热点:似曾相识一《个体新闻保护法（草案）》浅析

本篇文章6717字，读完约17分钟

年10月21日，全国人民代表大会常务委员会正式全文发布了经过常务委员会一审审议的《个人新闻保护法(草案)》[1] (草案)。 我国第一部个人新闻保护专业立法正式出台。 草案倾向于加强个人新闻保护，同时在具体文案上表现出鲜明的优势，意图全面系统地建设有中国特色的个人新闻保护基本制度。 另一方面，继承了民法和网络安全法描绘的个人新闻保护框架，迅速发展，丰富了相关内容，维持了立法的连续性。 另一方面，在个人新闻的定义、区域外效力、惩罚力(罚款可能达到5千万或年销售额的5% )以及个人新闻解决的法律基础等方面，开放参考包括gdpr在内的区域外主流数据立法，根据现有法律法规突出 此外，立法机关显然听取了网络、人工智能、数字营销等数据领域的具体诉求，在个人数据跨境制度设计、数据解决的合法基础以及个人权利适用限制等方面，比以往一些相关法规方案更

，识别+相关:扩展的个别新闻定义

草案第4条将个人新闻定义为个人新闻是关于以电子或其他方式记录的识别或可识别的自然人的各种新闻，不包括匿名化解决后的新闻。 这个定义是在《网络安全法》、《民法》以识别为中心定义个人新闻的基础上，进一步追加了相关标准。

识别从新闻到人的强调。 这里的识别并不要求明确某人的自然身份，只要在特定新闻中明确特定群体中的人就可以视为识别。 比如，公司只掌握设备识别号码，没有掌握手机号码、姓名、身份证号码等实名新闻，所以不能明确客户的真实身份，但设备识别号码是唯一的，所以不能明确参加者群体中唯一的个人。 这还是个人新闻。

关于可以认识或认识的自然人的各种新闻展示了新的相关标准。 相关强调人发出的消息，即关于已知特定个人的消息。 例如，体现其活动和兴趣等的新闻可能没有唯一性和识别性，但依然应该被视为个人新闻。

在比较法视野中，欧盟共同数据保护条例( gdpr )等域外立法[2]多采用识别+相关标准规定个人新闻，中国的《最高人民法院、最高人民检察院关于公民个人新闻刑事案件的适用法》 草案吸取这些有益的经验，将相关标准正式纳入法律层面，有助于更全面和充分地保护个人新闻。

起草个体新闻定义的另一亮点是将匿名化新闻排除在个体新闻的范畴之外。 草案是指区分匿名化，个别新闻解决了无法识别特定自然人，无法复原的过程和无法识别的过程，个别新闻解决了，不使用追加新闻就无法识别特定自然人的过程。 前者一般是统计新闻，失去了个人粒度。 后者一般进行识别符的删除和变换。 但是，具体的某个解决的消息是否达到匿名化的程度，是没有受到草案的保护还是只是属于识别化的消息，必须遵守草案的要求，需要结合相关国家的标准在案例中进行评价

二、域外效力:跨界场景下的长臂管辖

迄今为止，《互联网安全法》等法律法规将适用范围限定在国内的互联网运营者。 但是，在实践中，许多海外运营者没有在国内设立运营主体，但通过跨境服务直接收集中国国内自然人的个人新闻，在这种情况下是否需要遵守中国个人新闻保护相关法律法规经常有争议。

草案第三条弥补了上述缺点，第三条第二款的规定以为国内自然人提供产品或服务为目的，或者分解、判断国内自然人的行为等解决中国境外发生的我国国内自然个人新闻的活动也适用本法 该条的规定与gdpr第3条第2款规定的域外适用确立的目标和监测标准非常相似。 参考gdpr相关解释和中国发布的《新闻安全技术数据出境安全判断指南(征求意见稿)》，国外运营者采用中文，以人民币为结算货币，向中国国内配送物流，向中国国内客户进行定向营销或宣传。

草案第五十二条进一步规定国外个人新闻解决者在国内设立专门机构或指定代表，专门负责个人新闻保护相关事务，向履行个人新闻保护职责的部门提交相关机构的名称或代表的姓名、联系方法等。 草案没有确定机构或代表的具体要求或应承担的法律责任。 此外，草案规定，如果境外组织、个人损害中国公民的个人新闻权益或中国国家安全，国家网络通信部门将其限制或列入个人新闻提供名单进行公告，并采取限制或禁止提供个人新闻等措施

