【条文主旨】
本条是关于个人信息处理者因合并、分立等原因而转移个人信息时各方义务的规定。
【条文理解】
一、因合并、分立等原因转移个人信息的含义
个人信息处理者常常是法人或者非法人组织，而法人或者非法人组织会发生合并、分立、解散或被宣告破产等情形。此时，个人信息处理者所处理的个人信息就会发生转移。例如，A公司与B公司进行吸收合并，成立C公司，A公司与B公司均消灭的情形下，原来A公司与B公司所处理的个人信息就被转移给了C公司。此时，无论原先的个人信息处理者是基于个人同意处理个人信息，还是依据法律的规定处理个人信息，由于个人信息处理者已经发生了变化，故此，都应当履行向个人告知的义务，除非存在《个人信息保护法》规定的免除告知义务的情形。但是，由于这种因合并、分立、解散、被宣告破产等原因导致的个人信息转移并非因为个人信息处理者因自己的意愿将个人信息提供给其他的处理者，而且接收方并未变更处理目的、处理方式，仍然继续履行个人信息处理者的义务，故此，此种个人信息的转移不需要取得个人同意。只要处理者向个人告知接收方的名称或者姓名以及联系方式，以便于个人向接收方行使权利即可。但是，如果接收方要变更原先的处理目的、处理方式的，那么就必须重新取得个人的同意。为了明确上述问题，本条作出了规定。
二、转移个人信息的法定情形
（一）因合并而需要转移个人信息
所谓合并，就是法人或者非法人组织的合并。《
民法典》第67条第1款规定：“法人合并的，其权利和义务由合并后的法人享有和承担。”第108条规定：“非法人组织除适用本章规定外，参照适用本编第三章第一节的有关规定。”因此，非法人组织合并的，其权利义务也是由合并后的非法人组织享有和承担。最常见的法人合并的情形就是作为营利法人的公司的合并。《
公司法》第172条规定：“公司合并可以采取吸收合并或者新设合并。一个公司吸收其他公司为吸收合并，被吸收的公司解散。两个以上公司合并设立一个新的公司为新设合并，合并各方解散。”例如，A公司与B公司进行吸收合并，A公司吸收B公司，被吸收的B公司解散，此时B公司的债权债务依据《公司法》第174条由合并后依然存续的A公司承继。B公司此前基于同意而收集的个人信息也转移给A公司。再如，甲公司与乙公司进行新设合并，设立一个新的公司丙公司，甲乙两公司均解散，这就是新设合并，甲、乙两公司收集的个人信息转移给丙公司。
（二）因分立而需要转移个人信息
《民法典》第67条第2款规定：“法人分立的，其权利和义务由分立后的法人享有连带债权，承担连带债务，但是债权人和债务人另有约定的除外。”《公司法》第176条规定：“公司分立前的债务由分立后的公司承担连带责任。但是，公司在分立前与债权人就债务清偿达成的书面协议另有约定的除外。”但是，《民法典》和《公司法》均未就分立的具体类型作出规定，学说上一般将分立分为以下两种情形：一是单纯分立，即一个法人或非法人组织分成两个以上的法人或非法人组织，具体包括存续分立与解散分立，前者是指一个法人或非法人组织分立成两个以上的法人或非法人组织，原来的法人或非法人组织依然存续。后者是指一个法人或非法人组织分立成两个以上的法人或非法人组织，原来的法人或非法人组织消灭。[1]显然，在存续分立的情形下，由于原来的法人或者非法人组织依然存续，因此，并不一定需要转移个人信息，但是在解散分立的时候，就需要转移个人信息。二是分立合并，即法人或非法人组织因分立而与一个或多个现存的法人或非法人组织进行合并的情形。具体又可以分为，吸收分立合并与新设分立合并，以公司法人为例，前者是指公司将其部分营业分割出去作为出资并入其他既存的公司，所分割的营业被其他既存的公司所吸收；后者是指公司将其部分营业分割出去而与其他既存的公司的全部或部分的营业共同作为出资新设一个公司。[2]显然这两种分立合并的情形下，都可能会出现需要转移个人信息的问题。
（三）因被宣告破产需要转移个人信息
