县级以上地方人民政府有关部门的个人信息保护和监督管理职责,按照国家有关规定确定。
前两款规定的部门统称为履行个人信息保护职责的部门。
第六十一条履行个人信息保护职责的部门履行下列个人信息保护职责:
(一)开展个人信息保护宣传教育,指导、监督个人信息处理者开展个人信息保护工作;
(二)接受、处理与个人信息保护有关的投诉、举报;
(三)组织对应用程序等个人信息保护情况进行测评,并公布测评结果;
(四)调查、处理违法个人信息处理活动;
(五)法律、行政法规规定的其他职责。
第六十二条国家网信部门统筹协调有关部门依据本法推进下列个人信息保护工作:
(一)制定个人信息保护具体规则、标准;
(二)针对小型个人信息处理者、处理敏感个人信息以及人脸识别、人工智能等新技术、新应用,制定专门的个人信息保护规则、标准;
(三)支持研究开发和推广应用安全、方便的电子身份认证技术,推进网络身份认证公共服务建设;
(四)推进个人信息保护社会化服务体系建设,支持有关机构开展个人信息保护评估、认证服务;
(五)完善个人信息保护投诉、举报工作机制。
第六十三条履行个人信息保护职责的部门履行个人信息保护职责,可以采取下列措施:
(一)询问有关当事人,调查与个人信息处理活动有关的情况;
(二)查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料;
(三)实施现场检查,对涉嫌违法的个人信息处理活动进行调查;
(四)检查与个人信息处理活动有关的设备、物品;对有证据证明是用于违法个人信息处理活动的设备、物品,向本部门主要负责人书面报告并经批准,可以查封或者扣押。
履行个人信息保护职责的部门依法履行职责,当事人应当予以协助、配合,不得拒绝、阻挠。
第六十四条履行个人信息保护职责的部门在履行职责中,发现个人信息处理活动存在较大风险或者发生个人信息安全事件的,可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈,或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。个人信息处理者应当按照要求采取措施,进行整改,消除隐患。
履行个人信息保护职责的部门在履行职责中,发现违法处理个人信息涉嫌犯罪的,应当及时移送公安机关依法处理。
第六十五条任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理,并将处理结果告知投诉、举报人。
履行个人信息保护职责的部门应当公布接受投诉、举报的联系方式。
第七章法律责任
第六十六条违反本法规定处理个人信息,或者处理个人信息未履行本法规定的个人信息保护义务的,由履行个人信息保护职责的部门责令改正,给予警告,没收违法所得,对违法处理个人信息的应用程序,责令暂停或者终止提供服务;拒不改正的,并处一百万元以下罚款;对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
第六十七条有本法规定的违法行为的,依照有关法律、行政法规的规定记入信用档案,并予以公示。
第六十八条国家机关不履行本法规定的个人信息保护义务的,由其上级机关或者履行个人信息保护职责的部门责令改正;对直接负责的主管人员和其他直接责任人员依法给予处分。
履行个人信息保护职责的部门的工作人员玩忽职守、滥用职权、徇私舞弊,尚不构成犯罪的,依法给予处分。
第六十九条处理个人信息侵害个人信息权益造成损害,个人信息处理者不能证明自己没有过错的,应当承担损害赔偿等侵权责任。
前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定;个人因此受到的损失和个人信息处理者因此获得的利益难以确定的,根据实际情况确定赔偿数额。
第七十条个人信息处理者违反本法规定处理个人信息,侵害众多个人的权益的,人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。
第七十一条违反本法规定,构成违反治安管理行为的,依法给予治安管理处罚;构成犯罪的,依法追究刑事责任。
第八章附则
第七十二条自然人因个人或者家庭事务处理个人信息的,不适用本法。
法律对各级人民政府及其有关部门组织实施的统计、档案管理活动中的个人信息处理有规定的,适用其规定。
