新書推薦：
《
秦汉史讲义
》
售價：HK$
151.8
《
万千心理·我的精神分析之道：复杂的俄狄浦斯及其他议题
》
售價：HK$
104.5
《
荷马：伊利亚特（英文）-西方人文经典影印21
》
售價：HK$
107.8
《
我的心理医生是只猫
》
售價：HK$
49.5
《
巴拉吉预言
》
售價：HK$
74.8
《
股权控制战略：如何实现公司控制和有效激励（第2版）
》
售價：HK$
98.8
《
汉译名著·哲学经典十种
》
售價：HK$
761.2
《
成吉思汗传：看历代帝王将相谋略 修炼安身成事之根本
》
售價：HK$
61.6
|
| 編輯推薦： |
个人信息保护法学习
专家编写 逐条解读 以案释法
作者资深：张平教授组织编写，深度参与《数据安全法》《个人信息保护法》《网络安全法》等立法咨询、论证工作。
帮助学习： 在逐条深入解读《个人信息保护法》的同时，解读条文的立法背景与适用要点，帮助广大读者真正把握法律意涵与精神。
指导实务：法条解读与指导实务工作并重，分析典型案例中的法律适用问题，在系统梳理个人信息相关规则的基础上着重解决实务难点问题。
|
| 內容簡介： |
本书以个人信息保护法条文为据，逐章逐条作出解读：
【条文主旨】一句话说明法条的核心要义。
【条文理解】讲解立法目的，精准阐释法条原意。
【适用指南】着重解决实务问题，对法律的适用进行深入探讨。
【相关规定】帮助读者全面了解相关法律规定。
【案例评析】通过以案释法帮助读者进一步理解法律的适用要点。
本书为相关行业从业者，法律实务人士提供了兼具高度与深度的工作指引，是防范法律风险、执法办案的参考书，也可以帮助广大读者学习掌握个人信息保护法的相关知识，是一部适时的实用教材，可以指导读者有效维护自身的合法权益。
|
| 關於作者： |
张平，北京大学法学院教授，北京大学知识产权学院常务副院长，北京大学粤港澳大湾区知识产权发展研究院执行院长，北京大学人工智能研究院双聘教授，北京大学人工智能研究院学术委员会委员。1991年在北京大学法学院任教至今，2004年被聘为北京大学法学院雅虎-方正讲席教授及北京大学互联网法律中心主任，2009年起兼任北京大学知识产权学院常务副院长。
其他社会兼职：中国科学技术法学会常务副会长兼秘书长、中国法学会知识产权法学研究会副会长等；深圳鹏程实验室人工智能研究中心双聘专家。
重点研究领域：知识产权法、互联网法。曾参加国家中长期科技发展规划研究、互联网基础立法等多项国家重点研究项目，近年重点专注于法律与科技结合等前沿问题，受邀参加电子商务法、网络安全法、数据安全法、个人信息保护法等多部法律的的专家征求意见、草案论证工作。
|
| 內容試閱：
|
第二十二条【转移个人信息】个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。
【条文主旨】
本条是关于因合并、分立、解散、被宣告破产等原因需要转移个人信息情形下的要求的规定。
【条文理解】
一、“同意”的要求
对比本法草案一审稿与二审稿对告知同意的表述，可以发现二审稿中后一句话将“向个人告知”这一表述删除。正式法条中保留了这一修改。基于此需要探讨，第二十二条中“重新取得个人同意”如何理解？
《信息安全技术 个人信息安全规范》第5.4条b)提出，“收集个人敏感信息前，应征得个人信息主体的明示同意，并应确保个人信息主体的明示同意是其在完全知情的基础上自主给出的、具体的、清晰明确的意愿表示。”该条款着重强调了个人信息主体的自主意愿表示。
欧盟GDPR以及《通用数据保护条例（GDPR）下的同意指南》中也指出，同意作为数据处理的合法基础的前提是，个人数据主体对自己的数据有实际的控制权并且有真正的选择（genuine choice）。
从上述两则规范中可以得出结论，同意的内涵是指个人信息主体在完全知情的基础上自主给出的、具体的、清晰明确的真正选择。本条规定与《信息安全技术 个人信息安全规范》第9.3条类似。在理解上，本条的适用范围仅限于以第十三条款项“取得个人的同意”为合法性基础的信息处理。
个人同意是处理个人信息的合法性基础之一，告知则是个人信息处理者必须要履行的义务之一，两者虽然在实践中的关联度很高，但在法律规定上视为两个有所区别的不同概念。草案二审稿和正式法条后一句中删去“向个人告知”，主要是考虑到告知义务的履行同样存在例外情形，例如个人信息保护法第十八条规定：“个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条款规定的事项。紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。”可见，若只单独规定“向个人告知”可能会引起上下条文矛盾或比较烦琐的表述，因而将其删去。但需要注意的是，删去“向个人告知”并不会减少企业实际的合规义务，因为在实践如果要取得个人同意，必然需要进行充分的告知。
