个人信息保护法对企业的要求
个人信息保护法对企业的要求
一、法律背景与立法目的
个人信息保护法于2021年11月1日起正式施行，是我国个人信息保护领域的专门法律。该法的立法目的是保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用。个人信息保护法的出台，为企业收集、存储、使用、加工、传输、提供、公开、删除等全生命周期的个人信息处理活动确立了明确的法律规则和合规要求。
二、个人信息处理的核心原则
个人信息保护法确立了个人信息处理应当遵循的基本原则。合法正当必要原则，处理个人信息应当具有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式。公开透明原则，个人信息处理者应当公开个人信息处理规则，明示处理的目的、方式和范围。目的限制原则，收集个人信息应当限于实现处理目的的最小范围，不得过度收集个人信息。准确性原则，应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。存储限制原则，除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。
三、告知同意规则
告知同意是个人信息保护法的核心制度。个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知以下事项：个人信息处理者的名称和联系方式；个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；个人行使权利的方式和程序；法律、行政法规规定应当告知的其他事项。个人信息的处理应当在充分知情的前提下自愿、明确作出同意。对于敏感个人信息的处理，需要取得个人的单独同意。个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，但处理个人信息属于提供产品或者服务所必需的除外。
四、敏感个人信息的特别保护
个人信息保护法对敏感个人信息作出了专门规定。敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。处理敏感个人信息应当具有特定的目的和充分的必要性，采取严格的保护措施，并且取得个人的单独同意。处理敏感个人信息还应当向个人告知处理敏感个人信息的必要性和对个人权益的影响。
五、自动化决策的规范
随着算法和大数据技术的广泛应用，自动化决策已经成为个人信息处理的重要方式。个人信息保护法对利用个人信息进行自动化决策作出了专门规范。个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供拒绝的方式。作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝仅通过自动化决策的方式作出决定。
六、个人信息处理者的义务
个人信息保护法对个人信息处理者设定了全面的义务。制定内部管理制度和操作规程，明确个人信息保护负责人，对个人信息实行分类管理。采取相应的加密、去标识化等安全技术措施，合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训。制定并组织实施个人信息安全事件应急预案。定期对其个人信息处理活动开展合规审计。对处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向境外提供个人信息等高风险处理活动，事先进行个人信息保护影响评估。
七、个人信息跨境提供的规则
个人信息保护法对个人信息的跨境提供作出了专门规定。个人信息处理者因业务需要确需向境外提供个人信息的，应当具备下列条件之一：通过国家网信部门组织的安全评估；经专业机构进行个人信息保护认证；按照标准合同与境外接收方订立合同；法律、行政法规或者国家网信部门规定的其他条件。向境外提供个人信息的，应当向个人告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使权利的方式和程序等事项，并取得个人的单独同意。
八、个人在个人信息处理活动中的权利
个人信息保护法赋予了个人在个人信息处理活动中广泛的权利。知情权与决定权，个人有权决定其个人信息的处理目的、方式和范围。查阅权与复制权，个人有权向个人信息处理者查阅、复制其个人信息。更正权与补充权，个人发现其个人信息不准确或者不完整的，有权请求更正、补充。删除权，在法定情形下，个人有权请求删除其个人信息。解释说明权，个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。投诉举报权，个人有权向有关部门投诉举报个人信息处理活动中的违法行为。
九、法律责任与处罚
个人信息保护法规定了严格的法律责任。违反法律规定处理个人信息，或者处理个人信息未履行法定保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得；拒不改正的，处以罚款。情节严重的，处以更高额度的罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照。对直接负责的主管人员和其他直接责任人员处以罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。侵害个人信息权益造成损害的，依法承担民事赔偿责任。构成犯罪的，依法追究刑事责任。
十、企业合规实施要点
面对个人信息保护法的全面要求，企业应当尽快建立个人信息保护合规体系。确定个人信息保护负责人和负责机构，建立个人信息保护组织架构。全面梳理企业内部涉及个人信息处理的业务场景和流程，建立个人信息处理台账。建立告知同意机制，确保个人信息的收集和使用符合法定要求。建立个人权利响应机制，确保个人能够便捷地行使法定权利。建立个人信息安全事件应急响应机制，发生泄露事件能够及时处理并报告。定期开展个人信息保护合规审计和影响评估，持续改进合规水平。
北京企密安信息安全技术有限公司为企业提供个人信息保护合规建设一站式服务，包括合规差距分析、制度建设、技术方案设计、员工培训、合规审计等。如需了解更多信息，请拨打010-63711822或访问baomiwang.com。
FAQ: 问：企业需要处理不满十四周岁未成年人的个人信息时，应当注意哪些事项？ 答：不满十四周岁未成年人的个人信息属于敏感个人信息，需要特别的保护。企业处理此类信息应当取得未成年人的父母或者其他监护人的同意，并制定专门的未成年人个人信息处理规则。处理目的应当具有特定的目的和充分的必要性，采取严格的保护措施。建议企业在设计面向未成年人的产品和服务时，尽量采用匿名化或者去标识化的方式处理个人信息。北京企密安可为企业提供未成年人个人信息保护的专项合规服务。
问：企业如果发生个人信息泄露事件，应当如何处理？ 答：根据个人信息保护法的规定，企业发生个人信息泄露事件后，应当立即采取补救措施，防止损失扩大，并通知履行个人信息保护职责的部门和个人。通知应当包括以下内容：发生或者可能发生个人信息泄露的原因、可能造成的危害、企业采取的补救措施和个人可以采取的减轻危害的措施、企业的联系方式。如果企业能够采取措施能够有效避免信息泄露造成危害的，可以不通知个人，但应当向主管部门报告。北京企密安可为企业提供个人信息安全事件应急响应的预案制定和演练支持服务，详情请咨询010-63711822。
