“个人信息保护监管要求”比标分析报告.pdf

1 环球律师事 务所 2020 年 10 月 “个人信息保 护监管要求 ” 比标分析报告 - 截至个保法草案出台 2020 年 V 1.0 版 2 “个人信息保护监管 要求”比标分析报告 -2020 年 V1.0 版 “个人信息保护监管 要求”比标分析报告 -2020 年 V1.0 版 01“个人信息保护 监管要求”比标分析 报告 -2020 年 V1.0 版 15项个人信息保护监管要 求 综合分析 通过欧盟通用数据保护条例和中国个人信息保护相关法律法规 及国家标准之间的比标，进行差异分析并提出合规思路。 5项具体个人信息保护要求深入分析 根据本次中华人民 共和国个人信息保护法（草案）的规定，我们对 企业实践过程中认为非常重要的五项基本合规项进行详细分析与深 入探讨，旨在引发读者更多思考及各方共同交流。 关于个人敏感信息（人脸信息）的合规治理 各国对个人敏感信息、特殊类型的数据、生物识别信息的规定上既有相 同又有差异，特别对人脸信息的合规治理是当务之急。 关于告知与同意的合规要求 对于个人信息被企业收集后全生命周期的处理，各国在合法性要求 思路上稍有不同，但基本上均有符合告知与同意的要求。 关于个人信息控制者与处理者合规要求 当发生对外提供个人信息时，发生 “共享 ”和 “委托处理 ”的情况，由此产 生个人信息控制者与处理者合规要求，但称谓可能不同。 关于个人信息出境的合规治理 当发生个人信息向境外传输时，各国数据跨境的尺度与要求各有不 同，具体分为 “禁止跨境 ”、 “有条件跨境 ”和 “自由跨境 ”。 关于 个人信息保护 工作机构 及负责人 当 满足 特定条件时，企业需要确定个人信息保护负责人 /工作机构，对 内负责组 织实施个人信息保护工作，对外负责处理投诉等问题。 15项个人信息保护监管要 求 综合分析 通过欧盟通用数据保护条例和中国个人信息保护相关法律法规 及国家标准之间的比标，进行差异分析并提出 合规思路。 5项具体个人信息保护要求深入分析 根据本次中华人民共和国个人信息保护法（草案）的规定，我们对 企业实践过程中认为非常重要的五项基本合规项进行详细分析与深 入探讨，旨在引发读者更多思考及各方共同交流。 关于个人敏感信息（人脸信息）的合规治理 各国对个人敏感信息、特殊类型的数据、生物识别信息的规定上既有相 同又有差异，特别对人脸信息的合规治理是当务之急。 关于告知与同意的合规要求 对于个人信息被企业收集后全生命周期的处理，各国在合法性要求 版权 ： 环球律师事务所保留对报告的所有权利。未经环球律师事务所书面许可，任何人不得以任何形式或者通过任何方式复 制或转载本报告任何受版权保护的内容。 免责： 本报告不代表环球律师事务所对有关问题的法律意见，任何仅依照本报告全部或者部分内容而做出的作为和不作为决 定及因此造成的后果由行为人自行负责。如您需要法律意见或其他专家意见，应该与具有相关资格的专业人士或我们联系。 版权 ： 环球律师事务所保留对报告的所有权利。未经环球律师事务所书面许可，任何人不得以任何形式或者 通过任何方式复 制或转载本报告任何受版权保护的内容。 免责： 本报告不代表环球律师事务所对有关问题的法律意见，任何仅依照本报告全部或者部分内容而做出的作为和不作为决 定及因此造成的后果由行为人自行负责。如您需要法律意见或其他专家意见，应该与具有相关资格的专业人士或我们联系。 Specific Analysis and Deep Dive of Hot Topics regarding Personal Information Protection. Specific Analysis and Deep Dive of Hot Topics regarding Personal Information Protection. 作者 ： Specific Analysis and Deep Dive of Hot Topics regarding Personal Information 孟洁 、殷坤、王程、徐 晨、张淑怡、陈子谦、 D.C 联系 方式： 孟洁律师团队 每篇作者详见报告 联系 方式： 15项个人信息 保护监管要 求 01 01 Co mp reh ens ive An aly sis of Per son al Inf or ma tio n Pr ote 作者 ： 作者 ： 孟洁律 师团队 作者 ： 作者 ： 孟洁 、殷 坤、王程、 徐晨、张淑 怡、陈子 谦、 D.C 联系 方式： mengjieg 02 02 Sp ecif ic An aly sis an d De ep Div e of0 2 Comprehensive Analysis of Personal Information Protection Laws 处理个 人信息属于提供产品或 者服务所必需的除外。 “个人信息保护监管要求”比标分析报告（ V1.0 版） 19 （ 6）经法律授权或具备合 理事由公开披露时，应向 个人信息主体告知公开披 露个人信息的目的、类 型，并事先征得个人信息 主体明示同意。 7.2 合规提示 GDPR 下数据主体的同意：数据主体通过书面声明或经由一个清楚确定的 动 作 ，表示同意对其个人数据进行处理。该意愿表达应是自由给出的（ freely given）、特定的（ specific）、显示出数据主体对前因后果清楚的（ informed）、清 晰明确的（ unambiguous）数据主体的权利 。对数据处理的要求应当与其他事项明 确、明显地区别开，同时使用清晰、直白的语言，以可理解的、易于接触 （ accessible）的形式呈现。如果声明包含了与该规定不符的内容，则不符部分无 效。数据主体有权在事后撤回其同意，但撤回同意不影响同意撤回前数据处理的合 法性。在表达同意前，数据主体应被告知其有权随时撤回同意，并且，撤回同意应 与表达同意同样方便。 根据网络安全法第四十一条和民法典第一千零三十五条，处理个人信 息的法律依据以个人信息主体同意为原则，其他 法律法规规定为例外。国标则 以同意为原则，并列举了处理 个人信息不必征得个人信息主体同意的情形，包括履 行合同所必需、履行法定义务等。国标中的同意，虽然没有 GDPR 要求的这么 细致，但是也是要求通过肯定性动作做出明确授权，包括了 explicit+ unambiguous 两 方面要素，也说明用户只能选择同意（ Opt-in） , 不能选择退出（ Opt-out）。 国标不但将需要用户明示同意的情形做了明确规定（如上表），而且对基 本业务功能与附加业务功能中的敏感信息告知同意方式进行了细分。比如基本业务 功能的，个人信 息主体告知基本业务功能所必要收集的个人信息类型，以及个人 信 息主体拒绝提供或拒绝同意收集将造成的影响，并通过个人信息主体对信息收集主 动作出肯定性动作（如勾选、点击 “同意 ”或 “下一步 ”等）征得其明示同意；应允许 个人信息主体选择拒绝提供其个人信息。对于产品或服务如提供扩展业务功能的， 在扩展业务功能首次使用前，应通过交互界面或设计（如弹窗、文字说明、填写 “个人信息保护监管要求”比标分析报告（ V1.0 版） 20 框、提示条、提示音等形式），向个人信息主体逐一告知所提供扩展业务功能及所 必要收集的个人信息，并允许个人信息主体对扩展业务功能逐项选择同意。当个人 信息主体拒绝时，个人 信息主体不同意收集扩展业务功能所必要收集的个人信息 的，个 人信息控制者不应反复征求个人信息主体的同意（ 48 小时内不得重复）。实 际上，国标对同意机制的设置是相对较精细的，个保法草案第十七条实则 也做了回应， “个人信息处理者不得以个人不同意处理其个人信息或者撤回其个人信 息处理的同意为由，拒绝提供产品或者服务，但处理个人信息属于提供产品或者服 务所必需（核心业务功能）的除外 ”。但是，笔者也担心个保法草案的修改可能 对企业原本以同意为机制的产品设计逻辑产生重大影响，是否意味着未来企业需要 为不同的处理活动确定不同 的法律依据，以及企业是否可以在论证和选择法律依据 的问题上 有一定的空间，可能有待未来个保法正式稿或者细则进一步解答。 此外，个保法草案规定了个人信息主体作出同意的构成要件，即应当由个 人在充分知情的前提下，自愿、明确地作出意思表示。同时个保法草案还提出 了 “单独同意 ”和 “书面同意 ”的概念，其中需要单独同意的场景包括： （ 1）个人信息处理者向第三方提供其处理的个人信息的，应当向个人告知 第三 方的身份、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独 同意。（个保法草案第二十四条） （ 2）基于 个人同意处 理敏感个人信息的，个人信息处理者应当取得个人的 单独 同意。法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。 （个保法草案第三十条） （ 3）个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人 告知 境外接收方的身份、联系方式、处理目的、处理方式、个人信息的种类以及个人向 境外接收方行使本法规定权利的方式等事项，并取得个人的单独同意。（个保法 草案第三十九条） （ 4）取得个人单独同意或者法律、行政法规另有规定的，个人信息处理者 方可 公开其处理的个人信息。（个保法草案第二十六条） （ 5）取得个人单独同意或者法律、行政法规另有规定的，所收集的个人 图像 、 个人身份特征信息方可公开或者向他人提供。 （个保法草案第二十七条） “个人信息保护监管要求”比标分析报告（ V1.0 版） 21 从以上需获得单独同意的情形观察，总体上处理行为具有更高的风险，也 可能 涉及个人敏感信息，需要通过强提示，让个人信息主体充分知悉风险，经过审慎地 思考并通过主动勾选或者签署等肯定性的动作，作出自己充分的意思表达，而不得 通过概括授权的方式代替而日后主张不知情或者未尊重用户选择。但是，具体如何 分别满足 “单独同意 ”或 “书面同意 ”的要求，以及这两者是否就一定是等效的，也有 待未来正 式稿进 一步解答。 对于儿童个人信息的年龄线，中欧规定稍有差别。 GDPR 规定的儿童年龄为 16 岁以下，但不得低于 13 岁；国标及个保法草案规定的儿童为未满 14 周岁 的自然人。收集儿童的个人信息，均需要取得其法定代理人（或监护人）的授权或 同意。根据不完全考证，我国将儿童的年龄定为 14 周岁的法规可能是 2013 年国务 院关于修改全国年节及纪念日放假办法的决定，规定不满 14 周岁的少年儿童可 以在 6 月 1 日儿童节当天放假 1 天； 14 周岁以上的青年在 5 月 4 日青年节当天放假 半天。目前，无论是数据安全管理办法（征求意见稿） 还是 儿童个人信息网 络保护规定，我国均将儿童的年龄定格在 14 周岁以下。处理儿童个人信息的，应 当征得儿童监护人的同意。本次个保法草案还对儿童的界定采用了推定知情的 方式，则个人信息处理者知道或者应当知道其处理的个人信息为不满十四周岁未成 年个人信息的，一定程度上要求企业不得开脱自身的责任，比如游戏类公司，在注 册时需要采取实名制认证的，那么该企业就不得借口自己不知道使用者为儿童而逃 避征得监护人同意的义务。应当知道，也表示如果游戏企业未采取实名制认证的， 也是没有达到法律的要求。 8 个人信息主体的权利实现 8.1 查询 权 GDPR 网络安全法 国标 个保法草案 数据主体有权从控制者处 获得关于其个人数据是否 被处理的确认回复，如确 定个人数据正被处理，则 数据主体有权获得如下信 息： / 个人信息控制者应向个人 信息主体提供访问下列信 息的方法： 其所持有的关于该主体 的 个人信息或类型 ； 第四十五条： 个人有权 向个人信息处理者 查阅 其个人信息，但有个 保法草案第十九条第 一款规定的情形（法 律、行政法规规定应当 “个人信息保护监管要求”比标分析报告（ V1.0 版） 22 处理的 目的； 涉及个人信息的 类别； 个人数据的（包括将来 可能的） 接收者、接收 者的类别 ，特别是位于 第三国的接收者或国际 组织； 数据将会存储的 期限 ， 如无法明确，则列出决 定存储期限的标准； 数据主体的 各项权利 ， 如修正或删除个人数据 的权利、限制个人数据 处理的权利、反对处理 的权利； 向监管部门 申诉 的权 利； 如数据并非从数据主体 处收集而得， 则关于数 据 来源 的信息； 告知数据主体是否采用 了第 22 条（ 1）和 （ 4）规定的 自动化决 策机制 ，包括数字画 像，并提供关于自动化 决策机制有意义的信 息，以及根据设想对数 据主体将造成的影响。 上述个人信息的 来源 、 所用于的 目的 ； 已经获得上述个人信息 的 第三方身份或类型 。 注：个人信息主体提出访 问非其主动提供的个人信 息时，个人信息控制者可 在综合考虑不响应请求可 能对个人信息主体合法权 益带来的风险和损害，以 及技术可行性、实现 请求 的成本等因素后，做出是 否响应的决定，并给出解 释说明。 保密或者不需要告知的 情形）除外。 个人请求查阅其个人信 息的，个人信息处理者 应当及时提供。 8.2 更正权 GDPR 网络安全法 国标 个保法草案 数据主体应当有权要求数 据控制者无不当迟延的 更 个人发现 网络运营 者收集、存储的其 个人信息主体发现个人信 息控制者所持有的该主体 第四十六条： 个人发现 其个人信息 不准确 或者 “个人信息保护监管要求”比标分析报告（ V1.0 版） 23 正 与该数据主体相关的 不 准确 个人数据。