信息法教程（第四版）课件 第17章 个人信息安全法律规范

第17章

个人信息安全法律规范

学习要求：

通过本章学习，了解个人信息、个人数据、隐私的概念和相互关系，理解个人信息保护的重要意义，掌握个人信息保护方式及原则，理解个人在个人信息处理活动中的权利及个人信息处理者的义务，了解违反个人信息保护法所要承担的法律责任。本章导语信息社会存在着两种相互矛盾的要求，一种是来自公众的知情权，另一种是来自个人的隐私权。前者是公众获得某种信息的要求，而后者是阻止公众获得某种信息的要求。众所周知信息社会中的信息是流动的、无所不在的，信息已经成为社会必不可少的组成部分，社会的信息化实际上意味着对信息公开的要求，这种要求在法律上就是信息公开制度的确立。然而，流动的、无所不在的信息中当然包括关于个人的信息，这部分理应与社会公开无关。但是，作为组成社会的每一个个体，个人的信息又不能脱离社会而存在，个人信息必然要以某种形式或途径被公众所知晓。那么究竟哪些是个人信息？哪些个人信息应该保密？对需要保密的个人信息应该如何保护？法律上都有哪些规定？这是本章要讨论的问题。本章概要第一节个人信息保护的相关概念1第二节个人信息保护的背景及意义2第三节个人信息保护方式及原则3第四节个人信息处理中的权利和义务4第五节违反个人信息保护的法律责任5第一节个人信息保护的相关概念一、个人信息二、个人数据四、隐私权三、个人隐私一、个人信息“个人信息”(personalinformaton),顾名思义是关于个人的信息,是指有关个人的一切资料、数据。我国《个人信息保护法》第4条第1款将个人信息定义为“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息”。具体来说,可以包括“个人姓名、住址、出生日期、身份证号码、医疗记录、人事记录、照片等单独或与其他信息对照可以识别特定的个人的信息”。二、个人数据与“个人信息”有关的一个概念是“个人数据(personaldata)”。根据信息与数据两者之间的关系，一般认为个人数据属于个人信息的范围，个人信息包含了个人数据。在法律上对于个人数据的理解，不同国家有不同的定义。三、个人隐私在《现代汉语词典》中，隐私是指不愿告人的或不愿公开的个人的事。隐私是指“一种与公共利益、群体利益无关的，当事人不愿令他人知道或他人不便知道的个人信息、当事人不愿他人干涉或他人不便干涉的个人私事以及当事人不愿他人侵入或他人不便侵入的个人领域”。由于历史文化、法律制度的不同，国际上对隐私的认识千差万别。经常使用的隐私定义有三个：不损害公共利益的私人行为中的个人利益、控制附属于本人信息的个人利益、不为信息滥用而受到伤害的个人利益。隐私其实不一定就坏事，有时传扬公布出去对其他公民也没有什么影响，但若当事人不愿意传扬出去，就属于隐私了。隐私权的主体只能是自然人，隐私权的内容具有真实性和隐秘性，隐私权的保护范围受公共利益的限制。四、隐私权隐私权是指自然人享有的私人生活安宁与私人信息秘密依法受到保护，不被他人非法侵扰、知悉、收集、利用和公开的一种人格权，而且权利主体对他人在何种程度上可以介入自己的私生活，对自己是否向他人公开隐私以及公开的范围和程度等具有决定权。隐私权包括以下四个方面的内容：①信息隐私权②身体隐私权③通信隐私权④地域隐私权。第二节个人信息保护的背景及意义一、个人信息泄露的危害二、个人信息保护的意义一、个人信息泄露的危害随着信息技术的普及，政府机关（如公安、民政等）掌握了公民的大量个人信息，各种企业机构（如：互联网公司、银行、保险公司、航空公司，以及各类零售商）出于经营需要，逐渐形成并积累了各自的用户或消费者信息数据库。而这些个人信息数据库的管理和利用基本处于自发状态，对于大量的个人信息被收集和使用，广大消费者并不知情。个人信息数据的泄露、交易引发了诸多社会问题和经济问题。一、个人信息泄露的危害个人信息泄漏带来的危害1侵犯个人权利2影响商业秩序3危害社会安定二、个人信息保护的意义（一）保护个人信息是社会文明进步的需要（二）保护个人信息是促进电子商务和电子政务健康发展的需要（三）保护个人信息是促进国际交往和保证国际贸易正常开展的需要第三节个人信息保护方式及原则一、个人信息保护的方式二、个人信息保护的原则一、个人信息保护的方式1技术手段2行业自律3立法规范二、个人信息保护的原则1、合法、正当、必要和诚信原则2、目的限制、最小必要原则3、安全原则4、公开、透明原则5、准确性原则6、当责原则7、可获得性原则第四节个人信息处理中的权利和义务一、个人在个人信息处理中的权利二、个人信息处理者的义务四、网络隐私保护一、个人在个人信息处理中的权利

