今年是《網(wǎng)絡(luò)安全法》正式實(shí)施的第五年，也是我國(guó)數(shù)據(jù)合規(guī)立法的關(guān)鍵年份。
? 1月1日，《中華人民共和國(guó)民法典》正式實(shí)施，其中人格權(quán)編設(shè)立“隱私權(quán)和個(gè)人信息保護(hù)”專(zhuān)章，構(gòu)建數(shù)字時(shí)代個(gè)人信息和隱私保護(hù)的民法基礎(chǔ)；
? 6月10日，《中華人民共和國(guó)數(shù)據(jù)安全法》審議通過(guò)，將于9月1日起正式施行；《深圳經(jīng)濟(jì)特區(qū)數(shù)據(jù)條例》、《網(wǎng)絡(luò)安全審查辦法（修訂草案）》相繼公布；
? 8月20日，經(jīng)第十三屆全國(guó)人大常委會(huì)第三十次會(huì)議審議后，《中華人民共和國(guó)個(gè)人信息保護(hù)法》（以下簡(jiǎn)稱(chēng)“《個(gè)保法》”）獲得通過(guò)并公布。
《個(gè)保法》共八章七十四條。將于2021年11月1日起生效實(shí)施，是我國(guó)邁入數(shù)字化社會(huì)，彰顯“以人為本”的法律制度里程碑，也是我國(guó)為全球數(shù)字治理貢獻(xiàn)的中國(guó)方案。
《個(gè)保法》的誕生，對(duì)信息安全領(lǐng)域而言具有劃時(shí)代的重要意義。特別是對(duì)個(gè)人信息產(chǎn)生的主體（個(gè)人）、個(gè)人信息處理的主體（機(jī)構(gòu)/個(gè)人）、個(gè)人信息安全監(jiān)管主體（國(guó)家相關(guān)機(jī)關(guān)）等進(jìn)行了明確的權(quán)責(zé)界定以及違法懲處，為數(shù)字時(shí)代的個(gè)人信息保護(hù)提供了法律保障。
對(duì)此，明朝萬(wàn)達(dá)信息安全專(zhuān)家從《個(gè)保法》的立法歷程、詳細(xì)解讀兩方面進(jìn)行詳細(xì)分析，并對(duì)迎接《個(gè)保法》實(shí)施需加強(qiáng)的技術(shù)措施進(jìn)行了解讀。
立法歷程
2020年10月13日，十三屆全國(guó)人大常委會(huì)委員長(zhǎng)會(huì)議提出了關(guān)于提請(qǐng)審議個(gè)人信息保護(hù)法草案的議案。草案規(guī)定侵害個(gè)人信息權(quán)益的違法行為，情節(jié)嚴(yán)重的，沒(méi)收違法所得，并處5000萬(wàn)元以下或者上一年度營(yíng)業(yè)額5%以下罰款，5%的額度甚至超過(guò)了在個(gè)人信息保護(hù)方面規(guī)定“最嚴(yán)”的歐盟。
2021年4月26日，個(gè)人信息保護(hù)法草案提請(qǐng)全國(guó)人大常委會(huì)二次審議。草案擬規(guī)定，提供基礎(chǔ)性互聯(lián)網(wǎng)平臺(tái)服務(wù)、用戶(hù)數(shù)量巨大、業(yè)務(wù)類(lèi)型復(fù)雜的個(gè)人信息處理者，應(yīng)成立主要由外部成員組成的獨(dú)立機(jī)構(gòu)，對(duì)個(gè)人信息處理活動(dòng)進(jìn)行監(jiān)督，并要求其定期發(fā)布個(gè)人信息保護(hù)社會(huì)責(zé)任報(bào)告等。
2021年8月13日，全國(guó)人大常委會(huì)法工委舉行記者會(huì)，通報(bào)本次常委會(huì)會(huì)議擬審議的法律草案的主要情況。關(guān)于個(gè)人信息保護(hù)法草案，根據(jù)各方面意見(jiàn)，提請(qǐng)本次常委會(huì)會(huì)議審議的草案三次審議稿擬作如下主要修改：
一是，我國(guó)憲法規(guī)定，國(guó)家尊重和保障人權(quán)，公民的人格尊嚴(yán)不受侵犯，公民的通信自由和通信秘密受法律保護(hù)。制定實(shí)施本法對(duì)于保障公民的人格尊嚴(yán)和其他權(quán)益具有重要意義。據(jù)此，擬在草案第一條中增加規(guī)定“根據(jù)憲法”制定本法。
二是，進(jìn)一步完善個(gè)人信息處理規(guī)則，特別是對(duì)應(yīng)用程序（App）過(guò)度收集個(gè)人信息、“大數(shù)據(jù)殺熟”等作出有針對(duì)性規(guī)范。
