《个人信息保护法（草案）》的新变化

10月21日，中国国《个人信息保护法（草案）》正式公布。草案继承和发展了《民法典》、 《网络安全法》勾勒出的个人信息保护框架，开放性地借鉴了欧盟《通用数据保护条例》等域外主流立法，在个人数据的跨境制度、数据处理的合法基础、个人信息权利等方面作出了更有针对性和可操作性的设计。值得关注的是，草案大幅度提高了处罚力度，违法企业或将面临最高五千万元，或者上一年度营业额5%的罚款，相关责任人员则可能面临最高一百万元的罚款。

域外效力：跨境场景下的长臂管辖

草案第三条第二款规定，在中国境外处理中国境内自然人个人信息的活动，如果是以向境内自然人提供产品或者服务为目的，或是为了分析、评估境内自然人的行为，则该处理活动也应遵守草案的规定。常见的情形包括企业使用中文或人民币、向境内用户发送商品或开展定向营销等。草案要求，境外个人信息处理者应在境内设立专门负责个人信息保护相关事务的机构或者代表，并将有关信息报送监管部门。草案尚未明确机构或代表的资质要求或需要承担的法律责任。

个人信息处理法律基础：“同意”不再是唯一路径

在现有法律法规确立的“被收集者同意”的基础上，草案增加了其他个人信息处理的合法基础，例如：履行合同所必需、履行法定职责或义务所必需、保护自然人利益所必需、维护公共利益所必需以及其他法定情形。这一规定能够为个人信息处理者提供多样的选择，有助于解决同意僵化、滥用及在特定场景下难以操作等问题，使“同意”更加真实、有效和有针对性。