中銀文化
客戶至上、專業(yè)合作、勤勉盡責、優(yōu)質(zhì)高效
中銀解讀｜《個人信息保護法》之企業(yè)合規(guī)治理建議（上)
時間：2023.03.02 作者：北京中銀（深圳）律師事務所 潘良、楊繼奇
分享到：
2021年11月1日，《中華人民共和國個人信息保護法》正式實施，標志著我國個人信息保護邁入了新階段，進入監(jiān)管新時代。如何落實《個人信息保護法》，減少或降低合規(guī)風險，是所有涉及個人信息處理活動的企業(yè)或機構(gòu)廣泛關(guān)注和迫切解決的難題。相關(guān)企業(yè)應盡快自查、調(diào)整、修正或完善現(xiàn)有業(yè)務中對個人信息的收集和處理規(guī)則，以滿足合規(guī)要求。本文簡要分析《個人信息保護法》下的合規(guī)義務，并提示相應的企業(yè)合規(guī)治理建議，拋磚引玉，歡迎指正。 一、《個人信息保護法》第五十一條規(guī)定中的企業(yè)合規(guī)義務《個人信息保護法》第五十一條規(guī)定中，集中闡述了個人信息處理者的主要合規(guī)義務，概括起來包括制度建設、信息分類、技術(shù)措施、人員管理和應急預案等五個基本方面和兜底的其他措施。因此，涉及個人信息處理活動的企業(yè)應當根據(jù)個人信息的處理目的、處理方式、個人信息的種類不同，以及對個人權(quán)益的影響、可能存在的安全風險等，依法建立相應的合規(guī)管理體系。
（一）建立健全內(nèi)部管理制度和操作流程 《個人信息保護法》要求個人信息處理者（企業(yè)）內(nèi)部應建立完善的個人信息保護制度以及操作規(guī)程。為此，筆者從多年企業(yè)合規(guī)經(jīng)驗總結(jié)提煉如下要點，以期為企業(yè)合規(guī)治理提供有價值的參考建議。
1、健全內(nèi)部管理制度
對于企業(yè)而言，了解信息處理活動的目的、范圍和方法是信息處理管理的基礎(chǔ)?；诖耍髽I(yè)需要分類制定適合企業(yè)的個人信息保護相關(guān)制度，包括但不限于建立健全：個人信息收集、傳輸和處理系統(tǒng)；個人用戶信息處理通知系統(tǒng)；個人信息安全保護制度；信息分類管理制度；個人信息風險評估制度；應急預案系統(tǒng)；個人信息出境管理系統(tǒng)；合規(guī)審計制度等。企業(yè)個人信息保護內(nèi)部管理制度和體系的合法合規(guī)，不僅可以滿足監(jiān)管要求，還可以根據(jù)公司自身實際情況適時進行操作或調(diào)整。
2、建立個人信息保護操作流程
操作流程是管理系統(tǒng)正常運作的重要保障，與管理系統(tǒng)相輔相成。企業(yè)需要重視個人信息處理全流程管理的重要性，實行覆蓋個人信息收集、傳輸、存儲、處理、刪除等全流程的互聯(lián)互通，并在流程中制定嚴格的權(quán)限管理制度，以降低疏于權(quán)限管理可能帶來的風險。
3、設置個人信息保護專職人員
《個人信息保護法》第五十二條規(guī)定，如果企業(yè)處理個人信息達到國家網(wǎng)信部門規(guī)定數(shù)量，則應指定個人信息保護負責人，應當公開個人信息保護負責人的聯(lián)系方式，并將個人信息保護負責人的姓名、聯(lián)系方式等報送履行個人信息保護職責的部門。此外，企業(yè)必要時還可以考慮設立相關(guān)獨立部門，以專門負責內(nèi)部合規(guī)管理。這樣可以實現(xiàn)個人信息保護資源的整合，也有助于提升個人信息保護的效率水平，完善公司治理結(jié)構(gòu)。
（二）個人信息分級分類管理 1、建立健全個人信息保護清單
首先，企業(yè)需要全面搜集和整理涉及個人信息保護的相關(guān)信息，建立個人信息保護清單，實現(xiàn)對個人信息數(shù)據(jù)的可視化。比如公司目前擁有哪些個人信息、個人信息的數(shù)據(jù)保存在哪里、這些信息數(shù)據(jù)如何流動、具體關(guān)聯(lián)哪些部門等，建立個人信息保護清單是建立個人信息合規(guī)框架的基礎(chǔ)。其次，企業(yè)須篩選、保存需要的信息，變更、刪除不需要的信息。但在信息處理過程中，須符合《個人信息保護法》規(guī)定的“目的明確、合理”和“對個人權(quán)利的影響最小”兩個原則。因此，公司需要明確所需個人信息的類型，在信息清單列表中顯示所需信息的內(nèi)容和目的，并且盡量實現(xiàn)對個人權(quán)利的影響達到最小。最后，企業(yè)將需要處理的信息進行分類、分級，分類強調(diào)的是根據(jù)種類的不同按照屬性、特征而進行的劃分，而分級側(cè)重于按照劃定的某種標準，對同一類別的屬性按照高低、大小進行級別的劃分。信息數(shù)據(jù)的分類、分級可以滿足合規(guī)要求，還可以更有效地使用和保護數(shù)據(jù),并使數(shù)據(jù)更易于定位和檢索。
