英国ICO的Privacy Harm分类：国标39335的个人权益影响分类

编者按

前几天看到英国ICO正式发布了其对Privacy Harm类型化的观点。索性就两者与国标《个人信息安全影响评估指南》（GB/T 39335-2020）中个人权益分析中的权益影响分类进行了简单对比，发现两者大致相同。

本公号发表过的关于个人信息安全影响评估的文章如下：

首先来看《个人信息安全影响评估指南》（GB/T 39335-2020）对个人权益影响分析的论述和分类：

再来看英国ICO对Privacy Harm的分类

简单比较的结论是：

1、英国ICO考虑了个人信息保护不足对社会、经济甚至是环境的影响，这个确实39335没有考量。因为当时制定的初衷是站在个体角度。

引发的一个问题是，《个人信息保护法》第五十五和五十六条规定的“个人信息保护影响评估”从文字角度来理解，是否仅仅包括了个人角度的权益分析？

关于39335能够很好地支撑《个人信息保护法》第五十五和五十六条规定的“个人信息保护影响评估”的分析，已经非常多了，感兴趣的读者可以简单搜索一下。

2、个体层面的权益分析，39335和ICO的分类基本一致。

英国ICO的分类	《个人信息安全影响评估指南》39335
Financial Harm	5.5.1 d) 人身财产受损
Bodily Harm	5.5.1 d) 人身财产受损
Costs of avoiding/mitigating harm	N/A
Discrimination	5.5.1 b) 引发差别性待遇
Unwarranted Intrusion	5.5.1 c) 个人名誉受损或遭受精神压力
Loss of control of personal data	5.5.1 a) 限制个人自主决定权
Lack of autonomy; manipulation and influence	5.5.1 a) 限制个人自主决定权
Psychological Harm	5.5.1 c) 个人名誉受损或遭受精神压力
Chiling effects	5.5.1 a) 限制个人自主决定权
Adverse effects on rights and freedoms	N/A

相比于ICO的文件，39335有两项缺失：1）避免或者环节损害的成本；2）对权利和自由的负面效果。这两项，39335没有考虑。但这两项是否应当纳入，公号君从操作性角度来看，持保留意见。当然，这是个开放性问题，仁者见仁智者见智。

下面是ICO文件的全文

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过400人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

关于保护网络和信息系统安全的相关文章包括：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

赴美上市的网络、数据安全方面的两国监管乃至冲突方：

个性化广告或行为定向广告（behavioral targeting advertising）系列的文章：

关于我国的《个人信息保护法》的相关文章包括：

围绕着美国方面的个人信息保护立法，本公号发表了以下文章：

关于数据要素治理的相关文章包括：

人脸识别系列文章：

内容安全方面的文章如下：

关于中美与国家安全相关的审查机制的文章：

地缘政治与跨国科技公司运营之间的互动影响：

关于数据的安全、个人信息保护、不正当竞争等方面的重大案例：

关于欧盟技术主权相关举措的翻译和分析：

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

关于个人数据和域外国家安全审查之间的关系，见：

关于健康医疗数据方面的文章有：

关于数据执法跨境调取的相关文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

数字贸易专题系列：

关于业务场景中数据跨境流动的文章如下：

关于《数据出境安全评估办法》的系列解读文章

美国方面的个人信息保护立法的文章：

关于人工智能安全和监管，本公号发布过以下文章：