搜索

[16153] 2020-11-30_网络安全视角下的《个人信息保护法》

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-11-30_网络安全视角下的《个人信息保护法》 网 络 安 全 视 角 下 的 《 个 人 信 息 保 护 法 》 娄 鹤   F r e e B u f   2 0 2 0 - 1 1 - 3 0 近 日 ， 举 行 的 十 三 届 全 国 人 大 常 委 会 第 二 十 二 次 会 议 审 议 了 《 个 人 信 息 保 护 法 》 （ 草 案 ） ， 该 草 案 确 立 了 “ 告 知 — — 同 意 ” 为 核 心 的 个 人 信 息 处 理 一 系 列 规 则 ， 明 确 了 国 家 机 关 对 个 人 信 息 的 保 护 义 务 ， 标 志 着 我 国 开 启 了 全 面 加 强 个 人 信 息 的 法 律 保 护 的 进 程 。 作 为 一 部 保 护 个 人 信 息 权 益 的 法 律 ， 《 个 人 信 息 保 护 法 》 （ 以 下 简 称 “ 个 保 法 ” ） 在 规 范 个 人 信 息 处 理 活 动 的 同 时 ， 也 需 要 关 注 个 人 信 息 安 全 和 保 护 的 问 题 。 在 个 保 法 征 求 意 见 稿 的 说 明 中 提 出 ， 要 处 理 好 与 有 关 法 律 的 关 系 。 与 网 络 安 全 法 ， 和 已 提 请 全 国 人 大 常 委 会 审 议 的 数 据 安 全 法 草 案 相 衔 接 ， 对 于 网 络 安 全 法 、 数 据 安 全 法 草 案 确 立 的 网 络 和 数 据 安 全 监 管 相 关 制 度 措 施 ， 个 保 法 不 再 作 规 定 。 本 文 拟 从 网 络 安 全 的 视 角 出 发 ， 通 过 比 较 网 络 安 全 法 、 数 据 安 全 法 草 案 ， 归 纳 及 整 理 出 个 保 法 在 安 全 保 护 义 务 方 面 的 新 变 化 和 新 要 求 ， 希 望 为 信 息 安 全 及 法 律 合 规 领 域 的 从 业 人 员 提 供 一 些 借 鉴 和 参 考 。 与 网 络 安 全 相 关 的 法 律 责 任 有 什 么 新 变 化 ？ 与 网 络 安 全 相 关 的 法 律 责 任 有 什 么 新 变 化 ？ 变 化 很 大 ！ 此 次 个 保 法 一 经 公 布 即 引 发 热 议 ， 其 中 最 重 要 的 原 因 之 一 ， 是 空 前 加 大 了 对 违 法 行 为 的 处 罚 力 度 ， 处 罚 金 额 之 高 ， 刷 新 了 立 法 记 录 ， 极 具 威 慑 力 。 如 ： “ 对 情 节 严 重 的 违 法 行 为 ， 会 被 处 以 五 千 万 以 下 或 者 上 一 年 度 营 业 额 百 分 之 五 以 下 的 罚 款 ， 对 直 接 负 责 的 主 管 人 员 和 其 他 直 接 责 任 人 员 处 十 万 以 上 一 百 万 以 下 罚 款 ” 。 对 于 违 法 企 业 的 处 罚 ， 达 到 甚 至 超 过 了 网 安 法 、 数 据 安 全 法 处 罚 上 限 的 5 0 倍 （ 注 ： 其 他 法 律 对 企 业 的 罚 款 上 限 为 1 0 0 万 元 ） ； 而 对 直 接 责 任 人 员 的 个 人 罚 款 金 额 ， 也 达 到 了 原 标 准 的 1 0 倍 （ 注 ： 其 他 法 律 的 罚 款 上 限 为 1 0 万 元 ） 。 这 意 味 着 ， 如 果 两 家 企 业 同 时 违 反 某 一 项 网 络 安 全 保 护 义 务 （ 如 ： 未 履 行 网 络 安 全 等 级 保 护 并 导 致 信 息 泄 露 ） ， 则 业 务 涉 及 个 人 信 息 处 理 的 企 业 法 律 风 险 更 高 ， 巨 额 罚 款 之 下 ， 企 业 甚 至 可 能 陷 入 倒 闭 。 