专业律师团队提供免费在线法律咨询

个人信息保护法第56条（个人信息保护影响评估内容以及保存期限）条文内容及释义

2024-12-15 10:10 admin

本文介绍个人信息保护法第56条（个人信息保护影响评估内容以及保存期限）条文内容及释义，内容来源于最高人民法院数字图书馆。

中华人民共和国个人信息保护法

个人信息保护法第56条条文内容

第五十六条　　个人信息保护影响评估应当包括下列内容：

　　（一）个人信息的处理目的、处理方式等是否合法、正当、必要；

　　（二）对个人权益的影响及安全风险；

　　（三）所采取的保护措施是否合法、有效并与风险程度相适应。

　　个人信息保护影响评估报告和处理情况记录应当至少保存三年。

个人信息保护法第56条条文释义

　　【条文主旨】

　　本条是关于个人信息保护影响评估内容以及保存期限的规定。

　　【条文理解】

　　本条原来规定于《个人信息保护法（草案）》第54条第2款和《个人信息保护法（草案二次审议稿）》第55条第2款，内容相同，具体为：“风险评估的内容应当包括：（一）个人信息的处理目的、处理方式等是否合法、正当、必要；（二）对个人的影响及风险程度；（三）所采取的安全保护措施是否合法、有效并与风险程度相适应。风险评估报告和处理情况记录应当至少保存三年。”最终稿单独规定在本条中，以显重视。

　　因为个人信息保护影响评估针对的是对于个人权益存在较高风险的处理活动，所以评估的内容至少应当包括处理行为的合法性、正当性的评估，处理行为可能产生的对个人权益的影响的评估以及处理者应当采取的安全保护措施等内容。随着信息技术的不断发展，我国的个人数据安全风险不断增加，本条的出台也是适应现实生活中个人数据安全的需要。本法规定本条款，借以保护个人信息权益，也是借鉴了欧盟的相关规定。GDPR引入的“数据保护影响评估”（DPIA）制度给数据控制者提出新的要求。GDPR第35条第1款规定了DPIA的一般要求：数据处理行为，特别是在运用新技术可能会给自然人的权利和自由带来高风险时，数据控制者应当在进行数据处理行为之前综合考虑该行为的性质、范围、背景和目的，评估预期行为可能给个人数据保护带来的影响。随着大数据时代的到来，大家逐步意识到，网络安全形势瞬息万变，“关注安全底线的、静态的、整齐划一的规定”实际上已无法为个人数据提供实质性的安全保障。[1]将风险降低到完全没有是不符合实际的，因此数据保护的主要任务是识别风险并将特定数据处理行为的风险等级降至数据控制者能够承担的水平。欧盟“数据保护影响评估”制度所构建的以风险管理为路径的新型数据保护模式，可被理解为风险评估和风险管理两个具体环节。[2]GDPR第35条第7款规定的数据保护影响评估应当包括：（1）对将要进行的数据处理操作、数据处理目的，及适当情形下数据控制者所追求的合法利益等进行系统性描述；（2）对数据处理操作与数据处理目的之间的必要性和比例性进行评估；（3）对第1款所述数据处理操作可能对数据主体权益保护造成的风险进行评估；（4）应对数据处理操作可能对数据主体权益保护造成的风险的措施，包括保护、安全保障措施和机制以确保对数据主体的保护，以及对本条例的遵守考虑数据主体和其他主体的权益保护。[3]

