《个人信息保护法》今日实施,老虎证券等修改隐私政策

dawanjia 0

11月1日起,《中华人民共和国个人信息保护法》正式施行。(以下简称《个人信息保护法》)

《个人信息保护法》明确,处理个人信息应当具有明确、合理的目的,并应当与处理目的直接相关,采取对个人权益影响最小的方式;个人信息处理者利用个人信息进行自动化决策,不得对个人在交易价格等交易条件上实行不合理的差别待遇。对于提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者,该法特别规定了其需要履行的义务,如建立健全个人信息保护合规制度体系,定期发布个人信息保护社会责任报告,接受社会监督等。

消金界注意到,近日深陷合规风波的老虎证券,在《个人信息保护法》正式实施之际也更新了其隐私政策。

在老虎证券最新的隐私政策中,个人信息保护适用法律中,加入了《中华人民共和国个人信息保护法》及相关法律法规。

关于个人信息跨境提供规则,《个人信息保护法》明确了个人信息处理者向境外提供个人信息应当具备的基本条件,并对个人信息处理者跨境提供个人信息的“告知与单独同意”作出了严格的要求。

对于跨境互联网券商的合规问题,相信后续金融监管部门会有相应的政策提出,有何影响还有待观察。

此前,各大互联网公司已行动起来。抖音电商运营团队宣布启动消费者隐私数据加密项目,京东发布《JD用户订单隐私安全方案》,阿里巴巴开放平台发布《依法加强消费者订单中敏感信息保护的公告》等。

但老虎证券修改隐私政策,则从一个侧面反应了《个人信息保护法》的威力——今后,对个人信息全方位的保护将有法可依,相关垂直领域的下位法也会加速出台。

附文:

《个人信息保护法》十大注意要点

作者:王春晖

来源:法制网

关于《个人信息保护法》,浙江大学教授、网络空间治理与数字经济法治(长三角)研究基地主任兼首席专家王春晖,建议重点把握十大核心要点。

一、“规范个人信息处理活动” 是个人信息保护法的核心

目前,在各类个人信息保护法的解读文章中,大多在谈论个人信息保护的内容,很少涉及如何促进个人信息合理利用。实质上,《个人信息保护法》的立法目的不仅仅是“保护”个人信息,而是“保护”和“利用”同步推进

《个人信息保护法》第一条规定:“为了保护个人信息权益,规范个人信息处理活动,促进个人信息合理利用,根据宪法,制定本法。” 从《个人信息保护法》的立法目的看,个人信息保护法的实质功能是一部个人信息处理活动行为规范法,个人信息保护的真正立法目的有两个:一个是“保护个人信息权益”,另一个是“促进个人信息合理利用”,其中“规范个人信息处理活动”处于整个《个人信息保护法》的核心地位,只有夯实“规范个人信息处理活动”这个关键环节,才能确保实现保护个人信息权益和促进个人信息合理利用之目的。

二、个人信息的内涵与匿名化

《个人信息保护法》第四条第一款明确了“个人信息”的定义:“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。”该定义与《网络安全法》《民法典》以及最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》中的“个人信息”定义在基本概念上保持了一致,强调了“已识别或者可识别的自然人信息”,但在内涵上却有很大的不同。《个人信息保护法》中的“个人信息”定义增加了“不包括匿名化处理后的信息”,明确了“个人信息”经匿名化处理后不属于个人信息,也就无须适用《个人信息保护法》的相关规定,体现了《个人信息保护法》的“保护”和“利用”并重。

《个人信息保护法》第七十三条(四)将“匿名化”定义为:“是指个人信息经过处理无法识别特定自然人且不能复原的过程。”该定义中的“不能复原”主要采取了以下两种方法,一是删除个人信息包含的个人描述部分,包括将描述部分替换为其他描述部分,或者使用具有不可恢复的方法等;二是删除所述个人信息中所包含的全部标识符,包括将标识符替换为其他描述部分,或者使用具有不可恢复的方法等。

三、个人信息保护法的域外效力

在数字化、智能化和网络化的时代,数据正在以前所未有的方式自由流动和跨境传输,因此个人信息保护立法仅有域内效力的规定,根本无法充分保护本国公民的个人信息。2018年生效的欧盟《通用数据保护条例》(General Data Protection Regulation,简称GDPR),率先确立了个人数据保护的域外效力,目前已有多个国家的个人信息保护法借鉴了GDPR域外效力的立法实践,我国的《个人信息保护法》也反映了国际个人信息保护的域外效力趋势。

我国《个人信息保护法》第三条第二款规定,在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动,有下列三种情形之一的,也适用《个人信息保护法》:一是“以向境内自然人提供产品或者服务为目的”,比如一家位于美国运营的电子商务网站(Amazon)向中国境内的自然人(包括本国人、外国人和无国籍人)提供产品或服务;二是“分析、评估境内自然人的行为”,比如一家位于境外的社交网站分析、评估中国境内自然人的行为,像全球最大的社交网站Facebook,每年发布专门的用户行为习惯研究分析报告;三是法律、行政法规规定的其他情形,如我国《数据安全法》第二条第二款明确规定:“在中华人民共和国境外开展数据处理活动,损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的,依法追究法律责任。”

