聯(lián)系人：李女士
座機：010-59433750
手機：15313878231
郵 箱：angelals@secspace.com
地 址：北京市海淀區(qū)金碼大廈B座2328
專家觀點 | 《個人信息安全規(guī)范》與國際數(shù)據(jù)保護趨勢
全球范圍內(nèi)的信息技術(shù)產(chǎn)業(yè)變革，驅(qū)動著社會福利整體提升。作為信息載體的數(shù)據(jù)，伴隨著互聯(lián)網(wǎng)下沉至消費產(chǎn)業(yè)鏈，已逐漸成為提升社會整體效能的支柱要素。同樣，正因為承擔如此重任，數(shù)據(jù)也成為了一旦失守、便可能引發(fā)社會系統(tǒng)性風險的重要風險點。由此，數(shù)據(jù)保護成為了世界范圍內(nèi)的共識和實踐議題。
作為我國數(shù)據(jù)保護領(lǐng)域影響深遠的推薦性國家標準，《信息安全技術(shù) 個人信息安全規(guī)范》（GB/T 35273-2017）在其實施的兩年內(nèi)，為網(wǎng)絡(luò)運營者提供了詳實的操作性合規(guī)指引，也給立法、執(zhí)法、司法提供了參考。根據(jù)長時間的產(chǎn)業(yè)實踐和工作反饋，全國信息安全標準化技術(shù)委員會（以下簡稱“信安標委”）正式更新的《信息安全技術(shù) 個人信息安全規(guī)范》（GB/T 35273-2020），并于2020年3月6日由國家市場監(jiān)督管理總局和國家標準化管理委員會聯(lián)合發(fā)布，將于2020年10月1日正式實施。
作為數(shù)據(jù)保護領(lǐng)域的從業(yè)人員，筆者注意到《個人信息安全規(guī)范》整體上較為符合國際上數(shù)據(jù)保護的最新趨勢，同時針對中國數(shù)字經(jīng)濟的特點又有所創(chuàng)新，以下簡要進行討論。
國際數(shù)據(jù)保護趨勢
近五年來，由于數(shù)據(jù)使用場景日趨深化，數(shù)據(jù)承載的國家利益、個人權(quán)益、商業(yè)利益在多重維度中呈現(xiàn)出互生、協(xié)同、沖突關(guān)系縱橫交錯的姿態(tài)。各國依據(jù)自身能力定位和價值選擇，采取不同的利益平衡模式，構(gòu)建本國的數(shù)據(jù)保護方案，以促進自身利益最大化，具體路徑如下：
歐盟通過《通用數(shù)據(jù)保護條例》（General Data Protection Regulation，以下簡稱“GDPR”）以對自然人個人信息權(quán)利的保護為原則，確定了“原則上禁止，有合法授權(quán)時允許”的個人數(shù)據(jù)使用模式，賦予數(shù)據(jù)主體知情權(quán)、訪問權(quán)、修正權(quán)、刪除權(quán)、限制處理權(quán)、可攜帶權(quán)、拒絕權(quán)等七項數(shù)據(jù)權(quán)利，以期通過數(shù)據(jù)保護高標準重塑全球數(shù)據(jù)保護規(guī)則體系。
日本在《個人信息保護法》（2017）中沒有強化事先的“知情同意”規(guī)則，只對“需注意的個人信息”，規(guī)定了必須事先取得用戶同意，而對于一般個人信息則以限制濫用為原則。此舉倡導了在對個人數(shù)據(jù)進行有效利用、打造高水平個人信息保護環(huán)境的同時，積極促進數(shù)據(jù)產(chǎn)業(yè)的發(fā)展。
美國憑借其強大的技術(shù)實力，極力倡導自由市場式的數(shù)據(jù)利用，鼓勵“原則上允許，有條件禁止”的個人數(shù)據(jù)流通模式。以《2018年加州消費者隱私法案》(California Consumer Privacy Act，以下簡稱“CCPA”)為例，在保障個人數(shù)據(jù)的廣泛訪問權(quán)的基礎(chǔ)上，兼顧公民隱私保護。
新加坡《個人資料保護條例》（2019）不僅規(guī)定了商家等從業(yè)者不得任意收集、使用并公開個人身份信息，還引入了專門問責機制，凡是觸犯該規(guī)定，沒有做好個人數(shù)據(jù)保護的機構(gòu)，將視情況處以高額罰款，此舉旨在加強個人信息保護的力度。
韓國2020年1月通過了“數(shù)據(jù)三法”（《個人信息保護法》、《信用信息法》、《信息通信網(wǎng)法》）的修訂案，該法案旨在擴大個人和企業(yè)可以收集、利用的個人信息范圍，有效緩解了有關(guān)數(shù)據(jù)利用的限制，為數(shù)據(jù)產(chǎn)業(yè)發(fā)展奠定了基礎(chǔ)。
