聯(lián)系人：李女士
座機(jī)：010-59433750
手機(jī)：15313878231
郵 箱：angelals@secspace.com
地 址：北京市海淀區(qū)金碼大廈B座2328
專(zhuān)家觀點(diǎn) | 《個(gè)人信息安全規(guī)范》與國(guó)際數(shù)據(jù)保護(hù)趨勢(shì)
全球范圍內(nèi)的信息技術(shù)產(chǎn)業(yè)變革，驅(qū)動(dòng)著社會(huì)福利整體提升。作為信息載體的數(shù)據(jù)，伴隨著互聯(lián)網(wǎng)下沉至消費(fèi)產(chǎn)業(yè)鏈，已逐漸成為提升社會(huì)整體效能的支柱要素。同樣，正因?yàn)槌袚?dān)如此重任，數(shù)據(jù)也成為了一旦失守、便可能引發(fā)社會(huì)系統(tǒng)性風(fēng)險(xiǎn)的重要風(fēng)險(xiǎn)點(diǎn)。由此，數(shù)據(jù)保護(hù)成為了世界范圍內(nèi)的共識(shí)和實(shí)踐議題。
作為我國(guó)數(shù)據(jù)保護(hù)領(lǐng)域影響深遠(yuǎn)的推薦性國(guó)家標(biāo)準(zhǔn)，《信息安全技術(shù) 個(gè)人信息安全規(guī)范》（GB/T 35273-2017）在其實(shí)施的兩年內(nèi)，為網(wǎng)絡(luò)運(yùn)營(yíng)者提供了詳實(shí)的操作性合規(guī)指引，也給立法、執(zhí)法、司法提供了參考。根據(jù)長(zhǎng)時(shí)間的產(chǎn)業(yè)實(shí)踐和工作反饋，全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)（以下簡(jiǎn)稱(chēng)“信安標(biāo)委”）正式更新的《信息安全技術(shù) 個(gè)人信息安全規(guī)范》（GB/T 35273-2020），并于2020年3月6日由國(guó)家市場(chǎng)監(jiān)督管理總局和國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)聯(lián)合發(fā)布，將于2020年10月1日正式實(shí)施。
作為數(shù)據(jù)保護(hù)領(lǐng)域的從業(yè)人員，筆者注意到《個(gè)人信息安全規(guī)范》整體上較為符合國(guó)際上數(shù)據(jù)保護(hù)的最新趨勢(shì)，同時(shí)針對(duì)中國(guó)數(shù)字經(jīng)濟(jì)的特點(diǎn)又有所創(chuàng)新，以下簡(jiǎn)要進(jìn)行討論。
國(guó)際數(shù)據(jù)保護(hù)趨勢(shì)
近五年來(lái)，由于數(shù)據(jù)使用場(chǎng)景日趨深化，數(shù)據(jù)承載的國(guó)家利益、個(gè)人權(quán)益、商業(yè)利益在多重維度中呈現(xiàn)出互生、協(xié)同、沖突關(guān)系縱橫交錯(cuò)的姿態(tài)。各國(guó)依據(jù)自身能力定位和價(jià)值選擇，采取不同的利益平衡模式，構(gòu)建本國(guó)的數(shù)據(jù)保護(hù)方案，以促進(jìn)自身利益最大化，具體路徑如下：
歐盟通過(guò)《通用數(shù)據(jù)保護(hù)條例》（General Data Protection Regulation，以下簡(jiǎn)稱(chēng)“GDPR”）以對(duì)自然人個(gè)人信息權(quán)利的保護(hù)為原則，確定了“原則上禁止，有合法授權(quán)時(shí)允許”的個(gè)人數(shù)據(jù)使用模式，賦予數(shù)據(jù)主體知情權(quán)、訪問(wèn)權(quán)、修正權(quán)、刪除權(quán)、限制處理權(quán)、可攜帶權(quán)、拒絕權(quán)等七項(xiàng)數(shù)據(jù)權(quán)利，以期通過(guò)數(shù)據(jù)保護(hù)高標(biāo)準(zhǔn)重塑全球數(shù)據(jù)保護(hù)規(guī)則體系。
日本在《個(gè)人信息保護(hù)法》（2017）中沒(méi)有強(qiáng)化事先的“知情同意”規(guī)則，只對(duì)“需注意的個(gè)人信息”，規(guī)定了必須事先取得用戶同意，而對(duì)于一般個(gè)人信息則以限制濫用為原則。此舉倡導(dǎo)了在對(duì)個(gè)人數(shù)據(jù)進(jìn)行有效利用、打造高水平個(gè)人信息保護(hù)環(huán)境的同時(shí)，積極促進(jìn)數(shù)據(jù)產(chǎn)業(yè)的發(fā)展。
