【个人信息保护培训背景】

       在互联网和大数据时代，企业通过各种途径（例如线下经营活动、通过自营网站和手机App等线上方式）收集的大量用户个人信息分析了解用户的行为模式和消费习惯，对消费者进行引导消费。为加强对个人信息的保护，近期，中央网信办、工信部、公安部、信安标委联合对10款网络产品和服务的隐私条款内容等进行综合评判，其中包括腾讯微信、京东商城、滴滴出行、微博等10款常用APP。评审后，各网络服务提供商不同程度的对其隐私条款进行调整或者更新，强化对个人信息及隐私数据的保护。随着我国不断加强对个人信息保护的监管，如何合法合规地收集和利用这些个人信息也相应成为企业合规经营需要重点关注的问题。

一、我国个人信息保护的法律体系和法律责任

       随着现实生活中不断出现的个人信息被泄露的问题，我国在过去5年中颁布的含有个人信息保护相关规定的法律、法规、规章和司法解释多达20多项。违反个人信息保护相关规定的法律责任包括民事、刑事和行政责任。

       非法披露个人信息主要可构成侵犯个人隐私权或名誉权等人身性权利，需要承担的民事责任主要包括赔偿损失、赔礼道歉、消除影响和恢复名誉等，主要法律依据为《中华人民共和国侵权责任法》和《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》。根据《中华人民共和国刑法修正案（七）》第二百五十三条之一，出售或者非法提供个人信息的特定单位（如金融、电信、交通、教育、医疗等）人员，或者窃取或者以其他方法非法获得个人信息的人员，可被处以刑事责任；单位构成犯罪的，单位及其直接责任人员需要承担刑事责任。由于《中华人民共和国刑法修正案（七）》对出售或非法提供个人信息的适用单位范围限定过窄且刑罚过轻，无法有效遏制违法买卖、泄露个人信息的违法行为， 2015年7月10日公布的《中华人民共和国刑法修正案（九）》草案二次审议稿取消了“金融、电信、交通、教育、医疗”等单位的限定用语，并将最高刑期由三年提高至七年。对于违反相关个人信息保护规定的，相关政府主管部门（例如工信部和工商总局地方部门）可责令限期改正、处以警告、罚款、没收违法所得、吊销许可证或者取消备案、关闭网站、禁止有关责任人员从事网络服务业务等行政处罚，同时可将违法记录记入社会信用档案并予以公布（例如工商部门的企业信用信息公示系统）。

二、个人信息保护培训需要重点关注的事项

1、征得用户同意，明确告知收集、使用目的

       根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》的规定，明确要求企业“在业务活动中收集、使用公民个人电子信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经被收集者同意，不得违反法律、法规的规定和双方的约定收集、使用信息”，并“应当公开其收集、使用规则”。

       根据上述规定，企业在进行内部个人信息保护培训时，需要制定并公布个人信息的收集和使用规则。对于规则的内容，应当明确告知用户收集、使用信息的目的、方式和范围，征得用户的同意，查询、更正信息的渠道以及拒绝提供信息的后果等事项。而有些企业则分别单独制定使用条款和隐私政策，并通过使用条款中的援引条款将隐私政策纳入到使用条款中。不论采用何种方式，企业均需要量体裁衣，在满足法律基本要求的情况下制定符合自身情况且可以得到有效执行的隐私政策，避免盲目抄袭其他企业的规则，制定不切实际制定标准过高的隐私保护政策而引起违约或者行政处罚等法律风险。

2、发生或可能发生个人信息泄漏时补救、报告和通知义务

       根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》第四条规定“在发生或者可能发生信息泄露、毁损、丢失的情况时，应当立即采取补救措施”），并规定了在造成或者可能造成严重后果的情况下通知电信局等主管部门的报告以及配合调查义务（见《电信和互联网用户个人信息保护规定》第十四条规定）。

3、个人信息本地化存储要求根据《人口健康信息管理办法（试行）》第十条规定“不得将人口健康信息在境外的服务器中存储，不得托管、租赁在境外的服务器”；《征信业管理条例》第二十四条规定“征信机构在中国境内采集的信息的整理、保存和加工，应当在中国境内进行”。企业在进行个人信息保护培训时，应要求相关工作人员在处理这些数据时需要避免将相关个人信息储存在境外的服务器，或者将相关信息传输到境外。对于使用第三方服务器来存储用户个人信息的企业来说，如果该行业有相关的本地化存储要求，注意选用在中国境内设有服务器的服务提供商。

       综上所述，我国对个人信息保护的监管越来越严格，不断推出新的法律法规，相关企业需要密切跟踪这一领域的法律进展，在企业内容展开个人信息保护培训的活动确，保其收集和利用个人信息符合相关法律的要求。