人工智能及其他
《個人信息保護法（草案）》發布，企業違規最高可罰五千萬
華道視界華道行業研究2020/12/103987返回列表 2020年10月21日，中國人大網公布《個人信息保護法（草案）》(以下簡稱《草案》），向社會公開征求意見。
《草案》內容共八章七十條，主要內容包括規定該法的適用范圍、健全個人信息處理規則、完善個人信息跨境提供規則、明確個人信息處理活動中個人的權利和處理者義務、明確履行個人信息保護職責的部門以及違反該法有關規定的法律責任。
隨著互聯的發展及金融服務的普及，個人信息暴露在日常生活的方方面面，對經濟發展、社會治理、人民生活都產生了重大而深刻的影響。《草案》的頒布將有利于規范個人信息處理活動和促進個人信息保護，提高企業采集個人信息標準及要求。企業應該將法律規定的義務落到實處，避免企業因為刑事和行政風險陷入危機，甚至面臨刑事處罰。
《草案》對直接面向個人用戶的企業影響最大，例如大型互聯網公司，金融、醫療、教育類企業。企業在收集個人敏感信息時將面臨更嚴格的限制，需要考慮的合規因素也增多。金融機構一直是個人信息安全事故頻發的重災區，過度采集用戶信息，濫用數據的情況頻繁發生，僅10月21日晚間，央行就公布了對6張銀行處罰決定。
《草案》的出臺，對金融機構將帶來什么影響呢？
首先，明確規范了信源采集行為，為金融機構合法合規采集個人信息提供依據。《草案》第十三條規定，機構符合下列情形之一的，個人信息處理者方可處理個人信息：（一）取得個人的同意；（二）為訂立或者履行個人作為一方當事人的合同所必需；（三）為履行法定職責或者法定義務所必需；（四）為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產所必需；（五）為公共利益實施新聞報道、輿論監督等行為在合理范圍內處理個人信息；（六）法律、行政法規規定的其他情形。
其次，對作為個人信息處理者的法定義務做出了明確的要求。《草案》使用專章對個人信息處理者的義務進行了規定，具體包括指定和公開個人信息保護負責人、制定內部管理制度和操作規程、對個人信息實行分級分類管理、采取相應的加密、去標識化等安全技術措施、合理確定個人信息處理的操作權限并定期對從業人員進行安全教育和培訓、制定并組織實施個人信息安全事件應急預案、對特定個人信息處理活動進行風險評估和記錄、發生個人信息泄露時采取補救措施并通知監管部門等。
這部分影響的不僅是金融機構，更影響到金融機構的外部合作方，對外部合作方的合規性也提出了更高的要求。
第三，明確了個人信息保護的監管主體。《草案》第六章規定，國家網信部門負責統籌協調個人信息保護工作和相關監督管理工作，國務院有關部門依照本法和有關法律、行政法規的規定，在各自職責范圍內負責個人信息保護和監督管理工作，縣級以上地方人民政府有關部門的個人信息保護和監督管理職責，按照國家有關規定確定。前述部門統稱為“履行個人信息保護職責的部門”。
眾所周知，金融行業是強監管行業，開展業務受到諸多限制。在信息安全領域，除了《民法典》《刑法》《網絡安全法》和《個人信息保護法（草案）》這類一般性法律規定外，金融機構還應該重點關注網信辦、公安、工信部門以及所屬行業主管部門的相關監管政策，并按照該等部門的監管要求采取相應的合規措施。
第四，明確了違反個人信息保護義務的法律責任。《草案》第七章對違反《草案》相關規定的行為制定了非常嚴苛的法律責任，將嚴重違反規定處理個人信息，或者處理個人信息未按照規定采取必要的安全保護措施的罰款金額規定為五千萬元以下或者上一年度營業額百分之五，并可以責令暫停相關業務、停業整頓、通報有關主管部門吊銷相關業務許可或者吊銷營業執照。此外，還明確了對直接負責對主管人員和其他直接負責人員的處罰，大大提高了個人信息處理者的違法成本。
《草案》還規定了因個人信息處理活動侵害個人信息權益時民事賠償責任的確定標準，即按照個人因此受到的損失或者個人信息處理者因此獲得的利益承擔賠償責任，均難以確定的，由人民法院根據實際情況確定?！恫莅浮愤€規定，個人信息處理者違法處理個人信息，侵害眾多個人的權益的，人民檢察院、履行個人信息保護職責的部門和國家網信部門確定的組織可以就此提起公益訴訟。降低了受侵害人的維權成本。
《個人信息保護法（草案）》大大提高了企業的合規動力，同時也能阻止行業亂象，有的金融機構、金融機構的外部合作方從商業利益等出發，隨意收集、違法獲取、過度使用、非法買賣個人信息，利用個人信息，在侵犯個人利益的同時，也間接傷害在個人信息保護方面做的比較完善的企業。《草案》的頒布，將不合規獲取個人信息的路堵死，在違規成本急劇飆升的時候，企業不得不在合規與快速發展之間做抉擇?！恫莅浮穭撛炝讼鄬降母偁幁h境，企業之間的競爭進入良幣驅逐劣幣的階段。
返回列表
