《中华人民共和国个人信息保护法》学习指导

一、概述

《个人信息保护法》于2021年8月20日通过，自2021年11月1日施行，共8章74条。这是我国第一部个人信息保护的专门性法律，与《网络安全法》（2017年施行）、《数据安全法》（2021年9月施行）共同构成我国网络数据法律体系的"三驾马车"。

本法确立了个人信息处理的基本原则（合法、正当、必要、诚信），构建了以"告知-同意"为核心的个人信息处理规则体系，设专章规定敏感个人信息处理规则，并对个人信息处理者的义务、个人在个人信息处理活动中的权利、履行个人信息保护职责的部门以及法律责任作出了全面规定。

对于家族信托业务，信托公司在客户尽职调查、信托设立、信托财产管理、受益人管理等各个环节均涉及大量个人信息处理活动，《个人信息保护法》的合规要求是信托业务开展的基础性合规义务。

二、与家族信托的关系

三、核心学习要点

1. 个人信息处理的合法依据（第13条）：个人信息处理须基于以下依据之一：取得个人同意、为订立履行合同所必需、为履行法定义务所必需等。信托公司开展KYC和反洗钱调查可依据"法定义务"（第13条第2项第3目），但其他信息处理活动通常须取得客户同意。
2. 告知-同意规则（第14-17条）：基于同意处理个人信息的，同意须在充分知情前提下自愿、明确作出。信托公司须以显著方式、清晰易懂的语言告知处理目的、方式、范围、保存期限等，并取得客户书面同意。
3. 敏感个人信息的特别保护（第28-32条）：敏感个人信息（包括金融账户、医疗健康、生物识别等）的处理须取得单独同意，并告知处理的必要性及对个人权益的影响。家族信托业务中涉及的金融账户信息、健康状况等属于敏感个人信息，须遵守更严格的处理规则。
4. 个人信息保护影响评估（第55-56条）：处理敏感个人信息、向第三方提供个人信息、跨境传输个人信息等情形，须事前进行个人信息保护影响评估。信托公司设立家族信托时涉及敏感信息处理，须进行影响评估并留存报告。
5. 个人信息主体权利（第44-50条）：个人享有知情权、决定权、查阅复制权、更正补充权、删除权、可携带权等。信托公司须建立便捷的个人信息主体行使权利的渠道，并在法定期限内响应。
6. 个人信息处理者义务（第51-59条）：个人信息处理者须制定内部管理制度和操作规程、采取安全技术措施、指定个人信息保护负责人、定期开展安全教育和培训。信托公司须建立完善的个人信息保护内部管理体系。
7. 跨境传输规则（第38-43条）：向境外提供个人信息须满足以下条件之一：通过安全评估、经专业机构认证、签署标准合同。家族信托涉及境外受益人或境外资产时，客户信息的跨境传输须遵守此规则。
8. 法律责任（第66-70条）：违反本法规定处理个人信息的，最高可处5000万元以下或上一年度营业额5%以下罚款，并可责令改正、警告、没收违法所得、暂停或终止业务等。直接责任人员可处10万-100万元罚款。信托公司须高度重视合规风险。

四、案例链接

五、自测题

六、延伸阅读

• 中华人民共和国个人信息保护法 — 法规原文
• 中华人民共和国公司法（2023修订） — 信托公司作为公司的治理义务
• 中华人民共和国合伙企业法（2006修订） — 合伙人信息保护
• 《中华人民共和国网络安全法》 — 网络安全法律体系基础
• 《中华人民共和国数据安全法》 — 数据安全管理制度
• 《民法典》第1034-1039条 — 个人信息的民事保护基础
• 《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》 — 金融行业KYC具体规则