考虑到处 理的目的，数据主体有权 完善 其 尚不完整 的个人数 据，包括以提供补充说明 的方式。 个人信息有 错误 的，有权要求网络 运营者予以 更正 。 网络运营者应当采 取措施予以更正。 的个人信息 有错误 或 不完 整 的，个人信息控制者应 为其提供请求 更正 或 补充 信息的方法。 不完整 的，有权请求个 人信息处理者 更正、补 充 。个人请求更正、补 充其个人信息的，个人 信息处理者应当对其个 人信息予以 核实 ，并及 时更正、补充。 8.3 删除权 GDPR 网络安全法 国标 个保法草案 符合以下情形的，个人信 息主体要求删 除的， 应及 时 删除个人信息： 对收集或以其他方式处 理个人数据所服务于的 目的来说，该个人的数 据不再是必需的； 对数据处理是基于同意 时，且不基于其他法律 基础时，数据控制者撤 回其同意的； 数据主体反对根据正当 利益开展的处理，同时 数据控制者没有其他高 于数据主体利益的、正 当的理由继续数据处 理，或数据主体反对直 接市场营销时； 个人数据被非法处理； 根据欧盟、成员国法律 要求，需要删除个人数 据的； 个人发现网络运营 者 违反法律、行政 法规的规定或者双 方的约定 收集、使 用其个人信息的， 有权要求网络运营 者删除其个人信 息。网络运营者应 当采取措施予以删 除。 符合以下情形的，个人 信息主体要求删除的， 应及时删除个人信息： 个人信息控制者 违反 法律法规规定 ，收 集、使用个人信息 的； 个人信息控制者 违反 了与个人信息 主体的 约定 ，收集、使用个 人信息的。 个人信息控制者违反法 律法规规定或违反与个 人信息主体的约定向第 三方共 享、转让个人信 息，且个人信息主体要 求删除的，个人信息控 制者应立即停止共享、 转让的行为，并通知第 三方及时删除 ; 个人信息控制者违反法 律法规规定或违反与个 人信息主体的约定，公 开披露个人信息，且个 第四十七条： 有下列 情形之一的，个人信 息处理者应当主动或 者根据个人的请求， 删除个人信息： 约定的保存期限已 届满或 者处理目的 已实现； 个人信息处理者停 止提供产品或者服 务； 个人撤回同意； 个人信息处理者违 反法律、行政法规 或者违反约定处理 个人信息； 法律、行政法规规 定的其他情形。 法律、行政法规规定 的保存期限未届满， 或者删除个人信息从 技术上难以实现的， “个人信息保护监管要求”比标分析报告（ V1.0 版） 24 出于对未成年人保护 的； 在以下情形中，删除权将 不予适用： 涉及到言论自由和信息 自由的； 根据欧盟、成员国法律 规定要求处理的个 人数 据，或为追求公共利 益，或履行数据 控制者 负有的公共管理任务， 需要处理个人数据的； 为追求公共卫生领域的 公共利益的； 出于公共利益、科学或 历史研究、统计目的等 需处理个人数据的； 关 于法律诉求的建立、 行使和保护。 人信息主体要求删除 的，个人信息控制者应 立即停止公开披露的 行 为，并发布通知要求相 关接收方删除相应的信 息。 个人信息处理者应当 停止处理个人信息。 8.4 可携带权 GDPR 网络安全法 国标 个保法草案 存在以下情形的，数据主 体有权从数据控制者获得 关于其个人数据（仅限其 向数据控制者提供的）的 副本 ；副本应以结构化、 普遍使用、可机读的形 式；数据主体有权要求数 据控制者 将其个人数据向 其他数据控制者提供： / 根据个人信息主体的请 求，个人信息控制者应为 个人信息主体提供获取以 下类型个人信息副本的方 法，或在技术可行的前提 下直接将以下个人信息的 副本传输给第三方： 个人基本资料、个人身 份信息 ； 第四十五条： 个人有 权向个人 信息处理者 复制 其个人信息，但 有法律、行政法规规 定应当保密或者不需 要告知的情形的除 外。 个人请求复制其个人 信息的，个人信息处 理者应当及时提供。 “个人信息保护监管要求”比标分析报告（ V1.0 版） 25 数据处理是基于同意， 或基于第 6 条第一款 b） 项所指涉的合同 数据处理以自动化的形 式进行。 如技术上可行的话，数据 主体有权要求数据控制者 将其个人数据直接 传输 给 另一数据控制者。 行使该权利不应对他人的 权利和自由造成不利影 响。 个人健康生理信息、个 人教育工作信息。 