(網(wǎng)經(jīng)社訊)2020年10月13日，十三屆全國人大常委會(huì)第二十二次會(huì)議第一次審議了《個(gè)人信息保護(hù)法(草案)》（以下簡稱草案）。雖然近年來我國個(gè)人信息保護(hù)力度不斷加大，但在現(xiàn)實(shí)生活中，一些企業(yè)、機(jī)構(gòu)甚至個(gè)人，從商業(yè)利益等出發(fā)，隨意收集、違法獲取、過度使用、非法買賣個(gè)人信息，利用個(gè)人信息侵?jǐn)_人?群眾生活安寧、危害人?群眾生命健康和財(cái)產(chǎn)安全等問題仍十分突出。在信息化時(shí)代，個(gè)人信息保護(hù)已成為廣大人?群眾最關(guān)心最直接最現(xiàn)實(shí)的利益問題之一。本草案共計(jì)8章70條，但是對(duì)行業(yè)卻有著重大影響，以下幾點(diǎn)思考，僅供大家參考。
一、個(gè)人信息的定義
個(gè)人信息的定義在?法典與網(wǎng)絡(luò)安全法中基本相同，業(yè)內(nèi)稱之為“識(shí)別”路徑(即用識(shí)別作為標(biāo)準(zhǔn)來判斷是否構(gòu)成個(gè)人信息的方法)，在兩高司法解釋與個(gè)人信息安全規(guī)范中的定義卻在識(shí)別路徑的基礎(chǔ)上，增加了“反映自然人活動(dòng)情況的各種信息”，業(yè)內(nèi)一般稱之為“識(shí)別+關(guān)聯(lián)”路徑。顯然，后兩者的定義比前兩者更寬泛。再來看草案的定義:個(gè)人信息是以電子或者其他方式記錄的與已識(shí)別或者可識(shí)別的自然人有關(guān)的各種信息,不包括匿名化處理后的信息。草案采用的是識(shí)別+關(guān)聯(lián)路徑。由于關(guān)聯(lián)信息的范圍極廣，幾乎沒有限制，所以采用識(shí)別+關(guān)聯(lián)路徑后，個(gè)人信息的范圍將會(huì)非常寬。
例如有些信息通常情況下并不能與個(gè)人信息相關(guān)聯(lián)，但是在某些特殊情況下也許會(huì)與個(gè)人信息相關(guān)聯(lián)，被納入個(gè)人信息的范圍。同理，個(gè)人信息與敏感信息的分類分級(jí)也不能只是參照《個(gè)人信息安全規(guī)范》，不同的個(gè)人信息可能會(huì)因?yàn)槟承┣樾翁岣呋蚪档兔舾谐潭?。另外個(gè)人信息并不單單只是電子信息，也可能存在于紙質(zhì)上，甚至一瓶血液也屬于個(gè)人信息，所以草案的適用范圍其實(shí)非常廣泛。
二、個(gè)人信息控制者與個(gè)人信息處理者
從GB/T 35273-2017《個(gè)人信息安全規(guī)范》到GB/T 35273-2020《個(gè)人信息安全規(guī)范》的定義中均使用了個(gè)人信息控制者的概念，只是將有權(quán)決定修正為了有能力決定,大部分人都認(rèn)為中國可能也會(huì)參照GDPR的“控制者-處理者”概念，包括ISO/IEC 27701 隱私信息管理體系中也是區(qū)分控制者和處理者。已經(jīng)開展合規(guī)的公司也都是參照了GDPR和ISO/IEC 27701進(jìn)行的整改。很多公司也希望通過認(rèn)定自己是處理者的身份來降低合規(guī)成本及法律責(zé)任。
但是到了民法典又引入了新的概念，“個(gè)人信息控制者”這一概念并沒有出現(xiàn)，相反，提出了“信息處理者”。此處理者非彼處理者。雖然民法典未作定義，但是結(jié)合條款，或許一旦有收集、存儲(chǔ)、使用、加工、傳輸、提供、公開等個(gè)人信息的行為，就會(huì)被認(rèn)為是處理者。相較于歐洲數(shù)據(jù)保護(hù)法框架下的處理者，顯然所指向的范圍寬泛的多，幾乎不在區(qū)分控制者與處理者。
草案延續(xù)了民法典的做法，使用了“個(gè)人信息處理者”，并給出了定義，指自主決定處理目的、處理方式等個(gè)人信息處理事項(xiàng)的組織、個(gè)人，此定義又與《個(gè)人信息安全規(guī)范》中的“個(gè)人信息控制者”概念相似。
所以以后對(duì)公司“控制者-處理者”的認(rèn)定，應(yīng)結(jié)合不同法域下法律的規(guī)定，判斷公司在當(dāng)?shù)氐慕巧?。公司?yīng)根據(jù)依據(jù)不用法域下的法律法規(guī)及與合作方的協(xié)議約定，確定公司需要履行的法律義務(wù)。
例如在疫情期間，理發(fā)店基于政府的要求，收集進(jìn)店人員的信息，理發(fā)店并不屬于“個(gè)人信息處理者”。按照草案的要求，政府應(yīng)與理發(fā)店約定委托處理的目的、處理方式、個(gè)人信息的種類、保護(hù)措施以及雙方的權(quán)利和義務(wù)等,并對(duì)理發(fā)店的個(gè)人信息處理活動(dòng)進(jìn)行監(jiān)督。
三、個(gè)人信息保護(hù)與數(shù)據(jù)安全
