# 个人信息保护法教程 个人信息处理规则、主体权利、处理者义务、监管与责任。 ## 关联阅读 - [数字法学原理](/docs/resources/digital/principles)：从数据法的整体框架进入个人信息保护的具体规则。 - [个人信息保护：原理与实践](/docs/resources/digital/privacy-practice)：对照规则体系与理论反思，阅读告知同意、风险与治理。 - [数字时代的权利理论](/docs/resources/digital/rights)：围绕个人信息权益、自动化决策与救济展开比较阅读。 - [婚姻家庭、继承与人格权](/docs/resources/civil/family-personality)：将个人信息保护与人格权、隐私保护专题对照阅读。 - [侵权责任法](/docs/resources/civil/torts)：衔接个人信息保护中的责任讨论与侵权责任的一般框架。 - [行政法](/docs/resources/administrative/law)：将个人信息保护监管与行政主体、行政行为框架结合阅读。 --- > [!abstract] 本页导航 > [个人信息保护法基本问题](#第一章-个人信息保护法基本问题) · [个人信息处理规则](#第二章-个人信息处理规则) · [个人信息跨境提供规则](#第三章-个人信息跨境提供规则) · [个人在个人信息处理中的权利](#第四章-个人在个人信息处理中的权利) · [个人信息处理者的义务](#第五章-个人信息处理者的义务) · [个人信息保护监管机制](#第六章-个人信息保护监管机制) · [个人信息保护法律责任](#第七章-个人信息保护法律责任) ## 第一章 个人信息保护法基本问题 ### 第一节 个人信息与个人信息处理 #### 一、数据、信息与个人信息 ##### （一）数据与信息概述 ###### 1. 数据的概念 *1) 核心定义* > [!abstract] 数据的概念 > 数据是指任何以电子或者其他方式对信息的记录。 *2) 物理与法律特征* * 数据来源于对客观世界的原始观察，以数字、文字、声音或图像等物理符号为表现形式，是* **抽象的量的概念** *。 * 存在于计算机及网络上流通的二进制形式，* **无法脱离载体而存在** *。 * 既不是物，也非智力成果或权利；与有体物相比，* **不具有独占性** *（可同时被多人次使用）且* **不会因使用而减少** *（可无限使用并创造价值）。 > [!note] 制度背景：数据战略 > 党的十八大以来，数字经济上升为国家战略；二十大提出推动战略性新兴产业融合集群发展；《中共中央、国务院关于构建数据基础制度更好发挥数据要素作用的意见》强调加大个人信息保护力度，推动个人信息匿名化处理。 ###### 2. 信息与数据的关系 *1) 内容与形式的统一*：* **信息是数据的内容，数据是信息的形式** *。在数据时代，无法将数据与信息分离而抽象地讨论单方的权益。 *2) 权益基础*：只有个人数据* **包含个人信息时** *才会具有财产或者人格利益。自然人对个人数据的民事权益是指对于以数据形式呈现的个人信息的民事权益，或包含个人信息的数据的权益。 ##### （二）个人信息概述 ###### 1. 个人信息的概念：识别说界定模式 > [!abstract] 识别说 > 指通过信息定位到个人，即“由信息本身的特殊性直接回溯到特定个人”。《网络安全法》与《民法典》均采用此学说。 *1) 法律界定*：以电子或其他方式记录的能够* **单独或者与其他信息结合识别特定自然人** *的各种信息（含姓名、身份证号、生物识别、行踪等列举与未列举信息）。 *2) 个人信息的三个核心要素*： * * **主体要素** *：主体为自然人（包括近亲属对死者个人信息的查阅、复制、更正、删除等权利）。 * * **载体要素** *：需要一定的载体，主要以电子或者其他方式记录。 * * **可识别性要素** *：例如，用户画像或特征标签能够单独或结合其他信息识别特定自然人身份或反映其活动情况的，属于个人信息。 ###### 2. 个人信息的概念：关联说界定模式 > [!abstract] 关联说 > 指从个人到信息，即“已知晓既定个人，进一步知晓关于该个人的其他信息”，与已经识别和可能识别的个人相关联的信息均属个人信息。 *1) 法律界定*：《个人信息保护法》第 4 条规定，个人信息是与已识别或者可识别的自然人有关的各种信息（不含匿名化处理后的信息）。 *2) 适用效果*：这一规定* **实质扩张了** *《民法典》对个人信息界定的范围。 *3) 场景理论的司法引入（典型案例）*：在“微信读书案”中，读书信息包含网络身份标识（从信息到个人），且能反映阅读习惯偏好（从个人到信息），因而被认定为个人信息。 ###### 3. 一般个人信息与敏感个人信息 > [!abstract] 敏感个人信息分类 > 《个人信息保护法》以定性加开放性列举的方式分为三类： > 1. 容易导致* **人格尊严** *受到侵害的信息（如生物识别、宗教信仰、特定身份、医疗健康等）； > 2. 容易导致* **人身、财产安全** *受到危害的信息（如生物识别、行踪轨迹、金融账户等）； > 3. * **不满 14 周岁未成年人** *的个人信息。 > [!important] 强化保护敏感个人信息的意义 > 1. * **更好保护自然人合法权益** *：防范高风险威胁，为未成年人提供特殊保护。 > 2. * **调和保护与利用的需求冲突，实现利益平衡** *：区分敏感与一般信息，避免规则过于宽松危及权益，或过于严苛限制产业发展。 > 3. * **具有预警作用** *：警示信息主体加强防备，指导处理者合规管理，辅助监管部门精准执法。 ##### （三）个人信息的特征 ###### 1. 个人信息具有算法识别性 *1) 传统信息的自然识别*：线下社会信息通过物理形式流传，仅具自然识别性，日常行为痕迹难以被自动识别。 *2) 数字信息的算法识别*：网络用户的浏览痕迹、偏好等经信息技术平台处理即具有可计算性（算法识别性）。 ###### 2. 个人信息无法为个人所单独控制 *1) 事实控制力差异*：信息获取是社会交往前提，数据化信息往往由处理者收集存储，处理者享有更强的控制力。 *2) 信息公共品的本质属性*：具有* **非竞争性** *和* **非排他性** *，使用分享边际成本极低，阻止获取成本高昂，本质上具有公共性，不应被个人独占。 ###### 3. 个人信息的有限保护 > [!warning] 纯粹私人或家庭事务的例外 > 个人信息保护的核心是解决个人与处理者间的权力不平衡。《个人信息保护法》与欧盟 GDPR 均明确：* **自然人因个人或者家庭事务处理个人信息的，不适用本法** *。法律的保护范围仅限于信息处理者给个人利益带来威胁的特定情形。 ##### （四）个人信息去标识化与匿名化 > [!abstract] 数据形态分类（依据信息是否具有可识别性） > 1. **原始形态数据（实名制）** ：经过处理的、与已识别或可识别自然人有关的各种信息。 > 2. **去标识化** ：对个人信息进行处理，使其在* **不借助额外信息** *的情况下无法识别特定自然人的过程（* **依然保留了一定程度的可识别性** *）。 > 3. **匿名化** ：对个人信息进行处理，使其* **无法识别特定自然人且不能复原** *的过程（* **不再属于个人信息** *）。 #### 二、个人信息处理 ##### （一）个人信息处理的概念 个人信息处理是指任何一项或多项针对单一或多个个人信息进行的操作。 ##### （二）个人信息处理行为的类型 ###### 1. 收集 个人信息处理的起点，分为* **直接收集** *（索取、主动提供或系统自动记录）与* **间接收集** *（从公开渠道或特定处理者处获取）。 ###### 2. 存储 后续利用的前提，可长期或短期、纸质或电子存储，需分类管理。 ###### 3. 使用 处理的主要目的。商业主体多基于商业目的（如数据画像）；国家机关则是为履行行政职责或提供公共服务。 ###### 4. 加工 对信息进行筛选、分类、计算等以释放潜在价值（含去标识化与匿名化处理）。 ###### 5. 传输 单一信息处理者内部的自我传送（如本地与云端交互、内部部门流转）。 ###### 6. 提供 向自身内部及主体以外的其他组织或个人提供（* **须告知并取得单独同意** *，跨境提供有专章规定）。 ###### 7. 公开 向社会公众或不特定主体披露。 > [!warning] 公开的限制 > 除信息主体主动公开或国家机关为公共利益合法公开外，处理者原则上不得公开，* **取得个人单独同意的除外** *。 ###### 8. 删除 使信息不再可用，不可能被读取或使用。 > [!important] 法定删除情形（主体享有删除权） > 1. 处理目的已实现、无法实现或不再必要； > 2. 处理者停止提供产品/服务或保存期限届满； > 3. 个人撤回同意； > 4. 处理者违法或违约处理； > 5. 法律、行政法规规定的其他情形。 > 【补充】：难以物理删除时，可通过停止存储及采取匿名化等必要安全措施替代。 #### 三、个人信息权益 ##### （一）个人信息权益概述 ###### 1. 实体性权利和利益 具有* **综合性特征** *，包括宪法上的人权/人格尊严/通信自由/通信秘密/人身财产安全、公法权益，以及民法上的隐私权/名誉权/姓名权等。 ###### 2. 程序性权利 个人在处理活动中用以保护实体权益的权利（同意权、知情权、决定权、查阅/复制/转移/更正/补充/删除权、规则说明权、诉权）。 ##### （二）个人信息权益的内涵 ###### 1. 涵盖的个人权利 *1) 支配性权利***：同意权、知情权、决定权及对应的查阅/复制/转移权。 *2) 救济性权利***：更正权、补充权、删除权、规则说明权及诉权。 ###### 2. 涵盖的个人利益（三大核心利益） *1) 个人的人格尊严* * **决定权** ：防范算法限制个人认知与妨碍自主选择。 * **信息化形象一致性** ：防范人格被他人操控与扭曲。 * **反歧视** ：禁止利用算法追求商业歧视或表达隐性社会歧视。 * **隐私保护** ：保护私密信息免受干预。 *2) 个人的人身财产安全*：个人信息在保护人身财产安全上具有 * **“闸口效应”** *，控制好信息闸口可显著降低被网络攻击/诈骗的风险。 *3) 个人的通信自由和通信秘密*：防范处理者以拒绝同意为由拒不提供通信服务（侵犯自由），或擅自收集通讯录/短信内容（侵犯秘密）。 ##### （三）个人信息权益的基本特征 > [!warning] 主体仅限自然人 > 法人或非法人组织不享有个人信息权益，因其作为组织需通过公示参与民事活动，可通过商业秘密等其他手段保护信息。 ###### 1. 对人格权益的综合性保护 其附着的人格权益源于宪法、民法及公法，受民法、刑法、行政法多维度规范。 ###### 2. 对世性权益 *1) 法定与强制性*：禁止任何组织或个人侵害，为一种对世权和支配性民事权益。 *2) 弱支配与非排他*：依法律规定部分情形可被强制收集；不具有独占性和排他属性（允许多人同时处理相同信息）。 --- ### 第二节 个人信息保护法治 #### 一、我国个人信息保护法治的建立与完善过程 ##### 1. 早期起步阶段（2000-2012） 从《关于维护互联网安全的决定》到《刑法修正案（七）》（增设非法获取等罪名），《侵权责任法》确立网络侵权责任。2012 年《关于加强网络信息保护的决定》初步规定“八项原则”。 ##### 2. 规范发展阶段（2013-2020） 《消法》修正、《网安法》（四梁八柱）、《电商法》、《民法典》（将个人信息作为独立人格权益）、《刑法修正案（九）》（确立侵犯公民个人信息罪）。 ##### 3. 专门立法阶段（2021 年） 《数据安全法》颁布，同年 8 月 20 日《个人信息保护法》出台，标志着体系化保护体系的建立。 #### 二、个人信息保护现行法律制度概要 ##### 1. 《个人信息保护法》的体系 该法共八章，涵盖：总则（目的、原则）、处理规则（“告知—同意”核心规则、敏感信息特别规定、国家机关特别规定）、跨境提供规则、个人权利、处理者义务（含“守门人”义务）、监管部门职责、法律责任（民事、行政、刑事及内部责任）、附则。 > [!important] 《个人信息保护法》与其他法律/规范的关系 > **2. 与宪法** ：宪法是根本法，制定《个保法》的宪法基础是国家所负有的* **人权与基本权利保护义务** *。 > **3. 与《民法典》** ：两者是* **交叉并存、相互补充的平行关系** *。《民法典》偏重私法兜底保护（一般法），《个保法》偏重领域基本法（特别法），兼顾公私法双重属性。 > **4. 与刑法** ：刑法保护模式由“先刑后民”转向* **“民先刑后、民紧刑松”** *，刑法作为最后一道防线。 > **5. 与《网安法》《数安法》** ：同属网络法律体系，主体概念交叉融合，条文相互借鉴（如数据出境安全评估机制）。 ##### 6. 与行政法规 《个保法》对法定职责采取“法律保留与授权立法”机制。如国家机关处理信息可不经同意，但公开隐私信息仍受《政府信息公开条例》限制。 ##### 7. 与部门规章及规范性文件 网信办、工信部等制定的规章（如《网信部门行政执法程序规定》《互联网信息服务算法推荐管理规定》）为《个保法》提供细化落地依托。 ##### 8. 与地方性法规 地方立法（如《深圳经济特区数据条例》）发挥先行先试与贯彻落实的双重作用。 ##### 9. 与国家标准 国标（如《信息安全技术 个人信息安全规范》）早于立法探索并为法律提供制度参考（如“告知-同意”规则细化）。 ##### 10. 与司法解释 “人脸识别司法解释”及刑法涉侵犯公民个人信息的司法解释在不违背《个保法》前提下继续适用。 #### 三、作为领域法的个人信息保护法及其法学 ##### 1. 领域法属性 *1) 跨学科与复合性*：以问题为导向，横跨民、刑、行等法律部门，融经济、政治、社会多学科，具有鲜明的跨学科特色。 *2) 多元责任协同*：《个保法》涵盖民事损害赔偿、行政监管处罚与刑事责任，不能被单一传统部门法涵盖。 ##### 2. 核心基础理论（两头强化，三方平衡） > [!important] 领域法学核心理论 > 1. **两头强化** ：区分敏感信息与一般信息，通过* **强化敏感信息的保护** *和* **强化一般信息的利用** *，调和保护与利用的需求冲突。 > 2. **三方平衡** ：兼顾* **个人信息保护利益** *（人格自由与尊严）、* **信息业者利用利益** *（经济利益）、* **国家社会公共利益** *三者的平衡。 #### 四、个人信息保护法的立法目的 ##### 1. 保护个人信息权益 （基本目的）； ##### 2. 规范个人信息处理活动 （实现双重目的的手段与方法）； ##### 3. 促进个人信息的合理利用 （在权益保护基础上的经济价值实现）。 --- ### 第三节 个人信息处理的原则 #### 一、合法、正当、必要和诚信原则 > [!abstract] 总体原则的内涵 > 《个人信息保护法》第 5 条规定，该四项原则是个人信息处理的总体原则，发挥统领作用。 ##### 1. 合法 *1) 具有法定正当基础*：处理须具备《个保法》第 13 条规定的合法性基础。 *2) 履行法定义务*：遵循法律设定的强制性义务（如大型平台“守门人”的特别义务）。 ##### 2. 正当 *1) 目的正当*：有利于增进个人或公共利益，不得损害他人权益（如诈骗目的属于不正当）。 *2) 手段正当*：处理方式需符合社会期待与公序良俗（如利用数据画像实施价格歧视属于手段不正当）。 ##### 3. 必要 不得超过实现目的的最低限度与最小范围（收集范围仅以实现服务功能和业务目的为必要）。 ##### 4. 诚信 处理者对个人抱有基本善意，尊重合理信赖，不得通过误导、欺诈、胁迫等方式处理（如定期发布社会责任报告，履行附随义务）。 #### 二、目的原则 > [!abstract] 目的原则核心 > 处理信息应具有明确、合理的目的，与处理目的直接相关，采取对个人权益影响最小的方式。包含目的限制原则与数据最小化原则。 ##### 1. 处理应当具有明确目的 目的描述应当具有清晰的指向性，不得使用“为了公共利益/提升用户体验”等宽泛模糊表述。若目的变更，须重新取得同意。 ##### 2. 处理应当具有合理目的 目的应符合正向价值。例如维护重大利益（突发公共卫生事件）、执行法定/约定义务、维护公共利益（科研、卫生、统计等），且不给个人带来过重负担或过高风险。 ##### 3. 处理应当与处理目的直接相关 要求手段和目的的统一，无该信息参与无法实现目的。若超出原目的进行后续处理，应视为独立的新处理行为或目的变更。 ##### 4. 采取对个人权益影响最小的方式（最小范围/不得过度收集） 收集类型有直接关联、频率为最低频率、获取数量为最少数量、存储期限为最短时间（到期即删除或匿名化），并建立最小授权访问控制策略。 #### 三、公开、透明原则 > [!abstract] 公开、透明原则的核心 > 要求公开个人信息处理规则，明示处理的目的、方式和范围。是保障个人知情权与决定权的前提。 ##### 1. 真实、完整、准确地全面披露（告知义务） *1) 告知类型*：涵盖一般告知及特殊告知（敏感信息、企业合并分立、自动化决策、跨境提供等）。 *2) 履行方式*：一对一单独告知或统一制定隐私政策/用户协议。 *3) 评判标准（透明度）*：一般理性用户在具体场景下对目的、方式、范围的清晰知晓程度。 > [!warning] 告知义务的例外情形 > 法律、行政法规规定应当保密或者不需要告知的；国家机关履行法定职责时告知将妨碍职责履行的，可以不履行告知义务。 ##### 2. 告知义务应当随着处理活动的变化而不断更新 处理目的、方式和种类发生变更的，应当更新规则并重新取得个人同意。告知的充分性具有时效性要求。 #### 四、质量原则 > [!abstract] 质量原则的核心 > 保证个人信息的准确性、完整性和时效性，避免因信息不准确、不完整对个人权益造成不利影响。 ##### 1. 质量原则的重要意义 *1) 保护个人权益的必然要求*：避免个人信息化形象与客观真实不符，要求及时更新或淘汰无用信息。 *2) 保障程序性权利的基础*：个人行使更正权、补充权、删除权时，处理者需依规核实信息质量。 *3) 数据有效处理的前提*：不准确/不完整的数据会破坏数据可用性与商业价值。 *4) 建设数字社会与数字政府的关键*：公共数据价值释放依赖于高质量的数据管理。 #### 五、责任原则 > [!abstract] 责任原则的核心 > 个人信息处理者应当对其处理活动负责，并采取必要措施保障信息安全。体现“谁处理，谁负责”。 ##### 1. 对处理活动的规范化负责 多主体共同处理时需明确各自责任；委托处理需监督受托方；特殊主体（如大型平台）需承担特别平台责任；国家机关处理不能逾越法定职权界限。 ##### 2. 重点负责保障个人信息安全 确保信息的秘密性、完整性与可用性。需采取物理措施（保障介质安全）、技术措施（防病毒、防漏洞）和管理措施（分级分类、加密去标识化、人员培训、应急预案），并承担泄露时的补救减损义务。 ##### 3. 对违法处理行为承担法律责任 *1) 民事责任机制*：实行* **过错推定责任** *。 *2) 责任多元化*：包括高额行政罚款、个人信息保护公益诉讼制度等。 #### 六、原则的适用 > [!important] 原则综合适用规则 > 五大基本原则彼此关联，实践中常发生交叉与综合适用。 > 1. 欺诈胁迫处理非必要信息：同时违反 **合法原则** 与 **目的原则** 。 > 2. 接受外部监督：既体现 **责任原则** ，也遵循 **诚信原则** 。 > 3. 未明示规则作他用：同时违反 **目的原则** 与 **公开、透明原则** 。 > 4. 主动核实信息避免损害：共同体现 **质量原则** 与 **责任原则** 。 ## 第二章 个人信息处理规则 ### 第一节 个人信息处理规则概述 #### 一、个人信息处理的合法性基础 > [!abstract] 合法性基础的体系界定 > 《个人信息保护法》第 13 条规定，处理个人信息应具备合法性基础。这是“合法原则”的具体化。合法性基础分为两类：一是 **取得个人的同意** （“告知—同意”规则，为原则）；二是 **法定许可** （“告知—同意”之外的其他方式，为例外）。 ##### （一）取得个人的同意 原则上，个人信息处理均应获得信息主体的同意方能获得合法性基础。由于其特殊地位，《个人信息保护法》第 14~18 条对此规则予以专门细化。 ##### （二）法定许可 基于公共利益的考量，《个人信息保护法》规定了 6 种无需取得个人同意的法定许可情形： ###### 1. 为订立、履行个人作为一方当事人的合同所必需，或按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需 * *合同缔结与履行必需*：信息主体与处理者是缔约双方，必须处理信息才能缔结或履行合同（如电商配送）。判断标准需结合合同目的，若有侵害更小的方式则无法适用该许可。 * *实施人力资源管理必需*：典型情形为用人单位为员工缴纳“五险一金”。为防止滥用，必须以依法制定的劳动规章制度和依法签订的集体合同为规范依据。 ###### 2. 为履行法定职责或者法定义务所必需 * *法定职责*：公权力机关依据法律法规享有的职权与义务（如刑事侦查不公开原则下，侦查机关处理个人信息无法取得同意，适用此许可）。 * *法定义务*：普通民事主体依据法律法规负有的义务（如用人单位依法为职工投保工伤保险）。 ###### 3. 为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需 * *应对突发公共卫生事件*：如流行病防控中的数字追踪技术。该情形具有明确的法定判断标准，应优先适用。 * *紧急情况下的生命财产保护*：将自然人的生命健康和财产安全置于个人信息权益的优位；且受保护的利益不局限于信息主体本人，也包括信息主体之外的自然人。 ###### 4. 为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理 * 为推进民主、形成良俗，个人信息权益需适度让步（如对腐败行为的揭露无需获得腐败者的同意）。 ###### 5. 依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息 * 缺乏明确的利益保护目的，通常需要与其他合法性基础重叠适用。 ###### 6. 法律、行政法规规定的其他情形 * 作为兜底条款，赋予行政执法机构、法院一定的裁量权，确保宽泛的公共利益考量与权益保护实现动态平衡。 > [!warning] 法定许可适用的界限 > 法定许可的法理基础是“为了公共利益适度限缩个人信息权益”。其适用必须在 **个案和利益衡量** 的基础上进行。当处理行为既不具社会公益又侵害个人信息权益时，法定许可无法提供合法性基础。 #### 二、“告知—同意”规则 ##### （一）“告知—同意”规则的历史渊源 至今仍是全球主流个人信息保护立法的核心，其渊源主要有三种学说： ###### 1. 医疗领域起源说 起源于医疗领域的“患者知情同意原则”（如我国《民法典》中的医疗风险告知义务）。 ###### 2. 公平信息实践起源说 起源于 20 世纪 70 年代美国政府的《公平信息实践准则报告》。 ###### 3. 德国立法确立说 起源于 1970 年德国黑森州《数据保护法》（全球最早的个人信息保护实证法）。 ##### （二）“告知—同意”规则的性质 > [!note] 比较法视野下的定性差异 > * **美国法** ：通常视为 **声明或合同** 。点击协议等显著形式被视为消费者合同；一般的隐私政策多被视为企业的单方声明（作为行政执法依据）。 > * **欧盟法** ：视为 **基本权利合规措施与消费者合同** 。非企业意思自治范畴，违法主要受行政制裁；同时借鉴消费者合同指令，审查“不公平条款”。 ###### 1. 我国“告知—同意”规则的性质（多维制度工具） * *基本权利的合规属性*：视为处理合法性基础，是处理者尊重基本权利的合规证明。 * *消费者合同的特征*：虽有诸多法定限制，但仍有协商空间。立法删去了“意思表示”一词，说明其属于 **公私法融合的消费者合同** ，区别于传统合同。 * *行政执法与自我规制工具*：告知同意所依托的文本（隐私政策）可作为企业的自我声明（执法依据）、自我规制章程以及传达声誉的媒介。 ##### （三）告知规则 ###### 1. 告知的时间 * *原则要求*：必须在 **处理前** 进行告知。处理目的、方式和种类发生变更的，应当 **重新取得同意** 。 * *例外情形*：紧急情况下为保护生命财产安全无法及时告知的，应当在 **紧急情况消除后及时告知** 。 ###### 2. 告知的形式 * *以显著方式、清晰易懂的语言*：应采用适宜阅读的界面与语言，结合业务功能使用组合告知形式（如一般告知、增强告知、即时提示）。 * *真实、准确、完整*：保障信息主体对处理操作有充分了解，作出真实的同意决定。 * *规则公开*：处理规则（如隐私政策）应当公开，并且便于查阅和保存。 ###### 3. 告知的事项 * *处理者的名称（姓名）和联系方式*：权利行使的基础。 * *处理目的、处理方式*： **处理目的是诸告知事项的核心** ，决定了同意是否真实有效，需避免“提升服务质量”等宽泛表述。 * *处理的个人信息种类、保存期限*：需具体列明（如需明确标注“人脸识别信息”而非宽泛的“生物识别信息”），保存期限应当与目的相称。 * *行使权利的方式和程序*：包括权利类型（查阅、更正、删除等）、联系方式、投诉/起诉途径等。 * *法定其他事项*：法律、行政法规规定的其他需要告知的事项。 > [!important] 变更告知与重新同意的区分 > 告知事项发生变更时，需履行变更告知义务。但 **只有在处理目的、处理方式和处理的个人信息种类发生变更时，才必须重新取得同意** 。若仅是其他管理性事项变更则只需告知。此设计旨在防止“信息过载”。 > [!warning] 告知的例外（克减） > 有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知。该克减应当以 **最小化** 为原则。 ##### （四）同意规则 同意是指信息主体 **自愿、明确** 地对其个人信息所受处理作出的授权行为。 ###### 1. 同意的形式 * *一般形式（明示原则）*：个人在充分知情前提下自愿、明确作出。可通过主动勾选、开启权限、签字等方式呈现。 **预选方框、不作为等默示行为一般不构成同意** 。 * *单独同意（特殊形式）*：针对特定高风险处理活动作出的明确具体的同意。需与其他处理活动区分（增强告知）。法定适用场景包括： **向其他处理者提供、公开信息、公共场所图像用于非公共安全目的、处理敏感信息、向境外提供信息** 。 * *书面同意（特殊形式）*：依据法律/行政法规要求（如处理敏感信息），需以纸质或电子签字签章形式确认，有助于审慎决策与争议解决。 * *重新同意*：处理目的、方式、种类发生变更时的必经程序。 ###### 2. 撤回同意 * *含义*：信息主体对已作出的授权予以取消。 * *特征一：不同于民法意思表示撤回*：同意到达处理者后仍可行使。 * *特征二：不受除斥期间限制*：旨在保障人格利益随时处于圆满状态。 * *特征三：不具有溯及力*： **撤回同意不影响撤回前基于同意已进行的个人信息处理活动的效力** （防止引发不可控的涟漪效应与过高守法成本）。 ###### 3. 同意与提供产品或服务 * *禁止强制同意*：不得以不同意或撤回同意为由，拒绝提供产品或服务。 * *例外情形*：处理个人信息 **属于提供产品或服务所必需** 的除外（如云服务必须收集线上存储信息）。且仍需受目的原则的“最小限度”约束。 #### 三、有关个人信息处理者的一般规定 ##### （一）多方参与的个人信息处理 ###### 1. 共同处理（共同决定目的和方式） * *外部关系（连带责任）*：侵害权益造成损害的，依法承担连带责任。 * *内部关系（内部约定）*：应当约定各自的权利和义务。但该约定 **不具有对抗效力** ，不影响个人向其中任何一个处理者要求行使法定权利。 > [!warning] 理论争议：共同处理“依法承担连带责任”的性质 > 针对条文中“依法”二字，学界存在争议： > * **参引适用说** ：认为其为参引性规范，应当直接适用《民法典》有关多数人侵权责任的规定。 > * **独立请求权基础说** ：认为其包含完整的构成要件与法律效果，属于独立的请求权基础，若硬性参引《民法典》将面临规范目的不融洽的难题。 ###### 2. 委托处理（处理者委托他人处理） * *委托双方的权利义务*： **必须签订委托合同** ，约定目的、期限、方式、种类、保护措施等。处理者负有对受托人的 **监督义务** 。 * *受托人的行为界限*：必须按约定处理，不得超出约定范围；一旦受托人对目的或方式施加了实质影响，其 **法律地位将转化为处理者** 。 * *合同失效的处理*：委托合同不生效、无效、被撤销或终止的，受托人 **必须返还或删除信息，不得保留** 。 * *转委托限制*：未经处理者同意，受托人 **不得转委托** ；若同意转委托，原处理者的监督对象也延伸至转受托人。 * *受托人与信息主体的关系*：两者之间 **没有直接的权利义务关系** 。信息主体主张权利的对象限于处理者，防止处理者借外包逃避问责。 ##### （二）个人信息处理者变更 因合并、分立、解散、宣告破产等原因导致处理者法人资格变更的规则： * *告知义务*：需要转移信息的，应当向个人告知 **接收方的名称（姓名）和联系方式** 。 * *义务承继*：接收方具有了处理者地位，应当继续履行原个人信息处理者的义务。 * *重新同意的限度*： **只有当接收方变更原先的处理目的、处理方式时** ，才需要重新取得个人同意；若保持原样则无需重新获取同意（因实际业务/组织实体具有连续性）。 ##### （三）对外提供个人信息 指个人信息处理者向 **其他个人信息处理者** 提供其处理的个人信息的情形。 * *适用范围的界定*：仅限于 **两个独立的个人信息处理者之间** （提供方与接收方均有权决定目的与方式）。不适用于“委托处理”和“企业合并分立转移”的情形。 * *提供方的“告知—同意”规则*：必须告知接收方的名称/姓名、联系方式、处理目的、方式和种类，并 **取得个人的单独同意** （需采用增强告知的形态提示特殊风险）。 * *接收方的规则*：必须在告知的范围内处理；若接收方变更原先的处理目的、处理方式的，应当依照规定 **重新取得个人同意** 。 #### 四、自动化决策 以《个人信息保护法》第 24 条为中心，对自动化决策的定义及相关规则进行论述。 ##### （一）自动化决策的概念与风险挑战 > [!abstract] 自动化决策的定义 > 指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动（集中体现为算法的运用，如网约车派单、资讯分发、商品推荐）。 **法律对自动化决策加以控制的理据（风险挑战）：** 1. *挑战知情权与自主性*：决策主体变为计算机程序，规则不透明，使个人难以知晓决策效果。 2. *威胁隐私与自由*：增加个人信息汇聚比对风险，剥夺获取多样化信息的可能性，使用户困于“信息茧房”。 3. *导致歧视与偏见*：算法设计往往渗透设计者的歧视，且因不透明而具隐蔽性，严重危害社会平等。 ##### （二）自动化决策的一般规则 > [!important] 自动化决策的一般规则 > 个人信息处理者利用个人信息进行自动化决策，应当保证 **决策的透明度** 和 **结果公平、公正** ，不得对个人在交易价格等交易条件上实行 **不合理的差别待遇** 。 ###### 1. 透明度 * *双层属性*：既是处理者的客观义务（“公开、透明原则”的细化），也是个人的主观权利（有权要求解释说明）。 * *实现方式*：完全透明难以实现。处理者应以增进信任为目标，在系统解释与个案解释、事前与事后解释中进行选择，而非强求绝对可解释性。 ###### 2. 结果公平、公正 * *核心内涵*：禁止“不合理的差别待遇”（如“大数据杀熟”）。允许合理差别，但“合理”属裁量性概念，需监管机构在利益衡量基础上进行个案判断。 * *双层保障*：监管部门的行政执法（客观义务），以及个人行使限制/拒绝处理权（主观权利）。 ##### （三）自动化决策的特殊规则（信息推送与商业营销场景） * *规则内容*：通过自动化决策进行信息推送、商业营销， **应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式** 。 * *意义*：治理“信息茧房”，恢复信息主体的个人信息自决权。选项的提供在操作层面上属于一种增强告知，辅助用户作出拒绝同意的决定。 ##### （四）对个人权益有重大影响的情形 > [!warning] 重大影响的界定 > 不仅包括对法律地位与权利的影响，也包括近似的事实影响；不仅涵盖现在的影响，也包括未来的影响。 当自动化决策作出对个人权益有重大影响的决定时，个人享有两项权利： ###### 1. 要求说明权 要求处理者对决策予以说明，以对风险产生客观认识。 ###### 2. 完全自动化决策拒绝权 有权拒绝仅通过自动化决策作出的决定。“仅通过”指决策过程中未进行任何人工作为辅助或评估。权利行使后，该自动化决策即丧失合法性。 #### 五、个人信息公开的一般禁止 > [!abstract] 一般禁止规则 > 《个人信息保护法》第 25 条：处理者不得公开其处理的个人信息， **取得个人单独同意的除外** 。 * *在“告知—同意”基础下*：该条属于 **默认规则（法定预设偏好）** 。由于现实中告知同意具有不完备性，法律预设个人不同意公开；但个人可以通过“单独同意”来否决该错误预设。 * *在法定许可基础下*： **该条不适用** 。例如法院公开“失信被执行人名单”系为履行法定职责，公开的合法性取决于是否与利益保护目的相称，无需获得单独同意，否则将与公共利益产生冲突。 #### 六、在公共场所安装图像采集、个人身份识别设备的处理规则 > [!abstract] 公共场所生物识别信息处理规则 > 《个人信息保护法》第 26 条规定：必须为 **维护公共安全所必需** ，遵守国家有关规定，并 **设置显著的提示标识** 。收集的信息 **只能用于维护公共安全的目的** ，不得用于其他目的；取得个人单独同意的除外。 * *规范目的*：回应设备泛滥带来的高风险，严格限制目的至“维护公共安全”。 * *参引规范*：如需遵守“人脸识别司法解释”。 * *提示义务*：设置显著标识，方便个人采取主动避让或其他行动。 #### 七、已公开个人信息的处理规则 > [!abstract] 已公开信息的处理原则 > 《个人信息保护法》第 27 条确立了“一般允许规则”：处理者可以在 **合理的范围内** 处理个人自行公开或者其他已经合法公开的个人信息。 ##### （一）已公开个人信息处理的合法性基础 本条作为直接合法性基础，因缺乏明确的利益保护目的，需结合具体情形： ###### 1. 个人自行公开（推定同意） 信息主体对其信息被处理具有可预期性。可通过扩张“告知—同意”规则获得推定的同意（受明确拒绝权约束）。 ###### 2. 合法强制公开（法定许可的延伸） 后续处理的合法性来源于与该依法强制公开行为 **相一致的利益保护目的** 。 ##### （二）已公开个人信息的认定标准 * *个人自行公开*：需进行 **场景化判断** （法官采取一般大众视角辨识广泛接受的信息流动规范）。如在某平台公开并不意味着同意被第三方抓取至其他平台。 * *合法强制公开*：事实上已被合法强制公开的范围。 ##### （三）合理范围的认定标准（目的特定原则的细化） * *个人自行公开的合理范围*：同样依赖于 **场景化判断** ，依据一般大众的信息流动预期。 * *合法强制公开的合理范围*：必须结合 **法定许可的利益保护目的** 。如裁判文书公开的目的是舆论监督，处理行为必须以此为限；若用于失信惩戒则超出合理范围。 ##### （四）阻断合法性的例外情形 存在两项例外情形，可作为已公开个人信息处理的合法性阻断事由： ###### 1. 个人明确拒绝 * *在自行公开中*：个人可通过明确拒绝推翻推定同意。 * *在强制公开中（条件苛刻）*：只有当处理行为虽符合公共利益目的，但对个人权益的侵害 **大于** 所保护的公共利益时，个人才可通过拒绝阻断合法性；若处理行为本身已超出合理范围，则属非法处理，无须适用拒绝阻断。 ###### 2. 对个人权益有重大影响 * 当信息处理对个人权益有重大影响（如处理已公开的敏感个人信息）时，自动阻断法定许可的合法性，处理者必须依照规定 **重新取得个人同意** （包括单独同意与书面同意）。 ### 第三节 敏感个人信息处理规则 #### 一、敏感个人信息的概念界定 > [!abstract] 敏感个人信息的定义 > 敏感个人信息是指一旦泄露或者非法使用， **容易** 导致自然人的 **人格尊严** 受到侵害或者 **人身、财产安全** 受到危害的个人信息。 ##### 1. 敏感性的判断维度 *1) 规避主观不确定性*：由于个体对“敏感”的认知存在巨大差异（主观不确定性），社会层面的“敏感”又与一国政治、经济、文化状况息息相关，我国立法采取 **风险维度** 进行客观阐释。 *2) 风险的两个标准*： * * **风险对象** *：包括人格尊严及人身、财产安全（范围远大于隐私权，涵盖一般人格权与具体人格权）。 * * **风险概率** *：必须达到“容易导致”（即产生风险的概率极高）的标准。 ##### 2. 法律具体列举的六类典型敏感个人信息 > [!note] 兜底条款设置 > 《个人信息保护法》第 28 条采用“列举+等”的方式，为其他未明示的个人信息归入敏感个人信息留出空间。除“不满 14 周岁未成年人信息”外，主要包含以下六类： *1) 生物识别信息*：关于自然人身体、生理或行为特征的信息（如人脸、指纹、声纹、虹膜等）。具有* **唯一性、不可替代性** *，一旦被伪造将直接损害人身、财产安全。 *2) 宗教信仰信息*：个人是否信仰宗教、信仰何种宗教及其程度。泄露易引起仇视或社会歧视。 *3) 特定身份信息*：对个人人格尊严和社会评价有重大影响的身份信息（如身份证、护照、职业身份、种族/民族身份）。 *4) 医疗健康信息*：涵盖就诊记录、病史、身体症状及身高体重等衡量指标。泄露易导致就业歧视或财产诈骗。 *5) 金融账户信息*：包含银行/证券/支付账户、密码、交易记录等，直接关乎财产安全。 *6) 行踪轨迹信息*：包括个人所处地理位置、活动地点和活动轨迹（如航班信息）。具体精度认定（如是否精确到经纬度）尚待进一步解释。 #### 二、敏感个人信息的要素判断 > [!warning] 敏感与一般信息的动态转化 > 敏感个人信息与非敏感个人信息之间存在互相转化的可能。单独看似不敏感的信息（如姓名、地址），结合后可能具备身份识别性而变得“敏感”。判断标准必须采取 **场景化判断** 。 ##### 1. 场景化判断的五个核心要素 *1) 信息主体*：主体的年龄、身份、性别会影响敏感性（如未成年人、具有犯罪记录者）。 *2) 信息处理者*：处理者的* **规模大小** *与掌握的* **技术能力** *可能使一般信息变为敏感信息。 *3) 第三方主体*：作为信息的接收方，其与处理者/信息主体的关系会影响敏感度。 *4) 信息性质*：信息本身与人格尊严、人身财产安全的密切程度。 *5) 处理目的*：目的越不合法、不正当、不必要，信息主体的风险便显著升高，该信息在该场景下就越具高度敏感性。 #### 三、处理敏感个人信息的条件 > [!important] 处理敏感信息的双重前提条件 > 处理敏感个人信息除遵循一般原则外，必须满足以下两个前置条件： ##### 1. 特定目的和充分必要性 * *非必要不处理原则*：是对“目的特定原则”和“最小必要原则”的具体强化。《个人信息保护法》明文规定“只有”在具有特定的目的和充分的必要性时，方可处理敏感个人信息。 ##### 2. 严格保护措施 * *全方位强化保护*：必须在制度、技术、管理和应急等方面采取比一般信息更严格的安全保护措施。 * *事前影响评估机制*：必须进行 **个人信息保护影响评估并记录** ，以判断处理目的与方式的合法正当性，以及保护措施是否与风险程度相适应。 #### 四、处理敏感个人信息的特殊要求 ##### 1. 增强的同意规则（单独同意与书面同意） *1) 单独同意*：必须在个人充分知情前提下自愿、明确作出。