三是，將不滿(mǎn)十四周歲未成年人的個(gè)人信息作為敏感個(gè)人信息，并要求個(gè)人信息處理者對(duì)此制定專(zhuān)門(mén)的個(gè)人信息處理規(guī)則。
四是，完善個(gè)人信息跨境提供的規(guī)則，對(duì)按照我國(guó)締結(jié)或者參加的國(guó)際條約、協(xié)定向境外提供個(gè)人信息、對(duì)轉(zhuǎn)移到境外的個(gè)人信息的保護(hù)不應(yīng)低于我國(guó)的保護(hù)標(biāo)準(zhǔn)等作出規(guī)定。
五是，增加個(gè)人信息可攜帶權(quán)的規(guī)定，完善死者個(gè)人信息保護(hù)的規(guī)定。六是，對(duì)完善個(gè)人信息保護(hù)投訴、舉報(bào)工作機(jī)制及違法處理個(gè)人信息涉嫌犯罪案件的移送提出明確要求。
2021年8月20日，十三屆全國(guó)人大常委會(huì)第三十次會(huì)議表決通過(guò)《中華人民共和國(guó)個(gè)人信息保護(hù)法》。個(gè)人信息保護(hù)法自 2021年11月1日起施行。其中明確：
①通過(guò)自動(dòng)化決策方式向個(gè)人進(jìn)行信息推送、商業(yè)營(yíng)銷(xiāo)，應(yīng)提供不針對(duì)其個(gè)人特征的選項(xiàng)或提供便捷的拒絕方式
②處理生物識(shí)別、醫(yī)療健康、金融賬戶(hù)、行蹤軌跡等敏感個(gè)人信息，應(yīng)取得個(gè)人的單獨(dú)同意
③對(duì)違法處理個(gè)人信息的應(yīng)用程序，責(zé)令暫?；蛘呓K止提供服務(wù)。
詳細(xì)解讀
1、明確“個(gè)人信息”定義
《個(gè)保法》在第一章第四條首先對(duì)“個(gè)人信息”進(jìn)行了明確的定義：個(gè)人信息是以電子或其他方式記錄的與已識(shí)別或者可識(shí)別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。個(gè)人信息的處理包括收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)、刪除等。
個(gè)人信息保護(hù)的原則是收集、使用個(gè)人信息的基本遵循，是構(gòu)建個(gè)人信息保護(hù)具體規(guī)則的制度基礎(chǔ)。個(gè)人信息保護(hù)法借鑒國(guó)際經(jīng)驗(yàn)并立足我國(guó)實(shí)際，確立了個(gè)人信息處理應(yīng)遵循的原則，強(qiáng)調(diào)處理個(gè)人信息應(yīng)當(dāng)遵循合法、正當(dāng)、必要和誠(chéng)信原則，具有明確、合理的目的并與處理目的直接相關(guān)，采取對(duì)個(gè)人權(quán)益影響最小的方式，限于實(shí)現(xiàn)處理目的的最小范圍，公開(kāi)處理規(guī)則，保證信息質(zhì)量，采取安全保護(hù)措施等。
2、核心原則：告知-同意
第二章大部分明確規(guī)定：處理個(gè)人信息，應(yīng)當(dāng)在事先充分告知的前提下取得個(gè)人同意，不得誤導(dǎo)、欺詐、脅迫等；不得以個(gè)人不同意為由拒絕提供產(chǎn)品或者服務(wù)；信息處理者應(yīng)當(dāng)提供便捷的撤回同意方式。
3、個(gè)人信息處理的“三最”邊界
第一章第六條、第二章第十一條中明確規(guī)定：處理個(gè)人信息應(yīng)當(dāng)采取對(duì)個(gè)人權(quán)益影響最小的方式；收集范圍應(yīng)當(dāng)限于實(shí)現(xiàn)處理目的的最小范圍。保存期限應(yīng)當(dāng)為實(shí)現(xiàn)處理目的所必要的最短時(shí)間。
4、嚴(yán)格保護(hù)敏感個(gè)人信息
個(gè)人信息保護(hù)法將生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶(hù)、行蹤軌跡等信息列為敏感個(gè)人信息。個(gè)人信息保護(hù)法要求，只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，方可處理敏感個(gè)人信息，同時(shí)應(yīng)當(dāng)事前進(jìn)行影響評(píng)估，并向個(gè)人告知處理的必要性以及對(duì)個(gè)人權(quán)益的影響。
