個人信息保護法草案正式亮相，聚焦突出問題加大違法行為懲處力度

備受關(guān)注的個人信息保護法草案提請十三屆全國人大常委會第二十二次會議審議。

數(shù)字顯示，截至2020年3月，我國互聯(lián)網(wǎng)用戶已達9億，互聯(lián)網(wǎng)網(wǎng)站超過400萬個，應(yīng)用程序數(shù)量超過300萬個，個人信息的收集、使用更為廣泛。應(yīng)當看到，雖然近年來我國個人信息保護力度不斷加大，但在現(xiàn)實生活中，一些企業(yè)、機構(gòu)甚至個人，從商業(yè)利益等出發(fā)，隨意收集、違法獲取、過度使用、非法買賣個人信息，利用個人信息侵擾人民群眾生活安寧、危害人民群眾生命健康和財產(chǎn)安全等問題仍十分突出。

“為及時回應(yīng)廣大人民群眾的呼聲和期待，落實黨中央部署要求，制定一部個人信息保護方面的專門法律，將廣大人民群眾的個人信息權(quán)益實現(xiàn)好、維護好、發(fā)展好，具有重要意義。”全國人大常委會法工委副主任劉俊臣表示，制定個人信息保護法是進一步加強個人信息保護法制保障的客觀要求，是維護網(wǎng)絡(luò)空間良好生態(tài)的現(xiàn)實需要，也是促進數(shù)字經(jīng)濟健康發(fā)展的重要舉措。

草案共八章七十條。從內(nèi)容上看，草案聚焦目前個人信息保護的突出問題，落實個人信息保護責任，加大違法行為懲處力度。

聚焦突出問題 健全個人信息處理系列規(guī)則

設(shè)專節(jié)對處理敏感個人信息作出更嚴格的限制，只有在具有特定的目的和充分的必要性的情形下，方可處理敏感個人信息，并且應(yīng)當取得個人的單獨同意或者書面同意

在應(yīng)對新冠肺炎疫情中，大數(shù)據(jù)應(yīng)用為聯(lián)防聯(lián)控和復(fù)工復(fù)產(chǎn)提供了有力支持。為此，草案將應(yīng)對突發(fā)公共衛(wèi)生事件，或者緊急情況下保護自然人的生命健康，作為處理個人信息的合法情形之一。

“需要強調(diào)的是，在上述情形下處理個人信息，也必須嚴格遵守本法規(guī)定的處理規(guī)則，履行個人信息保護義務(wù)?！眲⒖〕颊f。

草案確立了個人信息處理應(yīng)遵循的原則，強調(diào)處理個人信息應(yīng)當采用合法、正當?shù)姆绞?，具有明確、合理的目的，限于實現(xiàn)處理目的的最小范圍，公開處理規(guī)則，保證信息準確，采取安全保護措施等，并將上述原則貫穿于個人信息處理的全過程、各環(huán)節(jié)。

同時，草案還確立了以“告知一同意”為核心的個人信息處理一系列規(guī)則，要求處理個人信息應(yīng)當在事先充分告知的前提下取得個人同意，并且個人有權(quán)撤回同意;重要事項發(fā)生變更的應(yīng)當重新取得個人同意;不得以個人不同意為由拒絕提供產(chǎn)品或者服務(wù)。

考慮到經(jīng)濟社會生活的復(fù)雜性和個人信息處理的不同情況，草案還對基于個人同意以外合法處理個人信息的情形作了規(guī)定。

草案還設(shè)專節(jié)對處理敏感個人信息作出更嚴格的限制，只有在具有特定的目的和充分的必要性的情形下，方可處理敏感個人信息，并且應(yīng)當取得個人的單獨同意或者書面同意。

此外，草案設(shè)專節(jié)規(guī)定國家機關(guān)處理個人信息的規(guī)則，在保障國家機關(guān)依法履行職責的同時，要求國家機關(guān)處理個人信息應(yīng)當依照法律、行政法規(guī)規(guī)定的權(quán)限和程序進行。

明確適用范圍 賦予本法必要域外適用效力

賦予個人信息保護法必要的域外適用效力，以充分保護我國境內(nèi)個人的權(quán)益

草案明確規(guī)定，個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息;個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開等活動。

同時，借鑒有關(guān)國家和地區(qū)的做法，草案還賦予了必要的域外適用效力，以充分保護我國境內(nèi)個人的權(quán)益。

草案規(guī)定，以向境內(nèi)自然人提供產(chǎn)品或者服務(wù)為目的，或者為分析、評估境內(nèi)自然人的行為等發(fā)生在我國境外的個人信息處理活動，也適用本法;并要求境外的個人信息處理者在境內(nèi)設(shè)立專門機構(gòu)或者指定代表，負責個人信息保護相關(guān)事務(wù)。