二、变更目的和使用方式需履行的义务
从接收方的义务看，应当继续履行个人信息处理者的义务，在变更处理目的和处理方式的情况下还需要重新向个人告知并取得同意。需要指出的是，本条的适用与本法第十三条也可能存在冲突。如果不是适用第十三条款项“取得个人的同意”而是适用第十三条款的其他项处理个人信息，比如“为履行法定职责或者法定义务所必需”而处理个人信息，按理是无需获得个人同意的，如果接收方基于履行法定职责或者法定义务所必需而变更处理目的和处理方式，从理解的角度，仍然无需获得个人的同意，而仅仅进行告知即可。但个人信息保护法第二十二条规定所有变更都需取得同意，仅规定了一项处理的合法性基础，与第十三条之间如何协调仍值得商榷。
“变更处理目的和处理方式后需履行一定义务”的要求体现了“目的专用原则”，目的专用原则（Purpose Limitation Principle）又被一些国内学者称为目的限制原则。
目的专用原则要求“数据只因特定、明确且合法的目的而收集，且随后不得以与该目的相矛盾的方式进行处理”。有学者指出，现有法律规定没有区分数据使用和处理中的目的变更和语境变更。所谓语境变更，是指后续处理过程中的数据使用，不仅包含超出了原定的目的范围，同时，还因为数据控制主体将数据转让给第三方，当第三方开始再利用这些数据时，数据的处理语境已经发生了变更，这就是个人信息保护法第二十二条中规定的“转移给接收方”的情景。语境变更区别于一般的目的变更的一个关键点就在于是否有流通给第三方的环节介入。
个人信息保护法也注意到这一情况，故而要求在“转移给接收方”这种语境变更的情况下，一方面，原先的个人信息处理者要告知个人信息主体接收方的信息；另一方面，若接收方变更了目的，则需重新获取个人信息主体的同意。
【适用指南】
一、转移情形下的义务
本法草案二审稿中“需要转移个人信息的”情形仅列明“合并、分立等”，但正式法条中补充了“解散、被宣告破产”。此条与《信息安全技术 个人信息安全规范》第9.3条相类似，个人信息保护法也提出了合并、分立等需要转移个人信息情形下个人信息处理者和接收方的义务。
本条是关于个人信息承继的规范。公司在开设之后可能面临被兼并、收购、分立、解散和被宣告破产等情形，因此个人信息保护法规定了公司因合并、分立等原因需要转移个人信息的相应规范。首先需要明确的是，本条并非规定的是将个人信息转移给第三人，仅是个人信息承继的一种规范。根据法条文义解释，当公司出现合并、分立等需要转移个人信息的，合并和分立后的公司只需要履行通知义务（向个人告知接收方的名称或者姓名和联系方式）即可，而无需另行获得相应授权。只有当“接收方变更原先的处理目的、处理方式的”，才会需要向个人“取得同意”。
二、告知接收方信息的义务
本法草案一审稿和二审稿的表述皆是“接收方的身份、联系方式”，但接收方的“身份”需要具体到何种程度并未说明，故而正式法条改为“接收方的名称或者姓名和联系方式”，规定更为明晰。“提供接收方信息”这一要求在个人信息保护法第二十三条中也有体现：“个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。”对比可发现第二十三条关于“提供接收方信息”的内容更多，还包括“处理目的、处理方式、个人信息的种类”。
“提供接收方信息”这一要求与此前对SDK（SDK，即Software Development Kit，中文译为“软件开发工具包”，一般指软件工程师为特定的软件包、软件框架、硬件平台、操作系统等建立应用软件时的开发工具的集合）的监管要求相一致。根据《网络安全标准实践指南—移动互联网应用程序（App）使用软件开发工具包（SDK）安全指引》的要求，在App嵌入相关SDK时，需要向用户告知所接入的涉及个人信息收集的SDK的名称，SDK收集的个人信息类型、目的和方式，申请的敏感权限、申请目的等，并征得用户同意。若SDK需向用户单独告知收集使用个人信息的行为，App需为其中无单独页面的SDK提供向用户告知的便捷渠道。
较之个人信息保护法第二十三条和《网络安全标准实践指南—移动互联网应用程序（App）使用软件开发工具包（SDK）安全指引》的要求，个人信息保护法第二十二条“提供接收方信息”的要求，提供的信息少，且无需再次获得个人信息主体的授权同意。
三、接收方变更处理目的和方式需履行的义务