第七十三条本法下列用语的含义:
(一)个人信息处理者,是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。
(二)自动化决策,是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等,并进行决策的活动。
(三)去标识化,是指个人信息经过处理,使其在不借助额外信息的情况下无法识别特定自然人的过程。
(四)匿名化,是指个人信息经过处理无法识别特定自然人且不能复原的过程。
第七十四条本法自2021年11月1日起施行。
《个人信息保护法》出台后对数据安全的十大影响
引言2020年10月21日,《中华人民共和国个人信息保护法(草案)》正式公开,向全社会公开征求意见。2021年4月26日,第十三届全国人大常委会第二十八次会议对《中华人民共和国个人信息保护法(草案二次审议稿)》进行了审议。2021年8月20日,第十三届全国人大常委会第三十次会议审议通过《中华人民共和国个人信息保护法》(简称《个保法》),并将于2021年11月1日起施行。
第一:立法目的彰显数据安全的重要性
根据《个保法》第一条规定,“为了保护个人信息权益,规范个人信息处理活动,促进个人信息合理利用,根据宪法,制定本法。”其中保护个人信息权益作为首要立法目的,可见数据安全的重要性。而《个保法》全文,都彰显了对个人信息权利的明确、个人信息多场景下的保护以及对于个人信息处理者处理数据的要求、义务和责任。
第二:数据安全保护的管辖范畴广阔,不限于境内
根据《个保法》第三条、第四十二条的规定,可以看出,个人信息作为数据安全的重要保护对象,我国法律不仅保护在境内处理的个人信息,而且在境外处理我国境内个人信息,以及在境外侵犯我国公民个人信息权益,均受《个保法》的管辖。这一点和我国《数据安全法》保持了一致。《数据安全法》第二条规定,“在中华人民共和国境内开展数据处理活动及其安全监管,适用本法。在中华人民共和国境外开展数据处理活动,损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的,依法追究法律责任。”
第三:个人信息处理者应履行必要措施的数据安全保障义务以及其他基本法定义务
除此之外,《个保法》第五十一条,也明确了其他个人信息处理者的基本法定义务:1、制定内部管理制度和操作规程;2、对个人信息实行分类管理;3、采取相应的加密、去标识化等安全技术措施;4、合理确定个人信息处理的操作权限,并定期对从业人员进行安全教育和培训;5、制定并组织实施个人信息安全事件应急预案。
第四:因为数据泄露或者数据安全事故,个人信息处理者面临多种民事诉讼风险,举证责任加重
1.多个个人信息处理者可能面临共同承担民事赔偿责任的风险,需要明确各方法律主体地位和数据安全义务
2.个人信息处理者需要提前做好数据安全保护的证据保存工作
3.公益诉讼未来将是弥补个人信息主体怠于起诉或者证据不足前提下的补充手段
根据《个保法》第七十条的规定,“个人信息处理者违反本法规定处理个人信息,侵害众多个人的权益的,人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。”而由最高检察院发布并于2021年7月1日实施的《公益诉讼办案规则》,也进一步确保了该条款的落实。未来,如人民检察院发出公告后,无适格主体起诉个人信息处理者,或者虽然起诉,但是无法保护公共利益的,则人民检察院将启动公益诉讼的程序。个人信息处理者面临个人信息主体、人民检察院的多重追责风险。
第五:敏感个人信息的保护,被提高到新的高度
敏感个人信息作为数据安全中最重要的数据类型之一,在《个保法》中明确将不满十四周岁未成年人的个人信息纳入其中。根据《个保法》第二十八条的规定,对于敏感个人信息的保护,需要遵从如下原则和措施:
①处理目的需要特定;所谓特定,就是非常具体和指向性非常明确的用途;
②处理的必要性,要非常充分;此处强调充分,就是如果不处理,就无法运作无法运行,无法实现基本的商业目标;
③需要采取严格保护措施;这是处理个人敏感信息的前提。纵观《个保法》只有在该条款中强调了“严格”二字;
④获得单独同意。所谓单独,一般是需要弹框或者获得专门的同意,与此相对的是概括同意或者一揽子同意;
