必要措施保障原则（第九条）。
其中，合法、正当、必要和诚信原则是《个保法》的首要原则，是开展个人信息处理的基础和前提，体现了自《网络安全法》、《民法典》一以贯之的对网络数据的合法性要求。同时，相较于二审稿，《个保法》将“必要性”由第六条提前至第五条，凸显了立法者对个人信息处理必要性的重视，与《民法典》“处理个人信息的，应当遵循合法、正当、必要原则”之规定相呼应（第一千零三十五条）。
此外，《个保法》第六条在要求目的明确合理、处理行为与处理目的直接相关外，从两方面规定了个人信息处理的“最小必要”。一是处理个人信息应采取对个人权益影响最小的方式；二是不得过度收集个人信息，收集个人信息应限于实现处理目的的最小范围。“不得过度收集个人信息”是《个保法》的新增内容，主要针对近年来各部门监管实践中频繁出现的应用程序（APP）过度收集用户个人信息问题予以规范。为实现对应用程序有效监管，《个保法》同时新增了第六十一条和第六十六条对监管部门赋予测评职权与义务，对违法应用程序课以法律责任。
二、个人信息处理基本规则
承继于《网络安全法》，《个保法》第十三条第（一）项、第十四条、第十五条、第十七条共同构建了“告知—同意”这一信息处理核心法律基础。个人信息处理者应在处理个人信息前以显著方式，清晰易懂地向个人告知相关事项，并要保证告知的真实性、准确性和完整性。《个保法》相较于二审稿增加了对告知真实性、准确性和完整性的要求，以防个人信息处理者在告知时采用诸如“包括但不限于”等概括性表述，从而获取未经明示的不确定信息。而同意则应当由个人在充分知情的前提下自愿、明确作出，且该同意可被撤回。个人信息处理者应当提供便捷的撤回同意的方式。
同时，《个保法》又突破了“告知—同意”这一核心个人信息处理法律基础，列举了个人信息处理者可以处理个人信息的其他六种情形（第十三条）：
其一，为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
其二，为履行法定职责或者法定义务所必需；
其三，为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
其四，为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
其五，依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
其六，法律、行政法规规定的其他情形。
以人力资源管理为法律基础的规定为《个保法》在二审稿基础上的新增内容，该规定保障了企业的人力管理需求，为企业收集、处理员工个人信息提供了更为简捷的合规路径。
此外，《个保法》在个人信息处理一般规定中还针对六大场景作出具体规定。
其一，在共同处理场景下，个人信息处理者应约定各自的权利和义务。若其个人信息处理行为侵害个人信息权益造成损害，个人信息处理者则应依法承担连带责任。
其二，在委托处理场景下，委托人与受托人之间应当明确约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施、双方的权利和义务等。委托人应承担对受托人的监督义务，而受托人在遵守约定的基础上，还应履行其安全保障义务与协助义务（第五十九条）。
其三，在个人信息转移场景下，转移方应当向个人告知接收方的名称或者姓名、联系方式。接收方应继续履行个人信息处理者的义务，若要改变处理目的、方式等则应重新取得个人同意。
其四，在向其他个人信息处理者提供个人信息的场景下，提供方应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应在上述约定范围内处理个人信息，若要改变处理目的、方式等则应重新取得个人同意。
其五，在自动化决策场景下，个人信息处理者应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。自动化决策是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。该规定与《国务院反垄断委员会关于平台经济领域的反垄断指南》相呼应，系诚信原则的体现，意在整治“大数据杀熟”乱相。但《个保法》中并未明确解释何为“合理”，何为“差别待遇”，因此企业在利用自动化决策机制时，应当关注各地有关部门出台的相关监管要求或标准以及今后的执法实践。同时，《个保法》要求通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。
