個人信息處理者應當將哪些信息的變更告知個人
壹、概述 正式通過的《個人信息保護法》全文***計八章七十四條,圍繞個人信息的處理,從處理規則、跨境提供、個人權力、處理者義務、保護職責部門以及法律責任等不同角度確立了相應規則,並且針對敏感個人信息和國家機關處理強調了特別規則。其出發點是保護個人對於個人信息處理享有的權利,厘清企業等個人信息處理者應當遵循的規則和履行的義務,同時明確違法和侵權行為的法律責任。 二、《個人信息保護法》的要點 (壹)個人信息的定義與區分 《個人信息保護法》對壹般的個人信息和敏感個人信息進行了定義與區分,以將其納入相應的保護範圍。 個人信息本身是壹個寬泛的概念,指以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息,不包括匿名化處理後的信息;而敏感個人信息是個人信息的壹個被特殊保護的部分,指壹旦泄露或者非法使用,容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息,包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息,以及不滿十四周歲未成年人的個人信息。 根據《個人信息保護法》的相關規定,個人信息處理者根據其處理的信息不同,需承擔不同義務,就處理敏感個人信息而言,也存在特殊原則、規則。 (二)處理個人信息應遵循的原則、規則 個人信息的“處理”涵蓋全周期、各個環節,包括:“收集”、“存儲”、“使用”、“加工”、“傳輸”、“提供”、“公開”等活動,而《個人信息保護法》還新增了“刪除”這壹處理方式,並規定了處理個人信息時,處理者應當遵循的原則,包括:合法、正當、必要和誠信原則,目的限制、最小必要原則,公開、透明原則,準確性原則,當責原則等。 在前述框架下,《個人信息保護法》進壹步對個人信息處理者在處理個人信息時應遵守的規則進行了詳細規定,概要梳理和分析如下: 1、取得同意 原則上,個人信息處理者處理個人信息前均應取得個人同意。而作為例外情形,包括“為訂立、履行個人作為壹方當事人的合同所必需,或者按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需”等特殊情況下,個人信息處理者可以在沒有個人同意的情況下,處理相關個人信息。但是,個人信息處理者仍應當遵循各項處理原則、規制,不能非法、過度處理個人信息。 2、明確告知 除法定情形外,個人信息處理者在處理個人信息前,均應以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知相關事項,包括:(1)個人信息處理者的名稱或者姓名和聯系方式;(2)個人信息的處理目的、處理方式,處理的個人信息種類、保存期限;(3)個人行使權力的方式和程序;(4)其他應當告知的法定事項。並且,在相關事項變更時,個人信息處理者應當將變更部分告知個人,如通過制定個人信息處理規則的方式告知相關事項的,處理規則應當公開,並且便於查閱和保存。 3、處理敏感個人信息的特殊規則 對於敏感個人信息的處理,只有在具有特定的目的和充分的必要性,並采取嚴格保護措施的情形下,個人信息處理者方可處理敏感個人信息,並應當在明確告知必要性與影響的前提下,取得個人的單獨同意。此外,個人信息處理者處理敏感個人信息還應當事前進行個人信息保護影響評估。 企業在經營活動中,涉及到處理個人敏感信息的情形非常常見。比如收集員工的家庭情況信息,在合規調查時收集員工的資產和金融信息,在開發客戶業務過程中收集對方公司相關負責人的背景信息等。《個人信息保護法》對於敏感個人信息的處理規定了比較嚴苛的條件和程序,對於企業經營中的個人信息保護合規提出了巨大的挑戰。 (三)個人信息處理者的義務 個人信息處理者除了應遵守上述個人信息處理的原則、規則等外,還應當履行《個人信息保護法》規定的特定義務。該等義務實質上對企業的合規發展提出了具體要求包括:(1)采取合規管控措施,如制定內部管理制度和操作規程、對個人信息實行分類管理、采取相應的加密、去標誌化、操作權限控制等安全技術措施、定期對相關人員進行安全教育和培訓、制定並組織實施個人信息安全事件應急預案等;(2)合規審計,對其處理個人信息遵守法律、行政法規的情況進行定期合規審計;(3)通報,發生或者可能發生個人信息泄露、篡改、丟失的,立即采取補救措施,並依法通知主管部門和個人;(4)個人信息保護影響評估,就處理敏感個人信息等特定情形應事前進行個人信息保護影響評估,並記錄處理情況。 (四)個人信息的分類管理 關於個人信息分類管理問題,《個人信息保護法》的規定與《數據安全法》關於數據分類分級保護制度、加強重要數據保護的規定壹脈相承。目前,關於重要數據目錄、數據和個人信息分類、分級的統壹標準尚不清晰,有待國家出臺細則進行明確。 雖然《信息安全技術個人信息安全規範》(GB/T35273-2020)、《信息安全技術健康醫療數據安全指南》(GB/T39725-2020)等文件在不同程度上對數據和信息的範圍判定、分類及定級制定了相應規範,具有壹定參考價值,但是數據和個人信息處理者還需根據所處行業、自身業務等情況進行數據和個人信息分類、分級工作。 三、明確規定數據安全保護義務 《個人信息保護法》的出臺,補齊了中國網絡、數據安全和個人信息保護領域立法的重要壹環,其與《網絡安全法》、《數據安全法》***同構成了該領域的三大支柱。盡管某些具體問題尚待相關配套細則落地澄清,隨著《個人信息保護法》生效在即,各行業企業(尤其是關鍵信息基礎設施運營者及其供應商,互聯網、金融、醫療健康、汽車及出行等行業處理重要數據和大量個人信息的企業)都應當即刻梳理、審閱自身業務、網絡和信息系統、處理的數據和個人信息、組織架構、合規管理制度等,逐步推進合規工作並適時落地。