《个人信息保护法（草案）》已提请全国人大常委会审议

2021年3月4日下午3时，中国人民政治协商会议第十三届全国委员会第四次会议在人民大会堂开幕。2021年3月5日上午，十三届全国人大四次会议于北京召开。一如往年，今年的两会代表和政协委员们围绕“个人信息安全和隐私保护”话题提出了多重角度的思考和建议。
全国政协会议新闻发言人郭卫民介绍称，党和政府对个人信息安全和隐私保护问题十分重视，目前《个人信息保护法（草案）》已提请全国人大常委会进行审议，这一法律的颁布和实施，将对保护个人信息安全发挥重要作用。
2020年10月21日，“中国人大网”公布了经第十三届全国人大常委会第二十二次会议一审审议的《个人信息保护法（草案）》（以下简称“《草案》”）全文，并向社会公开征求意见。《草案》的出台预示了我国即将迈入个人信息保护专门立法、统一规范的新时代。《草案》作为我国针对个人信息保护的专门性立法，继承了《民法典》所设立的基本原则且有所突破，与《网络安全法》、《数据安全法（草案）》等专门法律各有侧重，相互支持，同时也对此领域的规章制度、国家标准等形成上位指导。《草案》全文八章七十条，汲取了包括欧盟《通用数据保护条例》（“GDPR”）等域外先进的立法经验，采取符合我国现阶段实际情况的立法路径，以保护个人信息权益、规范个人信息处理活动、保障个人信息依法有序自由流动、促进个人信息合理使用为立法宗旨，规定了个人、企业、国家机关多主体对个人信息保护的权利/权力与义务。
《草案》发布当天，我们在《个人信息保护法（草案）》十一大亮点面面观中对草案内容进行了全面评析，并总结了包含“域外适用效力”、“多重设置合法基础”以及“首次提出单独同意和书面同意要求”等在内的十一大亮点。
整体来看，《草案》体现出如下特点：
（一）明确适用范围和立法目的：从个人信息、处理等核心概念到适用地域范围的界定，紧扣保护个人信息权益，规范个人信息处理活动，保障个人信息依法有序自由流动，促进个人信息合理利用的立法目的；
（二）以风险为导向，健全个人信息处理规则：确立了个人信息保护的细化原则，贯穿个人信息处理的全生命周期，明确除同意之外的多个合法基础，针对向第三方提供个人信息、公开、处理敏感个人信息等风险较高的场景提出取得单独同意等更严格的法定要求；
（三）完善个人信息跨境提供规则：在考虑到与《网络安全法》进行衔接的同时，明确个人信息本地化和跨境提供的义务，较之以往的征求意见稿规定，降低对于低风险个人信息跨境提供的要求，对于违法的境外主体以及国家和地区，提出明确的惩罚和反制措施；
（四）顺应数字经济的发展趋势，关注新业态的发展，并对自动化决策等的新问题作出适应性调整，创造性地深化公开数据的利用规则，响应疫情期间大数据监控等新情况对于保护自然人权益的新要求；
（五）切实保护自然人在个人信息处理活动中的权益，加深个人信息处理者的义务：与相关法律规定有机衔接的基础上，《草案》明确在个人信息处理活动中自然人的各项权利，并要求个人信息处理者建立个人行权和处理机制；要求个人信息处理者承担合规管理和数据安全义务，不仅体现在组织架构的设置上，而且对不同场景下的内部制度和流程合规提出具体要求。
《草案》的颁布和实施，宣告我国个人信息保护立法“民法典-个人信息保护法-各项规范标准”三维体系的建立，不仅填补了立法空白，而且对于企业数据合规工作开展建立了牢固的法律基础。