核心提示 11月1日，《中華人民共和國個人信息保護(hù)法》正式施行，明確了個人信息和敏感個人信息的處理規(guī)則，完善個人信息保護(hù)投訴、舉報工作機制，從嚴(yán)懲治違法行為，全方位保護(hù)個人信息安全。電網(wǎng)企業(yè)在為千家萬戶提供服務(wù)的過程中，需要處理大量個人信息。應(yīng)從內(nèi)外兩方面著手落實個人信息保護(hù)法相關(guān)要求，對內(nèi)深化個人信息保護(hù)的組織、機制和流程建設(shè)；對外明確并落實個人信息的處理規(guī)則，規(guī)范個人信息處理者的數(shù)據(jù)處理行為。
這是我國首部針對個人信息保護(hù)的專門法律
《中華人民共和國個人信息保護(hù)法》（以下簡稱個人信息保護(hù)法）于今年8月經(jīng)十三屆全國人大常委會第三十次會議表決通過，11月1日生效實施。個人信息保護(hù)法共8章74條，是我國首部針對個人信息保護(hù)的專門法律。
個人信息保護(hù)法聚焦隨意收集、違法獲取、過度使用、非法買賣個人信息等突出問題和人民群眾的重大關(guān)切，通過立法建立權(quán)責(zé)明確、保護(hù)有效、利用規(guī)范的制度規(guī)則，旨在解決利用個人信息侵?jǐn)_人民群眾生活安寧、危害人民群眾生命健康和財產(chǎn)安全的問題，在保障個人信息權(quán)益的基礎(chǔ)上，促進(jìn)信息數(shù)據(jù)依法合理有效利用，推動數(shù)字經(jīng)濟(jì)持續(xù)健康發(fā)展。
個人信息保護(hù)法主要有哪些內(nèi)容
●進(jìn)一步明確個人信息處理的合法性基礎(chǔ)
個人信息保護(hù)法確立了“告知-同意”這一個人信息處理的核心規(guī)則——除非法律法規(guī)另有規(guī)定，取得個人同意方可處理個人信息。告知是同意的前提，個人信息處理者在處理個人信息前，應(yīng)當(dāng)告知個人信息的處理目的和處理方式、處理的個人信息種類、個人行使權(quán)利的方式和程序等事項。
個人信息保護(hù)法延續(xù)民法典的規(guī)定，擴展了“同意”以外個人信息處理的合法性基礎(chǔ)，將訂立或履行合同所必需、保護(hù)自然人的重大利益以及公共利益等納入個人信息處理合法基礎(chǔ)的范圍。
●進(jìn)一步增強對個人信息主體權(quán)益的保護(hù)
個人信息保護(hù)法第四章規(guī)定了個人在個人信息處理中的權(quán)利，包括享有知情權(quán)、決定權(quán)、查閱權(quán)、復(fù)制權(quán)，在個人信息不準(zhǔn)確和不完整情況下的更正權(quán)和補充權(quán)，以及符合特定條件的刪除權(quán)。
個人信息保護(hù)法其他章節(jié)也體現(xiàn)了對個人信息主體權(quán)益的保護(hù)，包括撤回同意的權(quán)利、自動化決策下個人信息主體的權(quán)利，以及死者的個人信息權(quán)益?；趥€人同意處理個人信息的，個人有權(quán)撤回其同意。通過自動化決策方式作出對個人權(quán)益有重大影響的決定時，個人信息主體有權(quán)要求個人信息處理者予以說明，并且有權(quán)拒絕僅通過自動化決策方式作出的決定。同時，個人信息處理者還應(yīng)當(dāng)同時提供不針對其個人特征的選項，或者向個人提供拒絕自動化決策的方式。本法規(guī)定了死者的個人信息權(quán)益，在自然人死亡后，其個人信息權(quán)利由其近親屬行使。
●明確個人信息的出境規(guī)則
個人信息保護(hù)法明確一般情況和特殊情況下的個人信息出境規(guī)則。個人信息處理者因業(yè)務(wù)等需要，確實需要向境外提供個人信息的，要進(jìn)行個人信息保護(hù)認(rèn)證，與境外接收方訂立合同，或符合法律、行政法規(guī)、國家網(wǎng)信部門規(guī)定的其他條件方可出境。特殊情況，即關(guān)鍵信息基礎(chǔ)設(shè)施運營者和處理個人信息達(dá)到國家網(wǎng)信部門規(guī)定數(shù)量的個人信息處理者，確需向境外提供個人信息的，應(yīng)當(dāng)通過國家網(wǎng)信部門組織的安全評估。
本法通過出口管制和對等反制措施進(jìn)行個人信息出境管理，并嚴(yán)格禁止未經(jīng)批準(zhǔn)向外國司法或者執(zhí)法機構(gòu)提供個人信息。
●細(xì)化個人信息處理者企業(yè)內(nèi)部管理義務(wù)
個人信息保護(hù)法要求個人信息處理者采取措施確保個人信息處理活動符合法律、行政法規(guī)的規(guī)定，防止未經(jīng)授權(quán)的訪問以及個人信息的泄露，包括制定內(nèi)部管理制度和操作規(guī)程，對個人信息實行分類管理，采取相應(yīng)的加密、去標(biāo)識化等安全技術(shù)措施，合理確定個人信息處理的操作權(quán)限并定期對從業(yè)人員進(jìn)行安全教育和培訓(xùn)等。針對用戶數(shù)量巨大、業(yè)務(wù)類型復(fù)雜的基礎(chǔ)性互聯(lián)網(wǎng)平臺，本法提出了新的義務(wù)要求，包括成立由外部成員組成的獨立機構(gòu)，監(jiān)督個人信息處理活動等。
