中銀文化
客戶至上、專業合作、勤勉盡責、優質高效
中銀解讀｜《個人信息保護法》之企業合規治理建議（上)
時間：2023.03.02 作者：北京中銀（深圳）律師事務所 潘良、楊繼奇
分享到：
2021年11月1日，《中華人民共和國個人信息保護法》正式實施，標志著我國個人信息保護邁入了新階段，進入監管新時代。如何落實《個人信息保護法》，減少或降低合規風險，是所有涉及個人信息處理活動的企業或機構廣泛關注和迫切解決的難題。相關企業應盡快自查、調整、修正或完善現有業務中對個人信息的收集和處理規則，以滿足合規要求。本文簡要分析《個人信息保護法》下的合規義務，并提示相應的企業合規治理建議，拋磚引玉，歡迎指正。 一、《個人信息保護法》第五十一條規定中的企業合規義務《個人信息保護法》第五十一條規定中，集中闡述了個人信息處理者的主要合規義務，概括起來包括制度建設、信息分類、技術措施、人員管理和應急預案等五個基本方面和兜底的其他措施。因此，涉及個人信息處理活動的企業應當根據個人信息的處理目的、處理方式、個人信息的種類不同，以及對個人權益的影響、可能存在的安全風險等，依法建立相應的合規管理體系。
（一）建立健全內部管理制度和操作流程 《個人信息保護法》要求個人信息處理者（企業）內部應建立完善的個人信息保護制度以及操作規程。為此，筆者從多年企業合規經驗總結提煉如下要點，以期為企業合規治理提供有價值的參考建議。
1、健全內部管理制度
對于企業而言，了解信息處理活動的目的、范圍和方法是信息處理管理的基礎?；诖耍髽I需要分類制定適合企業的個人信息保護相關制度，包括但不限于建立健全：個人信息收集、傳輸和處理系統；個人用戶信息處理通知系統；個人信息安全保護制度；信息分類管理制度；個人信息風險評估制度；應急預案系統；個人信息出境管理系統；合規審計制度等。企業個人信息保護內部管理制度和體系的合法合規，不僅可以滿足監管要求，還可以根據公司自身實際情況適時進行操作或調整。
2、建立個人信息保護操作流程
操作流程是管理系統正常運作的重要保障，與管理系統相輔相成。企業需要重視個人信息處理全流程管理的重要性，實行覆蓋個人信息收集、傳輸、存儲、處理、刪除等全流程的互聯互通，并在流程中制定嚴格的權限管理制度，以降低疏于權限管理可能帶來的風險。
3、設置個人信息保護專職人員
《個人信息保護法》第五十二條規定，如果企業處理個人信息達到國家網信部門規定數量，則應指定個人信息保護負責人，應當公開個人信息保護負責人的聯系方式，并將個人信息保護負責人的姓名、聯系方式等報送履行個人信息保護職責的部門。此外，企業必要時還可以考慮設立相關獨立部門，以專門負責內部合規管理。這樣可以實現個人信息保護資源的整合，也有助于提升個人信息保護的效率水平，完善公司治理結構。
（二）個人信息分級分類管理 1、建立健全個人信息保護清單
首先，企業需要全面搜集和整理涉及個人信息保護的相關信息，建立個人信息保護清單，實現對個人信息數據的可視化。比如公司目前擁有哪些個人信息、個人信息的數據保存在哪里、這些信息數據如何流動、具體關聯哪些部門等，建立個人信息保護清單是建立個人信息合規框架的基礎。其次，企業須篩選、保存需要的信息，變更、刪除不需要的信息。但在信息處理過程中，須符合《個人信息保護法》規定的“目的明確、合理”和“對個人權利的影響最小”兩個原則。因此，公司需要明確所需個人信息的類型，在信息清單列表中顯示所需信息的內容和目的，并且盡量實現對個人權利的影響達到最小。最后，企業將需要處理的信息進行分類、分級，分類強調的是根據種類的不同按照屬性、特征而進行的劃分，而分級側重于按照劃定的某種標準，對同一類別的屬性按照高低、大小進行級別的劃分。信息數據的分類、分級可以滿足合規要求，還可以更有效地使用和保護數據,并使數據更易于定位和檢索。
2、嚴格區分普通信息和敏感信息
企業在處理以下兩類信息需要特別注意：一是敏感個人信息。根據《個人信息保護法》第二十八條的規定，敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。此類信息主要與個人人身和財產安全有關，因此受法律特別保護，相關處理程序和保護措施比普通個人信息要更嚴格；二是未成年人（未滿十四周歲）的個人信息。根據法律法規的相關規定，處理此類信息需要依法征得監護人的同意。對于違法處理未成年人信息的，在責任承擔時可能會被從重從嚴處理，以確保未成年人信息依法得到特別保護。
3、企業內部員工個人信息保護
個人信息不僅包括企業外部個人信息，還包括內部員工個人信息。盡管《個人信息保護法》第十三條規定，按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需，企業可以處理個人信息。但內部員工個人信息也屬于《個人信息保護法》的保護范疇，因此對內部員工個人信息權利的保護也不容忽視，應當盡可能參考企業外部個人信息的處理方式，依法予以保護。
（三）個人信息安全保護措施 在網絡時代中，數據是構成網絡的根本。而數據安全則是個人信息保護的基礎，保障數據安全是個人信息處理者的一項重要而基本的任務?！毒W絡安全法》要求網絡運營者保障網絡安全，維護網絡數據的完整性、保密性和可用性?！稊祿踩ā芬矎娬{數據處理者的法律義務，以確保數據安全。此次實施的《個人信息保護法》，同樣要求企業采取安全技術措施保護個人信息。
企業應當采取個人信息安全保護措施，加強對個人信息的保護。個人信息安全保護措施要具有系統性、預防性、全面性。常見的技術手段包括建立防火墻、匿名化、加密化。建立防火墻有利于隔絕外部因素對墻內數據的影響；匿名化是指對標識符進行處理，使特定個人信息主體處理的信息無法被識別的數據處理方法；加密化是利用技術手段把重要的數據變為亂碼（加密）傳送，到達目的地后再用相同或不同的手段還原（解密）。
（四）個人信息處理權限及安全教育與培訓 《個人信息保護法》將合理確定個人信息處理的操作權限，并定期對從業人員進行安全教育和培訓直接列為公司法律義務。針對這一規定，其要點是：（1）建立內部分工和權限體系。個人信息的收集、存儲、使用、風險監控等任務明確分離，按照分工、分類為每個員工設置相應的權限或級別；（2）從業人員應參加安全教育和培訓。通過個人信息和數據安全教育培訓，牢固樹立員工數據安全意識，防止數據泄露。
（五）個人信息安全事件應急制度 合規工作可以在一定程度上防患于未然，但不能完全避免風險。由于技術進步和企業產品更新迭代，個人信息保護存在安全漏洞在所難免。這就要求企業須制定個人信息安全事件應急預案，并在發生突發事件時以該預案為核心，對應急工作及時、準確地提供指導。比如在《網絡安全法》中，要求網絡運營者制定網絡安全事件應急預案，及時應對系統漏洞、計算機病毒、網絡攻擊、網絡入侵等安全風險。當發生危害網絡安全事件時，應及時啟動應急預案，采取相應整改措施，并按規定向有關主管部門報告。而此次實施的《個人信息保護法》，再次強調企業應當制定個人信息安全事件應急預案，定期開展培訓，并將其作為企業的法律義務，這表明建立健全個人信息應急制度對于減少風險是十分必要的，企業應當重視這方面的建設。
......
【未完待續，敬請期待！】