三、个人新闻解决者和受托人:在解决委托关系中尚未明确的界限

与 民法类似，草案不像欧盟的gdpr那样区分个人新闻控制者和解决者，而是统一采用个人新闻解决者这一概念，自主决策解决目的、解决方法等个人新闻解决一些事项的组织、个体和定性

草案虽然没有控制者和解决者的区别，但对个人新闻的委托解决关系有专门的规定，主要是委托人与受托人约定了委托解决的目的、解决方法、个人新闻的种类、保护措施以及双方的权利和义务等，受托人的个人尼 受托人必须按照约定解决个人新闻，不得超越约定的解决目的、解决方法等解决个人新闻，在合同履行完成后或者委托关系解除后，不得将个人新闻返还或者删除个人新闻解决者 未经个人新闻解决者同意，受托人不得委托他人解决个人新闻。

表面上，草案中的个体新闻解决者的定义与gdpr项中的统治者概念相近，受托人与gdpr项中的解决者类似，但能否使这两个概念同等还是值得怀疑的。 例如，第五十条规定的安全保证义务、第五十五条的个人新闻泄露救济措施、第六十条的协议、第六十五条的损害赔偿责任等规定，将适用范围单纯地限制在决定解决目的、解决方法的个人新闻解决者(类似于gdpr项的统治者)，个人 另外，在许多通常被理解为解决委托的关系中，受托人在很多情况下对解决目的解决方法拥有很大的决定权，在这种情况下，受托人应该被视为共同解决者还是受托人，有必要在案例内进行分解和评价。

四、个人新闻解决方法的基础:同意不再是唯一的路径。

《网络安全法》以新闻主体的同意为解决个人新闻的唯一合法性基础。 这项规定在当时的背景下明确了个人的主体地位，无疑有助于限制盗窃、销售、秘密收集个人新闻等明显侵犯个人新闻的行为。 但是，随着国内个人新闻保护实践的迅速发展，很难无差别地得到公司顾客的同意，很难满足越来越多复杂的个人新闻解决场景，容易在实践中同意形式。 法典首次在立法层面规定了同意的例外，但只包括解决已经公开的新闻和维护公共利益或自然人的合法权益。 《个人新闻安全规范》等国家标准规定了越来越多不需要同意的例外情况，通过区分基本业务功能和扩展业务功能提出了差异化同意要求，为解读强制同意、捆绑同意提供了有益的指导。 但是，由于标准的效力水平低，无法突破上位法的要求。 因为该公司在合规实践中面临很多不明确性。

为了处理上述现实问题，草案首次添加了新闻主体的同意，以及其他个人解决新闻的合法基础。 这是签订或履行以个人为一方当事人的合同所必要的。 履行法定职责或法定义务所必需的。 应对突发公共卫生事件或在紧急情况下保护自然人的生命健康和财产安全是必要的。 为了公共利益实施信息报道、舆论监督等行为，在合理的范围内解决个人新闻。 法律、行政法规规定的其他情况等。

我们在草案中规定的更丰富的个人新闻解决方法的基础上可以为个人新闻解决者提供多种选择，解决同意僵化、滥用、在特定场景中没有操作性等问题，使同意更现实、比较有效、比较

五、通告同意:基于场景的差异化要求和新闻主体的选择权

增加解决其他个人新闻的法律基础并不意味着同意变得不重要。 相反，草案在吸取《app非法违规收集是个人新闻行为认定方法》、《个人新闻安全规范》等法律规范和监督管理实践经验的基础上，细化告知-同意的要求，在新闻主体充分知道的情况下同意特定的个人新闻解决活动 草案通告-关于同意的第一条规定如下:通告复印件:通告复印件包括个人新闻解决者的身份和联系方法。 个人新闻的解决目的、解决方法、解决的个人新闻种类、保留期限个人行使本法规定权利的方法及程序等告知的例外: (1)法律、行政法规规定的保密情况，或(2)紧急情况下保护自然人的生命健康和财产安全 但是，后者的情况必须在紧急情况解除后通知。 知情同意:解决个人新闻必须在事先充分告知的基础上得到个人的同意，法律、行政法规的规定必须得到个人单独同意或书面同意的，从其规定开始。 二次利用再取得同意:解决目的、解决方法及解决的个人新闻种类变更的，必须再取得个人同意。 不得强制同意个人不同意解决个人新闻或者以不撤回对解决个人新闻的同意为由拒绝提供产品或者服务。。。 撤回同意:根据个人同意进行的个人新闻解决活动，个人有权撤回同意。 合并分立:如果因合并、分立等原因需要转移个人新闻，则需要通知个人收件人的身份、联系方式。 受益人变更原始解决目的或解决方法时，必须再次得到客户的同意。 提供给第三者:向第三者提供个人新闻时，必须将第三者的身份、联系方法、解决目的、解决方法及个人新闻的种类告知个人，并得到个人的个别同意。 解决已经公开的新闻:符合个人新闻公开时的用途，必须超过与该用途相关的合理范围的，必须再次得到同意。 在公开用途的评价中，个人新闻解决者有合理慎重的解决义务。

