《個(gè)人信息保護(hù)法》對(duì)企業(yè)的十大影響
2021年8月20日《中華人民共和國(guó)個(gè)人信息保護(hù)法》（簡(jiǎn)稱“《個(gè)人信息保護(hù)法》”）由第十三屆全國(guó)人民代表大會(huì)常務(wù)委員會(huì)第三十次會(huì)議審議通過(guò)并公布，將于2021年11月1日起施行。《個(gè)人信息保護(hù)法》實(shí)施之后，將與2017年6月1日實(shí)施的《網(wǎng)絡(luò)安全法》、以及2021年9月1日起生效的《數(shù)據(jù)安全法》一起，成為我國(guó)網(wǎng)絡(luò)空間管理和數(shù)據(jù)保護(hù)的“三駕馬車”。
《個(gè)人信息保護(hù)法》共八章，總計(jì)七十四個(gè)條款。其中，第一章為“總則”，第二章為“個(gè)人信息處理規(guī)則”（包含第一節(jié)“一般規(guī)定”、第二節(jié)“敏感個(gè)人信息的處理規(guī)則”、第三節(jié)“國(guó)家機(jī)關(guān)處理個(gè)人信息的特別規(guī)定”），第三章為“個(gè)人信息跨境提供的規(guī)則”，第四章為“個(gè)人在個(gè)人信息處理活動(dòng)中的權(quán)利”，第五章為“個(gè)人信息處理者的義務(wù)”，第六章為“履行個(gè)人信息保護(hù)職責(zé)的部門”，第七章為“法律責(zé)任”，第八章為“附 則”。本文重點(diǎn)解讀《個(gè)人信息保護(hù)法》將對(duì)企業(yè)產(chǎn)生的十大影響。
一、企業(yè)應(yīng)關(guān)注個(gè)人信息權(quán)益，并注意域外適用
《民法典》第一百一十一條中提到，自然人的個(gè)人信息受法律保護(hù)。而《個(gè)人信息保護(hù)法》第二條中將個(gè)人信息明確定義為一項(xiàng)權(quán)益，即“個(gè)人信息權(quán)益”。這是在目前互聯(lián)網(wǎng)背景之下為了規(guī)范個(gè)人信息處理活動(dòng)，促進(jìn)個(gè)人信息合理利用的應(yīng)有之舉。
根據(jù)《個(gè)人信息保護(hù)法》第四條，個(gè)人信息是以電子或者其他方式記錄的與已識(shí)別或者可識(shí)別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。個(gè)人信息的處理包括個(gè)人信息的收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)、刪除等。
因此，企業(yè)在實(shí)際經(jīng)營(yíng)之中，特別是在數(shù)據(jù)收集、使用和傳輸?shù)倪^(guò)程中，應(yīng)關(guān)注個(gè)人信息權(quán)益，防止個(gè)人信息泄露、個(gè)人信息過(guò)度采集等侵權(quán)行為的發(fā)生，否則將承擔(dān)民事、行政、甚至刑事的相關(guān)責(zé)任。
此外，在法域適用方面，企業(yè)應(yīng)當(dāng)注意《個(gè)人信息保護(hù)法》不僅適用于在我國(guó)境內(nèi)處理自然人個(gè)人信息的活動(dòng)，也適用于在境外處理我國(guó)境內(nèi)自然人個(gè)人信息的活動(dòng)。例如，以向境內(nèi)自然人提供產(chǎn)品或者服務(wù)為目的，分析、評(píng)估境內(nèi)自然人的行為等。這對(duì)有跨境業(yè)務(wù)的企業(yè)而言，提出了更高的合規(guī)要求，值得關(guān)注。
二、企業(yè)在處理個(gè)人信息時(shí)應(yīng)滿足七大原則
