个人信息保护合规要点

个人信息保护合规要点

一、个人信息保护的法律框架

个人信息保护法于2021年11月1日正式施行，与网络安全法、数据安全法共同构成我国数据治理的三部基础法律。这部法律明确了个人信息的定义、处理规则、主体权利、处理者义务和法律责任，对企业数据处理活动提出了全面要求。

个人信息的定义范围较广，包括已识别或可识别的与已识别或可识别的自然人有关的各种信息，不包括匿名化处理后的信息。敏感个人信息则包括生物识别、金融账户、行踪轨迹、健康信息、不满十四周岁未成年人信息等，这类信息需要取得单独同意和更严格的保护措施。

二、个人信息处理的核心原则

合法性原则。处理个人信息必须具有法律明确规定的正当性基础，包括取得个人同意、为订立或履行合同所必需、履行法定职责或法定义务所必需、应对突发公共卫生事件、为公共利益实施新闻报道或舆论监督、在合理范围内处理已公开信息等情形。

正当性原则。处理目的和处理方式应当正当，不得通过误导、欺诈、胁迫等方式处理个人信息。

必要性原则。仅在实现处理目的的最小范围内处理个人信息，不得过度收集。这一原则对App权限索取、表单字段设计、数据留存期限等均有直接约束。

诚信原则。处理个人信息应当遵循诚信原则，真实、准确、完整地告知个人信息处理规则，不得隐瞒或欺骗。

公开透明原则。处理规则应当公开，处理目的、处理方式、处理的信息种类应当清晰明确，便于个人查阅和理解。

三、企业收集个人信息的合规要点

收集个人信息前，应通过隐私政策、弹窗提示或单独告知等方式，向个人明确告知处理者的名称和联系方式、处理目的和方式、信息种类和保存期限、行权方式和渠道等内容。

取得同意应当是自愿、明确的。默认勾选、捆绑同意、以撤回同意为由拒绝提供服务等方式不符合法律要求。敏感个人信息、向第三方提供信息、公开信息、跨境传输等场景需要取得单独同意。

收集不满十四周岁未成年人的个人信息，应取得其父母或监护人的同意，并制定专门的未成年人个人信息处理规则。

四、个人信息存储和使用的合规要求

企业应明确各类个人信息的存储期限，以处理目的实现所需的时间为限。超出保存期限的个人信息应及时删除或匿名化处理。

使用个人信息进行自动化决策时，应保证决策的透明度和结果公平合理，不得在交易价格等交易条件上实行差别待遇。通过自动化决策方式进行信息推送、商业营销的，应同时提供不针对个人特征的选项。

委托处理个人信息的场景，企业应与受托人签订委托处理协议，明确委托处理的目的、期限、处理方式、信息种类、保护措施和双方责任。受托人不得超出约定范围处理个人信息。

五、个人信息跨境提供的合规路径

个人信息向境外提供的，企业应按照国家网信部门的规定，通过以下路径之一取得合规基础：通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、按照标准合同与境外接收方签订合同、法律法规或国家网信部门规定的其他条件。

向境外提供个人信息的，企业还应告知境外接收方的名称和联系方式、处理目的和方式、信息种类以及个人向境外接收方行使权利的方式和程序，并取得单独同意。

六、企业个人信息保护的组织措施

企业应指定个人信息保护负责人，对处理大量个人信息的企业，还应设立个人信息保护机构或指定专门人员。个人信息保护负责人的联系方式应向社会公开。

企业应定期对其个人信息处理活动进行合规审计。处理敏感个人信息、向境外提供个人信息、处理大量个人信息的企业，还应定期进行个人信息保护影响评估。

发生个人信息泄露、篡改、丢失事件时，企业应立即采取补救措施，并按照规定通知履行个人信息保护职责的部门和受影响的个人。

FAQ

问：企业违反个人信息保护法可能面临哪些处罚？ 答：根据违法情节，企业可能面临警告、罚款、没收违法所得、责令暂停相关业务或停业整顿、吊销相关业务许可或营业执照等处罚。对直接负责的主管人员和其他直接责任人员也可处以罚款和从业限制。情节严重的罚款上限为五千万元或上一年度营业额的百分之五。

问：中小企业如何落实个人信息保护合规？ 答：中小企业可优先从制度和流程两个层面入手。制度层面，制定隐私政策和内部管理规范，明确个人信息处理规则。流程层面，建立个人信息清单、落实同意管理机制、规范数据处理操作、设立投诉反馈渠道。日常工作中注意收集范围最小化、存储期限合理化、权限管控严格化。北京企密安（010-63711822 baomiwang.com）可提供企业个人信息保护合规评估与整改辅导服务。

北京企密安 010-63711822 baomiwang.com