数据合规，深圳先行： 《深圳经济特区数据条例》解读（一）——个人数据保护篇

作为“数据合规，深圳先行”系列文章的第一篇，本文将从个人数据保护方面梳理《深圳经济特区数据条例》（下称“《条例》”）对企业提出的合规要求与相关的违规责任，以期协助企业在《条例》正式实施前做好相应的准备。

《条例》将于2022年1月1日起在深圳正式实施。作为数据领域第一部综合的地方性立法，《条例》分七章，共100条，内容涵盖了个人数据保护，公共数据共享、开放和利用，数据要素市场的培育和保障，数据安全及监督及法律责任等，不仅对现行《民法典》《网络安全法》《数据安全法》等上位法以及《个人信息保护法（草案二次审议稿）》（下称“《个人信息保护法》（二审稿）”）进行了更为细致的补充规定，还对数据权益、数据交易、数据要素市场体系建设等尚存在立法空白的领域进行了突破与先试。首先，《条例》第一次在立法层面对数据权益进行确认，明确自然人对个人数据享有人格权益，自然人、法人和非法人组织对其合法处理数据形成的数据产品和服务享有财产权益。第二，在认可数据财产权益以及国家推动建立数据要素市场的大背景下，《条例》对数据交易制度进行了初次探索，明确规定合法处理形成的数据产品和服务可以依法交易，从而更好地实现数据要素价值。第三，鉴于目前数据领域维权困难的现状，《条例》以地方立法形式第一次提出数据领域的公益诉讼制度。

 基本定义

个人数据

《条例》第二条第（二）项首创性地使用了“个人数据”这一概念，即“载有可识别特定自然人信息的数据，不包括匿名化处理后的数据”，而非沿用此前《民法典》《网络安全法》《数据安全法》以及《个人信息保护法》（二审稿）中采用的“个人信息”这一说法。值得注意的是，“个人数据”这一概念与General Data Protection Regulation （GDPR）中“personal data”表述一致。

数据处理

根据《条例》第二条第（六）项，数据处理是指 “数据的收集、存储、使用、加工、传输、提供、开放等活动”，与《个人信息保护法》（二审稿）中对于个人信息的处理的定义基本一致。

企业处理个人数据的合规义务

《条例》第二章对企业在收集、存储、使用、加工、传输、提供、开放个人数据时，提出了以下基本原则和要求：

处理个人数据的基本原则

自《民法典》正式实施以来，合法、正当、必要已经成为了处理个人信息的三大基本原则。而《条例》第十条对处理个人数据的合法、正当、必要原则进行了进一步明确与扩充：

《条例》第十一条上述“最小必要”的具体内涵作了进一步阐明，列举了五种“实现处理目的所必要的最小范围，采取对个人权益影响最小的方式”的情形，为企业的个人数据处理活动提供了较为清晰的行为指引：

处理个人数据的具体义务

《条例》第二章在前述处理个人数据基本原则的基础上，对进行个人数据处理活动的企业设置了以下具体的义务：

1. 不得拒绝提供核心功能与服务的义务：数据处理者不得以自然人不同意处理其个人数据为由，拒绝向其提供相关核心功能或者服务（第十二条）。

2. 明示告知义务：

（1）处理个人数据应当在处理前以通俗易懂、明确具体、易获取的方式向自然人完整、真实、准确地告知下列事项：数据处理者的姓名或者名称以及联系方式；处理个人数据的种类和范围；处理个人数据的目的和方式；存储个人数据的期限；处理个人数据可能存在的安全风险以及对其个人数据采取的安全保护措施；自然人依法享有的相关权利以及行使权利的方式；法律、法规规定应当告知的其他事项（第十四条第一款）。

（2）处理敏感个人数据[1]的，应当前述规定，以更加显著的标识或者突出显示的形式告知处理敏感个人数据的必要性以及对自然人可能产生的影响（第十四条第二款）。

（3）数据处理者基于提升产品或者服务质量的目的，对自然人进行用户画像[2]的，应当向其明示用户画像的具体用途和主要规则。自然人可以拒绝数据处理者根据前述规定对其进行用户画像或者基于用户画像推荐个性化产品或者服务，数据处理者应当以易获取的方式向其提供拒绝的有效途径（第二十九条）。

3. 征得同意的义务及除外情形：

（1）数据处理者应当在处理个人数据前，征得自然人的同意，并在其同意范围内处理个人数据，但是法律、行政法规以及本条例另有规定的除外。前述应当征得同意的事项发生变更的，应当重新征得同意（第十六条）。

