企业个人信息保护合规手册

2021年11月起实施的《个人信息保护法》对负有个人信息保护义务的企业提出了明确而严格的信息保护义务。该法覆盖的范围很广，对未来具有深远的影响；同时，对企业的隐私保护提出了严格的要求。本书根据作者多年经验，拟通过实务性的介绍，指导企业主、中大型企业法务总监和具有隐私保护义务的专业人士，深入了解当前我国法律环境下的隐私保护法律体系，有实操性地进行隐私保护制度建设和合规管理。

企业既是个人信息保护制度的受益者，也是个人信息保护制度的责任人。本书根据作者多年来在个人信息保护法律服务领域积累的经验进行总结，以个人信息保护为基础，深入讲述了全球个人信息保护的整体环境、我国个人信息保护法律制度的发展和现状，以及《个人信息保护法》与《网络安全法》、《数据安全法》之间的关系和意义。此外，作者还探讨了企业根据当前法律规定所需承担的保护合规义务。

本书提供了实用的方法和步骤，帮助读者从零开始，系统梳理企业的业务流程和场景，对个人信息进行分类和处理，建立一套完整的内部个人信息保护制度，以及掌握在面临个人信息安全风险时妥善处理这些事故的方法，对企业个人信息保护合规司法实践具有指导价值。

朱凯，华东政法大学法学学士、英国阿伯丁大学法学硕士。现任中国法学会会员，华东政法大学校外导师，上海中岛律师事务所管理合伙人、高级合伙人。朱凯律师执业近20年，长期专注于汽车、互联网、新能源、创新科技、新兴服务业等行业的直接投融资、企业并购、股权激励和股权治理、企业合规、数据安全合规、商事争议解决等法律服务领域。

夏蕊，复旦大学法律硕士。擅长领域包括：投融资与并购、复杂商事争议解决、公司合规等。曾为多家国内外知名企业提供争议解决和专项法律顾问服务，在多起围绕公司、股东、股权、公司决议等方面的复杂商事案件中维护了客户的合法权益。此外，夏蕊曾为多家大型银行、投资公司、国有企业、上市公司等处理投融资、跨境并购、私募基金、公司合规等业务，在非诉领域亦积累了丰富的法律服务经验，能帮助客户全面把握风险。

蒋皓宇，上海中岛律师事务所合伙人，毕业于华东政法大学。蒋皓宇律师的主要执业领域为国际法律业务，包括涉外企业合规、跨境交易及争议解决等，涉及行业包括国际贸易、能源环保、智能制造、时尚消费、互联网等，并曾在中国香港地区、欧洲多地进行工作和交流，具备丰富的涉外实务经验。

第一章 隐私和个人信息保护概述

第一节 什么是隐私，个人信息和隐私的关系

第二节 个人信息保护的意义和目的

第三节 个人信息的定义和分类

第二章 域外个人信息保护法制发展现状

第一节 欧盟《通用数据保护条例》（GDPR)

第二节 美国个人信息保护法制发展

第三节 亚洲地区个人信息保护法律法规现状

第三章 我国个人信息保护主要制度规范

第一节 《个人信息保护法》是我国个人信息保护的基本法律

第二节 《网络安全法》

第三节 《数据安全法》

第四节 《个人信息保护法》相关标准规范

第四章 企业个人信息合规管理制度建设

第一节 企业个人信息合规管理制度建设概述

第二节 企业个人隐私政策的编写和公示

第三节 企业员工个人信息保护管理

第四节 第三方合作伙伴个人信息保护管理

第五章 企业个人信息安全事件处置及个人信息保护管理

第一节 企业个人信息安全事件分类

第二节 企业个人信息安全事件应对和处置流程

第三节 企业个人信息安全事件后续工作

第四节 企业个人信息保护管理流程

附录 企业个人信息保护主要法规、规范、标准

个人信息保护是任何一个法律体系社会在进入数据化时代后所面临的新问题、新挑战。过去的隐私保护制度虽然包含了个人信息保护的内容，但对信息的利用却太过消极，更多的是从人身权利的角度出发，保护个人的基本人权、禁止或限制个人信息的交流传递。而当今的个人信息保护，更多强调的是信息应如何合法利用，从运用先进数据处理技术和发掘数据要素价值的角度出发，引导人们在合法、合规的基础上最大限度地利用个人信息为生产生活和经济发展服务。

