个人隐私保护法最新规定 个人隐私包括什么( 二 )


另一方面,互联网企业数据跨境和赴美上市的监管进一步收紧 。7月2日,滴滴在赴美低调上市的第三日,就面临中国监管发起的网络安全审查,股价受到重挫 。7月28日,工信部委托中国互联网协会召开头部平台座谈会,召集阿里、腾讯、字节跳动、蚂蚁集团等12家企业参加,要求相关企业明确平台数据管理责任,并加强重要数据安全评估和出境管理 。
开展或参与金融业务这类互联网企业重要的商业变现模式也被监管所聚焦 。今年7月,有市场消息称,央行征信管理局给多家网络平台下发通知,要求后者与金融机构开展引流、助贷、联合贷等业务合作时,不得将个人用户主动提交的信息、平台内产生的个人信息、从外部获取的个人信息,以申请人信息、身份信息、基础信息、个人画像评分信息等名义,直接提供给金融机构,需要构建“平台-征信机构-金融机构”的模式 。
据日本第三方支付机构Netstars CTO陈斌介绍,在互联网金融兴起以前,国内引进美国FICO的评分机制,也就是央行的个人征信中心对借贷人做定性评估,但缺乏定量评估导致银行只知客户资质“好”与“差”,却不知“有多好”或“有多差” 。后来数字经济浪潮拍岸而来,央行征信系统立显“捉襟见肘”,加之国内相关法律缺失,大量互联网公司开始以大数据分析之名行征信业务之实 。
在前述监管要求下,这类商业模式正在走向转型,据21世纪经济报道,助贷公司正在积极寻求与个人征信机构的合作,一些公司还考虑择参股投资持牌征信机构 。
截止目前,央行共批准了两家持牌个人征信机构 。其中,百行征信于2018年获批,时隔近三年后,第二家个人征信机构朴道征信于2020年底获批 。在业内人士看来,朴道征信的获批意味着监管对个人征信向市场开放的态度有所松动,未来或有更多互联网企业能够获得持牌发展的机会 。
“互联网行业的商业模式对数据的依赖程度很高,随着科技的发展,获取数据的成本又很低,这使得企业有强大的动力去获取用户信息 。”一位金融科技行业人士告诉采访人员 。而《个人信息保护法》的出台将极大增加互联网科技企业违规获取或使用个人信息的成本 。
根据该法,对于违规行为的最高可处以五千万元以下或者上一年度营业额百分之五以下罚款 。以阿里巴巴为例,该公司2020年度营业额为5097.11亿元,最高罚款上限可达250亿元 。
具体细则仍待完善
多位法律人士在受访时将中国的《个人信息保护法》类比欧盟GDPR,后者被视为目前全球最严格、也最健全的网络数据隐私保护框架 。他们指出,《个人信息保护法》主张的信息主体权利基本向GDPR看齐,但“中国的法律是比较原则性、方向性的,因此显得略为空泛,还需更多细则来解决实际操作层面的问题” 。
以前文提及的个人信息携带权为例,该条款实现的前提为“符合国家网信部门规定条件”,因此具体施行仍有待网信部门出台细则 。
目前个人数据携带权仍存在诸多争议,丁晓东曾于2020年初发表《论数据携带权的属性、影响与中国应用》指出,一旦该权利被确认,冒名顶替从而非法获取个人数据的风险将成本增加 。此外,个人信息可携带转移在执行时不一定能够打破数据垄断,由于人们倾向于信任更知名、系统安全性更高的大企业,其执行效果反而可能导致中小企业数据流向大企业,对数据转移对接的要求还可能增加中小企业的成本负担 。
这些问题都需要具体执行细则加以解决 。“数据携带权的中国应用需要结合具体场景,对企业与公共部门施加不同类型与程度的数据携带权 。”他指出,只有在具体场景中勾勒与确定数据携带权的边界,这一权利才可能真正有利于公民权益与产业发展 。

经验总结扩展阅读