最新法律动态

最新个人信息保护法草案

10月21日,全国人大将十三届全国人大常委会第二十二次会议审议的《个人信息保护法(草案)》(以下简称《草案》)在中国人大网公布,公开征求社会公众意见。《草案》共8章70条,其中不乏各日企及驻在员关注的问题,本次敝所对草案内容作简要介绍,供各日企参考。
1、与日企相关的的要点
(1)赋予《草案》域外适用效力,境外机构处理境内自然人个人信息的,受《草案》管辖,且须在中国境内设立专门机构或指定代表。
对符合下列条件之一的境外企业、机构或个人,均受《草案》的管辖。
①以向中国境内自然人提供产品或服务为目的;②分析、评估境内自然人的行为;③法律、行政法规规定的其他情形。
对于上述外国企业、机构,必须在中国境内设立专门机构或指定代表,负责个人信息保护相关事务。至于具体的操作方式,还需相关部门制定实施条例等配套法规予以明确。
(2)境内外企业在处理个人信息时,应事前充分告知并取得个人同意,并采取必要措施防止个人信息泄漏或被窃取、篡改等。
①充分告知+同意。对于境内外处理自然人个人信息的企业,在处理个人信息时应事前充分告知并取得个人同意。个人可以撤回同意,原则上企业不能以个人不同意为由不提供服务或货物。
②企业采取的必要措施。比如,企业需采取制订内部管理制度、操作规程,区分一般个人信息、敏感个人信息(医疗健康、金融账户、个人行踪等)分类管理,利用相应的加密、去标识化等安全技术措施,以及定期对公司进行审计等必要措施保护个人信息。
对于境外企业或机构来说,除了采取上述措施外,还必须在中国境内设立专业机构或代表,并将机构名称或代表姓名、联系方式等向个人信息保护部门进行报送。
(3)明确向境外提供个人信息的规则和限制
对于向境外提供个人信息的,比如现地日企向日本总社提供境内自然人(包括客户、交易对手、员工等)的个人信息的,应当是出于业务需要,且至少满足以下条件之一;
①经过国家网信部门的安全评估;②经过专业机构的个人信息保护认证;③与境外接收方签署合同,监督境外机构处理个人信息活动达到了《草案》规定的个人信息保护标准。
除了上述要求,境内企业还需向个人信息主体明确告知并经其单独同意,开展个人信息安全影响评估方可向境外提供个人信息。
(4)加大了对侵犯个人权益的惩罚力度,最高可处营业额的5%或者5000万元罚款。
《草案》明确规定了,对于违法处理个人信息或者未采取必要安全保护措施的企业处以100万以下的罚款。情节严重的,处以5000万元以下或者上一年度营业额的5%的罚款,严重的吊销企业的营业执照。
2、对日企的建议
《草案》提交审议意味着国家从立法层面对个人信息被随意收集、过度使用等现实问题进行了细化规制和保护。建议各日企对此高度关注,尽早了解相关规定,根据自身情况自行或委托律师制定内部管理制度和操作规程,采取相应的安全技术措施进行个人信息处理。尤其是对处理敏感个人信息、向境外提供个人信息等高风险处理活动,事前委托律师进行风险评估和规划。防止个人信息泄漏或未采取必要安全措施导致企业受处罚,信用受损。

作成日:2020年11月11日