《個人信息保護法》草案二次審議稿若干問題解讀
作者：吳衛(wèi)明 2021-05-102021年4月26日，第十三屆全國人大常委會第二十八次會議對《中華人民共和國個人信息保護法（草案二次審議稿）》（簡稱“《二次審議稿》”）進行了審議。《個人信息保護法》是我國個人信息保護立法中的重大事件，因此，備受社會關注。二次審議稿相比第一次審議稿，有部分內(nèi)容的更新，筆者匯總并解讀如下：
一、個人信息流動問題更加審慎 個人信息的價值能否合法有序流動，一直是大數(shù)據(jù)運用過程中的關鍵問題。特別是在十四五規(guī)劃將數(shù)據(jù)列入生產(chǎn)要素的背景下，如何促進數(shù)據(jù)要素的價值，對于數(shù)據(jù)行業(yè)以及傳統(tǒng)行業(yè)的數(shù)字化轉(zhuǎn)型均有重要的意義。 值得關注的是，《二次審議稿》對于個人信息流動問題，采取了更為審慎的態(tài)度。《二次審議稿》第一條的規(guī)定為：“為了保護個人信息權(quán)益，規(guī)范個人信息處理活動，促進個人信息合理利用，制定本法?！迸c第一次審議稿相比，刪除了“保障個人信息依法有序自由流動”的表述。 對于《二次審議稿》的這一修改，是否意味著數(shù)據(jù)要素流動的收緊呢？筆者認為，刪除“保障個人信息依法有序自由流動”的表述，并不意味著數(shù)據(jù)要素流動的收緊，而是立法對于數(shù)據(jù)要素流動內(nèi)涵更加深深的表述，但也體現(xiàn)了更為精準的把握。理由如下： 其一，數(shù)據(jù)作為生產(chǎn)要素，并不等同于個人信息可以自由流動。 雖然按照十四五規(guī)劃及新的生產(chǎn)要素理論，數(shù)據(jù)可以作為生產(chǎn)要素，但數(shù)據(jù)本身具有雙重性的特征。一方面，數(shù)據(jù)是相關信息的記錄，可以是企業(yè)的商業(yè)秘密、個人信息，也可以是作品信息和其他公開信息。數(shù)據(jù)利用價值的背后，往往包含著其他主體的相應權(quán)利。另一方面，數(shù)據(jù)對于其占有者、處理者而言，又具有一定的商業(yè)價值。雙重性特征決定了，在發(fā)揮數(shù)據(jù)要素價值的同時，必須考慮其他主體的民事權(quán)利。 對于個人信息而言，這種雙重性突出的表現(xiàn)是個人的信息權(quán)利（人格權(quán)范疇）如何不被濫用和侵害。個人信息是數(shù)據(jù)的重要組成部分，此類數(shù)據(jù)的直接流動，必然涉及對于個人隱私及安全利益的影響，除非個人明確知悉這種影響，并明示同意，否則，個人信息流動本身就是一個非常敏感的問題。 因此，在上述法律價值的基本框架內(nèi)，將“保障個人信息有序自由流動”作為《個人信息保護法》的第一條立法宗旨，容易讓人產(chǎn)生對于個人信息保護的誤解。并且，在配套規(guī)則、技術(shù)措施不夠完善的情況下，這一規(guī)定的實施也會面臨很大的困難?！抖螌徸h稿》對其進行刪除，具有現(xiàn)實性。 事實上，個人信息保護與個人信息作為數(shù)據(jù)價值的有效利用，兩者之間并不是截然對立的，而是可以在一定程度上統(tǒng)一。 如對于個人信息進行去標識化的處理后，可以用于大數(shù)據(jù)分析和群體畫像分析，從而為精準營銷、定制化的產(chǎn)品開發(fā)、市場拓展提供可行的參考依據(jù)。此外，在安全可控的前提下，使用現(xiàn)有的個人信息，也可以進行相關的模型訓練。 上述基于個人信息產(chǎn)生的模型、群體畫像、市場預測與分析、產(chǎn)品開發(fā)策略等數(shù)據(jù)產(chǎn)品，可以進入數(shù)據(jù)市場進行流通，從而產(chǎn)生數(shù)據(jù)流通價值。 二、個人信息保護的措施更加落地和細化 《二次審議稿》在保護個人信息的具體措施方面更加細化，具體表現(xiàn)在以下幾個方面： 1、個人信息處理的權(quán)益影響最小化原則（主體視角） 一次審議稿對于最小化的原則，采取的是客觀原則，即“處理個人信息應當具有明確、合理的目的，應當限于實現(xiàn)處理目的的最小范圍”，這一原則是從個人信息處理目的角度出發(fā)的，個人信息被作為客體，評價信息處理合理性的過程中，并不考慮處理行為對個人的影響，而主要考慮與處理目的相匹配。