對(duì)于企業(yè)來(lái)說(shuō)，在處理個(gè)人信息時(shí)，應(yīng)滿足以下七大原則：“遵循合法、正當(dāng)、必要和誠(chéng)信原則”（第五條）、“具有明確、合理的目的”（第六條，即“目的限定原則”）、“采取對(duì)個(gè)人權(quán)益影響最小的方式……限于實(shí)現(xiàn)處理目的的最小范圍，不得過(guò)度收集個(gè)人信息”（第六條，即“最小必要原則”）、“遵循公開(kāi)、透明原則”（第七條）、“保證個(gè)人信息的質(zhì)量”（第八條，即“質(zhì)量原則”）、“對(duì)其個(gè)人信息處理活動(dòng)負(fù)責(zé)”（第九條，即“可問(wèn)責(zé)性”原則）、“采取必要措施保障所處理的個(gè)人信息的安全”（第九條，即“數(shù)據(jù)安全”原則）。
滿足以上七大原則，對(duì)于個(gè)人信息處理者來(lái)說(shuō)，是最基本的原則性要求。此外，對(duì)于企業(yè)來(lái)說(shuō)，根據(jù)《個(gè)人信息保護(hù)法》第十條的規(guī)定，不得非法收集、使用、加工、傳輸他人個(gè)人信息，不得非法買賣、提供或者公開(kāi)他人個(gè)人信息，也不得從事危害國(guó)家安全、公共利益的個(gè)人信息處理活動(dòng)，這也是對(duì)企業(yè)在數(shù)據(jù)收集和處理活動(dòng)過(guò)程中提出的基本合法性要求。
三、企業(yè)應(yīng)注意區(qū)分知情同意的不同情形
對(duì)于企業(yè)來(lái)說(shuō)，通常來(lái)說(shuō)，只有取得個(gè)人的同意，方可處理個(gè)人信息，這是“告知—同意”的核心原則的體現(xiàn)。企業(yè)還應(yīng)當(dāng)注意單獨(dú)同意或者書面同意的問(wèn)題，也即根據(jù)《個(gè)人信息保護(hù)法》第十四條的規(guī)定，法律、行政法規(guī)規(guī)定處理個(gè)人信息應(yīng)當(dāng)取得個(gè)人單獨(dú)同意或者書面同意的，從其規(guī)定。這對(duì)特殊情形下的知情同意（例如第三十一條有關(guān)未成年人個(gè)人信息采集，應(yīng)取得其父母或其他監(jiān)護(hù)人的同意），提出了更高的要求。
但也需要注意，根據(jù)《個(gè)人信息保護(hù)法》第十三條的規(guī)定，還有“不需取得個(gè)人同意”的其他特殊情形，也即：（1）為訂立、履行個(gè)人作為一方當(dāng)事人的合同所必需，或者按照依法制定的勞動(dòng)規(guī)章制度和依法簽訂的集體合同實(shí)施人力資源管理所必需；（2）為履行法定職責(zé)或者法定義務(wù)所必需；（3）為應(yīng)對(duì)突發(fā)公共衛(wèi)生事件，或者緊急情況下為保護(hù)自然人的生命健康和財(cái)產(chǎn)安全所必需；（4）為公共利益實(shí)施新聞報(bào)道、輿論監(jiān)督等行為，在合理的范圍內(nèi)處理個(gè)人信息；以及（5）依照本法規(guī)定在合理的范圍內(nèi)處理個(gè)人自行公開(kāi)或者其他已經(jīng)合法公開(kāi)的個(gè)人信息（第十三條第二項(xiàng)至第六項(xiàng)）。以上特殊情形，對(duì)于普通企業(yè)的人力資源管理提供了方便之門，也為政府部門在應(yīng)對(duì)突發(fā)公共衛(wèi)生事件時(shí)進(jìn)行數(shù)據(jù)合法收集提供了法律依據(jù)。對(duì)于從事新聞報(bào)道、輿論監(jiān)督的企業(yè)而言，如果是為公共利益在合理的范圍內(nèi)處理個(gè)人信息的，也可以不用取得個(gè)人同意。另外，對(duì)于緊急情況下為保護(hù)自然人的生命健康和財(cái)產(chǎn)安全所必需，以及個(gè)人自行公開(kāi)的情形，也不需要獲得知情同意。
