华商原创 ▎《个人信息保护法》颁布，数据企业将会遭受哪些冲击

不负众望！2021年8月20日上午9点，《个人信息保护法》（三审稿）提交全国人大常委会审议并表决通过，国内第一部个人信息保护法律已经诞生。

从此之后，强制刷脸、包厢装摄像头、APP随意个性化推荐……这些滥用、收集个人信息的行为将成为历史。《个人信息保护法》将对这些违法利用个人信息的行为进行严厉打击，保护个人用户的个人信息权益，促进个人信息安全和有序自由流动。

相应地，该部法律在保护个人信息权益的同时，势必会给数据企业带来巨大影响和冲击。

那么，该部法律将会给数据企业带来哪些冲击呢？

洛加数据团队成员、广东华商律师事务所彭炎林律师认为：

“从2009年开始，个人信息保护问题受到全社会的广泛关注，国家各个部门也在数据合规方面下了大力气，相关部门多次制定和发布相关标准，开展APP违法违规使用个人信息的专项治理工作，多地法院也陆续做出“人脸识别第一案”等与个人信息侵权和保护相关的判例。

这些法律、法规、标准和判例，都对数据企业的个人信息保护合规提出了前所未有的要求，企业的个人信息保护合规工作迫在眉睫。

另外，毫不夸张地说，鉴于即将生效的《个人信息保护法》规定了“5000万元或上一年度营业额5%”的惩罚性赔偿，每个数据企业都必须认真履行法定职责，甚至不少企业不得不调整其商业模式。”

洛加数据团队成员、广东华商律师事务所刘大亮律师 认为：

“即将生效的《个人信息保护法》对数据企业产生的影响，应当从两个方面来看，一是个人用户的个人信息权益维护方面，二是数据企业的个人信息保护合规方面。

具体来说，个人信息权益维护方面，《个人信息保护法（草案）》规定，在个人信息处理活动中，个人用户拥有诸多权利，诸如知情权、决定权、撤回权、拒绝自动化决策、拒绝使用人脸图像数据、反人肉搜索以及对个人信息的查阅权、复制权、更正权、补充权、删除权等权利。

用户的这些权利，相应地，就成了企业的合规义务。

具体来说，根据《个人信息保护法（草案）》的规定，数据企业至少应当履行如下义务：

第一，数据企业应当建立相应的个人信息保护合规体系、个人信息安全保护制度、个人信息保护负责人制度、个人信息授权撤回处理机制等合规制度；

第二，数据企业的合规制度应当覆盖个人信息从采集、传输、存储、共享到出境等全生命周期环节；

第三，数据企业应当履行个人信息安全保护义务，委托律师事务所等专业机构对个人信息安全进行定期审计；

第四，数据企业应当对个人信息进行事前风险评估，并履行“告知+同意”的法定义务，在泄露时及时采取补救措施和通知个人用户，以减小对个人用户造成的损失；

第五，数据企业在处理共同处理个人信息、委托处理个人信息、向第三方提供个人信息以及因公司分立、合并转移个人信息等业务时，应当在协议中充分约定合作各方的权利义务，规避因合作方违反法律、违反法规和违约给企业自身所带来的法律风险。

第六，数据企业应当尊重用户的撤回权，在用户提出撤回同意或注销账户的申请后，应当及时停止处理该用户的个人信息，并将相关个人信息予以删除或匿名化处理。

最后，刘大亮律师认为：

“对个人用户来说，《个人信息保护法》的颁布无疑是个好消息，这将对个人信息保护发挥重大作用。

对整个社会而言，《个人信息保护法》将为数字化时代保护个人权利打下扎实的地基，有利于促进数字经济的有序发展。

对数据企业来说，该法律的颁布也将是一大利好。为什么这么说呢？

《个人信息保护法》明确了数据企业的权责边界，对数据企业的健康发展具有重大规范和指引作用，让数据企业一开始就以合规方式运行，可以大大降低企业运营中的各种法律风险。

毕竟，诸如雅虎因个人数据泄露直接卖身核心互联网业务的悲剧，没有任何一个数据企业希望这样的事情发生在自己身上。

又比如，诸如某天气APP IPO被否这样的结局，也没有任何一个创业者和投资人希望看到。

彭炎林

华商律师事务所

专职律师

主要执业领域为公司上市、投融资及并购、数据合规、民商事诉讼与仲裁等

刘大亮

华商律师事务所

专职律师

主要执业领域为企业常法及数据合规、股权、知识产权等新兴产权法律业务

华商往期精彩推荐