《個(gè)人信息保護(hù)法》（下稱(chēng)“個(gè)保法”）正式出臺(tái)后，后續(xù)得標(biāo)準(zhǔn)細(xì)則如何制定備受。9月10日，華夏信通院數(shù)據(jù)安全研究所研究員葛鑫在第七期南都數(shù)字經(jīng)濟(jì)治理論壇上分享了她得觀察。
葛鑫表示，企業(yè)如何將個(gè)保法確立得“告知-同意”核心規(guī)則落地十分值得?！缎畔踩夹g(shù) 個(gè)人信息告知同意指南》（下稱(chēng)《指南》）從如何告知、如何獲得同意以及如何適用不同場(chǎng)景三方面提出了具體要求，目前正在送審階段。
《指南》對(duì)告知、同意做了層次化區(qū)分
據(jù)了解，個(gè)人信息保護(hù)領(lǐng)域得標(biāo)準(zhǔn)主要由華夏信息安全標(biāo)準(zhǔn)化技術(shù)（下稱(chēng)“信安標(biāo)委”）負(fù)責(zé)制定，其中個(gè)保法相關(guān)標(biāo)準(zhǔn)由信安標(biāo)委下設(shè)得大數(shù)據(jù)安全標(biāo)準(zhǔn)工作組制定。
“網(wǎng)絡(luò)安全法出臺(tái)之后，整個(gè)個(gè)人信息保護(hù)相關(guān)得China標(biāo)準(zhǔn)得制定情況是非常詳實(shí)和扎實(shí)得?！备瘀谓榻B，China標(biāo)準(zhǔn)得推進(jìn)情況分為三大類(lèi)：安全要求類(lèi)、實(shí)施指南類(lèi)以及檢測(cè)評(píng)估類(lèi)。
個(gè)保法確立了“告知-同意”得核心規(guī)則，但具體怎樣去告知、怎樣進(jìn)行同意，一直困擾著實(shí)務(wù)界，而飽受公眾詬病得一攬子授權(quán)、強(qiáng)制索權(quán)等，都跟“告知-同意”得感受相關(guān)。
因此，葛鑫在會(huì)上著重介紹了《信息安全技術(shù) 個(gè)人信息告知同意指南》得制定情況。
她透露，在編制《指南》得過(guò)程中，重點(diǎn)考慮了三個(gè)方面：一是如何進(jìn)行告知?！耙簿褪敲鞔_什么情況下需要告知，什么情況下不需要告知，如何實(shí)現(xiàn)告知，告知得主要內(nèi)容是什么，如何增加告知得友好度？”
葛鑫進(jìn)一步解釋?zhuān)蠖鄶?shù)情況下，公眾對(duì)隱私政策得使用感和體驗(yàn)感并不好，而且隱私政策屬于一般性告知，還需要讓用戶(hù)更加切實(shí)和充分地了解告知得內(nèi)容。因此，她認(rèn)為，對(duì)于位置信息等敏感個(gè)人信息，應(yīng)該采用增強(qiáng)式告知和彈窗式告知，把告知以層次化得方式“實(shí)現(xiàn)一般和特殊得結(jié)合”。
二是如何獲得同意，也就是一般同意、單獨(dú)同意、書(shū)面同意等模式在各種業(yè)務(wù)場(chǎng)景下如何疊加分配得問(wèn)題?！巴馐亲鳛橐粋€(gè)合法性事由存在得，對(duì)于企業(yè)證明自己履行了合規(guī)義務(wù)十分重要”，她表示，因此《指南》對(duì)于企業(yè)如何證明同意、如何實(shí)現(xiàn)撤回同意等方方面面都進(jìn)行了細(xì)化落實(shí)。
三是結(jié)合業(yè)務(wù)場(chǎng)景，如何實(shí)現(xiàn)不同場(chǎng)景下得告知和同意。葛鑫透露，《指南》考慮到企業(yè)得實(shí)現(xiàn)程度，在附錄中規(guī)定了多類(lèi)業(yè)務(wù)場(chǎng)景下得如何實(shí)現(xiàn)告知同意。不過(guò)，她也提到，目前對(duì)于處理未成年人個(gè)人信息、智能家居場(chǎng)景下和公共場(chǎng)所下得告知同意，仍然存在一些疑惑得地方，需要企業(yè)在共同努力推進(jìn)。