美國(guó)憑借其強(qiáng)大的技術(shù)實(shí)力，極力倡導(dǎo)自由市場(chǎng)式的數(shù)據(jù)利用，鼓勵(lì)“原則上允許，有條件禁止”的個(gè)人數(shù)據(jù)流通模式。以《2018年加州消費(fèi)者隱私法案》(California Consumer Privacy Act，以下簡(jiǎn)稱(chēng)“CCPA”)為例，在保障個(gè)人數(shù)據(jù)的廣泛訪問(wèn)權(quán)的基礎(chǔ)上，兼顧公民隱私保護(hù)。
新加坡《個(gè)人資料保護(hù)條例》（2019）不僅規(guī)定了商家等從業(yè)者不得任意收集、使用并公開(kāi)個(gè)人身份信息，還引入了專(zhuān)門(mén)問(wèn)責(zé)機(jī)制，凡是觸犯該規(guī)定，沒(méi)有做好個(gè)人數(shù)據(jù)保護(hù)的機(jī)構(gòu)，將視情況處以高額罰款，此舉旨在加強(qiáng)個(gè)人信息保護(hù)的力度。
韓國(guó)2020年1月通過(guò)了“數(shù)據(jù)三法”（《個(gè)人信息保護(hù)法》、《信用信息法》、《信息通信網(wǎng)法》）的修訂案，該法案旨在擴(kuò)大個(gè)人和企業(yè)可以收集、利用的個(gè)人信息范圍，有效緩解了有關(guān)數(shù)據(jù)利用的限制，為數(shù)據(jù)產(chǎn)業(yè)發(fā)展奠定了基礎(chǔ)。
總體來(lái)看，伴隨著從以信息供給基礎(chǔ)設(shè)施為中心轉(zhuǎn)向以信息載體為中心的產(chǎn)業(yè)革命，各國(guó)已逐漸從依靠信息技術(shù)、綜合國(guó)力等外在因素進(jìn)行資源搶占的斗爭(zhēng)格局轉(zhuǎn)向依靠立法選擇正確性、規(guī)范技術(shù)精細(xì)化等內(nèi)生因素進(jìn)行資源利用、資源創(chuàng)造的競(jìng)爭(zhēng)格局和合作姿態(tài)。在保護(hù)理念上，各國(guó)針對(duì)數(shù)據(jù)已逐漸形成全方位保護(hù)的立法理念，突出加強(qiáng)個(gè)人信息的使用限制。在立法思路上，各國(guó)普遍通過(guò)確定數(shù)據(jù)利益相關(guān)主體以及厘清各自的權(quán)益范圍來(lái)達(dá)到規(guī)范目的。在價(jià)值選擇上，雖然各國(guó)在數(shù)據(jù)涉及的國(guó)家利益、個(gè)人權(quán)益、商業(yè)利益發(fā)生沖突時(shí)占有不同的立場(chǎng)，但總體以保護(hù)個(gè)人信息主權(quán)利益為根基、以拓寬其它主體正當(dāng)利益為發(fā)展。在立法重點(diǎn)上，各國(guó)普遍新增個(gè)人生物識(shí)別信息保護(hù)的具體要求以及加強(qiáng)對(duì)個(gè)性化推薦方式的控制。在立法模式上，各國(guó)共同趨勢(shì)是將嚴(yán)格的政府執(zhí)法、壓力之下的行業(yè)自律和低強(qiáng)度的訴訟機(jī)制相結(jié)合。在立法技術(shù)上，各國(guó)均力求通過(guò)立法獲得產(chǎn)業(yè)發(fā)展的競(jìng)爭(zhēng)力和信息福利的可持續(xù)。在立法特點(diǎn)上，各國(guó)試圖通過(guò)將規(guī)范對(duì)象收斂至具體場(chǎng)景的精細(xì)化立法方式來(lái)提升立法正確性，通過(guò)明確各方的責(zé)任義務(wù)及管理措施來(lái)提升治理效果。
《個(gè)人信息安全規(guī)范》的協(xié)同和創(chuàng)新
在各國(guó)數(shù)據(jù)保護(hù)姿態(tài)趨同的背景下，《個(gè)人信息安全規(guī)范》的制定和修訂總體上在與國(guó)際數(shù)據(jù)保護(hù)趨勢(shì)展現(xiàn)出協(xié)同契合的一面：