總體來看，伴隨著從以信息供給基礎(chǔ)設(shè)施為中心轉(zhuǎn)向以信息載體為中心的產(chǎn)業(yè)革命，各國已逐漸從依靠信息技術(shù)、綜合國力等外在因素進行資源搶占的斗爭格局轉(zhuǎn)向依靠立法選擇正確性、規(guī)范技術(shù)精細化等內(nèi)生因素進行資源利用、資源創(chuàng)造的競爭格局和合作姿態(tài)。在保護理念上，各國針對數(shù)據(jù)已逐漸形成全方位保護的立法理念，突出加強個人信息的使用限制。在立法思路上，各國普遍通過確定數(shù)據(jù)利益相關(guān)主體以及厘清各自的權(quán)益范圍來達到規(guī)范目的。在價值選擇上，雖然各國在數(shù)據(jù)涉及的國家利益、個人權(quán)益、商業(yè)利益發(fā)生沖突時占有不同的立場，但總體以保護個人信息主權(quán)利益為根基、以拓寬其它主體正當利益為發(fā)展。在立法重點上，各國普遍新增個人生物識別信息保護的具體要求以及加強對個性化推薦方式的控制。在立法模式上，各國共同趨勢是將嚴格的政府執(zhí)法、壓力之下的行業(yè)自律和低強度的訴訟機制相結(jié)合。在立法技術(shù)上，各國均力求通過立法獲得產(chǎn)業(yè)發(fā)展的競爭力和信息福利的可持續(xù)。在立法特點上，各國試圖通過將規(guī)范對象收斂至具體場景的精細化立法方式來提升立法正確性，通過明確各方的責任義務(wù)及管理措施來提升治理效果。
《個人信息安全規(guī)范》的協(xié)同和創(chuàng)新
在各國數(shù)據(jù)保護姿態(tài)趨同的背景下，《個人信息安全規(guī)范》的制定和修訂總體上在與國際數(shù)據(jù)保護趨勢展現(xiàn)出協(xié)同契合的一面：
針對數(shù)據(jù)主體權(quán)利的全面保護。GDPR之所以號稱數(shù)據(jù)最嚴格立法，源于其賦予了數(shù)據(jù)主體同意權(quán)、訪問權(quán)、更正權(quán)、被遺忘權(quán)、限制處理權(quán)、拒絕權(quán)及自動化自決權(quán)等廣泛的數(shù)據(jù)權(quán)利和自由，同時明確了數(shù)據(jù)控制者和處理者應盡到采取合法、公平和透明的技術(shù)和組織措施保護數(shù)據(jù)權(quán)益的法定義務(wù)，以及履行對監(jiān)管部門及數(shù)據(jù)保護認證組織的法定義務(wù)，以達到對數(shù)據(jù)的全面保護。而《個人信息安全規(guī)范》同樣采用專業(yè)術(shù)語定義擴大個人信息保護范圍，以單列條款的形式，增加了用戶畫像、個性化展示和匯聚融合的使用要求，并從生成策略設(shè)計到運行安全可靠多環(huán)節(jié)對信息系統(tǒng)自動決策機制提出嚴格約束，彰顯其以對數(shù)據(jù)的全面保護為目標。
針對數(shù)據(jù)利益保護位階的明確。在GDPR的框架下，信息權(quán)益保護的位階為：數(shù)據(jù)控制者或第三方的合法利益讓位于數(shù)據(jù)主體的基本權(quán)利和自由，但保護數(shù)據(jù)主體基本權(quán)利和自由的考量要讓位于公權(quán)力機關(guān)的職責履行?！秱€人信息安全規(guī)范》雖然對企業(yè)商業(yè)利益與個體信息權(quán)益間的協(xié)商關(guān)系做出了細致的具體規(guī)定，但整體與GDPR的數(shù)據(jù)利益保護位階相一致，以保護數(shù)據(jù)主體權(quán)利為基本。
針對信息收集的“最小必要原則”。如何落實數(shù)據(jù)收集的“必要性”和“最小化”原則是各國數(shù)據(jù)監(jiān)管機構(gòu)面臨的共同挑戰(zhàn)。在歐盟GDPR語境下被細化為三要素，即“充分性”——個人信息足以實現(xiàn)處理目的，“相關(guān)性”——個人信息與目的具有合理關(guān)聯(lián)，“限于必要”——僅應收集完成目的所需的最少信息?！秱€人信息安全規(guī)范》對于該原則的貫徹，承繼了此前征求意見稿在區(qū)分業(yè)務(wù)功能的基礎(chǔ)上界定信息收集范圍的思路，禁止企業(yè)將基本功能與擴展功能捆綁，防止企業(yè)通過“功能捆綁”強迫個人信息主體接受個人信息收集，顯示出與國際趨勢的統(tǒng)一。
