中国个人信息保护法的立法进程与重点条款解读

서지정보

· 발행기관 : 연세법학회
· 수록지 정보 : 연세법학 / 37호 / 63 ~ 111페이지
· 저자명 : 란란, 장팅팅, 김명자

초록

中国学界对于个人信息保护的研究起步较早，但实际立法的道路却有些漫长而曲折，这主要是受立法资源的稀缺、保护观念的不到位和若干重大理论问题的不明晰等因素的影响。在各方的推动和努力下，2020年10月21日，中国个人信息保护法草案正式公布，目前已进入二审阶段。未来，《个人信息保护法》将与《网络安全法》、《数据安全法》共同构成数字经济时代保障网络、数据与个人信息安全的三大支柱性法律。 草案第三条第二款确立了中国个人信息保护法的域外效力，这是中国积极应对他国个人信息保护法域外效力条款、增强本国在全球数字领域话语权的重要表现。草案虽对GDPR的规定多有借鉴，但在具体的适用标准上，二者存在差异，和GDPR比较起来，草案对于域外效力的扩张显得更为谦抑与克制。关于认定个人信息的核心要件，主流观点采识别说，草案则采用了关联说。较之识别性标准，关联性标准更加具有实践中的可操作性，更为清晰明了，也更能体现个人信息保护与利用相平衡的原则。关于个人信息概念的表述，个人信息保护法采用了单纯概括模式，没有做具体列举。现阶段个人信息保护法对个人信息的界定宜采用概括+列举的表述模式，概括规定可通过对核心要件的明晰保证个人信息概念的延展性，列举则可为实践提供清晰的适用指引。草案第二十九条对敏感个人信息做了界定和具体列举，未来可考虑进行分类列举，如个人财产信息、个人健康生理信息、个人生物识别信息、个人身份信息、网络身份标识信息、其他信息等。关于个人信息处理，草案确立了七项基本原则，并规定了七大合法事由。草案二稿较一稿增设“依照本法规定在合理的范围内处理已公开的个人信息”作为个人信息处理的第五种合法事由，与草案第二十八条相呼应，通盘考虑了个人信息主体和处理者正当利益。针对敏感个人信息的处理，草案除了规定处理的前提即“特定的目的”和“充分的必要性”外，还特别要求在基于同意而处理敏感个人信息时，应当取得个人的单独同意，从而设定了较高的处理门槛。草案按照个人信息处理的全生命周期，重点规定了个人的四项权利，即知情权、决定权，查阅复制权，更正补充权和删除权。关于个人信息处理者的义务，需特别关注草案第五十四条规定的信息处理事前风险评估制度。在个人信息跨境流动方面，草案要求处理者向境外提供个人信息只能基于个人的单独同意，并规定了提供前须遵循的严格条件，体现出立法对于个人信息出境的审慎态度。关于监管部门，草案第五十六条规定的“网信部门统筹协调+有关部门各自监管”，基本延续了目前的行业分散监管模式，这比较符合我国行政机关设置和职能划分的传统，转换的成本较小，也有利于行业主管部门尽快推动提高本行业个人信息保护水平。未来应通过具体的制度设计强化网信部门统筹协调和行业监管的水平与实效，并且要重点解决好没有主管部门和存在多个主管部门情形下如何有效监管的问题。在侵害个人信息的法律责任方面，草案第七章在专门规定行政责任的基础上，还于第六十八条和第六十九条以专条专款的形式分别规定了侵害个人信息的民事侵权责任和公益诉讼制度，从而构成了该章规定的一大特色。

참고자료

· 없음