對(duì)于需要知情同意的情形，在個(gè)人信息的處理目的、處理方式和處理的個(gè)人信息種類發(fā)生變更的，應(yīng)當(dāng)重新取得個(gè)人同意（第十四條）。并且，企業(yè)還應(yīng)當(dāng)保障個(gè)人的撤回同意權(quán)，也即基于個(gè)人同意處理個(gè)人信息的，個(gè)人有權(quán)撤回其同意，個(gè)人信息處理者應(yīng)當(dāng)提供便捷的撤回同意的方式（第十五條）。針對(duì)撤回同意的情形，個(gè)人撤回同意，不影響撤回前基于個(gè)人同意已進(jìn)行的個(gè)人信息處理活動(dòng)的效力（第十五條）。在個(gè)人不同意處理其個(gè)人信息或者撤回同意的情況下，個(gè)人信息處理者不得因此而拒絕提供產(chǎn)品或者服務(wù)，但處理個(gè)人信息屬于提供產(chǎn)品或者服務(wù)所必需的除外（第十六條）。
四、企業(yè)在共同處理和委托處理中承擔(dān)不同責(zé)任
對(duì)于共同處理的情形，也即兩個(gè)以上的個(gè)人信息處理者共同決定個(gè)人信息的處理目的和處理方式的，應(yīng)當(dāng)約定各自的權(quán)利和義務(wù)。但是，該約定不影響個(gè)人向其中任何一個(gè)個(gè)人信息處理者要求行使本法規(guī)定的權(quán)利（第二十條）。也即，用戶有權(quán)向共同處理的任意一方行使權(quán)利，合同只能在合作企業(yè)內(nèi)部發(fā)生效力，而一旦發(fā)生侵害個(gè)人信息權(quán)益造成損害的，企業(yè)都應(yīng)當(dāng)依法承擔(dān)連帶責(zé)任。
對(duì)于委托處理的情形，也即個(gè)人信息處理者委托處理個(gè)人信息的，應(yīng)當(dāng)與受托人約定委托處理的目的、期限、處理方式、個(gè)人信息的種類、保護(hù)措施以及雙方的權(quán)利和義務(wù)等，并對(duì)受托人的個(gè)人信息處理活動(dòng)進(jìn)行監(jiān)督（第二十一條）。而受托人應(yīng)當(dāng)按照約定處理個(gè)人信息，不得超出約定的處理目的、處理方式等處理個(gè)人信息；委托合同不生效、無(wú)效、被撤銷或者終止的，受托人應(yīng)當(dāng)將個(gè)人信息返還個(gè)人信息處理者或者予以刪除，不得保留。這對(duì)委托方和受托方的數(shù)據(jù)活動(dòng)都提出了相應(yīng)的合規(guī)要求。
此外，對(duì)于因合并、分立、解散、被宣告破產(chǎn)等原因需要轉(zhuǎn)移個(gè)人信息的，企業(yè)應(yīng)當(dāng)向個(gè)人告知接收方的名稱或者姓名和聯(lián)系方式。接收方應(yīng)當(dāng)繼續(xù)履行個(gè)人信息處理者的義務(wù)。接收方變更原先的處理目的、處理方式的，應(yīng)當(dāng)依照本法規(guī)定重新取得個(gè)人同意（第二十二條）。而企業(yè)向其他個(gè)人信息處理者提供其處理的個(gè)人信息的，應(yīng)當(dāng)向個(gè)人告知接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個(gè)人信息的種類，并取得個(gè)人的單獨(dú)同意。接收方應(yīng)當(dāng)在上述處理目的、處理方式和個(gè)人信息的種類等范圍內(nèi)處理個(gè)人信息。接收方變更原先的處理目的、處理方式的，應(yīng)當(dāng)依照本法規(guī)定重新取得個(gè)人同意（第二十三條）。
五、企業(yè)應(yīng)避免大數(shù)據(jù)殺熟，規(guī)范自動(dòng)化決策