2、嚴格區(qū)分普通信息和敏感信息
企業(yè)在處理以下兩類信息需要特別注意：一是敏感個人信息。根據(jù)《個人信息保護法》第二十八條的規(guī)定，敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。此類信息主要與個人人身和財產(chǎn)安全有關(guān)，因此受法律特別保護，相關(guān)處理程序和保護措施比普通個人信息要更嚴格；二是未成年人（未滿十四周歲）的個人信息。根據(jù)法律法規(guī)的相關(guān)規(guī)定，處理此類信息需要依法征得監(jiān)護人的同意。對于違法處理未成年人信息的，在責任承擔時可能會被從重從嚴處理，以確保未成年人信息依法得到特別保護。
3、企業(yè)內(nèi)部員工個人信息保護
個人信息不僅包括企業(yè)外部個人信息，還包括內(nèi)部員工個人信息。盡管《個人信息保護法》第十三條規(guī)定，按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施人力資源管理所必需，企業(yè)可以處理個人信息。但內(nèi)部員工個人信息也屬于《個人信息保護法》的保護范疇，因此對內(nèi)部員工個人信息權(quán)利的保護也不容忽視，應當盡可能參考企業(yè)外部個人信息的處理方式，依法予以保護。
（三）個人信息安全保護措施 在網(wǎng)絡時代中，數(shù)據(jù)是構(gòu)成網(wǎng)絡的根本。而數(shù)據(jù)安全則是個人信息保護的基礎(chǔ)，保障數(shù)據(jù)安全是個人信息處理者的一項重要而基本的任務。《網(wǎng)絡安全法》要求網(wǎng)絡運營者保障網(wǎng)絡安全，維護網(wǎng)絡數(shù)據(jù)的完整性、保密性和可用性?！稊?shù)據(jù)安全法》也強調(diào)數(shù)據(jù)處理者的法律義務，以確保數(shù)據(jù)安全。此次實施的《個人信息保護法》，同樣要求企業(yè)采取安全技術(shù)措施保護個人信息。
企業(yè)應當采取個人信息安全保護措施，加強對個人信息的保護。個人信息安全保護措施要具有系統(tǒng)性、預防性、全面性。常見的技術(shù)手段包括建立防火墻、匿名化、加密化。建立防火墻有利于隔絕外部因素對墻內(nèi)數(shù)據(jù)的影響；匿名化是指對標識符進行處理，使特定個人信息主體處理的信息無法被識別的數(shù)據(jù)處理方法；加密化是利用技術(shù)手段把重要的數(shù)據(jù)變?yōu)閬y碼（加密）傳送，到達目的地后再用相同或不同的手段還原（解密）。
（四）個人信息處理權(quán)限及安全教育與培訓 《個人信息保護法》將合理確定個人信息處理的操作權(quán)限，并定期對從業(yè)人員進行安全教育和培訓直接列為公司法律義務。針對這一規(guī)定，其要點是：（1）建立內(nèi)部分工和權(quán)限體系。個人信息的收集、存儲、使用、風險監(jiān)控等任務明確分離，按照分工、分類為每個員工設置相應的權(quán)限或級別；（2）從業(yè)人員應參加安全教育和培訓。通過個人信息和數(shù)據(jù)安全教育培訓，牢固樹立員工數(shù)據(jù)安全意識，防止數(shù)據(jù)泄露。
（五）個人信息安全事件應急制度 合規(guī)工作可以在一定程度上防患于未然，但不能完全避免風險。由于技術(shù)進步和企業(yè)產(chǎn)品更新迭代，個人信息保護存在安全漏洞在所難免。這就要求企業(yè)須制定個人信息安全事件應急預案，并在發(fā)生突發(fā)事件時以該預案為核心，對應急工作及時、準確地提供指導。比如在《網(wǎng)絡安全法》中，要求網(wǎng)絡運營者制定網(wǎng)絡安全事件應急預案，及時應對系統(tǒng)漏洞、計算機病毒、網(wǎng)絡攻擊、網(wǎng)絡入侵等安全風險。當發(fā)生危害網(wǎng)絡安全事件時，應及時啟動應急預案，采取相應整改措施，并按規(guī)定向有關(guān)主管部門報告。而此次實施的《個人信息保護法》，再次強調(diào)企業(yè)應當制定個人信息安全事件應急預案，定期開展培訓，并將其作為企業(yè)的法律義務，這表明建立健全個人信息應急制度對于減少風險是十分必要的，企業(yè)應當重視這方面的建設。
......
【未完待續(xù)，敬請期待！】
