《中华人民共和国个人信息保护法》解读

《中华人民共和国个人信息保护法》于2021年8月20日经第十三届全国人民代表大会常务委员会第三十次会议通过，自2021年11月1日起施行。该法是我国首部专门针对个人信息保护的法律，对规范个人信息处理活动，保障个人信息权益，促进个人信息合理利用具有重要意义。

一、立法背景

1. 个人信息保护需求

随着数字经济的快速发展，个人信息收集、使用日益频繁，个人信息泄露、滥用等问题突出，亟需通过立法加强个人信息保护。

2. 法律体系完善

《个人信息保护法》与《网络安全法》《数据安全法》共同构成我国网络安全和个人信息保护法律体系的"三驾马车"，形成了较为完善的法律制度体系。

3. 国际经验借鉴

借鉴欧盟《通用数据保护条例》（GDPR）等国际先进立法经验，结合我国实际情况，制定符合国情的《个人信息保护法》。

二、主要内容

1. 总则

立法目的：保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用。

适用范围：在中华人民共和国境内处理自然人个人信息的活动，适用本法。在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：以向境内自然人提供产品或者服务为目的；分析、评估境内自然人的行为；法律、行政法规规定的其他情形。

基本原则：处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。

2. 个人信息处理规则

告知同意：处理个人信息应当取得个人同意，并在处理前以显著方式、清晰易懂的语言真实、准确、完整地向个人告知处理目的、处理方式、处理的个人信息种类、保存期限、个人行使权利的方式和程序等事项。

单独同意：处理敏感个人信息、向他人提供个人信息、公开个人信息、处理已公开的个人信息用于其他目的等情形，应当取得个人的单独同意。

处理目的限制：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。

3. 敏感个人信息

敏感个人信息范围：敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

处理要求：处理敏感个人信息应当取得个人的单独同意，并应当告知处理敏感个人信息的必要性以及对个人权益的影响。

特殊保护：处理不满十四周岁未成年人个人信息的，应当取得其父母或者其他监护人的同意，并制定专门的个人信息处理规则。

4. 个人信息处理者的义务

安全保护义务：个人信息处理者应当采取相应的技术措施和其他必要措施，确保个人信息处理活动符合法律、行政法规的规定，防止未经授权的访问以及个人信息泄露、篡改、丢失。

指定负责人：处理个人信息达到国家网信部门规定数量的个人信息处理者，应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。

影响评估：处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向他人提供个人信息、公开个人信息、处理已公开的个人信息用于其他目的等情形，应当事前进行个人信息保护影响评估，并对处理情况进行记录。

5. 个人在个人信息处理活动中的权利

知情权、决定权：个人有权知悉其个人信息被处理的情况，有权决定是否同意处理其个人信息。

查阅、复制权：个人有权向个人信息处理者查阅、复制其个人信息。

更正、补充权：个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。

删除权：个人有权请求个人信息处理者删除其个人信息，有下列情形之一的，个人信息处理者应当及时删除个人信息：处理目的已实现、无法实现或者为实现处理目的不再必要；个人信息处理者停止提供产品或者服务，或者保存期限已届满；个人撤回同意；个人信息处理者违反法律、行政法规或者双方的约定处理个人信息；法律、行政法规规定的其他情形。

撤回同意权：个人有权撤回其同意，不影响撤回前基于个人同意进行的个人信息处理活动的效力。

自动化决策相关权利：个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。

6. 个人信息跨境提供

出境条件：个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：通过国家网信部门组织的安全评估；按照国家网信部门的规定经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；法律、行政法规或者国家网信部门规定的其他条件。

告知义务：个人信息处理者向中华人民共和国境外提供个人信息，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。

禁止出境：关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估。

7. 法律责任

行政责任：违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可证或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

刑事责任：违反本法规定，构成犯罪的，依法追究刑事责任。

民事责任：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。

三、核心制度

1. 告知同意制度

处理个人信息应当取得个人同意，并在处理前以显著方式、清晰易懂的语言真实、准确、完整地向个人告知处理目的、处理方式、处理的个人信息种类、保存期限、个人行使权利的方式和程序等事项。

2. 单独同意制度

处理敏感个人信息、向他人提供个人信息、公开个人信息、处理已公开的个人信息用于其他目的等情形，应当取得个人的单独同意。

3. 个人信息保护影响评估制度

处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向他人提供个人信息、公开个人信息、处理已公开的个人信息用于其他目的等情形，应当事前进行个人信息保护影响评估，并对处理情况进行记录。

4. 个人信息跨境提供制度

个人信息处理者向中华人民共和国境外提供个人信息，应当通过安全评估、认证或订立标准合同等方式，并取得个人的单独同意。

5. 个人信息保护负责人制度

处理个人信息达到国家网信部门规定数量的个人信息处理者，应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。

四、实施意义

1. 保护个人信息权益

《个人信息保护法》明确了个人的知情权、决定权、查阅复制权、更正补充权、删除权、撤回同意权等权利，有效保护个人信息权益。

2. 规范个人信息处理活动

《个人信息保护法》规定了个人信息处理的基本原则、处理规则、处理者义务等，规范个人信息处理活动，防止个人信息泄露、滥用。

3. 促进个人信息合理利用

《个人信息保护法》在保护个人信息权益的同时，鼓励个人信息合理利用，促进数字经济发展。

4. 完善法律体系

《个人信息保护法》与《网络安全法》《数据安全法》共同构成我国网络安全和个人信息保护法律体系，为数字中国建设提供坚实的法治保障。

五、企业合规建议

1. 建立个人信息保护制度

企业应当建立健全个人信息保护管理制度，明确个人信息处理规则、处理目的、处理方式、保存期限等。

2. 履行告知同意义务

企业处理个人信息应当取得个人同意，并在处理前以显著方式、清晰易懂的语言真实、准确、完整地向个人告知相关事项。

3. 加强敏感个人信息保护

企业处理敏感个人信息应当取得个人的单独同意，并应当告知处理敏感个人信息的必要性以及对个人权益的影响。

4. 指定个人信息保护负责人

处理个人信息达到国家网信部门规定数量的企业，应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。

5. 开展个人信息保护影响评估

处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向他人提供个人信息、公开个人信息、处理已公开的个人信息用于其他目的等情形，应当事前进行个人信息保护影响评估。

6. 规范个人信息跨境提供

企业向境外提供个人信息，应当通过安全评估、认证或订立标准合同等方式，并取得个人的单独同意。

7. 加强员工培训

企业应当组织开展个人信息保护教育培训，提高员工的个人信息保护意识和技能。

8. 建立应急响应机制

企业应当建立个人信息安全应急响应机制，发生个人信息安全事件时，立即采取处置措施，及时告知用户并向有关主管部门报告。