中銀文化
客戶至上、專業合作、勤勉盡責、優質高效
中銀解讀｜《個人信息保護法》之企業合規治理建議（下)
時間：2023.03.02 作者：北京中銀（深圳）律師事務所 潘良、楊繼奇
分享到：
本文承接上期文章 《個人信息保護法》之企業合規治理建議（上）
二、《個人信息保護法》第五十一條以外的其他合規義務除了第五十一條規定，《個人信息保護法》還在其他條文中規定了企業的合規義務，主要包括：
（一）收集、處理個人信息的充分告知義務 《個人信息保護法》第十七條、第十八條以及第三十條等規定，強調收集和處理個人信息的“知情同意”原則。企業在需要收集個人信息前，應制定明確的個人信息保護政策（或稱“隱私政策”），向用戶提供企業基本信息、個人信息收集目的、應用范圍和場景等，履行誠實、充分的告知義務。此外，對于隱私政策，必須公開并重點提示給目標受眾，當用戶在第一次注冊或運行產品時，須閱讀并確認同意相關隱私政策。在隱私政策中征得用戶同意，是充分保障用戶的知情權的體現。
（二）信息主體權益保障義務 《個人信息保護法》中規定了用戶享有知情權、決定權、拒絕權、查閱權、復制權、修改權、補充權、刪除權等權利。這意味著個人信息處理者有義務維護用戶的上述權利。企業需要根據用戶的個性化需求，基于數據靈活、準確地響應用戶的查詢、修改、刪除、轉移等需求，為用戶提供權益保障的渠道和服務。
（三）數據與算法的合規義務 1、防止基于數據質量的歧視
公司收集和保存的個人信息是基于數據的。如果數據不準確，相應的算法數據分析的結論也可能不準確，從而會產生對相關數據主體的負面評價，并最終影響用戶的合法權益。鑒于此，《個人信息保護法》第八條規定，處理個人信息應當保證個人信息的質量，避免因個人信息不準確、不完整對個人權益造成不利影響。《個人信息保護法》將保證個人信息質量作為企業的法定義務，從企業的角度來看，是為了保證企業數據獲取的準確性，從而避免因數據質量產生歧視。因此，企業在處理個人信息時應當保證個人信息的質量，提高個人信息的準確性和完整性。
2、防止不公平的歧視待遇
《個人信息保護法》第二十四條中規定的自動化決策，其實就是算法推薦。所謂的算法推薦，是指通過一些數學算法進行信息過濾,推測出用戶可能喜歡的東西,從而推薦對應的產品給用戶。目前應用推薦算法比較好的地方主要是在互網絡領域，比如搜索引擎、社交軟件和電子商務等互聯網平臺，會經常使用代碼和算法取代傳統內容交付過程中的編輯角色，從而完成對用戶喜歡的產品的信息過濾。這種算法推薦的應用在提升服務效率的同時，也會出現一系列用戶侵權行為，“大數據殺熟”便是很典型的一種。因此，《個人信息保護法》第二十四條規定，個人信息處理者利用個人信息進行自動化決策，應當保證決策的透明度和結果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇。鑒于此，個人信息處理者需要審查自身的算法推薦，是否具有充分的透明度以及結果公平公正，是否會導致出現不合理的差別待遇。
（四）事前風險評估義務根據《個人信息保護法》第五十五條規定，有下列情形之一的，個人信息處理者應當事前進行個人信息保護影響評估，并對處理情況進行記錄：（1）處理敏感個人信息；（2）利用個人信息進行自動化決策；（3）委托處理個人信息、向其他個人信息處理者提供個人信息、公開個人信息；（4）向境外提供個人信息；（5）其他對個人權益有重大影響的個人信息處理活動。
因此，事前風險評估應成為信息處理者的常態化工作，信息處理者還應保證事前風險評估工作制度化、規范化。除此之外，信息處理者在保證評估質量的同時，還應盡可能高效、快速地推進評估工作，這樣做的目的一方面是因為信息具有時效性等特征，另一方面也有助于提升工作效率，做到質量和效率的統一。
（五）合規審計義務《個人信息保護法》第五十四條規定，個人信息處理者應當定期對其處理個人信息遵守法律、行政法規的情況進行合規審計。第六十四條也有規定，發現個人信息處理活動存在較大風險或者發生個人信息安全事件的，監管部門有權要求個人信息處理者委托專業機構對其個人信息處理活動進行合規審計。個人信息處理者應當按照要求采取措施，進行整改，消除隱患。
筆者認為，雖然《個人信息保護法》對合規審計對象、審計內容、審計標準等細則均未有明確規定，但大致細節主要應包含：（1）定期審核個人信息的管理工作；（2）檢查內部管理制度和個人信息備忘錄的完整性和合規性；（3）檢查風險評估報告和記錄；（4）審核查看、復制、修改、傳輸、刪除個人信息義務的履行情況；（5）查閱與個人信息有關的合同及其他法律文件；（6）根據個人信息和數據相關法律法規的更新及時調整內部系統等。