《个人信息保护法》明确规定了个人在其信息处理活动中所享有的权利,权利类型与其他国家的立法无大异,目的是保护个人对其信息的自决权。《个人信息保护法》第44条规定,个人对其个人信息的处理享有知情权,决定权,有权限制或者拒绝他人对其个人信息进行处理;法律、行政法规另有规定的除外。此外,个人信息保护法》更加细化了个人在信息处理中的查阅权、复制权、更正权、补充权、删除权、要求解释权。二、个人信息处理者的义务为了落实对个人信息的保护,《个人信息保护法》第五章对个人信息处理者应当履行的各项义务进行了规范,旨在加强个人信息处理者的个人信息保护意识。第51条明确了信息处理者应当履行的安全保障义务,从法律的角度明确个人信息处理者应当制定的内部制度,以确保个人信息处理活动符合法律、行政法规的规定,并防止未经授权的访问人信息泄露、篡改、丢失。《个人信息保护法》在制度规范的基础上进一步细化信息处理者的义务,要求处理个人信息达到国家网信部门规定数量的个人信息处理者专门设置个人信息保护负责人,在境外的个人信息处理者应设立境内代表。《个人信息保护法》还要求信息处理者进行定期安全审计。此外,第55条和第56条具体规定了信息处理者进行事先风险评估的条件和内容。二、个人信息处理者的义务

我国《个人信息保护法》第24条规定,个人信息处理者利用个人信息进行自动化决策。应当保证决策的透明度和结果公平、公正,不得对个人在交易价格等交易条件上实行不合理的差别待遇。

为了减少个人信息泄露的风险,个人信息保护法》进一步明确了平台的责任。《个人信息保护法》规定大型互联网服务平台(如腾讯、阿里)建立合规保护体系,独立机构监督、制定平台规则、停止对严重违规方提供服务、定期发布社会责任报告等一系列义务。第五节违反个人信息保护的法律责任一、个人信息保护监管体系二、对个人信息保护违法行为的处罚四、网络隐私保护一、个人信息保护监管体系

《个人信息保护法》对履行个人信息保护职责的部门做出了明确规定,构建了统筹协同的个人信息保护履职监管体系。第60条前两款规定,国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门依照本法和有关法律、行政法规的规定,在各自职责范围内负责个人信息保护和监督管理工作。县级以上地方人民政府有关部门的个人信息保护和监督管理职责,按照国家有关规定确定,兼顾了地区差异性,形成了行业监管为横轴、地方监管为纵轴的十字监督体系,有利于法令的彻底落实。此外,《个人信息保护法》规定了相关部门应该履行的职责,主要包含宣传教育、指导监督、处理投诉、应用测评、调查处理等。同时,法条规定了相关部门履行职责时可以采取的措施,如询问调査、查阅复制、现场勘査、设备检查,发现个人信息处理活动存在较大风险或者发生个人信息安全事件的,可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈,或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。二、对个人信息保护违法行为的处罚1、法律责任2、责任的确定3、公益诉讼4、行政、刑事责任本章小结在现代社会，尤其随着信息化、网络化的迅猛发展，个人信息保护的重要性日益突出。对于个人信息的保护可以采取三种方式，即技术手段、行业自律和立法规范，目前世界上已经有50多个国家和地区实行了个人信息保护的法律制度，以欧盟模式和美国模式为代表。无论是从社会文明进步的角度，还是从促进电子商务和电子政务健康发展的角度，或者从促进国际交往和保证国际贸易正常开展的角度来看，都有必要保护个人信息。我国历经近20年,最终颁布施行了《个人信息保护法》。作为我国网络立法体系中最重要的一环,该法可以用来规范对个人信息的管理与利用,为我国数字经济的发展提供了良好的多维生态环境。此外,我国的《个人信息保护法》采纳了国际通行的个人信息保护原则及制度,将我国个人信息保护规则融人全球数据跨境流动的规则体系中去。同时,条款中展现出的创新性制度、安全与发