律師對話上上簽：電子簽名平臺與《個保法》合規(guī)要求

　　《個人信息保護法》已經(jīng)在8月份出臺，電子簽名平臺作為第三方中立平臺，如何幫助企業(yè)更好地滿足合規(guī)要求?近期，上上簽邀請了世輝律師事務(wù)所合伙人王新銳進行了解讀。

　　1. 上上簽電子簽約：據(jù)了解，之前有《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》，現(xiàn)在的《個人信息保護法》相比之前這些法律有哪些特色制度？

　　王新銳律師：之前已經(jīng)有了很多關(guān)于個人信息保護的法律規(guī)定，相對而言，《個人信息保護法》在制度上有一些創(chuàng)新或者豐富。

　　(1)法律基礎(chǔ)變得更加豐富

　　之前我們在處理個人信息的法律基礎(chǔ)上，只有“知情同意”一個基礎(chǔ)。

　　而我們在前面提到有關(guān)個人信息保護的場景非常豐富，如果只依賴“同意”的方式，可能還是會有一定的矛盾。

　　所以我們在里面增設(shè)了合同、公共利益、新聞媒體監(jiān)督，類似這樣的一些合法性基礎(chǔ)。

　　(2)從同意的角度著手，也是目前世界范圍內(nèi)個人信息保護的主要基礎(chǔ)

　　但只是同意還不夠，這一次在同意的基礎(chǔ)上進行了豐富，提到了“單獨同意”的概念。

　　“單獨同意”也會對企業(yè)的合規(guī)帶來很大的影響。

　　再有，《個人信息保護法》對自動化決策和一些新技術(shù)進行了一些回應(yīng)。我們將涉及所有跟個人信息合規(guī)的一些業(yè)界實踐，包括一些域外立法的經(jīng)驗進行了匯總。比如增加了對數(shù)據(jù)進行分級分類和事前風(fēng)險評估的要求、對數(shù)據(jù)跨境前需要履行的義務(wù)的要求等等。

　　這樣可以看到相比之前，《個人信息保護法》出臺之后，制度上覆蓋地更加全面。

　　當(dāng)然對于企業(yè)而言，也要理解個人信息合規(guī)工作不是一個一勞永逸的事情，而是一個可持續(xù)的過程，這意味著需要企業(yè)不斷努力去履行這些制度帶來的合規(guī)義務(wù)。

　　而且在某種程度上，個人信息保護的合規(guī)跟合法不完全是一回事。合規(guī)的過程離不開企業(yè)在技術(shù)和制度上的持續(xù)投入，并不是非黑即白。

　　當(dāng)然什么叫做違法，有時是清楚的。但什么叫合規(guī)、違規(guī)，其中是有一定的界限，需要企業(yè)自身去證明。

　　2. 上上簽電子簽約：您剛才提到企業(yè)一定要做到留痕，以及數(shù)據(jù)的安全存儲。現(xiàn)在很多企業(yè)想借助電子簽名，由一個獨立第三方提供留痕、中立性的證據(jù)。

　　電子簽名平臺作為第三方中立平臺，怎么做能夠更好地滿足《個人信息保護法》的合規(guī)要求？

　　王新銳律師：《個人信息保護法》出臺之后，我們也跟一些客戶做了討論，比如“單獨同意”不僅僅是一個同意本身的過程，還需要對同意進行記錄。

　　可以看到這次《個人信息保護法》帶來的一個變化是確立了過錯推定責(zé)任，也就是要求企業(yè)在面對一些個人信息風(fēng)險事件時，要自證清白。

　　如果企業(yè)要證明自己沒有做錯事情，就需要企業(yè)全程留痕，然后能夠舉證。電子簽約平臺的一個價值也在于此，它可以幫助企業(yè)在整個過程實時留痕，比如對同意、單獨同意怎么獲得的做留痕，或?qū)γ嫦騿T工做的一些通知動作做留痕，后續(xù)，如果員工或者公司要去查詢電子合同，公證信息，相對來說電子簽名平臺是可以實現(xiàn)的，這也是電子簽名廠商能夠給企業(yè)帶來的價值。

　　但另外一方面，因為電子簽名廠商服務(wù)了很多客戶，就要考慮內(nèi)部的控制，內(nèi)部的訪問權(quán)限設(shè)置的問題，比如需要對這些數(shù)據(jù)內(nèi)部進行隔離。

　　

　　上上簽電子簽約：關(guān)于這些，上上簽內(nèi)部是有一整套完善的安全機制和流程的。我們內(nèi)部的一些運維人員，是沒辦法直接接觸這些數(shù)據(jù)的。

　　同時我們把產(chǎn)品提供給外面的企業(yè)客戶或者個人客戶時，也要進行初次的告知，告知要采集哪些信息，一般我們都是采集最小信息，只要完成實名認證就可以。

　　后續(xù)采集這些最小信息，用于什么方面，都會有告知說明，尤其在采用面部識別的時候，這種屬于特別隱私的數(shù)據(jù)，我們還會有一個單獨告知的說明。

　　3. 上上簽電子簽約：此外，您覺得第三方電子簽名服務(wù)商還需要做哪些能夠更加完善？

　　王新銳律師：在《個人信息保護法》出臺之后，所有大型公司的產(chǎn)品都需要根據(jù)其進行一些調(diào)整。

　　這種調(diào)整一是要跟合規(guī)義務(wù)對齊，我覺得現(xiàn)在已經(jīng)在做的一些方案、技術(shù)手段，肯定之前也都能夠被證明是有效的。在《個人信息保護法》出臺之后，企業(yè)需要捋一遍所有提供“告知—同意”的環(huán)節(jié)，是否跟法律要求是一致的。

　　另外企業(yè)內(nèi)部需要做數(shù)據(jù)的分級分類，我看到很多企業(yè)目前還沒有完全做到位。原因很簡單，之前法律沒有強制性的規(guī)定，但是在企業(yè)做數(shù)據(jù)分級分類之后，才能把數(shù)據(jù)做區(qū)分，比如區(qū)分為個人信息、敏感個人信息。甚至?xí)^(qū)分出可能有一部分信息不只是個人信息，還屬于重要數(shù)據(jù)。企業(yè)需要通過這樣的方式，才能確定該以何種方式去處理哪些類型的數(shù)據(jù)，或者在哪些情況下的數(shù)據(jù)處理是受到限制的。

　　如同王新銳律師與上上簽的對話，《個人信息保護法》出臺后，企業(yè)在選擇電子簽名供應(yīng)商時，會更加考慮個人信息安全保護的合規(guī)要求，第三方科技服務(wù)商因此需要更加關(guān)注相關(guān)細節(jié)，幫助企業(yè)規(guī)避潛在風(fēng)險。

特別提醒：本網(wǎng)信息來自于互聯(lián)網(wǎng)，目的在于傳遞更多信息，并不代表本網(wǎng)贊同其觀點。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實，對本文以及其中全部或者部分內(nèi)容、文字的真實性、完整性、及時性本站不作任何保證或承諾，并請自行核實相關(guān)內(nèi)容。本站不承擔(dān)此類作品侵權(quán)行為的直接責(zé)任及連帶責(zé)任。如若本網(wǎng)有任何內(nèi)容侵犯您的權(quán)益，請及時聯(lián)系我們，本站將會在24小時內(nèi)處理完畢。