同 样 ， 网 络 安 全 从 业 人 员 的 个 人 责 任 也 被 迅 速 放 大 ， 随 时 背 负 着 百 万 元 罚 款 的 风 险 ， 足 以 堪 称 为 一 项 “ 高 危 职 业 ” 。 针 对 哪 些 违 反 网 络 安 全 的 行 为 进 行 处 罚 ？ 针 对 哪 些 违 反 网 络 安 全 的 行 为 进 行 处 罚 ？ 个 保 法 针 对 的 处 罚 事 项 ， 即 包 括 了 “ 违 法 处 理 个 人 信 息 ” ， 也 包 括 了 “ 处 理 个 人 信 息 未 按 照 规 定 采 取 必 要 的 安 全 保 护 措 施 ” 。 换 句 话 说 ， 尽 管 在 《 网 络 安 全 法 》 等 法 律 中 对 网 络 安 全 责 任 已 有 相 关 规 定 ， 但 是 如 果 涉 及 与 个 人 信 息 相 关 的 安 全 保 护 责 任 问 题 ， 仍 然 会 适 用 个 保 法 的 相 关 条 款 。 个 保 法 第 6 2 条 ， 对 “ 未 按 规 定 采 取 必 要 的 安 全 保 护 措 施 ” 的 表 述 比 较 宽 泛 ， 我 们 认 为 ， 应 当 包 含 以 下 内 容 ： 个 保 法 所 规 范 的 若 干 必 要 安 全 措 施 （ 第 5 0 条 ） ， 如 ： 内 部 管 理 制 度 和 流 程 ； 个 人 信 息 的 分 级 分 类 ； 加 密 、 去 标 识 化 等 安 全 技 术 措 施 ； 合 理 的 操 作 权 限 ， 从 业 人 员 的 安 全 教 育 和 培 训 ； 安 全 应 急 预 案 等 。 对 采 取 的 保 护 措 施 是 否 符 合 法 律 法 规 进 行 的 安 全 审 计 （ 第 5 3 条 ） ； 对 所 采 取 的 安 全 措 施 是 否 合 法 、 有 效 并 与 风 险 程 度 匹 配 的 风 险 评 估 （ 第 5 4 条 ） ； 发 生 信 息 泄 露 事 件 后 的 补 救 措 施 、 履 行 通 知 义 务 等 （ 第 5 5 条 ） ； 个 保 法 之 外 的 ， 涉 及 信 息 安 全 保 护 的 其 他 法 律 法 规 要 求 ， 如 ： 网 络 安 全 等 级 保 护 （ 网 安 法 第 2 1 条 ） 、 关 键 信 息 基 础 设 施 的 运 营 者 对 重 要 系 统 和 数 据 库 的 容 灾 备 份 （ 网 安 法 第 3 4 条 ） 、 重 要 数 据 的 处 理 者 对 数 据 活 动 的 风 险 评 估 （ 数 据 安 全 法 第 2 8 条 ） 等 。 根 据 个 保 法 的 起 草 说 明 ， 这 些 安 全 义 务 在 网 安 法 及 数 据 安 全 法 等 法 律 法 规 中 已 经 明 确 规 定 ， 不 再 重 复 。 因 此 ， 对 所 谓 “ 必 要 的 安 全 保 护 措 施 ” 不 局 限 于 个 保 法 ， 而 应 当 做 扩 展 性 解 读 。
同 时 需 要 注 意 ， 违 法 行 为 “ 情 节 严 重 ” 是 可 能 导 致 巨 额 处 罚 的 前 提 条 件 。 但 是 草 案 中 并 没 有 给 出 明 确 的 解 释 和 说 明 ， 对 照 其 他 法 律 和 国 外 披 露 的 处 罚 案 例 ， 涉 及 个 人 信 息 的 重 大 违 法 事 件 ， 主 要 包 括 ： 大 量 的 个 人 信 息 泄 露 ； 在 信 息 安 全 事 件 中 ， 企 业 存 在 明 显 的 过 错 ， 如 ： 缺 乏 基 本 的 安 全 措 施 和 管 理 制 度 ， 对 个 人 信 息 的 安 全 保 护 放 任 不 顾 ； 违 法 情 形 持 续 时 间 较 长 ， 或 在 收 到 相 关 投 诉 、 整 改 要 求 之 后 不 予 及 时 纠 正 ； 信 息 泄 露 后 企 业 处 置 不 当 ， 导 致 损 失 扩 大 ； 泄 露 的 数 据 涉 及 个 人 敏 感 数 据 、 重 要 数 据 或 可 能 导 致 危 害 国 家 安 全 、 公 共 利 益 等 情 形 。 企 业 应 当 如 何 与 监 管 机 构 沟 通 企 业 应 当 如 何 与 监 管 机 构 沟 通 ? 