核心提示 11月1日，《中華人民共和國個人信息保護法》正式施行，明確了個人信息和敏感個人信息的處理規(guī)則，完善個人信息保護投訴、舉報工作機制，從嚴懲治違法行為，全方位保護個人信息安全。電網(wǎng)企業(yè)在為千家萬戶提供服務(wù)的過程中，需要處理大量個人信息。應(yīng)從內(nèi)外兩方面著手落實個人信息保護法相關(guān)要求，對內(nèi)深化個人信息保護的組織、機制和流程建設(shè)；對外明確并落實個人信息的處理規(guī)則，規(guī)范個人信息處理者的數(shù)據(jù)處理行為。

　　這是我國首部針對個人信息保護的專門法律

　　《中華人民共和國個人信息保護法》（以下簡稱個人信息保護法）于今年8月經(jīng)十三屆全國人大常委會第三十次會議表決通過，11月1日生效實施。個人信息保護法共8章74條，是我國首部針對個人信息保護的專門法律。

　　個人信息保護法聚焦隨意收集、違法獲取、過度使用、非法買賣個人信息等突出問題和人民群眾的重大關(guān)切，通過立法建立權(quán)責(zé)明確、保護有效、利用規(guī)范的制度規(guī)則，旨在解決利用個人信息侵擾人民群眾生活安寧、危害人民群眾生命健康和財產(chǎn)安全的問題，在保障個人信息權(quán)益的基礎(chǔ)上，促進信息數(shù)據(jù)依法合理有效利用，推動數(shù)字經(jīng)濟持續(xù)健康發(fā)展。

　　個人信息保護法主要有哪些內(nèi)容

　　●進一步明確個人信息處理的合法性基礎(chǔ)

　　個人信息保護法確立了“告知-同意”這一個人信息處理的核心規(guī)則——除非法律法規(guī)另有規(guī)定，取得個人同意方可處理個人信息。告知是同意的前提，個人信息處理者在處理個人信息前，應(yīng)當(dāng)告知個人信息的處理目的和處理方式、處理的個人信息種類、個人行使權(quán)利的方式和程序等事項。

　　個人信息保護法延續(xù)民法典的規(guī)定，擴展了“同意”以外個人信息處理的合法性基礎(chǔ)，將訂立或履行合同所必需、保護自然人的重大利益以及公共利益等納入個人信息處理合法基礎(chǔ)的范圍。

　　●進一步增強對個人信息主體權(quán)益的保護

　　個人信息保護法第四章規(guī)定了個人在個人信息處理中的權(quán)利，包括享有知情權(quán)、決定權(quán)、查閱權(quán)、復(fù)制權(quán)，在個人信息不準(zhǔn)確和不完整情況下的更正權(quán)和補充權(quán)，以及符合特定條件的刪除權(quán)。

　　個人信息保護法其他章節(jié)也體現(xiàn)了對個人信息主體權(quán)益的保護，包括撤回同意的權(quán)利、自動化決策下個人信息主體的權(quán)利，以及死者的個人信息權(quán)益。基于個人同意處理個人信息的，個人有權(quán)撤回其同意。通過自動化決策方式作出對個人權(quán)益有重大影響的決定時，個人信息主體有權(quán)要求個人信息處理者予以說明，并且有權(quán)拒絕僅通過自動化決策方式作出的決定。同時，個人信息處理者還應(yīng)當(dāng)同時提供不針對其個人特征的選項，或者向個人提供拒絕自動化決策的方式。本法規(guī)定了死者的個人信息權(quán)益，在自然人死亡后，其個人信息權(quán)利由其近親屬行使。

　　●明確個人信息的出境規(guī)則

　　個人信息保護法明確一般情況和特殊情況下的個人信息出境規(guī)則。個人信息處理者因業(yè)務(wù)等需要，確實需要向境外提供個人信息的，要進行個人信息保護認證，與境外接收方訂立合同，或符合法律、行政法規(guī)、國家網(wǎng)信部門規(guī)定的其他條件方可出境。特殊情況，即關(guān)鍵信息基礎(chǔ)設(shè)施運營者和處理個人信息達到國家網(wǎng)信部門規(guī)定數(shù)量的個人信息處理者，確需向境外提供個人信息的，應(yīng)當(dāng)通過國家網(wǎng)信部門組織的安全評估。

　　本法通過出口管制和對等反制措施進行個人信息出境管理，并嚴格禁止未經(jīng)批準(zhǔn)向外國司法或者執(zhí)法機構(gòu)提供個人信息。

　　●細化個人信息處理者企業(yè)內(nèi)部管理義務(wù)

　　個人信息保護法要求個人信息處理者采取措施確保個人信息處理活動符合法律、行政法規(guī)的規(guī)定，防止未經(jīng)授權(quán)的訪問以及個人信息的泄露，包括制定內(nèi)部管理制度和操作規(guī)程，對個人信息實行分類管理，采取相應(yīng)的加密、去標(biāo)識化等安全技術(shù)措施，合理確定個人信息處理的操作權(quán)限并定期對從業(yè)人員進行安全教育和培訓(xùn)等。針對用戶數(shù)量巨大、業(yè)務(wù)類型復(fù)雜的基礎(chǔ)性互聯(lián)網(wǎng)平臺，本法提出了新的義務(wù)要求，包括成立由外部成員組成的獨立機構(gòu)，監(jiān)督個人信息處理活動等。

