網(wǎng)上投稿
2017年12月29日，中國國家標準化管理委員會正式發(fā)布《信息安全技術 個人信息安全規(guī)范》（GB/T 35273-2017，下稱“規(guī)范”）；2018年1月24日，國家標準全文公開系統(tǒng)正式對外公布規(guī)范全文，將于2018年5月1日起實施。
《網(wǎng)絡安全法》實施以來，立法層面，國家層面發(fā)布了一系列與個人信息保護有關的法律法規(guī)、規(guī)范性文件及司法解釋。而監(jiān)管、執(zhí)法層面，人大、網(wǎng)信、網(wǎng)安、工信甚至消協(xié)系統(tǒng)，在全國各地掀起了一系列個人信息專項檢查、打擊行動。來自上海公安局的消息，僅上海一地，2017年就偵破個人信息犯罪案件超過1000起。
但是，由于法律規(guī)范及監(jiān)管政策的原則性、模糊化及碎片化，很多政策缺乏落地的細則，這就給很多企業(yè)個人信息合規(guī)工作帶來極大的困惑。而由全國信息安全標準化技術委員會牽頭制定的《規(guī)范》，從國家標準層面，明確了企業(yè)收集、使用、分享個人信息的合規(guī)要求，為企業(yè)制定隱私政策及個人信息管理規(guī)范指明了方向。
一、《個人信息安全規(guī)范》的效力問題
《規(guī)范》的標準編號為GB/T 35273-2017，即為推薦性國家標準。根據(jù)《國家標準化法》規(guī)定，強制性標準必須執(zhí)行，國家鼓勵采用推薦性標準。
但是，根據(jù)《規(guī)范》適用范圍說明，《規(guī)范》適用于“主管監(jiān)管部門、第三方評估機構等組織對個人信息處理活動進行監(jiān)管、管理和評估”。在此之前，國家網(wǎng)信辦有關領導也明確指出，規(guī)范“定位為我國個人信息保護工作的基礎性標準文件……為制定和實施個人信息保護相關法律法規(guī)奠定基礎，為國家主管部門、第三方測評機構等開展個人信息安全管理、評估工作提供指導和依據(jù)。”
在實踐中，之前網(wǎng)信辦、工信部、公安部等聯(lián)合開展的隱私條款專項工作也主要是以《規(guī)范（征求意見稿）》為依據(jù)；2018年1月6日，國家網(wǎng)信辦網(wǎng)絡安全協(xié)調局約談“支付寶年度賬單事件”當事企業(yè)負責人時，也再次強調了《規(guī)范》的準據(jù)效力。
二、個人信息有關的幾個法律概念界定
前面提到，《網(wǎng)絡安全法》及其配套制度關于個人信息保護的規(guī)范相對原則，而本次《規(guī)范》重點明確了實踐中比較關注的幾個概念。
首先，《規(guī)范》明確了“敏感個人信息”的范疇。《規(guī)范》及其附錄確定了敏感個人信息的認定標準、實例以及敏感個人信息的特殊合規(guī)要求，這與《網(wǎng)絡安全法》規(guī)定的數(shù)據(jù)分類措施相銜接。
其次，《規(guī)范》明確了“收集”的法律概念，明確將個人信息收集行為分為主動提交、自動采集、從第三方獲取三種方式，并將獲取但不回傳至服務器的行為排除在“收集”行為之外。
此外，《規(guī)范》還明確規(guī)定了實踐中爭議較大的“刪除”、“用戶畫像”、“匿名化”等概念，對于企業(yè)合規(guī)建設具有重要的參考價值。
三、個人信息收集的合規(guī)要求
本次《規(guī)范》明確了企業(yè)收集個人信息的合規(guī)要求，主要包括如下幾個方面：
第一，《規(guī)范》明確了用戶知悉的合規(guī)要求。《規(guī)范》明確規(guī)定企業(yè)應當告知用戶，網(wǎng)絡產品或服務的不同業(yè)務功能分別收集了哪些個人信息，并應當通過隱私政策的方式明確告知用戶收集的個人信息的詳細、完整規(guī)則。收集行為涉及共同個人信息控制者時，還應當明確告知用戶共同控制的第三方及各自責任。
第二，《規(guī)范》明確了用戶同意的合規(guī)要求。《規(guī)范》對用戶的明示同意作出了示例性規(guī)范，包括作出書面聲明、主動勾選、主動點擊“同意”/“注冊”/“發(fā)送”等主動性動作。《規(guī)范》還規(guī)定了收集用戶個人敏感信息時的特殊規(guī)則。
第三，《規(guī)范》明確了收集同意規(guī)則的例外情形。《規(guī)范》明確，當所收集的個人信息是個人信息主體自行向社會公開的，或者收集著從合法公開披露的信息中收集個人信息的，或者用于學術研究等目的時，可以無需征得信息主體的授權或者同意程序相應克減。