《二次審議稿》則在一次審議稿的基礎上，增加了“采取對個人權(quán)益影響最小的方式”這一表述，從而突出了自然人在個人信息處理過程中的主體地位，除了商業(yè)目的考量外，還應考量個人信息處理措施，是否符合對個人權(quán)益影響最小化的原則。 合理化評價維度中引入了個人權(quán)益，對于制約個人信息處理者擴大解釋商業(yè)目的，會形成制約。 2、對大數(shù)據(jù)歧視的制約 《二次審議稿》在第八條中規(guī)定了“處理個人信息應當保證個人信息的質(zhì)量，避免因個人信息不準確、不完整對個人權(quán)益造成不利影響。” 這一規(guī)定，將對大數(shù)據(jù)運用質(zhì)量不高而造成的數(shù)據(jù)歧視形成制約。在一些大數(shù)據(jù)運用的案例中，由于數(shù)據(jù)更新不及時或者數(shù)據(jù)的質(zhì)量有瑕疵，可能導致數(shù)據(jù)分析的結(jié)論不準確，甚至會對相關自然人帶來負面評級，從而導致其合法、正當權(quán)利受到影響。比如信用數(shù)據(jù)的不準確，可能導致用戶的消費或其他經(jīng)濟活動受到不利影響。對此，將個人信息質(zhì)量作為法定義務，有助于督促個人信息處理者提升數(shù)據(jù)獲取的準確度。 3、撤回同意的便捷化 《二次審議稿》第十六條在第一次審議稿所規(guī)定的“ 基于個人同意而進行的個人信息處理活動，個人有權(quán)撤回其同意”的基礎上，增加了“個人信息處理者應當提供便捷的撤回同意的方式”的表述。 撤回同意，是個人信息主體處分自身權(quán)利的一種方式。然而在實際操作中，由于個人信息處理者提供的撤回方式、撤回渠道各不相同，其中有些措施缺乏便利性，導致撤回同意的權(quán)利行使成本較高。 《二次審議稿》規(guī)定了便捷原則，雖然對于何為便捷，并未進行展開，但是，按照通常的理解，“撤回同意”的難度不應大于“同意”的難度。也就是說，按照人們對于互聯(lián)網(wǎng)業(yè)務便利性的一般理解，“撤回”按鈕應該位于頁面的醒目處，或者與“個人信息保護政策”（或隱私政策）處于同樣便于閱讀的位置，且在許可范圍內(nèi)逐項給出“撤回同意”的勾選項。 三、出境規(guī)則更加優(yōu)化 1、設置標準合同 《二次審議稿》第三十八條第（三）條款與一次審議稿相比，增加了標準合同的表述。該條款的表述為：個人信息處理者因業(yè)務等需要，確需向中華人民共和國境外提供個人信息的，應當至少具備下列一項條件:…… “（三）按照國家網(wǎng)信部門制定的標準合同與境外接收方訂立合同，約定雙方的權(quán)利和義務，并監(jiān)督其個人信息處理活動達到本法規(guī)定的個人信息保護標準?！?/p> 即增加了“按照國家網(wǎng)信部門制定的標準合同與境外接收方訂立合同”的表述。 這一規(guī)定的內(nèi)涵在于，國家網(wǎng)信部門可以通過標準化合同條款來具體引導個人信息跨境提供的權(quán)利義務約定，從而更好地約束各方的行為。 另外，通過標準合同條款，也可以提高跨境個人信息提供的合同簽訂效率。 2、境外執(zhí)法機構(gòu)獲取境內(nèi)個人信息的限制更加明確 《二次審議稿》第四十一條對于執(zhí)法機構(gòu)所涉及的個人信息跨境提供，將其適用范圍進行了縮小。 一次審議稿的表述為“因國際司法協(xié)助或者行政執(zhí)法協(xié)助,需要向中華人民共和國境外提供個人信息的，應當依法申請有關主管部門批準?！倍螌徸h稿則將范圍限定為“中華人民共和國境外的司法或者執(zhí)法機構(gòu)要求提供存儲于中華人民共和國境內(nèi)的個人信息的，非經(jīng)中華人民共和國主管機關批準,不得提供?！?/p> 對比發(fā)現(xiàn)，主要的差異在于： 其一，將 “因國際司法協(xié)助或者行政執(zhí)法協(xié)助,需要向中華人民共和國境外提供個人信息”，修改為“中華人民共和國境外的司法或者執(zhí)法機構(gòu)要求提供存儲于中華人民共和國境內(nèi)的個人信息”。 