【小贝说安全】数安条例百问43、44、45：关于个人行权

对应条款

《条例》规定了三种应当为个人指定的其他数据处理者访问、获取其个人信息提供转移服务的条件：

一是请求转移的个人信息是基于同意或者订立、履行合同所必需而收集的个人信息。《个人信息保护法》第十三条规定了七种可以合法处理个人信息的场景（第七种是兜底的），其中第一种是基于个人同意，第二种是为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。前两种与后续五种的区别在哪里呢？根本在于，前两种基于个人意愿，或者说经过了个人意愿，这时候由个人提出转移其个人信息是合理的。但在其他种情形下，个人信息的收集本来就同个人意愿无关，又怎么能按个人意愿进行转移呢？

二是请求转移的个人信息是本人信息或者请求人合法获得且不违背他人意愿的他人信息。这其中涉及到另一个深刻的命题：一个人的个人信息有没有可能含有他人的个人信息？一般情况下，人们不会去讨论这种情况，因为基于个人同意已经可以应对绝大多数情形。但在向第三方转移场景下，情况变得较为复杂。例如，一个人要求某即时通信工具将其朋友列表转移到另一即时通信工具，这可以吗？如果原工具支持了这一请求，则接收好友列表的工具可以基于好友列表对该人的好友发出邀请，这很可能会被这些好友视为侵扰。这就属于因转移个人信息而违背他人意愿的情况，此时不应该支持用户的转移个人信息申请。

三是能够验证请求人的合法身份。任何种类的个人行权，都应当以验证个人身份为前提。但为什么在向指定个人信息处理者转移个人信息时又再次强调身份认证呢？可以联想一下个人信息处理者将个人信息转移给第三方的条件，此时需要个人“单独同意”。严格程度远远超出一般场景，可见此类事情的敏感程度。事实上，即使是个人主动发出申请，一旦处理不当，后果也同样严重。故而，此时必须验证请求人的合法身份，否则不能贸然向第三方转移个人信息。

需要指出，《条例》第二十四条还进一步设置了第二款和第三款，这两款规定也有特殊考虑。

第二款要求，数据处理者发现接收个人信息的其他数据处理者有非法处理个人信息风险的，应当对个人信息转移请求做合理的风险提示。这是因为，有时个人未必具备足够的风险意识，可能忽视向另一方转移其个人信息的风险，故原个人信息处理者应当对个人作风险提示。

第三款要求，请求转移个人信息次数明显超出合理范围的，数据处理者可以收取合理费用。这一规定容易理解，这是保护企业合法利益、防止滥用个人信息权的必要举措。