六、敏感个体新闻解决:无需

草案首次在法律层面提出了个人敏感新闻的概念。 也就是说，提出了个人可能受到歧视或人身、财产安全严重危害的个人新闻，包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人下落等新闻。 草案设专节对敏感个人新闻的解决活动提出了更高的保护要求:个人新闻解决者解决敏感个人新闻必须有特定的目的和充分的必要性。 解决敏感的个人新闻通常除了通知几个事项外，还必须通知个人解决敏感的个人新闻的特别目的、必要性以及对个人的影响。 根据个人同意解决敏感的个人新闻时，个人新闻解决者必须得到个人的个别同意。 在法律、行政法规中为了解决敏感的个人新闻必须取得相关行政许可或者必须进行更严格的限制的，从其规定开始。 个人新闻解决者在解决敏感的个人新闻前必须进行风险判断并记录解决情况。

另外，对公共场所图像这样的个人去向、生物特征新闻等个人敏感新闻进行比较，比较实践中经常被滥用的新闻，草案规定在公共场所设置图像收集、个人识别设备，为了维持公共安全 收集到的个人图像、个人识别特征新闻只用于维持公共安全，不能公开收集到的个人新闻，也不能提供给别人。

，个人权利:知情同意和控制

草案单独章节化新闻主体的权利，明确其重要性。 草案规定，在个人新闻解决活动中，个人具有知情权、决定权、限制权、否决权、查询权、复制权、订正权、删除权、解释权、自动化决定反对权。 这部分的亮点是草案第一次提出限制权和否决权，有权限制或拒绝别人解决其个人新闻。 但法律、行政法规另有规定的除外。 草案细化了删除权的适用条件，包括: (1)约定的保留期限到期或实现了解决目的。 (二)个人新闻解决者停止提供产品或者服务(三)个人撤回同意(四)个人新闻解决者违反法律、行政法规或者约定解决个人新闻(五)法律、行政法规规定的其他情形。 但是，法律、行政法规规定的保留期限没有到期或者删除个人新闻在技术上有困难的，个人新闻解决者应当中止解决个人新闻。

草案第一次提出了解释权。 即个人有权要求个人新闻解决者解释证明其个人新闻解决规则。

比较实践中争议极大的个性化推荐、大数据杀熟等基于图像的商业营销，草案确定自动化决定是利用个人新闻通过计算机程序自动分析个人行为方式、有趣的兴趣或经济、健康、信用状况等 草案对自动决定活动规定如下。

利用个人新闻进行自动化决定时，必须保证决定的透明度和解决结果的公平。 个人认为自动化决定对其权益有重大影响时，有权要求个人新闻解决者证明，另外个人新闻解决者有权拒绝只用自动化决定的方法作出决定。 要用自动化的决定方法进行商业营销、新闻发布，必须提供不比较个人特征的选项。

在目前的实践中，许多公司还没有建立完整的个人新闻权利实现机制。 因为这个草案的相关规定一旦实施，一定会对公司的个人新闻保护提出很大的挑战。 但是，草案没有对许多个人新闻权利的行使条件、时限、能否收到钱、实现方法等作出具体规定，需要监督机构在实践中通过解释和执法活动来确定。

八、数据跨境合规性:考虑到差异化的多路径

草案中最受跨国公司关注的是个人新闻的跨境流动制度。 对此，草案根据个人新闻出国可能给国家安全带来的不同风险，采取了差异化的制度安排。

对于重要新闻基础设施运营者，草案必须沿袭《网络安全法》的规定，在需要向重要新闻基础设施运营者确实向国外提供个人新闻的情况下，必须通过国家网络通信部门组织的安全判断。

解决个人新闻达到国家网络通信部门规定数量的个人新闻解决者，需要与重要新闻基础设施运营者同等解决，同样在个人新闻出国前通过国家网络通信部门组织的安全判断。 如果有关于至今为止发表的“个人新闻和重要数据出境安全判断方法”等法规征求意见的原稿，可以说并不意外吧。