第四，《規(guī)范》明確了從第三方獲取個人信息的審查要求。《規(guī)范》明確，企業(yè)從第三方獲取個人信息時，應當要求提供者說明來源，并審查來源的合法性以及是否履行了必要的同意程序等。
四、個人信息分享的合規(guī)要求
《規(guī)范》明確規(guī)定，委托第三方處理個人信息時，應當開展個人信息安全影響評估，并應當采取措施監(jiān)督、記錄第三方委托處理的行為，并應當對第三方進行審計。
關于個人信息的轉讓，《規(guī)范》規(guī)定應當開展個人信息安全影響評估，并應當采取措施監(jiān)督、記錄受讓方的行為，同時還規(guī)定應承擔轉讓造成損害的法律責任。因并購、重組等發(fā)生控制主體變更的，應當單獨向用戶告知相關情況。
關于個人信息的跨境傳輸，除了應當滿足分享的合規(guī)要求外，還應當按照《網(wǎng)絡安全法》及其落地政策規(guī)定履行安全評估程序。
五、用戶控制個人信息的合規(guī)要求
根據(jù)之前網(wǎng)信辦、工信部、公安部等聯(lián)合開展的隱私條款專項工作反饋的情況，以及全國人大常委會一法一決定的執(zhí)法檢查報告，絕大多數(shù)企業(yè)關于用戶控制個人信息的義務未落實，問題相對突出。
本次《規(guī)范》詳細規(guī)定了用戶個人信息控制權的實現(xiàn)方式，明確規(guī)定了用戶訪問、更正、刪除個人信息，以及撤回同意授權、注銷賬戶的細則及合規(guī)要求。例如，企業(yè)應當在30天內相應用戶的訪問、更正、刪除等需求，并告知用戶相應的糾紛解決路徑。
六、企業(yè)個人信息管理制度的合規(guī)要求
《網(wǎng)絡安全法》實施以后，為企業(yè)賦予了很多網(wǎng)絡安全義務和責任，其中非常重要的一條即是，應當制定合規(guī)的個人信息管理制度。落實到《規(guī)范》層面，具體要求包括：
第一，應當明確個人信息保護的責任部門及人員。《規(guī)范》明確，規(guī)模達到一定條件的企業(yè)，應當任命個人信息保護負責人和個人信息保護工作機構并公開其聯(lián)系方式，并對其職責作出明確規(guī)定。
第二，應當建立個人信息崗位人員管理及培訓制度。《規(guī)范》明確，應當與相關人員簽訂保密協(xié)議，并對相關人員開展背景調查，建立專業(yè)化培訓和考核機制、處罰機制。
第三，應當建立內部個人信息訪問控制措施及制度，并有效的限制個人信息的展示，約束自動化程序使用與救濟，等等。與此同時，還應當建立制度限制個人信息的使用、存儲、發(fā)布等。
第四，應當開展個人信息安全影響評估制度及審計制度。
第五，應當建立個人信息安全事件處置與報告制度。
七、《隱私政策》的主要內容及合規(guī)要求
本次《規(guī)范》相對詳細的規(guī)定了《隱私政策》的主要內容及合規(guī)要求。
主要內容方面，《隱私政策》應當至少包括個人信息控制者的基本情況；收集、使用個人信息的目的，以及目的所涵蓋的各個業(yè)務功能；各業(yè)務功能分別收集的個人信息，以及收集方式和頻率、存放地域、存儲 期限等個人信息處理規(guī)則和實際收集的個人信息范圍；對外共享、轉讓、公開披露個人信息的目的、涉及的個人信息類型、接收 個人信息的第三方類型，以及所承擔的相應法律責任；處理個人信息主體詢問、投訴的渠道和機制，以及外部糾紛解決機構及聯(lián)絡方式；等等。
合規(guī)要求方面，《規(guī)范》對《隱私政策》的文字要求、放置規(guī)范、送達方式、更新要求等都作出了明確的規(guī)定。
總之，《規(guī)范》是監(jiān)管與執(zhí)法的重要參考依據(jù)，對于企業(yè)個人信息合規(guī)具有重要的指引意義。企業(yè)應當根據(jù)《網(wǎng)絡安全法》及其配套制度的整體規(guī)則，并參照《規(guī)范》的細則要求，重新梳理個人信息的收集、使用、存儲、分享行為，完善內部管理制度，建立內部崗位及人員責任，降低個人信息違規(guī)、違法甚至是刑事法律風險。
當然，我們也應該看到，《規(guī)范》的很多細節(jié)內容，已經(jīng)突破了《網(wǎng)絡安全法》及其配套制度的法定要求，同時也高于國際同行甚至是歐盟的個人信息保護標準，這不但極大的增加了企業(yè)的合規(guī)及運營成本，而且對于我國互聯(lián)網(wǎng)產業(yè)尤其是大數(shù)據(jù)產業(yè)的發(fā)展也具有一定的消極影響。
滬公網(wǎng)安備 31010402007129號