對于這一差異，筆者認為，主要是考慮到，如果是國際司法協(xié)助，可能會涉及中國相關司法機關或執(zhí)法機關因案件辦理需要，而將中國境內(nèi)個人信息主動提供給境外執(zhí)法機關并要求境外執(zhí)法機關配合的情形，對于這種情況，我國相關的法律以及相關國際條約、協(xié)定已經(jīng)有所約束，故無需進一步通過個人信息跨境提供規(guī)則進行約束。 而對于境外執(zhí)法機構(gòu)要求提供中國境內(nèi)存儲的公民個人信息的，則需要判斷來自境外執(zhí)法機構(gòu)要求的合理性，以及這種要求是否影響中國的公民利益、社會公共利益或國家安全。 四、基礎性互聯(lián)網(wǎng)平臺的特定義務 《二次審議稿》第五十七條增設規(guī)定了提供基礎性互聯(lián)網(wǎng)平臺服務、用戶數(shù)量巨大、業(yè)務類型復雜的個人信息處理者的特定義務。具體包括： 1、引入外部人員組成獨立機構(gòu) 成立主要由外部成員組成的獨立機構(gòu)，對個人信息處理活動進行監(jiān)督。這一制度設定，強化了外部監(jiān)督力量的介入。由于基礎性互聯(lián)網(wǎng)平臺服務、用戶數(shù)量巨大、業(yè)務類型復雜的個人信息處理者，其所擁有的個人信息具有非常巨大的利用價值，企業(yè)自身的內(nèi)部控制制度、數(shù)據(jù)合規(guī)制度，在執(zhí)行過程中，是否能夠真正落到實處，需要引入外部力量進行必要的監(jiān)督。 當然，這一制度具體如何執(zhí)行，二次審議稿并未規(guī)定。比如，對于外部人員的資質(zhì)，是否參考上市公司獨立董事制度，設置一定的準入門檻？以及對于外部人員不盡責履職，是否需要設定相應的法律責任？這些規(guī)則，仍需法律授權(quán)監(jiān)管機構(gòu)做出進一步的規(guī)定。 2、平臺監(jiān)督職責 該條款規(guī)定：“對嚴重違反法律、行政法規(guī)處理個人信息的平臺內(nèi)的產(chǎn)品或者服務提供者，停止提供服務?！边@一規(guī)定，與電子商務法中所規(guī)定的電子商務平臺經(jīng)營者對平臺內(nèi)電子商務經(jīng)營者相關產(chǎn)品質(zhì)量、知識產(chǎn)權(quán)、消費者保護的監(jiān)督責任類似。將嚴重違反法律、行政法規(guī)處理個人信息的情形，作為平臺停止提供服務的法定事項。 3、社會責任報告 該條款還規(guī)定，定期發(fā)布個人信息保護社會責任報告，接受社會監(jiān)督。按照這一原則，個人信息處理不僅僅是平臺與個人信息主體之間的關系，更是平臺社會責任的體現(xiàn)。 當然，對于社會責任報告應如何撰寫，哪些是必備內(nèi)容，《二次審議稿》未作規(guī)定，仍需法律授權(quán)監(jiān)管機構(gòu)做出進一步的規(guī)定。 五、突出社會第三方機構(gòu)的治理作用 《二次審議稿》第六十三條規(guī)定， 履行個人信息保護職責的部門在履行職責中，發(fā)現(xiàn)個人信息處理活動存在較大風險或者發(fā)生個人信息安全事件的，可以按照規(guī)定的權(quán)限和程序?qū)υ搨€人信息處理者的法定代表人或者主要負責人進行約談，或者要求個人信息處理者委托專業(yè)機構(gòu)對其個人信息處理活動進行合規(guī)審計。個人信息處理者應當按照要求采取措施，進行整改，消除隱患。 按照這一規(guī)定，委托專業(yè)機構(gòu)對個人信息處理活動進行合規(guī)審計，是企業(yè)或其他機構(gòu)在面臨風險或發(fā)生信息安全事件時，可以采取的一種補救措施。對于合規(guī)審計所發(fā)現(xiàn)的問題，個人信息處理者應當按照要求采取措施，進行整改，消除隱患。 與第一次審議稿相比，專業(yè)機構(gòu)審計的適用范圍有所減小，一次審議稿關于委托專業(yè)機構(gòu)審計的場景是日常監(jiān)管。而在《二次審議稿》中，將適用場景聚焦為“發(fā)現(xiàn)個人信息處理活動存在較大風險或者發(fā)生個人信息安全事件的”。 在發(fā)生風險事件時，引入專業(yè)機構(gòu)進行合規(guī)審計，體現(xiàn)了專業(yè)機構(gòu)在風險應對方面的重要作用。 當然，與一次審議稿一樣的是，對于什么樣的機構(gòu)可以作為合規(guī)審計機構(gòu)，《二次審議稿》并未規(guī)定。仍需相關規(guī)則進一步予以明確。
