个人信息的"保护神"《个人信息保护法（草案）》解读( 二 ) 一、出台背景随着全球网络基

2."同意"义务
除了本法第28条(2)-(6)列举的情形之外，取得个人的同意是处理者处理个人信息的前提。本法第14条明确了同意需基于"充分知情"、"自愿"、"明确" ，且在处理目的、方式和种类发生变更时，需重新取得同意。第16条和第17条则赋予个人撤回权，并禁止处理者以不同意或撤回同意为由拒绝提供非必需的产品或者服务。
在以上基本适用原则的基础上，本法还规定了如下几类需要取得"单独同意"的情况：
向第三方提供处理的个人信息（第24条）
公开处理的个人信息（第26条）
公开或提供个人图像、个人身份特征信息（第27条）
处理敏感个人信息（第30条）
向境外提供个人信息（第39条）
三、个人信息涉及跨境问题
（一）域外适用
本法第3条赋予了一定的域外适用效力。虽然《数安法》第2条也类似规定，但本法的适用范围更加明确，即"向境内自然人提供产品或者服务为目的"和"分析、评估境内自然人的行为" 。这与GDPR第3条第2款的提供产品或者服务（offering of goods or services）以及行为监控（monitoring of their behavior）一一对应。这意味着境外机构或个人即使在中国没有任何商业存在，只要符合本法第3条所列情况，便受本法的管辖。
（二）个人信息的跨境提供
关于个人信息出境的安全评估要求，首见于《网络安全法》第37条，不过仅适用于关键信息基础设施运营者。而《个信出境办法》将适用范围扩大至所有网络运营者，给业界带来一定震动和压力。而本法第40条试图在以上两者之间找到一个平衡，将安全评估的适用范围局限于"关键信息基础设施运营者"和"处理个人信息达到国家网信部门规定数量的处理者" ，而"处理个人信息数量"在本法中未作明确，为监管部门预留裁量空间，保持一定灵活性。
此外，鉴于安全评估工作耗时费力，在某些情况下可能无法满足跨境流动对时效性的要求，本法第38条为处理者提供了另外两个信息出境的途径：(1)经专业机构认证；(2)与境外接收方订立合同并监督其处理活动达到本法规定的个人信息保护标准。值得注意的是，虽然第二种订立合同的方式最为简便易行，但是对于国内的处理者来说其履行监督义务，即确保（境外信息接收方）处理活动达到"本法规定的个人信息保护标准"的难度不容忽视。
（三）国际司法和执法协助下的个人信息出境
本法第41条明确要求在国际司法或行政执法协助情况下向境外提供个人信息，需要取得主管部门事先批准。这与《民事诉讼法》第277条对司法协助情况下外国机关或者个人在国内调查取证的要求保持一致，体现我国司法主权。《数安法》第33条也有类似规定，即要求境外执法机构调取存储于国内数据需要主管部门事前批准。这也是回应了近年来很多国家，包括美国《澄清境外数据合法使用法案》（the Cloud Act）在内，不断扩大跨境数据调取权利的立法趋势。
（四）反制和限制措施
依据国际法的对等原则，本法第43条就国外采取个人信息保护方面的歧视性措施时，赋予我国采取反制措施的权利。这与《数安法》第24条就国外采取与数据投资、贸易相关的歧视性措施时我国有权反制的规定一脉相承。
相较于《数安法》，本法第42条创造性地增设了一个"黑名单"制度，即对于从事损害我国公民权益、危害我国国家安全、公共利益个人信息处理活动的境外主体，网信部门有权将其列入限制或禁止提供个人信息的清单，并采取限制或禁止措施。在表述上，第42条所适用的范围应该比第3条的域外适用中所列范围更加广泛。
近年来，有些国家以国家安全、个人信息保护为由对我国科技企业（例如Tiktok和华为）采取"围追堵截"的措施。本法设立的反制和限制措施恰逢其时，丰富了我国在国际政治博弈斗争中"工具箱" 。
四、个人权利与处理者的义务
（一）个人的权利
本法第四章专门明确个人在信息处理中的各项权利，包括：知情和决定权（第44条）、查阅和复制权（第45条）、更正和补充权（第46条）、删除权（第47条）、请求解释说明权（第48条）、请求处理者建立权利申请的受理和处理机制权（第49条）。这与《民法典》第1037条规定的查阅权、复制权、更正权、删除权等相衔接，并予以丰富和细化。
（二）处理者的义务
个人在个人信息保护方面的权利实现，很大程度上依赖于处理者对其义务的履行。本法第五章主要从"明确措施、落实人头"两个方面强化处理者的责任。

个人信息的&quot;保护神&quot;《个人信息保护法（草案）》解读( 二 )

个人信息的"保护神"《个人信息保护法（草案）》解读( 二 )