针对信息的收集、存储、使用、提供等环节均须单独同意，* **一揽子同意针对敏感个人信息绝对无效** *。 *2) 书面同意*：法律、行政法规有特殊规定时，必须以纸质或数字电文等有形方式，通过主动签名/签章形式取得（如《征信业管理条例》规定查询个人信息需书面同意）。 ##### 2. 告知的特殊性（增强告知） 除法定的一般告知事项外，处理敏感个人信息还 **必须额外告知** ： *1) 处理该敏感信息的必要性*。 *2) 对个人权益的影响*（即事前影响评估的结果，确保个人知晓高风险性并审慎决策）。 #### 五、未成年人个人信息的保护 > [!abstract] 未成年人信息的特殊定性 > 我国《个人信息保护法》明确规定： **不满 14 周岁** 的未成年人的 **所有个人信息** （不仅限于人脸、行踪等，甚至包括姓名、性别、身高）均属于敏感个人信息。 ##### 1. 需特殊保护的年龄界线 * *14 周岁分界线*：《个人信息保护法》《未成年人保护法》等均将 **14 周岁** 作为强制需要监护人同意的分界线（主要考虑未成年人触网趋低、需细分保护群体）。 * *【补充】理论争议*：对将分界线设为 13、14 或 16 周岁，各国立法论证均不够充分；有学者认为放弃对 14-18 岁处于叛逆期青少年的特殊网络保护存在不合理性。 ##### 2. 监护人同意规则 * *同意主体*：必须取得未成年人的 **父母或者其他监护人** 的同意（基于儿童脆弱性与权利限制理论）。 * *同意形式*：因其归属敏感个人信息，监护人的同意必须是 **单独同意** 或法定的 **书面同意** 。 * *实施要求*：处理者应采取* **未成年人不易绕过的方式** *（如验证监护人联系方式）取得可验证的同意。 ##### 3. 未成年人专门处理规则 * 除履行监护人同意外，信息处理者还应当为监护人提供密码保护、阻止/允许列表、年龄验证及信息过滤等一整套便捷易用的工具，以创造安全网络环境。 --- ### 第四节 国家机关处理个人信息特别规则 #### 一、概述 > [!note] 制度背景：“综合立法”模式 > 针对公权机关处理信息的规制，存在“综合立法”（统一适用公私主体）与“分散立法”（公私主体分别立法）两种模式。我国《个人信息保护法》采用 **综合立法模式** ，即国家机关处理信息同样适用本法，但设定了本节的“特别规定”，并排除了仅适用于私人主体的大型平台守门人义务等条款。 ##### 1. 国家机关的界定 *1) 狭义国家机关*：立法、行政、军事、监察、审判、检察机关，以及党的机关、政协机关等。 *2) 准国家机关（法律、法规授权组织）*：虽非严格意义上的国家机关，但依据《行政处罚法》等享有管理公共事务职能，本法将其 **视同国家机关** 予以规制。 #### 二、国家机关处理个人信息的合法性基础 > [!warning] 理论争议：合法性基础是单一还是多元？ > * **单一说** ：认为国家机关只能基于“履行法定职责所必需”进行处理，否则导致公权滥用。 > * **多元说（通说）** ：认为除法定职责外，国家机关亦可依据《个保法》第 13 条的其他合法性基础进行处理。 > * **排除项** ：多元基础中，国家机关 **绝对不能** 适用“为公共利益实施新闻报道、舆论监督”条款（因我国新闻报道采许可制，国家机关系履行本身法定职责；且国家机关是舆论监督的对象而非主体）。 ##### 1. 为履行法定职责所必需（最主要的合法性基础） *1) “法定职责”中“法”的范围界定*： * 学界存在争议，通说采 **广义说** ，即不限于全国人大法律和国务院行政法规，* **还包括地方性法规、部门规章及地方政府规章等规范性文件** *（以保障正常公务运作，如下位法越权可经由附带审查确认违规）。 *2) “所必需”的比例原则判断*： * * **适当性分析** *：处理行为必须与履行法定职责直接相关（如防疫机构无权收集既往病历、作息时间等无关信息）。 * * **必要性分析** *：有同等效果且侵害更小的替代手段时，必须不处理或少处理。 * * **相称性分析** *：处理信息的收益与对信息权益的干预必须成比例（如通信信息极度敏感，仅限追查犯罪与维护国家安全）。 ##### 2. 取得个人的同意 * 适用场景较罕见（如国家机关向公民个人购买服务处于平等民事关系时）。 * *有效性标准*：必须防范国家机关利用权力优势规避法定职责。只有在 **个人不同意完全不影响获得国家机关的给付，也不会招致不利对待** 时，该同意方为有效真实。 ##### 3. 为订立、履行合同或实施人力资源管理所必需 * 适用场景：国家机关作为平等民事主体向个人采购物品（收集账户信息），或进行内部公职人员/职工的人事管理。 ##### 4. 应对突发事件或者紧急情况下保护人身财产安全所必需 * *法定授权应急*：部分机关拥有专门应急法定职责（如疾控、应急管理部门），此时应直接适用“依法履职”。 * *无授权应急（行政应急原则）*：无专项授权的机关基于防疫等需要处理信息，可援引此款。必须在* **事后接受审查** *；确属必需方可免责（但依《民法典》仍应补偿），若不能免责则承担国家赔偿责任。 ##### 5. 合理处理已自愿或合法公开的个人信息 国家机关适用此基础必须满足四项严苛条件： *1) 对世公开*：不得以局部内网公开作为处理依据。 *2) 自愿或合法查明义务*：机关负有合理注意义务，确认该信息确属个人自愿公开或已被依法公开。 *3) 比例合理*：追求的公共目标与对个人权益的干预必须成比例。 *4) 阻断例外*：个人明确拒绝，或该处理对个人权益有重大影响时，国家机关原则上不得处理（须转而寻求“个人同意”）。 ##### 6. 法律、行政法规规定的其他情形 * 必须区分于一般的“法定职责”。例如《统计法》《档案法》明确规定的信息处理活动直接适用本项。 #### 三、国家机关处理个人信息的告知义务 > [!abstract] 国家机关告知义务的分类适用 > 原则上，国家机关在依法履职时应当事前履行告知义务，但存在以下区分： ##### 1. 告知 + 同意 在基于个人同意进行处理时，严格适用“告知—同意”双重规则。 ##### 2. 告知 + 无须同意 在依据“法定职责”、“法定其他情形”、“订立合同/人事管理”等非同意基础处理时， **原则上仍需履行事前告知义务** 。 ##### 3. 无须告知 + 无须同意（特例与事后补充） * *紧急避险情形*：紧急情况下无法及时告知的，应当在 **紧急情况消除后及时告知** （事后告知）。 * *妨碍履职例外*：告知将 **妨碍国家机关履行法定职责** 的除外（【补充】此处的“妨碍”指导致法定职责目的彻底落空，不能以增加执法手续或成本为由规避告知义务）。 #### 四、国家机关处理的个人信息跨境流动规则 ##### 1. 国家机关处理的个人信息境内存储义务 * *适用范围*：仅限国家机关在 **我国境内收集和产生** 的个人信息。 * *境内存储的判断标准*： 1. * **物理空间** *：个人信息存储介质位于我国境内。 2. * **虚拟空间** *：存储在境内的信息 **不能被境外组织或个人读取** （但公开渠道被境外依法读取的除外，公开行为受《政府信息公开条例》等规制，不视同跨境提供）。 ##### 2. 国家机关处理的个人信息跨境提供规则 > [!important] 国家机关与关键信息基础设施运营者的出境差异 > 《个保法》第 36 条（针对国家机关）构成第 40 条（针对关键信息基础设施/大型处理者）的 **特别规定** 。国家机关安全评估 **无须由国家网信部门组织审批** 。 *1) 安全评估出境通道*： * **自行评估机制** ：国家机关确需出境的，应当自行开展安全评估， **无须向网信部门申报监管评估** （避免下级审查上级等违背行政科层制的现象）。 * **要求协助机制** ：国家机关进行评估时， **“可以要求有关部门（如网信部门）提供支持与协助”** 。为弥补专业能力不足，非网信部门原则上都应当要求协助，且被要求机关必须协助（【补充】通常实行“下助一级”或跨级对接机制）。 *2) 其他跨境通道*： * **物理载体出境** ：受《保守国家秘密法》等规制，涉密人员与介质出境需审批与边防检查。 * **国际合作出境** ：我国缔结或参加的国际条约、协定对出境有规定的，可直接依条约执行， **无须进行安全评估** 。 *3) 绝对禁止情形*：经安全评估认定可能影响国家安全、损害公共利益，或难以保障信息安全的，绝对不得出境。个人 **不能** 通过“单独同意”来强行授权此类信息出境。 ## 第三章 个人信息跨境提供规则 ### 第一节 个人信息跨境提供概述 > [!abstract] 核心定义/概念 > **个人信息跨境提供（数据跨境流动）** ：以个人信息为代表的数据在全球范围内的跨国界转移。保障数据跨境安全有序流动，对于保护个人信息安全、构建国家数字经济竞争新优势、维护国家安全战略具有重要意义。 #### 一、个人信息跨境提供的价值与国际背景 > [!warning] 易错/注意/例外/理论争议 > 个人信息跨境提供的国际协调核心障碍在于 **个人信息的法律属性** 。其负载着 **人格利益** 与 **国家利益** ，若国家过度注重安全保障，将导致法规政策对数据跨境提供产生不友好影响。 ##### （一）个人信息跨境提供的多重价值 ###### 1. 个人信息跨境提供中的隐私权保护价值 1) *数字时代隐私保护客体的特征*：隐私信息呈现 **电子化、虚拟化、代码化、规模化** 及多变化特点，极易在数据化过程中被公开，面临自动抓取、网络爬虫等技术带来的泄露风险。 2) *隐私保护的现实意义*：旨在尊重个体人格，避免数据主体遭受财产或精神利益损失。 3) *跨境流动隐私保护的特殊挑战*：与纯国内流动相比，跨境流动涵盖地域广、复杂且无明显规律（如境外企业收集本地数据但不经本地服务器），需遵守多国差异化规范，侵权范围更大。 4) *跨境隐私权保护的特征*：具有* **国际化、复杂多样化以及碎片化** *的特点，冲突性与挑战性极强。 ###### 2. 个人信息跨境提供中的国家安全价值 > [!note] 补充说明/制度背景 > **【补充】汽车数据安全管理** > 针对智能汽车与车联网发展，《汽车数据安全管理若干规定（试行）》（2021 年）提出了专门管控要求： > 1. *四大处理原则*：“车内处理”、“默认不收集”、“精度范围适用”、“脱敏处理”。 > 2. *核心制度*：重要数据境内存储制度、风险评估报告制度、年度报告制度。 > 3. *出境限制*：向境外提供重要数据必须落实 **数据出境安全评估制度** ，不得超出评估结论违规出境。 1) *《网络安全法》（2017）的规制*：从网络数据安全角度，要求 **关键信息基础设施运营者** 在境内收集产生的个人信息 **应当在境内存储** ；确需出境的须进行 **安全评估** 。（该规则已被《个人信息保护法》第 40 条吸收）。 2) *《数据安全法》的规制*：旨在规范数据处理，促进开发利用，保护合法权益，并维护国家主权、安全和发展利益。 3) *《数据出境安全评估办法》（2022）的规制*：防范本国个人信息流出的安全风险及国内产业丧失数据利用机会的隐患。 ###### 3. 促进国际经贸关系发展 传统国际社会注重货物、服务等跨境转移而忽视数据。目前相关协调主要体现在多边体制与区域贸易协定中。 > [!warning] 易错/注意/例外/理论争议 > **多边体制视角（WTO《服务贸易总协定》GATS 第 14 条例外规定）** > 1. *规则内容*：允许成员方采取保护个人隐私及账户秘密的 **必要措施** （即“一般例外”），豁免贸易自由化义务。 > 2. *适用限制*：必须满足 **不在情况相同的国家间构成武断或不公正的歧视** ，且 **不构成对服务贸易的变相限制** 。 > 3. *理论争议*：WTO 赋予了成员方自由裁量权，但不保证各国采用统一标准。若“数据本地存储规则”被认定为变相限制贸易，将受到其他成员方挑战。 1) *《美国—墨西哥—加拿大协定》（USMCA）的数字贸易规则*： 1. 核心主张反映美国诉求：数字产品免征关税、非歧视待遇、数据跨境提供自由。 2. *禁止性规定*： **禁止计算设施本地化** ； **禁止** 以本地经营许可为条件 **强制要求提供或转让软件源代码** 。 3. 隐私保护标准：要求参照 APEC 和 OECD 的相关框架处理。 2) *《跨太平洋伙伴关系协定》（TPP / CPTPP）的规则*： 1. *扩展“跨境数据流动”概念*：淡化国境强调“全球性”；在合法公共政策目标下强调“自由性”；要求“信息”与“数据”均实现自由流动。 2. *四大目标*：减少壁垒、保护消费者、促进流动便利化、国际协调。 3. *例外与限制*：允许基于“合理的公共政策目标”采取例外限制，但 **明确不得将境内设置数据存储设施作为市场准入条件** 。未强推最低保护标准，允许各方自主建立法律机制。 ##### （二）个人信息跨境提供的国际背景 ###### 1. 个人信息跨境提供的多边国际行动 1) *鼓励跨境数据流动，推动数字经济*： 1. OECD（1980 年指南）：首个提出跨境流动执行原则，呼吁避免以保护隐私为名限制自由流动。 2. APEC（2005/2015 年框架）：指导亚太地区数据自由流动。 3. WTO 与 G20：通过《信息技术产品协议》（ITA）减免关税；G 20 发起《数字经济发展与合作倡议》。 4) *构建数据隐私保护框架与信任体系*： 5. OECD：倡导构建推动数据流动的保护框架，确保跨境流动的安全可持续性。 6. APEC：启动 **跨境隐私规则（CBPR）体系** ，设立“问责代理”机构，建立消费者数字技术信任。 7) *关注风险管控与互操作性*： 8. OECD（2013 年框架）：提出国家隐私战略、隐私管理程序、安全漏洞通知，强调监管互操作性。 9. APEC：建立 **跨境隐私执法安排（CPEA）** ，监督参与企业的保护情况，提升执法互操作性。 ###### 2. 个人信息跨境提供中的国际行动困境 > [!warning] 易错/注意/例外/理论争议 > 1. *效力不足*：OECD 框架仅为指导性无强制法律效力；APEC 的 CBPR 属自愿加入性质；G 20 无强制执行机制；WTO 的 GATS 条款存在内部矛盾（最惠国待遇与差别对待例外冲突）且执行不力。 > 2. *难以平衡“数据保护”与“自由流动”*：OECD 和 APEC 事实上 **更加偏重于数据自由流动** （仅要求最低保护标准），而 G 20 内部存在严重分歧。 > 3. *大国规制体系博弈*：多边规制缺乏独立性。OECD 受 **欧盟** 影响（人权尊严与严格保护导向）；APEC 受 **美国** 影响（市场主导与自由流动导向）。新兴经济体（印、俄、巴等）为防范被裹挟，纷纷推进“数据本地化”单边立法。 #### 二、我国关于个人信息跨境提供的制度建设 > [!important] 核心重点/考点 > 《个人信息保护法》（2021 年实施）是我国首部普适性综合性个保法律。其第 38 条确立了个人信息合规出境的 **三大法定途径** ： > 1. **安全评估** （由国家网信部门组织） > 2. **标准合同** （与境外接收方订立由国家网信部门制定的标准合同） > 3. **认证** （经专业机构进行个人信息保护认证） #### 三、个人信息跨境提供中的执法与司法国际合作 ##### 1. 我国在执法与司法跨境调取个人信息的基本立场 1) *核心底线*： **国家主权不容侵犯** 。坚持必须通过主权国家之间的 **平等互惠合作** 开展调取。 2) *拒绝《网络犯罪公约》原因*：该公约第 32 条允许“通过互联网直接获取境外电子数据”，我国将其视为侵犯他国主权，故拒绝加入，转而推动联合国层面的新条约。 ##### 2. 我国跨境执法协助的法律规制体系 > [!important] 核心重点/考点 > 1. *《个人信息保护法》第 41 条（主管机关批准原则）*：主管机关依据国际条约或平等互惠原则处理外国请求。 **非经主管机关批准，个人信息处理者不得向外国司法或执法机构提供境内个人信息。** > 2. *《个人信息保护法》第 42 条（黑名单制度）*：境外组织/个人侵害我国公民权益或危害国家安全的，网信部门可将其 **列入限制/禁止提供清单** 。 > 3. *《国际刑事司法协助法》（阻断长臂管辖）*：非经我国主管机关同意，境内机构和个人不得向外国提供证据材料和协助，采取“防守”策略维护国家主权与安全利益。 ##### 3. 应对执法跨境调取的未来战略与出路 1) *转向多边合作模式*：单边防御非最佳出路。应将压力疏导至多边框架，推动如《全球数据安全倡议》等国际合作方案。 2) *分层级推进区域合作*：探索“一带一路”多边或双边方案，升级现有司法协助条约，兼顾协作效率与我国网信企业“出海”的全球运营利益。 3) *完善国内数据安全阻断立法*：后续立法应进一步明确申请、审核、批准的法律程序、时限，厘清其与“数据出境安全评估”的协调关系及法律责任。主管机关在实施中应秉持 **“坚持原则但灵活处理”** 的态度，既维护数据主权，又避免误伤出海企业利益。 ### 第二节 个人信息跨境提供的安全评估制度 > [!important] 核心重点/考点 > 现有立法中， **安全评估** 、 **认证** 与 **标准合同** 已成为我国数据跨境提供的主要方式。 #### 一、数据出境安全评估制度分析 > [!note] 补充说明/制度背景 > 为统筹发展与安全，《网络安全法》《数据安全法》《个人信息保护法》均对数据出境安全评估作出明确要求。2022 年实施的 **《数据出境安全评估办法》** 坚持“控制风险、促进流动”理念，科学界定适用范围，防止安全评估泛化。该办法目的有三：落实上位法要求；保障数字经济健康发展；应对数据跨境传输与境外汇聚的安全风险。 ##### （一）适用范围 > [!warning] 易错/注意/例外/理论争议 > **1. “数据出境”的界定** ：指“向境外提供”。不仅包括将数据转移至境外，还包括 **“远程访问情形”** （即数据在境内，但境外主体可远程访问查看）。 > **2. 排除情形** ：排除境外数据“过境”我国的情况（仅限在境内运营中收集和产生的数据）。 **适用安全评估的触发门槛（分类条件）** ： ###### 1. 重要数据强制评估 出境数据涉及“重要数据”的，一律强制评估（不仅限关键信息基础设施运营者，扩大至所有数据处理者）。 > *注意*：某些行业（如汽车行业）规定“涉及个人信息主体超过 10 万人的个人信息”属于重要数据，亦需按重要数据管理。 ###### 2. 个人信息出境评估（满足以下条件之一） 1. *主体条件*：关键信息基础设施的运营者；或处理 100 万人以上个人信息的数据处理者。 2. *客体条件*：自上年 1 月 1 日起累计向境外提供 10 万人个人信息；或自上年 1 月 1 日起累计向境外提供 1 万人敏感个人信息。 3. *其他条件*：国家网信部门规定的其他情形。 ##### （二）评估原则 > [!important] 核心重点/考点 > 1. **事前评估与持续监督相结合** ：评估通过前不得出境。对于通过评估的活动，在“两年期满、情势变化、违规处理”三种情形下需重新评估。 > 2. **风险自评估与安全评估相结合** 。 > 3. **保障数据依法有序自由流动** 。 ##### （三）风险自评估与安全评估 ###### 1. 评估流程 1. *前置程序*：申报安全评估 **前** ，应当先开展数据出境 **风险自评估** 。 2. *主导机构*：国家网信部门在安全评估中居于主导地位（可指定特定专门机构进行）。 ###### 2. 评估事项及简析 > [!warning] 易错/注意/例外/理论争议 > **风险自评估 vs 安全评估（异同对比）** > 1. *合法性、正当性、必要性*：风险自评估包含“境外接收方处理数据”的目的等，内容更广；安全评估仅指“数据出境”的目的等。 > 2. *国家安全/公共利益/合法权益风险*：两者内容一致，但安全评估中该项属于“总分”关系的总起，而自评估中属于并列关系。 > 3. *境外接收方保护水平*：自评估侧重接收方的承诺、技术管理能力；安全评估则直接考核其是否达到中国法律及强制性国家标准。 > 4. *个人信息权益保障*：自评估侧重“权益维护渠道是否通畅”；安全评估表述更广，即“数据安全和个人信息权益是否有效保障”。 > 5. **安全评估的独有审核事项** ：“境外接收方所在国家/地区的政策法规和网络安全环境影响”以及“遵守中国法律法规情况”。 > 6. *完全一致的事项*：出境数据的规模/范围/种类/敏感程度；出境中后期的篡改/泄露等安全风险；法律文件对安全保护责任的约定。 #### 二、数据出境安全评估具体流程设计与实现 ##### （一）个人信息出境安全评估总体流程 1. *个人信息识别*：识别是否包含个人信息、个人敏感信息。 2. *合规性评估*：评估出境目的、是否同意、数据最小化原则、合法性。不具备合规性则不得出境。 3. *安全风险评估*：评估个人信息属性、收发双方安全保护能力、接收方政治法律环境。若风险为“高或极高”，则不得出境；中低风险则可出境。 ##### （二）重要数据出境安全评估总体流程 1. *重要数据识别*：识别是否包含重要数据。 2. *合规性评估*：评估出境目的、数据最小化、合法性（无需“征得主体同意”这一项）。不具备则不得出境。 3. *安全风险评估*：评估重要数据属性、收发双方安全保护能力、接收方政治法律环境。若风险为“高或极高”，则不得出境。 --- ### 第三节 个人信息跨境提供的标准合同制度 > [!abstract] 核心定义/概念 > **标准合同制度** ：《个人信息保护法》第 38 条规定，确需出境的，应按国家网信部门制定的标准合同与境外接收方订立合同约定权利义务。2023 年《个人信息出境标准合同办法》施行。 #### 一、标准合同制度的适用范围 > [!warning] 易错/注意/例外/理论争议 > **适用界限** ： > 1. 主体上，既拘束境内出口方，也拘束境外接收方。 > 2. 我国法律上仅明文适用于 **跨境传输** （境内传输法无明文，但在理论和域外实践中均可使用）。 > 3. **非普适性工具** ：仅限于非重要、小规模传输。必须与“安全评估”整体联动—— **不满足数据出境安全评估触发门槛（四大条件）的，方可使用标准合同** 。 ##### 1. 典型适用场景 1. *同类重复传输*：多见于跨国运营大型组织的人力、金融、客户信息处理。标准合同可降本增效，便于监管。 2. *关联性传输*：多见于跨国公司内部及关联实体。双方联系紧密，重点构造责任承担条款。 ##### 2. 结构特色（传输模块） 1. *域外经验*：欧盟区分为控制者/处理者的不同组合模块。 2. *我国现状与对策*：我国《个保法》中的“个人信息处理者”概念实质吸收了域外的“控制者”与“处理者”概念，导致我国无法直接套用域外细分模块。实践中应对进出口方实际角色（实际控制方/处理方）予以区分，例如单独制定委托处理的标准合同条款。 #### 二、进出口方的个人信息保护义务 > [!important] 核心重点/考点 > 进出口方因角色不同，义务有所交叉或侧重。核心义务包括：安全义务；通知、补救、减损义务；告知义务；目的限制义务；合规审计义务。 **（一）个人信息安全义务（主给付义务）** 1. *共同义务*：双方应采取适当技术和运营措施，确保处理安全，避免泄露、篡改等。 2. *出口方侧重*：确保传输过程中的安全性。 3. *进口方侧重*：对收到信息承担额外安全义务（定期检查、授权人员保密）；作为处理者时需制定内部管理制度，限制访问权限。 **（二）个人信息安全事件的通知义务（进口方典型义务 / 真正义务）** 1. *扩张解释通知事由*：不仅限于泄露、篡改、丢失，应涵盖所有可能危及安全的风险源。 2. *构造方案*：知悉风险或现实危险时， **进口方与出口方** 应立即通知相关部门及个人信息主体。内容包括事件性质、危害、已采取及可采取的措施。由于进口方更了解现实风险，应重点构造其通知义务。 **（三）个人信息安全事件的补救、减损义务（进口方典型义务 / 真正义务）** 进口方更能有效实施补救。具体构造： 1. 发生或可能发生安全事件时，进口方应立即采取补救措施减轻危害。 2. 进口方因无法遵守合同可能造成风险时，应通知出口方；出口方知悉后应采取适当措施补救并通知部门。 3. 补救措施包含补充性技术或组织保护措施。 **（四）告知义务（透明度要求 / 出口方典型义务）** 1. *双重义务*：主动告知义务（处理事项、传输主体经营变动）与经问询告知义务（回应主体查阅、复制请求）。 2. *方式*：明示提供副本、部分保密副本或可理解摘要。特定情形下进口方亦负告知义务。 **（五）目的限制义务（进口方典型义务）** 由于信息传输后主要由进口方实施处理，进口方承担限制义务更合理。 1. *一般规则*：进口方应限于约定目的处理；委托传输中需按委托人指示处理。 2. *豁免规则*： - **相对豁免** ：超出特定目的处理，若事先或嗣后补足主体“同意”要件，则不违规。 - **绝对豁免** ：属于“履行法定义务/法定职责所必需”等法定无须同意的情形，不违规。 **（六）合规审计义务（出口方典型义务）** 1. *性质界定*：名为义务，实为 **出口方对进口方的审计权限** 。 2. *内容扩张*：《个保法》第 54 条仅规定自身遵守法律法规的审计（自律性对己义务）。但在跨境传输背景下，应当作目的性扩张解释，除法律合规审计外， **必须包括对进口方是否遵守标准合同条款的“合同合规审计”** 。 ### 第四节 个人信息跨境提供的认证制度 > [!abstract] 核心定义/概念 > **个人信息跨境认证制度** ：依据《个人信息保护法》第 38 条及《个人信息保护认证实施规则》，通过国家网信部门认可的专业机构进行认证，是个人信息跨境流动的三大合规路径之一。 > **【补充】三大出境合规路径的法律性质对比** ： > 1. **数据出境安全评估** ：属于*具体行政行为*。 > 2. **标准合同** ：属于*私主体商事行为*。 > 3. **专业机构认证** ：属于*第三方规制行为*（体现数字社会数据治理的公私合作特征）。 #### 一、认证的功能 ##### 1. 审查和确认能力 1) *核心审查内容*：审查和确认个人信息处理者是否具备根据个人信息出境风险 **采取合理必要措施的能力** ，以及是否有能力确保境外接收方的保护水平满足我国法律标准。 > [!warning] 易错/注意/例外/理论争议 > **审查对象辨析** ：认证机构审查的 **不是** “个人信息出境的风险”本身， **而是** “个人信息处理者应对风险、采取必要措施的能力”。 ##### 2. 持续性监督与分担监管 1) *动态调整监督*：认证机构需对获证企业进行持续性监督，确保其能根据出境风险变化动态调整措施。 2) *监管分担*：认证是分担国家监管部门个人信息出境监管重任的有效途径。 ##### 3. 提供市场化解决方案 1) *灵活平衡*：作为第三方市场化方案，能够灵活且同时满足跨国企业的商业性跨境提供需求与国家的安全监管要求。 #### 二、认证的范围 > [!warning] 易错/注意/例外/理论争议 > **认证内容的严格限定** ：认证内容 **仅限于个人信息** 。 > 绝对 **不包括** ：《数据安全法》规定的核心数据；《数据出境安全评估办法》规定的重要数据；《关键信息基础设施安全保护条例》规定的关键信息基础设施相关数据；以及经过匿名化处理后的信息。 ##### 1. 认证主体范围 1) *普遍适用*：凡是个人信息处理者皆可申请该项认证。 ##### 2. 认证对象范围 1) *广泛覆盖*：涉及个人信息处理活动过程中的 **产品** 、 **服务** 和 **管理体系** 。 ##### 3. 认证内容与处理活动 1) *全生命周期覆盖*：包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除，以及数据跨境传输等所有处理活动。 #### 三、认证的依据 ##### 1. 基础法律依据 1) *《认证认可条例》*：界定“认证”是由认证机构证明产品、服务、管理体系符合相关技术规范或标准的合格评定活动。 ##### 2. 核心技术规范依据 1) *《信息安全技术 个人信息安全规范》*：国家标准， **所有** 申请认证的个人信息处理者均需要符合该规范要求。 2) *《个人信息跨境处理活动安全认证规范》*：技术规范， **开展数据跨境传输** 的个人信息处理者，还应当额外符合此项规范要求。 #### 四、认证的程序 > [!important] 核心重点/考点 > 个人信息保护认证采取 **“事前资料审查、事中能力审核、事后持续监管”** 的全过程规制模式。 > 核心认证模式为： **“技术验证 ＋ 现场审核 ＋ 获证后监督”** 。 ##### 1. 受理阶段 1) *初步审查*：认证机构对提交的认证委托进行审查，决定是否受理并反馈；受理后确定并告知认证方案。 ##### 2. 具体实施阶段 1) *技术验证*：技术验证机构实施验证，并出具《技术验证报告》。 2) *现场审核*：认证机构在收到技术验证报告后实施现场审核，并出具《现场审核报告》。 ##### 3. 评定与监督阶段 1) *综合评价*：认证机构综合各方报告与资料，决定是否通过并颁发证书。 2) *获证后监督*：在有效期内，认证机构须以合理频次对获证者进行持续监督。 #### 五、认证证书的效力与管理 ##### 1. 证书的性质 1) *资质证明*：认证证书 **既不是行业许可证，也不是营业执照** ，而是一种资质认证，体现对申请人个人信息保护能力的肯定性评价。 ##### 2. 证书的期限与管理 1) *有效期*：认证证书有效期为 **3 年** 。 2) *延期申请*：需延续使用的，应在有效期届满前 **6 个月** 内提出申请。 3) *状态变更*：有效期内可提出变更资料委托，也可申请暂停或注销。 4) *动态撤销*：若获证者不再符合认证要求，认证机构应当及时予以暂停直至撤销。 #### 六、认证各方的法律责任 ##### 1. 各负其责原则 1) *责任分配*：认证机构、技术验证机构、认证委托人分别对各自的认证结论、技术验证结论、认证委托资料的真实性和合法性负责。 > [!warning] 易错/注意/例外/理论争议 > **认证机构的连带责任** ： > 依据《认证认可条例》，若认证机构未实施有效跟踪调查，或发现不符合要求时不及时暂停/撤销证书并要求停止使用标志， **给消费者（个人信息主体）造成损失的，认证机构须与生产者、销售者承担连带责任** 。这要求认证机构必须切实履行持续的监督和审查义务。 ## 第四章 个人在个人信息处理中的权利 ### 第一节 个人在个人信息处理中的权利概述 #### 一、“个人信息权益”与“个人信息权利”辨析 > [!warning] 理论争议与立法取向 > **学术争议** ：关于个人信息受法律保护的属性， **独立权利派** 认为其客体、内容、保护方式不同于传统隐私权，应作为独立人格权； **反对派** 认为个人信息具可复制性，赋予绝对控制权不利于信息利用，不应作为独立人格权。 > **立法选择** ：《民法典》与《个人信息保护法》均将其界定为 **“个人信息权益”** （人格权益而非权利），但《个人信息保护法》第四章并用了 **“个人在个人信息处理活动中的权利”** （作为权能）。 ##### 1. 两者并用的原因 1. *使用“权益”的考量*：个人信息承载广泛权利与利益（人身、财产安全等），非单一权利，而是各种利益的类型化集合。 2. *使用“权利”的考量*：国际社会与我国立法均赋予个人知情、决定等具体手段，以此作为保障权益的方式。 ##### 2. 两者的逻辑关系 1. * **个人信息权益是“本权权益”** *：主要包括人格尊严、人身财产安全及通信自由秘密等利益， **不包括财产利益** ，兼具公法与私法双重性质。 2. * **个人信息权利是保护“本权权益”的法律手段** *：本身不产生实际人身或财产利益，仅为救济与保护手段（如同意、拒绝、知情、查阅、复制等权能）。 #### 二、个人信息权益和权利的平衡保护 > [!important] 核心重点：两头强化，三方平衡理论 > 个人信息保护追求的并非单一主体利益最大化，而是 **个人、一般个人信息处理者、国家** 三方利益的相互平衡，实现“多赢”与“共和”。 ##### 1. 强化敏感个人信息保护（保护个人核心利益） 1. *核心利益归属*：人格尊严及人身财产安全，法律保护应围绕此展开。 ##### 2. 强化一般个人信息利用（让渡非核心利益） 1. *非核心利益让渡*：个人应将“经济利益”等非核心利益让渡给信息业者与国家，此不属于个人信息权益范畴。 2. *财产利益配置*：单个个人信息经济价值稀薄，配置给个人社会成本高；配置给处理者（形成数据池）有利于数字产业发展，但该财产利益 **仍受个人信息权益制约** 。 #### 三、死者个人信息的保护 ##### 1. 死者个人信息保护的沿革 1. *间接消极保护（传统路径）*：《民法典》第 994 条等规定，死者人格要素受侵害时，近亲属基于 **自身** 受损的精神利益享有诉权。该条中的“等”字足以将“死者个人信息”纳入。 2. *直接积极保护（现行路径）*：《个人信息保护法》第 49 条迈向积极保护，鼓励死者生前作出安排，并承认近亲属的法定权利。 ##### 2. 死者个人信息的生前安排（第一顺位保护） 1. *尊重生前意愿*：若死者生前安排与近亲属权利冲突， **优先保护死者生前决定** 。 2. *安排形式*：不仅包括《民法典》规定的各类遗嘱，还包括合同、指示等（如与处理者达成用户协议、特别通知、指定数字遗产联系人）。 ##### 3. 死者个人信息的近亲属权利（第二顺位保护） 1. *行使前提*：死者生前未作出安排或安排无效。 2. *主体范围*：配偶、父母、子女、兄弟姐妹、祖父母、外祖父母、孙子女、外孙子女。 **各近亲属行使权利并行不悖，无先后顺位限制** 。 3. *目的限制*：必须且仅能是为了 **维护近亲属自身的合法、正当利益** （真实存在且不违背公序良俗），防止权利滥用。近亲属需负证明责任。 4. *对象限制*：仅限于与维护近亲属合法正当利益 **具有直接、密切关系** 的个人信息，而非死者全部信息。 5. *内容限制*：限于查阅、复制、更正、删除等权利， **不包括同意或撤回同意的权利** （删除权的行使须基于处理合法性基础消失且处理者未主动删除）。 --- ### 第二节 个人的知情权和决定权 #### 一、个人知情权、决定权系概括性权利 > [!abstract] 权利定性 > 知情权、决定权是统领具体请求权（查阅、复制、转移、更正、删除等）和告知同意规则的 **概括性权利** 。 ##### 1. 价值指引功能 与宪法“保障人权、人格尊严、通信自由”相勾连，彰显保护目的。 ##### 2. 权利创设功能 基于个人信息权益的开放性，当既有法定列举权利无法回应技术变迁时，可经由此兜底条款创制新的具体权利（补充性、兜底性适用）。 #### 二、知情权、决定权的对象：个人信息处理活动 > [!warning] 易错考点：权利对象的界定 > 知情权与决定权的 **对象是“个人信息处理活动”** （收集、存储、使用等）， **而非“个人信息”本身** 。《个人信息保护法》并未赋予个人对信息的绝对排他控制权。 #### 三、个人知情权的行使 ##### 1. 基础与功能 知情是作决定的先决条件，基于身份享有，旨在保障个人自治，防范“信息茧房”。 ##### 2. 双重表现形式 1. *个人的请求权*：主动要求处理者提供信息的权利（体现为查阅权、复制权、规则解释说明权、拒绝权及救济权）。 2. *处理者的法定义务*：即使个人不主张，处理者也必须主动告知（如第 17 条的一般告知、第 23 条的提供给第三方告知、第 30 条的处理敏感信息告知）。 #### 四、个人决定权的行使 > [!warning] 理论辨析：个人决定权 ≠ 德国“个人信息自决权” > 1. *性质不同*：德国为针对国家的宪法性权利；我国为针对私主体与国家机关的部门法权利。 > 2. *对象不同*：德国指向个人信息；我国指向 **个人信息处理活动** 。 > 3. *内容不同*：德国强调主动支配控制；我国强调对处理活动的 **选择、干预、限制、拒绝** （事先防御机制）。 ##### 1. 决定权的具体体现 1. *同意权*：充分知情下自愿明确作出；处理目的/方式/种类变更需重新同意。 2. *特殊同意权*：特定情形需 **单独同意** （提供给第三方、公开、公共图像用于非安防目的、处理敏感信息）或 **书面同意** 。 3. *撤回同意权*：可随时撤回，处理者须提供便捷方式。 4. *其他决定权*：删除权、对自动化决策的选择/干预权、对公开信息处理的拒绝权。 #### 五、个人知情权和决定权的相对性 ##### 1. 并非绝对权利 须与“个人信息合理利用”并列，与其他基本权利及社会公共利益相权衡。 ##### 2. 限制情形 1. *知情权的限制*：法定保密、法定不告知、紧急情况（需事后及时告知）。 2. *决定权的限制*：法定许可事由（无需同意的情形）、关键信息基础设施数据出境限制、公共场所安防监控等。 3. *【补充】限制层级*：对知情权和决定权的克减 **只能通过法律、行政法规进行** 。 --- ### 第三节 个人信息权益中的请求权 #### 一、请求权概述 ##### 1. 性质界定 属于针对特定义务人（处理者）的 **请求权** ，而非绝对权。 ##### 2. 功能定位 是由知情权、决定权衍生出的 **程序性权利** ，用以推动实体性权益（本权）的实现，有别于传统民法上的绝对权请求权或人格权请求权。 #### 二、具体请求权细论 ##### （一）个人信息查阅权、复制权 > [!abstract] 核心定义 > 个人有权向处理者请求查阅其处理的个人信息，并取得相应副本。是“公开、透明原则”和“知情权”的实现方式，也是转移、更正、删除等权利的基础。 ###### 1. 权利行使的两大界限 1. *对象是信息而非数据*：我国采取“数据和信息合一并区分”的立场（DIKW 递进体系：数据-信息-知识-智慧）。查阅/复制必须提供 **可被人理解的内容（信息）** ，而非仅机器可读的代码（数据）。 2. *范围限于“处理的个人信息”本身*： **不包括关于处理活动的各种元数据/背景信息** （此点严于欧盟 GDPR 和美国 CCPA 的宽泛访问权）。但执法/司法机关个案中可依透明原则要求提供其他处理信息。 ###### 2. 权利行使规则 1. *身份验证*：必须通过适当方式证明本人真实身份。 2. *法定限制*：法定保密、无需告知或妨碍国家机关法定职责时无法行使。 3. *诚实信用*：不得恶意行使（如以此作为利益交换、妨碍业务、针对特定员工、频繁无理申请）。 4. *费用承担*：一般应免费及时提供，但对超出合理范围/频次的请求，可 **酌情收取必要成本费用** 。 ##### （二）个人信息转移权 > [!warning] 制度背景与比较法辨析 > 我国“转移权”不同于欧盟 GDPR 的“个人数据携带权”： > 1. *立法目的不同*：欧盟旨在促进数据自由流动与市场竞争；我国旨在 **保护个人信息权益（如医疗病历转移），不含市场竞争目的** （竞争问题交由反垄断法处理）。 > 2. *规范结构不同*：欧盟包含“获取机器可读数据权”与“传输权”；我国承接查阅复制权，未赋予获取结构化数据的权利。 ###### 1. 权利行使条件（授权国家网信部门规定） 1. 请求转移的是电子化、人类可读的副本，非结构化机器可读数据。 2. 限于 **个人主动提供** 且被自动化收集的信息。 3. **不得侵害第三人权益** （隐私、商业秘密等）。 4. 须秉承诚实信用原则；处理者不存在技术兼容难题时，应及时提供转移途径。 ##### （三）个人信息更正权、补充权 ###### 1. 核心目的 落实“个人信息质量原则”，保证信息的准确性和完整性。 1. *准确*：与客观事实相符，无错误偏差。 2. *完整*：针对 **特定处理目的** 而言全面无遗漏（非指收集全部绝对信息），并需保持时效更新。 ###### 2. 行使规则 1. 证明真实身份并 **提出相应的异议证据材料** 。 2. 处理者内部及时标注异议并核查。 3. 核查确认则更正/补充；不能确认则记载异议。 4. *后续告知义务*：更正的信息有必要告知接收者（防虚假传播）；补充的信息必要时可告知受托人，无需强制告知其他处理者。 ##### （四）个人信息删除权 > [!abstract] 核心定义 > 个人请求销毁、去除信息，使其不可检索、访问或关联的权利。包含处理者的“法定删除义务”与个人的“删除请求权”双重结构。 ###### 1. 权利沿革 有别于《侵权责任法》网络侵权中的“通知—删除”规则（适用条件与后果截然不同），现行删除权基于合法性基础消灭而产生。 ###### 2. 处理者主动删除义务的触发条件（合法性基础消失） 1. *基于同意*：撤回同意、同意无效/不存在。 2. *基于必要性（合同/法定职责/紧急情况/公共利益）*：处理目的已实现、无法实现或不再必要（如服务终止、期限届满）。 3. *基于正当性/合法性*：个人明确拒绝公开信息处理、处理者违法违约处理。 ###### 3. 删除方式与例外（限制处理） 1. *删除方式*：物理销毁，或采取 **匿名化措施** 使其不能识别且不能复原。 2. *【例外】法定不可删除*：法律行政法规规定的保存期未满（如反洗钱法 5 年、电商法 3 年、证券法 20 年）。 3. *【例外】客观不可删除*：技术上难以实现（如区块链技术）。 4. *例外时的处理*：必须采取 **“限制处理”** 措施（仅存档保护，停止其他处理）并告知个人。 ###### 4. 个人删除权的行使要点 1. 须就合法性基础消失提供证据（撤回同意除外）。 2. 可向直接或间接收集者提出。 3. > [!warning] 理论辨析：拒绝“被遗忘权” > 我国 **未采纳** 欧盟 GDPR 的“被遗忘权”（要求处理者通知所有第三方删除链接/副本）。被遗忘权存在难以执行、威胁言论自由、损害公共知情权等弊端。针对公开信息，我国个人可通过行使 **拒绝权** 要求删除。 ##### （五）个人信息处理规则说明权 > [!note] 概念辨析：隐私政策 > 实践中的“隐私政策”系英文直译，具有误导性。在我国区分隐私与个人信息的语境下，应准确定性为 **“个人信息处理规则”** （含处理者信息、目的方式种类、权利行使程序等）。 ###### 1. 权利含义 要求处理者对复杂、冗长、专业的公开规则（隐私政策）进行解释说明的权利。兼具企业合规抓手与私法上保障知情权的双重功能。 ###### 2. 行使效果 处理者须以常人能懂的语言予以解释；有助于防范“黑箱操作”，并辅助实现对“自动化决策”的解释权。 #### 三、个人享有的请求权行使路径 > [!important] 核心重点：双层救济机制 > 个人请求权的行使遵循 **“先私力救济，后司法救济”** 的双层逻辑。个人应先向个人信息处理者提出请求；只有在被拒绝的情形下，个人与处理者之间无法实现权利，个人才可依法向人民法院提起诉讼。 ##### 1. 个人信息处理者的程序义务（私力救济阶段） > [!note] 制度背景 > 既有法律（如《网络安全法》）主要规定针对网络安全的 **事后** 投诉、举报机制。《个人信息保护法》则进一步要求通过技术和组织措施，建构便捷的 **个人权利行使机制** ，以程序支持实体权利的实现。 1. *受理机制*：处理者应提供 **至少两条途径** （如网站链接、电子邮件、指定电话等）受理申请。个人申请时应提供姓名、联系方式、诉求种类、范围及理由。若申请未满足条件，处理者应当通知补全，并将申请记录成册或妥善保存。 2. *处理机制*：处理者受理后应进行实质审查，确认是否存在不能行使权利的法定情形。特别是在面对更正、删除请求时，因关涉公众知情权、社会管理和商业利用，处理者需审查是否确有更正/补充/删除的事由， **以避免恶意的权利行使请求** 。 3. *回复机制*：审查后应回复处理结果。若准许行使，应将信息送达申请者/第三方或及时删除； **若拒绝行使，个人信息处理者必须明确告知不能行使权利的理由** 。 ##### 2. 个人的诉权（司法救济阶段） > [!abstract] 救济路径定性 > 鉴于单一救济方式的局限性，《个人信息保护法》对个人信息保护采取了 **行政监管（公法）** 和 **私人诉讼（私法）** 并行的混合保护路径。 1. *个人信息保护请求权的法律基础与特征*： 1. * **请求权基础** *：依托《民法典》第 995 条（人格权保护请求权），为个人信息权益提供 **预防性保护** 。 2. * **无过错要求** *：以恢复个人信息权利的圆满状态为目的， **无须考虑处理者的主观过错** 。 3. * **无实际损害要求** *：旨在防患于未然，在没有产生物质/非物质损害的情况下亦可主张， **不需要证明实际损害** 。 4. * **不适用诉讼时效** *：其性质不属于债之关系，旨在要求停止侵害、排除妨碍、消除危险， **不适用诉讼时效的规定** 。 2. *诉权行使的前置程序（限制要件）*： 1. * **前置必经程序** *：诉权行使以 **“个人信息处理者拒绝个人行使权利的请求”** 为绝对前提。 2. * **制度考量** *：因查阅、复制、更正、删除等权利行使频度高、范围广，此规则旨在避免诉累、节约司法资源，并防止恶意诉讼人滥用权利。 ## 第五章 个人信息处理者的义务 ### 第一节 个人信息处理者的义务概述 > [!note] 制度背景与立法目的 > **现实背景** ：数据是数字经济的关键生产要素。对个人信息的不当侵犯不仅威胁个人人身、财产及人格尊严（如人脸识别技术滥用），还会对社会与国家造成重大安全隐患。 > **双重立法目的** ：我国《个人信息保护法》（以下简称《个保法》）第 1 条确立了 **“保护个人信息权益，规范个人信息处理活动”** 与 **“促进个人信息合理利用”** 的双重目的，旨在实现保护与数字经济发展的平衡。 为了科学合理设定各方职责，《个保法》第 51 条至第 59 条专门构建了个人信息处理者的义务体系，具体包含以下七大核心义务： #### 1. 安全保障义务（第 51 条） 1. *核心要求*：根据处理目的、方式、种类及风险，采取相应措施防止未经授权的访问及信息泄露、篡改、丢失。 #### 2. 组织与人员设立义务（第 52-53 条） 1. *境内处理者*：达到规定数量标准的，必须指定个人信息保护负责人。 2. *境外处理者*：必须在境内设立专门机构或者指定代表。 #### 3. 个人信息保护合规审计义务（第 54 条） 1. *核心要求*：定期对处理活动遵守法律法规的情况进行合规审计，以事前识别风险、弥补监管不足。 #### 4. 个人信息保护影响评估义务（第 55-56 条） 1. *核心要求*：在处理敏感信息、自动化决策、委托/提供/公开/跨境提供个人信息等高风险场景下，必须进行事前合规与风险评估程序。 #### 5. 补救措施与通知义务（第 57 条） 1. *核心要求*：发生或可能发生安全事件时，立即采取补救措施，并通知监管部门和个人。 #### 6. 大型平台“守门人”特别义务（第 58 条） 1. *核心要求*：针对提供重要平台服务、用户量巨大、业务复杂的处理者，设定与其平台能力相适应的特别保护义务。 #### 7. 受托人义务（第 59 条） 1. *核心要求*：接受委托处理个人信息的受托人，应采取必要安全措施并协助处理者履行义务。 --- ### 第二节 个人信息处理者的一般义务 #### 一、个人信息处理者安全保障义务 > [!abstract] 核心定义与要求 > 个人信息处理者是个人信息保护的第一责任人。《个保法》第 51 条要求其主要从 **组织措施** 和 **技术措施** 两大方面，采取必要措施确保处理活动合法合规，并防止信息泄露、篡改、丢失。 ##### 1. 制定内部管理制度和操作规程 1. *内部管理制度*：明确组织架构、人员配备、行为规范与管理责任。 2. *操作规程*：规范业务活动中相关人员必须遵守的程序和步骤。 ##### 2. 对个人信息实行分类管理 > [!warning] 注意/立法演变 > 《个保法》正式文本仅规定了“分类管理”，删除了草案中的“分级”表述。但《数据安全法》明确规定了国家建立“数据分类分级保护制度”。科学的管理应兼顾保护有效性与流通高效性。 1. *司法实践（如“微信读书案”）*：法院将信息分为私密信息（强化防御）、一般信息（同意后处理）、兼具防御与利用期待的信息（依场景处理）。 2. *法定分类体系*：《民法典》区分为私密与一般信息；《数据安全法》区分为重要与一般数据；《个保法》进一步提炼出 **敏感个人信息** （生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹及不满 14 周岁未成年人信息）。 ##### 3. 采取相应的加密、去标识化等安全技术措施 1. *核心原则*：积极预防风险，在合理成本内采取最大限度的技术保障。 2. *判定标准（均衡性原则/狭义比例原则）*：判断技术措施是否“相应”，必须进行利益权衡。若某项技术有效性强但成本过高，收益不成比例，则不强制要求；若成本与有效性成比例，则具有强制采取的义务。 ##### 4. 合理确定操作权限并定期进行安全教育和培训 1. *权限控制*：贯彻 **最小授权原则** ，严格设定访问权限，控制知悉范围，以便各负其责并为事后追责提供依据。 2. *人员培训*：制定培训计划、形成培训记录，提升从业人员安全意识与技能。 ##### 5. 制定并组织实施个人信息安全事件应急预案 1. *制度功能*：在遭遇黑客攻击或软硬件故障引发安全事件时，能有效处置并最大程度降低损失。 2. *预案要素*：必须包含各方分工责任、风险场景、事件分级判断、处置操作流程、沟通报告内容及等级、补救措施与业务恢复步骤等。 ##### 6. 实施法律、行政法规规定的其他措施 1. *兜底协同*：作为基本法的《个保法》需与其他法律衔接。如需履行《数据安全法》的全流程管理与网络安全等级保护义务，以及《关键信息基础设施安全保护条例》中的应对网络攻击等特殊义务。 #### 二、指定个人信息保护负责人（PIPO）义务 ##### （一）个人信息保护负责人的产生背景与价值 > [!note] 制度背景 > 传统行政监管面临知识供给不足、获取信息滞后、执法力量有限等困境。该制度源于欧盟（如 GDPR 的数据保护官 DPO），旨在通过强化企业 **自我监管** ，减轻政府负担，契合“放管服”改革理念，实现社会协同治理。 ##### （二）应指定个人信息保护负责人的情形 > [!warning] 判定标准的变迁 > **我国《个保法》放弃了“企业规模标准”（如企业人数），采用了单一的“处理数量标准”。** 1. *历史沿革*：2017/2020 年《个人信息安全规范》曾采用“从业人员超 200 人”或“处理超一定数量信息（50 万/100 万人或 10 万敏感信息）”的双重标准。 2. *现行规则*： **处理个人信息达到国家网信部门规定数量** 的个人信息处理者必须设立。其底层逻辑在于：处理数量越庞大，一旦侵权对个人、公共利益甚至国家安全的危害就越深。 ##### （三）个人信息保护负责人的监督职责与保障机制 ###### 1. 全过程独立监督职责 1. *事前监督*：审查是否制定/更新保护政策及规程、是否采取安全措施、是否开展人员培训。 2. *事中监督*：审查处理全过程是否合法合规（如是否过度收集、是否开展有效的个人信息保护影响评估、是否定期合规审计）。 3. *事后监督*：监督发生损害时是否积极补救；公正调查处理用户的相关维权投诉。 ###### 2. 履职义务与责任承担 1. *报告义务*：发现违法问题必须及时向政府监管部门报告， **严禁协助处理者掩盖违法事实或销毁证据** 。 2. *责任界限*：PIPO 并非直接责任人，仅对其监督不力或故意违法行为承担相应责任。 ###### 3. 履职保障机制 1. *资源与独立性*：处理者必须为 PIPO 提供必要的履职资源，保障其知情权。 2. *组织架构*：需确保其能便利地向最高管理层直接报告， **禁止其兼任与监督职责相冲突的职位** 。 > [!important] 【补充】境外处理者的特殊延伸义务 > 基于《个保法》的域外适用效力（针对境外处理境内自然人信息，且以提供产品/服务或分析评估行为为目的的情形）， **境外的个人信息处理者必须在境内设立专门机构或者指定代表** ，并向履职部门报送名称/姓名及联系方式，以实现跨境治理落地。 #### 三、个人信息保护合规审计义务 > [!abstract] 核心定义 > **个人信息保护合规审计** ：不同于传统的经济监督行为（财务审计），它是对与个人信息保护有关的 **作为和不作为行为（个人信息处理活动）** 的系统性审查与评价。 ##### 1. 合规审计的依据标准 1. *底线标准（强制最低要求）*：必须定期审计是否遵守 **国家法律、行政法规** 。 2. *全面标准（主动合规要求）*：“合规”绝不限于“合法”。为了查漏补缺和提升竞争力，处理者应当主动将部门规章、规范性文件、国家标准、 **商业惯例、行业规则、公司内部规章制度乃至国际条约** 等纳入全面审计依据。 ##### 2. 合规审计的核心内容 1. *审计对象*：一切与个人信息处理活动相关的行为。 2. *具体包含（四大维度）*：处理者义务合规审计、个人权利实现方式合规审计、个人信息处理活动本身合规审计、个人信息跨境提供合规审计。 #### 四、个人信息保护影响评估义务（PIA / DPIA） > [!abstract] 核心定义与属性 > 是指对拟实施的个人信息处理活动所造成的实际和潜在的影响进行的评价和估计。 > 属性：属于受强制的自我规制，是一种 **体现“基于风险路径”的新型事前合规评估和风险评估程序** 。 ##### 1. 个人信息保护影响评估的制度功能 1. *检验个人信息处理是否合规*：首要功能。通过事前审查（如是否过度收集、处理敏感信息是否必要），未雨绸缪地发现违规问题， **合规是风险控制的前提** 。 2. *识别并降低个人信息安全风险*：评估是有效的风险控制工具。通过前移保护关口，有针对性地设计业务流程和防范措施，实现 **风险可控** ，从而最大化发挥数据流动价值。 3. *减轻或免除个人信息处理责任*：作为证明处理者合规努力的 **关键证据** 。在面临民事侵权或行政处罚（过错推定原则）时，若能证明已进行有效评估并采取措施，可用于证明无过错或小过错，进而减轻或免责。 ##### 2. 必须进行影响评估的法定情形（高风险活动） > [!warning] 对比欧盟 GDPR 的适用范围 > 欧盟 GDPR 仅针对满足特定标准（如自动化评分、大规模系统监控等）的“高风险”活动，且设定了肯定/否定清单。我国则明确列举了以下五类必须事前评估的情形。 1. 处理 **敏感个人信息** 。 2. 利用个人信息进行 **自动化决策** 。 3. **委托处理** 、 **向其他处理者提供** 、 **公开** 个人信息。 4. **向境外提供** 个人信息。 5. 其他对个人权益有 **重大影响** 的个人信息处理活动。 ##### 3. 评估主体的延伸（应适用于国家机关） > [!note] 补充说明/理论争议：国家机关是否适用？ > 《个保法》未明文排除国家机关。从法理与实务看， **国家机关同样应当适用** ： > 1. 国家机关拥有强大公权力，一旦滥用或保护不力（如泄露事件）会对个人权利造成重大系统性损害； > 2. 从比较法看，欧盟、美、英等国的隐私/算法影响评估均适用于公共机构；我国《上海市公共数据开放暂行办法》等也已要求公共机构事前评估。 > 3. *【例外限制】*：为保障公权力运行，可适当作排除性规定（如基于维护国家安全、刑事追诉、行政执法调查等目的可不评估）。 ##### 4. 个人信息保护影响评估的具体内容 1. *评估合法、正当、必要性（合规评估维度）*：对处理目的和手段的形式与实质合法性进行评价，这是能矫正双方不平等态势的核心，属于 **比例原则** 的体现，统领其他各项评估。 2. *评估对个人权益的影响及安全风险（风险评估维度）*： 1. *权益影响*：评估限制决定权、差别待遇、名誉/精神受损、财产受损等。 2. *安全风险*：评估网络攻击或内部管理疏漏引发的泄露、篡改、丢失威胁。 3. *评估保护措施是否合法、有效并与风险程度相适应（应对措施维度）*：从事高风险处理必须承担更高的注意义务，必须在合理成本内采取真正实效的技术（去标识化/匿名化）和组织保障措施。若无法控制安全水平，则必须销毁数据。 4. *法定案卷保存期*：评估报告和处理情况记录 **应当至少保存 3 年** 。 #### 五、采取补救措施、履行通知义务 ##### 1. 补救与双重通知义务的触发条件 1. *触发情形*：发生或者 **可能发生** 个人信息泄露、篡改、丢失的。 2. *法定行动要求*：处理者应当 **立即采取补救措施** ，并履行 **双重通知义务** （通知履行个人信息保护职责的部门 + 通知个人）。 3. *【补充】PIPO 的职责*：个人信息保护负责人若发现此类违法/泄露问题，有义务及时向监管部门报告， **绝对禁止协助掩盖或销毁证据** 。 ##### 2. 通知个人的豁免与强制规则 1. *附条件豁免*：若处理者采取的补救措施 **能够有效避免危害的** ，可以不通知个人。 2. *监管部门强制*：即使处理者认为已避免危害，但监管部门认为仍可能造成危害的， **有权强制要求处理者通知个人** 。 ##### 3. 法定通知内容（必须包含的三大事项） 1. 发生或可能发生泄露、篡改、丢失的信息 **种类、原因和可能造成的危害** 。 2. 处理者已采取的 **补救措施** ，以及个人可以采取的 **减轻危害的建议措施** 。 3. 个人信息处理者的 **联系方式** 。 ### 第三节 大型平台的特别义务 > [!note] 制度背景 > 互联网平台为平台内经营者提供基础技术服务和基本处理规则，是个人信息保护的关键环节。其中，控制技术与运营环境、能影响其他处理者能力的大型平台（即“守门人”），因带有 **社会公共服务属性** ，须承担超越一般企业的特别责任。 #### 一、大型平台的角色变迁与“守门人”概念 ##### 1. 平台角色的三个变迁阶段 1. * **早期“连接者”** *：进行信息的传递与分发，形式单一，用户被动接收，未受专门规制。 2. * **中期“组织者”** *：围绕主体业务拓展形成生态体系，实现多样互动并形成初步平台规则，但也带来个人隐私受侵犯等无序化问题。 3. * **现代“治理者”** *：具备技术、数据和规则上的实质性优势。平台既是内部的“立法者”又是“执法者”，掌握类似公权力的 **“私权力”** 。为防范其追求利润忽视公共利益（滥用或不作为），各国开始探索要求其承担更强能动性的 **治理责任** 。 ##### 2. “守门人”（Gatekeeper）概念的演变 1. *传统概念*：最早由心理学家库尔特·勒温提出，后用于新闻传播学，指对信息进行筛选和过滤的主体。 2. *数字守门人*：随着大型平台崛起，欧美（如欧盟《数字市场法》）将此概念延伸至平台治理，指 **满足特定法定标准** （营业额、估值、用户规模或业务类型等）的大型平台。 #### 二、《个人信息保护法》中大型平台特别义务的立法特征 ##### 1. 立法动因 1. *宏观政策要求*：贯彻强化反垄断、防止资本无序扩张，对平台经济实施强监管的政策导向。 2. *监管效能考量*：赋予大型平台治理义务，可弥补行政监管力量不足，降低监管成本。 3. *克服“一刀切”弊端*：避免统一标准导致的小企业合规成本过高或大型企业约束不足的问题。 > [!warning] 比较法辨析：中欧“守门人”规制模式差异 > 1. **欧盟模式（平等与直接义务）** ：注重平等适用，强调保护个人控制权；义务设定聚焦于“守门人”的 **直接义务** （不得滥用优势地位、签订协议守规），一般不包含作为监管者的第三方义务。 > 2. **中国模式（第三方积极治理义务）** ：将特别义务置于个保法体系下，明确将 **第三方义务（要求平台主动管理甚至治理）与直接义务并列** 。形成了一种政府主导、平台参与协助与合作共治的 **管理型为主的治理模式** 。 #### 三、大型平台的具体特别义务要求 > [!important] 适用的三个前置条件 > 并非所有平台均适用特别义务（《个保法》第 58 条）。适用对象必须同时符合： > 1. **提供重要互联网平台服务** （平台分类）。 > 2. **用户数量巨大** （平台体量分级）。 > 3. **业务类型复杂** （平台体量分级）。 满足上述条件的大型平台，必须履行以下四项特别义务： ##### 1. 建立更严格的合规制度（设立独立监督机构） 1. *核心要求*：除内部合规外，必须成立 **主要由外部成员组成的独立机构** 对个人信息保护情况进行监督，以提高透明度。 2. *外部成员界定*：类似独立监事/外部董事，除该监督职务外不在平台及竞争对手处担任可能影响独立性的其他职务。具备专业知识，独立行使职权， **对监督活动负责而非对平台负责** 。 