《中華人民共和國個人信息保護法》于2021年11月1日起正式生效，這標志著我國個人信息保護立法體系更上一個臺階。作為第一部專門保護個人信息的法律，《個人信息保護法》為數據保護的合規性提供指導，對處理個人信息的企業和個人如何使用相關數據進行更嚴格的管理，具有劃時代意義。

為了更好地了解《個人信息保護法》將對企業與和人力資源部門帶來什么樣的影響，日前ADP北亞區總經理張曉云就《個人信息保護法》相關問題進行了解讀。

《個人信息保護法》正式生效，標志著我國個人信息保護制度進入了新的階段。ADP曾提出，《個人信息保護法》與歐盟的《通用數據保護條例》（以下簡稱：GDPR）有相似之處，但其中仍存在一些關鍵區別。請問它們反映在哪些具體層面？

張曉云：首先需要明確的是，與GDPR一樣，《個人信息保護法》規定了在雇傭關系中，個人信息處理者可以處理的個人信息的定義：為訂立、履行個人作為一方當事人的合同所必需的信息。除此之外，《個人信息保護法》還特別授權企業處理按照依法制定的勞動規章制度或依法簽訂的集體合同，實施人力資源管理所必需的信息， 而GDPR在這種情況下則沒有做出明確規定。

最后，在敏感個人信息的分享與處理、個人信息跨境傳輸等事項上，《個人信息保護法》的處理方式與GDPR也有所不同�！秱�人信息保護法》除了要求企業建立完善的個人信息跨境傳輸機制外，個人信息處理者還必須確保個人信息主體同意此類處理活動。

《個人信息保護法》的實施對企業數據合規提出了新的挑戰。其中容易出現的主要問題有哪些？企業應如何通過組織架構，確保數據合規？

張曉云：企業主要面臨著三個方面的挑戰。第一，加強其數據安全意識是企業的首要任務，強化組織管理者和員工對數據合規性的認知，對于企業的合規流程非常重要。企業需要不斷調整自身的經營模式，持續做出優化，以確保遵守《個人信息保護法》的相關規定。

第二，信息管理工具是否具有合規性的問題，同樣不容忽視。企業使用的某些數據收集和管理工具可能不符合《個人信息保護法》的要求。陳舊的軟件和系統，也會給企業帶來一定的合規風險。

第三，企業完全能夠通過組織架構，確保數據合規，譬如通過以下這些手段：咨詢法律和信息收集使用技術專業人士數據合規相關問題，在合規解決方案和技術解決方案之間取得平衡；使用合適的信息管理工具并指派相關專家持續監測數據處理活動，能夠有效地預防潛在的違規行為；對員工進行數據合規培訓，備案與數據處理有關的糾紛和違規。

對于企業和人力資源部門來說，最重要的考慮因素是什么？

張曉云：除消費者和客戶數據兩個層面以外，新法還規范了企業能夠掌握的員工信息的范圍。因此，企業需要將人力資源和薪酬系統也納入考量。與此同時，企業需要全面考慮他們在處理數據時的全部義務和數據主體的權利，譬如信息通知、數據使用的選擇、訪問和刪除的權利、適當的安全措施，以及與受托方簽訂合同的合規性。

另外，數據最小化、隱私設計、可訪問性與準確性、對第三方供應商的監督、跨境數據傳輸、事件管理與響應、標準化記錄數據處理活動和信息管理等事項，都是企業需要考慮的方面。企業必須在自身的合規計劃中解決《個人信息保護法》提出的新要求。

企業應該對新法的各項要求進行全面的分析，以確定新法將如何影響企業的業務。接下來，企業應檢查現有流程，繪制數據處理流程圖，與新法規定的標準化流程對比，明確原有流程中亟待解決的問題。在此之后，企業管理者可以列出響應新法行動計劃，讓相應的部門及人員參與到合規流程中，包括但不限于隱私、法律、人力資源、信息技術、銷售和市場等方面的專業人士；最后，企業及其人力資源部門，應將《個人信息保護法》的合規工作視作一項長期流程，而非一蹴而就的任務。同時，企業領導者應制定公司治理計劃，展現出負責任的態度，并時刻保持自省，以確保在未來的運營中長期保持合規。

那企業和人力資源的負責人應該如何為未來的發展做好準備？

張曉云：對于企業和人力資源負責人來說，時刻關注法案對員工個人信息跨境傳輸的最新要求，是重中之重。這次更新的新法中規定了服務器必須存放在中國境內的情形�！秱�人信息保護法》規定：關鍵信息基礎設施運營者和處理個人信息達到國家網信部門規定數量的個人信息處理者，應當將其在中華人民共和國境內收集和產生的個人信息儲存在境內。如果確需向境外提供這些信息，應當參與并通過國家網信部門組織的安全評估；法律、行政法規和國家網信部門規定可以不進行安全評估的個人信息處理者，從其規定。

同時，個人信息跨境提供也有四個前提條件。第一，事先告知：應當向個人告知境外接收方的名稱或姓名、聯系方式、處理目的、處理方式、個人信息的種類以及個人向境外接收方行使本法規定權利的方式和程序等事項；第二，單獨同意：應當取得個人的單獨同意；第三，保障措施：個人信息處理者應當采取必要措施，保障境外接收方處理個人信息的活動達到《個人信息保護法》規定的個人信息保護標準；第四，影響評估：事先進行個人信息保護影響評估，并對處理情況進行記錄。

妥善處理敏感個人信息，是企業應對未來發展的所需關注的第二個重點。敏感個人信息包括生物識別、財產信息和健康情況信息，《個人信息保護法》中對此有明確的規定和要求。

為了更好地應對未來的合規問題，企業應選擇值得信賴的第三方供應商為其保駕護航。企業簽訂合同時，需要關注供應商所提供的合規服務是否是《個人信息保護法》下的合規，涉及處理員工個人信息 （包括收集、存儲、使用、加工、傳輸、提供、公開和刪除）的問題時，雙方的合同中也應按照《個人信息保護法》的規定，增加相關個人信息處理的條款，包括受托方應對《個人信息保護法》的合規要求的能力。

通過與ADP北亞區總經理張曉云的對話，我們了解到，《個人信息保護法》正式實施之后，對相應的個人信息處理行為都有更為明確的規范和約束。作為個人信息的處理者，企業與人力資源部門從業者務必要在法律規定的范圍內，遵循合法、正當、必要和誠實信用的原則處理個人信息。

-完-

關于ADP(NASDAQ – ADP)

領先技術、卓越服務、非凡體驗，ADP始終致力于創造更好的工作方式，幫助人們盡情發揮職場潛能。從人力資源、人才、社保福利、薪酬到合規管理，以數據為基礎，為人力而設計。

ADP和ADP標志是ADP公司的注冊商標。所有其他商標所有權均歸其各自所有者所有。Copyright © 2021 ADP, Inc.