（2）处理敏感个人数据的，应当在处理前征得该自然人的明示同意（第十八条）。

（3）处理生物识别数据[3]的，应当在征得该自然人明示同意时，提供处理其他非生物识别数据的替代方案（第十九条）。

（4）处理无民事行为能力或者限制民事行为能力的成年人个人数据的，应当在处理前征得其监护人的明示同意（第二十条第二款）。

（5）征得同意的除外情形，即处理个人数据有以下情形之一的，可以在处理前不征得自然人同意：（一）处理自然人自行公开或者其他已经合法公开的个人数据，且符合该个人数据公开时的目的；（二）为了订立或者履行自然人作为一方当事人的合同所必需；（三）数据处理者因人力资源管理、商业秘密保护所必需，在合理范围内处理其员工个人数据；（四）公共管理和服务机构为了依法履行公共管理职责或者提供公共服务所必需；（五）新闻单位依法进行新闻报道所必需；（六）法律、行政法规规定的其他情形（第二十一条）。

4. 提供撤回同意的途径：处理个人数据应当采用易获取的方式提供自然人撤回其同意的途径，不得利用服务协议或者技术等手段对自然人撤回同意进行不合理限制或者附加不合理条件（第二十三条）。

5. 对处理未成年人个人数据的特别要求：

（1）处理未满十四周岁的未成年人个人数据的，按照处理敏感个人数据的有关规定执行，并应当在处理前征得其监护人的明示同意（第二十条第一款）。

（2）数据处理者不得基于用户画像向未满十四周岁的未成年人推荐个性化产品或者服务。但是，为了维护其合法权益且征得其监护人明示同意的除外（第三十条）。

6. 及时删除义务：数据处理者在以下情况下应当及时删除个人数据：法律、法规规定或者约定的存储期限届满；处理个人数据的目的已经实现或者处理个人数据对于处理目的已经不再必要；自然人撤回同意且要求删除个人数据；数据处理者违反法律、法规规定或者双方约定处理数据，自然人要求删除；法律、法规规定的其他情形。

7. 去标识化及匿名化义务：数据处理者向他人提供其处理的个人数据，应当对个人数据进行去标识化处理，使得被提供的个人数据在不借助其他数据的情况下无法识别特定自然人。法律、法规规定或者自然人与数据处理者约定应当匿名化的，数据处理者应当依照法律、法规规定或者双方约定进行匿名化处理（第二十六条）。

8. 构建投诉举报机制的义务：数据处理者应当建立自然人行使相关权利和投诉举报的处理机制，并以易获取的方式提供有效途径（第三十一条）。

违反处理个人数据合规义务的

相关法律责任

目前《个人信息保护法》仍在制定过程中，为保持对违规处理个人数据处罚的统一性，避免与上位法规定不一致，《条例》第九十二条规定，违反本条例规定处理个人数据的，依照个人信息保护有关法律、法规规定处罚。

若根据现行《消费者权益保护法》、《网络安全法》以及目前《个人信息保护法》（二审稿）的内容，企业违规处理个人数据可能会导致以下法律责任：

民事责任

1. 《个人信息保护法》（二审稿）第六十八条：个人信息权益因个人信息处理活动受到侵害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。

2. 《消费者权益保护法》第五十条：经营者侵害消费者的人格尊严、侵犯消费者人身自由或者侵害消费者个人信息依法得到保护的权利的，应当停止侵害、恢复名誉、消除影响、赔礼道歉，并赔偿损失。

行政处罚

（点击查看大图）

治安管理处罚

《个人信息保护法》（二审稿）第七十条规定，违规处理个人信息，构成违反治安管理行为的，依法给予治安管理处罚。

现行《治安管理处罚法》中并未对针对违反个人数据保护义务提供具体的处罚依据。根据我们对近三年涉及个人信息的典型处罚案例的调研（见下表），实践中主管部门进行处罚的主要是侵犯隐私以及涉嫌侵犯公民个人信息罪的行为，依据为第《治安管理处罚法》第四十二条：“有下列行为之一的，处五日以下拘留或者五百元以下罚款；情节较重的，处五日以上十日以下拘留，可以并处五百元以下罚款：……（六）偷窥、偷拍、窃听、散布他人隐私的。”

（点击查看大图）

刑事责任

违规处理个人数据，情节严重的可能涉嫌《刑法》第二百五十三条之一规定的侵犯公民个人信息罪，即违反国家有关规定，向他人出售或者提供公民个人信息（包括窃取或者以其他方法非法获取公民个人信息的），情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

