bifa必发集团

自《数据安全法》出台实施后，11月1日即今天，《中华人民共和国个人信息
；しā氛绞┬，标志着我国数据安全和个人信息
；ひ呀爰喙苄率贝。对企业而言，如何遵循法律要求开展合规工作，bifa必发集团科技高级数据安全咨询顾问将从企业合规角度浅谈需关注要点与合理化建议。

《个人信息
；しā基本情况概述

《个人信息
；しā肥俏夜志梅晒娣兜闹匾蹇，作为我国第一部专门针对个人信息
；さ南低承浴⒆酆闲苑，该法为维护个人信息权益，规范个人信息活动，促进个人信息的合理应用提供明确的法律依据，其三审稿中所增加“根据《宪法》制定本法”条款，表明：我国将个人信息受
；さ娜ɡ嵘痢肮易鹬睾捅Ｕ先巳ā钡母叨。

该法落地，将与《网络安全法》、《数据安全法》，在国家总体安全观框架下，以《中华人民共和国国家安全法》为龙头，并驾齐驱，构成相互协调的、有机、统一的中国网络数据法律体系框架。

早在2003年起，我国个人信息
；ち⒎ㄏ喙乜翁饪粞芯苛⑾，伴随移动互联网应用普及，各类个人信息泄漏事件频频爆出（典型如徐玉玉事件），立法进程加速推进：《全国人大关于加强网络信息
；さ木龆ā罚2012年），《网络安全法》（2016年）、《电子商务法》（2017）陆续出台
；《消费者权益
；しǎㄐ薅罚2013）、《刑法修正案》（九）（2015）、《民法总则》（2017）、《民法典人格权编》（2020）等传统法律制定、修订工作对个人信息
；は喙靥蹩罱胁钩，这些立法中积累的个人信息
；ぬ蹩钜参吨谢嗣窆埠凸鋈诵畔⒈
；しā返牧⒎ê统鎏ㄊ凳┨峁┝朔岣坏牧⒎ㄖ妇楹涂煽炕。

相对于其它法律，《个人信息
；しā犯嘁浴案鋈诵畔⒋碚摺蔽诵墓嬷浦魈，强调了个人信息包括电子以及其他载体形式的个人信息（在数字化的大背景下，毫无疑问电子信息是种类最多的一种个人信息），对处理个人信息的各项活动规则和边界进行划定，明确强化了个人信息处理者的义务与责任。同时，确立了以“告知——同意”为核心的个人信息处理规则，落实国家机关
；ぴ鹑，加大对违法行为的惩处力度。《中华人民共和国个人信息
；しā11月1正式生效施行，企业需要针对自身业务是否合规进行自检是必要的，如存在风险需尽快弥补相关风险。

《个人信息
；しā五大要点聚焦

《个人信息
；しā犯鋈诵畔⒌亩捞匦

随着数字经济发展战略上升为国家战略，个人信息资产在生产生活中所具有重要经济价值和社会价值不断凸显，个人信息不仅是自身的数据资产，也是外界主动连接信息主体的窗口。通过问题看本质，我们发现在现实生活中不少企业、机构等主体从商业利益等角度出发滥用个人信息，甚至利用个人信息侵扰个人的生活安宁乃至生命财产安全等。

因此，个人信息实际区别于一般信息，它的独特之处在于，具有财产性的同时又蕴含信息主体的人格性。如果任由他者在自然人不知情、不同意或无力阻止的情况下处理其个人信息，就会将自然人个人信息所蕴含的财产性与人格性至于他者支配之下，可能让自然人在生产生活等社会活动中居于不平等地位，从国家层面来讲，也不利于盘活数字经济价值大方向的良性发展。