⑤《个保法》第十七条第一款告知内容外,还需要告知处理敏感个人信息的必要性和对个人权益的影响;
⑥其他规定。敏感个人信息的数据安全,需要确保做到上述原则和措施,否则面临法律风险和责任。
第六:三大安全机制是确保数据安全的重要手段,也是在重大场景下处理数据的前置安排、甚至是法定义务险
(一)安全评估机制
根据《个保法》第三十六条、第三十八条、以及第四十条的规定,《个保法》全文在这三个条款处提到了安全评估。场景有三:
①国家机关处理的个人信息向境外提供的场景;
②个人信息处理者因业务等需要,需要向境外提供个人信息;
③关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者,将境内收集和产生的个人信息向境外提供的。
(二)个人信息保护影响评估机制
而个人信息保护影响评估,根据《个保法》第五十五条是个人信息处理者事前完成的必备动作,场景有五:1、处理敏感个人信息;2、利用个人信息进行自动化决策;3、委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息;4、向境外提供个人信息;5、其他对个人权益有重大影响的个人信息处理活动。这五类中,第四类和安全评估重叠。
相比安全评估内容的模糊,个人信息保护影响评估的内容更加明确,具体见《个保法》第五十六条,即:1、个人信息的处理目的、处理方式等是否合法、正当、必要;2、对个人权益的影响及安全风险;3、所采取的保护措施是否合法、有效并与风险程度相适应。
(三)合规审计机制
合规审计则出现在《个保法》第五十四条,规定较为简单,具体要结合其他配套规则完成,一般上市公司每年都要完成对应的合规审计工作。
第七:为了配合履行数据安全的义务,需要优化和完善升级自身组织架构,尤其是大型互联网公司
根据《个保法》第五十二条以及第五十八条的规定,可以看出,拥有大量个人信息的企业,应指定专门的个人信息保护负责人。《网络安全法》、《数据安全法》都有类似要求,而至于网络安全负责人、数据安全负责人、个人信息保护负责人三个职位分别如何设置、是否可以兼任,目前法规尚未明确规定,未来还有待监管机关给出具体的指导性意见。无论如何,企业都应结合自身组织架构以及业务与产品,专门任命相应职位。而对于一些重要互联网平台,则需要建立独立机构履行对自身个人信息保护的监督义务。该独立机制,要由外部成员组成,不可以是公司内部人士。具体还有待配套规则进行明确。
第八:个人信息处理者要履行数据泄露后的法定义务
根据《个保法》第五十七条的规定,“发生或者可能发生个人信息泄露、篡改、丢失的,个人信息处理者应当立即采取补救措施,并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项:(一)发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害;(二)个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施;(三)个人信息处理者的联系方式。个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的,个人信息处理者可以不通知个人;履行个人信息保护职责的部门认为可能造成危害的,有权要求个人信息处理者通知个人。”
第九:数据安全行政执法,以及配套的行政处罚措施,体现监管对数据安全的重视程度和促进数字经济,遏制非法买卖个人信息现象的决心
第十:数据安全的工作会逐步优化、细化,配套措施会逐步完善
③做好差距分析。建立个人信息保护和数据安全保护对照清单,进行自查,并做好差距分析;
⑥应针对企业整体数据安全保护水平,每年开展数据安全合规性评估,评估内容包括但不限于数据安全风险情况、使用情况、保障措施配备情况与完善程度、合作方数据安全保护水平;
⑨制定数据安全事件应急响应预案,充分考虑企业涉及的给类数据安全事件业务场景,包括但不限于数据泄露(丢失)、数据滥用、数据被篡改、数据被损毁、数据违规使用等;
《个人信息保护法》下企业员工个人信息管理实践探讨
