隆安法言|简评《网络数据安全管理条例（征求意见稿）》之个人信息保护

01

数据分类

《数安条例》第5条规定，国家建立数据分类分级保护制度，将数据分为一般数据、重要数据、核心数据三类，不同级别的数据采取不同的保护措施，并对个人信息和重要数据进行重点保护，对核心数据实行严格保护。

《数安条例》未定义一般数据，我们理解重要数据和核心数据之外的数据归为一般数据。就重要数据的范围，《数安条例》第73条采取概括加列举的方式定义，而根据《数据安全法》第21条，重要数据具体目录由各地方、各部门按照数据分类分级保护制度确定。《数安条例》第73条将核心数据概括定义为“关系国家安全、国民经济命脉、重要民生和重大公共利益等的数据”。

根据《数安条例》第5条，本地区、本部门以及相关行业、领域的数据由各地区、各部门进行分类分级管理。就具体个人信息属于何类何级，将有待地区、相关部门的后续细化明确。但无论个人信息属于何种级别，均应与重要数据同样进行重点保护。

02

服务供应商义务

《数安条例》第8条第1款规定了六类禁止开展数据处理的活动，其中和个人信息保护相关的包括：（二）不得侵害他人名誉权、隐私权、著作权和其他合法权益等、（三）不得通过窃取或者以其他非法方式获取数据和（四）非法出售或者非法向他人提供数据。《数安条例》第8条第2款进一步规定，“任何个人和组织知道或者应当知道他人从事前款活动的，不得为其提供技术支持、工具、程序和广告推广、支付结算等服务”。对个人信息处理者的技术支持、工具、程序和广告推广、支付等服务提供商而言，《数安条例》第8条附加了额外的合理注意义务。

《数安条例》第八章法律责任部分虽未规定服务供应商违反《数安条例》第8条第2款的法律责任，但不妨碍执法机关或被侵权人依据其他法律法规追究其责任。

03

应急处置机制

04

对外提供个人信息

《个人信息保护法》第23条规制个人信息处理者向其他个人信息处理者提供个人信息，要求个人信息处理者向个人信息主体告知接收方的名称或姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人信息主体单独同意，而《数安条例》第12条规定除了提供《个人信息保护法》第23条下的告知内容，还应当告知个人信息的类型、范围、存储期限和存储地点，并取得个人信息主体单独同意，同时《数安条例》亦明确符合法律、行政法规规定的不需要取得个人信息主体同意的情形或者经过匿名化处理的除外。

根据《个人信息保护法》第21条规定，委托处理的，个人信息处理者应当与受托方约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，同时对受托方的个人信息处理活动进行监督。《个人信息保护法》未对对外提供个人信息作出前述要求，但《数安条例》第11条则要求对外提供个人信息的，数据处理者和数据接收方应当约定处理目的、范围、处理方式，数据安全保护措施等，明确双方数据安全义务，并对接收方的处理活动进行监督。这相当于扩大了《个人信息保护法》第23条的规定内容，加重了个人信息提供方的法律义务。此外，《数安条例》第11条还明确要求提供方应当留存个人同意记录及提供个人信息的日志记录至少五年。

05

转移个人信息

《个人信息保护法》第22条规定，个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，接收方应当继续履行个人信息处理者的义务。而《数安条例》第14条则规定，处理者发生合并、重组、分立等情况的，接收方继续履行数据安全保护义务，涉及重要数据和100万以上个人信息的，还应向设区的市级主管部门报告；发生解散、被宣告破产等情况的，应当向设区的市级主管部门报告，并按照相关要求移交或删除数据。

《个人信息保护法》第45条第3款规定了个人信息的可携带权，《数安条例》第24条细化了个人信息转移请求的条件，并明确请求次数超出合理范围，个人信息处理者有权收取合理费用。

06

公开投诉举报方式

《个人信息保护法》第50条要求个人信息处理者建立便捷的个人信息主体行使权利的申请受理和处理机制，第52条规定个人信息处理者应当公开个人信息保护负责人的联系方式。《数安条例》第18条进一步要求数据处理者公开接受数据安全投诉、举报的联系方式、责任人信息，且需每年公开披露受理和收到的个人信息安全投诉数量、投诉处理情况、平均处理时间情况。虽然《数安条例》第18条针对的是数据安全投诉和举报，但个人信息处理者在处理个人信息活动中亦需酌情考虑参照《数安条例》第18条的规定遵守相应的公开要求。

07

最小影响原则和最小范围原则

《个人信息保护法》第6条规定处理个人信息应当采取对个人权益影响最小的方式，收集个人信息应当限于实现处理目的的最小范围。前述最小影响原则和最小范围原则适用于全部合法性基础的情形。《数安条例》第19条针对合法性基础为个人同意的情形，细化要求应当满足“（一）处理的个人信息是提供服务所必需的，或者是履行法律、行政法规规定的义务所必需的；（二）限于实现处理目的最短周期、最低频次，采取对个人权益影响最小的方式；（三）不得因个人拒绝提供服务必需的个人信息以外的信息，拒绝提供服务或者干扰个人正常使用服务”。《数安条例》第19条未规定其他合法性基础下的最小影响原则和最小范围原则。

08

公开个人信息处理规则

《个人信息保护法》第7条规定个人信息处理者应当公开个人信息处理规则。《数安条例》第20条细化个人信息处理规则应当包含的内容。此前，个人信息处理者制定个人信息处理规则时主要参考国家推荐性标准《信息安全技术 个人信息安全规范》（2020年修订）。现在，个人信息处理者需要参考《数安条例》的规定，完善自身个人信息处理规则的相关内容。

需要关注是，《个人信息保护法》第52条规定只有“处理个人信息达到国家网信部门规定数量的个人信息处理者”才应当设置个人信息保护负责人，而《数安条例》第20条规定的个人信息处理规则内容包括了个人信息保护负责人联系方式，意味着《数安条例》要求所有个人信息处理者都应当设置个人信息保护负责人。

10 

个人信息处理者的义务

11

个人信息跨境提供

就个人信息跨境提供的条件，《数安条例》第35条将《个人信息保护法》第38条下的“安全评估”表述为“出境安全评估”，规定个人信息处理者和境外接收方皆需通过“个人信息保护认证”。《数安条例》第35条同时补充规定“数据处理者为订立、履行个人作为一方当事人的合同所必需向境外提供当事人个人信息的，或者为了保护个人生命健康和财产安全而必须向境外提供个人信息的除外。”我们理解此处的“所必需”和《个人信息保护法》第13条下“所必需”的认定标准将保持一致，《数安条例》为部分个人信息的便捷跨境提供预留了可能的路径。