SEO 百科

个人信息保护法

本页目录

个人信息保护法

个人信息保护法由全国人民代表大会常务委员会制定，用来规范个人信息处理活动并保护个人信息权益[1]。它于 2021 年 8 月 20 日通过，自 2021 年 11 月 1 日起施行[1][2]。站长需要留意它，因为网站的访问统计、表单收集、Cookie 与个性化推荐都会处理个人信息，处理前要先有合法性依据[3]。

适用范围与个人信息定义

法律第三条先划定境内管辖：在中华人民共和国境内处理自然人个人信息的活动，适用本法[1]。境外主体也有被覆盖的情形，条文列出三种：以向境内自然人提供产品或者服务为目的；分析、评估境内自然人的行为；法律、行政法规规定的其他情形[1]。境外站点只要面向境内用户并做行为分析，就落在这三种情形里。

个人信息的定义强调可识别性。它指以电子或者其他方式记录的、与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息[1]。处理包括收集、存储、使用、加工、传输、提供、公开、删除等环节[1]。删除也是处理的一环，这一点常被忽略。

匿名化是重要的分界线。数据一旦无法识别到具体个人，就不再属于个人信息，也就不受这部法律约束[1]。去标识化不等于匿名化，去标识化后的数据仍属于个人信息。

告知与同意的规则

处理个人信息要有合法性依据，条文列出七种情形，同意只是其中之一[1]：

  1. 取得个人的同意
  2. 为订立、履行个人作为一方当事人的合同所必需，或者按依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需
  3. 为履行法定职责或者法定义务所必需
  4. 为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需
  5. 为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理
  6. 依照本法规定，在合理范围内处理个人自行公开的信息，或者已经合法公开的个人信息
  7. 法律、行政法规规定的其他情形

同意本身有质量要求。基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得同意[1]。个人有权撤回同意，处理者应当提供便捷的撤回方式[1]。

不得以不同意为由拒绝服务。个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，处理个人信息属于提供产品或者服务所必需的除外[1]。这一条针对的是强制同意的写法。

收集范围受最小必要原则限制。处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式；收集应当限于实现处理目的的最小范围，不得过度收集[1]。表单字段越少越贴合要求。

敏感个人信息与自动化决策

敏感个人信息适用更严的规则。条文把生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息列为敏感个人信息[3]。处理这类信息要有特定的目的和充分的必要性，采取严格保护措施，并取得个人的单独同意[1]。

自动化决策被单独规范。利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得在交易价格等交易条件上，对个人实行不合理的差别待遇[1]。通过自动化决策推送信息或者做商业营销的，应当同时提供不针对其个人特征的选项，或者提供便捷的拒绝方式[1]。推荐位的关闭入口由此成为合规项。

公共场所的图像采集也有限制。在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，并设置显著的提示标识[1]。

个人权利与处理者义务

个人在自身信息上有几项可以行使的权利[1]：

  • 知情权与决定权，有权限制或者拒绝他人对其个人信息的处理
  • 查阅、复制权
  • 更正、补充权
  • 删除权
  • 要求解释说明处理规则的权利

删除权有明确的触发情形。处理目的已实现、无法实现或者不再必要，处理者停止提供产品或服务，保存期限届满，个人撤回同意，以及处理者违法违约处理个人信息时，个人都有权请求删除[1]。删除请求需要落到可操作的入口上。

处理者一侧的义务围绕制度与流程展开。条文要求根据处理目的、处理方式、信息种类与风险，采取内部管理制度、分类管理、加密与去标识化、权限控制与培训、安全事件应急预案等措施[1]。处理个人信息达到规定数量的，还应当指定个人信息保护负责人[1]。

影响评估是事前动作。处理敏感个人信息、利用个人信息做自动化决策、委托处理或者对外提供个人信息、向境外提供个人信息等情形，都要事前做个人信息保护影响评估，并对处理情况作记录[1]。

泄露事件要处置并通知。发生或者可能发生个人信息泄露、篡改、丢失的，处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人[1]。

个人信息出境

向境外提供个人信息要先满足条件。条文列出几条路径：通过国家网信部门组织的安全评估；经专业机构进行个人信息保护认证；按国家网信部门制定的标准合同与境外接收方订立合同；法律、行政法规或者国家网信部门规定的其他条件[1]。

出境还要单独告知并取得同意。处理者应当向个人告知境外接收方的名称、联系方式、处理目的、处理方式、信息种类，以及个人行使权利的方式和程序等事项，并取得个人的单独同意[1]。用境外统计、邮件或者客服工具的站点，需要先完成这一步。

违规后果

处罚力度明显高于一般行政规定。违反本法处理个人信息，或者未履行个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款[1]。

情节严重的档位大幅抬高。情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。对直接负责的人员处十万元以上一百万元以下罚款，并可以决定，禁止其在一定期限内担任相关企业的董事、监事、高级管理人员[1]。

处罚主体是履行个人信息保护职责的部门，网信部门在其中承担统筹协调职责[1]。

对 SEO 的影响

同意机制会改变数据口径。统计工具与广告像素要在取得同意后加载，未同意的流量无法被完整记录，报表里的会话数与转化数都会偏低[3]。运营需要按同意率重新解释数据。

表单字段要按最小必要删减。为了做用户画像而多加的字段，既提高放弃率，也增加合规风险[1]。只留完成业务所必需的字段更稳妥。

个性化推荐要有退出入口。通过自动化决策做内容推送的，要同时提供不针对个人特征的选项，或者提供便捷的拒绝方式[1]。推荐位的关闭按钮因此成为页面的一部分。

删除与撤回同意需要可执行。站点要提供删除请求与撤回同意的入口，并在收到请求后处理相关数据[1]。入口缺失会让纠错成本集中在投诉环节。

用户画像要做影响评估。利用个人信息做自动化决策属于事前评估的情形，站点在启用画像之前应当完成评估并留档[1]。

常见误用

一个误用是把隐私政策当成万能授权。隐私政策承担告知功能，处理仍需对应的合法性依据[1]。

另一个误用是以为匿名化等于去标识化。只有无法识别到具体个人的数据才不受约束，去标识化后的数据仍属于个人信息[1]。

还有一种误用是拿不同意就不给用来换同意。条文明确禁止以不同意或者撤回同意为由拒绝提供产品或服务[1]。

附录

参见

参考资料

官方（国内）

  1. 《中华人民共和国个人信息保护法》，全国人民代表大会常务委员会，2021-08-20 通过。
  2. 《中华人民共和国个人信息保护法》，中国网信网，2021-08-20。
  3. 《个人信息保护法：构建以“告知-同意”为核心的处理规则》，中国人大网（人民法院报），2021-08-23。

外部链接

无。