「委托处理、对外提供、公开披露个人信息」的合规要点

《个人信息保护法》、 GB/T 35273—2020 《信息安全技术个人信息安全规范》（简称「安全规范」）等，对个人信息处理者在进行个人信息收集、存储、使用、加工、传输、提供、公开、删除等处理活动，进行了严格规定，处理者未履行个人信息保护义务的，将可能被处五千万元以下或者上一年度营业额百分之五以下罚款、吊销相关业务许可或者吊销营业执照等。
企业在实际业务中，经常涉及个人信息的「委托处理、对外提供、公开披露」，且该类行为对个人权益影响重大，企业应如何确保该类行为合法合规、有效履行个人信息保护义务呢？
本文将结合监管规则与实践经验，对合规要点进行总结分析。
同时，我们将「委托处理、对外提供、公开披露个人信息」的合规要点整理进 iLAW 合规平台自研的 PIA 评估工具，方便企业进行自评自检，将风险降到最低。欢迎大家扫描文末二维码申请体验 PIA 自动化评估系统。

1. 委托处理：是指个人信息处理者委托第三方代为处理个人信息，比如将信息委托给第三方进行广告分析、使用分析、学术研究和调查等。
2. 对外提供：是指个人信息处理者向其他个人信息处理者提供其处理的个人信息，根据《安全规范》，主要包括共享、转让 等 3 种方式。
① 转让：是将个人信息控制权由一个控制者向另一个控制者转移（比如在企业收购、兼并、重组、破产时，将所收集的个人信息转让给第三方）。
② 共享：是个人信息控制者向其他控制者提供个人信息，且双方分别对个人信息拥有独立控制权的过程（比如企业将收集的个人信息，共享给关联公司使用；或将个人信息出售给第三方，并同时保留控制权）。
③ 公开披露：是指个人信息处理者向社会或不特定人群，公开披露、发布个人信息的行为（比如将用户的个人昵称、头像、简介等信息在可公开检索平台上披露，又如因新闻报道，将个人信息在公开网络平台发布）。

1. 目的需明确、合理、必要
根据《个人信息保护法》第 6 条规定「处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。」
该规定要求企业对自身业务及处理行为具备清晰的认知，企业在进行「委托处理、对外提供、公开披露个人信息」前，均应考虑该处理行为的必要性，及处理目的是否明确、合理，有无其他可替代方式；并全面评估处理行为可能给个人带来的不利影响，采取充分保护措施。
2. 具备合法性基础
处理个人信息，需具备合法性基础，即是否满足《个人信息保护法》第十三条的任一规定：
1. 取得个人的同意；
2. 为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
3. 为履行法定职责或者法定义务所必需；
4. 为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
5. 为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
6. 依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
7. 法律、行政法规规定的其他情形。
依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
因此，企业若非基于第（二）至（七）项，委托处理、转让、共享、公开个人信息的，需事先取得个人同意。
3. 充分告知，并获得授权同意
如前文说述，若无其他合法依据，企业将个人信息进行委托处理、转让、共享、公开披露的，需事先将相关情况充分告知个人信息主体，并获得明确同意。注意要点包括：
① 告知同意内容
根据《个人信息保护法》第十七条， 在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：
a. 处理者的名称或者姓名、联系方式；
b. 处理目的、处理方式、个人信息种类、保存期限；
c. 行使个人权利的方式和程序；
d. 法律、行政法规规定应当告知的其他事项。
e. 前款规定事项发生变更的部分。
除以上内容外，「委托处理个人信息」时，需事先向个人信息主体告知个人信息的「保护措施」、委托方与受托方的「权利义务」，以及「接收方的类型、名称、联系方式、处理目的、处理方式和范围」等。
「共享、转让个人信息」的，还需告知「可能产生的后果」；共享、转让内容涉及敏感个人信息的，还需提前告知「数据接收方的身份」和「数据安全能力」。
因此，实践中，企业应关注告知内容的全面性、准确性，避免遗漏与片面
② 告知同意方式
a. 公开且便于查阅、保存
在上述个人信息处理活动中，如「委托处理个人信息」，企业若通过《隐私政策》等个人信息处理规则履行告知义务的，《隐私政策》披露的内容应当全面完整、字体应当清晰准确，且不得默认勾选。
此外，《隐私政策》应当公开，并且便于查阅和保存。例如，在用户注册、访问、登陆前，以弹窗方式，设置隐私政策，并经阅读、勾选后，方可进入具体产品界面。
b. 单独同意
根据《个人信息保护法》第二十五条、二十三条规定，「共享、转让、公开个人信息」的，均需取得个人单独同意。
企业除通过《隐私政策》等个人信息处理规则统一向个人信息主体披露告知内容外，还需通过弹窗等方式，单独告知并经过个人信息主体明示同意。
此外，若「委托处理」涉及敏感个人信息、跨境传输德，也同样需取得个人单独同意。
例如，某社交软件在支付场景中，因实名认证，需收集用户个人姓名、身份证号、身份证照片信息，并将该信息提供给支付公司，以完成支付、提现等功能。为此，除了在《隐私政策》中统一披露前文所述的告知内容外，还需在具体场景中以弹窗方式单独告知，并取得明示同意。
如下图：