其六，在公共采集场景下，公共场所内安装的图像采集、个人身份识别设备应当设置显著的提示标识，其所收集的信息若未取得个人单独同意仅能用于维护公共安全。
而针对生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等与个人人格尊严以及生命、财产安全密切相关的敏感个人信息，《个保法》对其处理作出了特殊规定。《个保法》对敏感个人信息的处理提出了更高的要求：个人信息处理者必须基于特定目的且具备充分必要性，告知处理敏感信息的必要性以及对个人权益的影响，在严格的保护措施下经过个人的单独同意才可处理敏感个人信息。
值得注意的是，《个保法》相较于二审稿扩大了敏感个人信息的认定范围，与《未成年人保护法》和《儿童个人信息网络保护规定》相协调，将不满十四周岁的未成年人的个人信息也纳入了敏感个人信息范畴中，加大了对其的保护力度，并以取得未成年人监护人的同意作为唯一的法律基础。同时，《个保法》要求处理不满十四周岁未成年人个人信息的个人信息处理者制定专门的个人信息处理规则。这些规定虽有利于规范企业行为，维护未成年人的个人信息权益，但在实际操作中要求面向不特定个人的企业精确识别未成年人身份较为困难，行之有效的识别路径仍有待探索。
此外，《个保法》首次明确将国家机关的个人信息处理活动列入监管范围，要求国家机关应当依照法律、行政法规规定的权限、程序进行，履行告知义务，不得超出必要范围和限度，个人信息境内储存，境外提供须经安全评估等。
三、个人信息跨境提供规则
《个保法》第三十八条第一款要求个人信息处理者处于业务需要向境外提供个人信息需要符合四项法定条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（四）法律、行政法规或者国家网信部门规定的其他条件。与二审稿相比，《个保法》删除了个人信息处理者订立标准合同后监督境外接收方个人信息处理活动达到本法规定的个人信息保护标准的规定，适当地放宽了个人信息跨境提供的限制。同时，第三十八条新增了两款规定。该条第二款为个人信息跨境提供的例外情况，即“中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。”
而第三十八条第三款则与其后的第三十九条、第五十五条共同构成个人信息跨境提供的一般规则，明确了企业等跨境提供个人信息安全保护义务的具体实践要求。个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意，还应事前进行个人信息保护影响评估并采取必要措施，保障境外接收方处理个人信息的活动达到《个保法》规定的个人信息保护标准。
针对关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，《个保法》提出了特殊需求：一是个人信息的境内存储；二是通过国家网信部门组织的安全评估。对于关键信息基础设施运营者的认定，可以参考于2021年7月30日公布的《关键信息基础设施安全保护条例》，各重要行业和领域的关键信息基础设施认定规则将由相关主管部门、监督管理部门制定。
在国际合作层面，为维护国家主权、安全和发展利益，《个保法》在限制跨境提供个人信息的基础上，规定了对外国歧视性措施的反制措施（第四十三条）。
四、个人信息主体权利与个人信息处理者义务
个人信息主体权利是个人信息保护法制中极为重要的内容，《个保法》在第四章中前后赋予了个人信息主体知情权、决定权、限制处理权、拒绝处理权（以上第四十四条）、查阅复制权、可携带权（以上第四十五条）、请求更正补充权（第四十六条）、删除权（第四十七条）以及要求个人信息处理者进行解释的权利。其中，可携带权是《个保法》的新增权利内容，在借鉴国外立法的基础上赋予个人信息主体将其个人信息自由转移至其他个人信息处理者的权利，为用户个人在不同平台间转移个人信息提供极大便利，有助于打破数据垄断、数据孤岛，促进全行业的数据资源流通。但也应注意到，当前有关可携带权的规定仍流于宽泛，其权利内涵及行使条件较为模糊，有待后续立法、司法解释等予以阐明。
为保障个人信息主体的权力行使，《个保法》第五十条第一款要求个人信息处理者建立便捷的个人行使权利的申请受理和处理机制，并新增第二款规定，强调了个人信息主体依法提起诉讼的权利。