《个人信息
；しā犯鋈诵畔⑷ㄈ妨

《中华人民共和国个人信息
；しā饭娑ǜ鋈诵畔⑷ǖ娜ɡ魈逯荒芪匀蝗，个人信息权的义务主体为个人信息处理者（如：机构、企业、个人）。其中：

●  权利主体有关乎个人信息的知情权、同意权、查阅权、删除权、更正权、补充权等权利内容，知情权、同意权实际是行使个人信息权
；せ频目，促使个人可以介入到其个人信息的处理活动中，并知晓其信息的使用目的、可能产生的后果以及为保障其信息安全所采用的必要
；ご胧，同时也是对个人信息处理者是否要对其信息进行处理作出同意、拒绝或限制的判断依据。同样，为保障个人对个人信息的唯一所有权，个人也有权对处理过程中的个人信息进行查阅、复制、更正、删除权力。

●  义务主体（个人信息处理者）进行个人信息收集、处理、使用及存储的过程中遵守法律所规定的程序流程，达到法律所要求的的硬性条件，首先，义务主体需要履行告知义务，在进行个人信息收集时，个人信息处理者必需向权力主体告知其身份、收集信息、目的、处理过程、利用时间、利用空间、利用人员及利用后可能对个人信息产生的后果等内容。其次，对信息处理和使用需在权力主体同意的前提下进行。

《个人信息
；しā犯鋈诵畔⒃じ兄揽

《中华人民共和国个人信息
；しā诽岢鲂枰愿鋈诵畔⒈焕挠盟赡懿那痹诜缦战蟹婪，避免防范潜在威胁转化为现实中个人的人格隐私被侵害、经济财产受到损失的严重后果。因此，该法体现出一种前置性
；す娣，更加突出了个人信息
；さ脑は确揽，如在个人信息被处理所产生的利益层面，通过知情权、同意权，自然人应有权知道其信息被处理所产生的利益并决定是否同意这一利益的发生。在隐私利益上，对个人信息权重蕴含的人格利益的
；，避免因个人信息处理行为导致人格受损。

《个人信息
；しā犯鋈诵畔⒈
；ぴ

个人信息
；ぴ蚴导适歉梅ǖ暮诵哪谌，通过该法中涉及的权利主体、义务主体、
；ざ韵蠼蟹治，我们认为可将《中华人民共和国个人信息
；しā范愿鋈诵畔⒈
；ぴ蚍治阂话阍颉⒑诵脑蛄椒矫。

● 在一般原则中，该法要求个人信息处理行为必须明确、合理，在此基础上个人信息处理者可直接向个人收集信息且处理该信息用于特定目的，但个人信息处理者需公开个人信息在处理环节的情况，并
；じ鋈诵畔⒌陌踩，自然人可更正其中不确定、不完整的部分
；

● 在核心原则中，本法将“告知——同意”的个人信息自决原则确立为核心原则，以个人信息权中的知情权、同意权为基础进行展开，使个人自己决定要向外界哪个主体、何种原因告知关乎自己的哪些信息，促使个人在个人信息中处于主动控制和利用自身信息的主导地位，避免他者擅自利用他人的个人信息进行不法侵害。针对于个人敏感信息（如：虹膜信息、个人行踪信息等），发生泄漏或被非法使用对个人造成严重影响的，使个人遭受歧视、财产损失等相关信息，该法要求一般需要个人的单独同意，但有些特定情形下的“告知——同意”的个人信息自决原则例外（如：公共卫生事件、突发紧急情况、公共利益事件等）可按照一般原则进行处理。

《个人信息
；しā诽逑值姆稍鹑

目前，个人信息处理者在对个人信息进行处理时，利益驱动更为强烈。该法除对个人与个人信息处理者权力关系的一系列设定外，引入了以国家网信部门为主体的信息
；ぶ霸鸩棵，建立健全个人信息
；せ。

通过对该法法律责任章节进行分析，我们发现对个人行使权力的申请受理机制进行了规定，应以简单便捷确保个人在个人信息处理中各项权利的有效行使，维护个人相关利益
；判断个人信息处理者是否达到法律法规规定的条件，并对个人信息处理者进行风险评估（包括：自我评估、职责部门评估、委托第三方评估）
；对个人信息
；ぴ诖泶锏焦娑ㄊ，需要指定个人信息
；じ涸鹑耍ㄔ鹑蔚饺耍，监管个人信息处理活动依规开展情况。