3. > [!warning] 理论争议：独立机构的定位 > 针对“独立机构”的构成与运行，《个保法》未明确，存有分歧： > *观点一*：应完全独立行使权力，不对处理者负责。 > *观点二*：鉴于其仍监督企业内部合规且可能有内部人员任职，不可能绝对独立，仅需 **与日常经营管理机构分割** 、独立行使监督职责即可。 ##### 2. 制定并健全个人信息保护平台规则 1. *核心要求*：遵循公开、公平、公正的原则，制定平台规则，明确平台内产品/服务提供者处理信息的规范与义务。不能对自身提供优待或采取不正当歧视策略。 2. *双重属性*： 1. * **格式条款属性** *：平台需履行提示说明义务，且 **不得免除自身法定义务，不得排除用户主要权利** 。 2. * **自治规制属性** *：是平台规制内部处理行为的主要依据，且绝对不能与国家法律规定相抵触。 ##### 3. 对严重违法处理个人信息的行为停止提供服务（制止义务） 1. *性质*：平台作为治理方的第三方义务，包含事前审查过滤、事中阻断停服、事后惩戒报告。 2. *触发界限*： **仅限于平台内处理者“严重违反法律、行政法规”的情形** 。 3. *限制滥用*：若仅是违反平台自定规则或违法情节不严重，平台 **不得随意援引** 此条停止服务。同时，监管部门也可依法通知“守门人”对严重违法者停服。 ##### 4. 定期发布社会责任报告并接受社会监督 1. *核心要求*：定期发布报告，披露平台在促进保护氛围、技术开发投入等宏观领域的履责情况。 2. *【易错提示】与风险评估报告的区分*： 1. * **风险评估报告** *（《个保法》第 55、56 条）：聚焦于特定高风险处理行为的事前评估，旨在 **识别并降低具体安全风险及评价合法性** 。 2. * **社会责任报告** *（《个保法》第 58 条）：更加 **宏观、灵活** ，内容因企业社会贡献方式不同而千差万别。 ## 第六章 个人信息保护监管机制 ### 第一节 个人信息保护监管机制概述 > [!abstract] 核心定义/概念 > **个人信息保护监管** ：是指有权主体根据法律法规的规定，围绕个人信息处理活动开展保护、监督和管理工作。该机制明确了有权主体及其职权，使保护工作具象化，保障在发现违法处理活动时能追究相应责任，从机构设置上确保个人信息保护“落地生根”。 #### 一、我国个人信息保护监管机制的建立 ##### （一）我国个人信息保护监管机制的立法背景 > [!note] 补充说明/制度背景 > 域外个人信息保护监管存在两大模式： > **1. 专门监管模式（以欧盟为典型）** ：基于《一般数据保护条例》等，在成员国层面构建专门监管机构，在欧盟层面组建欧盟数据保护委员会（EDPB）。 > **2. 分散监管模式（以美国为代表）** ：联邦层面无专门机构，通过多部法律授权金融、电信、健康、教育等行业分散监管；同时联邦贸易委员会（FTC）基于“不公平或欺骗性商业行为”管辖消费者隐私。 ###### 1. 《个人信息保护法》出台前的分散监管 在《个人信息保护法》出台前，《网络安全法》《数据安全法》《民法典》等均作出监管安排，采用多部门（如网信、工信、公安、行业主管等）在各自职责范围内负责的模式。 *缺陷*：未将“个人信息权益”置于独立位置，而是作为“消费者权益”“数据/网络安全”的附庸， **缺乏独立的个人信息保护监管机制** 。 ###### 2. 《个人信息保护法》的确立 2021 年实施的《个人信息保护法》专章（第六章）规定了个人信息保护监管机制，明确由 **履行个人信息保护职责的部门** 作为有权监管部门，落实保护和监管工作。 ##### （二）我国个人信息保护监管机制概述与特征 > [!important] 核心重点/考点 > 我国建立起了* **以国家网信部门为核心** *的个人信息保护监管机制。由国家网信部门负责统筹协调，国务院有关部门、县级以上地方人民政府有关部门在各自职责范围内负责。 我国监管机制具有浓厚的实践与本土色彩，其核心特征体现为： ###### 1. 统筹协调与分工协调相结合（横向） *1）延续网络治理顶层设计*，授权国家网信部门行使“统筹协调”和“监督管理”双重职责。 *2）结合领域广、影响大的特点*，明确各行业主管部门各司其职、分工负责。 ###### 2. 中央和地方纵向合力（纵向） *1）中央层面*：国家网信部门统筹，国务院有关部门分工负责。 *2）地方层面*：县级以上地方人民政府有关部门负有监管职责，便于动员基层执法力量，实现全方位保护。 ###### 3. 《个人信息保护法》第六章的制度架构 1. **明确监管主体** ：分为中央机关（国家网信部门、国务院有关部门）和地方机关（县级以上地方人民政府有关部门）。 2. **明确监管职责** ：包括宣传教育、指导监督、接受投诉举报、组织应用程序测评及公布结果、调查处理违法活动等。 3. **明确投诉举报权** ：任何组织、个人有权对违法活动向监管部门投诉、举报，监管部门必须公布联系方式。 #### 二、履行个人信息保护职责的中央机关 ##### （一）国家网信部门 ###### 1. 历史沿革与机构性质 1. **设立与升级** ：2011 年设立国家互联网信息办公室；2014 年成立中央网络安全和信息化领导小组（后改为委员会），以国家网信办为具体办事机构与执法主体。 2. **机构定性** ：国家互联网信息办公室与中央网络安全和信息化委员会办公室实行 * **“一个机构两块牌子”** *，列入中共中央直属机构序列。其在网络治理体系中具有主导性、综合性。 ###### 2. 国家网信部门的统筹协调职能 “统筹协调”指国家网信部门就监管事宜享有与其他部门联络沟通、组织配合的职权。 *意义*： *1）防诿扯皮*：确立统筹核心，保证工作有序推进。 *2）激发动能*：鼓励各监管部门发挥主观能动性落实职责。 *3）形成合力*：通过有序交流，形成保护个人信息的最大执法合力。 > [!important] 核心重点/考点 > **国家网信部门统筹协调职能的具体体现（《个保法》第 62 条）：** > **1. 制定一般规则** ：制定个人信息保护具体规则、标准。 > **2. 制定特殊/专门规则** ：针对小型处理者、敏感个人信息，及人脸识别、人工智能等新技术新应用制定专门规则。 > **3. 推进基础设施** ：支持研发推广电子身份认证技术，推进网络身份认证公共服务建设。 > **4. 建设社会化服务** ：推进社会化服务体系建设，支持开展评估、认证服务。 > **5. 完善维权机制** ：完善个人信息保护投诉、举报工作机制。 ##### （二）国务院有关部门 ###### 1. 多部门统筹协调合作模式的合理性 个人信息保护已是全行业、全领域的共性问题，呈现复杂性、多样性和广泛性。由国务院有关部门在各自职责范围内监管具有以下优势： 1. **针对性与及时性** ：能更专业地回应本行业内的保护需求。 2. **节约制度成本** ：若新设单一专门机构，需剥离网信、工信、公安、市场监管、央行等多部门现有职权，成本巨大且面临专业性考验。多部门模式无须调整现有部门，不影响日常监管。 ###### 2. 典型监管部门与职责示例 1. **国家市场监督管理总局** ：依据《产品质量法》《广告法》等，具体负责消费者个人信息保护监管。 2. **工业和信息化部（工信部）** ：在职责范围内推进电信、移动互联网（如 App 应用服务能力、申请使用权限）等领域的监管。 #### 三、履行个人信息保护职责的地方机关 ##### 1. 地方机关的层级与范围 1. **层级定位** ：* **县级以上** *地方人民政府有关部门。 2. **设立目的** ：个人信息保护属于广泛的民生问题（涵盖线上线下），地方机关能增加信息主体维权的便捷度，快捷直接地保护个人信息权益。 3. **典型部门及职责边界** ：（依据各领域单行法与部门规章）： *1）统计机构*：查处泄露统计调查对象个人信息的行为。 *2）测绘地理信息主管部门*：查处互联网地图服务单位违法收集、泄露用户个人信息的行为。 *3）卫生健康行政部门*：查处医疗机构及人员泄露患者/受试者个人健康信息、隐私的行为。 *4）旅游行政管理部门*：查处旅行社未妥善保存或泄露旅游者个人信息的行为。 *5）建设（房地产）主管部门*：查处房地产经纪机构不当使用或泄露委托人个人信息的行为。 > [!warning] 易错/注意/例外/理论争议 > **重大处罚权限的级别管辖例外（《个保法》第 66 条）** > 针对 **“情节严重”** 的违法处理个人信息或未履行保护义务的行为（涉及没收违法所得、5000 万元以下或上一年度营业额 5%以下罚款、停业整顿、吊销执照等重罚），为确保处罚的权威性和专业性，相应的处罚权限* **必须由省级以上** *履行个人信息保护职责的部门实施。县级部门无权作出此类重大处罚。 ### 第二节 监管部门的个人信息保护职责 根据《个人信息保护法》第 61 条，为了具体化监管部门的工作职责，法律从四个主要方面加一个兜底条款细化了履行个人信息保护职责部门的具体内容。 #### 一、开展宣传教育、指导监督 监管部门应当加大个人信息保护宣传，并采取相应措施指导、监督个人信息处理者。 ##### （一）开展宣传教育 ###### 1. 宣传教育的目的与必要性 个人信息的保护需要信息主体、处理者和监管部门多方合力。针对公众与处理者“保护意识不够”“不了解权利义务”等障碍，需通过宣传（特定议题信息表现）与教育（教导启发）提高意识与能力。宣传手段灵活多样（如宣传标语、宣讲、国家网络安全宣传周等）。 ###### 2. 宣传教育的差异化对象与内容 针对不同对象，宣传教育的侧重点有明确区别： 1. **面向信息主体及社会公众** ：突出介绍 * **“个人在处理活动中的权利”** *，并结合《个人信息保护法》与《民法典》指明权益受侵害时的* **法律救济途径** *。 2. **面向个人信息处理者** ：明确* **处理原则、规则及法定义务** *（如落实知情同意、安全保障义务等），强调知敬畏、守底线，不得侵害合法权益。 ##### （二）指导监督 ###### 1. 核心内涵 1. **指导** ：通过指引、教导，使处理者明了正确实施路径，减少因错误理解导致的工作不到位。 2. **监督** ：施加行政压力督促合法合规，并第一时间发现侵权行为以追究责任。 ###### 2. 互动的两种方式 1. **非强制性方式** ：以劝告、指引、鼓励等方式引导（如试点先行、示范引领，推广优秀经验）。 2. **强制性方式** ：以行政权迫使处理者履行法定义务（如检察院专项监督、市场监管部门专项检查）。 #### 二、接受、处理投诉、举报 接受、处理投诉举报是发现违法线索、解决争议的重要途径。监管部门必须公布联系方式并告知处理结果， **否则构成行政不作为** 。 > [!important] 核心重点/考点：投诉与举报的区别 > **1. 投诉（自益性）** ：投诉主体自身利益受到违法处理行为侵害，要求查处以维护自身利益。 > **2. 举报（无主体限定）** ：任何公民、法人、组织发现违法活动均可行使监督权，* **不要求举报人受到具体侵害** *（如竞争对手、保护组织等均可举报）。 ##### （一）投诉与举报的处理程序差异（以市场监管部门为例） ###### 1. 投诉处理程序 一般采取 **调解** 方式。收到后 **7 个工作日内** 决定是否受理；终止调解的，作出决定后 **15 个工作日内** 告知双方。 ###### 2. 举报处理程序 一般予以 **核查** 。收到线索后 **15 个工作日内** 予以核查；实名举报的，作出是否立案决定后 **5 个工作日内** 告知举报人。 ##### （二）制度保障与材料要求 ###### 1. 制度保障 我国目前无统一平台（如工信部设互联网信息服务投诉平台），《个人信息保护法》明确由* **国家网信部门统筹完善机制** *，各部门负有* **信息公开义务** *（公布联系方式）。 ###### 2. 材料要求 通常需提交双方基本信息、具体请求及争议事实。委托他人代为投诉的，须提供授权委托书原件（载明事项、权限和期限并签名）及受托人身份证明。 #### 三、组织个人信息保护情况测评和公布测评结果 > [!note] 制度背景 > 过去治理 App 违法违规收集信息主要依赖《网络安全法》及部门文件，管理授权不够清晰。现《个人信息保护法》第 61 条明确赋权，确立了监管部门组织测评的 **合法性和正当性** 。 ##### （一）个人信息保护情况测评概述 ###### 1. 测评对象 各种网站、智能终端的 App、小程序软件开发工具包（SDK）等。 ###### 2. 测评的意义（三方视角） 1. **对监管部门** ：详细了解收集使用情况，为后续处罚或指导提供依据。 2. **对应用程序运营者** ：形成舆论压力敦促合法合规；借助应用商店下架隔离问题应用，或为合规应用建立良好口碑。 3. **对信息主体** ：通过公开结果及时了解应用情况，指导其卸载或避开违规应用，增强信息安全自信心。 ##### （二）重要实践发展 ###### 1. 2019 年专项治理 四部门联合印发《App 违法违规收集使用个人信息行为认定方法》（如未公开规则、未经同意、违反必要原则等）。 ###### 2. 2020 年标准制定 工信部组织制定《APP 用户权益保护测评规范》及《最小必要评估规范》系列标准（涵盖图片、通讯录、人脸、位置等）。 ###### 3. 2023 年网信办测试 控制测试环境（同款手机、同版系统、同网络）与测试场景（区分不同用途的单次运行单元），围绕* **系统权限调用、个人信息上传、网络上传流量** *三项内容公布测试报告。 #### 四、调查、处理违法活动 ##### （一）行政调查 > [!abstract] 核心定义/概念 > **行政调查** ：是行政主体为了实现一定的行政目的，依其职权向行政相对人收集有关信息的活动。它是行政处理的 **前置阶段** ，用于查清是否存在侵权行为。 ###### 1. 调查方式 1. **询问** ：处理者或有关人员必须如实回答、协助，不得拒绝阻挠。 2. **抽样取证** ：收集证据的常规方法。 3. **先行登记保存** ：在证据可能灭失或难以取得时，* **经行政机关负责人批准** *可先行登记保存，必须在 **7 日内** 作出处理决定（期间当事人不得销毁转移）。 ###### 2. 调查程序要求（四大步骤） 1. **案源登记** ：对五类线索（检查发现、投诉举报、上下级交办/报请、机关移送、其他途径）及时调查并填写登记表。 2. **出示证件** ：执法人员应主动出示；* **不出示的，当事人有权拒绝接受调查** *。 3. **制作笔录** ：询问须制作笔录（载明时、地、事），交由被询问人核对并双方签名；拒绝签名的须注明原因。 4. **证据确认** ：要求当事人签字/盖章/捺印确认；若拒绝到场或确认，须由 **两名执法人员** 注明原因，邀请见证人签字，或采用音像记录。 ##### （二）行政处理 > [!abstract] 核心定义/概念 > **行政处理** ：行政主体依申请或依职权，处理涉及特定行政相对人某种权利义务事项的具体行政行为。 ###### 1. 调查后的四种处理情形 1. **确有应受处罚的违法行为** ：依《个保法》采取责令改正、警告、没收违法所得、暂停终止服务、罚款等。 2. **轻微违法依法不予处罚** ：不予行政处罚，但必须充分履行* **指导职能，进行教育** *。 3. **违法事实不能成立** ：不予行政处罚。 4. **涉嫌犯罪** ：必须移送司法机关。 > [!warning] 易错/注意/例外/程序限制 > **法制审核程序的适用前提** ： > 遇有“涉及重大公共利益”“直接关系重大权益且经过听证”“案件疑难复杂涉及多法律关系”等情形的，* **在负责人作出决定前，必须由专人进行法制审核** *。未经审核或未通过的，不得作出处罚决定。 ###### 2. 行政处罚决定书的必备事项（六项要件） 必须盖有决定机关印章，并载明：1) 当事人基本信息；2) 违法事实和证据；3) 处罚种类和依据；4) 履行方式和期限；5) * **申请复议、提起诉讼的途径和期限** *；6) 机关名称和日期。 #### 五、法律、行政法规规定的其他职责 作为兜底条款，《个人信息保护法》第 61 条第 5 项对监管部门的职责授权保持开放性，提供制度接口。 > [!important] 核心重点/考点：授权规范的层级限制 > 该兜底条款明确限定，仅* **“法律、行政法规”** *可以授予监管部门其他职责。 > **绝对不包括部门规章、部门规范性文件** ，目的在于严格防范个人信息保护事项出现“部门立法倾向”。 ### 第三节 国家网信部门的统筹协调职责 《个人信息保护法》第 62 条明确了国家网信部门统筹协调有关部门推进个人信息保护工作的五个方面。 #### 一、概述 > [!abstract] 核心定义/概念 > **统筹协调** ：体现为国家网信部门凭借专业优势发挥* **主导作用** *，集中筹划监管执法事项，牵头制定法律实施细则，统一执法依据和尺度，有效整合执法资源。 **制度意义与成效** ： 多部法律法规（如《网络安全法》《网络信息内容生态治理规定》《关键信息基础设施安全保护条例》《个人信息保护法》等）均明文确立了网信部门的统筹协调职能。 其主要意义在于： ##### 1. 统一标准尺度 减少各地执法差异，增强法律公信力。 ##### 2. 推广有利经验 助力个人信息保护体系完善，从制度上减少侵权案件。 #### 二、国家网信部门统筹协调职责的内容 ##### （一）制定个人信息保护规则、标准 > [!note] 补充说明/制度背景 > **行政规范的必要性** ：传统法治理论认为规则制定属立法机关专有。但在复杂社会治理与风险社会背景下，法律具有滞后性且只能作原则性规定。由行政机关制定具有普遍约束力的行政规范（包括行政立法和行政规定）更具灵活性。国家网信部门统筹协调制定行政规范，能* **避免“部门利益法制化”** *。 ###### 1. 制定一般执行性具体规则、标准 网信部门主要以 * **“联合发文”** *（如会同工信部、公安部、市场监管总局发布《App 违法违规收集使用个人信息行为认定方法》等）的形式，统筹协调制定义务规范、执法要求、权利保障及流程规范。联合决策的行政规范优先于单一部门规定。 ###### 2. 制定专门规则、标准的特定领域 由于以下情形相较于一般个人信息或一般处理活动具有特殊性，极易产生重大影响或引发新挑战，《个保法》明确必须针对其制定* **专门规则和标准** *： 1. **敏感个人信息** ：一旦泄露易致人格尊严受损或人身财产安全受危害（如生物识别、医疗、金融、不满 14 周岁未成年人信息等），需实现分级分类保护。 2. **小型个人信息处理者** ：与大型互联网平台（头部企业）在实力、处理数量上差异巨大。制定专门规则旨在减轻其负担，促进合理利用与行业“百花齐放”。 3. **新技术、新应用（如人脸识别、人工智能）** ：收集信息的种类（如生物信息）、速度和数量远超一般应用，易引发过度处理或犯罪。技术迭代快，专门规则能应对新挑战并保持实施的稳定性。 ##### （二）电子身份认证技术与网络身份认证公共服务建设 > [!abstract] 核心定义/概念 > **1. 电子身份认证技术** ：用于公民身份认证的数字技术（如基于生物特征、银行卡、身份证的认证）。 > **2. 网络身份** ：网络空间中识别主体身份的标识，解决网络行为主体匿名性与身份可信问题。 ###### 1. 电子身份认证的三级生态体系 1. **法定信任基础级（核心）** ：使用国家有权机关签发、具有法定效力的身份凭证（如公安部推行的“网证/CTID”和“公民网络电子身份标识/eID”）。 2. **第三方作证级** ：第三方签发，可作为司法采证的电子签名证书等。 3. **业务凭证级** ：各业务系统内部签发的身份凭证。 ###### 2. 统筹建设网络身份认证公共服务的目的 网民在网络活动中直接使用真实身份信息极易导致个人信息泄露风险。网信部门统筹推进国家网络身份认证公共服务，旨在* **减少网络身份认证中对个人信息的过度采集** *，落实可信身份战略（如深度合成服务规定要求必须基于国家网络身份认证等方式进行真实身份认证，不得向未认证者提供服务）。 ##### （三）个人信息保护社会化服务体系建设 面对日益专业化的合规需求，单一主体无法独立完成，必须依托专业企业与机构。 ###### 1. 