四、个人信息处理的核心原则

《个人信息保护法》总则部分确立了多项处理个人信息的基本原则,对这部法律的实施具有重要的指导意义。《个人信息保护法》的基本原则主要涉及的是个人信息处理的基本准则,特别是在云环境和平台经济的背景下,很多新型和疑难的个人信息保护案件很难精准地适用具体相应的法律条款,但是个人信息处理的基本原则具有协调、漏洞补充和缓和规则不公正的作用,对新型个人信息保护案件的适用将发挥重要作用,应当透彻理解。

《个人信息保护法》主要确立以下五项重要原则:一是遵循合法、正当、必要和诚信原则;二是采取对个人权益影响最小的方式,限于实现处理目的的最小范围原则;三是处理个人信息应当遵循公开、透明原则;四是处理个人信息应当保证个人信息质量原则;五是采取必要措施确保个人信息安全原则等。以上个人信息处理原则,如“遵循合法、正当、必要”“应当遵循公开、透明原则”以及“保障个人信息安全”等原则,在《全国人民代表大会常务委员会关于加强网络信息保护的决定》《网络安全法》《民法典》《消费者权益保护法》等相关个人信息保护立法中均有规定,已经成为我国个人信息处理应遵循的通用规则。

《个人信息保护法》总则部分第六条确立的两个“最小原则”,是个人信息处理应遵循的核心原则,尤其是处理目的的“最小范围”,这是禁止“过度收集个人信息”的关键要点,因为个人信息处理者只有在严格遵守处理目的的“最小范围”的前提下,即“非必要不收集”的情况下,才能确保其采取对个人权益影响最小的方式。《个人信息保护法》第八条还专门规定了处理个人信息应当保证个人信息的质量,这项原则也极为重要,如果个人信息不准确或不完整,将对个人权益造成不利影响,比如疫情期间“通信大数据行程卡”记录的“表示当前该城市存在中风险或高风险地区,并不表示用户实际到访过这些中高风险地区”,以上对个人行程信息的记录就不够准确或不够完整,给用户的出行带来了极大的不便。准确和完成的信息应该是“该城市存在中风险或高风险地区,具体应当注明是哪几个区域存在中风险或高风险,该用户是否实际到过这些中高风险区域”。

五、构建了以“告知-知情-同意”为核心的个人信息处理规则

“告知-同意”这一个人信息处理规则,在《全国人民代表大会常务委员会关于加强网络信息保护的决定》《网络安全法》《消费者权益保护法》以及《民法典》等法律中均有规定。《个人信息保护法》不仅是确立了以“告知-同意”的个人信息处理规则,而且构建了以“告知-知情-同意”为核心的个人信息处理规则体系。

应当指出,个人信息处理者“告知”的目的是为了确保被告知者的充分“知情”,只有被告知者在充分知情的前提下才能自愿、明确地作出决定。为此,《个人信息保护法》第十四条明确规定:“基于个人同意处理个人信息的,该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的,从其规定。”由此,《个人信息保护法》构建了以“告知-知情-同意”为核心的个人信息处理规则。

六、敏感个人信息的认定与保护规则

《民法典》第一千零三十四条三款规定:“个人信息中的私密信息,适用有关隐私权的规定;没有规定的,适用有关个人信息保护的规定。” 因此,《个人信息保护法》没有对自然人的隐私信息作出专门规定,而是将个人信息分为敏感信息和非敏感信息,并设专节设置了“敏感个人信息的处理规则”。

《个人信息保护法》第二十八条给出了“敏感个人信息”的定义,即“敏感个人信息是一旦泄露或者非法使用,容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息,包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息,以及不满十四周岁未成年人的个人信息。” 该定义采用了“个人信息被泄露或者非法使用+危害后果+列举重要敏感个人信息”的立法技术,同时将不满十四周岁未成年人的个人信息也纳入了“敏感个人信息”给予重点保护。

《个人信息保护法》对处理敏感个人信息作出了严格的限制性规定,即在履行“告知-知情-同意”原则的基础上,只有在具有特定的目的和充分的必要性,并采取严格保护措施的情形下,个人信息处理者方可处理敏感个人信息。特别是处理敏感个人信息应当取得个人的单独同意,如果法律、行政法规规定处理敏感个人信息应当取得书面同意的,应当从其规定。

