网信办就《小型个人信息应对者个人信息保护简化办法规定》答记者问

本文由康养生活网为您带来最新资讯。

　　《小型个人信息应对者个人信息保护简化办法规定》答记者问

　　日前，国家网信办、公安部联合公布《小型个人信息应对者个人信息保护简化办法规定》(以下简称《规定》)。国家网信办有关负责同志就《规定》回答了记者提问。

　　问1：请介绍一下《规定》的出台背景？

　　答：党的二十大报告提出，加快打造网络强国、数字中国，强化网络、数据等安全保障体系打造，强化个人信息保护，支持中小微公司发展。党的二十届四中全会提出，强化个人信息保护，支持中小公司和个体工商户发展。《个人信息保护法》第六十二条规定，国家网信部门统筹协调有关部门围绕小型个人信息应对者，制定专门的个人信息保护规则、标准。

　　出台《规定》，是贯彻落实党中央关于强化个人信息保护和支持中小微公司发展工作部署，落实《个人信息保护法》有关要求的要紧举措，有利于在坚守个人信息安全底线的同时，降低小型个人信息应对者合规成本，提高小型个人信息应对者个人信息保护层次，为中小微公司创新发展提供法治保障。

　　问2：《规定》的适用范围是什么？

　　答：在中华人民共和国境内的小型个人信息应对者实施个人信息保护，适用《规定》。

　　《规定》所称小型个人信息应对者，是指应对不满10万人个人信息的个人信息应对者。

　　问3：《规定》中的“应对不满10万人个人信息”，相关数量如何进行统计？

　　答：应对不满10万人个人信息，在计数时，不包含10万人本数，按照个人信息应对者当前应对个人信息关乎的自然人数量进行累计统计，不包括已经删除的个人信息。

　　问4：《规定》的核心内容是什么？

　　答：《规定》核心对下列内容进行了规定：一是明确小型个人信息应对者个人信息应对规则等的简化办法，规定小型个人信息应对者制定公开个人信息应对规则、履行告知义务、取得个人同意、受理个人行使权利申请、删除个人信息等的简化办法。二是明确小型个人信息应对者履行个人信息保护义务的简化办法，规定小型个人信息应对者实施个人信息保护合规审计、个人信息保护作用评估、建立个人信息保护管理制度、履行个人信息安全事件补救和通知义务等的简化办法。三是明确监督管理要求，规定对小型个人信息应对者不予处罚、从轻或者减轻处罚的情形，鼓励履行个人信息保护职责的部门降低小型个人信息应对者合规成本，明确违反规定的法律责任。同时，《规定》以附件形式提供了《小型个人信息应对者个人信息保护合规审计自查表》《小型个人信息应对者个人信息保护作用评估表》，便于小型个人信息应对者自行实施个人信息保护合规审计、个人信息保护作用评估。

　　问5：《规定》对小型个人信息应对者制定公开个人信息应对规则，提出了哪些简化办法？

　　答：《规定》明确小型个人信息应对者个人信息应对规则应当包括的内容，并提供线下、线上公开个人信息应对规则的简便途径。按照《规定》要求，小型个人信息应对者个人信息应对规则至少应当包括下列内容：(一)小型个人信息应对者名称或者姓名；(二)个人行使权利的受理部门或者人员及联系途径；(三)个人信息的应对目的、应对途径，应对的个人信息种类、保存期限等。小型个人信息应对者线下收集个人信息的，可以借助在经营场所醒目位置张贴公告等简便途径公开个人信息应对规则；线上收集个人信息的，可以借助服务协议、商品服务客户端弹窗和网站公告等途径公开个人信息应对规则。

　　《规定》明确，支持园区、产业基地、商业物业等服务管理单位，为其服务管理范围内实施相同线下业务的小型个人信息应对者统一制定并在突出位置公开个人信息应对规则。同意遵守统一个人信息应对规则且在该规则中被列明的小型个人信息应对者，可以不再制定个人信息应对规则。