21世纪以来，随着数字技术的迅猛发展，个人信息日益成为一种重要的数据化资产，个人信息保护也逐渐上升为全球性的关注议题。 这一趋势推动了全球个人信息保护立法进程不断加快。据统计数据显示，2000年至2010年，全球颁布个人信息保护法的国家数量较十年前翻了一番，达到40个；而2010年至2019年，这一数字更是增长至62个，创下历史新高。预计这一趋势将在未来几年持续下去，到2029年，全球将有超过200个国家或地区拥有个人信息保护法。

中国的个人信息保护制度之建立，正是全球个人信息保护制度建立和完善这一历史性发展的重要一环。2021年8月20日《中华人民共和国个人信息保护法》的正式颁布，标志着中国个人信息保护立法迈入了新的历史阶段。这部法律的出台，既是“百年未有之大变局”背景下对全球个人信息权益保护的制度回应，也是顺应数字时代发展趋势的必然要求。这部《个人信息保护法》凝聚了国内外先进立法经验，体现了中国特色社会主义法治理念；在借鉴域外立法智慧的基础上，又充分吸收了本土实务经验；既将个人信息权益保护作为基本原则，又注重规范个人信息处理活动，实现了 “个人信息权益”的私权保护与“个人信息处理”的公法监管的有效平衡。同时，该法还统合了私主体和公权力机关的义务与责任，兼顾了个人信息保护与利用，为我国网络社会和数字经济发展奠定了坚实的法律基础。

企业个人信息保护合规手册前言企业在个人信息保护制度中扮演着双重角色：既是个人信息保护制度的受益者，也是个人信息保护制度的责任人。一方面，个人信息保护制度的建立和完善，可以帮助企业促进个人信息数据的利用，更好地了解消费者需求、提高营销效率、创新商业模式；另一方面，企业是个人信息收集、处理和利用的主要主体，更容易发生个人信息泄露、侵权等问题。因此，个人信息保护制度不仅是企业的机遇，也是企业的责任。企业只有积极参与个人信息保护制度的建设，切实履行个人信息保护责任，才能在个人信息保护中获得更大的收益。

本书是由中岛律师事务所的高级合伙人朱凯律师，带领团队两位在数据合规和个人信息保护领域提供法律服务的卓越的律师, 共同创作完成的实务性指导图书。作为领导者的朱凯律师自2019 年起专注于网络安全、数据安全和个人信息保护的法律服务工作和实务性业务研究。在当前这样一个信息化、数据化时代, 作为法律从业者, 作者深刻感受到技术推动着国家法治的迅速发展变化，技术发展和社会生活的网络化、数据化将每个人不可逆地推向未来的浪潮。在此过程中, 作者不断思考如何理解网络、数据和个人信息之间的关系, 观察它们相互之间的影响, 并把握法律制度的变革、发展和趋势。本书内容包含了作者多年来在个人信息保护法律服务领域积累的经验的总结,对企业个人信息保护合规司法实践具有指导价值。

以个人信息保护为基础, 作者深入讨论了全球个人信息保护的整体环境、中国个人信息保护法律制度的发展和现状, 以及《个人信息保护法》与《网络安全法》、《数据安全法》之间的相互关系和意义。此外,作者还探讨了企业根据当前法律规定所需承担的保护合规义务。

同时, 个人信息保护制度作为一套新的制度, 正在不断发展和完善。因此, 作者也希望引导读者了解这一全新而完整的法律体系的历史沿革、变化过程和发展趋势。毕竟, 作为实务性法律的运用者, 企业高级管理人员应具备前瞻性和预见性, 以适应不断演变的个人信息保护要求。

本书的目标读者为企业中负责合规、数据安全和法律事务管理的专业人员，为他们提供实现企业个人信息保护合规目标的指导。本书提供了实用的方法和步骤, 帮助读者从零开始,系统梳理企业的业务流程和场景, 对个人信息进行分类和处理, 并建立一套完整的内部个人信息保护制度, 以及掌握在面临企业个人信息安全风险时妥善处理这些事故的方法。

本书涵盖了最新的重要的个人信息保护制度, 具有极强的时效性。基于丰富的实务经验, 作者在本书中快速、系统地分析和对比了企业个人信息出境的可选路径, 并结合企业的具体使用场景提供指导, 帮助企业判断和选择合适的出境合规路线。