針對(duì)數(shù)據(jù)主體權(quán)利的全面保護(hù)。GDPR之所以號(hào)稱(chēng)數(shù)據(jù)最嚴(yán)格立法，源于其賦予了數(shù)據(jù)主體同意權(quán)、訪問(wèn)權(quán)、更正權(quán)、被遺忘權(quán)、限制處理權(quán)、拒絕權(quán)及自動(dòng)化自決權(quán)等廣泛的數(shù)據(jù)權(quán)利和自由，同時(shí)明確了數(shù)據(jù)控制者和處理者應(yīng)盡到采取合法、公平和透明的技術(shù)和組織措施保護(hù)數(shù)據(jù)權(quán)益的法定義務(wù)，以及履行對(duì)監(jiān)管部門(mén)及數(shù)據(jù)保護(hù)認(rèn)證組織的法定義務(wù)，以達(dá)到對(duì)數(shù)據(jù)的全面保護(hù)。而《個(gè)人信息安全規(guī)范》同樣采用專(zhuān)業(yè)術(shù)語(yǔ)定義擴(kuò)大個(gè)人信息保護(hù)范圍，以單列條款的形式，增加了用戶畫(huà)像、個(gè)性化展示和匯聚融合的使用要求，并從生成策略設(shè)計(jì)到運(yùn)行安全可靠多環(huán)節(jié)對(duì)信息系統(tǒng)自動(dòng)決策機(jī)制提出嚴(yán)格約束，彰顯其以對(duì)數(shù)據(jù)的全面保護(hù)為目標(biāo)。
針對(duì)數(shù)據(jù)利益保護(hù)位階的明確。在GDPR的框架下，信息權(quán)益保護(hù)的位階為：數(shù)據(jù)控制者或第三方的合法利益讓位于數(shù)據(jù)主體的基本權(quán)利和自由，但保護(hù)數(shù)據(jù)主體基本權(quán)利和自由的考量要讓位于公權(quán)力機(jī)關(guān)的職責(zé)履行。《個(gè)人信息安全規(guī)范》雖然對(duì)企業(yè)商業(yè)利益與個(gè)體信息權(quán)益間的協(xié)商關(guān)系做出了細(xì)致的具體規(guī)定，但整體與GDPR的數(shù)據(jù)利益保護(hù)位階相一致，以保護(hù)數(shù)據(jù)主體權(quán)利為基本。
針對(duì)信息收集的“最小必要原則”。如何落實(shí)數(shù)據(jù)收集的“必要性”和“最小化”原則是各國(guó)數(shù)據(jù)監(jiān)管機(jī)構(gòu)面臨的共同挑戰(zhàn)。在歐盟GDPR語(yǔ)境下被細(xì)化為三要素，即“充分性”——個(gè)人信息足以實(shí)現(xiàn)處理目的，“相關(guān)性”——個(gè)人信息與目的具有合理關(guān)聯(lián)，“限于必要”——僅應(yīng)收集完成目的所需的最少信息?！秱€(gè)人信息安全規(guī)范》對(duì)于該原則的貫徹，承繼了此前征求意見(jiàn)稿在區(qū)分業(yè)務(wù)功能的基礎(chǔ)上界定信息收集范圍的思路，禁止企業(yè)將基本功能與擴(kuò)展功能捆綁，防止企業(yè)通過(guò)“功能捆綁”強(qiáng)迫個(gè)人信息主體接受個(gè)人信息收集，顯示出與國(guó)際趨勢(shì)的統(tǒng)一。
針對(duì)生物識(shí)別信息收集制度。人臉識(shí)別信息的過(guò)度收集、泄露和濫用引發(fā)的諸多倫理、隱私和安全問(wèn)題在國(guó)內(nèi)外均引起了廣泛關(guān)注。歐盟委員會(huì)甚至曾一度提出五年內(nèi)禁用人臉識(shí)別技術(shù)的禁令。一直以隱私監(jiān)管寬松而著稱(chēng)的美國(guó)，也有數(shù)州提出或通過(guò)關(guān)于人臉識(shí)別限制的立法。與此相呼應(yīng)的是，《個(gè)人信息安全規(guī)范》同樣新增并強(qiáng)調(diào)對(duì)個(gè)人生物識(shí)別信息在收集、存儲(chǔ)、共享三大環(huán)節(jié)的保護(hù)要求，規(guī)定了在收集個(gè)人生物識(shí)別信息前，應(yīng)單獨(dú)向個(gè)人信息主體告知收集、使用個(gè)人生物識(shí)別信息的目的、方式和范圍，以及存儲(chǔ)時(shí)間，并要求征得個(gè)人信息主體的明示同意。
與此同時(shí)，在我國(guó)的數(shù)據(jù)保護(hù)領(lǐng)域仍存在很多未達(dá)成共識(shí)的復(fù)雜性問(wèn)題，以及存在域外經(jīng)驗(yàn)難以本地化展開(kāi)的特有性問(wèn)題。對(duì)此，《個(gè)人信息安全規(guī)范》也因地制宜的進(jìn)行了規(guī)則創(chuàng)新，比如：