維護國家利益 完善個人信息跨境提供規(guī)則

對跨境提供個人信息的“告知—同意”作出更嚴格的要求

草案明確，關(guān)鍵信息基礎(chǔ)設(shè)施運營者和處理個人信息達到國家網(wǎng)信部門規(guī)定數(shù)量的處理者，確需向境外提供個人信息的，應(yīng)當通過國家網(wǎng)信部門組織的安全評估;對于其他需要跨境提供個人信息的，規(guī)定了經(jīng)專業(yè)機構(gòu)認證等途徑。

同時，草案對跨境提供個人信息的“告知—同意”作出更嚴格的要求。對因國際司法協(xié)助或者行政執(zhí)法協(xié)助，需要向境外提供個人信息的，要求依法申請有關(guān)主管部門批準。

對從事?lián)p害我國公民個人信息權(quán)益等活動的境外組織、個人，以及在個人信息保護方面對我國采取不合理措施的國家和地區(qū)，草案規(guī)定了可以采取的相應(yīng)措施。

落實保護責任 明確相關(guān)主體的權(quán)利和義務(wù)

要求個人信息處理者按照規(guī)定制定內(nèi)部管理制度和操作規(guī)程，采取相應(yīng)的安全技術(shù)措施，并指定負責人對其個人信息處理活動進行監(jiān)督

與民法典的有關(guān)規(guī)定相銜接，草案對個人信息處理活動中個人的各項權(quán)利進行了明確，包括知情權(quán)、決定權(quán)、查詢權(quán)、更正權(quán)、刪除權(quán)等，并要求個人信息處理者建立個人行使權(quán)利的申請受理和處理機制。

與此同時，草案明確了個人信息處理者的合規(guī)管理和保障個人信息安全等義務(wù)，要求其按照規(guī)定制定內(nèi)部管理制度和操作規(guī)程，采取相應(yīng)的安全技術(shù)措施，并指定負責人對其個人信息處理活動進行監(jiān)督;定期對其個人信息活動進行合規(guī)審計;對處理敏感個人信息、向境外提供個人信息等高風險處理活動，事前進行風險評估;履行個人信息泄露通知和補救義務(wù)等。

明確職責分工 突出網(wǎng)信部門統(tǒng)籌協(xié)調(diào)作用

國家網(wǎng)信部門和國務(wù)院有關(guān)部門在各自職責范圍內(nèi)負責個人信息保護和監(jiān)督管理工作

個人信息保護涉及各個領(lǐng)域和多個部門的職責。草案根據(jù)個人信息保護工作實際，明確國家網(wǎng)信部門負責個人信息保護工作的統(tǒng)籌協(xié)調(diào)，發(fā)揮其統(tǒng)籌協(xié)調(diào)作用。

草案同時規(guī)定，國家網(wǎng)信部門和國務(wù)院有關(guān)部門在各自職責范圍內(nèi)負責個人信息保護和監(jiān)督管理工作。

加大懲處力度 對違法行為設(shè)嚴格法律責任

侵害個人信息權(quán)益的違法行為，情節(jié)嚴重的，沒收違法所得，并處五千萬元以下或者上一年度營業(yè)額百分之五以下罰款

草案對違反本法規(guī)定行為的處罰及侵害個人信息權(quán)益的民事賠償?shù)茸髁艘?guī)定。

草案規(guī)定，違反本法規(guī)定處理個人信息，或者處理個人信息未按照規(guī)定采取必要的安全保護措施的，由履行個人信息保護職責的部門責令改正，沒收違法所得，給予警告;拒不改正的，并處一百萬元以下罰款;對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款。

草案同時規(guī)定，有前款規(guī)定的違法行為，情節(jié)嚴重的，由履行個人信息保護職責的部門責令改正，沒收違法所得，并處五千萬元以下或者上一年度營業(yè)額百分之五以下罰款，并可以責令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、通報有關(guān)主管部門吊銷相關(guān)業(yè)務(wù)許可或者吊銷營業(yè)執(zhí)照;對直接負責的主管人員和其他直接責任人員處十萬元以上一百萬元以下罰款。

根據(jù)草案，有本法規(guī)定的違法行為的，依照有關(guān)法律、行政法規(guī)的規(guī)定記入信用檔案，并予以公示。

此外，草案規(guī)定，對侵害個人信息權(quán)益的民事賠償，按照個人所受損失或者個人信息處理者所獲利益確定數(shù)額，上述數(shù)額無法確定的，由人民法院根據(jù)實際情況確定賠償數(shù)額。
責編AJX