企业数据合规与个人信息保护法律实务指南

引言

“企业如何做好数据合规管理？个人信息保护有哪些法律要求？数据跨境传输需要注意什么？”

随着数字经济的快速发展，数据已成为企业的重要资产。数据合规和个人信息保护已成为企业合规管理的重要组成部分。了解数据合规的法律要求和实务操作，对于企业防范法律风险、规范经营行为具有重要意义。

一、数据合规的基本概念

数据合规是指企业在收集、存储、使用、加工、传输、提供、公开数据等数据处理活动中，遵守数据安全、个人信息保护、网络安全等相关法律法规的行为。

数据合规具有以下特征：

全面性。数据合规覆盖数据全生命周期的各个环节，包括数据收集、存储、使用、加工、传输、提供、公开等。

强制性。数据合规要求来源于法律法规的强制性规定，企业必须遵守，不得违反。

技术性。数据合规不仅涉及法律问题，还涉及技术问题，需要采取相应的技术措施保障数据安全。

动态性。数据合规要求随着法律法规的变化和技术的发展而不断更新。

二、个人信息保护的法律框架

《个人信息保护法》。这是我国个人信息保护领域的基础性法律，于2021年11月1日起施行。该法规定了个人信息处理的基本原则、个人信息处理规则、个人在个人信息处理活动中的权利、个人信息处理者的义务等内容。

《数据安全法》。该法于2021年9月1日起施行，规定了数据安全与发展、数据安全制度、数据安全保护义务等内容。

《网络安全法》。该法于2017年6月1日起施行，规定了网络安全等级保护、网络运营者安全义务、个人信息保护等内容。

《民法典》。该法规定了人格权编，明确了个人信息受法律保护，规定了个人信息处理的基本原则。

三、个人信息处理的基本原则

合法、正当、必要原则。处理个人信息应当有明确、合理的目的，应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息应当限于实现处理目的的最小范围，不得过度收集个人信息。

告知同意原则。处理个人信息应当取得个人同意。该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人同意，但有下列情形之一的除外：

• 为订立、履行个人作为一方当事人的合同所必需
• 为履行法定职责或者法定义务所必需
• 为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需
• 为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息
• 依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息
• 法律、行政法规规定的其他情形

公开透明原则。处理个人信息应当遵循公开透明的原则，公开个人信息处理规则，明示处理的目的、方式、范围。

信息质量原则。处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。

安全保障原则。处理个人信息应当采取必要措施保障个人信息安全。

四、企业数据合规的主要义务

开展个人信息保护影响评估。有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：

• 处理敏感个人信息
• 利用个人信息进行自动化决策
• 委托处理个人信息、向其他组织或者个人提供个人信息、公开个人信息
• 向境外提供个人信息
• 其他对个人权益有重大影响的个人信息处理活动

制定个人信息处理规则.个人信息处理者应当制定个人信息处理规则，并向个人公开。个人信息处理规则应当明确下列内容：

• 个人信息处理者的名称或者姓名和联系方式
• 处理个人信息的目的、处理个人信息的种类、保存期限
• 个人行使权利的方式和程序
• 处理敏感个人信息的必要性以及对个人权益的影响

取得个人同意。处理个人信息应当取得个人同意。处理敏感个人信息应当取得个人的单独同意。处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。

保障个人信息安全。个人信息处理者应当采取下列措施保障个人信息安全：

• 制定内部管理制度和操作规程
• 对个人信息实行分类管理
• 采取相应的加密、去标识化等安全技术措施
• 合理确定个人信息处理的操作权限
• 对个人信息处理活动进行安全审计
• 制定并组织实施个人信息安全事件应急预案

五、敏感个人信息的特殊保护

敏感个人信息是指一旦泄露或者非法使用，容易导致自然人人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。处理敏感个人信息应当取得个人的单独同意，法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。

个人信息处理者处理敏感个人信息的，除向个人告知处理个人信息的一般事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。

六、个人信息的跨境传输

个人信息处理者确需向境外提供个人信息的，应当具备下列条件之一：

• 通过国家网信部门组织的安全评估
• 按照国家网信部门的规定经专业机构进行个人信息保护认证
• 按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务
• 法律、行政法规或者国家网信部门规定的其他条件

个人信息处理者应当向个人告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使权利的方式和程序等事项，并取得个人的单独同意。

七、自动化决策的规范

利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。

通过自动化决策方式向个人进行信息推送、商业营销的，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。

通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。

八、个人信息主体的权利

知情权与决定权。个人有权知道其个人信息是否被处理，有权决定其个人信息是否被处理。

查阅、复制权。个人有权向个人信息处理者查阅、复制其个人信息。

更正、补充权.个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。

删除权。有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：

• 处理目的已实现、无法实现或者为实现处理目的不再必要
• 个人信息处理者停止提供产品或者服务，或者保存期限已届满
• 个人撤回同意
• 个人信息处理者违反法律、行政法规或者违反约定处理个人信息
• 法律、行政法规规定的其他情形

撤回同意权。基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。

注销账户权。个人有权请求注销其账户。个人信息处理者应当在收到账户注销申请后及时删除其个人信息或者进行匿名化处理。

九、数据安全事件的应对

发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项：

• 发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害
• 个人信息处理者采取的补救措施和即将采取的措施
• 个人信息处理者的联系方式

个人信息处理者采取措施能够有效避免信息泄露造成危害的，个人信息处理者可以不通知个人；但是，履行个人信息保护职责的部门认为可能造成危害的，有权要求通知。

十、律师提示

数据合规和个人信息保护涉及复杂的法律和技术问题，建议咨询专业律师。

律师可以帮助企业：

• 进行数据合规风险评估
• 制定个人信息保护制度
• 起草和审查隐私政策等法律文件
• 开展个人信息保护影响评估
• 处理数据安全事件
• 应对监管检查和行政处罚
• 处理数据合规纠纷
• 开展数据合规培训

如有数据合规和个人信息保护相关问题，欢迎随时咨询。

---

本文仅供参考，不构成法律意见。具体案件请咨询专业律师。