5、禁止“大數(shù)據(jù)殺熟”
當(dāng)前，越來(lái)越多的企業(yè)利用大數(shù)據(jù)分析、評(píng)估消費(fèi)者的個(gè)人特征用于商業(yè)營(yíng)銷(xiāo)。有一些企業(yè)通過(guò)掌握消費(fèi)者的經(jīng)濟(jì)狀況、消費(fèi)習(xí)慣、對(duì)價(jià)格的敏感程度等信息，對(duì)消費(fèi)者在交易價(jià)格等方面實(shí)行歧視性的差別待遇，誤導(dǎo)、欺詐消費(fèi)者。其中，最典型的就是社會(huì)反映突出的“大數(shù)據(jù)殺熟”。
對(duì)于大數(shù)據(jù)殺熟、廣告投放等進(jìn)行了嚴(yán)格的規(guī)范，第二章第二十四條明確規(guī)定：個(gè)人信息處理者利用個(gè)人信息進(jìn)行自動(dòng)化決策，應(yīng)當(dāng)保證決策的透明和結(jié)果公平、公正，不得對(duì)個(gè)人在交易價(jià)格等交易條件上實(shí)行不合理的差別待遇。
通過(guò)自動(dòng)化決策方式向個(gè)人進(jìn)行信息推送、商業(yè)營(yíng)銷(xiāo)，應(yīng)當(dāng)同時(shí)提供不針對(duì)其個(gè)人特征的選項(xiàng)，或者向個(gè)人提供便捷的拒絕方式。
通過(guò)自動(dòng)化決策方式作出對(duì)個(gè)人權(quán)益有重大影響的決定，個(gè)人有權(quán)要求個(gè)人信息處理者予以說(shuō)明，并有權(quán)拒絕個(gè)人信息處理者僅通過(guò)自動(dòng)化決策的方式作出決定。
6、規(guī)范國(guó)家機(jī)關(guān)處理活動(dòng)
保護(hù)個(gè)人信息權(quán)益、保障個(gè)人信息安全是國(guó)家機(jī)關(guān)應(yīng)盡的義務(wù)和責(zé)任。對(duì)此，個(gè)人信息保護(hù)法對(duì)國(guó)家機(jī)關(guān)處理個(gè)人信息的活動(dòng)作出專(zhuān)門(mén)規(guī)定，特別強(qiáng)調(diào)國(guó)家機(jī)關(guān)處理個(gè)人信息的活動(dòng)適用本法，并且處理個(gè)人信息應(yīng)當(dāng)依照法律、行政法規(guī)規(guī)定的權(quán)限和程序進(jìn)行，不得超出履行法定職責(zé)所必需的范圍和限度。
7、個(gè)人信息跨境規(guī)則
個(gè)人信息跨境傳輸要求，建立起國(guó)家標(biāo)準(zhǔn)，第三章第四十條明確：關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者和處理個(gè)人信息達(dá)到國(guó)家網(wǎng)信部門(mén)規(guī)定數(shù)量的個(gè)人信息處理者，應(yīng)當(dāng)將在中華人民共和國(guó)境內(nèi)收集和產(chǎn)生的個(gè)人信息存儲(chǔ)在境內(nèi)。確需向境外提供的，應(yīng)當(dāng)通過(guò)國(guó)家網(wǎng)信部門(mén)組織的安全評(píng)估；法律、行政法規(guī)和國(guó)家網(wǎng)信部門(mén)規(guī)定可以不進(jìn)行安全評(píng)估的，從其規(guī)定。
8、個(gè)人信息的個(gè)人權(quán)利
個(gè)人信息保護(hù)法將個(gè)人在個(gè)人信息處理活動(dòng)中的各項(xiàng)權(quán)利，包括知悉個(gè)人信息處理規(guī)則和處理事項(xiàng)、同意和撤回同意，以及個(gè)人信息的查詢(xún)、復(fù)制、更正、刪除等總結(jié)提升為知情權(quán)、決定權(quán)，明確個(gè)人有權(quán)限制個(gè)人信息的處理。同時(shí)，為了適應(yīng)互聯(lián)網(wǎng)應(yīng)用和服務(wù)多樣化的實(shí)際，滿(mǎn)足日益增長(zhǎng)的跨平臺(tái)轉(zhuǎn)移個(gè)人信息的需求，個(gè)人信息保護(hù)法對(duì)個(gè)人信息可攜帶權(quán)作了原則規(guī)定，要求在符合國(guó)家網(wǎng)信部門(mén)規(guī)定條件的情形下，個(gè)人信息處理者應(yīng)當(dāng)為個(gè)人提供轉(zhuǎn)移其個(gè)人信息的途徑。此外，個(gè)人信息保護(hù)法還對(duì)死者個(gè)人信息的保護(hù)作了專(zhuān)門(mén)規(guī)定，明確在尊重死者生前安排的前提下，其近親屬為自身合法、正當(dāng)利益，可以對(duì)死者個(gè)人信息行使查閱、復(fù)制、更正、刪除等權(quán)利。
