【条文主旨】
本条是关于处理个人信息质量原则的规定。
【条文理解】
《个人信息保护法》将质量原则规定在第1章总则，凸显其作为基本原则的重要地位。本法系首次从法律层面规定质量原则，意义重大。一是有利于更好地保护个人信息权益。在个人信息处理活动中，保证个人信息的质量，对保护信息主体的人格尊严及人身财产权益至关重要。任何个人信息的不实、错误或者对其内容的扭曲都会或多或少影响个人社会形象和社会交往，让个人在社会中的发展偏离自己的预期。[1]二是有利于更有效地促进个人信息的合理利用。在大数据时代，个人信息成为与物质、能量同样重要的资源，整个社会对信息的依赖和利用需求增强。[2]将保证个人信息质量作为法定义务，有助于督促个人信息处理者通过采取合理的措施提升个人信息数据获取的准确性和完整性，使得个人信息的商业价值得到更加充分的发掘。
一、本条的立法沿革和起草过程
（一）立法沿革
从我国现行立法的角度考察，在本法颁布之前，《
民法典》《
网络安全法》《征信业管理条例》等
法律法规中已有涉及个人信息质量要求及救济措施的相关规定。《民法典》第1037条第1款规定：“自然人可以依法向信息处理者查阅或者复制其个人信息；发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。”《网络安全法》第43条规定：“……发现网络运营者收集、存储的其个人信息有错误的，有权要求网络运营者予以更正。网络运营者应当采取措施予以删除或者更正。”《征信业管理条例》第23条第1款规定：“征信机构应当采取合理措施，保障其提供信息的准确性。”第25条第1款规定：“信息主体认为征信机构采集、保存、提供的信息存在错误、遗漏的，有权向征信机构或者信息提供者提出异议，要求更正。”
从比较法的角度考察，质量原则是各国数据保护法或个人信息保护法中的一项重要原则。例如，GDPR第5条第1款d项规定：个人数据应当准确、必要、及时；以个人数据处理目的危险，应采取一切合理步骤确保不准确的个人数据被及时地处理、删除或修正。又如，《日本个人信息保护法》规定：确保个人数据内容正确包括在合乎用途的必要范围内尽量及时更新个人信息；无须使用时，及时予以删除。
（二）起草过程
本条在起草过程中有过较大变动。《个人信息保护法（草案）》第8条规定：“为实现处理目的，所处理的个人信息应当准确，并及时更新。”在立法过程中，有委员建议将“应当准确”改为“应当真实、准确”；有地方建议本条明确保证信息准确的主体；有部门建议删去“并及时更新”，也有地方和部门建议增加完整原则和处理者证明责任；有企业建议删去“为实现处理目的”，也有企业建议将“应当准确”改为“尽量准确”，将“及时更新”改为“发现信息错误、过时应及时更新”；有国外机构建议删去本条中个人信息准确性原则的规定或者将“并及时更新”改为“若有必要应及时更新”，也有国外机构建议由个人信息主体对信息的准确性负责。
在综合各方面意见的基础上，《个人信息保护法（草案二次审议稿）》将草案一审稿中“为实现处理目的”删除，并将“所处理的个人信息应当准确，并及时更新”修改为“处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响”。本法延续了二审稿的内容。我们认为，立法者之所以作上述修订，主要是基于以下几点考虑：一是“个人信息的质量”内涵和外延更为丰富，“质量”概念涵盖了准确、完整等要求，表述更为精准；二是基于个人信息处理活动的多样性，个人信息的时效性并非在任何场景下都适用，不宜一般性地将确保个人信息及时更新作为个人信息处理者的义务加以规定；三是质量原则贯穿于个人信息处理活动的全过程，无论个人信息处理者是谁，也不管处理活动属于何种类型，都必须受到该原则的约束，对其加以限定性的前提条件并无必要。
二、关于质量原则的理解