个人信息保护评估 是按标准进行的合格评定。旨在发现、处置和监控处理过程中对信息主体合法权益造成的不利影响风险。 *法定强制评估的两种情形*： * **1. 个人信息安全评估（出境安全评估）** ：针对国家机关确需向境外提供信息，以及关键信息基础设施运营者/处理数量达标者向境外提供信息的情形。 * **2. 事前个人信息保护影响评估** ：针对处理敏感个人信息、自动化决策、委托/提供/公开个人信息、向境外提供个人信息及其他有重大影响的活动。评估内容包括处理的合法/正当/必要性、风险及保护措施的匹配性。 ###### 2. 个人信息保护认证 > [!abstract] 核心定义/概念 > **个人信息保护认证** ：认证机构证明处理者的保护体系或处理活动符合《个人信息保护法》等要求的合格评定活动。 *实施规则要点*： 1. **认证依据** ：一般依据《信息安全技术 个人信息安全规范》；跨境处理活动另需符合《个人信息跨境处理活动安全认证规范》。 2. **认证模式** ： **技术验证 ＋ 现场审核 ＋ 获证后监督** 。 3. **证书效期** ：有效期为 * **3 年** *，届满前 6 个月内提出换发委托。 ##### （四）投诉、举报工作机制 > [!important] 核心重点/考点 > 目前我国尚未建立统一专门的个人信息保护投诉、举报渠道，而是由国家网信部门负责统筹协调推进该机制的完善。 ###### 1. 制度价值 公众是违法违规行为的直接受害者，离处理者最近。构建该机制可拓展公众参与治理渠道，发现违法线索，弥补监管力量不足，构建 * **“社会共治”** * 的工作格局（如网信办等四部门设立的“App 个人信息举报”微信公众号）。 ###### 2. 推进要求 网信部门需顺畅渠道、加大宣传，确保公众“知道用、敢于用、能够用”。同时，要求企业落实主体责任（如规定深度合成服务提供者必须设置便捷的申诉/投诉/举报入口，公布处理流程与时限）。 ### 第四节 监管部门的履责措施 监管部门在开展个人信息保护职责时，主要采取两类履责措施：一是为了解真实处理活动而采取的 **监督检查措施** ；二是在发现较大风险或发生安全事件时采取的 **风险处置措施** 。 #### 一、个人信息保护监督检查措施 监督检查措施根据功能和性质的不同，分为* **行政检查措施** *与* **行政强制措施** *两类。 ##### （一）行政检查措施 行政检查措施是监管部门为了查处违法行为，或者收集、保全证据在调查中所采取的行政措施。主要包括以下四种： ###### 1. 询问有关当事人 1. **核心要求** ：被调查对象和有关人员必须如实回答、协助配合并及时提供相关材料，不得阻挠调查。 2. **程序要点** ：必须制作询问笔录（载明时间、地点、事实经过等）。笔录须交询问对象核对确认并由* **双方签名** *；若拒绝或无法签名，* **必须注明原因** *。 ###### 2. 查阅、复制有关资料（合同、记录、账簿等） 1. **审查资料的范围（书证获取）** ：*1）合法性依据证明*：如知情同意记录、必要性合同等。 *2）多方处理协议*：如委托处理、共同处理、境外接收标准合同等。 *3）合规性记录*：如个人行权日志、操作日志、内部管理制度、保护影响评估及合规审计记录等。 2. **权力边界与要求** ：*1）限制范围*：严禁滥用权力，范围仅限于* **与调查有关** *的资料，且需履行保密义务。被检查者不得隐匿、转移、销毁或提供虚假资料。 *2）复制件的证据转化程序*：调取原件确有困难的，由提供方在复制品上注明*“此件由 XXX 提供，经核对与原件无异”*及出处、日期并签章；调取电子/视听资料备份有困难的，可收集复制件并注明制作方法/时间/人，声音资料*必须附文字记录*。 3. **实施现场检查** ： 1. **检查内容** ：深入相关场地，实地检查法律贯彻落实情况与处理活动的安全性（通过查台账、采数据、看制度）。 2. **法律后果** ：被检查者不得拒绝、阻挠，否则可依法给予* **治安管理处罚** *；构成犯罪的追究* **刑事责任** *。 ###### 4. 检查相关设备、物品 1. **检查对象** ：直接体现处理流程、技术的直观载体（如计算机、硬盘、服务器、可移动设备等）。 2. **后续转化** ：若在设备物品中发现违法确凿证据，确有必要时，必须*及时向主要负责人书面报告并经批准后*，转化为查封或扣押措施。 ##### （二）行政强制措施（查封、扣押） > [!abstract] 核心定义/概念 > **1. 查封** ：指监管部门以张贴封条或采取其他必要措施，将设备物品* **就地封存** *，未经许可不得启封动用。 > **2. 扣押** ：指监管部门将设备物品* **运至其他场所予以扣留** *。 > [!warning] 易错/注意/例外/实施红线 > 查封、扣押仅限于涉案财物，* **严禁查封、扣押无关财物及公民/家属的生活必需品** *。若已被其他国家机关依法查封，* **绝对不得重复查封** *。 ###### 1. 查封、扣押的严密程序要求（五大步骤） 1. **内部审批程序** ：实施前必须向本部门主要负责人书面报告并经批准。*紧急情况下可当场采取，但必须在 **24 小时内补办批准手续** *；若负责人不批准，应立即解除。 2. **现场实施程序** ：必须由* **两名以上** *执法人员实施；出示证件；通知当事人到场；当场告知理由、依据及救济权利；充分听取陈述与申辩；制作并签署现场笔录（不到场或拒签需注明并邀见证人）。 3. **文书交付程序** ：必须制作并当场交付查封/扣押决定书和清单（一式两份）。文书必须载明法定事项（含复议与诉讼救济途径）并加盖印章。 4. **期限限制** ：法定期限* **最长不得超过 30 日** *；情况复杂的经批准可延长，但* **延长期最长不得超过 30 日** *（即绝对上限原则为 60 日，法律/行政法规另有规定除外）。延长决定必须书面告知理由。 5. **解除与善后程序** ：一旦查清无违法事实、无关、已处理完毕或期限届满，应当立即解除并退还财物。若保管不易已变卖且价格明显低于市场的，* **应当给予补偿** *。 #### 二、个人信息安全风险处置 ##### （一）个人信息安全风险与处理者的报告义务 > [!important] 核心重点/考点：强制通知义务的三要素 > 当发生或可能发生个人信息泄露、篡改、丢失等安全事件时，处理者必须立即采取补救措施，并* **强制通知监管部门和个人** *。通知内容必须包含： > **1. 事实基础** ：发生/可能发生的种类、原因及可能造成的危害。 > **2. 救济措施** ：处理者采取的补救措施和*个人可以采取的减轻危害的措施*。 > **3. 联络渠道** ：处理者的联系方式。 针对存在较大风险（自身风险大或权益影响大，如涉百万以上数据、特定群体数据）或已发生安全事件的情况，监管部门可采取* **行政约谈** *或* **合规审计** *予以处置。 ##### （二）监管部门的特殊处置措施 ###### 1. 行政约谈 1. **行为性质** ：属于* **非强制性行政指导行为** *。旨在通过教导、警示、告诫，防止违法行为发生或扩大。 2. **约谈对象** ：按照法定权限约谈该个人信息处理者的* **法定代表人或者主要负责人** *。 3. **适用禁忌** ：必须避免约谈强制化；严格防范约谈过度化，* **绝不能“以谈代罚”** * 从而不当豁免处理者的违法责任。 ###### 2. 合规审计 > [!note] 补充说明/《个保法》中的双重审计机制 > **1. 主动定期合规审计** （第 54 条）：处理者基于内控合规要求自发、定期进行的审查。 > **2. 监管强制合规审计** （第 64 条）：监管部门发现较大风险或安全事件时，* **强制要求处理者委托专业机构** *对其活动进行的社会审计。 由监管部门要求委托专业机构进行的强制合规审计，属于社会第三方审计，具有以下 **三大核心功能** ： 1. **监督功能** ：揭露个人信息处理活动中存在的违法违规及缺陷疏漏。 2. **评价功能** ：对处理者的内部管理制度与操作规程作出客观评价，查找不足，指导整改。 3. **鉴证功能** ：确定合规情况的真实性与合法性，并由专业机构依法* **出具合规审计证明文件** *。 ## 第七章 个人信息保护法律责任 ### 第一节 个人信息保护法律责任概述 #### 一、个人信息保护法律责任的概念与类型 > [!abstract] 核心定义/概念 > **1. 法律责任** ：指行为人对自己实施的违法行为必须承担的某种带有强制性的不利法律后果。产生原因主要包括违法（如肇事逃逸）和违约（如出租方未按合同约定提前收回房屋）。 > **2. 个人信息保护法律责任** ：指个人信息处理者因违反《个人信息保护法》《民法典》《网络安全法》等法律法规处理个人信息，侵害信息主体的合法信息权益，最终须承担的不利后果或负担。 ##### 1. 法律责任的基本特征 1. **法定性** ：由法律明确规定，行为人仅对违法行为承担法定相应责任。 2. **强制性** ：由国家强制力保障，只能由国家机关依照法定权限和程序追究。 3. **否定性** ：意味着国家对违法行为的否定性评价和谴责。 ##### （一）个人信息保护行政法律责任 > [!abstract] 核心定义/概念 > **个人信息保护行政法律责任** ：指行政主体和行政相对人因违反个人信息保护法律规范，依法必须承担的法律责任。主要包括违法处理者的行政处罚责任（《个人信息保护法》第 66 条）和国家机关工作人员渎职的行政责任（第 68 条）。 ###### 1. 个人信息保护行政责任的核心特点 1. **区分主体规定不同责任** ： 1. *一般个人信息处理者*：适用《个人信息保护法》第 66 条的行政处罚。 2. *特殊个人信息处理者（国家机关）*：适用第 68 条，采取“责令改正”“处分”等特殊措施。 2. **实施分级处罚制度（根据违法情节）** ： 1. *一般情节*：首选“责令改正、警告、没收违法所得、责令 App 暂停或终止服务”； **拒不改正时** ，才“并处 100 万元以下罚款”，并对直接负责的主管及责任人员处 1 万元以上 10 万元以下罚款。 2. *情节严重*：处 5000 万元以下或上一年度营业额 5%以下罚款；对直接负责的主管及责任人员处 10 万元以上 100 万元以下罚款。 3. **实行单位与个人“双罚制”** ： 1. *处罚对象*：不仅处罚作为处理者的单位，还同时处罚直接负责的主管人员和其他直接责任人员。 2. *制度背景*：《行政处罚法》未作一般规定，目前主要适用于生态环境、食品药品等特定领域。在个人信息领域引入双罚制可强化威慑力。 3. > [!warning] 易错/注意/例外/理论争议 > 适用双罚制时应当注意合理确定处罚对象的范围，以免牵连过广。 4. **综合适用多种行政处罚方式** ： 1. *常规方式*：责令改正、警告、没收违法所得、罚款、责令停业整顿、吊销营业执照/业务许可。 2. *新增特定方式*：针对 App 违法行为，增加“责令暂停或者终止提供服务”，契合我国加强 App 监管的政策导向。 ##### （二）个人信息保护民事法律责任 > [!abstract] 核心定义/概念 > **个人信息保护民事法律责任** ：指处理者在民事活动中实施违法处理行为，根据《民法典》《个人信息保护法》等承担的不利民事法律后果。包括私益诉讼与民事公益诉讼。 ###### 1. 民事法律责任的法律适用规则 1. **《民法典》依据** ：第 111 条与第 1034 条将个人信息界定为民事权益；根据第 1165~1167 条，因过错侵害权益或危及人身/财产安全的，应承担损害赔偿或停止侵害、排除妨碍、消除危险等侵权责任。 2. **《个人信息保护法》依据** ：设有两个专条（款）针对违法处理行为作出专门规定。 3. > [!important] 核心重点/考点 > **法律适用顺位** ：《民法典》与《个人信息保护法》是 **普通法与特别法** 的关系。《个人信息保护法》有特别规定的优先适用；未明确规定的，适用《民法典》。 ##### （三）个人信息保护刑事法律责任 > [!abstract] 核心定义/概念 > **1. 个人信息保护刑事法律责任** ：指犯罪人因实施刑法规定的个人信息犯罪行为所产生的法律后果。 > **2. 引致性条款** ：本身无独立规范内涵而单纯引致到其他具体规范，需从被引致规范目的确定法律效果的条款。（如《个人信息保护法》第 71 条：“构成犯罪的，依法追究刑事责任”）。 ###### 1. 常见的个人信息保护相关罪名 1. **侵犯公民个人信息罪** ：《刑法》第 253 条之一（由《刑法修正案（九）》整合出售、非法提供、非法获取行为而来）。 2. **窃取、收买、非法提供信用卡信息罪** ：《刑法》第 177 条之一第 2 款（涉及窃取、收买或非法提供信用卡信息资料）。 3. **非法获取计算机信息系统数据罪** ：《刑法》第 285 条第 2 款（涉及非法侵入或采用技术手段获取承载个人信息的数据）。 4. **拒不履行信息网络安全管理义务罪** ：《刑法》第 286 条之一（网络服务提供者经责令拒不改正，致使违法信息大量传播、用户信息泄露造成严重后果、刑事证据灭失等严重情节）。 ##### （四）个人信息保护法律责任之间的关系 > [!important] 核心重点/考点 > 违法个人信息处理者可能需 **同时承担** 民事、行政和刑事法律责任，三者 **并非非此即彼** 。 ###### 1. 三大法律责任的核心区别 1. **责任承担方式不同** ： 1. *民事*：停止侵害、返还财产、恢复原状、赔偿损失、消除影响、赔礼道歉等（《民法典》第 179 条）。 2. *行政*：行政处罚（警告、罚款、没收等）和行政处分。 3. *刑事*：主刑（管制、拘役、有期、无期、死刑）和附加刑（罚金、剥夺政治权利、没收财产）。 2. **适用标准和法律依据不同** ： 1. *民事*：《个人信息保护法》第 69 条。 2. *行政*：《个人信息保护法》第 66 条、第 68 条。 3. *刑事*：《个人信息保护法》第 71 条（引致《刑法》）。 > [!warning] 易错/注意/例外/理论争议 > **民事责任优先原则** ：《民法典》第 187 条规定，当责任主体同时承担民事赔偿、行政罚款、刑事罚金等财产性责任，且其财产不足以全部支付时， **必须优先用于承担民事赔偿责任** 。 --- #### 二、个人信息保护公益诉讼 > [!note] 补充说明/制度背景 > **设立公益诉讼的原因** ： > 1. *侵权规模大*：个人信息侵权往往是大规模侵权，集中侵害多数人权益。 > 2. *力量悬殊*：违法处理者具备技术优势且控制信息，信息主体在收集证据与经济实力上处于绝对劣势，私益维权困难。 根据《个人信息保护法》第 70 条，提起个人信息保护公益诉讼需满足特定的起诉条件与适格主体要求。 ##### （一）提起个人信息保护公益诉讼的条件 ###### 1. 违法处理个人信息 在个人信息处理的全流程（事前、事中、事后）中违反相关法律法规原则与规则： 1. **事前环节** ：未取得各类同意（一般、单独、书面）；未同意即拒绝提供服务（非必需情形下）；未依法告知；未开展影响评估；大型平台未制定规则等。 2. **事中环节** ：违规自动化决策；违反信息质量原则侵害更正/补充权；未取得单独同意分享信息；大型平台未履行特别义务；未履行安全保障义务等。 3. **事后环节** ：超期存储；未指定负责人；未合规审计；符合条件未删除；未响应权利请求等。 ###### 2. 侵害众多个人的信息权益 1. **【补充】“众多”的界定标准** ：实践中多由法院于个案中通过法律解释予以具体化。 2. > [!important] 核心重点/考点 > **最高检判断标准（2021 年通知）** ：重点考量是否涉及以下因素： > 1. *敏感个人信息*。 > 2. *特殊群体的个人信息*。 > 3. *重点领域的个人信息*。 > 4. *达到 100 万人以上的大规模个人信息*。 > 5. *因时间、空间等联结形成的特定对象的个人信息*。 ##### （二）提起个人信息保护公益诉讼的适格主体 > [!important] 核心重点/考点 > 适格主体仅限定为三类： **人民检察院** 、 **法律规定的消费者组织** 、 **由国家网信部门确定的组织** 。 ###### 1. 人民检察院 1. **诉讼定位** ：作为国家法律监督机关，有权对损害社会公共利益的行为提起诉讼。 2. **诉讼优势** ：能快速利用在办理“侵犯公民个人信息罪”等刑事案件中收集的线索，实现对受害人的及时赔偿（尤其在技术隐蔽导致受害人不知情时）。 > [!warning] 易错/注意/例外/理论争议 > **诉前公告程序** ：人民检察院拟提起公益诉讼的， **应当依法公告，公告期间为 30 日** 。 ###### 2. 法律规定的消费者组织 1. **范围界定** ：依据《消费者权益保护法》第 47 条，特指 **中国消费者协会** 以及 **在省、自治区、直辖市设立的消费者协会** 。 2. **授权合理性** ： 1. 法定职责所在（保护消费者信息本属其职责）。 2. 具备诉讼经验（现有单行法已认可其部分起诉权，且已有相关司法实践）。 3. 体系协调（与消法中公益诉讼规则完美衔接）。 ###### 3. 由国家网信部门确定的组织 1. **诉讼优势** ：社会组织执行成本低于公权监管，执行力度强于私人维权，符合“功能适当原则”。 2. > [!note] 补充说明/制度背景 > 目前国家网信部门尚未出台具体规则明确哪些社会组织可以提起该类诉讼，具体范围有待后续规范进一步确定。 ### 第二节 行政法律责任 > [!abstract] 核心定义/概念 > **行政法律责任** ：是指由于违反积极的行政法律义务而招致的消极的行政法律义务。在个人信息保护领域，其直接目标是 **制止和惩罚** 违法个人信息处理行为、 **补偿** 信息主体受侵害权益。 #### 一、违法个人信息处理者的行政法律责任 《个人信息保护法》第 66 条延续了根据违法行为情节轻重实施 **分级处罚** 的制度，体现了既保护权益、规范活动，又促进信息合理利用的宽严相济目的。 ##### （一）一般违法个人信息处理行为的行政法律责任 ###### 1. 行为表现与处罚主体 1. **行为表现** ：违反《个人信息保护法》规定处理个人信息，或未履行该法规定的保护义务（涵盖事前、事中、事后各流程的违规行为）。 2. **处罚主体** ：履行个人信息保护职责的部门，主要包括 **国家网信部门** 、 **国务院有关部门** 及 **县级以上地方人民政府有关部门** 。 ###### 2. 行政处罚措施（实施“双罚制”） 1. **单位责任（常规措施与罚款）** ： 1. *责令改正*：行政命令，要求停止纠正违法行为以恢复原状。 2. *警告（申诫罚/精神罚）*：谴责和告诫，针对情节轻微、未造成实际危害后果者，不涉及人身和财产。 3. *没收违法所得*：将非法利益收归国有（国库、拍卖、销毁）。 4. *责令暂停或终止提供服务*：要求违法 App 等暂时或永久停止服务（如注销 App）。 5. *罚款（财产罚）*：前提是 **“拒不改正”** 。数额为 **“100 万元以下”** ，结合性质、情节及危害程度确定。 6. **个人责任（特定主体罚款）** ： 7. *处罚对象*：对违法行为起支配性或决定性作用的 **直接负责的主管人员和其他直接责任人员** （通常包括法定代表人、实控人、高管等）。 8. *罚款数额*： **“1 万元以上 10 万元以下”** 。 ##### （二）情节严重的违法个人信息处理行为的行政法律责任 ###### 1. 处罚主体与管辖权 1. **行政主体级别** ：必须是 **省级以上** 履行个人信息保护职责的部门。 2. **联合执法机制** ：因涉及“通报吊销业务许可/营业执照”，执法主体本身并非必须是发证的主管部门。通常实行以 **网信部门为牵头单位** 、 **其他部门（如市场监管）共同参与** 的联合执法机制。 ###### 2. 行政处罚措施加重（单位责任） 除责令改正、没收违法所得外，新增或升级以下重罚措施： 1. **责令暂停相关业务或停业整顿（行为罚）** ：要求在一定期限内停止营业、整顿治理。 2. **通报有关主管部门吊销相关业务许可或营业执照（资格能力罚/行为罚）** ：彻底撤销原有许可，剥夺从事特定活动的资格。 