　　问6：《规定》对小型个人信息应对者履行告知、取得个人同意义务，提出了哪些简化办法？

　　答：小型个人信息应对者同时符合下列条件的，可以仅借助公开个人信息应对规则向个人履行告知义务：(一)应对个人信息(不含敏感个人信息)为提供商品或者服务所必需；(二)不向其他个人信息应对者提供且不对外公开个人信息，并在个人信息应对规则中明示。

　　对于公开个人信息应对规则并履行告知义务的小型个人信息应对者，《规定》明确，个人因获取商品或者服务需要，在充分知情的前提下自愿、主动向或者自愿、主动配合小型个人信息应对者提供获取商品或者服务所必需的个人信息的，小型个人信息应对者即可按照公开的个人信息应对规则应对其个人信息；为特定目的应对敏感个人信息的，小型个人信息应对者应当在个人信息应对规则中告知应对敏感个人信息的必要性以及对个人权益的作用，取得个人的单独同意。

　　法律、行政法规、部门规章对于小型个人信息应对者应对敏感个人信息另有规定的，从其规定。

　　问7：《规定》对依托网络平台应对个人信息的小型个人信息应对者，提出了哪些简化办法？

　　答：同时符合下列条件的小型个人信息应对者，可以不再制定个人信息应对规则、履行告知义务：(一)小型个人信息应对者仅借助网络平台实施个人信息应对活动，且不向网络平台外的其他个人信息应对者提供；(二)网络平台已围绕小型个人信息应对者个人信息应对活动，制定公布了相应的个人信息应对规则，并与小型个人信息应对者约定了各自的权利和义务；(三)小型个人信息应对者声明遵守网络平台按照本规定要求制定的个人信息应对规则，且应对个人信息为提供商品或者服务所必需，未超出前项规则载明的应对目的、应对途径和个人信息种类范围。

　　对于符合前述规定条件的小型个人信息应对者，网络平台已实施个人信息保护合规审计、个人信息保护作用评估，覆盖小型个人信息应对者依托该网络平台实施的个人信息应对活动的，小型个人信息应对者可以不再重复实施。

　　小型个人信息应对者应对个人信息的目的、应对途径和种类超出网络平台个人信息应对规则范围的，应当按照《规定》要求另行制定个人信息应对规则并履行告知、合规审计和作用评估义务。网络平台调整个人信息应对规则的，应当及时通知相关小型个人信息应对者。

　　问8：《规定》对小型个人信息应对者实施个人信息保护合规审计、个人信息保护作用评估，提出了哪些简化办法？

　　答：《规定》以附件形式提供了《小型个人信息应对者个人信息保护合规审计自查表》《小型个人信息应对者个人信息保护作用评估表》，小型个人信息应对者可以按照附件的简便途径，实施个人信息保护合规审计和个人信息保护作用评估。个人信息保护合规审计至少每五年实施一次，法律、行政法规对于应对未成年人个人信息的合规审计另有规定的，从其规定。

　　《规定》明确，支持个人信息保护认证机构围绕小型个人信息应对者实施认证工作，提高服务质量。借助个人信息保护认证的小型个人信息应对者，在认证见效期内可以免予实施个人信息保护合规审计。

　　问9：《规定》对小型个人信息应对者的监督管理，作了哪些规定？

　　答：对小型个人信息应对者的监督管理，《规定》作出以下规定：一是明确对小型个人信息应对者不予处罚、从轻或者减轻处罚的情形。规定对小型个人信息应对者依法不予处罚的，履行个人信息保护职责的部门应当视情采取约谈、发送提示函等监管办法。二是明确支持公司、相关社会组织、专业机构等借助组织培训、讲座、普法活动、咨询辅导等途径，帮助小型个人信息应对者提高个人信息保护本领层次。三是明确鼓励履行个人信息保护职责的部门为小型个人信息应对者提供安全便捷个人信息应对的基础设施、工艺工具、咨询服务等，降低小型个人信息应对者合规成本。四是明确网信部门、公安机关和其他履行个人信息保护职责的部门可以采取抽查评估、审计报告等途径对小型个人信息应对者履行个人信息保护义务状况进行监督检查。

　　(“网信中国”微信公众号)