《中華人民共和國(guó)個(gè)人信息保護(hù)法（草案）》附全文PDF下載

數(shù)據(jù)主體授權(quán)同意的新要求

對(duì)于必須征得數(shù)據(jù)主體同意的情況，《個(gè)人信息保護(hù)法（草案）》規(guī)定，應(yīng)由個(gè)人在充分知情的前提下，自愿、明確作出意思表示。


這似乎與GDPR相似，后者在第4條第11款中的將同意定義為“數(shù)據(jù)主體依照其意愿自愿做出的、具體的、知情的及明確的確認(rèn)意思表示。并且該意思表示通過(guò)聲明或明確肯定的行為作出，以表明其同意對(duì)其相關(guān)的個(gè)人數(shù)據(jù)進(jìn)行處理?！?/font>

個(gè)人敏感信息

根據(jù)《個(gè)人信息保護(hù)法（草案）》，在處理敏感個(gè)人信息（例如種族、國(guó)籍、宗教信仰、生物特征信息、醫(yī)療健康信息、金融賬戶信息和個(gè)人行蹤等信息）時(shí)，信息處理者要承擔(dān)更高的合規(guī)義務(wù)。


《個(gè)人信息保護(hù)法（草案）》規(guī)定，必須具有特定的目的和充分的必要性時(shí)，方可處理敏感個(gè)人信息。收集敏感個(gè)人信息之前需要取得個(gè)人的單獨(dú)同意，并且信息處理者在處理敏感個(gè)人信息之前必須進(jìn)行風(fēng)險(xiǎn)評(píng)估。

跨境信息提供

根據(jù)《個(gè)人信息保護(hù)法（草案）》，信息處理者因業(yè)務(wù)等需要，確需向境外提供個(gè)人信息的，必須至少具備下列一項(xiàng)條件：

• 如果信息處理者被劃為關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者或者處理的個(gè)人信息超過(guò)國(guó)家網(wǎng)信部門(mén)規(guī)定的數(shù)量時(shí)，傳輸之前需要對(duì)信息處理進(jìn)行安全評(píng)估，但相關(guān)法律法規(guī)另有規(guī)定的除外；或者
• 如果信息處理者不屬于上述類別，可以安排跨境信息傳輸經(jīng)由專業(yè)機(jī)構(gòu)認(rèn)證，或者可以與外國(guó)信息接收者達(dá)成協(xié)議，約定雙方的權(quán)利和義務(wù)及對(duì)位于中國(guó)境外的信息接收者進(jìn)行監(jiān)督，確保處理符合《個(gè)人信息保護(hù)法（草案）》中要求的保護(hù)標(biāo)準(zhǔn)。
  

《個(gè)人信息保護(hù)法（草案）》規(guī)定，可以對(duì)損害中國(guó)公民個(gè)人信息權(quán)的外國(guó)組織或個(gè)人或?qū)χ袊?guó)的個(gè)人信息保護(hù)實(shí)施不合理制裁的外國(guó)國(guó)家采取某些反制措施。

自動(dòng)化決策


時(shí)下為了提高效率、開(kāi)發(fā)新業(yè)態(tài)，用戶畫(huà)像和自動(dòng)化決策被廣泛用于各種業(yè)務(wù)場(chǎng)景中，但由于個(gè)人數(shù)據(jù)可能會(huì)被濫用，這些新技術(shù)新應(yīng)用也可能產(chǎn)生隱私隱患。


《個(gè)人信息保護(hù)法（草案）》試圖在新技術(shù)新應(yīng)用和個(gè)人信息保護(hù)之間取得適當(dāng)?shù)钠胶?。草案?guī)定信息處理者必須保證自動(dòng)化決策的透明度和結(jié)果的公正性。如果信息主體的權(quán)利和利益受到自動(dòng)化決策的重大影響的，有權(quán)要求信息處理者予以說(shuō)明，并有權(quán)拒絕自動(dòng)化決策。


《個(gè)人信息保護(hù)法（草案）》還規(guī)定，通過(guò)自動(dòng)化決策方式向信息主體進(jìn)行商業(yè)營(yíng)銷、信息推送，應(yīng)當(dāng)同時(shí)提供不針對(duì)其個(gè)人特征的選項(xiàng)。

處罰和責(zé)任


《個(gè)人信息保護(hù)法（草案）》中最引人注意的一項(xiàng)規(guī)定就是強(qiáng)化了對(duì)違法行為的執(zhí)法力度。企業(yè)違反草案法律要求的，最高可被處以人民幣五千萬(wàn)元（約760萬(wàn)美元）或者上一年度營(yíng)業(yè)額百分之五以下的行政罰款外加民事賠償，對(duì)直接負(fù)責(zé)的主管人員和其他責(zé)任人處以最高人民幣一百萬(wàn)元（約152,000美元）的罰款。