2021年11月1日,《中华人民共和国个人信息保护法》(以下简称“《个保法》”)正式生效。《个保法》是专门针对个人信息保护领域的立法,覆盖了个人信息处理活动的各个环节,为个人信息处理者设定了一系列的义务。然而,《个保法》作为一部新鲜出炉的法律,其适用或解释以及相应的配套措施尚不完善,因此,一些条款在落地的时候还存在不明确或有争议之处,很多企业在依法履行员工个人信息保护义务的过程中也会因为缺乏明确的指引而陷入迷茫。
我们在本文中就实践中较为常见的员工个人信息管理问题进行探讨,以期帮助企业更合规、有效地履行个人信息保护义务。
一、如何理解“为订立、履行个人作为一方当事人的合同所必需,或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”
《个保法》第十三条规定:“符合下列情形之一的,个人信息处理者方可处理个人信息:……(二)为订立、履行个人作为一方当事人的合同所必需,或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需;……依照本法其他有关规定,处理个人信息应当取得个人同意,但是有前款第二项至第七项规定情形的,不需取得个人同意。”
因此,当满足如下条件时,个人信息处理者本应当基于同意进行个人信息处理活动的可以不取得个人主体的同意:
A.为订立、履行个人作为一方当事人的合同所必需;或
B.按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。
企业在处理员工个人信息时当然可以适用上述条款以提高管理效率,但在实操过程中仍然需要注意该等适用的边界,以免落入违法处理员工个人信息的范畴。
为订立、履行个人作为一方当事人的合同所必需
按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需
除了劳动合同的订立和履行,企业在日常进行人力资源管理过程中还会处理员工的其他个人信息,包括薪酬信息、病假证明、紧急联系人信息等等。
企业仍需注意,尽管企业可以将依法制定的劳动规章制度或依法签订的集体合同作为其处理员工个人信息的合法性基础,但仍需满足“实施人力资源管理所必需”之条件,不得随意扩大处理个人信息的范围。
二、单独同意是否可以适用“豁免同意”的条款
如上所述,当满足《个保法》第十三条第一款第二项至第七项[3]规定的情形时,基于同意的个人信息处理活动可以豁免同意的取得。
然而,该等豁免事由是否可以同样适用于需要取得个人主体单独同意的情形(如处理敏感个人信息、向第三方提供个人信息、公开处理个人信息、向境外提供个人信息等等)在实务中是有争议的。
在目前尚欠官方解释或执法实践的情况下,我们认为企业宜选择更为谨慎的解读,即在法定需要获得个人主体单独同意的情形下要求员工签署单独的同意书(同时也建议企业在规章制度中予以规定)。毕竟,“单独同意”所涉及的均是对个人利益影响较为重大的事项,对这些个人信息处理活动本身的必要性要求就应当高于仅基于“同意”的处理活动。但是,我们也认为,当实践中出现突发公共卫生事件,或危及个人生命健康和财产安全等紧急情况下,企业需要灵活应对,不应死板地遵循必须取得个人单独同意的要求。
三、向第三方提供员工个人信息需要注意什么
在实践中,企业很难避免将其合法收集的员工个人信息提供给第三方进行处理。《个保法》对于将个人信息提供给企业以外的第三方做了区分:委托处理(第二十一条[4])以及向其他个人信息处理者提供个人信息(第二十三条[5])。在企业管理实践中,企业需要根据其与第三方之间的关系以及个人信息处理活动的性质先确定会落入前述哪种情形下,再履行相应的义务。
委托处理
委托第三方处理员工个人信息的常见情形包括将员工的个人信息储存在第三方的云服务器中,或委托律师、法证技术团队对员工开展内部调查等。在这种情况下,由于第三方是作为受委托方,其对个人信息的处理都是基于企业的委托,因此,在企业已经就个人信息的处理取得员工同意的基础上,无需再就该等委托处理取得员工的同意。
当然,在委托第三方处理员工个人信息之前,企业应当与第三方签订协议,将委托处理目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等进行明确的书面约定。此外,我们认为企业亦应当在决定使用第三方之前履行审慎义务,比如:审阅第三方内部关于个人信息保护的合规政策等文件、要求第三方签署个人信息保护合规承诺书等等。同时,企业也应在委托处理之前开展个人信息保护影响评估[6]。