大數(shù)據(jù)殺熟在互聯(lián)網(wǎng)電商領(lǐng)域中時(shí)有發(fā)生，對(duì)消費(fèi)者的權(quán)益造成了損害，產(chǎn)生了非常不良的影響。《個(gè)人信息保護(hù)法》第二十四條對(duì)此進(jìn)行了明確的規(guī)制，也即，個(gè)人信息處理者利用個(gè)人信息進(jìn)行自動(dòng)化決策，應(yīng)當(dāng)保證決策的透明度和結(jié)果公平、公正，不得對(duì)個(gè)人在交易價(jià)格等交易條件上實(shí)行不合理的差別待遇。其中，自動(dòng)化決策是指通過(guò)計(jì)算機(jī)程序自動(dòng)分析、評(píng)估個(gè)人的行為習(xí)慣、興趣愛(ài)好或者經(jīng)濟(jì)、健康、信用狀況等，并進(jìn)行決策的活動(dòng)（第七十三條）。
而且，通過(guò)自動(dòng)化決策方式向個(gè)人進(jìn)行信息推送、商業(yè)營(yíng)銷，應(yīng)當(dāng)同時(shí)提供不針對(duì)其個(gè)人特征的選項(xiàng)，或者向個(gè)人提供便捷的拒絕方式。也即，對(duì)于企業(yè)來(lái)說(shuō)，個(gè)性化推送的廣告商業(yè)模式之外，還需要提供非個(gè)性化和可以拒絕的選項(xiàng)。
此外，對(duì)于企業(yè)來(lái)說(shuō)，還需要注意通過(guò)自動(dòng)化決策方式作出對(duì)個(gè)人權(quán)益有重大影響的決定，個(gè)人有權(quán)要求個(gè)人信息處理者予以說(shuō)明，并有權(quán)拒絕個(gè)人信息處理者僅通過(guò)自動(dòng)化決策的方式作出決定。因此，企業(yè)應(yīng)注意區(qū)分有重大影響的決定情形，并給用戶拒絕的權(quán)利。
六、企業(yè)應(yīng)嚴(yán)格限制對(duì)敏感個(gè)人信息（包括未成年人信息）的處理
《個(gè)人信息保護(hù)法》第二十八條~第三十條對(duì)敏感個(gè)人信息的內(nèi)容進(jìn)行了介紹，企業(yè)應(yīng)注意對(duì)敏感個(gè)人信息的處理活動(dòng)要更加小心謹(jǐn)慎。這是因?yàn)?，敏感個(gè)人信息一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害。例如，生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個(gè)人信息（第二十八條）。
因此，目前法律規(guī)定，只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，個(gè)人信息處理者方可處理敏感個(gè)人信息。而且，處理敏感個(gè)人信息應(yīng)當(dāng)取得個(gè)人的單獨(dú)同意；法律、行政法規(guī)規(guī)定處理敏感個(gè)人信息應(yīng)當(dāng)取得書面同意的，從其規(guī)定（第二十九條）。此外，個(gè)人信息處理者處理敏感個(gè)人信息的，除一般的告知事項(xiàng)外，還應(yīng)當(dāng)向個(gè)人告知處理敏感個(gè)人信息的必要性以及對(duì)個(gè)人權(quán)益的影響，但依法可以不向個(gè)人告知的除外（第三十條）。
此外，對(duì)于處理不滿十四周歲未成年人個(gè)人信息（亦屬于敏感個(gè)人信息）的情形，企業(yè)應(yīng)當(dāng)取得未成年人的父母或者其他監(jiān)護(hù)人的同意，而且對(duì)于該類信息，企業(yè)還應(yīng)當(dāng)制定專門的個(gè)人信息處理規(guī)則（第三十一條）。
七、企業(yè)應(yīng)注意完善個(gè)人信息跨境提供規(guī)則
《個(gè)人信息保護(hù)法》第三章是有關(guān)“個(gè)人信息跨境提供的規(guī)則”的法律要求，可以稱為“中國(guó)版?zhèn)€人信息跨境流動(dòng)規(guī)則”。作為一般要求，個(gè)人信息處理者因業(yè)務(wù)等需要向境外提供個(gè)人信息時(shí)，應(yīng)當(dāng)具備下列條件之一：
（1）依法通過(guò)國(guó)家網(wǎng)信部門組織的安全評(píng)估；
