(網(wǎng)經(jīng)社訊)2020年10月13日，十三屆全國人大常委會第二十二次會議第一次審議了《個人信息保護法(草案)》（以下簡稱草案）。雖然近年來我國個人信息保護力度不斷加大，但在現(xiàn)實生活中，一些企業(yè)、機構甚至個人，從商業(yè)利益等出發(fā)，隨意收集、違法獲取、過度使用、非法買賣個人信息，利用個人信息侵擾人?群眾生活安寧、危害人?群眾生命健康和財產(chǎn)安全等問題仍十分突出。在信息化時代，個人信息保護已成為廣大人?群眾最關心最直接最現(xiàn)實的利益問題之一。本草案共計8章70條，但是對行業(yè)卻有著重大影響，以下幾點思考，僅供大家參考。
一、個人信息的定義
個人信息的定義在?法典與網(wǎng)絡安全法中基本相同，業(yè)內(nèi)稱之為“識別”路徑(即用識別作為標準來判斷是否構成個人信息的方法)，在兩高司法解釋與個人信息安全規(guī)范中的定義卻在識別路徑的基礎上，增加了“反映自然人活動情況的各種信息”，業(yè)內(nèi)一般稱之為“識別+關聯(lián)”路徑。顯然，后兩者的定義比前兩者更寬泛。再來看草案的定義:個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息,不包括匿名化處理后的信息。草案采用的是識別+關聯(lián)路徑。由于關聯(lián)信息的范圍極廣，幾乎沒有限制，所以采用識別+關聯(lián)路徑后，個人信息的范圍將會非常寬。
例如有些信息通常情況下并不能與個人信息相關聯(lián)，但是在某些特殊情況下也許會與個人信息相關聯(lián)，被納入個人信息的范圍。同理，個人信息與敏感信息的分類分級也不能只是參照《個人信息安全規(guī)范》，不同的個人信息可能會因為某些情形提高或降低敏感程度。另外個人信息并不單單只是電子信息，也可能存在于紙質(zhì)上，甚至一瓶血液也屬于個人信息，所以草案的適用范圍其實非常廣泛。
二、個人信息控制者與個人信息處理者
從GB/T 35273-2017《個人信息安全規(guī)范》到GB/T 35273-2020《個人信息安全規(guī)范》的定義中均使用了個人信息控制者的概念，只是將有權決定修正為了有能力決定,大部分人都認為中國可能也會參照GDPR的“控制者-處理者”概念，包括ISO/IEC 27701 隱私信息管理體系中也是區(qū)分控制者和處理者。已經(jīng)開展合規(guī)的公司也都是參照了GDPR和ISO/IEC 27701進行的整改。很多公司也希望通過認定自己是處理者的身份來降低合規(guī)成本及法律責任。
但是到了民法典又引入了新的概念，“個人信息控制者”這一概念并沒有出現(xiàn)，相反，提出了“信息處理者”。此處理者非彼處理者。雖然民法典未作定義，但是結合條款，或許一旦有收集、存儲、使用、加工、傳輸、提供、公開等個人信息的行為，就會被認為是處理者。相較于歐洲數(shù)據(jù)保護法框架下的處理者，顯然所指向的范圍寬泛的多，幾乎不在區(qū)分控制者與處理者。
草案延續(xù)了民法典的做法，使用了“個人信息處理者”，并給出了定義，指自主決定處理目的、處理方式等個人信息處理事項的組織、個人，此定義又與《個人信息安全規(guī)范》中的“個人信息控制者”概念相似。
所以以后對公司“控制者-處理者”的認定，應結合不同法域下法律的規(guī)定，判斷公司在當?shù)氐慕巧?。公司應根?jù)依據(jù)不用法域下的法律法規(guī)及與合作方的協(xié)議約定，確定公司需要履行的法律義務。