3. **高额罚款** ：数额跃升至 **“5000 万元以下”** 或者 **“上一年度营业额 5%以下”** 。 > [!important] 核心重点/考点 > **高额罚款的适用规则** ： > 1. **合理行政原则** ：罚款设定须考量有效性、成比例性与劝诫性，酌情考量客观损害、主观过错、事后补救及配合程度。 > 2. **罚款“就高”原则** ：同一违法行为违反多个规范均应罚款的， **适用罚款上限高的规定** （若“营业额 5%”高于 5000 万，则适用该计算标准）。 > 3. **【补充】理论争议** ：关于“上一年度营业额”的计算基数，理论界对于仅指“境内营业额”还是“全球营业额”尚存争议。 ###### 3. 行政处罚措施加重（个人责任） 1. **高额罚款** ：针对直接负责的主管人员和其他直接责任人员，罚款额度提升为 **“10 万元以上 100 万元以下”** 。 2. **从业禁止（新增）** ：可决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和 **个人信息保护负责人** 。 > [!note] 补充说明/制度背景 > **关于“情节严重”的认定标准与理论探讨** > 目前立法尚无明文标准。可参考《刑法》中“侵犯公民个人信息罪”的司法解释要素（信息类型数量、违法所得、主体身份等），适当降低标准用于行政处罚。 > **【补充】作者构想的“情节特别严重”情形** ： > 1. *造成被害人轻伤等后果*。 > 2. *造成较大经济损失或较坏社会影响*。 > 3. *违反国家核心数据管理制度，危害国家安全等利益*。 > 4. *数量/数额达到情节严重标准 5 倍以上*。 ##### （三）典型案例：滴滴公司“天价”行政处罚案 ###### 1. 案件事实与性质 滴滴公司存在 16 项违法收集、过度收集、超权限处理等违法事实，涉及信息百亿计（含人脸等敏感信息逾亿条），且违法行为长达 7 年，主观系故意，甚至涉及将行程信息运往境外损害国家安全利益。 ###### 2. 处罚结果与示范效应 1. **单位顶格处罚** ：被处以 80.26 亿元天价罚款（约等于上一年度营业额的 5%）。 2. **个人顶格处罚** ：主要负责人分别被处以 100 万元顶格罚款。 3. **法律意义** ：完美适用了《个人信息保护法》“情节严重”的高额罚款条款及 **行政处罚双罚制** ，体现了对严重危害行为的雷霆威慑。 --- #### 二、国家机关或履行职责部门工作人员的行政法律责任 对国家机关违法行为，其直接责任人员应依法给予处分；对监管部门工作人员的渎职行为，未达刑事标准的，亦给予处分。 ##### （一）国家机关不履行义务的行政法律责任 根据《个人信息保护法》规定，国家机关处理个人信息不得超出履行法定职责所必需的范围和限度。 ###### 1. 责令机关改正 1. **作为违法** ：超越权限处理的，上级机关或监管部门责令其停止违法行为。 2. **不作为违法** ：未采取安全保护措施的，责令其主动作为履行义务。 ###### 2. 对直接负责人员给予处分 1. **责任归属** ：基于行政机关首长负责制，追究直接负责的主管人员和具体违法工作人员的责任。 2. **处分种类与期间** ：依据《公务员法》等规定，分为警告（6 个月）、记过（12 个月）、记大过（18 个月）、降级/撤职（24 个月）、开除。 ##### （二）履行职责部门工作人员渎职的行政法律责任 履行个人信息保护职责的部门工作人员实施以下三种行为，尚不构成《刑法》“渎职罪”（未致使国家和人民利益遭受重大损失）的，依法给予处分： ###### 1. 玩忽职守 严重不负责，不履行、不正确履行或放弃履行职责（含作为与不作为）。 ###### 2. 滥用职权 超越职权、玩弄职权、任意放弃履职、以权谋私，违法决定或处理其无权处理的事项。 ###### 3. 徇私舞弊 为徇私情私利，故意违背事实和法律，伪造材料、隐瞒弄虚作假。 ### 第三节 民事法律责任 #### 一、个人信息保护的民事法律责任概述 ##### （一）个人信息保护领域的民事法律责任 《个人信息保护法》第 69 条规定了侵害个人信息权益的民事损害赔偿规则。该条以民事法律责任的形式为自然人提供了个人信息权利救济的渠道。 > [!note] 补充说明/制度背景 > 除私益救济外，该法还设置了个人信息保护公益诉讼制度（包括赔偿必要费用、强制履行其他义务等），但这不影响同时承担刑事与行政法律责任。 ##### （二）对《个人信息保护法》第 69 条的法教义学解释 ###### 1. 适用主体：个人信息处理者 本规则仅适用于 **个人信息处理者** 侵害自然人个人信息权益的侵权行为。 个人信息处理者的法律特征包括： 1. 个人信息处理活动的主体。 2. 自主决定处理目的、处理方式的主体。 3. 对个人信息权益人负有特别保护义务的主体。 4. 民事身份为自然人、法人或非法人组织。 > [!important] 核心重点/考点 > **2. 归责原则：过错推定原则（“不能证明自己没有过错”）** > > 《个人信息保护法》对个人信息处理者采取 **过错推定责任** 。 > 1. **制度原因** ：个人信息处理技术性强，双方在信息、技术、资金上严重不对等；侵权环节多，受害人面临严重的“证据偏在困境”，若适用一般过错责任，受害人将无法完成举证。 > 2. **过错的认定标准** ： > 1. *形式违法*：对法定处理义务的违反（应依据具体规范性文件而非抽象的“理性人标准”判断）。 > 2. *实质违法*：违反比例原则（如处理目的不符合正当性原则、处理行为不符合必要性原则）。 > 3. **【注意/例外】** ：过错推定 **仅适用** 于个人信息处理者侵害权益造成损害的情形。若侵权人 **非处理者** （如受托人）或在 **不适用** 该法的场景中，仍需适用 **过错责任原则** （由原告举证）。 ###### 3. 请求权基础：“侵害个人信息权益” 1. **人格权请求权（未造成实际损害时）** ：作为绝对权，当人格权益受妨害或有妨害之虞时，权利人有权请求恢复圆满状态（涵盖知情权、更正权、删除权等）。 2. **侵权请求权（造成实际损害时）** ：适用过错推定原则要求赔偿。 ##### （三）《个人信息保护法》第 69 条与其他条款的关系 ###### 1. 与第 20 条的关系（共同处理的连带责任） 两个以上的处理者共同决定目的和方式，无论内部如何约定，只要侵害权益即构成共同侵权，应当向信息主体承担 **连带责任** 。 ###### 2. 与第 22 条的关系（主体变更的责任承继） 因合并、分立导致转移时，若未履行告知或重新取得同意义务而侵权。依《民法典》， **合并的** 由合并后主体承担； **分立的** 由分立后主体承担连带责任（另有约定除外）。 ###### 3. 与第 72 条的关系（个人/家庭事务豁免） 自然人因个人或家庭事务处理个人信息侵害权益的， **排斥适用** 第 69 条的过错推定，而应适用《民法典》第 1165 条第 1 款的 **一般过错责任原则** 。 #### 二、个人信息侵权的损害赔偿责任 ##### （一）构成要件 > [!abstract] 核心定义/概念 > 成立侵权损害赔偿必须具备四个核心要件： **侵权行为、主观过错、损害、因果关系** 。 ###### 1. 侵权行为 实践中，行为通常面向不特定主体且运用技术手段。典型行为包括： 1. **不当收集** ：不符合“合法、正当、必要”原则及目的原则（如 App 过度收集、超出事前目的使用人脸特征）。 2. **泄露个人信息** ：较为严重的侵权，常涉及私密信息与隐私权（如网购平台擅自将订单编号告知被举报人）。 3. **不当使用/分享** ：未经同意另作他用、扩大分享范围（如擅用他人身份信息报税、跨平台同步线下购物记录）。 4. > [!warning] 易错/注意/例外/理论争议 > 关于“用户画像、大数据杀熟等自动化决策”是否构成对人格/财产权益的侵害，目前司法实践尚未支持此类民事赔偿请求，主要依赖公法监管规制。 ###### 2. 主观过错（过错推定） 1. **推定逻辑** ：除非处理者能举证自己已严格依法履行保护义务（如遇黑客攻击时，证明已采取法定防范及事后补救/通知措施），否则即推定其具有过错。 ###### 3. 损害 1. **损害的形态** ： 1. *精神利益损害（人格权益损害）*：因知情权、决定权、删除权等受侵害带来的精神利益损害。 2. *财产利益损害*：因个人信息被擅自使用而造成的财产利益损失（个人信息具有商业许可使用的价值）。 2. > [!warning] 易错/注意/例外/理论争议 > **损害的确定性** ：损害必须是 **客观存在** 的不利后果。个人信息损害 **不涵盖纯粹的风险** （风险应对由公法调整）。 3. **责任区分** ：若仅有违法行为而无实际损害后果，只能行使“人格权请求权”（如停止侵害），不能主张侵权损害赔偿。 ###### 4. 因果关系 1. **因果关系的判断标准** ：适用 **相当因果关系规则** （即该违法行为客观上能够引起该种损害后果）。 2. **举证责任的缓和** ：考虑到信息主体举证能力弱，司法实践（如申某诉携程/支付宝案）认为，只要受害人证明“提供信息后短时间内发生泄露”，即完成初步举证，举证责任转移至处理者。 3. **因果关系的中断（第三人介入）** ：若损害由第三人直接造成，处理者仍需按照自身的原因力大小及过错程度承担相应的赔偿责任。 ##### （二）数额确定标准 ###### 1. 基本计算依据 并列适用“ **被侵权人受到的损失** ”或者“ **侵权人获得的利益** ”；难以确定的，根据实际情况酌定。 ###### 2. 财产损失的扩展（维权合理开支） 被侵权人为制止侵权支付的合理开支（如调查取证费、符合规定的律师费）可计入财产损失。 ###### 3. 法定酌定上限 损失和获利均难以确定时，法院可根据案情在 **50 万元以下** 范围内酌定赔偿数额。 ##### （三）精神损害赔偿 ###### 1. 确定方式 实际损害赔偿、侵权人获利赔偿、法院酌定赔偿（实践中绝大多数由法院综合过错程度、侵权后果等要素 **酌定** ）。 > [!warning] 易错/注意/例外/理论争议 > **是否需要达到“严重”程度？** > 学界存在争议，但主流观点结合《个人信息保护法》立法目的认为：由于财产损失举证极难，若继续苛求精神损害达到《民法典》的“严重程度”，将导致绝大多数案件无法获赔。因此， **个人信息侵权的精神损害赔偿无须达到“严重”程度，达到一般程度即可** 。 #### 三、其他民事责任方式的适用与责任竞合 ##### 1. 其他侵权责任承担方式 除损害赔偿外，被侵权人还可依据《民法典》主张： ##### 1. 停止侵害、排除妨碍、消除危险 ##### 2. 消除影响、恢复名誉、赔礼道歉（可单独或合并适用） ##### 2. 侵权责任与违约责任的竞合 1. **产生基础** ：自然人与处理者之间存在“合同”关系（如用户注册协议、隐私政策、补充协议等）。 2. **责任选择** ：自然人可主张处理者违反“信息服务合同约定”，要求承担违约责任。 3. **举证优势** ：主张违约责任时，自然人 **仅需证明对方违反合同约定即可，不涉及主观过错的证明** 。 ### 第四节 刑事法律责任 #### 一、个人信息保护的刑法规范体系 ##### （一）个人信息保护刑事立法的历史沿革 随着个人信息承载权益的扩充，刑法保护策略逐渐从 **间接保护模式** 转变为 **直接保护模式** ，保护范围不断扩大。 ###### 1. 《刑法修正案（七）》（2009 年） 1. *历史意义*：首次将侵犯公民个人信息的行为设立独立罪名，实现正式保护。 2. *局限性*：规制主体狭窄（仅限国家机关或金融、电信、医疗等特定单位工作人员）；规制行为狭窄（仅限“出售、非法提供、非法获取”）。 ###### 2. 《刑法修正案（九）》（2015 年） 1. *罪名整合*：整合为“ **侵犯公民个人信息罪** ”。 2. *主体扩充*：扩充为 **一般主体** ，不再局限特定行业。 3. *加重情节*：将基于服务或履职收集的信息非法提供/出售构成加重情节，最高量刑升至 7 年。 4. *新增罪名*：新增“ **拒不履行信息网络安全管理义务罪** ”，填补网络服务提供者不作为致信息泄露的规制空白。 ##### （二）当前的个人信息保护刑法规范 目前构成了以两个核心罪名为主干，多个附带罪名为补充的刑法规范体系： ###### 1. 核心罪名 1. **侵犯公民个人信息罪** （《刑法》第 253 条之一）：规制非法获取、出售和提供行为。 2. **拒不履行信息网络安全管理义务罪** （《刑法》第 286 条之一）：规制网络服务提供者拒不改正致泄露严重后果的行为。 ###### 2. 相关附带保护罪名 窃取、收买、非法提供信用卡信息罪；使用虚假身份证件、盗用身份证件罪等。 3. > [!warning] 易错/注意/例外/理论争议 > **当前司法实践的偏差** ：实践中仍存在判处刑罚畸轻、未能准确识别个人信息敏感程度的问题。未来应注重刑法与民法、行政法保护体系的协同衔接。 --- #### 二、侵犯公民个人信息罪的构成要件 > [!abstract] 核心定义/概念 > 构成要件主要围绕三个方面判断：是否以公民个人信息为侵犯对象、是否存在法定侵犯行为、行为/对象是否达到“情节严重”标准。 ##### （一）保护对象 我国刑事管辖权不限于保护中国公民的个人信息。在 **中国领域内** 实施的侵犯外国公民个人信息的行为，同样适用本罪追究刑责。 ##### （二）行为表现 本罪实质上侵犯了公民对其个人信息的 **决定权与处理权** 。 > [!warning] 易错/注意/例外/理论争议 > 本罪仅规制 **故意** 的非法获取、非法提供和出售。过失侵犯行为，或合法获取但滥用的行为，应纳入 **行政执法** 范畴。 ###### 1. 向他人出售或者提供公民个人信息 1. *具体表现*：向特定人提供；网络发布；未经被收集者同意向他人提供合法收集的信息；履职/服务中收集等。 2. *【典型指导案例 194 号】*：购买微信账号后非法制作带个人信息的账号出售；或未经同意，获取 **已公开** 的个人信息后改变其公开的范围、目的、用途进行非法利用，均构成本罪。 ###### 2. 窃取 1. *核心特征*： **秘密获取** （违背意愿、未经同意/不知情）。 2. *认定*：只要行为人自以为不被发觉即属秘密，客观获取手段是否公然不影响定性。 ###### 3. 以其他方法非法获取 1. *具体表现*：违反国家有关规定，通过 **购买、收受、交换** 等方式获取，或在履职/服务过程中违规收集。 ##### （三）情节要求 > [!important] 核心重点/考点 > 必须达到法定的严重程度才作犯罪处理。根据司法解释，具体标准区分“情节严重（入罪）”与“情节特别严重（加重）”。 ###### 1. 行为造成“情节严重”的后果（入罪标准） 1. **特定类型与目的** ：出售或提供 **行踪轨迹信息** 被他人 **用于犯罪** （*不论数量与主观是否明知*）。 2. **主观恶性** ：知道或应当知道他人利用信息实施犯罪，仍出售或提供。 3. **信息类型和数量要求** ： 1. *高度敏感信息*（行踪轨迹、通信内容、征信、财产）： **50 条以上** 。 2. *一般敏感信息*（住宿、通信记录、健康生理、交易等可能影响人身财产安全的）： **500 条以上** 。 3. *其他普通信息*： **5000 条以上** 。 4. *特殊规则*：按比例合计达到标准亦可； **履职/服务过程中违规获取并出售/提供的，数量标准减半** ；数量计算应去重、去假。 4. **违法所得数额** ： 1. *一般情况/履职提供*：违法所得 **5000 元以上** 。 2. *【例外】合法经营非法购买*：为合法经营活动非法购买、收受一般个人信息，利用其获利需达到 **5 万元以上** 。 5. **再犯情形** ：曾因侵犯公民个人信息受过 **刑事处罚** 或 **2 年内受过行政处罚** ，又实施非法获取、出售、提供、购买、收受行为的（*不限制数量/数额*）。 6. **兜底情形** ：其他情节严重的情形。 ###### 2. 行为造成“情节特别严重”的后果（加重处罚标准） 1. **人身损害** ：造成被害人死亡、重伤、精神失常或被绑架。 2. **重大影响** ：造成重大经济损失或恶劣社会影响（如群体恐慌）。 3. **数量/数额翻倍** ：达到前述“情节严重”中第 3-6 项（数量或数额）规定标准的 **10 倍以上** 。 4. **兜底情形** ：其他。 ##### （四）主观故意 主观上必须具有侵犯个人信息的犯罪故意，必须意识到信息的存在并有意识地实施行为。 **过失不构成本罪** 。 ##### （五）单位也可成为本罪的犯罪主体 实行 **双罚制** 。单位实施达到“情节严重”标准的，对直接负责的主管人员和其他直接责任人员定罪处罚，并对单位判处罚金。 ##### （六）明确侵犯公民个人信息罪的前置法规定 > [!warning] 易错/注意/例外/理论争议 > **关于“违反国家规定”的层级认定** > 《刑法》第 96 条一般将“违反国家规定”限定为全国人大及其常委会制定的法律和国务院制定的行政法规、决定、命令。但针对本罪，司法解释特别明确： **违反部门规章中有关公民个人信息保护规定的，也应当认定为“违反国家有关规定”** 。 ##### （七）未取得个人信息所有者（个人信息主体）的同意 ###### 1. 法益属性 本罪实质保护的是公民对个人信息的 **信息自决权** 。 ###### 2. 出罪路径 若行为人获取、出售/提供信息的行为已获得信息主体同意，且未违反国家规定，则不构罪（需行为人提供已获同意的证明）。 --- #### 三、拒不履行信息网络安全管理义务罪（第二项情形）的构成要件 > [!note] 补充说明/制度背景 > 本罪将网络服务提供者的预防性保护义务正式纳入刑法规制范围。《刑法》第 286 条之一第二项专门针对“致使用户信息泄露，造成严重后果”的情形。 ##### （一）主体身份：“网络服务提供者” 本罪为特殊主体犯罪，特定为三类网络服务提供者： ###### 1. 技术接入与存储服务 提供网络接入、域名解析、计算、存储、传输服务。 ###### 2. 应用内容服务 提供信息发布、搜索、通讯、支付、网约、网购、游戏、直播、广告、应用商店等。 ###### 3. 公共服务 提供电子政务、通信、能源、交通、水利、金融、教育、医疗等。 ##### （二）前置规范：“信息网络安全管理义务” > [!warning] 易错/注意/例外/理论争议 > **前置规范的层级限制** > 本罪的信息网络安全管理义务必须来源于《网络安全法》《数据安全法》等 **法律** 与 **行政法规** 。 **不包括部门规章和地方性法规** （这与前述“侵犯公民个人信息罪”包含部门规章的认定不同）。 ##### （三）行为表现：“责令改正而拒不改正” ###### 1. 行政程序前置化 本罪以行政违法且拒不履行为前置要件。 ###### 2. 责令改正的性质与形式 1. “责令改正”属于 **行政措施** ，不属于行政处罚。 2. 必须由网信、电信、公安等监管部门以 **书面形式（如责令整改通知书）** 作出，口头责令无效。 ##### （四）后果要求：“致使用户信息泄露，造成严重后果” ###### 1. 严重后果的数量标准（达到侵权罪的 10 倍） 1. 敏感信息（行踪、通信、征信、财产）： **500 条以上** 。 2. 次敏感信息（住宿、健康、交易等）： **5000 条以上** 。 3. 一般信息： **5 万条以上** 。 4. 可按比例折算合计。 ###### 2. 严重后果的其他情形 1. 造成他人死亡、重伤、精神失常或被绑架。 2. 造成重大经济损失。 3. 严重扰乱社会秩序或其他。 3. > [!important] 核心重点/考点 > **本罪“造成严重后果”的认定中，不涉及违法所得金额这一要素** 。 ###### 4. 【典型案例】 李某全案中，某通信技术公司高管在多次被通信管理局、工信部罚款并 **书面责令改正** 后，仍无视实名制规定，致使回收电话卡致大量用户信息泄露。因满足“网络服务提供管理者+经书面责令拒不改正+造成严重后果”，被以该罪判处刑罚。