（2）按照國(guó)家網(wǎng)信部門的規(guī)定經(jīng)專業(yè)機(jī)構(gòu)進(jìn)行個(gè)人信息保護(hù)認(rèn)證；
（3）按照國(guó)家網(wǎng)信部門制定的標(biāo)準(zhǔn)合同與境外接收方訂立合同，約定雙方的權(quán)利和義務(wù)；
（4）法律、行政法規(guī)或者國(guó)家網(wǎng)信部門規(guī)定的其他條件。
在向境外提供個(gè)人信息時(shí)，企業(yè)應(yīng)注意：
● 個(gè)人信息處理者應(yīng)當(dāng)采取必要措施，保障境外接收方處理個(gè)人信息的活動(dòng)達(dá)到本法規(guī)定的個(gè)人信息保護(hù)標(biāo)準(zhǔn)（第三十八條）；
● 個(gè)人信息處理者應(yīng)當(dāng)向個(gè)人告知境外接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式、個(gè)人信息的種類以及個(gè)人向境外接收方行使本法規(guī)定權(quán)利的方式和程序等事項(xiàng)，并取得個(gè)人的單獨(dú)同意（第三十九條）；
● 個(gè)人信息處理者應(yīng)當(dāng)事前進(jìn)行個(gè)人信息保護(hù)影響評(píng)估，并對(duì)處理情況進(jìn)行記錄（第五十五條）。
此外，對(duì)于關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者（CIIO）和處理個(gè)人信息達(dá)到國(guó)家網(wǎng)信部門規(guī)定數(shù)量的個(gè)人信息處理者而言，應(yīng)當(dāng)將在中華人民共和國(guó)境內(nèi)收集和產(chǎn)生的個(gè)人信息存儲(chǔ)在境內(nèi)。確需向境外提供的，應(yīng)當(dāng)通過(guò)國(guó)家網(wǎng)信部門組織的安全評(píng)估；法律、行政法規(guī)和國(guó)家網(wǎng)信部門規(guī)定可以不進(jìn)行安全評(píng)估的，從其規(guī)定（第四十條）。
八、企業(yè)應(yīng)關(guān)注個(gè)人信息主體享有的十大權(quán)利
《個(gè)人信息保護(hù)法》第四章規(guī)定了“個(gè)人在個(gè)人信息處理活動(dòng)中的權(quán)利”，主要包括“享有知情權(quán)、決定權(quán)”（即知情權(quán)、決定權(quán)，第四十四條）、“有權(quán)限制或者拒絕他人對(duì)其個(gè)人信息進(jìn)行處理” （即限制權(quán)、拒絕權(quán)，第四十四條）、“有權(quán)向個(gè)人信息處理者查閱、復(fù)制其個(gè)人信息”（即查閱權(quán)、復(fù)制權(quán)，第四十五條）、 “個(gè)人信息處理者應(yīng)當(dāng)提供將個(gè)人信息轉(zhuǎn)移至其指定的個(gè)人信息處理者的途徑”（即可攜帶權(quán)，第四十五條）、“有權(quán)請(qǐng)求個(gè)人信息處理者更正、補(bǔ)充”（即更正權(quán)，第四十六條）、“個(gè)人有權(quán)請(qǐng)求個(gè)人信息處理者主動(dòng)刪除個(gè)人信息”（即刪除權(quán)，第四十七條）、自動(dòng)化決策相關(guān)權(quán)利（第二十四條）
此外，個(gè)人還有權(quán)要求個(gè)人信息處理者對(duì)其個(gè)人信息處理規(guī)則進(jìn)行解釋說(shuō)明（第四十八條）。自然人死亡的，其近親屬為了自身的合法、正當(dāng)利益，可以對(duì)死者的相關(guān)個(gè)人信息行使本章規(guī)定的查閱、復(fù)制、更正、刪除等權(quán)利（第四十九條）。對(duì)于個(gè)人信息處理者來(lái)說(shuō)，應(yīng)當(dāng)建立便捷的個(gè)人行使權(quán)利的申請(qǐng)受理和處理機(jī)制，拒絕個(gè)人行使權(quán)利的請(qǐng)求的，應(yīng)當(dāng)說(shuō)明理由（第五十條）。
