【小贝说安全】数安条例百问33、34、35、36：关于个人信息处理规则

11月14日，国家互联网信息办公布了《网络数据安全管理条例（征求意见稿）》。为此，小贝说安全设立《网络数据安全管理条例（征求意见稿）》（后文简称《条例》）解读专栏，以百问百答的形式对《条例》进行系列解读。

需要指出，这些解读只是专家个人观点，不代表官方意见；且这些解读针对的是征求意见稿，未来条文本身可能会发生变化，不排除会有新增和删除。

对应条款

这里的“个人信息处理规则”实际上就是大家日常所说的“隐私政策”或“隐私协议”。在学术界，关于“隐私”与“个人信息”的关系，一直都有争论。《民法典》在第一千零三十三条列出了不得实施六类侵害自然人隐私权的行为，同时也在第一千零三十四条对个人信息作了定义。这种处理方式是否合理，迄今仍在争议，因为两者的重合内容太多，而且两者的定义是从不同角度作出的，不宜在法中并列。但无论如何，《民法典》的做法合乎常理，毕竟只使用“隐私”或“个人信息”都不足以反映人们对维护自身权益的客观需求。

但互联网行业长期以来的做法，是个人信息处理规则称为“隐私政策”，这个词从国外泊来（英文为Privacy Policy），已经成为了行业惯例。但就技术原理而言，其所针对的内容，更多侧重于个人信息保护，而不是隐私保护。因此，在《个人信息保护法》中，就没有再使用“隐私政策”的概念，甚至全然没有涉及“隐私”这个词。代替“隐私政策”的，是“个人信息处理规则”。

《个人信息保护法》第十七条规定：

个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：

（一）个人信息处理者的名称或者姓名和联系方式；

（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；

（三）个人行使本法规定权利的方式和程序；

（四）法律、行政法规规定应当告知的其他事项。

前款规定事项发生变更的，应当将变更部分告知个人。

个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。

从上述条款的内容看，法律主要是要求对个人履行告知义务，但没有强制指定一定要通过制定一份文档的方式。但是如果制定了个人信息处理规则，则应当公开并便于查阅和保存。

但在实际生活中，虽然不排除有音频、视频等方式告知方式，但多数还是通过文档方式。况且，如果不是通过文档而是其他方式告知，那么《个人信息保护法》第十七条所列告知事项，难道不是“个人信息处理规则”吗？“个人信息处理规则”是指一个具体的文档，还是指“处理个人信息的规则”？这其中存在歧义。

《个人信息保护法》第十七条存在的另一个歧义是，既然该法第二章本来就叫做“个人信息处理规则”，即第二章所有的要求都是对个人信息处理规则的规定，那么为什么又在第十七条要求“制定”个人信息处理规则呢？显然，《个人信息保护法》同时使用了广义和狭义的“个人信息处理规则”。前者侧重“规则”，后者侧重展现形式（文档）。

为此，《条例》从现实出发，绕过了其中存在的歧义，直接要求数据处理者制定个人信息处理规则，且没有在其他条款中使用广义的“个人信息处理规则”。即，无论是在法的层面，还是条例的层面，都不再使用业内常用的“隐私政策”，而代之以“个人信息处理规则”。

但《个人信息保护法》第十七条规定的告知事项较少，从保护用户权益、更多履行告知义务的角度看，有必要增加告知事项，这是《条例》对个人信息处理规则作了进一步细化的原因。

另一点需要强调的是，一些人往往把“告知”和“同意”混为一谈，或者认为“告知”和“同意”是一个有着前后因果关系的关联动作。之所以有这种错觉，是因为以前的“同意”都是要求用户同意隐私政策。这实际上是错误的，隐私政策（个人信息处理规则）可以在一定时间内对所有人都是一致的，但每个人同意的事项怎么可能是一致的呢？否则用户的“选择权”怎么体现呢？“告知”和“同意”显然不是一回事，也不必然关联。存在的不一定是合理的，业内存在几十年的惯例应当作出改变。

37

38