【个人信息保护-普华永道】企业如何做好个人信息安全事件应急响应

自《网络安全法》《数据安全法》《个人信息保护法》（下称“个保法”）陆续出台，我国个人信息保护制度体系逐步趋于完善。伴随着数字化经济迅速发展，个人信息泄露、滥用等安全问题备受关注，监管部门通过一系列法律法规的建设与完善，逐步拉起个人信息权益保护网，构建起个人信息安全事件应急响应的监管新格局。

2023年12月8日，中央网信办发布《网络安全事件报告管理办法（征求意见稿）》（下称“报告管理办法”），明确了何时报告、何事报告、报告给谁等相关规范。该新规的发布向企业释放强烈信号：个人信息安全事件应急响应是个人信息保护合规链条中不可或缺的一环，企业务须高度重视，积极自查自纠，尽快完善响应机制。

本文从个人信息安全事件应急响应相关法律法规出发，旨在帮助企业深入理解、践行监管要求，为企业提供一些合规建议与参考。


一、法规简析

什么是个人信息安全事件？

对于个人信息安全事件，现行法规中尚无明确定义，但个保法第五十一条做出了相关解释：“个人信息处理者应当制定并组织实施个人信息安全事件应急预案，确保个人信息处理活动符合法律法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失”。根据该等条款，结合网络安全事件相关法规，推知个人信息安全事件指未经授权的访问或个人信息泄露、篡改、丢失事件。

个人信息安全事件分类分级

2017年1月10日发布的《国家网络安全事件应急预案》（下称“应急预案”）将网络安全事件分为四级：特别重大网络安全事件、重大网络安全事件、较大网络安全事件、一般网络安全事件，此后，《报告管理办法》针对个人信息泄露的情形提供了可量化的判别条件，当个人信息泄露达到100万时就将触发较大网络安全事件的门槛，具体如下：

<< 左右滑动查看更多 >>

由于个人信息泄露往往与公众利益息息相关，收集和存储的个人信息量级较小的企业也不能掉以轻心，依然需要完善内部应急处置与报告流程，以求有效应对紧急事件。

针对个人信息安全事件的合规要求

根据个保法第五十一条的要求，个人信息处理者应当制定并组织实施个人信息安全事件应急预案，《GB∕T 35273-2020 信息安全技术个人信息安全规范》第十节个人信息安全事件处置中对这一要求进行了进一步细化，要求企业制定个人信息安全事件应急预案并且定期（至少每年一次）组织内部相关人员进行应急响应培训和应急演练。在发生个人信息安全事件时，企业需要对事件进行详细记录，并且按照有关规定及时上报，如果涉及敏感个人信息的泄露，需要及时告知受影响的个人信息主体，或者发布警示信息，另外第十一节中强调，发生重大个人信息安全事件时，应进行个人信息安全影响评估。在日常工作中，企业也需要根据相关法律法规变化情况，以及事件处置情况，及时更新应急预案。


二、企业的个人信息安全事件应急响应策略与落地要点

许多企业在制定网络安全事件应急预案时，往往容易忽略个人信息安全事件的特殊性，导致在实际发生事件时，现有的应急预案无法覆盖所有的合规要求，并且由于个人信息安全事件极易影响公众利益的特性，如果应急预案准备得不充分，还容易引发个人信息主体的投诉与社会舆情，给企业形象带来负面影响。基于个人信息安全事件的特殊性，普华永道总结了一些企业应当关注的要点，不论企业是将个人信息安全事件与其他网络安全事件的应急预案整合在一起还是分开处理，都建议在执行时充分考虑以下要点。

个人信息安全事件应急预案制定要点

应急预案应包含编制目的、组织机构与职责、监测与预警、应急处置、调查与评估、预防工作、保障措施等内容。完备的应急预案是实现迅速响应的前提，然而要构建一套完备有效的应急预案，并不是一项轻松的任务。下文将围绕个人信息安全事件中的通知发布与组织职责两大要点展开，为预案的落地提供一些建议。