《個(gè)人信息保護(hù)法（草案）》還規(guī)定，中國(guó)監(jiān)管機(jī)構(gòu)將采用黑名單系統(tǒng)，損害中國(guó)公民權(quán)利或國(guó)家安全或公共利益的組織或個(gè)人將列入黑名單并予以公示。

對(duì)企業(yè)的影響

在大數(shù)據(jù)時(shí)代，數(shù)據(jù)重要性日益凸顯。數(shù)據(jù)作為許多企業(yè)最重要的資產(chǎn)，為眾多企業(yè)帶來(lái)巨大機(jī)遇同時(shí)，也帶來(lái)了合規(guī)性挑戰(zhàn)。近年來(lái)，中國(guó)數(shù)據(jù)法律體系發(fā)展迅速，在數(shù)據(jù)和網(wǎng)絡(luò)安全領(lǐng)域頒布了多項(xiàng)重要法律法規(guī)。《個(gè)人信息保護(hù)法》實(shí)施后，將成為一項(xiàng)重要的國(guó)家級(jí)層面法律，對(duì)各行各業(yè)跨國(guó)公司和國(guó)內(nèi)企業(yè)產(chǎn)生重大和深遠(yuǎn)的影響。

很多企業(yè)已在處理大量隱私數(shù)據(jù)，且這個(gè)數(shù)量可能會(huì)繼續(xù)呈指數(shù)增長(zhǎng)。在本地、云或混合IT環(huán)境中識(shí)別個(gè)人信息，并根據(jù)信息類型實(shí)施安全策略非常具有挑戰(zhàn)性。為了高效滿足隱私及合規(guī)性要求，許多組織廣泛采用技術(shù)解決方案：

通過(guò)自動(dòng)化工具使用正則表達(dá)式、文本相似度和算法識(shí)別隱私數(shù)據(jù)，在數(shù)據(jù)上打上自定義標(biāo)簽、標(biāo)志或注釋，并可應(yīng)用于UI、報(bào)告或API調(diào)用。

將存儲(chǔ)在不安全位置或大批用戶可訪問(wèn)的敏感數(shù)據(jù)進(jìn)行自動(dòng)隔離，在公司做出深思熟慮的整改方案之前，最大程度減少其暴露。

將隱私工具集成到更全面的數(shù)據(jù)安全平臺(tái)中。整合的方案能夠提供補(bǔ)充行為報(bào)告并提供持續(xù)的審核和監(jiān)督，簡(jiǎn)化數(shù)據(jù)管理。

通過(guò)數(shù)據(jù)清理工具清除隱私信息，永久刪除不必要的數(shù)據(jù)。

《個(gè)人信息保護(hù)法（草案）》新增加了某些重要法定義務(wù)，強(qiáng)化了企業(yè)的合規(guī)責(zé)任，提高對(duì)違法行為的處罰力度。這些都清楚地表明了中國(guó)政府加強(qiáng)個(gè)人信息保護(hù)、打擊和懲戒違法的明確態(tài)度。在新的監(jiān)管環(huán)境下，企業(yè)根據(jù)不斷發(fā)展的法律要求，積極制定或更新其數(shù)據(jù)合規(guī)和風(fēng)險(xiǎn)管理策略，已成為當(dāng)務(wù)之急。

一個(gè)值得注意的方面是，《個(gè)人信息保護(hù)法（草案）》中有相當(dāng)多的內(nèi)容與GDPR的規(guī)定相似，這充分彰顯中國(guó)立法者的務(wù)實(shí)和開(kāi)放的態(tài)度。對(duì)于熟悉GDPR或已經(jīng)按照GDPR進(jìn)行數(shù)據(jù)合規(guī)管理的跨國(guó)公司或中國(guó)“出?！逼髽I(yè)來(lái)說(shuō)，這些舉措可以協(xié)助企業(yè)降低合規(guī)成本，有助于企業(yè)的中國(guó)業(yè)務(wù)和海外業(yè)務(wù)的進(jìn)一步融合。

《個(gè)人信息保護(hù)法（草案）》的公開(kāi)征求意見(jiàn)于2020年11月19日截止。據(jù)估計(jì)，中國(guó)立法機(jī)關(guān)將會(huì)加快立法進(jìn)程。鑒于本法的重要性，強(qiáng)烈建議企業(yè)密切關(guān)注立法動(dòng)態(tài)，為即將到來(lái)的《個(gè)人信息保護(hù)法》做好準(zhǔn)備。