此外, 本书在实际操作层面也具有一定的指导作用，介绍了企业如何从零开始建立个人信息保护制度体系, 读者可以根据书中内容结合企业自身情况, 逐步建立起个人信息保护的初步制度。作者将复杂的概念和法律制度转化为易于理解的内容, 并提供了按部就班的实操引导。本书还揭示了个人信息保护领域的最新制度发展趋势。读者将受到启发, 并从全面理解个人信息保护的角度受益, 将这些知识和信息应用于实际工作中。

本书结构按照逻辑顺序设计, 旨在逐步引导读者了解和实施个人信息保护合规。第一章对基本概念进行界定, 为全书奠定了基础。第二章介绍了欧盟、美国和亚洲主要地区的个人信息保护规则。在当前国际环境下, 个人信息保护不仅局限于一个国家或地区, 在深入学习和了解本国制度的同时, 了解域外制度和环境也是必要的。特别是欧盟的《通用数据保护条例》, 其所涵盖的长臂管辖已经对我国境内的外贸企业产生了深远影响。第三章详细介绍了我国的个人信息保护制度, 以《个人信息保护法》为核心内容,不仅包括《个人信息保护法》的规定, 还涵盖了与之相关的《网络安全法》和《数据安全法》, 以及重要的技术性文件《信息安全技术 个人信息安全规范》和《信息安全技术 个人信息安全影响评估指南》，提供了个人信息保护法律制度内容。第四章和第五章更加注重实操, 构成了个人信息保护合规过程中最关键的两个环节——制度建设和安全事件处置。这两章的内容既可成为企业的实操指南, 按部就班、逐渐实施, 也可用作企业的自查工具, 逐一对比、补充不足。

我们深知，企业个人信息保护是一项长期而艰巨的任务，需要全社会的共同努力。我们希望本书能够为企业和个人提供一些帮助，促进企业个人信息保护事业的健康发展。最后，向所有致力于企业个人信息保护的读者致以诚挚的敬意！

企业个人信息合规管理制度是指企业为保障个人信息主体的个人信息权益，合规处理个人数据的收集、存储、使用、共享等行为而建立的管理制度。通过建立和完善内部个人信息合规管理制度，企业可以有效地降低个人信息泄露和滥用等风险，保障个人信息主体的合法个人信息权益，促进企业可持续发展。

一、企业个人信息合规管理制度建设的意义

随着技术的快速更迭，当下个人信息泄露的方式多种多样，如病毒与非法入侵、系统漏洞、访问控制和权限管理不善等，这些都使得企业遭受了巨大损失。显然，在当前的数字化时代，个人信息合规已经成为企业管理的一项重要任务。建设完善的企业个人信息合规管理制度，对于企业和个人信息主体都具有重要意义，具体而言，其意义主要体现在以下七个方面。

企业个人信息保护合规手册第四章企业个人信息合规管理制度建设1.保护个人信息权益

个人数据的收集、存储和使用已成为企业竞争的重要因素之一，个人信息主体的个人数据包含其生物特征、健康状况、财务状况、消费行为等，这些信息的泄露或对其所滥用会对个人信息主体的利益产生重大影响。建立完善的企业个人信息合规管理制度可以确保个人数据的收集、存储和使用等流程合法、透明、安全，有效防止个人信息主体的个人信息被不法分子窃取和滥用，从而帮助企业保护个人信息主体的权益。

2.增强客户信任感

建立完善的个人信息合规管理制度可以让个人信息主体感到企业对个人信息的高度重视，能够增强个人信息主体对企业的信任感。同时，个人信息权益得到保护，个人信息主体更加安心，还可以提升个人信息主体的满意度和忠诚度。在竞争激烈的市场中，建立良好的信任关系可以吸引更多的客户，增加企业的市场份额和商业价值。相反，一旦客户发现企业不重视个人信息保护，或是发生了用户个人信息泄露事件，就会对企业产生不信任感，从而降低客户的忠诚度和满意度。

3.降低企业合规风险

在当前的法律和监管环境下，企业必须依法合规地处理各种数据，否则将承担巨大的合规风险和法律责任。个人信息合规管理制度的建设需要企业全面了解当前的个人信息法律法规和监管政策，并将其纳入企业的个人信息合规管理制度，从而确保企业的个人信息处理行为符合相关法律法规和标准。因此，个人信息合规管理制度的建设可以规范企业的数据收集、存储和使用等行为，极大地减少企业的违规行为和合规风险。