在将员工个人信息交付受托方进行处理后,企业应当对其处理活动进行监督,比如要求受托方定期对处理活动进行报告、对处理活动开展合规审计等等。
向其他个人信息处理者提供个人信息
企业也可能会向独立的个人信息处理者提供员工的个人信息,比如为员工福利之目的向商业保险公司提供参保员工(或其亲属)的个人信息等。
在此类情况下,接收个人信息的一方与企业没有委托关系,往往具有基于其业务的独立处理目的和处理方式。企业应当向员工告知接收方的名称、联系方式、处理目的、处理方式和个人信息的种类,并取得员工的单独同意。
四、将员工的个人信息传输出境需要履行何种义务
我们经常会遇到跨国企业客户需要将在中国境内收集的员工个人信息传输至境外母公司,以满足统一的人力资源管理。如果企业有该等需求,个人信息的出境既需要满足行政监管要求,亦应当完成对个人告知并取得单独同意的义务,并进行个人信息保护影响评估。
行政监管层面
企业若想要将员工的个人信息传输至境外,则一般需要满足如下条件之一(《个保法》第三十八条[7]):
A.通过国家网信部门组织的安全评估;
B.经专业机构进行个人信息保护认证;
C.按照国家网信部门制定的标准合同与境外接收方订立合同。
在目前实践操作中,国家网信部门组织的安全评估和专业机构的个人信息保护认证工作均未正式启动,官方亦尚未公布关于数据出境的标准合同模板。鉴于该等现状,我们认为企业在向境外提供员工个人信息之前,应当进行个人信息出境安全自评估,通过评估后再传输出境,并形成相应的评估报告备查。
“注1:当网络运营者的数据出境满足连续出境的条件时,视为一次出境行为,免于重复评估;注2:连续出境是指数据出境的目的、接收方相同,范围、类型、数量不发生较大变化,且两次数据出境间隔不超过一年的。”
因此,如果是频繁将集团内部员工的个人信息传输至境外母公司以满足人力资源管理需求的,且个人信息的范围、类型、数量不发生较大变化,则该等个人信息的出境可以视为一次出境行为。相应的,安全评估也可以只进行一次,即无需每次员工个人信息出境都进行安全自评估。
告知-单独同意
根据《个保法》[8]的要求,企业将员工的个人信息传输出境还必须履行法定的告知义务(包括境外接收方的名称、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使《个保法》规定权利的方式和程序等)并获取员工的单独同意。
目前可行做法是,在招聘流程启动(此时涉及候选人)以及员工入职时,要求候选人或员工签署单独的个人信息跨境传输同意书(包括纸质或电子形式)。如果候选人在应聘时不同意将自己的个人信息传输至境外,且企业在境内确实不具备独立人力资源管理能力的,则我们认为企业因此拒绝候选人的职位申请是有合理事由的,且不构成职业歧视。
个人信息保护影响评估
《个保法》也明确要求,在个人信息出境之前应当进行个人信息保护影响评估,并形成评估报告、记录处理情况(至少保存三年)。个人信息保护影响评估与个人信息出境安全评估并不是同一评估。个人信息保护影响评估应当包含如下内容(《个保法》第五十六条[9]):
A.个人信息的处理目的、处理方式等是否合法、正当、必要;
B.对个人权益的影响及安全风险;
C.所采取的保护措施是否合法、有效并与风险程度相适应。
除上述之外,企业也应当注意,如果是关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者应当将在境内收集和产生的个人信息存储在境内。确需向境外提供的,应当通过国家网信部门组织的安全评估。
五、员工是否有权要求公司删除其个人信息
一般而言,在职的员工不应当有权要求企业删除其提供的个人信息,否则企业在人力资源管理上显然会产生混乱,同时,对于企业履行必要的职责和法定义务也存在阻碍。但企业需注意,前述员工提供的个人信息应当限于企业基于最小必要原则合法收集的信息,如果企业收集了超出合法、合理范围的个人信息,员工应当有权利要求企业进行删除。就员工无权要求企业删除的个人信息部分,企业宜通过合法程序规定在内部规章制度中并将该等规章制度送达员工。
候选人如果未被企业录用,则其有权要求企业立即删除其个人信息。但如果该企业设有再次申请职位的冻结期,则候选人有权要求在该等合理的期限经过后删除其个人信息。