8.5 自动化决策 GDPR 网络安全法 国标 个保法草案 当决定能对数据主体产生 法律效果，或对其有显著 影响时，数据主体有权不 受仅仅根据自动化数据处 理而作出的决定，包括数 字画像。（类似于 opt- out） 当有以下情形时，上述权 利不适用： 数据处理是数据主体和 控制者签署、执行合同 所必需的； 欧盟、成员国法律许 可、且明确了保护数字 主体权利、自由、正当 利益的措施的； 基于数据主体明确的同 意。 / 当仅依据信息系统的自动 决策而做出显著影响个人 信息主体权益的决定时 （例如基于用户画像决定 个人信用及贷款额度，或 将用户画像用于面试筛 选），个人信息控制者应 向个人信息 主体提供申针 对自动决策结果的投诉渠 道，并支持对自动决策的 人工复核。 第二十五条： 利用个 人信息进行自动化决 策，应当保证决策的 透明度和处理结果的 公平合理。个人认为 自动化决策对其权益 造成重大影响的，有 权要求个人信息处理 者予以说明，并有权 拒绝个人信息处理者 仅通过自动化决策的 方式作出决定。 通过自动化决策方式 进行商业营销、信息 推送 ,应当同时提供不 针对其个人特征的选 项。 “个人信息保护监管要求”比标分析报告（ V1.0 版） 26 对本条第二款 a）和 c） , 数据控制者应采用合适的 措施，保护数字主体权 利、自由、正当利益；措 施至少包括数据主体有权 要求控制者人工干预自动 化处理，以及表达个人意 见、对决定提出抗辩的权 利。 对第 9 条 1）款列出的特 别类别的个人数据，自动 化决定不应根据上述数据 而作出；例外情况是第 9 条第 2 款的 (a) 或 (g) 。 8.6 其他权利 GDPR 网络安全法 国标 个保法草案 限制数据处理（相当于冻 结） 数据主体对数据的准确 性提出异议时； 数据处理 为非法， 而数 据主体反对清除其数据而 是要求限制对数据的使用 的； 数据控制者出于特定目 的不再需要数据主体的个 人数据，但数据主体需要 这些数据以建立、行使和 保护自己的法律诉求的； 数据主体反对根据正当 利益的数据处理，但尚不 清楚数据控制者是否有高 / 个人信息主体撤回同意 应向个人信息主体提供 方法撤回收集、使用其个 人信息的授权同意的方 法。撤回同意后，个人信 息控制者后续不得再处理 相应的个人信息； 应保障个人信息主体拒 绝接收基于其个人信息推 送的商业广告的权利。对 外共享、转让、公开披露 个人信息，应向个人信息 主体提 供撤回同 意的方 法 。 注：撤回同意不影响撤回 前基于同意的个人信息处 理。 第十六条：撤回同意 基于个人同意而进 行的个人信息处理活 动 ,个人有权撤回其同 意。 第四十四条： 知情 权、决定权 个人对 其个人 信息 的处理享有知情权、 决定权，有权限制或 者拒绝他人对其个人 信息进行处理；法 律、行政法规另有规 定的除外。 第四十八、四十九 条： 响应信息主体的 请求 “个人信息保护监管要求”比标分析报告（ V1.0 版） 27 于数据主体利益的正当事 由。 反对数据处理（相当于对 控制者的判断提出反对意 见） 基于其特定的情况，数 据主体有权在任何时候反 对基于正当利益的个人数 据处理，数据控制者应停 止处理，除非数据控制者 能表明其有显著的正当事 由，该正当事由大于数据 主体的利益、权利、自 由，或大于法律诉 求的建 立 、行使和 保护。【反对 后，可限制，符合条件要 求删除】 当数据处理是基于直接 的市场营销目的。【反对 后可直接要求删除】 当数据处理是出于科学或 历史研究、数据统计时， 数据主体根据其特殊情 况，有权反对处理其个人 数据，除非处理是为公共 利益所必须。 个人信息主体注销账户 通过注册账户提供服务 的个人信息控制者，应向 个人信息主体提供注销账 户的方法，且该方法应简 便易操作； 受理注销账户请求后， 需要人工处理的，应在承 诺时限内（不超过 15 个 工作日）完成核查和处 理； 注销过程如需进行身份 核验，要求个人信息主体 再次提供的个人信息类型 不应多于注册、使用等服 务环节收集的个人信息类 型 ;d) 注销过程不应设置不 合理的条件或提出额外要 求增加个人信息主体义 务，如注销单个账户视同 注销多个产品或服务，要 求个人信 息主体填 写精确 的 历史操作记录作为注销 的必要条件等 ; 注销账户的过程需收集 个人敏感信息核验身份 时，应明确对收集个人敏 感信息后的处理措施，如 达成目的后立即删除或匿 名化处理等 ; 个人信息主体注销账户 后，应及时删除其个人信 息或匿名化处理。