《个人信息保护法》的三大亮点及其影响分析

引言
2021年8月20日，《中华人民共和国个人信息保护法》（以下简称“《个保法》”）正式发布，并将于2021年11月1日正式实施。自此，我国第一部关于个人信息保护的专门法律正式颁布，将对组织和个人处理个人信息的各项活动产生重大影响。《个保法》共八章七十四条，从个人信息处理规则、个人信息跨境提供的规则、个人在个人信息处理活动中的权利、个人信息处理者的义务、履行个人信息保护职责的部门、法律责任等方面对个人信息处理活动进行了规范。与草案二次审议稿相对比，《个保法》主要有三个方面的修改亮点，下文将详细论述。
一、三大亮点及其影响分析
亮点一：进一步完善对自动化决策的规制，企业应结合其他细分领域规则判断“不合理差别待遇”的内涵，加强对后续《个保法》执法实践的关注，降低高额处罚风险
《个保法》第七十三条首先对自动化决策进行了定义：自动化决策是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。其次，《个保法》第二十四条进一步明确，利用个人信息进行自动化决策，不得对个人在交易价格等交易条件上实行不合理的差别待遇。
实践中，企业在评估相关合规风险时面临的首要问题即是判断何为“不合理”、何为“差别待遇”？例如：系统判断某一注册用户是“新客”时，自动向其发放优惠券或提供优惠价格，是否违反该等规定？
《深圳经济特区数据条例》（以下简称“《条例》”）提供了更为细致的指引。《条例》第六十九条规定“市场主体不得利用数据分析，对交易条件相同的交易相对人实施差别待遇，但是有下列情形之一的除外：（一）根据交易相对人的实际需求，且符合正当的交易习惯和行业惯例，实行不同交易条件的；（二）针对新用户在合理期限内开展优惠活动的；（三）基于公平、合理、非歧视规则实施随机性交易的；（四）法律、法规规定的其他情形。前款所称交易条件相同，是指交易相对人在交易安全、交易成本、信用状况、交易环节、交易持续时间等方面不存在实质性差别。”
由此可见，《条例》认为判断交易条件是否“合理”，是否属于“差别待遇”，前提是在“交易条件相同”的交易相对人之间进行判断。《条例》要求对于判断交易条件是否相同，需要从“实质性”差别进行判断。这就给企业在采取差别待遇的合理性，承担有更重的举证责任。对于那些不存在实质性差别的交易中，《条例》明确将交易习惯、行业惯例、新用户、公平合理的随机性交易视为“合理”情形。
至于是否构成差别待遇，《国务院反垄断委员会关于平台经济领域的反垄断指南》（以下简称“《反垄断指南》”）第十七条提供了相应的参考因素，如“（一）基于大数据和算法，根据交易相对人的支付能力、消费偏好、使用习惯等，实行差异性交易价格或者其他交易条件；（二）实行差异性标准、规则、算法；（三）实行差异性付款条件和交易方式。”
《个保法》虽未像《条例》和《反垄断指南》一样，就何为合理、何为差别待遇、何为交易条件相同进行专门定义和列举，但是也为未来的解释留下了更大的空间。这意味着企业未来在使用自动化决策机制时，一方面要了解所在地区的数据监管要求、《反垄断指南》以及相关部门规定进行判断，另一方面也要结合案例和《个保法》的执法实践，进一步指导自身的自动化决策机制是否实质性的造成了“不合理差别待遇”。，我们建议企业参照《条例》与《反垄断指南》的规定，在《个保法》项下对“大数据杀熟”进行抗辩时，应当遵循如下逐层递进的举证与答辩思路：第一、结合具体交易场景，证明交易相对人所处的证明交易条件存在实质性差异；第二、在不存在实质性差异的交易条件下，证明不构成差别待遇；第三，在构成差别待遇的情况下，证明不存在“大数据杀熟”的主观目的，且所实施的差别性待遇是合理的，从而避免触发《个保法》高额的处罚风险（《个保法》第六十六条第二款，5,000万以下或者上一年度营业额5%以下罚款）。
亮点二：将不满十四周岁未成年人的个人信息作为敏感个人信息，企业应及时识别未成年人人群，做好专门的敏感个人信息处理机制
《个保法》第二十八条明确要求将不满十四周岁未成年人的个人信息作为敏感个人信息。根据《个保法》第二节“敏感个人信息的处理规则”，敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。处理不满十四周岁未成年人个人信息的，应当取得未成年人父母或者其他监护人的单独同意。
