2020年10月21日，备受瞩目的《个人信息保护法（草案）》（以下简称“草案”），在经过全国人大常委会第一次审议后，正式向社会公布并征求意见。草案有着“中国版GDPR（《通用数据保护条例》）”之称，被广泛认为将对传统行业、新兴领域乃至整个数字经济的长远发展，产生重大而深刻的影响。
本文将通过八大关键词与八个典型业务场景，帮助读者直击草案核心内容，一窥“个保法”时代的重要特征。
关键词一：域外适用（“长臂管辖”）
考虑到数据流动性的现实，在借鉴其他国家和地区做法的基础上，草案赋予了《个人信息保护法》必要的域外适用效力，增添了中国特色的“长臂管辖”条款。根据草案第二条的规定，除了在中国境内处理个人信息的活动，当然地适用《个人信息保护法》外，在中国境外处理境内自然人个人信息的活动，也可能适用本法，具体情形包括：
(1) 以向境内自然人提供产品或者服务为目的；
(2) 为分析、评估境内自然人的行为。
基于该等规定，外国公司（无论在中国是否设有分支机构）、中国公司的境外分支机构，均有可能受到《个人信息保护法》的管辖。对于这类境外主体，其还应当在境内设立专门机构或者指定代表，负责个人信息保护相关事务。
案例1：某欧洲小众奢侈品牌，在中国并未设立子公司，但其运营的全球网站提供中文在内的多语种界面，并支持在线下单、支付宝付款与跨境配送。
——根据草案，该公司很可能受到管辖，并应履行相应的个人信息保护义务。
关键词二： 同意vs无需同意
草案沿用了《网络安全法》与国家标准《个人信息安全规范》中“告知+同意”的合法性基础，即“个人在充分知情的前提下，自愿、明确作出授权的意思表示”是处理个人信息的首要规则。同时，就同意而言，草案也首次区分了“单独同意”与“书面同意”的情形。
更重要的是，草案还借鉴了GDPR中规定的其他合法性基础，在同意的基础上，增设了五种无需同意的例外情形：
(1) 为订立或者履行个人作为一方当事人的合同所必需；
(2) 履行法定职责或者法定义务所必需；
(3) 应对公共卫生事件和紧急避险所必需；
(4) 为公共利益实施新闻报道、舆论监督所合理必需；
(5) 其他法定情形。
这种更加科学的“同意+例外”规制方式，给予了个人信息处理更灵活的空间，并可在一定程度上帮助企业降低合规成本。
案例2：某跨境物流公司为提升用户体验，拟推出“一键式”下单计划，减少各类弹窗、提醒，但苦于法律对用户同意的强制要求，迟迟无法落地。
——根据草案，对于为履行物流合同所必需收集的个人信息（如收寄件人地址、联系方式等），该公司将无需取得用户同意，即无须设置勾选或点击等繁琐操作，仅履行告知义务即可。
关键词三：跨境传输
中国法下的个人信息跨境传输，始终是企业合规实践中的痛点与难点。草案在《网络安全法》的基础上，进一步丰富并突破了现有的跨境传输规则。
首先，对于本地化储存的范围：对于“关键信息基础设施运营者（CIIO）”或“处理个人信息达到国家网信部门规定数量的个人信息处理者”，应当将其在境内收集和产生的个人信息，存储在中国境内。以信息数量作为本地化义务的标准，这一规定大幅突破了现有的法律框架。
其次，对于前述两类主体之外的一般处理者，跨境传输应当至少具备下列一项条件：
(1) 经专业机构进行个人信息保护认证；
(2) 与境外接收方订立合同，约定双方的权利和义务，并监督其达到本法规定的个人信息保护标准；
(3) 其他法定条件。
前述（1）项条件可能部分借鉴了GDPR下的认证机制（certification mechanism）；（2）项条件延续了《个人信息出境安全评估办法（征求意见稿）》的做法，提供类似“标准合同条款（SCCs）”的保护机制。
案例3：某日资企业（日本公司的中国分支）需要将境内B2C业务收集到的个人信息，以及中国员工的详细绩效报告，通过网络发送给位于境外的总部。假设该企业并非CIIO且个人信息数量较少，该如何操作？
——根据草案，其可以选择：与日本总部签署数据传输协议，或者寻求专业机构的认证；同时，还应当向客户与员工告知并征得同意。
关键词四：主体权利
相比于《民法典》和《个人信息安全规范》，草案以专章立法的方式，贯穿个人信息的全生命周期，全面规定个人信息主体的五大类权利，高度重视权利保护。这些权利包括：（1）知情权、决定权、限制和拒绝权；（2）查阅、复制权；（3）更正、补充权；（4）删除权；（5）要求个人信息处理者解释说明处理规则的权利。
这些权利并非形式性的存在，草案专门规定：个人信息处理者应当建立个人行使权利的申请受理和处理机制，拒绝个人行使权利的请求的，应当说明理由。从实践角度，草案为企业施加了保障用户行权的强制性义务。
案例4：某私立教育机构通过“智慧成长系统”长期追踪学生的学业表现、日常考勤、兴趣爱好等。某15岁学生向机构提出，希望了解并查阅所有和她有关的档案记录。该机构以不合内部规定为由，拒绝请求。