▲合规示例：收集敏感个人信息获得单独同意
4. 个人信息保护影响评估
根据《个人信息保护法》第五十五条 ，以及国标 GB/T39335—2020 《信息安全技术个人信息安全影响评估指南》（简称「评估指南」）规定，企业在委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息前，应进行个人信息保护影响评估（即PIA评估），并对处理情况进行记录，以识别上述处理行为的合规差距，及时发现和处置个人权益影响风险。
有关 PIA 评估要点、难点、智能评估全流程等内容，可参见《PIA个人信息保护影响评估要点与难点（附模版）》、《企业如何实现PIA智能评估》。
5. 个人信息安全与监督
企业除需自身具备个人信息保护能力外，还需确保受托人/接受方具备同等水平的保护能力，并对其个人信息处理活动进行监督，主要包括：
a. 安全能力尽责调查
《个人信息保护法》第五十一条，规定了个人信息处理者保护个人信息安全的义务，企业需采取措施确保个人处理活动合法合规， 并防止个人信息泄露、篡改、丢失等情况。相关措施包括：
1. 制定内部管理制度和操作规程；
2. 对个人信息实行分类管理；
3. 采取相应的加密、去标识化等安全技术措施；
4. 合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；
5. 制定并组织实施个人信息安全事件应急预案；
6. 法律、行政法规规定的其他措施。
因此，在个人信息委托处理、共享、转让活动中，受托人/接收方需继续履行个人信息处理者的义务。企业在进行上述活动前，应对受托方/接收方进行全面尽责调查，包括资质、制度体系、网络安全等级、技术措施及有效性、应急预案等，以确保个人信息在委托、共享、转让后的安全。
b. 个人信息保护监督
① 合同约束
根据《个人信息保护法》、《安全规范》等规定，企业在进行个人信息委托处理、共享、转让时，应当与受托人/接收方约定个人信息处理的目的、期限、处理方式、个人信息的种类、保护措施、双方的权利义务等，以便对受托人/接受人的个人信息处理活动进行监督。
② 合规审计
在「委托处理个人信息」活动中，除通过合同方式进行监督外，企业还可建立合规审计机制，监测记录受托人处理个人信息的情况，例如是否按约定及法律规定履行个人信息保护义务、制度落实情况、安全措施有效性等，并准确记录和存储审计内容。
③ 情况记录
根据监管规定，在「委托处理、共享、转让、公开个人信息」活动中，企业需建立记录机制，全面、准确记录各项处理活动情况，包括进行「个人信息委托、共享、转让、公开」的日期、规模、目的、范围，以及数据受托方/接收方基本情况等。以实现对处理行为的长期、动态监测，有效控制处理风险。
④ 风险处置
企业在发现受委托人/接收方未按照要求处理个人信息，或未能有效履行个人信息安全保护责任的，应及时采取措施，有效控制风险，包括：
1. 立即要求接收方停止相关行为；
2. 采取或要求接收方采取有效补救措施（如更改口令、回收权限、断开网络连接等）；
3. 必要时，解除与接收方的业务关系，并要求及时删除个人信息。
此外，若出现委托合同不生效、无效、被撤销或者终止等情况，企业应当要求受托人将个人信息返还或者予以删除，不得保留。
对于公开披露个人信息，企业应严格把控公开信息的类型，除获得个人明确同意外，且不应涉及个人生物识别信息，或涉及我国公民的种族、民族、政治观点、宗教信仰等个人敏感数据的分析结果。
6. 个人权利响应
《个人信息保护法》保障个人信息主体的知情决定权，包括对个人信息对查阅、复制、修正、补充、删除、销毁等，企业在「委托处理、共享、转让、公开个人信息」活动中，需确保个人权利得到及时、有效的响应，可通过合同方式，约定受托人/接收方响应个人权利的义务和具体操作要求，同时在机制上，确保处理过程的畅通和有效性。
以上为企业在「委托处理、对外提供、公开披露个人信息」处理活动中，需重点关注的合规要点。
目前，我们已在 iLAW 数据合规- PIA 自动化评估系统上线了「委托处理、对外提供、公开披露个人信息」的评估模版，欢迎大家扫描下方二维码申请体验。