在职责层面，赋有对个人信息
；さ牟棵判枰愿鋈诵畔⒋碚呓行逃⒅傅技喽，并提供信息
；て拦篮腿现し务
；在事后补救层面，制定补救措施，可及时查明信息发生泄漏或者被非法使用的原因，尽可能减轻所产生的对个人权益的损害
；在追责层面，赋有个人信息
；ぶ霸鸩棵趴啥云浣芯妗⒄摹⒚皇铡⒎？睢⒓锹夹庞玫蛋浮⒌跸滴裥砜伞⒌跸抵凑盏瘸头４胧，当情节严重、侵害了众多个人权益的，人民检察院、履行个人信息
；ぶ霸鸩棵拧⒐彝虐炜商崞鹈袷录靶淌滤咚，来维护个人信息主体合法权益。

基于《个人信息
；しā纺诤企业应重点强化内容

《中华人民共和国个人信息
；しā飞┬，标志着我国对个人信息的立法
；し矫嫔仙搅诵碌母叨，作为“个人信息处理者”的企业同样有了法律上的“新的任务”，我们认为需要以该法律为个人信息安全抓手，在制度完备性、个人信息分类分级及权限管理、个人信息安全
；ご胧⒏鋈诵畔踩逃嘌怠⒏鋈诵畔踩录应急制度、个人信息事前风险评估义务上建立符合法律要求的个人信息及数据合规体系。

制度完备性

● 首先，制定符合企业内部个人信息相关制度，包括：对个人信息收集传输及处理制度、个人用户信息收集及处理制度、个人信息安全
；ぶ贫取⑿畔⒎旨斗掷喙芾碇贫取⒏鋈诵畔⒎缦掌拦乐贫取⑸蠹浦贫鹊，使其具有合规性、可行性、完备性，全面覆盖企业各个业务条线
；

● 其次，制定个人信息数据全生命周期操作流程，使其与建立的内部制度互相辅助，并在流程中注意严格的权限管理
；

● 再次，当个人信息达到一定数量时，落实个人信息
；じ涸鹑耸蛊淇稍鹑蔚饺，由其进行相关工作的统筹和管理，有必要时可考虑成立相关部门，专门负责建立内部合规管理制度和相关措施，并负责推进制度及措施的实施。

个人信息分类分级

● 首先，摸清家底、了解现状、梳理企业信息库存，梳理清楚企业拥有哪些个人信息（包括外部个人信息、内部个人信息）、承载个人信息数据位于何处、数据如何流动等
；

● 其次，明确所需个人信息，以“个人权益影响最小”为原则，尽可能多的去除非必要信息
；

● 再次，对个人信息进行分类分级、处理权限划分等，当需要处理个人信息时进行比对，确定处理个人信息级别及权重。

建立相应
；ご胧

● 企业需要采用安全技术措施来对个人信息进行
；，可采用建立访问控制、审计、匿名化（使个人信息主体无法被识别或者关联，处理后的信息不能被复原）、加密、去标识化（对标识进行处理，处理后的信息无法识别到特定个人信息主体的数据处理方式）等技术对个人信息开展防护。

持续开展个人信息安全教育培训

● 以假定“敌已在内、敌将在内”为核心，持续定期开展全员个人信息安全教育培训，树立安全意识，明确各自权限及边界，防止人为造成数据泄露。

建立个人信息安全事件应急机制

● 企业应当针对个人信息安全事件定期开展应急演练，并形成应急预案，持续动态进行预案调整，不断排除针对个人信息的安全风险。

个人信息事前风险评估

● 企业针对个人信息的事前风险评估设定为一项经常性工作，将其制度化、常态化，风险评估报告应涵盖个人信息种类、数量、收集、存储、使用、委托、提供等情况及可能面对的风险和应对措施，持续保证评估质量的情况下尽量实现高效、快捷。