在其他通常情况下，个人新闻解决者根据业务等需要向海外提供个人新闻时，可以选择不同的出国机制，包括(1)国家互联网通信部门组织的安全判断。 (二)专门机构个人新闻保护认证(三)与境外受益人签订合同，约定双方的权利和义务，监督其个人新闻解决活动符合本法规定的个人新闻保护标准。 或者(四)法律、行政法规或者国家网络通信部门规定的其他条件。 《个人新闻出境安全判断方法(征求意见稿)》等征求意见稿比所有运营者事先要求监督管理部门申请安全判断的要求，草案的规定提供了更方便多样的选择。

根据 草案，在国际司法合作或行政执法合作中需要向国外传送个人新闻的情况下，依法申请相关主管部门批准，一点国家根据国内法应对强制取出域外数据，明确维护国家主权的角度

总体上，我们对通常的个人新闻出国，比起统一要求的事前判断，草案提出的多元化个人新闻出国机制更接近国际主流，在保护国家安全和个人新闻安全的前提下，降低个人新闻出国价格，降低数据的

九、公权力适用:规范和节制

草案首次确定了国家机关解决个人新闻的基本要求，设立专门节国家机关为解决个人新闻提出了以下要求。

职责的必要性:国家机关履行法定职责解决个人新闻时，必须按照法律或行政法规规定的权限、程序进行，不得超过履行法定职责所需的范围和限度。

通知同意及其例外:大体上国家机关解决个人新闻必须履行通知同意的法律要求。 但法律、行政法规的规定必须保密或者告知、取得妨碍国家机关履行法定职责的除外。

禁止公开或对外提供:除法律、行政法规另有规定或征得个人同意外，国家机关不得公开或向他人提供其解决的个人新闻。

数据本地化:与国家机关解决的个人新闻相比，草案决定要求将与国家机关相关的个人新闻保存在中国境内。 确实有必要提供给国外的情况下，可以进行风险判断，并向有关部门寻求支持和合作。

草案的上述规定有助于公权力机关过度收集和抑制滥用个人新闻的行为，规范国家机关解决公民个人新闻的权限和程序，目前是在多个公权力机关以防疫名义过度收集个人新闻的背景下 我们期待着将来在更具体的法律法规中，细化国家机关解决个人新闻的具体规则，保障公民的合法权益。

，处罚和救济:高额罚款和公益诉讼

草案大幅提高了对违法行为的处罚力度，如果公司规定违反本法的规定解决个人新闻或者没有采取解决个人新闻所需的安全保护措施，履行个人新闻保护责任的部门就会对公司违法 公司拒绝纠正的，有可能被罚款一百万元以下，情节严重的，有可能面临5千万元以下或上年度销售额5%以下的罚款，相关业务暂停、停业维修、向相关主管部门吊销相关业务许可或营业许可证。 另外，直接负责的主管人员和其他直接负责人也有可能被罚款1万元以上100万元以下。

另外，与实践中个人在侵犯个人新闻诉讼中损失低、诉讼动力不足的情况相比，草案是个人新闻解决者违反本法规定解决个人新闻，侵犯许多家庭权益的，人民检察院、个人 这项规定为检察机关、顾客权益保护组织等提起个人新闻公益诉讼提供了确定的依据。

总结和展望

总体来说，草案充分借鉴了当今各国各地区个人新闻保护法的先进经验，吸收了近年来中国个人新闻保护执法活动中的有益成果，比较有效地应对了实践中个人新闻保护面临的要点和难点问题 草案的发表为个人新闻权益保护和数字经济的迅速发展提供有力的保障。

对国内公司来说，近年来许多国内公司的个人新闻保护合规水平有了显着的提高，但与草案相比，公司按场景告知同意要求、新闻主体的权利保护、个人新闻保护风险判断、个人新闻的跨界流

对跨国公司来说，许多公司已经建立了比较完善的gdpr等域外法合规机制，但这些机制在国内落地的程度有限，落地也要全面满足草案在上述方面的特别要求 对此，我们将带领公司从草案发表到正式生效的窗口期，利用这个机会全面比较整理现有个人新闻保护事业的现状，系统调查合规风险，尽快调整合规方案。

作者:汉坤律师事务所段志超丨蔡克蒙丨胡敏喆

标题：热点:似曾相识一《个体新闻保护法（草案）》浅析    地址：http://www.leixj.com/gy/2021/0401/45181.html