　　個人信息保護法規(guī)定，個人信息處理者應(yīng)當(dāng)按要求設(shè)置個人信息保護負責(zé)人，公開負責(zé)人的聯(lián)系方式并向個人信息保護部門報送；應(yīng)定期對其處理個人信息遵守法律、行政法規(guī)的情況進行合規(guī)審計。同時，個人信息處理者應(yīng)在開展處理敏感個人信息、利用個人信息進行自動化決策、委托處理個人信息、提供個人信息、公開個人信息以及向境外提供個人信息等對個人權(quán)益有重大影響的個人信息處理活動前，進行個人信息保護影響評估。

　　應(yīng)從內(nèi)外兩方面著手，規(guī)范處理個人信息

　　國家電網(wǎng)有限公司作為關(guān)系國家能源安全、國民經(jīng)濟命脈的國有重點骨干企業(yè)，為千家萬戶提供服務(wù)的過程中要處理大量個人信息。應(yīng)從內(nèi)外兩方面著手落實個人信息保護法相關(guān)要求，對內(nèi)強化內(nèi)功，深化公司個人信息保護的組織、機制和流程建設(shè)；對外明確并落實個人信息的處理規(guī)則，規(guī)范個人信息處理者的數(shù)據(jù)處理行為。

　　●深化企業(yè)內(nèi)部的個人信息保護組織、機制、流程建設(shè)

　　一是細化完善個人信息內(nèi)部安全管理制度。建立內(nèi)部管理制度和操作規(guī)程，至少覆蓋個人信息收集、存儲、使用、加工、傳輸、提供、公開等個人信息處理全生命周期流程；參照《電信和互聯(lián)網(wǎng)服務(wù)用戶個人信息保護分級指南》等規(guī)定對個人信息進行分類管理。根據(jù)個人信息分類的結(jié)果，采取不同的安全技術(shù)措施，對敏感程度較高的個人信息采取更嚴格的安全技術(shù)措施，以降低可能面臨的風(fēng)險；內(nèi)部操作權(quán)限配置應(yīng)符合最小授權(quán)的訪問控制策略，使被授權(quán)訪問個人信息的人員只能訪問職責(zé)所需的最小必要的個人信息，且僅具備完成職責(zé)所需的最少的數(shù)據(jù)操作權(quán)限；定期開展從業(yè)人員安全教育和培訓(xùn)，同時按要求設(shè)置個人信息保護負責(zé)人。

　　二是制定并組織實施個人信息安全事件應(yīng)急預(yù)案。個人信息保護法明確將“制定并組織實施個人信息安全事件應(yīng)急預(yù)案”上升為個人信息處理者的義務(wù)。除制定并組織實施應(yīng)急預(yù)案外，應(yīng)參照《信息安全技術(shù)個人信息安全規(guī)范》第10條的要求，定期組織內(nèi)部人員開展相關(guān)應(yīng)急響應(yīng)培訓(xùn)和應(yīng)急演練，促使相關(guān)人員更好地掌握應(yīng)急處置時的崗位職責(zé)和應(yīng)急處置策略、規(guī)程。

　　三是針對對個人權(quán)益有重大影響的個人信息處理活動開展個人信息保護影響評估，并定期對其處理個人信息遵守法律、行政法規(guī)的情況開展合規(guī)審計。個人信息保護影響評估報告和處理情況記錄應(yīng)至少保存三年。

　　四是做好證據(jù)留痕以防范“過錯推定”責(zé)任。個人信息保護法規(guī)定，處理個人信息侵害個人信息權(quán)益造成損害，個人信息處理者不能證明自己沒有過錯的，應(yīng)當(dāng)承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任。應(yīng)對個人信息處理活動以及履行個人信息保護相關(guān)工作做好工作記錄及存檔，防范因不能舉證而承擔(dān)相關(guān)責(zé)任。

　　●明確個人信息的處理規(guī)則，規(guī)范個人信息處理者的數(shù)據(jù)處理活動

　　應(yīng)落實個人信息處理活動的合法基礎(chǔ)，強化告知同意義務(wù)，確保各項處理個人信息的場景均具備合法基礎(chǔ)。除法律、行政法規(guī)另有規(guī)定的，處理個人信息應(yīng)獲得個人的同意，并采取顯著方式、清晰易懂的語言向個人告知個人信息處理規(guī)則。在必要的情況下，處理個人信息要獲得個人單獨或書面的同意。

　　應(yīng)規(guī)范收集、存儲、刪除等各環(huán)節(jié)的個人信息處理活動。除法律、行政法規(guī)另有規(guī)定外，個人信息的保存期限應(yīng)當(dāng)為實現(xiàn)處理目的所必要的最短時間。應(yīng)結(jié)合業(yè)務(wù)目的確定個人信息的保存期限，按法律法規(guī)期限進行存儲。

　　謹慎對待個人信息出境。關(guān)鍵信息基礎(chǔ)設(shè)施運營者和處理個人信息達到國家網(wǎng)信部門規(guī)定數(shù)量的個人信息處理者，應(yīng)當(dāng)堅持個人信息存儲在中國境內(nèi)的原則。確需向境外提供個人信息時，僅“通過國家網(wǎng)信部門組織的安全評估”進行信息出境。

　?。ㄗ髡邌挝唬簢译娋W(wǎng)有限公司大數(shù)據(jù)中心）