数字营销与运营过程中，与用户权益、企业处理用户个人信息等《个人信息保护法》中相关的名词解释。- 用户个人信息权益相关
- 用户信息处理相关
- 企业或平台的义务相关
- 跨境数据流转相关
以电子或其他方式记录的已识别或可识别自然人的有关信息，但其中不包括匿名化处理后的信息，也就是说，个人信息具有可识别自然人的特性。比如常见的通过手机号识别用户，或是用户手机设备唯一标识device id，均属于个人信息。个保法中提出，个人敏感信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息。举例来说，生物识别信息中就包含指纹、人脸信息等，而当人脸信息泄露后，就可能被用于刷脸支付，从而威胁到用户的财产安全。可见相比普通个人信息，个人敏感信息的泄露危害更大。指不满十四周岁未成年人的个人信息，个保法中规定处理这类信息需要取得未成年人的监护人同意。个保法规定，个人同意处理其个人信息后，也有权撤回同意。也就是说，尽管用户前期同意授权自己的信息给企业，后期用户想要反悔撤回，企业也要提供撤回同意的方式。并且就算用户撤回同意，也不能对前期提供的服务进行限制收回。当用户想要查阅或复制自己的个人信息，企业需要及时向用户提供。个人信息不准确或不完整的情况下，用户有权对自己的个人信息进行更正或补充。在一些情况下，若企业未主动删除个人信息，用户有权请求删除，例如用户撤回同意、企业停止提供产品或服务等等。具体可参见个保法第四十七条。在符合国家网信部门规定的情况下，用户请求将自己个人信息转移到其他地方，企业也需要提供相应的途径。也就是说用户个人信息具有可携权，这一规定能够一定程度上防止部分平台垄断数据，带来多个数据孤岛的局面。而企业与企业之间也可在用户知情且同意授权的情况下，建立数据合作项目，有利于数据生态的发展。除了法律规定的情况之外，用户拥有拒绝他人处理其个人信息的权利。个保法中对个人信息处理者的定义为：在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。也就是说，无论是组织还是个人，只要存在对他人个人信息处理活动的，均属于个人信息处理者的范畴，也就需要合法合规地对信息进行处理。
PS：为了方便理解，下文我们将主要以企业代指个人信息处理者。
处理包含个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。个保法中的个人信息不包含匿名化处理后的信息，而匿名化处理是指，企业对个人信息进行加工处理后，无法识别出特定用户的信息，且匿名化信息无法复原。例如将用户的手机号做技术处理后，则无法通过处理后的信息匹配到特定用户，那么这样匿名化处理过的信息，就不属于个人信息的范畴。
企业在处理用户敏感信息时，需要额外获得用户的单独同意，且明确告知用户如何使用其敏感信息，以及对用户的个人权益会带来什么样的影响。比如说，尽管用户前期对个人信息进行了授权，但当涉及到处理用户个人敏感信息时，则需要单独获得用户同意，且明确告诉用户处理的必要性及可能的影响。
当用户的个人信息数据的处理，涉及到多方时，需要向用于告知相关处理方的信息，包括名称/姓名、联系方式、处理目的、处理方式以及涉及的个人信息是什么，告知以外，也需要获得用户的单独同意。例如过去品牌使用三方数据公司提供的人群包来进行广告投放的玩法，在个保法施行后，则属于多方处理用户个人信息，需要获得用户的单独同意。
比如三方数据公司在收集用户信息时，除了告知用户信息使用目的，还需说明涉及的其他处理方使用目的，如品牌用于广告投放。用户自行公开的个人信息，企业可以在合理范围内进行处理，但若处理会对用户权益造成重大影响，仍然需要获得用户同意。并且就算用户公开个人信息，仍有拒绝信息被处理的权利，因此总的来说，处理用户信息时最好取得用户同意。个保法第五条规定：处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。这里的原则意味着处理用户信息时要合法合规，禁止通过威胁的手段来强迫用户同意授权个人信息，例如过去常见的，一些APP在用户不同意隐私条款下直接闪退，导致用户为使用APP功能而不得已授权同意。