脚注:
《上海市劳动合同条例》第八条……用人单位在招用劳动者时,有权了解劳动者健康状况、知识技能和工作经历等情况,劳动者应当如实说明。
在规章制度和重大事项决定实施过程中,工会或者职工认为不适当的,有权向用人单位提出,通过协商予以修改完善。
用人单位应当将直接涉及劳动者切身利益的规章制度和重大事项决定公示,或者告知劳动者。
[3]第十三条符合下列情形之一的,个人信息处理者方可处理个人信息:
(一)取得个人的同意;
(二)为订立、履行个人作为一方当事人的合同所必需,或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需;
(三)为履行法定职责或者法定义务所必需;
(四)为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财产安全所必需;
(五)为公共利益实施新闻报道、舆论监督等行为,在合理的范围内处理个人信息;
(六)依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息;
(七)法律、行政法规规定的其他情形。
依照本法其他有关规定,处理个人信息应当取得个人同意,但是有前款第二项至第七项规定情形的,不需取得个人同意。
[4]第二十一条个人信息处理者委托处理个人信息的,应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等,并对受托人的个人信息处理活动进行监督。
受托人应当按照约定处理个人信息,不得超出约定的处理目的、处理方式等处理个人信息;委托合同不生效、无效、被撤销或者终止的,受托人应当将个人信息返还个人信息处理者或者予以删除,不得保留。
未经个人信息处理者同意,受托人不得转委托他人处理个人信息。
[5]第二十三条个人信息处理者向其他个人信息处理者提供其处理的个人信息的,应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类,并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的,应当依照本法规定重新取得个人同意。
[6]详细见下文。
[7]第三十八条个人信息处理者因业务等需要,确需向中华人民共和国境外提供个人信息的,应当具备下列条件之一:
(一)依照本法第四十条的规定通过国家网信部门组织的安全评估;
(二)按照国家网信部门的规定经专业机构进行个人信息保护认证;
(三)按照国家网信部门制定的标准合同与境外接收方订立合同,约定双方的权利和义务;
(四)法律、行政法规或者国家网信部门规定的其他条件。
中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的,可以按照其规定执行。
个人信息处理者应当采取必要措施,保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。
[8]第三十九条个人信息处理者向中华人民共和国境外提供个人信息的,应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项,并取得个人的单独同意。
[9]第五十六条个人信息保护影响评估应当包括下列内容:
(一)个人信息的处理目的、处理方式等是否合法、正当、必要;
(二)对个人权益的影响及安全风险;
(三)所采取的保护措施是否合法、有效并与风险程度相适应。
个人信息保护影响评估报告和处理情况记录应当至少保存三年。
[10]第四条:数据处理者向境外提供数据,符合以下情形之一的,应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估……(三)处理个人信息达到一百万人的个人信息处理者向境外提供个人信息;(四)累计向境外提供超过十万人以上个人信息或者一万人以上敏感个人信息…
[11]第五十条……用人单位对已经解除或者终止的劳动合同的文本,至少保存二年备查。
[12]第二十四条……在解除或者终止劳动合同后,前款规定的人员到与本单位生产或者经营同类产品、从事同类业务的有竞争关系的其他用人单位,或者自己开业生产或者经营同类产品、从事同类业务的竞业限制期限,不得超过二年。