合规知识 |《个人信息保护法》对互联网企业的八大影响（一）- 大数跨境

首页

合规知识 |《个人信息保护法》对互联网企业的八大影响（一）

合规观察

2021-11-18

点击上方蓝字关注我们

前言

近年来，全球掀起了一股个人信息保护的浪潮。各国纷纷出台法律，对个人信息予以重点保护，其中比较瞩目的是欧盟于2018年5月出台的《通用数据保护条例》（General Data Protection Regulation，简称GDPR）。GDPR之前被称为“史上最严的隐私条例”，触犯可能会导致高达企业年收入4%的罚款，执法以来，已有多家巨头企业被开具高额罚单，比如亚马逊被处以8.88亿美元罚款。

在全球重视个人信息保护的背景下，《中华人民共和国个人信息保护法》（以下简称个保法）于2021年8月20日通过，并已于2021年11月1日正式施行。这是我国在个人信息保护领域最核心的法律。相较于GDPR，个保法在多个维度要求更为严苛，比如违反个保法可处以高达5千万元或企业年收入5%的罚款，同时在数据本地化和出境安全评估、对自动化决策的限制、死者个人信息保护、知情权等维度要求高于GDPR。

个保法生效后，首当其冲的是以BAT为首的中国互联网企业。互联网企业日常进行大量个人信息的处理，个保法就是一把悬在头上的达摩克利斯之剑。这把剑在落下之前，互联网企业应当积极解读个保法，并配合监管积极贯彻落实。

一、夯实法律基础，严格落实用户告知与同意

用户同意须自愿、明确

个人信息的处理，包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。除个保法第十三条第二项至第七项规定情形，个人信息处理活动应当取得个人的同意。互联网企业直接从用户处收集个人信息，需特别注意取得个人的同意。用户的同意应当是在充分知情的前提下自愿、明确作出的。

用户的告知与同意，业内通行的做法是首次运行、用户注册业务时，以弹窗、突出链接等明示方式，告知用户隐私政策，并取得用户的同意。隐私政策中包含公司名称、联系方式、个人信息的处理目的、处理方式，处理的个人信息种类、保存期限、个人行使用户权利的方式和程序，以及法律、行政法规规定应当告知的其他事项（隐私政策内容可参考《个人信息安全规范》（GB/T 35273-2020）中的《个人信息保护政策模板》）。

首次进入京东商城APP时弹窗页面

根据个保法的规定，隐私政策应当便于查阅和保存。隐私政策展现出来，应当易于用户查阅，字体不能太小，重点突出，内容应当通俗易懂，而不是生涩的法律语言。同时企业应当提供隐私政策下载的方式，便于用户保存。《关于开展信息通信服务感知提升行动的通知》（工信部管函[2021]292号）要求互联网企业优化隐私政策，以简洁、清晰、易懂的方式，向用户提供APP产品隐私政策摘要。涉及调用用户终端中相机、相册、通讯录、录音、位置等敏感权限的，还应当以适当方式告知用户调用该权限的目的，充分保障用户知情权。

隐私政策征得用户同意，应当规避非明示方式，比如默认勾选隐私政策。并且用户点击同意隐私政策前，不得上报个人信息。如果个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，更新隐私政策，应当以弹窗形式告知用户变更部分，并重新取得用户同意。从诉讼角度看，隐私政策的同意，是企业收集用户个人信息的法律基础。因此，企业应当采取强有力的技术手段，保留用户对隐私政策同意的相关证据，并能证明该证据不能被篡改。

值得一提的是，个保法规定了5种单独同意场景：向第三方共享个人信息、收集敏感个人信息、个人信息跨境提供、公开处理的个人信息、公共场所收集的个人信息用于非维护公共安全目的。这几种场景下，需要单独告知用户，并征得用户同意。

用户同意可便捷撤回

基于个人同意处理个人信息的，个人有权撤回其同意。企业应当开发隐私政策的撤回同意路径，路径易于发现，从首页开始4步之内可完成。同时，用户在使用服务时，可能会授权相机、相册、通讯录、录音、位置等权限，企业应当有单独的授权管理页面，用户关闭各类权限。

系统权限管理展示页面

个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。互联网产品可以区分基础业务功能与扩展业务功能，需使用必要个人信息的，属于基础业务。参考《常见类型移动互联网应用程序必要个人信息范围规定》（国信办秘字[2021]号），互联网产品可以分门别类，并对应其中APP类型，确定必要个人信息范围。用户撤回对特定功能、权限的同意，不影响其正常使用与该特定功能、权限无关的业务功能。即撤回同意，用户可以退回到基础功能版本，使用该产品的基础功能。

抖音功能选择告知页面

根据个保法第四十七条，用户撤回同意的，互联网企业应当主动删除用户的个人信息。法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，互联网企业应当停止除存储和采取必要的安全保护措施之外的处理。

敏感个人信息审慎处理

根据《个人信息保护法》第二十八条，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账号、行踪轨迹等信息，以及不满十四周岁未成年的个人信息。而且，只有在不收集敏感个人信息，则无法实现产品功能，且没有替代性方案的情况下，才能处理敏感个人信息。企业在处理敏感个人信息前，应当对传输和存储敏感个人信息时根据所处理个人信息的敏感程度、重要性等，采取了不同级别的加密措施；对敏感个人信息的访问、修改进行权限控制。

根据敏感个人信息的定义，相机、相册、通讯录、录音、位置定位等信息均属于敏感个人信息，处理前，应当单独弹窗告知用户，个人信息的处理目的、处理方式，以及为什么一定需要处理用户的敏感个人信息，处理用户敏感个人信息对个人的影响是什么，并征得用户单独同意。

【声明】内容源于网络

合规观察

1234

内容 7

粉丝 0

合规观察 1234

总阅读4

粉丝0

内容7