律师法律咨询：个人信息保护合规要点

律师法律咨询：个人信息保护合规要点

2020年5月28日，第十三届全国人民代表大会第三次会议审议通过了《中华人民共和国民法典》（下称“《民法典》”，自2021年1月1日起实施），《民法典》设置了人格权专编，被认为是民法典的突出亮点和重大创新，将我国法律对人格尊严的保护提升到了新高度。笔者注意到，《民法典》在人格权编中又设专章规定了隐私权及个人信息保护，因应了互联网时代对个人信息保护的需求。

随着互联网的应用及普及，大数据在各行各业中的作用越来越突出，而大数据的基础，即是来自于大量个人信息的收集与使用，加强对个人信息的保护早已为立法者及监管机构所关注，《民法典》将隐私权及个人信息单独设置专章加以规定，体现了立法者对个人信息保护的高度重视。

在如此大背景下，企业在收集、使用个人信息时如何做到合法合规也愈加重要，不仅仅是企业自身遵守法律法规的需要，同时上下游各企业为规避自身的风险，亦对其客户、供应商之数据信息的合法合规性提出了更高的要求。

本人结合《民法典》、其他相关法律法规及案例，就个人信息收集、使用的合规性进行归纳和小结，以供参考。

一、个人信息的范围

《民法典》第111条规定：“自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”该规定与《中华人民共和国民法总则》第111条的规定一致，根据前述规定，自然人的个人信息属于自然人所有，也正是基于此，收集、使用个人信息，需征得个人信息所有人的同意。

《民法典》第1034条规定：“自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”这个定义所列举的个人信息的范围，比《网络安全法》第76条第五款规定的个人信息的范围有所扩大，体现了加强对个人信息保护的立法倾向。

《信息安全技术 个人信息安全规范》（中华人民共和国国家标准GB/T 35273—2020）（以下简称“《个人信息安全规范》”）对个人信息的定义及范围最为宽泛，包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等，并在其附录里对个人信息作了详细的列举，几乎涵盖了个人信息的方方面面。

《个人信息安全规范》在个人信息的基础上，设置了个人敏感信息，对个人敏感信息赋予更高的保护标准，收集个人敏感信息时，应取得个人信息主体的明示同意。个人敏感信息是指，一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。

与此同时，为促进行业的发展，相关法律对个人信息作了限制性的规定。《民法典》第1038条第一款规定：“信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供个人信息，但是经过加工无法识别特定个人且不能复原的除外。”《网络安全法》第42亦规定：“网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。” 

也就是说，个人信息经过技术处理，使得特定个人无法被识别，且处理后的信息不能被复原，则处理后的信息不再属于个人信息。如此规定，有利于个人信息合法收集后的使用，对大数据行业的发展有相当重要的意义。值得注意的是，《网络安全法》第42条规定的主体是“网络运营者”，而《民法典》规定的是“信息处理者”，拓宽了主体范围，更有利于个人信息的保护。

二、个人信息的收集

《民法典》第1035条规定：“处理自然人个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：

（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；
（二）公开处理信息的规则；
（三）明示处理信息的目的、方式和范围；
（四）不违反法律、行政法规的规定和双方的约定。

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。”

与《网络安全法》相比，《民法典》的上述规定加入了“不得过度处理”的内容，针对的正是现实生活中普遍存在的过度收集、处理个人信息的情形，与《网络安全法》第41条“网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息”的内容一脉相承。

上述法律关于信息收集、使用的上述规定，是个人信息保护的源头性、最基本的要求，结合相关实践案例，在个人信息收集的合规性方面，以下几个方面需予以考虑：

1、制订隐私政策，明示收集、使用规则

企业只要涉及个人信息处理，就应当制定并对外公开个人信息收集处理规则，并获得个人的同意。当前环境下，大部分信息处理者已逐步制订、公布隐私政策，并在隐私政策中，向个人提供信息收集、使用的规则 ，但在规则的明细程度上有所不同，有的企业对规则的约定比较具体、明细，而有的规则相对比较概括、模糊。

从合规角度看，对个人信息的监管日益趋严，概括性或一揽子授权的方式未来可能较难能获得监管机关认可，建议企业在隐私政策中尽量细化、明确具体的收集、处理规则，根据《民法典》、《网络安全法》等的规定制订规则，明确个人信息的收集、存储、使用、加工、传输、提供、公开等数据管理全链条中的具体事项。

