8月20日，備受關注的《個人信息保護法》經由十三屆全國人大常委會第三十次會議表決通過。世輝律師事務所合伙人王新銳與上上簽解決方案專家就電子合同簽署與個人信息保護進行了詳細解讀。

1. 上上簽電子簽約：據悉《個人信息保護法》從去年10月就已經面向社會征求意見，從公布草案到今年正式出臺，這部預熱了將近一年的法律，出臺的背景和重要意義是什么？

王新銳律師：我自己參與到《個人信息保護法》的立法中已經有一段時間了。

其實我們在《個人信息保護法》起草之前就一直有相關的立法，只不過非常分散，例如《刑法》、《消費者權益保護法》、《電子商務法》、《網絡安全法》里面都有相關的條文。

但是個人信息保護是一個多場景，非常復雜綜合的事情，如果分散在不同的法律中，最后在實行過程中會出現很多問題。

而世界范圍內，現在大家也意識到個人信息保護在數字經濟發展過程中越來越重要。這也是我們作為一個數字經濟發展大國，這兩年將其提速的背景。《個人信息保護法》從草案發布到最終通過的速度非?？?，這得益于前期的很多積累。

當然，這次有一個亮點，即《個人信息保護法》是根據憲法制定的，這在我們的立法過程中是很少見的。

這也證明這樣一部法律本身是跟公民的基本權利息息相關，也是對之前公眾個人信息被廣泛收集、被濫用等情況的回應。

2. 上上簽電子簽約：現在的《個人信息保護法》作為新時代的個人信息保護立法跟域外的很多可能在70年代、80年代、90年代進行的立法，有何區別？

王新銳律師：主要是企業個人信息處理的能力大幅地增長，所以我們看到現在很多規模并不是很大的企業，可能只有幾百人，卻要處理上億的數據，這一情況在中國特別突出。

這種情況下就意味著企業要去關注其作為個人信息處理者，處理數據和保護數據的能力、合規的能力是要匹配的。

這也是我們個人信息立法的一個核心精神。因為很多企業都是在收集處理數據的時候，不管不顧，當真正出現風險的時候，是沒有辦法進行控制的。這不僅僅涉及到考慮法律規定、法律底線的問題，而是需要一種持續保持合規的能力。

3. 上上簽電子簽約：信息如果是在企業內部，企業就是個人信息的處理者。個人信息的處理包括最開始的收集、存儲、使用、加工、傳輸以及未來可能給第三方進行提供公開，還有一些刪除動作。

企業在處理這些個人信息時，應該注意什么？

王新銳律師：《個人信息保護法》給個人信息處理者增加了很多義務，這也是大家要格外關注的內容。這些義務之前在我們的其他規定中也有涉及，但這一次是非常綜合的。

我覺得有大概幾點需要關注：

首先，要看在處理個人信息時，其合法性基礎是什么?我們剛才提到的合法性基礎，包括合同、同意，或者其他法律列明的法律義務的履行。

第二件事情，我們要在處理個人信息的過程中相應地采取技術手段，不管是加密還是去標識化，要保證整個過程數據的安全，該部分內容跟《數據安全法》有些關聯。其次，內部要有相應的內控制度。包括應建立個人信息的訪問控制制度、應確保內部對個人信息被訪問的情況進行留痕等。

在《個人信息保護法》之后，我們的很多客戶也在討論怎樣去修改公司內部原有的一些制度或者新增一些制度。對于一些比較極端的情況，要提前準備應急預案，比較極端的情況包括比如現在不時發生的網絡攻擊，還會有一些個人信息泄露事件，甚至敲詐事件等等，這種情況下應該如何有針對性地做一些預案。

有時候我們比喻合規就像大火燒過來，如果沒有合規的制度，可能會把所有的船都燒光。但如果你有相應的合規制度做風險隔離，可能在第一時間就能及時發現什么地方著火了，同時把火滅掉。而且中間因為有隔離環節，不會在整個企業內部產生連鎖反應，這可能也是個人信息處理者要格外關注的。

4. 上上簽電子簽約：您剛才提到企業一定要做到留痕，以及數據的安全存儲?，F在很多企業想由一個獨立第三方提供留痕、中立性的證據。

作為第三方電子合同平臺，我們怎么做能夠更好地滿足《個人信息保護法》的合規要求？

王新銳律師：《個人信息保護法》出臺之后，我們也跟一些客戶做了討論，比如“單獨同意”不僅僅是一個同意本身的過程，還需要對同意進行記錄。

可以看到這次《個人信息保護法》帶來的一個變化是確立了過錯推定責任，也就是要求企業在面對一些個人信息風險事件時，要自證清白。

如果企業要證明自己沒有做錯事情，就需要企業全程留痕，然后能夠舉證。電子合同的一個價值也在于此，它可以幫助企業在整個過程實時留痕，比如對同意、單獨同意怎么獲得的做留痕，或對面向員工做的一些通知動作做留痕，后續，如果員工或者公司要去查詢電子合同，公證信息，相對來說電子合同平臺是可以實現的，這也是電子合同廠商能夠給企業帶來的價值。

但另外一方面，因為電子合同廠商服務了很多客戶，就要考慮內部的控制，內部的訪問權限設置的問題，比如需要對這些數據內部進行隔離。

上上簽電子簽約：關于這些，上上簽內部是有一整套完善的安全機制和流程的。我們內部的一些運維人員，是沒辦法直接接觸這些數據的。

同時我們上上簽把電子合同產品提供給外面的企業客戶或者個人客戶時，也要進行初次的告知，告知要采集哪些信息，一般我們都是采集最小信息，只要完成實名認證就可以。后續采集這些最小信息，用于什么方面，都會有告知說明，尤其在采用面部識別的時候，這種屬于特別隱私的數據，我們還會有一個單獨告知的說明。