《个人信息保护法》企业侧实用解读指南
2021 年 8 月 20 日，正式颁布了《个人信息保护法》（下简称“个保法”），并将于 2021 年
11 月 1 日正式施行；该法从自然人、社会组织/企业、监管机构三类主体视角，全面定义了各
个主体在个人信息保护工作上的权利和义务，以及违反“个保法”所产生的责任和所需承担的
惩罚性后果。本文仅从社会组织/企业侧，来对“个保法”进行解读，通过解读来为企业更好
的依法合规开展个人信息处理相关业务活动，提供积极的参考或建议。
一、适用本法的企业
本法统一定义为“个人信息处理者”，指在个人信息处理活动中，自主决定处理目的、处理方
式的组织、个人。处理方式包括了自动化决策、去标识化、匿名化等已明确给出的具体方式定
义。可以说，基本涵盖了所有对采集、存储、使用个人信息的商业公司及其他组织。
二、法文条款解读
（1）个人信息处理的全生命周期要求
虽然“个保法”没有提及“个人信息生命周期”的概念，但其对企业侧要求的权利责任和义务
已经涵盖了个人信息的整个生命周期。包括采集前对个人信息在业务活动中的对象范围、目
的、场景、合法合规性等业务和安全性设计；以及采集、存储、传输、加工、流转、删除销毁
等各个阶段的要求和安全保护性能力。总体说来，企业作为个人信息处理者，在整个个人信息
生命周期的业务活动，需遵循 3 大原则、关注 5 个特性：
1）个人信息处理的 3 大原则
明确的自愿同意原则
采集处理的必需必要及完整性原则
透明公示原则
2）个人信息处理的 5 大特性
相关性：即采集目的的相关，要求和产品服务直接相关。
时效性：即个人信息保存期，表明企业在不同时期采集的个人信息，应有明确的、对应的保
存期限（第十七条第二款），且为实现处理目的所必要的最短时间（即保存期届满的情况）（第
十九条）；要求最低可保存个人信息及相关记录三年以上；且过期后自然人对其个人信息享有
如删除销毁等指定权利。
可解释性：即在处理个人信息过程中，企业需具备对个人信息处理目的、存储状况、处理规
则等能够做出真实有效的解释说明。
评论1