公开透明原则指，在处理用户个人信息前，企业需要明白告知用户，处理其个人信息的目的、方式以及范围。例如美团获取用户地理位置信息时，告知用户是为了给其推送距离较近的门店。个保法第六条指出，收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。这里处理目的的最小范围的含义是说，用户的个人信息不能用于实现处理目的以外的用途。
比如健身APP收集用户的性别年龄、身高体重等个人信息用于制定健身计划，但让用户填写其收入范围则超过了处理目的的范畴。在处理用户个人信息前，需要以显著的方式清晰告知用户相关事项，如作为个人信息处理者的企业名称及联系方式，其个人信息处理目的、方式、处理的个人信息种类以及保存使用期限等等，具体可参见个保法第十七条（公众号后台回复“个保法”，即可下载个保法全文PDF）这里告知需要以显著方式是指，需要明示用户涉及其个人信息处理的相关事项，比如有的平台在获取用户个人信息的时候，会通过诱导用户点击的方式，让用户在不知情的情况下勾选同意授权。
另外，在特殊情况下，如紧急情况下为保护用户生命健康或财产安全无法及时告知，也需要在事后及时告知用户。
而只有在法律法规要求保密或无需告知用户的情况下，才可不用告知用户，个人信息处理者的企业名称及联系方式。
单独同意指用户的部分信息，或部分情况下的信息处理，需要额外获得用户的单独同意。具体情况有以下五种：
- 多方处理用户个人信息
- 企业公开处理的用户个人信息
- 公共场所通过设备采集的个人图像、身份识别信息，使用于维护公共安全以外的目的
- 处理用户的敏感个人信息
- 向境外提供用户个人信息
明示同意指需要以显著的方式让用户阅读了解相关内容，例如通过高亮的方式方便用户注意其个人信息使用途径，而非故意将重要信息以不显眼的方式让用户忽略。比如一些APP的隐私条款会将其收集的用户个人信息种类及用途放置在条款的诸多文字中，让用户无法快速了解到。当企业对用户个人信息的处理目的或方式，和处理个人信息种类发生变更的时候，需要重新取得用户的同意。举例来说，用户为了购物授权给电商平台其个人信息数据，但如果平台要将其数据传输给品牌，则需要重新获得用户同意。
在以下情况中，处理用户个人信息时可以不取得其个人同意：- 订立合同所必需的情况；
- 为履行法定职责或义务所必需；
- 为应对突发公共卫生事件，或者紧急情况下为保护其生命健康和财产安全所必需；
- 为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
- 依照个保法规定，在合理的范围内处理其合法公开的个人信息；
- 法律、行政法规规定的其他情形。
具体可参见个保法第十三条（公众号后台回复“个保法”，即可下载个保法全文PDF）
当企业出现特殊情况需要转移用户个人信息的，也需要告知用户其个人信息的接收方名称及联系方式，并且当接收方将用户个人信息用于新目的时，同样需要重新取得用户的个人同意。比如某公司旗下的分公司解散，将分公司所处理的用户数据转移到总公司，就需要告知用户此项变化，当总公司对这批用户数据进行新的处理时，如用于广告投放，则需重新取得用户同意。
个保法中没有明确规定个人信息的保存期限，而是说应为实现处理目的所必要的最短时间，在完成处理目的后，需要尽快删除。也就是说，企业在收集处理用户信息时，需要有相对明确的保存期限，出现过期情况，需要重新获得用户授权同意，或删除相关个人信息数据。
个保法第二十条规定：两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。在用户个人信息的实际处理中，往往涉及到多方数据流转，而个保法规定，两个及以上的处理者均属于共同处理范畴，而在共同处理的情况下，多方都需要符合个保法的规定取得用户同意。
例如甲乙两个公司有数据合作项目，用户将个人信息数据授权给了甲公司，而乙公司在使用相关用户数据时，仍需要获得用户的授权同意。
个保法规定，当企业委托其他企业处理用户个人信息的时候，需要与被委托企业约定相应的处理目的、期限、方式以及个人信息种类等等，并且需要监督被委托企业的处理活动。例如某品牌将自己的用户数据给到数据分析公司，委托其分析品牌的用户画像，这时就需要与数据公司规定这批用户数据的使用目的、方式、期限等等。