例如在疫情期間，理發(fā)店基于政府的要求，收集進店人員的信息，理發(fā)店并不屬于“個人信息處理者”。按照草案的要求，政府應與理發(fā)店約定委托處理的目的、處理方式、個人信息的種類、保護措施以及雙方的權利和義務等,并對理發(fā)店的個人信息處理活動進行監(jiān)督。
三、個人信息保護與數(shù)據(jù)安全
根據(jù)《網(wǎng)絡安全法》關于個人層面的信息保護要求，應該做到數(shù)據(jù)安全+個人的信息控制權利+網(wǎng)絡運營者等相關方尊重個人控制權利的義務。但是大部分公司現(xiàn)階段對個人信息保護的理解還停留在數(shù)據(jù)安全的維度，希望通過技術手段，解決所有個人信息保護的問題。實踐中仍然需要增加對個人信息主體權利的保護及滿足個人信息權利的義務。草案進一步明確了個人在個人信息處理活動中的各項權利，包括知情權、決定權、查閱權和復制權、更正權、刪除權、解釋權。個人信息處理者的義務除了安全保障義務外，還應當包括設置信息保護負責人、合規(guī)審計、風險評估、泄露補救措施等。
另外，安全與隱私在實踐中也可能存在矛盾，比如為了保證安全可能會收集手機設備號，或者使用人臉識別技術，但這樣做也有可能侵犯了個人隱私，所以在具體操作中應當綜合考慮各種因素，根據(jù)個人信息影響評估作出最終的方案。
四、匿名化“陷阱”
在楊合慶主編的《中華人民共和國網(wǎng)絡安全法解讀》中，將個人信息去匿名化的重任，交給了國家標準：“對個人信息匿名化處理的具體規(guī)則和技術要求等，本條未作具體規(guī)定，應當遵守有關標準和技術規(guī)范要求。”
但在實踐中并沒有絕對的匿名化技術，國標也只有去標識化指南，并沒有匿名化指南。甚至在草案中也提到了個人信息處理者向第三方提供匿名化信息的,第三方不得利用技術等手段重新識別個人身份，似乎也與匿名化的定義個人信息經(jīng)過處理無法識別特定自然人且不能復原的過程有矛盾。
公司想要通過匿名化的途徑來減少法律責任的方法并不行得通。比如在2006年，美國流媒體平臺Netflix舉辦了一個預測算法的比賽（Netflix Prize），比賽要求在公開數(shù)據(jù)上推測用戶的電影評分。Netflix 把唯一識別用戶的信息抹去，認為這樣就能保證用戶的隱私。但是University of Texas at Austin 的兩位研究人員表示通過關聯(lián)Netflix公開的數(shù)據(jù)和IMDb網(wǎng)站上公開的記錄就能夠識別出匿名后用戶的身份。在中國，也有公司將個人地理位置添加噪聲后出售給催收公司，被公安機關認定為構成侵犯公民個人信息罪。
最后，《個人信息保護法(草案)》不僅僅是一部法律，也是《網(wǎng)絡安全法》中重要的一項制度，同時，《個人信息保護法(草案)》與《國家安全法》《?法典》《刑法》《數(shù)據(jù)安全法》以及更多的法律法規(guī)、行政法規(guī)、部門規(guī)章、司法解釋、國家標準共同組成我國網(wǎng)絡安全與數(shù)據(jù)保護法律體系。而在大數(shù)據(jù)信息時代，如何平衡好保護個人信息和維護公共安全的關系也需要在實踐過程中不斷探索與檢驗。
作者介紹：
孫鵬程
浙江省法學會網(wǎng)絡法制研究會理事
主要領域：擅長互聯(lián)網(wǎng)、金融領域。
陳思
北京大成（杭州）律師事務所 合伙人
杭州市律協(xié)互聯(lián)網(wǎng)信息專業(yè)委員會秘書長
清科集團沙丘創(chuàng)業(yè)中心特聘導師
浙江省法學會網(wǎng)絡法制研究會理事
主要領域：擅長社交電商企業(yè)合規(guī)、互聯(lián)網(wǎng)、金融領域