關(guān)于可攜信息范圍的限定。GDPR將可攜帶信息限定為數(shù)據(jù)主體有權(quán)獲取其提供給數(shù)據(jù)控制者的相關(guān)個(gè)人數(shù)據(jù)，信息種類(lèi)較為廣泛。而《個(gè)人信息安全規(guī)范》基于現(xiàn)實(shí)實(shí)踐的考量，將可攜信息范圍規(guī)定僅限于個(gè)人基本資料、身份信息、健康生理信息和個(gè)人教育工作信息，這一工作為數(shù)據(jù)可攜帶權(quán)的權(quán)利實(shí)現(xiàn)奠定了基礎(chǔ)。
關(guān)于具體操作的指引功能。相較于國(guó)際上對(duì)于數(shù)據(jù)的原則性立法、粗放型規(guī)定，《個(gè)人信息安全規(guī)范》從多維度深入規(guī)范場(chǎng)景內(nèi)部進(jìn)行精確化指導(dǎo)，對(duì)個(gè)人信息控制者收集和使用個(gè)人信息的內(nèi)部合規(guī)制度和外部生態(tài)規(guī)則提供了詳細(xì)指引，對(duì)個(gè)人信息通過(guò)委托處理、共享、轉(zhuǎn)讓等方式在個(gè)人信息控制者、共同控制者、受托處理方、第三方接入各方流轉(zhuǎn)過(guò)程的規(guī)定進(jìn)行詳細(xì)解釋。
《個(gè)人信息安全規(guī)范》的實(shí)踐價(jià)值和樣本功能
《個(gè)人信息安全規(guī)范》自實(shí)施以來(lái)即以其內(nèi)容的豐富和可操作性引起實(shí)務(wù)界的矚目，成為企業(yè)在個(gè)人信息保護(hù)實(shí)踐中的重要指引以及相關(guān)監(jiān)管機(jī)構(gòu)執(zhí)法的參照。在業(yè)界，許多業(yè)內(nèi)人士稱(chēng)《個(gè)人信息安全規(guī)范》是中國(guó)版的GDPR，但與GDPR不同，《個(gè)人信息安全規(guī)范》只是推薦性標(biāo)準(zhǔn)，自身并無(wú)強(qiáng)制性法律效力。之所以將其與GDPR類(lèi)比，其實(shí)際意思在指，在規(guī)范內(nèi)容上二者具有同質(zhì)性，在規(guī)范形式和規(guī)范技術(shù)上具有一定可比性。
在實(shí)踐中，《個(gè)人信息安全規(guī)范》將散亂在眾多規(guī)范的個(gè)人信息保護(hù)方案進(jìn)行體系化梳理，為監(jiān)管部門(mén)執(zhí)法提供了知識(shí)參考，也在實(shí)踐中被執(zhí)法領(lǐng)域多次援引。同時(shí)根據(jù)商業(yè)形態(tài)的發(fā)展變革和數(shù)字化時(shí)代技術(shù)的快速迭代，對(duì)個(gè)人信息收集和使用規(guī)則進(jìn)行完善，為企業(yè)合規(guī)業(yè)務(wù)開(kāi)展提供了明確性指引，彰顯了其在我國(guó)數(shù)據(jù)保護(hù)領(lǐng)域中的實(shí)踐價(jià)值。
與此同時(shí)，面對(duì)我國(guó)數(shù)據(jù)保護(hù)領(lǐng)域長(zhǎng)期處于法律滯后、規(guī)范模糊、條文沖突、立法低水平重復(fù)的現(xiàn)狀，《個(gè)人信息安全規(guī)范》根據(jù)我國(guó)相關(guān)法律的立法理念，圍繞如何保護(hù)個(gè)人信息主權(quán)利益和平衡個(gè)人信息控制者利益，綜合考量了個(gè)人信息的多元利益屬性和多方權(quán)屬主體及其活動(dòng)狀態(tài)，對(duì)涉及數(shù)據(jù)的采集、存儲(chǔ)、共享、轉(zhuǎn)讓、刪除等環(huán)節(jié)的各類(lèi)場(chǎng)景進(jìn)行了精細(xì)化的設(shè)計(jì)和創(chuàng)新性的方案設(shè)置，切實(shí)提升了我國(guó)個(gè)人信息保護(hù)法律體系的融貫性?！秱€(gè)人信息安全規(guī)范》既為個(gè)人數(shù)據(jù)提供充分的法律保護(hù)，也避免了數(shù)據(jù)保護(hù)過(guò)度增加企業(yè)的合規(guī)成本而對(duì)數(shù)據(jù)產(chǎn)業(yè)發(fā)展造成壓制，在實(shí)踐中多次為信息立法提供參照，具有重要的樣本功能。
（作者：北京市安理律師事務(wù)所高級(jí)合伙人 王新銳 羅為）
來(lái)源：全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)網(wǎng)站