在法人被宣告破产的情形下，其原来处理的个人信息如何处理，需要视情况而定。多数时候，法人尤其是企业法人被宣告破产，意味着该法人将停止提供产品或者服务，或者其处理目的已经难以实现。在这种情况下，依据《个人信息保护法》第47条规定，个人信息处理者应当主动删除个人信息，如果不删除的，个人有权请求删除。但是，也可能出现的情况是，法人虽然破产，其收集的个人信息以及法人的资产被作为破产财产，依据《
企业破产法》规定的破产清算程序进行变价和分配，在这种情形下，就会出现个人信息被转移的问题。在破产清算程序中处置包含个人信息在内的破产人的数据财产时，需要考虑个人信息的接收方是否能够继续履行个人信息处理者的义务，例如，美国破产法实践中发展出的“合格购买者”的标准，要求转让人和受让人属于同一行业或者相似的营业范围，受让人同意按照个人信息原来的使用目的进行使用，受让人同意遵循破产的债务人的隐私政策等。[3]
（四）因解散需要转移个人信息
《民法典》第69条规定了法人解散的五类情形，即：（1）法人章程规定的存续期间届满或者法人章程规定的其他解散事由出现；（2）法人的权力机构决议解散；（3）因法人合并或者分立需要解散；（4）法人依法被吊销营业执照、登记证书，被责令关闭或者被撤销；（5）法律规定的其他情形。在上述情形中，除合并或分立而需要解散之外，其他法人解散的情形中是否需要转移个人信息也要视不同情况而定。如法人章程规定的存续期间届满或者法人的权力机构决议解散等，可能意味着该法人已经停止提供产品或者服务，所以，依据《个人信息保护法》第47条需要删除个人信息。至于法人因为被吊销营业执照等而被责令关闭或被撤销的，有可能是因为法人违法处理个人信息，从而被履行个人信息保护职责的部门依据《个人信息保护法》第66条第2款的规定处以吊销营业执照的行政处罚。这种情况下，依据《个人信息保护法》第47条规定，应当删除个人信息，而不是转移个人信息。但是，有些法人如机关法人被撤销的，依据《民法典》第98条的规定，该机关法人的民事权利和义务由继任的机关法人享有和承担；没有继任的机关法人的，由作出撤销决定的机关法人享有和承担。故此，也需要转移个人信息。
三、告知义务的履行
依据本条规定，个人信息处理者因为合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。由此可见，告知义务是由个人信息处理者来履行，当然也可以由个人信息处理者与接收方来共同履行。不过，仅仅是接收方履行该告知义务，并不妥当，因为个人不能确认接收方是否真的属于接收方，即个人对于个人信息转移的事实是否发生以及何人属于接收方会存在疑问。所以，仅仅是接收方的告知不能表明履行了告知义务。
四、接收方的义务
依据本条规定，接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式，应当依照本法规定重新取得个人同意。这就是说，首先，原来的个人信息处理者无论是依据法律规定还是依据合同约定而负有的个人信息处理者的义务，接收方都应当继续履行，否则应当承担法律责任。其次，接收方应当按照原来的处理目的、处理方式处理信息，不得变更。如果需要变更的，除非法律规定不需要取得同意，否则必须重新取得个人同意。而这种取得同意的前提当然是向个人履行告知义务。
【条文适用】
对于本条的适用，需要注意的是：本条只是适用于因合并、分立等法定原因需要转移个人信息，也就是说，本条所规定的导致个人信息转移的情形限于个人信息处理者的法律主体地位发生变化而导致的个人信息转移的情形。因此，如果个人信息处理者的法律主体地位没有变化，只是委托其他主体处理个人信息，即属于委托处理个人信息的情形（《个人信息保护法》第21条）；如果个人信息处理者向其他处理者提供个人信息的（《个人信息保护法》第23条），虽然客观上也是个人信息发生了转移，也都存在至少两个主体：一个是提供方，另一个是接收方。但是，二者产生的原因不同。本条规定的是合并、分立、解散等法律规定的原因，导致了个人信息处理者的主体法律地位的变化。