单位犯侵犯公民个人信息罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

根据前述《刑法》二百五十三条之一的规定，“情节严重”是衡量侵犯个人信息的行为是否入罪的要件，而“情节特别严重”则是是否加重处罚的量刑情节。

根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条，侵犯公民个人信息罪规定的“情节严重”包括以下情形：（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；（七）违法所得五千元以上的；（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；（十）其他情节严重的情形。

第二百五十三条之一规定的“情节特别严重”包括以下情形：（一）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；（二）造成重大经济损失或者恶劣社会影响的；（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；（四）其他情节特别严重的情形。

公益诉讼

现行《民事诉讼法》第五十五条为我国公益诉讼制度提供了基本的法律依据，规定“对污染环境、侵害众多消费者合法权益等损害社会公共利益的行为，法律规定的机关和有关组织可以向人民法院提起诉讼。人民检察院在履行职责中发现破坏生态环境和资源保护、食品药品安全领域侵害众多消费者合法权益等损害社会公共利益的行为，在没有前款规定的机关和组织或者前款规定的机关和组织不提起诉讼的情况下，可以向人民法院提起诉讼。前款规定的机关或者组织提起诉讼的，人民检察院可以支持起诉。” 《消费者权益保护法》《环境保护法》《未成年人保护法》《安全生产法》 等实体法均设置了公益诉讼条款。

就个人信息及数据领域而言，由于实践中数据侵权具有较高的隐秘性，即便被侵权人察觉，鉴于取证难度，以及出于时间或经济成本的考量，往往难以进行维权。为缓解当前这种数据维权艰难的现状，《个人信息保护法》（二审稿）第六十九条便尝试对个人信息领域公益诉讼制度提供法律基础：“个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、履行个人信息保护职责的部门和国家网信部门确定的组织可以依法向人民法院提起诉讼”。

而《条例》从地方立法的层面首次确立了数据领域的公益诉讼制度。《条例》第九十八条规定：“违反本条例规定处理数据，致使国家利益或者公共利益受到损害的，法律、法规规定的组织可以依法提起民事公益诉讼。法律、法规规定的组织提起民事公益诉讼，人民检察院认为有必要的，可以支持起诉。法律、法规规定的组织未提起民事公益诉讼的，人民检察院可以依法提起民事公益诉讼。人民检察院发现履行数据监督管理职责的部门违法行使职权或者不作为，致使国家利益或者公共利益受到损害的，应当向有关行政机关提出检察建议；行政机关不依法履行职责的，人民检察院可以依法提起行政公益诉讼。”

合规建议

基于以上对于处理个人数据的义务以及违规责任的梳理，我们对于企业如何合法、合规地处理个人数据提出以下建议：

及时梳理、识别适用的合规义务，

并定期进行更新

目前我国的个人数据保护立法和实践还处在初级阶段，顶层法律框架还在搭建中，而相关部门、地方根据所属领域、行业以及地区的实际需要，制定了适用于特定领域、行业、地域的法规、规章、标准、政策、指导性文件等。因此，对于企业而言，合法、合规地处理个人数据的首要前提便是及时梳理、识别适用于企业自身的合规义务。考虑到数据领域立法动态性较强，适用的立法文件及相关政策不断更新，对于企业的合规义务也会不断产生新的要求及调整，因此企业必须定期对已识别的义务及风险进行更新。

制定和完善处理个人数据相关的

内部规章制度

在识别出适用的合规义务后，企业应该根据公司的实际情况，结合相关法律法规的要求制订和完善企业内部处理个人数据相关的管理制度、操作规程、格式文本等，规范员工处理个人数据的行为，将处理个人数据相关的合规义务落实到企业的日常生产经营活动中。

在处理个人数据的过程中注意保留

相关记录

关于处理个人数据可能导致的民事责任，《个人信息保护法》（二审稿）第六十八条创设了个人信息处理者“过错推定”的归责原则，意味着个人信息权益因个人信息处理活动受到侵害时，企业如果不能证明自己没有过错，就应当承担损害赔偿等侵权责任。若《个人信息保护法》正式出台时保留该等原则，为防止在日后争议中被推定存在过错而承担侵权责任，企业应当在个人数据处理过程中注意保留相关的处理记录，以便在万一发生争议时能够举证自己是依法合规地处理个人数据，履行了相关的合规义务，从而证明不存在过错。

我知道你  在看  哦