七、严禁“大数据杀熟”以及为“用户画像”等涉及不当自动化决策

针对“大数据杀熟”“用户画像”和“算法推荐”等涉及个人信息自动化决策的热点问题,《个人信息保护法》作出了明确规范(第二十四条):首先,个人信息处理者利用个人信息进行自动化决策,应当保证决策的透明度和结果公平、公正,不得对个人在交易价格等交易条件上实行不合理的差别待遇;其次,通过自动化决策方式向个人进行信息推送、商业营销,应当同时提供不针对其个人特征的选项,或者向个人提供便捷的拒绝方式;第三,通过自动化决策方式作出对个人权益有重大影响的决定,个人有权要求个人信息处理者予以说明,并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。

《个人信息保护法》就个人信息处理者利用个人信息进行自动化决策重点确立了一项义务性规范和一项禁止性规定:一是应当保证决策的透明度和结果公平、公正;二是不得对个人在交易价格等交易条件上实行不合理的差别待遇。

八、个人信息跨境提供规则

在数字和网络时代,特别是疫情激发的非接触式经济,使得个人信息的跨境流动日益频繁,但是由于不同国家的个人信息法律制度存在差异,个人信息跨境流动的规则也有所不同。我国《个人信息保护法》立足我国实际,并借鉴了国际立法经验,确立了一套完善的个人信息跨境提供规则。

《个人信息保护法》明确了个人信息处理者向境外提供个人信息应当具备的基本条件,如关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者,确需向境外提供个人信息的,应当通过国家网信部门组织的安全评估;对于其他需要跨境提供个人信息的,应由专业机构进行个人信息保护认证;个人信息处理者因业务需要向境外提供个人信息,需按照国家网信部门的标准合同与境外接收方订立合同;对我国缔结或者参加的国际条约、协定对向我国境外提供个人信息的条件等有规定的,可以按照其规定执行等。

《个人信息保护法》对个人信息处理者跨境提供个人信息的“告知与单独同意”作出了严格的要求;对因国际司法协助或者行政执法协助,需要向境外提供个人信息的,要求依法申请有关主管部门批准,特别是对从事损害我国公民个人信息权益或者危害我国国家安全、公共利益等活动的境外组织、个人,以及在个人信息保护方面对我国采取不合理措施的国家和地区,规定了相应的限制或者禁止措施。

九、个人在个人信息处理活动中的七项权利

《个人信息保护法》全面构建了个人在个人信息处理活动中的权利,包括知情权、决定权(限制、拒绝和撤回权)、查阅复制权、个人信息可携带权、更正补充权、删除权、规则解释权。

1.知情同意权。收集和使用公民个人信息必须遵循合法、正当、必要原则,且目的必须明确并经用户的知情同意;2.决定权。有权限制、拒绝或撤回他人对其个人信息的处理;3.查阅复制权。个人有权向个人信息处理者查阅、复制其个人信息;4.个人信息移转权。个人请求将个人信息转移至其指定的个人信息处理者,符合国家网信部门规定条件的,个人信息处理者应当提供转移的途径;5.更正补充权。个人发现其个人信息不准确或者不完整的,有权请求个人信息处理者更正、补充;6.删除权。在五种情形下,个人信息处理者应当主动删除个人信息;个人信息处理者未删除的,个人有权请求删除:1)处理目的已实现、无法实现或者为实现处理目的不再必要,2)个人信息处理者停止提供产品或者服务,或者保存期限已届满,3)个人撤回同意,4)个人信息处理者违反法律、行政法规或者违反约定处理个人信息,5)法律、行政法规规定的其他情形;7.规则解释权。个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。

十、重要互联网平台的“守门人”制度

鉴于重要互联网平台掌握海量用户数据,一旦发生信息泄露或滥用,可能导致严重后果,《个人信息保护法》专门要求其履行“守门人”角色,并承担更多责任,主要包括:1.应按照国家规定建立健全个人信息保护合规制度体系;2.成立主要由外部成员组成的独立机构进行监督;3.遵循公开、公平、公正的原则制定平台规则;4.对严重违法处理个人信息的平台内产品或服务提供者停止提供服务;5.定期发布个人信息保护社会责任报告并接受社会监督等。

为了确保个人信息处理者遵守个人信息保护之义务,严格规范个人信息的处理活动,《个人信息保护法》设置了严格的行政和民事法律责任。

《个人信息保护法》第六十六条对违法处理个人信息,或者处理个人信息未履行法定的个人信息保护义务设置了三项法律责任:一是由履行个人信息保护职责的部门责令改正,给予警告,没收违法所得,对违法处理个人信息的应用程序,责令暂停或者终止提供服务;二是拒不改正的,并处一百万元以下罚款;三是对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

如果有上述规定的违法行为,且情节严重的,设置了两项更严格的法律责任:一是由省级以上履行个人信息保护职责的部门责令改正,没收违法所得,并处五千万元以下或者上一年度营业额百分之五以下罚款,并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照;二是对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款,并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

特别是“并处五千万元以下或者上一年度营业额百分之五以下罚款,并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照”,这项处罚是非常严厉的。

  • 评论列表

留言评论