個人信息保護(hù)法規(guī)定，個人信息處理者應(yīng)當(dāng)按要求設(shè)置個人信息保護(hù)負(fù)責(zé)人，公開負(fù)責(zé)人的聯(lián)系方式并向個人信息保護(hù)部門報送；應(yīng)定期對其處理個人信息遵守法律、行政法規(guī)的情況進(jìn)行合規(guī)審計。同時，個人信息處理者應(yīng)在開展處理敏感個人信息、利用個人信息進(jìn)行自動化決策、委托處理個人信息、提供個人信息、公開個人信息以及向境外提供個人信息等對個人權(quán)益有重大影響的個人信息處理活動前，進(jìn)行個人信息保護(hù)影響評估。
應(yīng)從內(nèi)外兩方面著手，規(guī)范處理個人信息
國家電網(wǎng)有限公司作為關(guān)系國家能源安全、國民經(jīng)濟(jì)命脈的國有重點骨干企業(yè)，為千家萬戶提供服務(wù)的過程中要處理大量個人信息。應(yīng)從內(nèi)外兩方面著手落實個人信息保護(hù)法相關(guān)要求，對內(nèi)強化內(nèi)功，深化公司個人信息保護(hù)的組織、機制和流程建設(shè)；對外明確并落實個人信息的處理規(guī)則，規(guī)范個人信息處理者的數(shù)據(jù)處理行為。
●深化企業(yè)內(nèi)部的個人信息保護(hù)組織、機制、流程建設(shè)
一是細(xì)化完善個人信息內(nèi)部安全管理制度。建立內(nèi)部管理制度和操作規(guī)程，至少覆蓋個人信息收集、存儲、使用、加工、傳輸、提供、公開等個人信息處理全生命周期流程；參照《電信和互聯(lián)網(wǎng)服務(wù)用戶個人信息保護(hù)分級指南》等規(guī)定對個人信息進(jìn)行分類管理。根據(jù)個人信息分類的結(jié)果，采取不同的安全技術(shù)措施，對敏感程度較高的個人信息采取更嚴(yán)格的安全技術(shù)措施，以降低可能面臨的風(fēng)險；內(nèi)部操作權(quán)限配置應(yīng)符合最小授權(quán)的訪問控制策略，使被授權(quán)訪問個人信息的人員只能訪問職責(zé)所需的最小必要的個人信息，且僅具備完成職責(zé)所需的最少的數(shù)據(jù)操作權(quán)限；定期開展從業(yè)人員安全教育和培訓(xùn)，同時按要求設(shè)置個人信息保護(hù)負(fù)責(zé)人。
二是制定并組織實施個人信息安全事件應(yīng)急預(yù)案。個人信息保護(hù)法明確將“制定并組織實施個人信息安全事件應(yīng)急預(yù)案”上升為個人信息處理者的義務(wù)。除制定并組織實施應(yīng)急預(yù)案外，應(yīng)參照《信息安全技術(shù)個人信息安全規(guī)范》第10條的要求，定期組織內(nèi)部人員開展相關(guān)應(yīng)急響應(yīng)培訓(xùn)和應(yīng)急演練，促使相關(guān)人員更好地掌握應(yīng)急處置時的崗位職責(zé)和應(yīng)急處置策略、規(guī)程。
三是針對對個人權(quán)益有重大影響的個人信息處理活動開展個人信息保護(hù)影響評估，并定期對其處理個人信息遵守法律、行政法規(guī)的情況開展合規(guī)審計。個人信息保護(hù)影響評估報告和處理情況記錄應(yīng)至少保存三年。
四是做好證據(jù)留痕以防范“過錯推定”責(zé)任。個人信息保護(hù)法規(guī)定，處理個人信息侵害個人信息權(quán)益造成損害，個人信息處理者不能證明自己沒有過錯的，應(yīng)當(dāng)承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任。應(yīng)對個人信息處理活動以及履行個人信息保護(hù)相關(guān)工作做好工作記錄及存檔，防范因不能舉證而承擔(dān)相關(guān)責(zé)任。
●明確個人信息的處理規(guī)則，規(guī)范個人信息處理者的數(shù)據(jù)處理活動
應(yīng)落實個人信息處理活動的合法基礎(chǔ)，強化告知同意義務(wù)，確保各項處理個人信息的場景均具備合法基礎(chǔ)。除法律、行政法規(guī)另有規(guī)定的，處理個人信息應(yīng)獲得個人的同意，并采取顯著方式、清晰易懂的語言向個人告知個人信息處理規(guī)則。在必要的情況下，處理個人信息要獲得個人單獨或書面的同意。
應(yīng)規(guī)范收集、存儲、刪除等各環(huán)節(jié)的個人信息處理活動。除法律、行政法規(guī)另有規(guī)定外，個人信息的保存期限應(yīng)當(dāng)為實現(xiàn)處理目的所必要的最短時間。應(yīng)結(jié)合業(yè)務(wù)目的確定個人信息的保存期限，按法律法規(guī)期限進(jìn)行存儲。
謹(jǐn)慎對待個人信息出境。關(guān)鍵信息基礎(chǔ)設(shè)施運營者和處理個人信息達(dá)到國家網(wǎng)信部門規(guī)定數(shù)量的個人信息處理者，應(yīng)當(dāng)堅持個人信息存儲在中國境內(nèi)的原則。確需向境外提供個人信息時，僅“通過國家網(wǎng)信部門組織的安全評估”進(jìn)行信息出境。
?。ㄗ髡邌挝唬簢译娋W(wǎng)有限公司大數(shù)據(jù)中心）
評論