个人信息保护法企业合规要点

个人信息保护法企业合规要点

中华人民共和国个人信息保护法自2021年11月1日起施行，是我国个人信息保护领域的专门性法律。该法对个人信息处理活动作出了全面规范，明确了个人在个人信息处理活动中的权利，对企业的合规工作提出了系统要求。北京企密安为企业提供个人信息保护法合规方面的专业支持。

个人信息保护法第四条明确，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。

个人信息保护法确立的七项基本原则贯穿个人信息处理的全过程。一是合法正当必要原则，处理个人信息应当具有明确合理的目的，并与处理目的直接相关。二是诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。三是目的限制原则，处理个人信息应当限于实现处理目的的较小范围，不得过度收集个人信息。四是公开透明原则，应当公开个人信息处理规则，明示处理的目的、方式和范围。五是准确原则，应当保证个人信息的质量。六是权责一致原则，个人信息处理者应当对其个人信息处理活动负责。七是安全保障原则，应当采取必要措施保障个人信息的安全。

个人信息保护法第十三条规定了个人信息处理的七种合法性基础。取得个人同意是常见的合法性基础。同时还包括：为订立履行个人作为一方当事人的合同所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为，在合理范围内处理个人信息；依照本法规定在合理范围内处理已公开的个人信息；法律法规规定的其他情形。

处理敏感个人信息需要履行更加严格的告知义务和取得单独同意。敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。

个人信息保护法赋予个人七项权利。一是知情权，个人有权知悉其个人信息被处理的目的、方式和范围。二是决定权，个人有权限制或者拒绝他人对其个人信息进行处理。三是查阅复制权，个人有权向个人信息处理者查阅、复制其个人信息。四是更正权，个人发现其个人信息不准确或者不完整的，有权请求更正、补充。五是删除权，在特定情形下，个人有权请求删除其个人信息。六是要求解释说明权，个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。七是请求转移权，个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。

企业对个人信息保护影响评估的义务，个人信息保护法第五十五条作出了明确规定。有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估：处理敏感个人信息；利用个人信息进行自动化决策；委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；向境外提供个人信息；其他对个人权益有重大影响的个人信息处理活动。

个人信息保护法对自动化决策作出了专门规定。个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。

个人信息跨境提供规则方面，个人信息保护法第三十八条至第四十三条作出了系统性规定。个人信息处理者因业务需要确需向境外提供个人信息的，应当具备下列条件之一：通过国家网信部门组织的安全评估；经专业机构进行个人信息保护认证；按照标准合同与境外接收方订立合同；法律法规或者国家网信部门规定的其他条件。

个人信息保护法还加强了对大型互联网平台的监管。提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务：按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督；遵循公开公平公正的原则，制定平台规则，明确平台内产品或者服务处理个人信息的规范和义务；对严重违反法律法规处理个人信息的平台内的产品或者服务提供者，停止提供服务；定期发布个人信息保护社会责任报告。

法律责任方面，个人信息保护法规定了严格的处罚措施。违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务。情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。

企业开展个人信息保护合规建设，应当重点做好个人信息处理规则的制定和公开、个人同意的获取和管理、处理活动的台账登记、影响评估的定期开展、安全事件的应急预案和报告等工作。企业应当建立常态化的个人信息保护工作机制，将合规要求融入产品和服务的全生命周期。

北京企密安建议企业从组织体系、制度体系、技术体系和应急体系四个层面系统推进个人信息保护法合规建设，确保个人信息处理活动符合法律规定。

问答

问：个人信息保护法对个人同意有哪些具体要求？ 答：个人同意应当由个人在充分知情的前提下自愿明确作出。同意应当具体明确，不能以默示方式推定同意。对于敏感个人信息的处理、向他人提供个人信息、公开个人信息等情形，需要取得个人的单独同意。个人有权撤回其同意，个人信息处理者应当提供便捷的撤回同意的方式。个人撤回同意不影响撤回前基于个人同意已进行的个人信息处理活动的效力。

问：企业如何界定敏感个人信息范围并采取保护措施？ 答：企业应当对处理的个人信息进行全面梳理和分类，识别其中是否包含生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息。对于敏感个人信息，应当采取更严格的保护措施，包括取得个人单独同意、进行个人信息保护影响评估、实施加密和去标识化处理、限制访问权限、建立专门的保护制度等。企业应当建立敏感个人信息台账，定期评估处理活动的必要性和安全性。北京企密安 010-63711822 baomiwang.com