解析《个人信息保护法》实施以来主要的变化

---

前言

《中华人民共和国个人信息保护法》于2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议表决通过,自2021年11月1日起施行，目前已经生效实施超过两年。

两年间，国内外数字经济发展格局趋势出现了复杂的变化，但个人信息保护已然成为数字经济发展中的基础共识。个人信息保护立法、司法、执法、行业不断深化2021年《个人信息保护法》所设定的系列制度和个人信息权利。

---

一、二十一部配套的立法

从《个人信息保护法》发布以来，相继发布或正在制定的配套立法共有21部，主要发布部门有国家互联网信息办公室（以下简称网信办）、工信部、公安部、中国人民银行、银保监会、国家市场监督管理总局等部委。

主要内容涵盖未成年人网络保护、征信信息、深度合成、人脸识别、数据出境、个人信息保护认证、算法推荐服务、生成式人工智能、金融领域个人信息保护、个人信息保护合规审计等。

二、数据入表

财政部于2023年8月21日发布《企业数据资源相关会计处理暂行规定》（以下简称《规定》），旨在加强信息披露，鼓励数据资源入表。《规定》回答了“数据资源是否可以作为资产确认、作为哪类资产确认和计量以及如何进行相关信息披露等相关会计问题”。需要注意到的是，《暂行规定》还不是真正意义上的“数据资产会计准则”。《暂行规定》目前只给出了“满足资产确认条件且价值确定的数据资源如何计入报表”的解决思路，但是没有解决“数据价值如何确定”的问题。目前国际上也普遍认同加强信息披露是短期内务实的解决路径，《规定》是进一步强化数据资源相关信息披露的举措。

信息披露分为按照相关会计准则进行的强制披露，以及根据实际情况自愿披露数据资源（含未作为无形资产或存货确认的数据资源）的应用场景或业务模式、原始数据类型来源、加工维护和安全保护情况、涉及的重大交易事项、相关权利失效和受限等相关信息，以全面地反映数据资源对企业财务状况、经营成果等的影响。

三、跨境规则转向

2023年9月28日，国家互联网信息办公室发布《规范和促进数据跨境流动规定（征求意见稿）》（下文简称《规定》），拟对数据出境机制进行重大调整。

从目前条文来看，整体上表现为“放松数据跨境监管”的迹象。特别是《规定》第4条规定，基于合同所需、人力资源管理所必需以及紧急情况下为保护自然人的生命健康和财产安全所必需，这三种必需情况需要向境外提供个人信息的，不适用跨境规则。从整体规制的思路来看，网信此次在数据出境的制度调整可以归纳为：重点管特殊主体（国家机关及关键信息基础设施运营者）、特殊数据（重要数据，党政军和涉密单位敏感信息、敏感个人信息）、大量个人信息出境量级（出境数量1万以上）。

四、未成年个人信息保护

2023年10月16日，国务院总理李强签署第766号国务院令，公布《未成年人网络保护条例》（以下简称《条例》），自2024年1月1日起施行。

伴随着《条例》的通过，有关未成年人的个人信息保护规则趋于完整。此前，国家