数字时代下个人信息的“保护神” ——《个人信息保护法(草案)》解读.pdfVIP

数字时代下个人信息的 “保护神”——《个 人信息保护法（草案）》解读 一、出台背景 随着全球网络基础设施的不断完善，移动互联网、物联网、云计 算等服务的普及，世界已步入数字化时代。在数字时代下，数据成为 了关键的生产要素，而其中个人信息占有重要比重。数字诊疗、人脸 识别、人工智能等领域的技术发展给人们生活带来便捷的同时，也使 得个人信息遭受侵害的风险成几何量级增大，导致泄露事件层出不 穷、愈演愈烈。 因此，个人信息保护逐渐成为各国立法机构关注的重要议题。至 今，全球已经有１４０多个国家和地区制定了个人信息保护有关的法 律。２０１８年５月２５日实施的欧盟《通用数据保护条例》（“Ｇ ＤＰＲ”，Ｇｅｎｅｒａｌ Ｄａｔａ Ｐｒｏｔｅｃｔｉｏｎ Ｒ ｅｇｕｌａｔｉｏｎ）独树一帜，成为众多国家立法的重要参考。一 方面是因为ＧＤＰＲ设计了一整套较完备的个人信息保护制度，其中 很多保护原则和理念得到国际认同；另一方面是因为欧盟是一个重要 市场，很多国家（例如，印度）为了促进该国与欧盟之间的数字贸易 发展，不断提高本国的个人信息保护水平，向ＧＤＰＲ的标准看齐。 近年来，我国作为数字经济的大国也在搭建个人信息保护方面的 基本法律框架，其中，《民法典》设立专章规范隐私权和个人信息保 护，《刑法修正案》增加“侵犯公民个人信息罪”等罪名，《网络安 全法》确立个人信息保护的原则，《数据安全法（草案）》（“数安 法”）从数据作为信息的底层载体的角度提出数据安全措施要求，《消 费者权益保护法》明确“商品和服务提供者”对消费者个人信息的保 护义务，《电子商务法》对电子商务经营者提出个人信息保护要求， 《个人信息出境安全评估办法（征求意见稿）》详细规定个人信息出 境的安全评估要求等等。不过，个人信息保护的专门法律一直缺位， 社会各界呼吁制定《个人信息保护法》的声音越来越高。 ２０２０年１０月２１日，“中国版ＧＤＰＲ”，即《个人信息 保护法（草案）》（“本法”），经全国人民代表大会常委会审议后 的正式“亮相”，全文八章七十条。下文将就本法的重点章节进行解 读。 二、健全个人信息处理原则 （一）六大处理原则 本法确立了处理个人信息应遵循六个主要原则：方式合法正当（第 ５条）、目的明确合理（第６条）、最小必要（第６、２０条）、处 理公开透明（第７条）、准确性（第８条）、安全保护（第９条）。 上述原则与世界趋同的个人信息保护原则以及《网络安全法》《民法 典》的规定基本一致，其适用精神贯穿本法全文。 （二）“告知＋同意”处理规则 在处理规则方面，本法确立“告知＋同意”为核心，体现了对个 人权益的尊重，也与上文中的合法正当和公开透明两个原则相呼应。 １．“告知”义务 本法第１４条就将“充分知情”作为“同意”的前提条件。本法 第１８条具体列举个人信息处理者（“处理者”）应当告知的事项， 主要包括其基本信息、信息处理的目的和方式、个人行使本法权利的 方式和程序等。本法第１９条规定了告知的例外情形，即在法律、行 政法规规定应当保密或不需要告知的情况下，可以免除告知义务， 是该义务在紧急情况下无法及时告知时并不免除，而是将前置改为后 置，凸显告知义务的重要性。 在以上基本适用原则的基础上，本法还规定了如下几类需要履行 告知义务的情况： 个人信息转移和传输情况下的告知义务（第２３、２４条）。前 者是在处理者“合并、分立”等情况下，而后者是向第三方提供的情 况下。虽然两种情况下均需履行告知义务，但告知的内容略有不同。 前者仅需告知接收方的身份和联系方式，而后者还需包括处理目的和 方式以及个人信息的种类。其差别在于前者信息接收方基于收购等原 因承继了处理者原来的业务，所以处理目的和方式以及个人信息的种 类在大多数情况下没有变化；而后者作为独立于处理者的第三方，其 处理目的和方式以及个人信息的种类的变化是其应有之义。 处理已公开的个人信息时，如果超出被公开时的用途的合理范围 或者对个人有重大影响，需要履行告知义务（第２８条）。 在处理敏感个人信息时，除第１８条规定的事项外，还应当告知 处理敏感个人信息的必要性以及对个人的影响（第３１条）。 在国家机关履行法定职责处理个人信息时和个人信息出境时，均 需履行告知义务（第３５、３９条）。 ２．“同意”义务 除了本法第２８条（２）－（６）列举的情形之外，取得个人的 同意是处理者处理个人信息的前提。本法第１４条明确了同意需基于