准确理解质量原则，应当对本条的文本从整体上加以把握。本条前半段规定“处理个人信息应当保证个人信息的质量”，属一般的原则性要求；后半段规定“避免因个人信息不准确、不完整对个人权益造成不利影响”，明确了该原则的适用目的。个人信息质量存在瑕疵，并不必然等同于不符合质量原则。只有相关信息质量问题同时存在对信息主体的个人权益造成不利影响的风险，才构成对该原则的违反。例如，利用众多去标识化信息进行数据分析以判断群体的消费倾向等特征时，由于信息分析结果并非精确地应用于个人，可以允许少量瑕疵的个人信息存在。
从文义解释的角度出发，尤其是结合本条后半段对前半段的解读，个人信息的“质量”应指向准确性和完整性两方面的要求。具体阐述如下：
（一）准确性
准确性要求处理个人信息应当真实、准确，系针对实践中大量存在的个人信息不准确的现象作出的规制。个人信息不准确主要表现为：一是个人信息不正确。即个人信息在被收集时就有错误，既可能是信息主体自身提供的个人信息有误，也有可能是个人信息处理者的原因所致。若是轻微笔误、格式错误等形式错误，则一般不会对信息主体的个人权益产生实质性影响；反之，若出现实质错误，则可能对信息主体的个人权益产生不利影响甚至造成损害。例如，当个人征信信息出现错误时，很可能会对信息主体获得信用贷款造成不利影响。又如，当个人医疗健康信息出现错误时，很可能会导致患者的生命健康权受到损害。二是个人信息已过时。即过去的个人信息已经不符合信息主体当前的情况，但又没有新的个人信息产生予以更替。这说明个人信息收集时没有错误，能够客观反映信息主体当时的情况，只是时过境迁，信息主体的客观情况发生变化，而个人信息处理者留存的仍然是过去的个人信息。这是个人信息已过时与个人信息不正确的主要差别。个人信息主体对于过时的个人信息享有及时更新的权利，但若处理目的为分析个人信息主体过去的情况，则对此类个人信息没有必要予以更新。
（二）完整性
完整性要求处理个人信息应当全面，没有缺失或者遗漏。个人信息完整与否，是相对于个人信息处理目的而言的。个人信息处理应当遵循目的限制和最小必要原则，这就意味着信息主体同意个人信息处理者处理的个人信息可以是部分的或不完全的。但随着处理活动的进行，如果已收集的个人信息相对于实现处理目的是不全面的或不完整的，那么信息主体有权要求个人信息处理者补充相应的个人信息。[3]补充的个人信息，既可能是收集时已经存在而未被纳入的个人信息，也可能是新产生的个人信息。这些个人信息与已收集的个人信息之间不存在矛盾，而是基于信息内容全面性的需要才进行增补，此时无须对原有数据做任何处理。需要指出的是，信息主体要求个人信息处理者补充个人信息，实际上增加了个人信息处理者的成本和负担。此时，是否补充应当考虑如下因素：补充个人信息是否是实现特定的个人信息处理目的所必需的；补充个人信息是否有助于个人信息处理活动；如不补充个人信息是否会使得个人因信息的不完整而面临风险等。[4]例如，某项新产生的个人信息将影响到基于数据画像的自动化决策机制准确运行，对该等信息即有必要予以补充。
【条文适用】
一、关于本条与本法其他规定的衔接适用
本条属原则性条款，贯穿于《个人信息保护法》整部法律，对本法第46条、第47条等相关条文的法律适用，具有一般原则的指导意义。具言之，根据质量原则，信息主体发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充，并且在符合规定的条件时有权要求个人信息处理者删除其个人信息；而个人信息处理者应当对相关个人信息予以核实，并及时更正、补充、删除。
本法第7章“法律责任”中第69条的规定，可作为确定个人信息处理者违反本条的民事赔偿责任的规范依据。需要注意的是，质量原则并不意味着个人信息处理者承担的是绝对责任或担保责任，即只要个人信息不准确或不完整对个人造成不利影响或损害的，就要承担民事责任。[5]本法第69条第1款确立了侵害个人信息权益的损害赔偿责任适用过错推定原则，也即个人信息处理者只有不能证明自己没有过错，才应当承担赔偿责任。而如果个人信息处理者能够证明，个人信息不完整或者不准确，并非个人信息处理者的过错所致，而是其他原因导致的，则其不需要承担赔偿责任。如果信息主体已经向个人信息处理者提出其个人信息存在错误或缺漏，个人信息处理者未及时采取更正、补充、删除等措施，则其存在过错，由此给个人造成损害的，应承担相应的赔偿责任。