9、強(qiáng)化個(gè)人信息處理者義務(wù)
個(gè)人信息處理者是個(gè)人信息保護(hù)的第一責(zé)任人。據(jù)此，個(gè)人信息保護(hù)法強(qiáng)調(diào)，個(gè)人信息處理者應(yīng)當(dāng)對(duì)其個(gè)人信息處理活動(dòng)負(fù)責(zé)，并采取必要措施保障所處理的個(gè)人信息的安全。
在此基礎(chǔ)上，個(gè)人信息保護(hù)法設(shè)專(zhuān)章明確了個(gè)人信息處理者的合規(guī)管理和保障個(gè)人信息安全等義務(wù)，要求個(gè)人信息處理者按照規(guī)定制定內(nèi)部管理制度和操作規(guī)程，采取相應(yīng)的安全技術(shù)措施，指定負(fù)責(zé)人對(duì)其個(gè)人信息處理活動(dòng)進(jìn)行監(jiān)督，定期對(duì)其個(gè)人信息活動(dòng)進(jìn)行合規(guī)審計(jì)，對(duì)處理敏感個(gè)人信息、利用個(gè)人進(jìn)行自動(dòng)化決策、對(duì)外提供或公開(kāi)個(gè)人信息等高風(fēng)險(xiǎn)處理活動(dòng)進(jìn)行事前影響評(píng)估，履行個(gè)人信息泄露通知和補(bǔ)救義務(wù)等。
10、健全個(gè)人信息保護(hù)工作機(jī)制
個(gè)人信息保護(hù)涉及的領(lǐng)域廣，相關(guān)制度措施的落實(shí)有賴(lài)于完善的監(jiān)管執(zhí)法機(jī)制。根據(jù)個(gè)人信息保護(hù)工作實(shí)際，個(gè)人信息保護(hù)法明確，國(guó)家網(wǎng)信部門(mén)和國(guó)務(wù)院有關(guān)部門(mén)在各自職責(zé)范圍內(nèi)負(fù)責(zé)個(gè)人信息保護(hù)和監(jiān)督管理工作，同時(shí)，對(duì)個(gè)人信息保護(hù)和監(jiān)管職責(zé)作出規(guī)定，包括開(kāi)展個(gè)人信息保護(hù)宣傳教育、指導(dǎo)監(jiān)督個(gè)人信息保護(hù)工作、接受處理相關(guān)投訴舉報(bào)、組織對(duì)應(yīng)用程序等進(jìn)行測(cè)評(píng)、調(diào)查處理違法個(gè)人信息處理活動(dòng)等。此外，為了加強(qiáng)個(gè)人信息保護(hù)監(jiān)管執(zhí)法的協(xié)同配合，個(gè)人信息保護(hù)法還進(jìn)一步明確了國(guó)家網(wǎng)信部門(mén)在個(gè)人信息保護(hù)監(jiān)管方面的統(tǒng)籌協(xié)調(diào)作用，并對(duì)其統(tǒng)籌協(xié)調(diào)職責(zé)作出具體規(guī)定。
11.明確個(gè)人信息保護(hù)部門(mén)
本法第六章明確了履行個(gè)人信息保護(hù)職責(zé)部門(mén)、職責(zé)和可采取的工作措施。其中，國(guó)家網(wǎng)信部門(mén)負(fù)責(zé)統(tǒng)籌協(xié)調(diào)個(gè)人信息保護(hù)工作和相關(guān)監(jiān)督管理工作；國(guó)務(wù)院有關(guān)部門(mén)和縣級(jí)以上地方人民政府有關(guān)部門(mén)均負(fù)責(zé)個(gè)人信息保護(hù)和監(jiān)督管理職責(zé)，統(tǒng)稱(chēng)為個(gè)人信息保護(hù)職責(zé)的部門(mén)。
12.大型互聯(lián)網(wǎng)企業(yè)義務(wù)
對(duì)于大型互聯(lián)網(wǎng)企業(yè)需要建立健全制度；做好獨(dú)立機(jī)構(gòu)的建立，要求由外部成員組成，目的監(jiān)督個(gè)人信息處理活動(dòng)；對(duì)于嚴(yán)重違反法律、行政法規(guī)的需要停止服務(wù)；有報(bào)告發(fā)布、接受社會(huì)監(jiān)督的責(zé)任義務(wù)。