针对死者的个人信息，二审稿曾规定：“自然人死亡的，本章规定的个人在个人信息处理活动中的权利，由其近亲属行使。”《个保法》第四十九条则在二审稿的基础上进一步完善：“自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。”该条规定保障了死者近亲属行使有关死者个人信息权利的权利，而其变动意在强调此等权利不得被滥用，死者近亲属的权利主张必须基于合法、正当利益目的。
有关个人信息处理者义务曾散见于《网络安全法》、《民法典》等法律法规以及其他规范性文件、行业标准之中，《个保法》第五章专章将这些义务予以统合，形成了具有普遍性的、系统的法律义务体系，为个人信息处理者提供合规指引。《个保法》中设立的个人信息处理者一般义务主要包括：按照规定采取必要措施以确保个人信息处理活动合规、安全（第五十一条）；定期依法依规进行合规审计（第五十四条）；若要进行对个人权益有重大影响的个人信息处理活动，事前评估个人信息保护影响并记录处理情况（第五十五条、第五十六条）；若发生或可能发生个人信息泄露等安全事件时通知相关部门和个人并立即采取补救措施（第五十七条）。
对于处理个人信息达到国家网信部门规定数量的个人信息处理者以及境外个人信息处理者，《个保法》特别创设了专人负责制度，分别要求两者指定个人信息保护负责人和在中国境内设立专门机构或者指定代表，履行相应的信息公开及报送义务（第五十二条、第五十三条）。
同时基于其对平台内的交易和个人信息处理活动的强大控制力和支配力，《个保法》在第五十八条中还规定了重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者的特殊义务：其一，建立健全个人信息保护合规制度体系；其二，引入外部成员组成独立机构，并监督个人信息处理活动；其三，遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务；其四，履行监督职责，停止向严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者提供服务；其五，定期发布个人信息保护社会责任报告。上述规定体现了近年来相关部门对重要互联网企业的从严监管的趋势，但其中诸如“重要互联网平台服务”的判断标准、“个人信息保护社会责任报告”的撰写、发布要求等仍不明确，有待后续相关机构进行解释、细化。
五、监管执法机制
《个保法》第六章确立了以国家网信部门为中心的个人信息保护监管执法机制：国家网信部门负责统筹协调；国务院有关部门负责具体落实，在各自的职能范围内进行纵向管理；县级以上地方人民政府有关部门依法履行职责（第六十条）。这些部门的职责有五：其一，开展宣传教育，指导监督个人信息保护工作；其二，处理投诉举报；其三，测评个人信息保护情况；其四，调查处理违法行为；其五，其他法定职责（第六十一条）。同时，《个保法》对网信部门统筹协调的范围以及履行个人信息保护职责的部门可采取的行政措施作出了详细规定。
六、法律责任
相较于《网络安全法》《民法典》等，《个保法》制定了更为严格有力的处罚规则，譬如其六十六条为违反《个保法》规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的个人信息处理者设置了三种处罚措施：其一，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；其二，针对情节严重的违法行为，处以大额罚款，并可责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；其三，针对直接负责的主管人员和其他直接责任人员，除罚款外还可决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。此外，《个保法》第六十七条还规定了违法行为记入信用档案的机制。
在民事责任层面，《个保法》第六十九条规定个人信息权益的侵权责任应适用过错推定。处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。而在刑事责任方面，若个人信息处理者违法处理个人信息导致众多个人的权益受损，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。以上规定均强化了个人信息处理者责任，对其个人信息处理活动提出了较高的要求，有利于督促个人信息处理者依法合规开展个人信息处理活动。