根據(jù)《網(wǎng)絡(luò)安全法》關(guān)于個(gè)人層面的信息保護(hù)要求，應(yīng)該做到數(shù)據(jù)安全+個(gè)人的信息控制權(quán)利+網(wǎng)絡(luò)運(yùn)營者等相關(guān)方尊重個(gè)人控制權(quán)利的義務(wù)。但是大部分公司現(xiàn)階段對(duì)個(gè)人信息保護(hù)的理解還停留在數(shù)據(jù)安全的維度，希望通過技術(shù)手段，解決所有個(gè)人信息保護(hù)的問題。實(shí)踐中仍然需要增加對(duì)個(gè)人信息主體權(quán)利的保護(hù)及滿足個(gè)人信息權(quán)利的義務(wù)。草案進(jìn)一步明確了個(gè)人在個(gè)人信息處理活動(dòng)中的各項(xiàng)權(quán)利，包括知情權(quán)、決定權(quán)、查閱權(quán)和復(fù)制權(quán)、更正權(quán)、刪除權(quán)、解釋權(quán)。個(gè)人信息處理者的義務(wù)除了安全保障義務(wù)外，還應(yīng)當(dāng)包括設(shè)置信息保護(hù)負(fù)責(zé)人、合規(guī)審計(jì)、風(fēng)險(xiǎn)評(píng)估、泄露補(bǔ)救措施等。
另外，安全與隱私在實(shí)踐中也可能存在矛盾，比如為了保證安全可能會(huì)收集手機(jī)設(shè)備號(hào)，或者使用人臉識(shí)別技術(shù)，但這樣做也有可能侵犯了個(gè)人隱私，所以在具體操作中應(yīng)當(dāng)綜合考慮各種因素，根據(jù)個(gè)人信息影響評(píng)估作出最終的方案。
四、匿名化“陷阱”
在楊合慶主編的《中華人民共和國網(wǎng)絡(luò)安全法解讀》中，將個(gè)人信息去匿名化的重任，交給了國家標(biāo)準(zhǔn)：“對(duì)個(gè)人信息匿名化處理的具體規(guī)則和技術(shù)要求等，本條未作具體規(guī)定，應(yīng)當(dāng)遵守有關(guān)標(biāo)準(zhǔn)和技術(shù)規(guī)范要求?！?/p>
但在實(shí)踐中并沒有絕對(duì)的匿名化技術(shù)，國標(biāo)也只有去標(biāo)識(shí)化指南，并沒有匿名化指南。甚至在草案中也提到了個(gè)人信息處理者向第三方提供匿名化信息的,第三方不得利用技術(shù)等手段重新識(shí)別個(gè)人身份，似乎也與匿名化的定義個(gè)人信息經(jīng)過處理無法識(shí)別特定自然人且不能復(fù)原的過程有矛盾。
公司想要通過匿名化的途徑來減少法律責(zé)任的方法并不行得通。比如在2006年，美國流媒體平臺(tái)Netflix舉辦了一個(gè)預(yù)測(cè)算法的比賽（Netflix Prize），比賽要求在公開數(shù)據(jù)上推測(cè)用戶的電影評(píng)分。Netflix 把唯一識(shí)別用戶的信息抹去，認(rèn)為這樣就能保證用戶的隱私。但是University of Texas at Austin 的兩位研究人員表示通過關(guān)聯(lián)Netflix公開的數(shù)據(jù)和IMDb網(wǎng)站上公開的記錄就能夠識(shí)別出匿名后用戶的身份。在中國，也有公司將個(gè)人地理位置添加噪聲后出售給催收公司，被公安機(jī)關(guān)認(rèn)定為構(gòu)成侵犯公民個(gè)人信息罪。
最后，《個(gè)人信息保護(hù)法(草案)》不僅僅是一部法律，也是《網(wǎng)絡(luò)安全法》中重要的一項(xiàng)制度，同時(shí)，《個(gè)人信息保護(hù)法(草案)》與《國家安全法》《?法典》《刑法》《數(shù)據(jù)安全法》以及更多的法律法規(guī)、行政法規(guī)、部門規(guī)章、司法解釋、國家標(biāo)準(zhǔn)共同組成我國網(wǎng)絡(luò)安全與數(shù)據(jù)保護(hù)法律體系。而在大數(shù)據(jù)信息時(shí)代，如何平衡好保護(hù)個(gè)人信息和維護(hù)公共安全的關(guān)系也需要在實(shí)踐過程中不斷探索與檢驗(yàn)。
作者介紹：
孫鵬程
浙江省法學(xué)會(huì)網(wǎng)絡(luò)法制研究會(huì)理事
主要領(lǐng)域：擅長互聯(lián)網(wǎng)、金融領(lǐng)域。
陳思
北京大成（杭州）律師事務(wù)所 合伙人
杭州市律協(xié)互聯(lián)網(wǎng)信息專業(yè)委員會(huì)秘書長
清科集團(tuán)沙丘創(chuàng)業(yè)中心特聘導(dǎo)師
浙江省法學(xué)會(huì)網(wǎng)絡(luò)法制研究會(huì)理事
主要領(lǐng)域：擅長社交電商企業(yè)合規(guī)、互聯(lián)網(wǎng)、金融領(lǐng)域