二、关于保证个人信息质量的措施
本条规定较为原则，在实践中如何推动保证个人信息质量的规定落地，结合既往的立法与司法实践，分述如下：
一方面，个人信息处理者应当有效履行数据质量控制义务。个人信息处理活动包括个人信息收集、存储、使用、加工、传输、提供、公开、删除等，个人信息侵权可能发生在其中任何一个环节，个人信息处理者也可能从事以上单项或者数项活动，故应结合业务特点，积极采取各项技术措施和组织措施来保证信息的准确和完整。鉴于目前的法律体系未对保证个人信息质量的实现路径作出具体规定，《银行业金融机构数据治理指引》（银保监发〔2018〕22号）的相关规定可兹参考。该指引在第4章“数据质量控制”中明确应当加强数据源头管理，建立数据质量监控体系、数据质量现场检查制度、数据质量考核评价体系、数据质量整改机制、监管数据质量管控制度等，覆盖数据全生命周期，确保数据的真实性、准确性、连续性、完整性和及时性。
另一方面，个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制，并及时更正、补充、删除个人信息。本法第46条第2款规定：个人信息主体请求更正、补充其个人信息时，个人信息处理者应当对其个人信息予以核实，并及时更正、补充。本法第50条第1款规定：个人信息处理者应当建立便捷的个人信息主体行使权利的申请受理和处理机制，拒绝个人信息主体行使权利的请求的，应当说明理由。需注意的是，信息主体提出更正、补充其个人信息的请求后，个人信息处理者应当加以核实后才能进行更正、补充，否则就无法确定个人信息是否准确和完整，且即使确定了不准确、不完整，对于补充或更正信息的真实性、准确性也需要进一步进行审核。此外，如果出现更正不能的情况，不必强行更正，可以选择删除。[6]关于本法第46条第2款规定的“及时”处理如何理解，参照《征信业管理条例》第25条“自收到异议之日起20日内进行核查和处理，并将结果书面答复异议人”以及《信息安全技术个人信息安全规范》第8.7条a项“在验证个人信息主体身份后，应及时响应个人信息主体基于8.1～8.6提出的请求，应在三十日内或法律法规规定的期限内作出答复及合理解释，并告知个人信息主体外部纠纷解决途径”之规定，可在个案审理中根据申请事项的明确程度、申请理由的充分程度、所提供证据的有效程度以及个人信息处理者承诺处理时间等因素予以综合判断。
三、关于保证个人信息质量的义务主体
本条虽强调“处理个人信息应当保证个人信息的质量”，但并未明确义务主体的具体指向。个人信息处理者是使用个人信息、对个人信息处理行为负责的主体，承担保证个人信息质量的义务，自不待言。
实践中，关于本条的义务主体是否包括个人信息处理者受托人以及个人信息处理者次受托人存在争议，有待进一步的探讨。我们的初步考虑是，从本法第50条第1款关于义务主体的表述看，似乎只能约束个人信息处理者，而不包括本法第21条第1款、第2款规定的个人信息处理者受托人以及第3款规定的个人信息处理者次受托人。但本法第59条又规定“接受委托处理个人信息的受托人，应当依照本法和有关法律、行政法规的规定，采取必要措施保障所处理的个人信息的安全，并协助个人信息处理者履行本法规定的义务”，自文义进路观之，受托人和次受托人为了履行保障信息安全义务和协助义务，也应当在相应程度上采取措施。因此，为对个人信息处理活动进行更加全面的规制，负有保证个人信息质量义务的主体应既包括个人信息处理者，也包括个人信息处理者的受托人和个人信息处理者的次受托人。