——根据草案，该教育机构应当向学生解释说明处理规则，并保障其知情、查阅等权利。
关键词五：“DPO”
草案提出“个人信息保护负责人”的制度性要求：即处理个人信息达到一定数量的处理者，应指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督；并且，还应将个人信息保护负责人的姓名、联系方式等予以公开，并报送相关主管部门。
从任命条件、职能、公开和报送要求等方面来看，这一概念与GDPR下的数据保护官（Data Protection Officer, DPO）存在相当的相似性。鉴于目前的规定相对笼统，已经任命全球或中国DPO的企业，尤其是跨国公司，可待后续配套规定厘清个人信息保护负责人的任职资格、具体义务和负责事项等后，另行决定是否需要另行任命或内部兼任。
案例5：某中国民营航空公司，同时运营欧美至中国的国际航线与大量国内航班，已在欧盟当地派驻由本地人士担任的GDPR-DPO。公司拟新设个人信息保护负责人岗位，并由集团风控总监兼任。
——根据草案，暂时无法确认个人信息保护负责人的任职资格与条件。但出于有效履责的角度，专人专岗或许是最佳实践。
关键词六：风险评估
草案规定个人信息处理者在进行特定个人信息处理活动前，应进行风险评估，并予以记录。具体而言，“特定个人信息处理活动”主要是指对个人有重大影响的个人信息处理活动，例如涉及：
（1）处理敏感个人信息；
（2）利用个人信息进行自动化决策；
（3）委托处理、向第三方提供或公开个人信息；
（4）向境外提供个人信息。
风险评估的内容主要包括个人信息处理目的、方式的合法、正当、必要性；对个人的影响及风险程度；以及所采取的安全保护措施的适当性。
这一规定在适用条件和评估内容方面，能够看到GDPR下数据保护影响评估制度（DPIA）的影响。与《个人信息安全规范》下的“个人信息安全影响评估”（PIA）相比，风险评估制度进一步明确了适用范围。
案例6：某B2C互联网企业的App端产品，拟引入人脸识别功能，进行用户年龄的确认、账号安全性改进以及改善服务体验。公司合规部门拟就该计划是否可行给出意见。
——根据草案，处理包括个人生物特征在内的敏感个人信息前，应当进行风险评估。
关键词七：泄露通知
《网络安全法》要求，在发生或者可能发生个人信息泄露、毁损、丢失的情况时，立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
草案则在此基础上细化，规定需要通知的内容包括：
（1）个人信息泄露的原因；
（2）泄露的个人信息种类和可能造成的危害；
（3）已采取的补救措施；
（4）个人可以采取的减轻危害的措施；以及
（5）个人信息处理者的联系方式。
此外，草案还明确如采取措施能够有效避免信息泄露造成损害的，可以不通知个人。与GDPR相比，草案中的个人信息泄露通知要求并未涉及通知时限、受托处理者的配合义务以及是否可以分阶段提供等实操性问题，未来有待进一步澄清或在配套规定中明确。
案例7：某美资公司要求，员工必须使用公司分配的移动硬盘、办公电脑，某次内部盘点发现一台加密移动硬盘丢失，其中存有大量用户账号与地址，但具体丢失时间不详。
——根据草案，硬件丢失是否应视作“泄露”并无规定，但域外经验则通常视作泄露事件。此时，公司应当及时采取相应的措施与行动。
关键词八：5000万与5%
此次草案最引人关注的规定，莫过于高额罚款——违反相关规定，情节严重的，处5000万元以下或者上一年度营业额5%以下罚款。这一规定突破了《网络安全法》下100万罚款的上限，其与“责令暂停相关业务、停业整顿、吊销相关业务许可或者吊销营业执照”的处罚相结合，将可能给企业带来“致命”打击，威慑力可见一斑。
值得注意的是，除上述行政责任外，草案还明确了其与民事责任、刑事责任的衔接，即企业可能同时面临三重追责。此外，草案还规定违规行为将记入信用档案，并予以公示，在企业信用体系日益完善的今天，这将对企业商誉产生重大影响。
案例8：某跨国酒店集团发生数据泄露，正在接受监管部门的行政调查。集团认为，数据泄露事件主要由中国公司造成，“上一年度营业额”最多以中国业务为基数。某公益组织认为，该酒店为全球统一管理运营，应当将全球营业额作为罚款基数。
——根据草案，“上一年度营业额”应当如何认定并无详细规定，计算口径的不同将带来天壤之别，有待实践中进一步明确。
结语
伴随着持续紧张的中美关系，全国人大常委会的立法节奏不断提升，《个人信息保护法》最快或将于明年中后期正式出台。但就草案本身而言，仍有诸多规定有待澄清、补充或完善。例如，境外处理者是否可以任命境内的第三方组织，作为专门机构或者指定代表；个人信息本地化储存的数量标准；履行个人信息保护职责的部门具体为何；高额罚款是否有减轻或免除情节，等等。
“个保法时代”究竟风光几何，让我们拭目以待。