技術(shù)措施
眾所周知，針對(duì)信息安全保護(hù)一致認(rèn)同的有效措施為：管理+技術(shù)。隨著《個(gè)人信息保護(hù)法》的出臺(tái)，加之《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》以及相關(guān)的規(guī)范、指引，無(wú)不從立法的管理層面給信息安全保護(hù)建立起了管理紅線(xiàn)和標(biāo)準(zhǔn)。但是如果只有完善的管理方式，而沒(méi)有相應(yīng)的技術(shù)手段來(lái)來(lái)支撐，那管理成本將變得極其高昂，并且管理成果也將不盡如人意。
《個(gè)保法》第五章第五十一條明確規(guī)定：個(gè)人信息處理者應(yīng)當(dāng)根據(jù)個(gè)人信息的處理目的、處理方式、個(gè)人信息的種類(lèi)以及對(duì)個(gè)人權(quán)益的影響、可能存在的安全風(fēng)險(xiǎn)等，采取下列措施確保個(gè)人信息處理活動(dòng)符合法律、行政法規(guī)的規(guī)定，并防止未經(jīng)授權(quán)的訪問(wèn)以及個(gè)人信息泄露、篡改、丟失：
（一）制定內(nèi)部管理制度和操作規(guī)程；
（二）對(duì)個(gè)人信息實(shí)行分類(lèi)管理；
（三）采取相應(yīng)的加密、去標(biāo)識(shí)化等安全技術(shù)措施；
（四）合理確定個(gè)人信息處理的操作權(quán)限，并定期對(duì)從業(yè)人員進(jìn)行安全教育和培訓(xùn)；
（五）制定并組織實(shí)施個(gè)人信息安全事件應(yīng)急預(yù)案；
（六）法律、行政法規(guī)規(guī)定的其他措施。
作為中國(guó)新一代信息安全技術(shù)企業(yè)的代表廠商，明朝萬(wàn)達(dá)深耕數(shù)據(jù)安全領(lǐng)域16載，專(zhuān)注于信息安全管理制度和操作規(guī)程優(yōu)化、數(shù)據(jù)治理和數(shù)據(jù)分類(lèi)分級(jí)咨詢(xún)與服務(wù)、數(shù)據(jù)加密、去標(biāo)識(shí)化、數(shù)據(jù)防泄漏等，為金融、公安、政府、電信運(yùn)營(yíng)商等諸多行業(yè)客戶(hù)提供專(zhuān)業(yè)的數(shù)據(jù)安全產(chǎn)品、解決方案等服務(wù)，簽約用戶(hù)超過(guò)3000家。
憑借在數(shù)據(jù)安全領(lǐng)域取得的優(yōu)異成就，明朝萬(wàn)達(dá)于2019年獲得了中網(wǎng)投、國(guó)投創(chuàng)合聯(lián)合投資，并于2020年獲得中國(guó)電科集團(tuán)（CETC）戰(zhàn)略投資。
在大數(shù)據(jù)、云計(jì)算等新技術(shù)應(yīng)用背景下，明朝萬(wàn)達(dá)以數(shù)據(jù)安全為核心、自主可控的國(guó)密算法應(yīng)用技術(shù)為基礎(chǔ)，研發(fā)的Chinasec（安元）數(shù)據(jù)安全系列產(chǎn)品及解決方案，覆蓋數(shù)據(jù)產(chǎn)生、存儲(chǔ)、交換、使用等全生命周期重要環(huán)節(jié)，實(shí)現(xiàn)對(duì)服務(wù)器、數(shù)據(jù)庫(kù)、PC終端、移動(dòng)終端以及網(wǎng)絡(luò)通信的全I(xiàn)T架構(gòu)下數(shù)據(jù)安全的協(xié)同聯(lián)動(dòng)管理，打造企業(yè)級(jí)的數(shù)據(jù)安全防護(hù)體系。
作為國(guó)內(nèi)數(shù)據(jù)安全市場(chǎng)的倡導(dǎo)者，明朝萬(wàn)達(dá)堅(jiān)持技術(shù)創(chuàng)新，不斷加大對(duì)研發(fā)層面的投入，擁有一支以清華大學(xué)博士和碩士為骨干力量的核心研發(fā)團(tuán)隊(duì)，截至目前公司已累計(jì)申請(qǐng)發(fā)明專(zhuān)利近400項(xiàng)，獲授權(quán)專(zhuān)利140余項(xiàng)。