　　【条文适用】

　　本条第1款对个人信息保护影响评估的内容作出了规定，具体包括三项内容。

　　第一，个人信息的处理目的、处理方式等是否合法、正当、必要。首先，这里所说的个人信息的处理目的、处理方式，是指《个人信息保护法》第55条所列举的应当进行个人信息保护影响评估的个人信息处理活动。其次，个人信息保护影响评估的内容应当遵循合法、正当、必要原则。《个人信息保护法》规定的原则与《民法典》《消费者权益保护法》《网络安全法》《数据安全法》的原则一脉相承，具有连贯性。比如，《民法典》第1035条“个人信息处理的原则和条件”中规定了处理个人信息的，应当遵循合法、正当、必要原则。合法性原则要求信息处理者在处理个人信息时不得违反法律法规；正当原则要求处理个人信息的目的和手段要正当，要遵守公序良俗和诚信原则；必要原则要求处理个人信息的目的是特定的，禁止超出目的范围处理个人信息。最后，该原则的确定也借鉴了国外立法对个人信息保护的基本原则。比如，世界经济合作与发展组织发布的《隐私保护与个人数据跨国流通指南》规定了收集限制原则、数据质量原则、目的特定化原则、使用权限原则、安全原则、公开原则、个人参与原则、责任原则八项原则。亚太经合组织发布的《APEC隐私保护框架》规定了防止损害原则、告知原则、限制收集原则、使用原则、选择原则、个人信息完整性原则、安全保障原则、查阅和修正原则、问责原则九项原则。GDPR规定了合法公平透明原则、目的限制原则、数据最小化原则、精准性原则、存储限制原则、完整性与保密性原则、权责一致原则七项原则。[4]

　　第二，对个人权益的影响及安全风险。众所周知，《民法典》在总则编中第111条和人格权编中第1034～1039条）以多个条文对个人信息保护作出了重要规定，奠定了个人信息保护制度的规则框架；而《个人信息保护法》则是一部全面、系统规定个人信息保护的单行法。因此，《个人信息保护法》不能违背《民法典》所确立的基本原则。[5]《民法典》第3条规定了民事主体的人身权利、财产权利以及其他合法权益受法律保护，任何组织或者个人不得侵犯。《个人信息保护法》用了“个人权益”这个概念，个人权益包括《民法典》等法律赋予和保护的个人的所有权益，如人身权益、财产权益和其他合法权益等。对个人权益的影响，是指对个人信息被处理的个人的权益可能造成的不利影响。对于个人权益的影响，可以参考2021年6月1日实施的国家标准《信息安全技术个人信息安全影响评估指南》（GB/T?39335——2020）第5.5.1条。该条将个人权益影响概括分为“限制个人自主决定权”“引发差别性待遇”“个人名誉受损或遭受精神压力”和“人身财产受损”四个维度。举例说明，限制个人自主决定权，如被强迫执行不愿执行的操作、缺乏相关知识或缺少相关渠道更正个人信息。引发差别性待遇，如因疾病、婚史、学籍等信息泄露造成的对个人权利的歧视，因个人消费习惯等信息的滥用而对个人公平交易权造成损害。个人名誉受损或遭受精神压力，如被他人冒用身份和公开不为人知的习惯、经历等。人身财产受损，如引发人身伤害、资金账户被盗、诈骗、勒索等。安全风险，是指个人信息处理活动会带来的个人信息安全方面的风险。

　　第三，所采取的保护措施是否合法、有效和是否与风险程度相适应。个人信息处理者应当评估其采取的各种安全保护措施的合法性、有效性和适应性。安全措施可以是技术措施，如采取加密处理、去标识化处理；也可以是组织措施，如个人信息处理权限的等级划分、内部管理制度。

　　本条第2款对个人信息保护影响评估报告和处理情况记录的保存期限作出了规定，记录应当至少保存3年。在一审稿和二审稿征求意见时，一些委员建议将“至少保存三年”的规定适当延长，有人建议延长至十年。最终稿还是采用了“至少三年”，我们认为这样规定了最少期限，同时考虑经济成本、技术要求等实际情况，也不反对对个人权益更优的更长期间，较为科学合理。法律之所以规定至少保存三年，我们考虑是因为在发生个人信息安全事件时，能够精准查明事件发生的前因后果和责任方，需要调阅个人信息处理者保存的个人信息保护影响评估报告和处理情况记录，保存三年方便查询。同时，至少三年的保存期也与《民法典》第188条规定的普通诉讼时效期间为三年相衔接。有科研院校建议将一审稿和二审稿中“风险评估”改为“影响评估”，最终稿采用了上述建议，用词更加精准，内涵更加科学。

标签： 个人信息保护 个人信息 保存期限 评估内容

法律条文释义相关文章：

个人信息保护法第73条（相关名词定义）条文内容及释义

本文介绍个人信息保护法第73条（相关名词定义）条文内容及释义，内容来源于最高人民法院数字图书馆。个人信息保护法第73条条文内容第七十三条本法下列用语的含义：（一）个...