九、企業(yè)應(yīng)承擔(dān)作為個(gè)人信息處理者的相應(yīng)義務(wù)
《個(gè)人信息保護(hù)法》第五章規(guī)定了“個(gè)人信息處理者的義務(wù)”，其中提到，作為個(gè)人信息處理者，企業(yè)應(yīng)當(dāng)：
● 根據(jù)個(gè)人信息的處理目的、處理方式、個(gè)人信息的種類以及對(duì)個(gè)人權(quán)益的影響、可能存在的安全風(fēng)險(xiǎn)等，采取措施（例如制定制度、分類管理、加密、去標(biāo)識(shí)化、制定并組織實(shí)施應(yīng)急預(yù)案等）確保個(gè)人信息處理活動(dòng)符合法律、行政法規(guī)的規(guī)定，并防止未經(jīng)授權(quán)的訪問(wèn)以及個(gè)人信息泄露、篡改、丟失（第五十一條）；
● 處理個(gè)人信息達(dá)到國(guó)家網(wǎng)信部門規(guī)定數(shù)量的個(gè)人信息處理者應(yīng)當(dāng)指定個(gè)人信息保護(hù)負(fù)責(zé)人，負(fù)責(zé)對(duì)個(gè)人信息處理活動(dòng)以及采取的保護(hù)措施等進(jìn)行監(jiān)督；公開(kāi)個(gè)人信息保護(hù)負(fù)責(zé)人的聯(lián)系方式，并將個(gè)人信息保護(hù)負(fù)責(zé)人的姓名、聯(lián)系方式等報(bào)送履行個(gè)人信息保護(hù)職責(zé)的部門（第五十二條）；
● 處理境內(nèi)個(gè)人信息的境外個(gè)人信息處理者，應(yīng)當(dāng)在中華人民共和國(guó)境內(nèi)設(shè)立專門機(jī)構(gòu)或者指定代表，負(fù)責(zé)處理個(gè)人信息保護(hù)相關(guān)事務(wù)，并將有關(guān)機(jī)構(gòu)的名稱或者代表的姓名、聯(lián)系方式等報(bào)送履行個(gè)人信息保護(hù)職責(zé)的部門（第五十三條）；
● 定期對(duì)其處理個(gè)人信息遵守法律、行政法規(guī)的情況進(jìn)行合規(guī)審計(jì)（第五十四條）；
● 對(duì)于處理敏感個(gè)人信息、利用個(gè)人信息進(jìn)行自動(dòng)化決策、向境外提供個(gè)人信息等情形，事前進(jìn)行個(gè)人信息保護(hù)影響評(píng)估，并對(duì)處理情況進(jìn)行記錄（至少保存三年，第五十五條）；
● 發(fā)生或者可能發(fā)生個(gè)人信息泄露、篡改、丟失的，個(gè)人信息處理者應(yīng)當(dāng)立即采取補(bǔ)救措施，并通知履行個(gè)人信息保護(hù)職責(zé)的部門和個(gè)人（第五十七條）；
● 提供重要互聯(lián)網(wǎng)平臺(tái)服務(wù)、用戶數(shù)量巨大、業(yè)務(wù)類型復(fù)雜的個(gè)人信息處理者，應(yīng)當(dāng)成立主要由外部成員組成的獨(dú)立機(jī)構(gòu)對(duì)個(gè)人信息保護(hù)情況進(jìn)行監(jiān)督、制定有關(guān)個(gè)人信息保護(hù)的平臺(tái)規(guī)則、定期發(fā)布個(gè)人信息保護(hù)社會(huì)責(zé)任報(bào)告等（第五十八條）。
十、企業(yè)應(yīng)要規(guī)避侵犯?jìng)€(gè)人信息行為的法律責(zé)任
《個(gè)人信息保護(hù)法》第七章“法律責(zé)任”部分重點(diǎn)介紹了侵犯?jìng)€(gè)人信息行為的各種責(zé)任，代表了目前對(duì)此類行為的嚴(yán)監(jiān)管的風(fēng)向，作為企業(yè)以及企業(yè)的管理者而言，應(yīng)特別注意以下法律責(zé)任：