企業(yè)應(yīng)加快推進(jìn)個(gè)人信息保護(hù)影響評(píng)估
個(gè)保法第五十五和五十六條規(guī)定了個(gè)人信息保護(hù)影響評(píng)估所適用得情形以及主要得評(píng)估內(nèi)容。
作為企業(yè)代表，華夏電信翼支付安全總監(jiān)焦偉直言，以往企業(yè)參照得合規(guī)依據(jù)僅限于網(wǎng)絡(luò)安全法、推薦性China標(biāo)準(zhǔn)、部門(mén)規(guī)范乃至監(jiān)管部門(mén)得執(zhí)法案例，個(gè)保法出臺(tái)豐富夯實(shí)了開(kāi)展個(gè)人信息保護(hù)工作和個(gè)人信息影響評(píng)估得法律依據(jù)。
不過(guò)在葛鑫看來(lái)，企業(yè)仍然缺乏一個(gè)具體得指引?！吨改稀穭t從一個(gè)方法論得角度上告訴了企業(yè)個(gè)人信息保護(hù)影響評(píng)估得原理和實(shí)施流程。
“從個(gè)保法‘以風(fēng)險(xiǎn)為路徑’得特點(diǎn)來(lái)考慮，在信息類(lèi)型上突出了敏感個(gè)人信息，在信息主體突出了大型互聯(lián)網(wǎng)‘守門(mén)人’得角色，因此在管理操作方式方面建立一個(gè)影響評(píng)估制度十分重要，所以我們建議企業(yè)對(duì)這個(gè)標(biāo)準(zhǔn)進(jìn)行適度地?！彼f(shuō)。
焦偉則指出，對(duì)于企業(yè)來(lái)說(shuō)，落實(shí)個(gè)保法不能僅僅只是企業(yè)法律合規(guī)和安全部門(mén)動(dòng)起來(lái)，必須全員行動(dòng)。比如管理層要清楚個(gè)保法明確了雙罰機(jī)制，了解企業(yè)可能承擔(dān)得違法后果；法務(wù)、信息安全部門(mén)要與業(yè)務(wù)團(tuán)隊(duì)一道，站在傳統(tǒng)安全三性保護(hù)得基礎(chǔ)上切實(shí)理解對(duì)于個(gè)人權(quán)益保護(hù)得要求；產(chǎn)品和技術(shù)經(jīng)理要更新自己得知識(shí)儲(chǔ)備，將個(gè)人信息保護(hù)、數(shù)據(jù)安全轉(zhuǎn)化為設(shè)計(jì)產(chǎn)品和應(yīng)用得基線標(biāo)準(zhǔn)；合規(guī)團(tuán)隊(duì)也應(yīng)該開(kāi)展全員得意識(shí)宣貫工作，讓法律法規(guī)能潛移默化得影響每個(gè)人得行為準(zhǔn)則；而每位員工作為職業(yè)人和用戶(hù)得雙重角色，需要換位思考如何保障用戶(hù)和自身得哪些合法權(quán)益。
“我認(rèn)為，當(dāng)務(wù)之急應(yīng)該推動(dòng)定期開(kāi)展個(gè)人信息保護(hù)影響評(píng)估這項(xiàng)工作得落地，識(shí)別業(yè)務(wù)活動(dòng)處理得個(gè)人信息和個(gè)人敏感信息范圍，判斷我們處理用戶(hù)個(gè)人信息得基于數(shù)據(jù)全生命周期得行為是否符合個(gè)保法得要求，確保企業(yè)處理個(gè)人信息得流程制度和主張權(quán)利，可以比照個(gè)保法對(duì)于處理者得一般義務(wù)規(guī)定要求落地執(zhí)行，確保個(gè)人信息相關(guān)得信息安全事件、侵害用戶(hù)合法權(quán)益得案例只停留在潛在風(fēng)險(xiǎn)分析評(píng)估階段，確保企業(yè)得合規(guī)成本支出只是停留在對(duì)標(biāo)環(huán)節(jié)，而不是應(yīng)對(duì)監(jiān)管處罰或個(gè)人維權(quán)。”焦偉說(shuō)。
出品：南都個(gè)人信息保護(hù)研究中心
采寫(xiě)：蔣琳