并且数据分析公司不能在未经品牌同意的情况下，将数据给第三方处理。而数据分析公司在完成项目后，需要返还或删除品牌给到的用户个人信息数据。指通过计算机程序分析大数据，判断用户的个人行为习惯，兴趣爱好，甚至是经济信用等状况，基于这些分析结果，给用户进行特定的推送。比如常见的在社交媒体上，根据用户经常点击浏览等数据，分析其偏好内容，推送相似的其他内容；在一些购物APP上，根据用户的购买数据分析用户的经济能力，推送符合其经济能力的商品。
而企业在利用用户个人信息对其进行自动化决策时，一方面需要保证决策的透明度及公平性，另一方用户拥有拒绝自动化决策的权利，企业则需提供便捷的拒绝方式。
例如一些APP针对用户喜好的个性化推送内容，平台需要在明显的位置，给用户提供拒绝个性化推荐的按钮。
在基于“公共安全”需要的情况下，企业可以在公共场所安装图像采集、个人身份识别的设备，同时还需设置显著的提示，例如一些银行会在玻璃门上张贴“您已进入监控区域”的提示信息。其中通过识别设备收集到的个人图像、身份识别信息，在没有取得用户同意的情况下，只能用于维护公共安全这一目的。
例如过去某房产公司在售楼部设置人脸识别系统，记录顾客的人脸数据判断顾客类型，当顾客属于自然来访这一类型，则在签订购房合同时收取更高的佣金，当顾客属于渠道带客这一类型，则收取相对较低的佣金，而整个过程用户均不知情。
在个保法正式实施后，这一“商业模式”则不再合法合规。
总的来说，个保法强调企业需要对用户个人信息处理活动进行全程的负责。除了最重要的“告知”义务，个保法还专门规定了其他相关义务，具体如下：- 制定内部管理制度和操作规程
- 个人信息的分类管理
- 合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；
- 法律、行政法规规定的其他措施。
保证个人信息安全义务：- 采取相应的加密、去标识化等安全技术措施；
- 制定并组织实施个人信息安全事件应急预案；
个保法中规定，企业有义务采取一定的措施确保个人信息处理活动合法合规，其中包括加密、去标识化等安全技术措施。这里的去标识化是指将用户的个人信息进行处理，在一般情况下无法识别匹配到特定的人，与匿名化的区别在于，匿名化处理的过程无法复原，而去标识化的处理过程，可在借助额外信息的情况下，恢复到原始数据识别个人。
例如电商平台将用户数据进行加密处理后输出给商家，而商家若想解密数据，则需使用平台提供解密API接口，这种可解密的方式则为去标识化处理。
个保法的使用范围主要在两方面，一方面适用于在中国境内处理个人信息的活动，另一方面境外处理境内个人信息的活动同样需要符合个保法的规定。例如部分跨国企业的中国区公司，在境内获取到了用户的个人信息，若要将用户的个人信息传输到境外的公司总部或其他用途，则需要单独获取用户的授权同意。
在境内收集或产生的个人信息数据，提供给境外的组织或者机构，均属于数据出境。例如跨国企业的境外总公司，可以直接获取到境内分公司收集的用户个人信息数据这一处理活动，尽管是同一家企业，但同样属于数据出境，需要注意合法合规。
根据个保法第四十条，当企业处理的个人信息数量达到国家网信部门规定的，需要将在境内收集或产生的个人信息存储在境内。例如一家跨国企业，在中国境内收集的用户个人信息数据达到国家网信部门规定，相关数据则需要存储在境内，而不应跨境存储。
当企业在境内收集的用户个人信息数量达国家网信部门规定，同时又确实需要将数据向境外提供，则需要满足以下三个条件之一：（1）安全评估
- 一般情况下，涉及到跨境数据流转存储的情况，均需要经过国家部门的安全评估。只有当有其他法律法规规定的例外才可不进行安全评估。但截至目前，相关法律法规及国家网信部门，暂无出台这类“例外”
（2）专业机构认证
- 根据国家网信部门规定的经专业机构进行个人信息保护认证，这一点目前还有待相关部门推出更为完善细致的规则
（3）设置标准合同
- 根据国家网信部门制定的标准合同与境外的个人信息数据接收方签订，从而合法合规约定双方的权力及责任义务。
以上为个保法中涉及到企业数字营销与运营过程中的35个名词解释，希望对大家有帮助！作者：宋星