● 違反本法規(guī)定處理個(gè)人信息，或者處理個(gè)人信息未履行本法規(guī)定的個(gè)人信息保護(hù)義務(wù)的，由履行個(gè)人信息保護(hù)職責(zé)的部門責(zé)令改正，給予警告，沒(méi)收違法所得，對(duì)違法處理個(gè)人信息的應(yīng)用程序，責(zé)令暫停或者終止提供服務(wù)；拒不改正的，并處一百萬(wàn)元以下罰款；對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處一萬(wàn)元以上十萬(wàn)元以下罰款（第六十六條）；
● 情節(jié)嚴(yán)重的，由省級(jí)以上履行個(gè)人信息保護(hù)職責(zé)的部門責(zé)令改正，沒(méi)收違法所得，并處五千萬(wàn)元以下或者上一年度營(yíng)業(yè)額百分之五以下罰款，并可以責(zé)令暫停相關(guān)業(yè)務(wù)或者停業(yè)整頓、通報(bào)有關(guān)主管部門吊銷相關(guān)業(yè)務(wù)許可或者吊銷營(yíng)業(yè)執(zhí)照；對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處十萬(wàn)元以上一百萬(wàn)元以下罰款，并可以決定禁止其在一定期限內(nèi)擔(dān)任相關(guān)企業(yè)的董事、監(jiān)事、高級(jí)管理人員和個(gè)人信息保護(hù)負(fù)責(zé)人（第六十七條）；
● 處理個(gè)人信息侵害個(gè)人信息權(quán)益造成損害，個(gè)人信息處理者不能證明自己沒(méi)有過(guò)錯(cuò)的，應(yīng)當(dāng)承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任，該損害賠償責(zé)任按照個(gè)人因此受到的損失或者個(gè)人信息處理者因此獲得的利益確定；個(gè)人因此受到的損失和個(gè)人信息處理者因此獲得的利益難以確定的，根據(jù)實(shí)際情況確定賠償數(shù)額（第六十九條）；
● 違反本法規(guī)定，構(gòu)成違反治安管理行為的，依法給予治安管理處罰；構(gòu)成犯罪的，依法追究刑事責(zé)任（第七十一條）。
由此可見(jiàn)，在法律責(zé)任方面，《個(gè)人信息保護(hù)法》從行政處罰、民事賠償、刑事責(zé)任等多個(gè)維度都予以了規(guī)制。特別地，在行政處罰方面，不僅可以處罰企業(yè)本身（最高至上一年度營(yíng)業(yè)額百分之五），還可以對(duì)直接負(fù)責(zé)的主管人員和其他責(zé)任人員處以近百萬(wàn)的罰款，這無(wú)疑使得企業(yè)在個(gè)人信息保護(hù)方面的合規(guī)需求更為迫切。
此外，對(duì)于個(gè)人信息處理者違反本法規(guī)定處理個(gè)人信息，侵害眾多個(gè)人的權(quán)益的，人民檢察院、法律規(guī)定的消費(fèi)者組織和由國(guó)家網(wǎng)信部門確定的組織可以依法向人民法院提起訴訟（第七十條），這種“公益”訴訟也使得監(jiān)管的風(fēng)險(xiǎn)來(lái)自各個(gè)方向，對(duì)企業(yè)提出了更高的潛在合規(guī)要求。
總之，《個(gè)人信息保護(hù)法》對(duì)個(gè)人信息保護(hù)提出了更高的要求，作為企業(yè)來(lái)說(shuō)，應(yīng)當(dāng)關(guān)注其對(duì)企業(yè)合規(guī)工作所帶來(lái)的影響，從而有效規(guī)避風(fēng)險(xiǎn)，保障企業(yè)的正常經(jīng)營(yíng)和持續(xù)發(fā)展。
特別鳴謝：北京高文律師事務(wù)所
潘聰律師