11月17日上午，本年度第三期“面向日资企业中国员工的知识产权讲座”在上海国际贸易中心21楼会议室顺利举行。本次讲座由华诚与日本贸易振兴机构上海代表处共同举办，主题为“《个人信息保护法（草案）》对企业数据合规的启示”，由华诚律师事务所合伙人吴月琴和律师黄珏鑫共同讲授。

本次讲座包括三部分内容，分别是：（1）草案背景，（2）全文结构概览，以及（3）企业数据合规要点解读。

第一部分中，黄珏鑫律师由日常生活中的个人信息泄露问题引入，总结了四部门近两年成立专项治理工作组对App违法违规收集个人信息活动进行整治的成果，并结合《App违法违规收集使用个人信息行为认定方法》对重点的8类问题进行解读。黄律师总结，作为我国第一部专门规定个人信息保护的法律，草案出台后将与《网络安全法》和《数据安全法》共同构成我国网络安全与数据保护立法的三驾马车。 

第二部分中，黄律师首先梳理了草案的全文结构，解释了《个保法》的保护对象和适用范围。在保护对象方面，他结合抖音、微信读书案分析了何为“个人信息权益”，比较了其与隐私权的异同，并结合《个人信息安全规范》对何为个人信息进行了列举。在适用范围方面，黄律师指出除了直接面向C端用户的互联网企业以及涉及敏感个人信息的金融、医疗、教育类企业等需要格外重视《个保法》，其实不论是传统还是新兴行业，在员工聘用与管理以及对外提供商品或服务时都应当注重个人信息保护。

第三部分是本次讲座的重点，吴月琴律师择取《个保法》中的要点对企业数据合规给出了指引。首先，她归纳了《个保法》中规定的数据处理原则作为总起，包括合法正当、目的明确及必要性、公开透明等，并结合“优信二手车”等反面例子阐释了“最小必要”。她指出《个保法》的一大亮点是扩充了企业处理个人信息的合法性基础，并对如何获得个人信息主体的有效同意、如何充分履行告知义务进行了详细说明。关于涉及第三方的数据处理，吴律师对委托处理和向第三方提供这两种情况的本质及合规要求的不同进行了比较，并向企业提示了共同处理者的连带责任。谈到个人信息的跨境传输，她指出《个保法》其实放宽了个人信息出境的条件，除了通过国家网信部门的安全评估，还可以通过个人信息保护认证、与境外接收方签订合同等方式做到合规。从企业的角度出发，吴律师归纳了个人信息主体享有的知情、决定、查阅复制、更正补充、删除等权利，以及相应的企业处理个人信息应当承担的义务，包括建立个人行权受理机制、制定内部规章制度、进行合规审计、事前风险评估等。

吴律师还特别谈到了当下的几个热点问题：自动化决策、数据爬取、人脸识别。吴律师以“每日优鲜App发送商业短信案”为例，介绍了一种非常有意思的与格式条款、违约相关的审判思路；以“校友录头像被爬案”为例，说明对已公开个人信息的爬取若超过原有的授权范围可能构成对个人信息权益的侵害。对于人脸识别，吴律师以商场安装摄像头的不同用途为例，提示企业合规风险。