律師網
近日,全國信息安全標準化技術委員會發布了《網絡安全標準實踐指南—個人信息跨境處理活動安全認證規范》(以下簡稱《規范》)。專家認為,《規范》是企業個人信息出境時可遵循的重要合規方式,對完善個人信息跨境認證體系提出了具體要求。
《個人信息保護法》第三十八條規定,個人信息處理者因業務需要確需向中華人民共和國境外提供個人信息的,必須符合四個條件之一。第二個條件是“按照國家網信部門的規定,經過專業機構的個人信息保護認證”。
南都記者發現,《個人信息出境安全評估辦法》尚未下發,個人信息處理者缺乏規范個人信息跨境處理的參考依據。摘要中提及《規范》,為個人信息保護法中個人信息保護認證制度的建立提供認證依據。
據悉,《規范》從基本原則、個人信息處理者和境外接收者跨境處理活動應遵循的要求、個人信息主體權益保護等方面提出要求,提供跨境認證供認證機構實施個人信息保護認證。處理活動認證依據也為個人信息處理者規范跨境信息處理活動提供參考。
世輝律師事務所合伙人王新銳指出,目前企業的主要困惑集中在監管機構的強制要求上,“有時只能采取觀望態度”。北京師范大學互聯網研究院院長助理、中國互聯網協會研究中心副主任吳申闊認為,企業對于如何選擇個人信息出境合規方式感到困惑,基準要求是什么合規性以及監管機構的職能是什么。
《規范》作為認證機構對個人信息跨境處理活動進行個人信息保護認證的基本要求,適用于1)跨國公司或其子公司或關聯公司之間的個人信息跨境處理活動經濟或機構實體;2)分析和評估中華人民共和國境內自然人的行為。
在組織管理方面,《規范》要求進行個人信息跨境處理的個人信息處理者、境外接收者指定決策成員為個人信息保護負責人,并設立個人信息保護機構,組織開展個人信息影響評估、受理請求和投訴等。
《個人信息保護法》規定,個人信息處理者向境外提供個人信息,應當進行個人信息保護影響評估。《規范》對此提出了更加具體的要求:至少包括向境外提供個人信息是否符合法律、行政法規的規定、對個人信息主體權益的影響以及維護權益所必需的其他事項的個人信息主體。
對于個人而言,有權撤回對其個人信息跨境處理的同意,限制或拒絕他人處理其個人信息,或從境外接收者處訪問、復制、更正、補充或刪除其個人信息。此外,個人信息主體還有權要求個人信息處理者和境外接收者說明其個人信息跨境處理規則,并有權拒絕個人信息處理者僅通過自動化決策方式做出決策。
值得注意的是,《規范》提出,個人信息主體有權向其經常居住地法院對進行個人信息跨境處理的處理者、境外接收者提起司法訴訟。
對于《規范》的效力,對外經濟貿易大學數字經濟與法律創新研究中心主任徐旭指出,推薦性國家標準屬于國家鼓勵企業實施的“軟法”。自愿跟隨。——當“硬法”缺乏具體實施效果時,“軟法”將成為“硬法”的有益補充。
采訪與寫作:實習生程鈺琪、南都記者姜琳