因法律 规规定需要留存个人信息 的，不能再次将其用于日 常业务活动中。 个人有权要求个人 信息处理者对其个人 信息处理规则进行解 释说明。 个人信息处理者应 当建立个人行使权利 的申请受理和处理机 制。拒绝个人行使权 利的请求的，应当说 明理由。 “个人信息保护监管要求”比标分析报告（ V1.0 版） 28 响应个人信息主体的请求 在验证个人信息主体身 份后，应及时响应个人信 息主体基于 8.1-8.6 提出的 请求，应在三十天内或法 律法规规定的期限内作出 答复及合理解释，并告知 个人信息主体外部纠纷解 决途径 ; 采用交互式页面 (如网 站、移 动互联网应用程 序、客户端软 件等 )提供产 品或服务的，宜直接设置 便捷的交互式页面提供功 能或选项，便于个人信息 主体在线行使其访问、更 正、删除、撤回授权同 意、注销账户等权利 ; c)对合理的请求原则上 不收取费用，但对一定时 期内多次重复的请求，可 视情收取一定成本费用 ; 直接实现个人信息主体 的请求需要付出高额成本 或存在其他显著困难的， 个人信息控制者应向个人 信息主体提供替代方法， 以保障个人信息主 体的合 法权益。 8.7 权利的例外 GDPR 网络安全法 国标 个保法草案 欧盟、成员国法律可对数 据主体第 12 条至 22 条、 第 34 条赋予的权利作出限 / 与个人信息控制者履行法 律法规规定的义务相关的； / “个人信息保护监管要求”比标分析报告（ V1.0 版） 29 制，当限制尊重基本权利 和自由的实质，同时又是 下列目标所 必须的、成比 例的： 国家安全 国防 公共安全 预防犯罪、刑事侦查和 起诉、处罚执行 其他公共利益的重要目 标，特别是欧盟或成员国 的重要经济、金融利益， 包括财政、预算、税收、 公共卫生、社保 保护司法独立和庭审程 序 对受管制的行业，调 查、起诉违背职业道德 实现上述目标时所需的 监测、检查、规制 保护数据主体，或其他 人的权利和自由 执行民事诉求 与国家安全、国防安全直 接相关的； 与公共安全、公共卫生、 重大公共利益直接相关的； 与刑事侦查、起诉、审判 和执行判决等直接 相关的； 个人信息控制者有充分证 据表明个人信息主体存在主 观恶意或滥用权利的； 出于维 护个人信息主体或 其他个人的生命、财产等重 大合法权益但又很难得到本 人授权同意的； 响应个人信息主体的请求 将导致个人信息主体或其他 个人、组织的合法权益受到 严重损害的； 涉及商业秘密的。 8.8 合规提示 在用户权利方面，国内外法规的要求基本上是类似的，都赋予了个人信息 主体 行使其查询、更正、删除、可携等权利。只是 GDPR 对权利实现方面说明地更加详 细些，僻如，对查询的范围作出细致的规定；对于删除权， GDPR 要求控制者无条 件满 足，除非个别特殊情 况除外（如为了公共利益、言论自由、科学研究等目 的），在不存在数据处理目的或者数据主体撤回同意、拒绝处理时，需要将数据完 全删除；在可携权方面，不仅包括数据控制者应当提供正在处理的个人数据副本， 还包括了一方数据控制者有可能会被要求将数据传输给另一方数据控制者；对用户 “个人信息保护监管要求”比标分析报告（ V1.0 版） 30 画像、自动化决策机制作出了严格限制；同是，还全面考虑了用户权利的例外情 形。国标在个别权利（如被删除权、可携带权以及用户画像）上稍有差别，没 有规定被遗忘权、限制数据处理权，但规定了撤回同意和注销账户的权利，除此以 外，基本上规定地比 较类似。 网络安全法没有对用户权利进行规定，民法典第一千零三十七条的 规 定 也是较为简略的。本次个保法草案与 GDPR 和国标的规制思路基本也是 一致的，只是在用词上较为简练，权利层次上偏原则性一些，也没有新设内容。但 有三点值得提出：首先，对于行使删除权的前提条件，国标要求存在违法违约 情形，个保法草案则在此基础上新增约定的保存期限届满或者处理目的已实 现、个人信息处理者停止提供产品或者服务，以及个人撤回同意时的情形。虽然这 几点在国标的个人信息存储、停止运营以及撤回同意章节也 有相关要求，但 个 保法草案进行了完 整的归类，让企业更加明确地了解需要删除数据的各类场 景。 其次，在可携权章节没有写入需向另一方传输数据，这可能更加符合当前国内 大部分企业在制度和技术上尚未达到该要求的水平，如果一味按照 GDPR 的可携权 标准，有可能将法律规定架空，实际履行变得困难，还不如在时机成熟时再提出。 