值得注意的是，因不满十四周岁未成年人的个人信息属于敏感个人信息，个人信息处理者只有在具有特定的目的和充分的必要性、并采取严格保护措施的前提下，方可处理不满十四周岁未成年人的个人信息。同时，处理不满十四周岁未成年人的个人信息的合法性基础仅为“取得个人的同意”。
《个保法》正式施行后，个人信息处理者处理不满十四周岁未成年人个人信息的，应取得未成年人父母或者其他监护人的单独同意，制定专门的个人信息处理规则、告知处理未成年人个人信息的必要性以及对个人权益的影响。针对专门面向不满十四周岁未成年人的个人信息处理者，如相关开发儿童智力教育的APP运营者，履行上述义务并非难事。但对于面向一般大众的个人信息处理者，如何在实践中履行上述义务可能是一个难点。借鉴域外立法经验，如美国的《儿童在线隐私保护规则》（Children’s Online Privacy Protection Act），个人信息处理者可通过年龄筛选的方式确认其收集的信息所属主体的年龄段。该等年龄筛选的方式包括用户自主输入年龄、使用cookie技术追踪用户可能谎报年龄的情形。
考虑到目前智能手机与网络使用者的低龄化趋势十分明显，且教育、娱乐、医疗、旅游等企业领域纷纷推出面向儿童的产品，因此我们建议相关企业需结合具体场景，提出有效识别未成年人用户的方案，并制定有效的敏感个人信息处理合规方案。
亮点三：增加个人信息可携带权的规定，打破“信息孤岛”，有助于数据融合和打通
早在中国人民银行于2019年12月27日发布了《金融消费者权益保护实施办法（征求意见稿）》（以下简称“《办法》”）第三十六条规定，“鼓励金融机构在技术可行的前提下，基于金融消费者的请求，将其金融信息转移至金融消费者指定的其他金融机构。”第一次出现了个人金融信息可携带权的身影，但是该办法正式出台后，该条款并未最终纳入。但是明确了鼓励性原则，并未个人信息处理者的义务，且明确了“技术可行”这样的前提。
《个保法》第四十五条规定：“个人请求将其个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径”。该条明确赋予个人信息主体以个人信息可携带权。而《个保法》第四十五条一定程度上弥补了上述《办法》的遗憾。
个人信息可携带权的提出，丰富了个人信息主体的权利，与《个保法》的第三大立法目的“促进个人信息合理利用”遥相呼应，同时也有“反垄断”，打破“数据孤岛”的积极作用，促进了数据的流动。但是该权利如同“被遗忘权”、“居住权”一样，相关权利的内涵、权利的行使要求以及个人信息处理者的回应，以及不回应后个人信息主体的救济（如，是否可以提起诉讼，案由及裁判规则如何等），仍不清晰。从我们对欧盟《通用数据保护条例》（General Data Protection Regulation,以下简称“GDPR”）的执行情况的了解，该权利也存在“增加企业负担”的负面声音。不过基于我国本土实践，未来通过《个保法》司法解释、监管部门的实施细则、以及相关指导性案例，可以更好落实该权利的实现。
从个人信息可携带权的实现方式来看，其应包含两方面的权利：一是个人信息主体获取个人信息副本的权利；二是个人信息主体要求个人信息处理者A将该个人信息副本传输给个人信息处理者B的权利。那么在可操作性方面，以及个人信息处理者面临个人信息主体行使该权利时，可能产生相关问题，如：
①个人信息主体所获取的个人信息副本，具体包含哪些信息？
②个人信息可携带权实现的前提，是否包括了个人信息处理者处理个人信息的法律基础的所有情形？
③个人信息主体何时可主张可携权？
④个人信息处理者A是否存在合法合理事由（如B是A的竞争对手、涉及A的商业秘密、技术不可行、成本费用不可控等）可以拒绝向个人信息处理者B转移？
⑤个人信息处理者A是否可以向个人收取必要的费用？
⑥如何理解该权利和复制权的关系？
⑦如何避免该权利被个人信息主体滥用？
以个人信息主体可以获取的个人信息副本的范围为例。从获取个人信息副本这一权利角度出发进行探讨，国家标准《信息安全技术个人信息安全规范》（GB/T 35273-2020，以下简称“《个人信息安全规范》”）第8.6款提出了针对性的规范，可供参考，即“根据个人信息主体的请求，个人信息控制者宜为个人信息主体提供获取以下类型个人信息副本的方法，或在技术可行的前提下直接将以下类型个人信息的副本传输给个人信息主体指定的第三方：a)本人的基本资料、身份信息；b)本人的健康生理信息、教育工作信息。”由上述内容可知，《个人信息安全规范》并未对个人信息主体行使获取个人信息副本的权利进行限定，同时在个人信息副本的内容上也仅对可传输类型进行了列举，未进行概括式定义。