需予以关注的是，《民法典》第1037条规定了个人信息主体的权利：“自然人可以依法向信息处理者查阅或者复制其个人信息；发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。”因此，在制定、实施隐私政策、使用规则时，需给予用户相关查阅、复制、提出异议、请求删除等权利及渠道。

2、给予用户选择权

APP或网站通常会设置同意、拒绝的选项，供用户在初次使用APP或网站时进行选择，但实际上，在很多情况下，如果用户选择不同意或拒绝，则可能无法使用APP或网站，这也是很多人对此予以吐槽之所在，认为用户实质上并无选择权。此种情形已被立法者所关注。

《数据安全法（征求意见稿）》明确规定：“个人信息主体同意收集保证网络产品核心业务功能运行的个人信息后，网络运营者应当向个人信息主体提供核心业务功能服务，不得因个人信息主体拒绝或者撤销同意收集上述信息以外的其他信息，而拒绝提供核心业务功能服务。”

该等规定将产品或服务的核心功能与非核心功能相区别，产品或服务的提供者不得因个人不同意收集核心功能运行所需的个人信息之外的信息而停止提供核心业务功能。实践当中，已有不少APP对给予用户的选择权作了改进，如知乎在用户首次使用APP时，在欢迎页面明确了需申请的权限，并在页面下方设置有“同意并进入”、“仅浏览”两个选项，如果选择“仅浏览”，则无法使部分功能。

在有的案例中，设置同意、拒绝选项，给予用户选择权，可能会成为APP或网站的免责事由。例如，在北京百度网讯科技有限公司与朱某隐私权纠纷一案 中，判决书记载：百度网讯公司已经明确说明cookie技术、使用cookie技术的可能性后果以及通过提供禁用按钮向用户提供选择退出机制，朱某在百度网讯公司已经明确告知上述事项后，仍然使用百度搜索引擎服务，应视为对百度网讯公司采用默认“选择同意”方式的认可。

3、直接收集、间接收集

直接收集，是指个人信息处理者自行直接收集个人的信息，间接收集，是指通过第三方（合作方）收集个人信息。对被收集信息的个人来讲，这种区分并无实质意义，但对于信息处理者而言，如果是通过合作方来收集个人信息，则需要借助合作方的平台或渠道。在此情境下，信息处理者需由合作方同意其通过该合作方平台或渠道收集用户信息，同时，该合作方亦需要向用户告知其数据信息被其他方收集和使用等内容并获得用户的授权。由于系由合作方面对最终用户、隐私政策系由合作方制定，为确保合规性，信息处理者需关注合作方的数据合规情况和资质，通过合同界定各方的权利和责任、约定好违约赔偿责任，并督促合作方制订的隐私条款符合《民法典》、《网络安全法》等的规定，从而尽量降低间接收集个人信息的风险。

每日互动（股票代码：300766）的数据信息即主要是通过第三方来获取。根据每日互动的IPO招股文件，每日互动系通过APP开发者获取用户数据信息，在APP开发者将“个推 SDK”与其移动应用集成后，每日互动可通过且仅通过集成了个推SDK的APP获取用户数据。每日互动不直接获取用户信息，而是通过APP开发者在获得终端用户授权后，通过APP开发者获得经用户授权的数据信息。

4、正当性、必要性，不得过度收集、处理

《网络安全法》第41条第二款规定：“网络运营者不得收集与其提供的服务无关的个人信息”，《民法典》中增加了“不得过度处理”的内容。中央网络安全和信息化委员会办公室等四部门2019年1月联合发布的《关于开展App违法违规收集使用个人信息专项治理的公告》也明确规定：不收集与所提供服务无关的个人信息。

因而，运营者在制订隐私政策、收集个人信息时，需结合具体业务模式、业务流程，明晰所收集的信息是否为用户使用服务所必需，是否与实现产品或服务的业务功能有直接关联。如果不提供该信息并不影响该产品或服务功能的实现，则该信息不属于必要信息。APP专项治理工作组2019年7月11日发布的《关于10款App存在无隐私政策等问题的通报》中，点名了20款APP，该等APP违反《网络安全法》合法、正当、必要的要求，要求用户一次性同意开启多个可收集个人信息权限，不同意则无法安装使用。