草 案 专 门 设 置 了 第 六 章 “ 履 行 个 人 信 息 保 护 职 责 的 部 门 ” ， 但 是 从 全 文 看 ， 监 管 机 构 的 设 置 和 权 限 划 分 是 比 较 模 糊 的 ， 这 增 加 了 企 业 合 规 的 难 度 和 潜 在 风 险 。 根 据 个 保 法 第 5 6 条 规 定 ， 国 家 网 信 办 负 责 统 筹 和 协 调 个 人 信 息 保 护 工 作 和 监 督 管 理 ， 及 国 务 院 有 关 部 门 、 县 级 以 上 地 方 人 民 政 府 有 关 部 门 ， 统 称 为 “ 履 行 个 人 信 息 保 护 职 责 的 部 门 ” 。 可 见 ， 我 国 采 用 的 是 分 散 管 理 的 模 式 ， 这 与 一 些 国 家 设 置 统 一 的 数 据 保 护 机 构 有 所 不 同 。 但 是 对 “ 有 关 部 门 ” 的 模 糊 定 义 ， 会 导 致 企 业 在 执 行 的 过 程 中 无 所 适 从 。 考 虑 到 《 网 络 安 全 法 》 ， 《 数 据 安 全 法 》 等 ， 均 对 网 络 及 数 据 安 全 保 护 义 务 设 定 了 处 罚 条 款 ， 在 具 体 执 行 中 企 业 还 可 能 面 临 法 律 适 用 、 多 头 监 管 ， 甚 至 监 管 及 处 罚 口 径 不 统 一 的 困 境 。 此 外 ， 个 保 法 赋 予 了 监 管 机 构 宽 泛 的 执 法 权 力 ， 如 ： 接 受 投 诉 、 举 报 ； 询 问 当 事 人 ； 约 谈 负 责 人 ； 查 阅 及 复 制 合 同 、 记 录 、 账 簿 及 其 他 资 料 ； 实 施 现 场 检 查 ； 查 封 或 扣 押 ； 责 令 改 正 ； 罚 款 ； 没 收 违 法 所 得 ； 停 业 整 顿 ； 通 报 有 关 部 门 ； 吊 销 业 务 许 可 或 营 业 执 照 ； 计 入 信 用 档 案 等 。 但 是 在 立 法 的 同 时 ， 没 有 做 具 体 权 限 的 划 分 ， 而 是 统 一 赋 予 了 所 谓 “ 履 行 个 人 信 息 保 护 职 责 的 部 门 ” 。 一 旦 出 现 重 复 执 法 ， 或 执 法 不 当 等 情 况 ， 企 业 将 苦 不 堪 言 。 个 保 法 下 ， 企 业 是 否 需 要 承 担 额 外 的 安 全 业 务 个 保 法 下 ， 企 业 是 否 需 要 承 担 额 外 的 安 全 业 务 ? 安 全 审 计 安 全 审 计 义 务 （ 第 义 务 （ 第 5 3 条 ） 条 ） 个 保 法 新 增 了 ， 要 求 个 人 信 息 处 理 者 定 期 对 信 息 处 理 活 动 、 采 取 的 保 护 措 施 是 否 合 法 进 行 审 计 的 义 务 。 同 时 ， 监 管 部 门 也 有 权 要 求 个 人 信 息 处 理 者 委 托 专 业 机 构 进 行 审 计 。 等 保 2 . 0 中 主 要 在 安 全 区 域 边 界 、 安 全 计 算 环 境 和 安 全 管 理 中 心 的 要 求 中 提 到 审 计 要 求 。 安 全 区 域 边 界 的 审 计 内 容 主 要 指 网 络 和 设 备 的 重 要 安 全 事 件 、 用 户 行 为 等 ； 安 全 计 算 环 境 的 审 计 内 容 主 要 是 用 户 行 为 、 安 全 事 件 、 主 客 体 的 访 问 行 为 等 ； 管 理 中 心 的 审 计 内 容 主 要 指 管 理 员 的 各 种 操 作 日 志 。 企 业 应 注 意 识 别 ， 个 保 法 的 审 计 对 象 与 等 保 2 . 0 之 间 的 区 别 。 草 案 中 对 委 托 “ 专 业 机 构 ” 审 计 的 主 体 及 相 关 要 求 ， 仍 有 待 进 一 步 的 明 确 。 