综上所述，《个保法》作为保障个人信息权益的基本法（该法第一条新增“根据宪法”之表述以强调个人信息保护的重要意义与地位），其正式出台填补了我国长久以来个人信息保护领域的立法空白，它将与《民法典》《网络安全法》《数据安全法》及其他法规、规范性文件一同构建起较为完善的网络信息数据安全保护体系，标志着我国个人信息保护工作的阶段性成功。《个保法》下，诸多旧有非强制性规范实现了向具有强制性的法律义务的转变，今后相关执法活动将呈现更加深入、严苛的趋势。为避免在个人信息处理活动中出现不合规行为而对业务的正常开展造成重大消极影响，相关企业应充分理解个人信息处理合规的重要地位，积极根据《个保法》的规定作出应对，建立完善个人信息处理合规体系。
有关企业个人信息处理合规的一般性建议如下：
（一）在充分分析活动场景、评估个人信息影响的前提下，构建、调整“告知—同意”机制，开展个人信息处理活动。企业应了解个人信息处理活动的目的、范围和方式以及对个人权益的影响、相关安全风险等，明确相应的个人信息处理法律基础并评估安全防护措施的有效性。在向个人信息主体履行告知义务时，保证法定告知事项的真实性、准确性和完整性，及时修订更新有关个人信息收集处理的同意声明、隐私政策等。完善个人信息处理同意机制设计，增加单独同意机制以及撤回同意机制并保障其易于察觉，操作简单便捷。不以不提供产品或服务为要挟，强迫个人信息主体提供不必要的个人信息。
（二）针对特殊情景和敏感个人信息设立特别机制。企业应在共同处理、委托处理、个人信息转移、向其他个人信息处理者提供个人信息等与第三方合作的特殊情境下，与第三方明确约定个人信息处理的目的、方式、范围等，按照双方各自的角色地位合理划分权利义务并以协议形式予以固定。事前开展个人信息保护影响评估，个人信息处理过程中切实履行监督义务。在自动化决策场景下则应对自动化决策工具的使用持审慎态度，在使用前应进行安全影响评估，并向相关个人信息主体进行说明。通过自动化决策方式向个人进行信息推送、商业营销时，提供不针对其个人特征的选项，或者便捷的拒绝方式。在处理敏感个人信息时，建议分类分级进行收集管理，并着重提供安全保护。针对不满十四周岁的未成年人的个人信息，企业应结合自身情况探索合理的身份识别路径，设置并公布专门的未成年人监护人的同意取得制度。
（三）切实保障个人信息主体权利的行使，并建立便捷的个人行使权利的申请受理和处理机制。针对可携带权，企业应密切关注今后的立法、执法动向，根据行业特点和企业自身特点，建立相应的个人信息转移机制。针对死者亲属对死者个人信息的权利行使，企业也应制定专门的应对方案，提供畅通的权利行使渠道。
（四）完善企业内部的个人信息管理制度。制定内部管理制度和操作规程，实行个人信息分类管理，采取加密、去标识化等安全技术措施，合理确定个人信息处理的操作权限，定期对从业人员进行安全教育和培训，制定并组织实施个人信息安全事件应急预案，定期开展合规审计。处理个人信息达到国家网信部门规定数量的个人信息处理者以及境外个人信息处理者还分别应指定个人信息保护负责人和在中国境内设立专门机构或者指定代表，并履行相应的信息公开及报送义务。重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者则应在建立健全个人信息保护合规制度体系的基础上，引入外部成员组成独立机构以监督个人信息处理活动，制定公平合理的平台规则，履行监督职责，依照有关部门机构的要求撰写并发布社会责任报告。此外，收集员工个人信息时，企业虽无需取得员工同意，但需注意仍要履行告知义务。
对于各项制度的具体构建，可参照《个人信息安全规范》等予以落实。对于个人信息的跨境提供，相关企业应在判断自身性质的基础上遵循《个保法》、《数据安全法》等规定开展活动。同时，参考个人信息出境相关的征求意见稿等文件也可为跨境提供个人信息提供合规参考。涉及汽车、医药、电信等重要行业、领域的企业，则应遵循行业相关专门标准、监管部门的特殊要求等，结合自身行业特点开展合规工作。
《个保法》的公布与实施，正式宣告中国迈入了个人信息保护的新纪元。对于企业而言，要在这一大背景之下，顺势作为，才能行稳致远。