其三，个保法草案第四十四条提出了个人信息主体除了知情权与决定权以 外的限制处理个人信息和拒绝个人信息处理的权利，以及根据第四十八条有权要求 企业进行解释说明的权利。 GDPR 中，拒绝权属于一类机制平衡的条款 （ GDPR 第 21 条 及引言 69 条），更 多地用于平衡企业在遇到正当利益或者为了公益而处理个人 数据时，个人是否仍然可以有权拒绝处理其个人数据，这里需要进行评估以及举证 证明。限制处理权也需要控制者有一系列的措施来保证既符合规范又确保运营稳 定。目前个保法草案提出的用意是好的，但是在没有细则指引的情况下，在运 用的维度上可能也会五花八门，导致企业与个人信息主体各执一词。关于要求企业 进行解释的权利，是否可用书面 Q 组织制定个人信息保护工作计划并督促落实 ; o 制定、签发、实施、定期更新个人信息保护政策和相关规程等。 第二，制定内部规章以确保各类数据保护措施能够得到有效实施。 建议企业制定 数据安全管理政策等文件以确保数据安全保护措施能够得到 有效的实施。 第三，对个人信息实行分级分类管理。 信息分级分类并实施特别保护措施 建议企业根据所收集的个人信 息具体情况区分个人敏感信息 、儿童个人信 息、金融数据等，并根据不同信息的要求实施特别保护措施： 个人敏感信息的特别保护措施可参考国标等； 儿童个人信息特别保护措施可参考儿童网络个人信息保护规定等； 履行等级保护要求 建议企业应当依法开展网络定级备案、安全建设整改、等级测评和自查等 工作，采取管理和技术措施，保障网络基础设施安全、网络运行安全、数 据安全和信息安全，有效应对网络安全事件，防范网络违法犯罪活动。 第四，采取相应的加密、去标识化等安全技术措施。 建议企业应根据有关国家网络安全标准的要求，如有需要 实时更新必要的 管理和技术措施，防止个人信息的泄漏、 损毁、丢失。加密、去标识化等 “个人信息保护监管要求”比标分析报告（ V1.0 版） 35 技术要求可参考相关的国家标准，包括信息安全技术保护轮廓和安全目 标的产生指南（ GB/Z 20283-2006）、信息安全技术网络安全等级保护安 全管理中心技术要求（ GB/T36958-2018）等。 第五，合理确定个人信息处理操作权限，定期对从业人员进行安全教育和培训 建立个人信息的访问控制措施 o 建议公司对被授权访问个人信息的研发部门和运营部门的人员建立最 小授权的访问控制策略，使其只能访问职责所需的最少够用的个人信 息，且仅具备完 成职责所需的最少的数据操作权限；若确因工作需 要，需要超出权限处理个人信息的，应经公司个人信息保护责任人或 个人信息保护工作机构进行审批， 并记录在册。 o 建议公司对个人信息的批量修改、拷贝、下载等重要操作设置内部审 批流程。 o 建议公司对个人敏感信息的访问、修改等操作行为，宜在对角色权限 控制的基础上，按照业务流程的需求触发操作授权。例如，当收到客 户投诉，投诉处理人员才可访问。 建立相应文件及制度确保员工遵循数据安全保护的义务与责任 o 建议公司在必要时，如个人信息涉密等级高时签订额外的保密协议。 在工作人员离岗时，签署调离 后个人信息保密义务的承诺书，防范内 部员工、管理员因工作原因非法持有、披露和使用个人信息 。 o 建议公司在录用对个人信息处理岗位的相关人员设定特殊的要求或 程 序，对大量接触个人敏感信息的人员进行背景审查。此外，建议公司 设立专人负责定期对接触个人信息数据工作的工作人员进行全面、严 格的安全审查、意识考核和技能考核。 o 建议公司明确内部涉及个人信息处理不同岗位的安全职责，建立发生 安全事件的处罚机制。 定期对于员工进行数据安全培训 建议公司制定培训计划并定期（至少每年一次）按计划对各岗位员工进行 基本的安全意识教育培训和岗位技 能培训；制定安全教育和培训计划文 档，明确培训方式、培训对象、培训内容、培训时间和地点等，培训内 容 包含信息安全基础知识、岗位操作规程等，并形成培训、教 育记录。 “个人信息保护监管要求”比标分析报告（ V1.0 版） 36 第六，制定并组织实施个人信息安全事件应急预案 安全事件应急预案及提前准备 o 应制定个人信息安全事件应急预案，并根据法律法规要求变化及时更 新元 ; o 应定期 (至少每年一次 )组织内部相关人员进行应急响应培训和应急演 练，使其掌握岗位职责和应急处置策略和规程 ; 安全事件处置 o 发生个人信息安全事件后，个人信息控制者应根据应急响应预案进行 处置，包括记录事件内容、评估影响 、采取必要措施、按照国家网 络安全事件应急预案等有关规定及时上报等。 