《个人信息保护法》域外效力案例.docxVIP

《个人信息保护法》域外效力案例

引言

在数字经济全球化背景下，个人信息跨境流动已成为常态。境外企业通过互联网平台收集、处理中国境内自然人个人信息的行为屡见不鲜，而跨境数据泄露、滥用等问题也随之频发。《中华人民共和国个人信息保护法》（以下简称《个保法》）第三条明确规定：“在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：（一）以向境内自然人提供产品或者服务为目的；（二）分析、评估境内自然人的行为；（三）法律、行政法规规定的其他情形。”这一条款确立了我国个人信息保护法律的域外效力，为规制境外主体涉及境内自然人的个人信息处理活动提供了法律依据。本文将结合典型案例，深入探讨《个保法》域外效力的实践应用、争议焦点及完善路径。

一、《个保法》域外效力的法理基础与规范依据

（一）域外效力的国际法理逻辑

法律的域外效力是国家主权在法律领域的延伸，其核心是“保护原则”与“效果原则”的结合。“保护原则”强调对本国公民、法人或国家利益的保护，即使行为发生在境外，只要对本国利益造成损害，本国法律即可适用；“效果原则”则关注行为在本国境内产生的实际影响，只要境外行为对本国境内有实质性影响，本国法律便有权管辖。《个保法》第三条的规定正是这两种法理的具体体现：境外主体以向境内自然人提供服务、分析境内自然人行为等为目的处理个人信息，本质上是对境内自然人权益的直接影响，符合“保护原则”；而此类处理活动在境内产生的个人信息泄露、滥用等后果，则符合“效果原则”的适用条件。

（二）《个保法》的具体规范支撑

除第三条外，《个保法》其他条款也为域外效力的实施提供了配套支撑。例如，第四条对“个人信息处理”“个人信息”的定义，明确了境外主体处理境内自然人信息的行为边界；第十三条规定了个人信息处理的合法性基础，要求境外主体在境内开展业务时需取得用户同意或满足其他法定情形；第五十八条针对提供重要互联网平台服务的境外企业，提出了更高的合规要求，包括制定平台规则、完善个人信息保护机制等。这些条款共同构建了境外主体在境内开展个人信息处理活动的“行为准则”，确保域外效力不仅有“管辖权”的宣示，更有“具体规则”的约束。

二、《个保法》域外效力的典型案例分析

（一）案例1：境外社交平台收集境内用户信息被调查案

某境外知名社交平台（以下简称“A平台”）长期通过其境内应用程序向中国用户提供服务，在用户注册及使用过程中，默认收集包括位置信息、通讯录、聊天记录在内的多项个人信息，且未在隐私政策中明确说明收集范围及用途。部分用户发现，其未主动公开的位置信息被用于精准广告推送，甚至出现陌生人通过平台获取其联系方式的情况。用户向我国个人信息保护监管部门投诉后，监管部门启动调查程序。

争议焦点：A平台作为境外注册企业，其在境内的信息收集行为是否适用《个保法》？

法律适用分析：根据《个保法》第三条第一款，A平台以向境内自然人提供社交服务为目的（符合“向境内自然人提供产品或者服务”的情形），其处理境内用户个人信息的活动应适用本法。监管部门进一步核查发现，A平台的隐私政策存在“概括授权”“默认勾选”等问题，违反了《个保法》第十四条（“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出”）及第十七条（“个人信息处理者应当向个人明确告知处理目的、方式和范围”）的规定。

处理结果：监管部门责令A平台限期整改，要求其重新制定符合《个保法》要求的隐私政策，明确告知用户信息收集范围、用途及删除方式，并对已收集的用户信息进行脱敏处理。整改完成后需提交合规报告，经审核通过方可继续在境内提供服务。

（二）案例2：境外数据公司分析境内用户行为引发侵权案

某境外数据服务公司（以下简称“B公司”）通过爬取境内电商平台公开数据、购买第三方数据等方式，建立了包含数百万境内自然人消费习惯、收入水平、信用记录的数据库，并向境外金融机构提供“境内用户信用评估报告”。部分境内用户发现，其未授权任何机构提供的信用信息被用于境外贷款审批，且评估结果存在错误，导致其境外金融服务申请被拒。用户联合向监管部门举报，称B公司的行为侵犯其个人信息权益。

争议焦点：B公司未直接向境内用户提供服务，仅分析境内用户行为，是否适用《个保法》？

法律适用分析：《个保法》第三条第二款明确将“分析、评估境内自然人的行为”纳入域外效力范围。B公司虽未直接提供产品或服务，但其通过分析境内用户行为生成评估报告并用于商业目的，属于对境内自然人行为的“分析、评估”，因此应受《个保法》约束。进一步核查发现，B公司爬取公开数据时未遵守“最小必要”原则（违反《个保法》第六条“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式”），且购买第三方数据时未核实数据来源的合法性（违反《个