三、个人信息的处理和使用

用户数据的收集是基础，数据的处理和使用是数据变现的核心，常见的模式是首先实现数据的积累，然后利用多种技术手段完成数据挖掘并结合移动互联网营销、公共服务等垂直领域实现数据变现。在数据的处理、使用当中，如下要点建议予以关注：

1、不超过授权范围收集、使用个人信息

按照要求，信息处理者在隐私政策中需明确收集、使用信息的种类并征得用户同意，如果用户明确表示不同意，则不得收集个人信息或打开可收集个人信息的权限，并尽量避免频繁征求用户同意、干扰用户正常使用，避免实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围。

2、去标识化处理

《民法典》第1038条第一款规定：“信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。”《网络安全法》第42条亦有类似规定。因此，基于上述法律规定的除外情形，在合法收集个人信息的基础上，对个人信息进行匿名化、去标识化后再予以共享或使用，无需另行征得个人的明示同意，目前已有相关案例对此予以确认 。

此外，《民法典》第1036条规定了处理个人信息免责事由：“处理个人信息，有下列情形之一的，行为人不承担民事责任：（一）在该自然人或者其监护人同意的范围内合理实施的行为；（二）合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外；（三）为维护公共利益或者该自然人合法权益，合理实施的其他行为。”前述规定明确了对个人信息的合理使用规则，有利于自然人合法权益的保护与公共利益的协调与平衡，依据这一规定，满足一定条件的前提下，依法处理个人信息不需要为此承担民事责任。该等规定与去标识化的相关规定类似，均有利于促进个人信息的合法使用。

3、广告推送

《消费者权益保护法》第21条第三款规定：“经营者未经消费者同意或者请求，或者消费者明确表示拒绝的，不得向其发送商业性信息。” 全国人民代表大会常务委员会《关于加强网络信息保护的决定》：“七、任何组织和个人未经电子信息接收者同意或者请求，或者电子信息接收者明确表示拒绝的，不得向其固定电话、移动电话或者个人电子邮箱发送商业性电子信息。”《广告法》第43条规定：“任何单位或者个人未经当事人同意或者请求，不得向其住宅、交通工具等发送广告，也不得以电子信息方式向其发送广告。以电子信息方式发送广告的，应当明示发送者的真实身份和联系方式，并向接收者提供拒绝继续接收的方式。”

精准营销是大数据的主要功能之一，也为众多运营者、商家所看重，但根据法律规定，向个人等发送的推广信息可能属于商业性电子信息或广告，需要事先取得用户授权，并为用户预留并告知用户拒绝接收、退订的途径。

4、数据安全

《民法典》第1038条第二款规定：“信息处理者应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失；发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知自然人并向有关主管部门报告。”《网络安全法》第21条、第42条第二款亦有类似规定。

公安部于2018年公布了《网络安全等级保护条例（征求意见稿）》，目前尚未正式颁布实施。2019年5月，国家市场监督管理总局、国家标准化管理委员会发布了《信息安全技术网络安全等级保护基本要求》、《信息安全技术网络安全等级保护测评要求》、《信息安全技术网络安全等级保护安全设计技术要求》等国家标准，并于2019年12月1日开始实施。

实践中，目前较为常见的是企业可以依据公安部等四部委发布的《关于印发<信息安全等级保护管理办法>的通知》（公通字[2007]43号）、《信息系统安全等级保护实施指南》等的要求，办理信息系统安全保护等级备案手续，取得《信息系统全等级保护备案证明》。

此外，国家互联网信息办公室2019年6月13日发布了《个人信息出境安全评估办法（征求意见稿）》，根据该办法，网络运营者向境外提供在中华人民共和国境内运营中收集的个人信息（个人信息出境），应当按照该办法进行安全评估。截至目前，该办法尚未正式颁布生效，但如涉及个人信息出境的情形，建议相关企业可参照其规定做好安全评估，向监管部门报备或向其寻求指导。

在现在的大数据时代，个人信息的收集、处理越来越普遍和常见，同时社会关注度也越来越高，《民法典》的颁布为个人信息保护提出了更高的要求，个人信息处理者应当紧跟立法、监管要求，不断改进、提升个人信息保护的合规水平。