4.提高企业形象和声誉

随着公众个人信息保护意识的不断提高，企业的个人信息保护问题已成为公众关注的焦点。如果企业能够建立完善的个人信息合规管理制度，严格遵循个人信息法律法规和标准，加强对个人数据的保护和安全使用，将会赢得公众的信任和尊重、提高企业的品牌形象和声誉。同时，个人信息保护已成为企业社会责任的重要方面之一。建立完善的个人信息合规管理制度，可以展现企业对个人信息权益的尊重和保护，体现其对社会的责任感，有助于提升企业在社会中的地位和形象。

5.提高员工意识和素养

企业个人信息合规管理制度的建设不仅是建立规章制度和技术安全保障，更涉及企业文化的建设和员工意识的改善。员工是企业运营的重要组成部分，他们的行为将直接影响企业的形象和声誉。如果员工缺乏个人信息保护意识，企业便很容易面临数据泄露、滥用等个人信息问题，这不仅会给企业带来经济损失，还会影响其信誉和形象。因此，企业应建立完善的个人信息合规管理制度，通过加强员工培训、制定个人信息保护规章制度、采用个人信息保护技术、建立内部监管机制等，有效提高员工对于个人信息保护的意识和素养，使员工在日常工作中更加注重个人信息保护，避免员工在个人数据处理方面出现不当的行为，从而为企业的可持续发展奠定坚实基础。

6.促进数据创新和价值开发

数据是企业的重要资产，通过合法合规的数据收集、存储和使用等，企业可以更好地了解用户需求和市场动态，提高业务流程和决策的效率和精度，从而实现数据驱动的发展和创新。

首先，通过数据收集，企业可以更好地了解客户需求和行为模式。企业可以利用数据分析工具和技术对用户行为数据进行分析，得到用户喜好、购买习惯、需求偏好等信息，从而更好地了解客户，提高产品和服务的精准度和个性化程度。这有助于企业更好地满足客户需求，增加用户黏性和忠诚度，提高市场占有率。

其次，通过数据存储，企业可以更好地跟踪市场动态和趋势。企业可以对市场数据进行收集和存储，通过分析市场趋势和竞争情况掌握市场变化，制定更加精准的市场策略和营销计划，提高销售额和市场份额。

再次，通过数据使用，企业可以提高业务流程和决策的效率与精度。企业可以利用数据分析工具和技术对业务数据进行分析，识别业务瓶颈和优化点，提高业务效率和生产力。此外，数据分析还可以帮助企业制定更加科学合理的决策，降低决策风险，提高决策精度和可靠性。

最后，通过数据创新，企业可以开拓新的业务领域和市场机会。数据分析和挖掘可以帮助企业发现潜在市场和业务机会，创新业务模式和产品设计，从而开拓新的业务领域和市场机会。此外，数据创新还可以带来更多的商业价值和竞争优势，为企业的长期和可持续性发展提供更好的支持。

7.推动行业标准的制定、发展并促进行业竞争的公平性

随着互联网和大数据技术的快速发展，个人信息保护已成为互联网行业和数字经济发展的重要议题。当一个企业建立起完善的个人信息合规管理制度时，它便可以成为其他企业学习和参考的典范，从而助推行业标准的制定和发展。在行业标准的制定过程中，各企业可以根据自身的业务特点和实际情况制定相应的个人信息合规管理制度，从而形成更加健康、合理、规范的行业标准。

同时，在数字经济时代，掌握优质数据资源已经成为企业的竞争优势，其中个人信息是优质数据资源的主要部分，因此企业应当重视对个人信息的保护。如果企业没有建立起完善的个人信息合规管理制度，就很可能会在数据收集、存储和使用等方面存在违规行为，形成不公平的竞争环境。而随着越来越多的企业建立起完善的个人信息合规管理制度，行业竞争的公平性将得到有效保障。

综上所述，企业个人信息合规管理制度的建设对于企业与用户都具有重要意义。企业应该严格遵守个人信息法律法规和标准，建立完善的个人信息合规管理制度，保障个人信息安全、避免个人信息滥用和泄露，降低企业合规风险，减轻法律责任，最终实现企业和用户的共赢。

二、企业个人信息合规管理制度建设的目标

企业个人信息合规管理制度的建设目标是确保企业在收集、存储、处理和使用用户个人信息时，能够严格遵守相关法律法规和标准，保障个人信息权益，降低企业的合规风险。具体来说，企业个人信息合规管理制度的建设目标应包括以下七个方面。

……