《个人信息保护法》企业合规要点与法律责任

《个人信息保护法》于2021年11月1日施行，是我国个人信息保护领域的专门立法，企业处理个人信息需严格遵守。

一、处理个人信息的合法基础

处理个人信息应取得个人同意，但有下列情形之一的不需取得同意：为订立、履行个人作为一方当事人的合同所必需；为履行法定职责或法定义务所必需；为应对突发公共卫生事件或紧急情况下保护自然人生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为在合理范围内处理；依照法律规定在合理范围内处理个人自行公开或其他已合法公开的个人信息。

二、告知同意规则

处理个人信息前，应以显著方式、清晰易懂的语言真实、准确、完整地告知：处理者的名称和联系方式、处理目的和方式、处理的个人信息种类、保存期限、个人行使权利的方式和程序。基于个人同意处理的，个人有权撤回同意。处理敏感个人信息（生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等）需取得个人的单独同意，并告知必要性和对个人权益的影响。

三、个人信息跨境传输

向境外提供个人信息需满足以下条件之一：通过国家网信部门组织的安全评估；经专业机构进行个人信息保护认证；按照标准合同与境外接收方订立合同；法律、行政法规规定的其他条件。还需向个人告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类以及个人行使权利的方式，并取得个人单独同意。关键信息基础设施运营者和处理个人信息达到规定数量的处理者，应将个人信息存储在境内。

四、法律责任

违反个人信息保护法的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得；拒不改正的，并处100万元以下罚款；对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处5000万元以下或者上一年度营业额5%以下罚款，并可责令暂停相关业务或停业整顿、吊销相关业务许可或营业执照。