o 如事件会对个人信息主体合法权益造成严重危害的，应按照要求向个 人信息主体告知； 若难以告知，应采取合理有效方式向公众发布警示 信息。 第七，定期进行数据安全审计： 应对个人信息保护政策、相关规程和安全措施的有效性进行审计 ; 应建立自动化审计系统，监测记录个人信息处理活动 ; 审计过程形成的记录应能对安全事件的处置、应急响应和事后调查提供支 撑 ; 应防止非授权访问、篡改或删除审计记录 ; 应及时处理审计过程中发现的个人信息违规使用、滥用等情况 ; 审 计 记录和留存时间应符合法律法规的要求。 10 个人信息控制者 /个人信息处理者的义务 10.1 法规比标 GDPR 网络安全法 国标 个保法草案 考虑到处理行为的性 质、范围、环境、目 的以及可能对自然人 的权利和自 由带来的 建立健全用户信息 保护制度； 明确责任部门与人 员； 个人信息安全工 程； 第五十条： 制定内部管 理制度和操作规程； 第五十条： 对个人信息 实行分级分类管理； “个人信息保护监管要求”比标分析报告（ V1.0 版） 37 风险和损害，数据控 制者应当采取适当的 技术和组织措施以确 保并证明 处理行为是 按照本法的规定进行 的。这些措施应当在 必要的情况下进行评 估和更新。 不得泄露、篡改、 毁损其收集的个人 信息； 未经被收集者同 意，不得向他人提 供个人信息（经过 处理无法识别特定 个人且不能复原 的 除外）； 不得窃取或者以其 他非法方式获取个 人信息，不得非法 出售或者非法向他 人提供个人信息； 其他网络运营者应 当履行的义务（例 如网络安全等级保 护等）。 个人信息处理活动 记录； 开展个人信息安全 影响评估； 具备数据安全能 力； 要对企业人员进行 管理与培训； 进行安全审计。 第五十条： 采取相应的 加密、去标识化等安全 技术措施； 第五十条： 合理确定个 人信息处理的操作权 限，并定期对从业人员 进行安全教 育和培训； 第五十条： 制定并组织 实施个人信息安全事件 应急预案； 第五十一条： （如适 用）指定个人信息保护 负责人； 第五十二条： （如适 用）设立境内专门机构 或指定代表； 第五十三条 ：进行安全 审计； 第五十四条 ：进行风险 评估。 第五十六条 ：发生个人 信息泄露时的补救措施 和通知报告义务。 10.2 合规提示 国标上只有个人信息控制者这个概念，而 GDPR 中既有数据控制者又有数 据处理者的概念。原来业界一直呼吁我国也可以像 GDPR 一样在控制者概念外，增 加处理者的概念，以达到国际统一的表达方法和话语体系。但此次个保法 草案 却将原本国标中个人信息控制者的概念重新定义为了 “个人信息处理者 ”，实则 会给企业带来一些额外的困惑和解释成本，特别是那些本来就只履行处理者义务的 企业（比如 说云服务企业），其面对个保法草案第五章（个人信息处理者的义 务）时究竟是不是需要全部或者部分履行这些义务呢就会非常不清晰。虽然国 标只提出了控制者没有处理者的概念，但是对两者的义务还是 比较清晰的，并且 从国标实施前后企业也做了一定的实践工作，特别是控制者与处理者签署的 DPA（数据处理协议），一旦个保法草案将称谓替换后，不但会要求承担如修 “个人信息保护监管要求”比标分析报告（ V1.0 版） 38 订 所有合同等大量工作，同时合同中双方义务可能由于名称的变化而发生混淆。关 于个人信息控制者与处理者的实践指引， 笔者 将放于第二部分详细论述。 11 需要进行个人信息安全影响评估（ PIA）的场景和义务 11.1 法规比标 GDPR 网络安全法 国标 个保法草案 当一种数据处理方 式，尤其是采用新技 术的，数据控制者应 于处理前针对该处理 对个人数据保护的影 响进行评估。单一评 估也可针对一系列呈 现相似高风险操作进 行评估 实施数据保护影响评 估时，应寻求数据保 护官意见。 特别适用情形如下： 自然人系统性的及 深入的个人特质评 估 ，而该评估是基 于自动处理（包括 画像 ），且该评估 的决定将对该自然 人产生法律影响或 其他类似重大影 响。 大规模处理特殊类 型的个人数据或刑 事定罪和违法犯罪 的个人数据； / 建立个人信息安全影响评估 制度，评估并处置个人信息 处理活动存在的安全风险。 个人信息安全影响评估应主 要评估处理活动遵循个人信 息安全基本原则的情况，以 及个人信息处理活动对个人 信息主体合法