針對生物識別信息收集制度。人臉識別信息的過度收集、泄露和濫用引發(fā)的諸多倫理、隱私和安全問題在國內(nèi)外均引起了廣泛關(guān)注。歐盟委員會甚至曾一度提出五年內(nèi)禁用人臉識別技術(shù)的禁令。一直以隱私監(jiān)管寬松而著稱的美國，也有數(shù)州提出或通過關(guān)于人臉識別限制的立法。與此相呼應的是，《個人信息安全規(guī)范》同樣新增并強調(diào)對個人生物識別信息在收集、存儲、共享三大環(huán)節(jié)的保護要求，規(guī)定了在收集個人生物識別信息前，應單獨向個人信息主體告知收集、使用個人生物識別信息的目的、方式和范圍，以及存儲時間，并要求征得個人信息主體的明示同意。
與此同時，在我國的數(shù)據(jù)保護領(lǐng)域仍存在很多未達成共識的復雜性問題，以及存在域外經(jīng)驗難以本地化展開的特有性問題。對此，《個人信息安全規(guī)范》也因地制宜的進行了規(guī)則創(chuàng)新，比如：
關(guān)于可攜信息范圍的限定。GDPR將可攜帶信息限定為數(shù)據(jù)主體有權(quán)獲取其提供給數(shù)據(jù)控制者的相關(guān)個人數(shù)據(jù)，信息種類較為廣泛。而《個人信息安全規(guī)范》基于現(xiàn)實實踐的考量，將可攜信息范圍規(guī)定僅限于個人基本資料、身份信息、健康生理信息和個人教育工作信息，這一工作為數(shù)據(jù)可攜帶權(quán)的權(quán)利實現(xiàn)奠定了基礎(chǔ)。
關(guān)于具體操作的指引功能。相較于國際上對于數(shù)據(jù)的原則性立法、粗放型規(guī)定，《個人信息安全規(guī)范》從多維度深入規(guī)范場景內(nèi)部進行精確化指導，對個人信息控制者收集和使用個人信息的內(nèi)部合規(guī)制度和外部生態(tài)規(guī)則提供了詳細指引，對個人信息通過委托處理、共享、轉(zhuǎn)讓等方式在個人信息控制者、共同控制者、受托處理方、第三方接入各方流轉(zhuǎn)過程的規(guī)定進行詳細解釋。
《個人信息安全規(guī)范》的實踐價值和樣本功能
《個人信息安全規(guī)范》自實施以來即以其內(nèi)容的豐富和可操作性引起實務(wù)界的矚目，成為企業(yè)在個人信息保護實踐中的重要指引以及相關(guān)監(jiān)管機構(gòu)執(zhí)法的參照。在業(yè)界，許多業(yè)內(nèi)人士稱《個人信息安全規(guī)范》是中國版的GDPR，但與GDPR不同，《個人信息安全規(guī)范》只是推薦性標準，自身并無強制性法律效力。之所以將其與GDPR類比，其實際意思在指，在規(guī)范內(nèi)容上二者具有同質(zhì)性，在規(guī)范形式和規(guī)范技術(shù)上具有一定可比性。
在實踐中，《個人信息安全規(guī)范》將散亂在眾多規(guī)范的個人信息保護方案進行體系化梳理，為監(jiān)管部門執(zhí)法提供了知識參考，也在實踐中被執(zhí)法領(lǐng)域多次援引。同時根據(jù)商業(yè)形態(tài)的發(fā)展變革和數(shù)字化時代技術(shù)的快速迭代，對個人信息收集和使用規(guī)則進行完善，為企業(yè)合規(guī)業(yè)務(wù)開展提供了明確性指引，彰顯了其在我國數(shù)據(jù)保護領(lǐng)域中的實踐價值。
與此同時，面對我國數(shù)據(jù)保護領(lǐng)域長期處于法律滯后、規(guī)范模糊、條文沖突、立法低水平重復的現(xiàn)狀，《個人信息安全規(guī)范》根據(jù)我國相關(guān)法律的立法理念，圍繞如何保護個人信息主權(quán)利益和平衡個人信息控制者利益，綜合考量了個人信息的多元利益屬性和多方權(quán)屬主體及其活動狀態(tài)，對涉及數(shù)據(jù)的采集、存儲、共享、轉(zhuǎn)讓、刪除等環(huán)節(jié)的各類場景進行了精細化的設(shè)計和創(chuàng)新性的方案設(shè)置，切實提升了我國個人信息保護法律體系的融貫性?！秱€人信息安全規(guī)范》既為個人數(shù)據(jù)提供充分的法律保護，也避免了數(shù)據(jù)保護過度增加企業(yè)的合規(guī)成本而對數(shù)據(jù)產(chǎn)業(yè)發(fā)展造成壓制，在實踐中多次為信息立法提供參照，具有重要的樣本功能。
（作者：北京市安理律師事務(wù)所高級合伙人 王新銳 羅為）
來源：全國信息安全標準化技術(shù)委員會網(wǎng)站