风 险 评 估 义 务 （ 第 风 险 评 估 义 务 （ 第 5 4 条 ） 条 ） 鉴 于 对 个 人 信 息 权 利 的 潜 在 威 胁 ， 个 保 法 对 处 理 个 人 信 息 的 企 业 提 出 了 “ 风 险 评 估 — 记 录 — 保 存 ” 的 要 求 。 （ 第 3 8 条 、 第 5 4 条 ） 即 ， 对 个 人 有 重 大 影 响 的 信 息 处 理 活 动 ， 在 事 前 要 开 展 风 险 评 估 和 记 录 ， 评 估 事 项 包 含 ： 处 理 敏 感 个 人 信 息 ； 利 用 个 人 信 息 进 行 自 动 化 决 策 ； 委 托 处 理 个 人 信 息 、 向 第 三 方 提 供 、 公 开 个 人 信 息 ； 向 境 外 提 供 个 人 信 息 等 。 风 险 评 估 的 内 部 包 括 ： 个 人 信 息 的 处 理 目 的 、 处 理 方 式 是 否 合 法 、 正 当 、 必 要 ； 对 个 人 的 影 响 及 风 险 程 度 ； 所 采 取 的
安 全 保 护 措 施 是 否 合 法 、 有 效 并 与 风 险 程 度 相 适 应 。 关 于 安 全 评 估 ， 在 网 安 法 中 主 要 针 对 关 键 信 息 基 础 设 施 的 运 营 者 ， 即 ： 因 业 务 需 要 ， 确 需 向 境 外 提 供 其 系 统 所 收 集 和 产 生 的 个 人 信 息 和 重 要 数 据 的 ， 应 当 进 行 安 全 评 估 （ 网 安 法 第 3 7 条 ） ； 以 及 ， 对 其 网 络 的 安 全 性 和 可 能 存 在 的 风 险 每 年 至 少 进 行 一 次 检 测 评 估 ， 并 将 检 测 评 估 情 况 和 改 进 措 施 报 送 相 关 负 责 关 键 信 息 基 础 设 施 安 全 保 护 工 作 的 部 门 （ 网 安 法 第 3 8 条 ） 。 同 样 ， 在 数 据 安 全 法 中 ， 也 要 求 重 要 数 据 的 处 理 者 ， 应 当 对 其 数 据 活 动 定 期 开 展 风 险 评 估 ， 并 向 有 关 主 管 部 门 报 送 风 险 评 估 报 告 （ 数 据 安 全 法 第 2 8 条 ） 。 对 比 网 安 法 与 数 据 安 全 法 ， 个 保 法 对 所 有 个 人 信 息 处 理 者 均 提 出 了 事 先 风 险 评 估 的 要 求 ， 而 不 限 于 关 键 信 息 基 础 设 施 的 运 营 者 ； 同 时 ， 对 评 估 范 围 和 内 容 作 了 扩 大 和 细 化 。 鉴 于 评 估 范 围 涉 及 到 个 人 敏 感 信 息 、 委 托 处 理 、 对 第 三 方 提 供 等 常 见 场 景 ， 我 们 可 以 预 见 ， 个 人 信 息 的 风 险 评 估 将 成 为 信 息 安 全 合 规 的 一 项 常 态 化 工 作 ， 融 入 企 业 的 日 常 管 理 之 中 。 个 保 法 草 案 还 要 求 ， 风 险 评 估 报 告 和 处 理 记 录 应 当 至 少 保 存 三 年 。 这 极 有 可 能 成 为 今 后 监 管 机 构 的 重 点 检 查 事 项 之 一 ， 为 核 查 企 业 是 否 落 实 个 人 信 息 的 保 护 埋 下 了 伏 笔 。 启 示 启 示 没 有 网 络 安 全 ， 就 没 有 个 人 信 息 保 护 。 安 全 是 保 护 的 基 础 和 前 提 。 尽 管 本 次 个 保 法 的 重 点 在 于 明 确 个 人 信 息 的 处 理 规 则 ， 规 范 信 息 处 理 活 动 ， 但 仍 有 相 当 篇 幅 涉 及 到 个 人 信 息 的 安 全 保 护 措 施 ， 并 对 安 全 审 计 、 个 人 信 息 处 理 的 风 险 评 估 等 提 出 了 新 要 求 。 因 此 ， 安 全 从 业 人 员 ， 特 别 是 所 在 行 业 涉 及 个 人 信 息 的 ， 应 当 高 度 重 视 个 保 法 的 新 要 求 ， 及 对 企 业 和 个 人 的 潜 在 风 险 和 影 响 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理