时间：2024-12-15阅读：217标签： 个人信息保护 个人信息
个人信息保护法第72条（适用主体范围的例外）条文内容及释义

本文介绍个人信息保护法第72条（适用主体范围的例外）条文内容及释义，内容来源于最高人民法院数字图书馆。个人信息保护法第72条条文内容第七十二条自然人因个人或者家庭事务...

时间：2024-12-15阅读：92标签： 个人信息保护 适用主体
个人信息保护法第71条（个人信息保护的治安管理处罚责任和刑事责任）条文内容及释义

本文介绍个人信息保护法第71条（个人信息保护的治安管理处罚责任和刑事责任）条文内容及释义，内容来源于最高人民法院数字图书馆。个人信息保护法第71条条文内容第七十一条...

时间：2024-12-15阅读：212标签： 刑事责任 个人信息保护 个人信息 治安管理处罚
个人信息保护法第70条（个人信息保护民事公益诉讼的规定）条文内容及释义

本文介绍个人信息保护法第70条（个人信息保护民事公益诉讼的规定）条文内容及释义，内容来源于最高人民法院数字图书馆。个人信息保护法第70条条文内容第七十条个人信息处理者...

时间：2024-12-15阅读：227标签： 个人信息保护 个人信息 公益诉讼
个人信息保护法第69条（侵害个人信息权益归责原则和损害赔偿规则）条文内容及释义

本文介绍个人信息保护法第69条（侵害个人信息权益归责原则和损害赔偿规则）条文内容及释义，内容来源于最高人民法院数字图书馆。个人信息保护法第69条条文内容第六十九条处理...

时间：2024-12-15阅读：154标签： 损害赔偿 个人信息保护 个人信息 归责原则
个人信息保护法第68条（不履行个人信息保护义务的处理）条文内容及释义

本文介绍个人信息保护法第68条（不履行个人信息保护义务的处理）条文内容及释义，内容来源于最高人民法院数字图书馆。个人信息保护法第68条条文内容第六十八条国家机关不履行...

时间：2024-12-15阅读：189标签： 个人信息保护 个人信息
个人信息保护法第67条（违法行为记入信用档案并公示）条文内容及释义

本文介绍个人信息保护法第67条（违法行为记入信用档案并公示）条文内容及释义，内容来源于最高人民法院数字图书馆。个人信息保护法第67条条文内容第六十七条有本法规定的违法...

时间：2024-12-15阅读：162标签： 个人信息保护 违法行为 公示 信用档案
个人信息保护法第66条（违反本法的行政处罚的规定）条文内容及释义

本文介绍个人信息保护法第66条（违反本法的行政处罚的规定）条文内容及释义，内容来源于最高人民法院数字图书馆。个人信息保护法第66条条文内容第六十六条违反本法规定处理个...

时间：2024-12-15阅读：202标签： 行政处罚 违法 个人信息
个人信息保护法第65条（投诉、举报处理工作机制）条文内容及释义

本文介绍个人信息保护法第65条（投诉、举报处理工作机制）条文内容及释义，内容来源于最高人民法院数字图书馆。个人信息保护法第65条条文内容第六十五条任何组织、个人有权对...

时间：2024-12-15阅读：103标签：举报 个人信息保护 投诉
个人信息保护法第64条（行政约谈和合规审计的职责）条文内容及释义

本文介绍个人信息保护法第64条（行政约谈和合规审计的职责）条文内容及释义，内容来源于最高人民法院数字图书馆。个人信息保护法第64条条文内容第六十四条履行个人信息保护职...

时间：2024-12-15阅读：134标签： 个人信息保护 审计合规 行政约谈