《个人信息保护法》与数字营销解读一:要点理解

2021年11月1日《个保法》实施以来,在用户个人信息数据层面,企业所受的监管力度逐渐加大,与之对应的一系列影响也开始浮现。

比如企业过去常用的一些营销玩法,现在逐渐失效。过去获取数据时没有限制,现在可能不知不觉就触碰了法律的红线,因此企业需要结合实际的数字营销业务来理解《个保法》,才能在合法合规的情况下,去探索更多的创新玩法来运营用户。

本文将《个保法》与数字营销业务结合梳理了20个Q&A,主要分为个保法要点理解,以及营销业务场景两大方面,通过举出具体例子来说明,数字营销过程中企业可能遇到的问题。

个保法的要点理解

1.个人信息定义

Q1.《个保法》规定个人信息的范畴是什么?

个保法中相关规定条例:

以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。

也就是绝大多数与自然人有关的信息,均属于个人信息的范畴,例如姓名、手机号、身份证等,都将纳入保护范围。

而同时,除了个人信息以外,还区分了敏感个人信息,其中包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息。相比个人信息,敏感个人信息保护力度更大。

但其中个保法将匿名化信息排除在外,这里的匿名化信息是指经过处理后无法识别特定自然人的信息,并且处理不可复原。

Q2.《个保法》规定个人信息的核心处理与使用原则是什么?

首先在《个保法》的定义中,个人信息的处理包括收集、存储、使用、加工、传输、提供、公开、删除等。

而针对不同类别的个人信息,有不同的处理方式。例如在处理信息时,普通个人信息往往在用户隐私条款中明确告知用户并取得其同意即可。

涉及到敏感个人信息时,则需要单独取得用户同意。而不是放入隐私条款中让用户一并同意,如果用户拒绝授权敏感信息,也不能影响用户一般情况下正常使用基本功能,例如一些功能性APP不能因用户拒绝授权敏感信息,就不让用户使用APP。

而具体不同类型个人信息的处理原则,我们整理了下表供大家参考

自动草稿
不同类型个人信息的处理原则

Q3.具体来看,敏感个人信息都有哪些?

个保法中规定,敏感个人信息是指:

一旦泄露或者非法使用,容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息,包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息,以及不满十四周岁未成年人的个人信息。

而在业务实践中,大部分平台会在隐私协议中,列出一部分处理的敏感个人信息,需要注意的是,即便在协议中列举了敏感个人信息,但在具体收集处理时,仍需要通过单独弹窗、说明等方式获取用户单独同意。

那么具体来看,敏感个人信息都会有哪些?以下为目前各大平台在隐私协议中所列出的敏感个人信息,供大家参考:

自动草稿
各大平台隐私协议中列出的敏感个人信息示例

Q4.个保法中的匿名化和去标识化有什么区别?

个保法中对两者的定义分别是:

去标识化

指个人信息经过处理,使其在不借助额外信息的情况下无法识别特定自然人的过程。

匿名化

指个人信息经过处理无法识别特定自然人且不能复原的过程。

两者的区别在于,匿名化是单向的过程不可复原,而去标识化在借助其他一些方法的情况下,能够回溯到原有信息数据。就像一张照片使用了马赛克的特效后,无法识别出照片是谁,但这个特效也可以取消,而匿名化则是对照片直接进行涂抹,无法复原。

在应用上,由于两者都能实现无法识别特定自然人,因此使用去标识化或匿名化信息,则不属于《个保法》中个人信息的范畴。例如将数据进行加密处理,让原始用户数据无法被识别,就可以利用加密后的数据来进行统计或是建模等等。

2.告知同意定义

Q5.单独同意与告知同意的区别是什么?

单独同意与告知同意的区别在于前者更为严格,其中单独同意主要适用于以下几个场景

1)特殊个人信息处理的个人信息为敏感个人信息,如人脸生物识别信息;

2)信息处理者变更:例如常见的数据共享,将个人信息传输给第三方进行处理;

3)信息处理目的变更:例如APP获取用户的剪贴板权限,原先的协议中处理目的是,用于识别复制的分享口令,但现在处理目的是根据剪贴板内容给用户投放广告,属于变更的情况,需要单独获取用户同意。

Q6.什么场景下收集信息需要获取用户的单独同意?

涉及到用户的敏感个人信息时,均需要设置单独同意的机制,一般情况下,往往不会涉及到个人敏感信息的收集,只有在用户使用某个特定功能的时候,才会需要收集用户的个人敏感信息。

例如银行的大额转账,支付APP的实名注册功能等等,存在需要用户提供个人身份证号、人脸信息的可能。

个保法中规定了,敏感个人信息的处理必须要获得用户的单独同意,因此这类信息不能与普通个人信息一并写在协议中统一获取用户同意,而是需要额外的单独同意。

例如支付宝就设置了针对“公积金查询”功能,单独获取同意的机制,用户进入此功能模块,会明确告知用户,需要提供姓名、手机号、证件号以及人脸信息,用户同意后即可刷脸查询。

自动草稿
支付宝“公积金查询”功能获取用户同意示例

Q7.匿名化和去标识化的信息的共享或转让等处理方式,需要单独获取用户同意吗?

由于匿名化和去标识化信息均能实现无法识别特定的用户主体,不属于个人信息范畴,因此在数据合作的场景下,匿名化信息的共享、转让等处理方式,无需单独或再次获取用户同意。

但需要确保去标识化信息在让第三方处理的时候,第三方处理者无法复原去标识化信息,也就是无法识别到个人信息主体。

例如闲鱼的隐私政策也有提到:

自动草稿
闲鱼隐私政策

Q8.用户对个人信息的授权,一次同意就可以不受限处理使用吗?

存在需要再次取得用户同意的情况,当对用户个人信息的处理与原有的授权内容不符时,就需要重新取得用户的同意。

例如个保法中规定的需要再次同意的场景:转移个人信息时,接收方变更了原先的处理目的或方式,则需要再次取得用户的同意。

举例来说,原先的协议书中,对于用户手机号的处理目的是,注册、登录及注销,并未写明手机号还会用于推送营销短信,这种情况就属于变更了原先的处理目的,需要再次取得用户同意。

Q9.委托处理的情况需要告知用户且获得同意吗?

在个保法中,对于委托处理并没有指出需要告知同意,而是说个人信息处理者需要与受托方约定好处理范围,遵守规定的义务。

由于委托处理是一种他人代为处理的方式,而非个人信息数据的共享,因此并不属于向他人提供,不需要单独获取用户的同意,但需要在隐私协议中,告知用户存在委托处理的行为。

但在跨境委托处理的场景下,则属于《个保法》中的跨境提供个人信息,此时就需要遵守个人信息出境的相关法律法规。

作者:宋星。

热门文章

发表评论

您的电子邮箱地址不会被公开。 必填项已用*标注