变更涉及多种情况，如变更法律主体，变更隐私政策，变更授权目的，或者不再处理个人信息。不同变更情形企业所需履行的具体义务也有所差别：
（1）若仅变更法律主体，此时可以通过公告等方式告知个人信息主体；
（2）若需改变隐私政策中列明的个人信息处理目的、方式和范围，则需重新取得个人信息主体的明确同意，比如某App要把相关数据用于其他用户并未授权的目的，与其他业务相融合，此时需要弹出隐私政策，重新取得用户授权；
（3）若业务直接停止，此时不会有接收方，则需要提前发布公告，给个人信息主体留出充足时间处理其个人信息。
【相关规定】
《中华人民共和国个人信息保护法》第十三条、第二十二条。
案例解读
“被遗忘权”的司法审查
(2015)一中民终字第09558号。
【案情简介】
2015年年底，北京市海淀区法院审结了原告任某某诉被告某网络服务公司侵犯名誉权、姓名权、一般人格权（“被遗忘权”）一案。该案件对我国在网络时代如何保护个人信息的“被遗忘权”问题进行了有益的规则探索和司法实践，具有理论和实务的重大研究意义。
任某某系人力资源管理、企事业管理等管理学领域的从业人员，其于2014年7月1日起在无锡某公司从事相关的教育工作。2014年11月26日，该公司向任某某发出了《自动离职通知书》，解除了双方劳动关系。某网络服务公司系提供网页搜索、相关搜索等搜索链接服务的提供商。2015年4月8日，任某某进入某网络服务公司搜索页面，键入“任某某”后在“相关搜索”处显示有“某氏教育任某某”“国际超能教育任某某”“美国潜能教育任某某”“香港跨世纪教育任某某”；另外，在搜索框内键入“某氏教育”，在“相关搜索”处显示有“无锡某氏教育”“某氏教育骗局”“某氏远航教育是骗局吗”。用手机上网，点击搜索网页，键入“任某某”，手机页面中“相关搜索”处显示有“某氏教育任某某”“国际超能教育任某某”。任某某主张因某氏教育在业界名声不好，且并未在某氏教育机构工作过，某网络服务公司在搜索页面中公开其与某氏教育有关的个人信息侵犯了其名誉权、姓名权及作为一般人格权的“被遗忘权”，要求某网络服务公司断开涉案关键词的搜索链接、赔礼道歉、赔偿经济损失。某网络服务公司认为其提供的“相关搜索”服务只是客观反映搜索关键词的信息关联状态，并未侵犯任某某的民事权益，不同意任某某的全部诉讼请求。
【裁判要旨】
法院经审理认为，相关搜索词系由过去一定时期内使用频率较高且与当前搜索词相关联的词条统计而由搜索引擎自动生成，并非由于某网络服务公司人为干预。某网络服务公司在“相关搜索”中推荐涉诉词条的行为，明显不存在对任某某进行侮辱、诽谤等侵权行为。“任某某”这三个字在相关算法的收集与处理过程中就是一串字符组合，并无姓名的指代意义，显然不存在干涉、盗用、假冒本案原告任某某姓名的行为。任某某在本案中主张的应“被遗忘”（删除）信息的利益与任某某具有直接的利益相关性，而且，其对这部分网络上个人信息的利益指向并不能归入我国现有类型化的人格权保护范畴，只能从“一般人格权”的角度寻求保护，但是由于任某某主张的该利益不具有正当性和受法律保护的必要性，不应成为侵权保护的正当法益，故判决驳回了任某某的全部诉讼请求。
本案一审宣判后，任某某向北京市中级人民法院提出上诉，该院审理后驳回上诉，维持原判。
【专家评析】
“被遗忘权”一般是指按照有关个人信息保护规则，网络用户有权要求搜索引擎服务提供商在搜索结果页面中删除自己名字或相关个人信息的权利。目前，我国民事权利体系中尚无该项法定权利，国内学术界对这项所谓的“权利”的法律性质、是否应受到保护、保护的法律渊源及路径、保护的法律标准等重要问题也并未形成主流学术意见。
该案作为国内“被遗忘权”案，同样涉及网络服务公司及普通公民的个人信息保护问题，为探索此类问题的司法保护提供了一个重要的分析样本。虽然该判决并未支持原告提出的有关保护其所谓的“被遗忘权”的诉讼请求，但是为“被遗忘权”在我国现行法律体系下通过“一般人格权”加以保护打通了路径，通过对该权利法律性质的分析，寻找了现行法律保护的依据，确立了保护的条件和标准，其提出的“非类型化权利涵盖利益”“利益正当性”“保护必要性”三大裁判规则必将为“被遗忘权”的形成和案件裁判标准的完善奠定有力的实践基础，为我国网络时代个人信息司法保护提供了有益的借鉴。
（参见《海淀法院审结全国首例“被遗忘权”案》，载北京法院网，https：//bjgy.chinacourt.gov.cn/article/detail/2016/05/id/1850523.shtml，后访问时间：2021年10月20日。）
|
|
購物車/收銀台(0) | 在線留言板
| 付款方式
| 運費計算
| 聯絡我們
| 幫助中心 |
加入書簽
HOME
新書上架