而借鉴域外立法经验，如GDPR第20条第一款，可携权所针对的数据需满足两个条件：一是该个人数据与个人信息主体有关，二是该个人数据由个人信息主体提供[2]。从条件二来说,根据第29条工作组（Article 29 Data Protection Working Party）出具的数据可携权指引[3]，个人信息主体提供的信息包括（1）个人信息主体在明知的情况下主动提供的信息，如电子邮箱地址、用户名、年龄等；（2）个人信息主体在使用服务或设备的过程中被观测到的信息（observed data），包括个人信息主体的搜索历史、流量数据、地址数据等。于此相对的，推断数据（inferred data）及派生数据（derived data）是在个人信息主体提供的信息上经数据控制者分析后生成的，如根据个人信息主体的各项基本信息生成的信用评估结果等，则推断数据及派生数据不属于可携权涵盖的个人信息范围。基于个人信息副本所涵盖的信息类型在《个保法》未明确的前提下，我们认为存在向国际立法经验趋近的可能性。
限于篇幅，再以个人信息可携带权的实现的前提条件为例。事实上，欧盟GDPR所设置的可携权并非一个广泛适用的权利。前言中的第68款（Recital 68）及正文第20条第1（a）[1]款、第3款明确说明，用户仅可在两种情形下主张其拥有可携权：一是处理个人数据的法律基础为用户同意；二是处理个人数据的法律基础为履行合同所必须。当数据控制者（data controller）处理个人数据的法律基础为履行其法律义务时，用户无权主张可携权。如金融业机构为履行反洗钱的义务对客户信息进行收集、核验与处理的，客户无权要求金融业机构基于可携权的要求将该部分信息传输给他方。
而《个保法》对于个人信息可携带权的实现前提，是否以其处理个人数据的法律基础为用户同意或者处理个人数据的法律基础为履行合同所必须为前提，相关个人信息可携带权的配套规则，也都未明确。按照正当原则、诚实信用原则，我们认为《个保法》规定的个人信息可携带权并非是一个广泛适用的权利。但最终有待《个保法》司法解释或者实施细则进行明确。
针对个人信息可携带权，对于个人信息处理者A来说，应注意结合立法目的和监管的理解，做好个人信息可携带权的权利实现的规则，在合法合理的范围内，为个人信息主体实现该权利；对于个人信息处理者B来说，个人信息主体行使该权利，有助于其获得更充分的流量，打通大平台和中小平台之间的数据流。例如某公司发生数据删库，基于对A公司的不信任，大量个人信息主体要求将其在A公司的个人信息转移至A公司的竞争对手B公司处。在该案例中，可能会促使数据安全能力更高、品牌度更良好的公司获得更多业务机会。而对于个人信息主体来说，应注意避免滥用该权利，及时了解该权利内涵，避免发生恶意维权事件，导致自身受到治安管理处罚等法律风险。
二、小结
《个保法》的通过，是我国对社会关切的充分回应，同时也为破解个人信息保护中的热点难点问题提供了强有力的保障。在信息处理技术不断发展、个人信息权益受到侵害的情形呈现多样化趋势之时，《个保法》构建以“告知-同意”为核心的个人信息处理规则，完善个人在个人信息处理活动中的各项权利，设专章明确了个人信息处理者的合规管理和保障个人信息安全等义务，对处理敏感个人信息、利用个人信息进行自动化决策、对外提供或公开个人信息等高风险处理活动设置了更严格的义务要求，加大了对违法处理个人信息行为的处罚力度，使得个人信息权益得到了更有力的保护。
[1]the processing is based on consent pursuant to point (a) of Article 6(1) or point (a) of Article 9(2) or on a contract pursuant to point (b) of Article 6(1);
[2]Art.20 (1): The data subject shall have the right to receive the personal dataconcerning him or her, whichheor she has provided to a controller;
[3]WP242 rev.01 Guidelines on the right to data portability;