（六）委托外部進行個人信息處理的合規義務隨著數字經濟的快速發展，外包數據處理變得越來越普遍。比如有些公司因自身條件不具備，便會將全部或部分信息儲存至外部的云服務器等。企業通過信息委托服務將信息委托給受托方保存或處理，并不意味著企業的風險與責任的轉移。在《個人信息保護法》實施后，企業在委托第三方處理時，需要事先進行信息處理保護影響評估工作，并記錄處理狀態。此外，委托雙方還必須簽訂書面委托協議，載明委托期限、受托人權限等基本信息。
（七）跨境數據傳輸的合規義務《個人信息保護法》未禁止個人信息跨境傳輸，而是規定了實現數據跨境傳輸所需的條件和制度框架。但該規定并不完善，在實際操作層面還需要進一步補充，比如跨境數據傳輸標準合同樣式、國家網信部門評估程序和標準、跨境傳輸認證標準等。鑒于此，在數據跨境流動過程中，企業必須嚴格按照法律規定，謹慎處理跨境數據傳輸問題。
（八）確保數據來源合法合規義務首先，針對直接從用戶收集使用的數據，如無法基于《個人信息保護法》第十三條（一）之外的條款建立個人信息處理的合法性基礎，則企業需要通過隱私政策披露等方式就個人信息的收集及后續使用獲取用戶同意，以構建收集相關信息用于自動化決策的合法性基礎；其次，針對間接從第三方獲取數據，建議企業在開展合作前，對于第三方數據供應商進行全面評估，就供應商資質、數據安全能力、是否存在任何不良記錄進行盡調，要求對方提供數據來源合法合規的相關證明，并簽署關于數據來源合法合規的相關承諾，從而盡可能規避因數據來源瑕疵而引發的合規風險。
（九）開展個人信息保護影響評估義務企業應積極開展評估工作，評估領域主要包括：處理敏感個人信息、利用個人信息進行自動化決策、委托處理個人信息、向其他個人信息處理者提供個人信息、公開個人信息、向境外提供個人信息等。評估內容主要包括：（1）個人信息的處理目的、處理方式等是否合法、正當、必要；（2）對個人權益的影響及安全風險；（3）所采取的安全保護措施是否合法、有效并與風險程度相適應等。
三、違反《個人信息保護法》可能需承擔的責任《個人信息保護法》頒布前，個人信息處理者面臨的責任主要為《民法典》中個人信息權益受到損害的民事責任。如果個人信息處理者還同時構成網絡運營者、開展數據處理活動的組織，則《網絡安全法》以及《數據安全法》中的行政處罰同樣適用。此外，違反國家有關規定向他人出售或者提供個人信息，情節嚴重的，還可能引發刑事責任。此次《個人信息保護法》的實施，對法律責任再次進行了完善和補充，尤其是在第七章中，確立了相關民事責任承擔的舉證責任倒置規則，并且設定了適用于所有的個人信息處理者的分檔。綜上，關于違反《個人信息保護法》可能需承擔的責任，具體而言：
（一）民事責任的承擔個人信息處理者須證明自己對于個人信息權益的損害沒有過錯，否則應當按照《民法典》的相關規定承擔包括停止侵害、排除妨礙、賠償損失、賠禮道歉等在內的法律責任。
（二）行政責任的承擔《個人信息保護法》中規定的行政責任主要包括責令改正、給予警告、沒收違法所得以及在拒不改正的情況下被處以一百萬元以下的罰款。對于直接負責的主管人員和其他責任人員將被處一萬元以上十萬元以下罰款。對于違反《個人信息保護法》，情節嚴重的，除被責令改正、沒收違法所得外，還有可能被處以五千萬元以下或者上一年度營業額百分之五以下的罰款；企業直接負責的主管人員和其他直接責任人員同時有可能被處十萬元以上一百萬元以下罰款。此外，前述人員還可能在一定期限內被禁止擔任相關企業的董事、監事、高級管理人員和個人信息保護負責人。雖然《個人信息保護法》對行政處罰作出了規定，但目前對于相關處罰的認定標準還尚未明確，還需要有關部門對前述處罰的具體認定標準等進行補充規定。
（三）刑事責任的承擔《個人信息保護法》第七十一條規定，違反本法規定，構成違反治安管理行為的，依法給予治安管理處罰；構成犯罪的，依法追究刑事責任。《刑法》第二百五十三條之一規定，違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。違反國家有關規定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規定從重處罰。竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規定處罰。單位犯前三款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照各該款的規定處罰。
綜合上述意見和建議，在強調保護個人數據和隱私的環境下，企業在數據安全和隱私保護方面的有效努力，依法合規經營能有效降低企業風險，減少損失。
否則，可能會引發行政調查、民事訴訟、刑事責任等。企業應建立個人信息保護規章制度、運行實施并不斷改進和完善，使單位的個人信息保護能力和單位信息安全級別得到提高，使客戶、消費者和員工的個人信息得到有效保護，使公司合規治理結構不斷完善。
