从企业数据合规角度看《个人信息保护法（草案）》

引言：
2020年10月21日，全国人大法工委公布了《中华人民共和国个人信息保护法（草案）》（下称“个信法草案”）全文和说明，并向公众公开征求意见。该草案一经公布，立即引起了社会各界的高度关注。泰和泰律师事务所也第一时间对个信法草案全文进行了学习，并与部分业内同仁进行了交流。

个信法草案共八章七十条，主要内容包括规定该法的适用范围、健全个人信息处理规则、完善个人信息跨境提供规则、明确个人信息处理活动中个人的权利和处理者义务、明确履行个人信息保护职责的部门以及违反该法有关规定的法律责任。

总体而言，个信法草案是一部回应了现实需要和平衡了各方利益，有利于规范个人信息处理活动和促进个人信息保护的，具有较高立法水平的法律草案，值得广大涉数据企业和相关从业者深入研究。作为数据合规领域的法律从业者，泰和泰律师事务所结合自身实务工作经验，从企业数据合规的角度，对个信法草案规定的几个重要问题进行简要评析，供读者参考。

1.个人信息的概念
个信法草案同时采用“识别性”和“关联性”标准，将个人信息定义为“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息”，该定义较之即将生效的《民法典》定义的个人信息范围明显有所扩大（后者主要采用“识别性”标准），与现行国家推荐性标准《信息安全技术-个人信息安全规范》（下称“《个人信息安全规范》”）中所使用的个人信息定义也不尽相同。具体如下表所示：



作为开展各种个人信息保护活动的前提，企业首先需要弄清楚到底哪些信息属于个人信息。在定义不统一的情况下，按照特别法优于一般法的原则，在个人信息保护活动中，个信法中对于个人信息的定义将优先于民法典中的定义。另从效力位阶的角度而言，个信法的效力位阶明显高于国家推荐性标准，故倘若最终通过的个信法保持个信法草案中对于个人信息的定义不变，那么毫无疑问，企业需要遵从个信法中的定义。

按照个信法草案的定义，个人信息的内涵将非常丰富，一言一概之，凡与特定自然人相关的所有信息，都有可能成为个人信息，只不过不同个人信息的敏感程度不同而已。从合规角度讲，企业在梳理个人信息或者数据资产时，宜采取更为宽泛的标准，尽量将与特定自然人相关的所有信息均纳入个人信息范畴。

此外，个信法草案特意明文将“匿名化处理后的信息”直接排除在个人信息之外（这意味着为个人信息保护设置的种种规则可能均无需适用），似乎有意将个人信息的外延进行适当限缩，给特定的信息处理活动预留一定的空间，但从该草案对匿名化的定义（指个人信息经过处理无法识别特定自然人且不能复原的过程）来看，真正实现匿名化后的信息（当然，有技术专家提出真正的匿名化其实无法实现）是否还有价值或者还有多大价值，将成为一个有待广大涉数据企业进行深入探索的问题。

2.个人信息处理活动的范围
个信法草案将“规范个人信息处理活动”列为主要立法目的之一，并规定个人信息的处理“包括个人信息的收集、存储、使用、加工、传输、提供、公开等活动”，其实相当于将与个人信息有关的所有活动均纳入规制范围，这与目前各类监管政策文件所强调的“全生命周期管理”的思路是一致的。
实际上，“全生命周期管理”也是企业开展数据合规工作的重要指导原则之一，涉及个人信息的各类处理活动均需遵守相应的法律规定，确保个人信息安全，而不应狭隘地认为数据合规仅仅或者主要是指收集阶段的合规。

个信法草案第十三条规定，符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立或者履行个人作为一方当事人的合同所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产所必需；（五）为公共利益实施新闻报道、舆论监督等行为在合理范围内处理个人信息；（六）法律、行政法规规定的其他情形。

在应对新冠肺炎疫情中，各类大数据应用为联防联控和复工复产提供了有力的支持。在此背景下，个信法草案将应对突发公共卫生事件，或者紧急情况下保护自然人的生命健康和财产作为个人信息处理活动的合法情形之一，是个信法草案的一大亮点。但对于绝大部分企业而言，其处理个人信息的合法性来源主要还是前三项，并且大部分的个人信息处理活动可能仍将建立在“取得个人的同意”基础上。

我们注意到，个信法草案对于同意规则着墨甚多，“同意”二字在全文中总共出现了26次，并首次提出了“单独同意”这一表述。就具体内容而言，有关同意规则的大部分内容与现行的《个人信息安全规范》及相关监管政策较为一致，但考虑到个信法的效力层级较高，故相当于将原来的很多推荐性操作升格为了法律强制性要求，需要更严格的遵从。