中国通过数据保护法 全球最严? 例外颇多?

(德国之声中文网) 8月20日，中国全国人大常委会表决通过了《个人信息保护法》，并于今年11月1日起生效施行。这部法案的正式文本尚未发布；此前公布的二读草案文本在"总则"中强调，制订此法案的目的是"保护个人信息权益，规范个人信息处理活动，保障个人信息依法有序自由流动，促进个人信息合理利用"，并且强调了"自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益"；"处理个人信息应当具有明确、合理的目的,并应当限于实现处理目的的最小范围"。

全国人大常委会法工委发言人臧铁伟几天前曾对媒体透露，此次会议是对《个人信息保护法》草案的第三次审议，与此前二读草案相比，最新版文本主要增加了针对APP过度收集个人信息、"大数据杀熟"等问题的规范，并且将不满十四周岁未成年人的个人信息作为敏感个人信息。个人信息跨境提供的规则也有所修改，"对按照我国缔结或者参加的国际条约、协定向境外提供个人信息、对转移到境外的个人信息的保护不应低于我国的保护标准等作出规定"。

路透社分析指出，《个人信息保护法》与之前已经通过的《数据安全法》共同构成了中国今后管理互联网的两个主要法律支柱。后者即将在9月1日生效实施，其侧重点在于数据的经济价值以及国家安全事项。这两部法律都要求在中国境内经营的所有企业检视其数据储存以及数据处理的方式。

就在今年7月，中国网信办宣布对科技企业滴滴展开调查，原因包括"滴滴出行"APP涉嫌侵犯用户隐私。国家网信办会同公安部、国家安全部、自然资源部、交通运输部、税务总局、市场监管总局等部门联合进驻滴滴出行科技有限公司，开展网络安全审查。

除了数据安全，阿里巴巴、腾讯等诸多中国科技巨头近几个月还接连遭到了反垄断等各类调查。分析人士指出，中国当局正在全面加强对私营经济的监管力度。在这一背景下，即将生效的《数据安全法》和《个人信息保护法》也让在华经营的企业感到不安。

德国不来梅大学研究中国数据安全立法的学者基普克(Dr.Dennis-Kenji Kipker)在接受德国之声采访时指出，即便欧洲企业没有在中国设立分公司，也有可能面临在中国销售商品所获得的客户数据是否能转移出中国境外之类的问题；或者是德企在华员工收集到的数据只能在中国境内处理。"中国的许多此类法规往往初看很清晰，细看之下就会发现很多模糊的地方。这对外国企业是一个不小的风险：一方面，中国此类涉及到境外的法规越来越多；另一方面，要想准确理解这类法律也变得越来越难。"

为国家安全设立例外

此次通过的《个人信息保护法》，在某种程度上也与欧盟的《通用数据保护条例》相似。不过，有所不同的是，中国的这部法律并没有对政府部门获取个人数据做出太多限制，只是笼统规定"国家机关为履行法定职责处理个人信息,应当依照法律、行政法规规定的权限、程序进行,不得超出履行法定职责所必需的范围和限度"。根据此前的二读草案，这部法律为政府部门留出了不少例外条款，比如"国家机关不得公开或者向他人提供其处理的个人信息,法律、行政法规另有规定或者取得个人同意的除外"。

不来梅大学的法学家基普克也指出，尽管中国的《个人信息保护法》在很多方面都参照了欧盟《通用数据保护条例》，但是双方的数据保护并不可同日而语。"而且在中国，数据保护还具有一定的国家安全色彩。"

中国公共场所遍布的监控摄像、人脸识别设备，就在《个人信息保护法》中获得了例外待遇。尽管这部法案指出，种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等敏感个人信息"一旦泄露或者非法使用,可能导致个人受到歧视或者人身、财产安全受到严重危害"。但是同时也写道："在公共场所安装图像采集、个人身份识别设备,应当为维护公共安全所必需,遵守国家有关规定,并设置显著的提示标识。所收集的个人图像、个人身份特征信息只能用于维护公共安全的目的,不得公开或者向他人提供;取得个人单独同意或者法律、行政法规另有规定的除外。"

一些国际人权组织指出，中国当局尤其在新疆地区利用人脸识别、生物特征识别等技术，有针对性地对维吾尔等少数民族群体进行打压。

© 2021年德国之声版权声明：本文所有内容受到著作权法保护，如无德国之声特别授权，不得擅自使用。任何不当行为都将导致追偿，并受到刑事追究