公司合规新重点——个人信息保护

个人信息日渐成为立法关注的重点。2020年颁布的《民法典》第四编人格权中第六章主题即为隐私权和个人信息保护。前不久全国人大常委会公布了《中华人民共和国个人信息保护法（草案二次审议稿）》《中华人民共和国数据安全法（草案二次审议稿）》，意味着个人信息保护立法逐步完善，即将进入落实阶段。对于企业合规工作，是新的挑战，需要积极提前应对。本文将提出三个问题，提出建议以供参考。

一、 谁要做好个人信息保护合规工作？

所有直接或间接接触个人用户的企业，都有必要做好个人信息保护合规工作。

《民法典》和《个人信息保护法》规定，“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。”该规定中个人信息的定义较广，直接面向个人用户的企业，收集个人信息不可避免。此外，个人信息处理所覆盖的范围同样广泛，间接接触到个人用户及其数据的企业，必然涉及个人信息的处理。因此这两类企业都必然受到个人信息保护相关法律的约束。

二、 企业的个人信息保护的现状是怎样的？

（一） 现有个人信息资料库

企业需要整理已经收集到的个人信息，以个人为单位，形成数据库，对重点信息甄别后加以特别关注：

1. 敏感个人信息。法律特别保护敏感个人信息，相关的程序和保护措施要求较之一般个人信息的要严格。敏感个人信息与人身、财产安全相关，包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。

2. 未满十四周岁未成年人个人信息。对该类信息的处理，需依法取得其监护人的同意。

3. 发生过争议的个人信息。这类信息法律没有给予特殊保护，但是很有可能在具体实施法律和细则正式施行后，引发法律纠纷。提前的收集整理可防范于未然。

（二） 现有个人信息制度

企业需要收集并整理现行的信息相关制度，包括：（1）个人信息处理流程及负责部门；（2）个人用户告知机制；（3）收集信息的具体种类；（4）收集信息的内容与业务的关联性；（5）信息库、数据库的保护措施和流程。

三、 企业应当如何做好个人信息保护合规工作？

(一) 树立正确个人信息保护观念

通过会议、宣传和培训课程，要向企业上下传达个人信息保护受到法律重视的趋势，合规工作势在必行，所有部门应当做好调整和配合的准备。

(二) 制作信息备忘录，明确信息内容和目的并相应分级分类

首先，对个人信息的处理，应当要满足《个人信息法》第6条提出的 “明确合理目的”以及“个人权益影响最小”两个原则。因此，企业应当明确其工作需求什么个人信息，通过备忘录的形式将所需信息的内容和目的完全列举；同时，将无效的、非必要的信息剔除，今后不予收集和储存，以免增加法律风险。

其次，在上述基础上，企业还应当在备忘录中对要处理的信息进行分级分类，以便进一步的管理，包括处理权限、流程等工作的区分。另外特别建议企业要做好三种信息的分类分级工作：个人敏感信息、未满十四周岁未成年人个人信息以及个人金融信息。

(三) 确立完善内部管理制度

1. 设立内部分工和权限制度，将个人信息的收集、储存、使用等处理环节，以及风险监控、合规等工作进行明确的分工，并根据分工和信息分级分类情况，对不同员工设置对应级别的权限。

2. 当涉及的个人信息数据量较大时，企业应当设定个人信息保护负责人，由其进行相关工作的统筹和管理。

(四) 提高个人信息安全保护技术手段

1. 根据法律规定和信息分级分类，采取相应的加密、去标识化等安全技术措施。

2. 提升个人信息保存设备硬件的稳定和防护程度。

(五) 增设风险评估制度

在下列情况中，企业需要进行事前风险评估，且应将风险评估报告和处理情况记录至少保存三年：

1. 处理敏感个人信息;
2. 利用个人信息进行自动化决策;
3. 委托处理个人信息、向他人提供个人信息、公开个人信息;
4. 向境外提供个人信息;
5. 其他对个人有重大影响的个人信息处理活动。

(六) 保障个人信息法律风险防控处理工作

根据公司和个人信息处理的规模，设立内部法务机构或聘用外部专业法律团队的方式，做好法律风险防控和处理工作，包括：

1. 审查个人信息备忘录和内部管理制度的合规性；
2. 定期审计个人信息处理和管理工作；
3. 审核个人信息相关的合同及其他法律文书；
4. 根据个人信息法律法规的更新情况，协助企业及时调整。