面向个人发布通知

根据相关法规要求，若个人信息安全事件可能会给个人信息主体的合法权益造成严重危害，企业须依法告知受影响的个人信息主体，发布通知时，个人信息主体权益所受的影响是企业尤其需要关注的内容，例如经济损失、精神损害、社会信用受损等。企业向个人信息主体发出通知时，应涵盖如下事项：


事件涉及的个人信息种类，事件发生的原因，可能造成的危害；

企业采取的补救措施，以及个人可以采取的减轻危害的措施；

企业的联系方式。

相关通知模板可在应急预案制定阶段预先准备，以便企业能够在事件发生时迅速做出反应。在制定模板时应充分预估可能面临的各种情境，草拟相应通知文案，并提出针对性的建议和指导，从而在事件发生后尽可能地保护个人信息主体权益、降低不良后果。

企业可从如下角度出发来划定通知类型、准备通知模板：


个人信息主体类型：消费者、员工、供应商等；

事件类型：个人信息泄露、篡改、丢失等；

时间节点：事件发生后、初步处置后、处置完成后等。

明确组织机构与职责

相关国家标准规范将应急响应的工作机构划分为应急响应领导小组、应急响应技术保障小组、应急响应专家小组、应急响应实施小组和应急响应日常运行小组；而在实际操作层面，某些职责可能由企业的多个部门共同承担，又或某些组织可能同时承担多种职责。为将个人信息保护责任落实到岗、明确到人，应急预案需厘清不同岗位的工作职责。实际业务中，个人信息安全事件并非仅与IT部门或法律合规部门相关，而是涉及多个部门的参与和联动，具体组成根据个人信息安全事件类型确定，也根据企业的组织架构、业务重心和整体规模而有所差异。

以下是个人信息安全事件中可能涉及的组织机构与职责划分：


企业在制定应急预案时，应清晰界定不同组织角色职责，确立应急沟通协调机制，以确保在紧急情况下不同部门能够有序应对、及时沟通。

个人信息安全事件应急演练实施要点

除应急预案之外，面对个人信息保护中的重重挑战，企业还应每年至少组织一次内部应急响应培训和应急演练，使组织成员掌握岗位职责和应急处置规程。

信息来源：《GB/T 38645-2020 信息安全技术 网络安全事件应急演练指南》

通过应急演练，企业可以提升团队个人信息安全意识，提高整体应急响应能力，验证应急预案的有效性，识别并改进工作体系中存在的问题，提高应急处置效率。下文就数据出境、舆情治理、突击检查应对三方面展开论述，助力企业开展切实可行、行之有效的应急演练。

重点关注数据出境场景中的个人信息

近年来网信办对于数据出境领域给予高度关注，对企业的个人信息出境活动也设立了更加明确的要求，系列法规推动着数据出境走向规范化、标准化、全面化。对于确需向中国境外提供个人信息的企业而言，除了自身要满足诸等应急响应合规义务之外，还须明确境外接收方的相关责任义务。根据《数据出境安全评估办法》第九条，“数据处理者应当在与境外接收方订立的法律文件中明确约定数据安全保护责任义务，至少包括出境数据遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等风险时，妥善开展应急处置的要求和保障个人维护其个人信息权益的途径和方式。”因此对于涉及数据出境的企业而言，不仅在制定应急预案时需要充分考虑数据出境场景，亦有必要将相关场景纳入应急演练中。

此类演练有利于落实双方在个人信息安全事件中的责任义务，提高企业应对跨境安全事件的整体效能。此外由于存在沟通渠道不畅通、境内与境外存在时差等问题，境外公司往往需要一定的时间做出响应。通过模拟跨境协作的过程，企业可以能够更好地了解在国际业务中可能面临的挑战，磨练团队的协同配合能力。

突发事件中的舆情治理

随着互联网普及，传播模式的巨大变革使得在个人信息安全事件发生时，舆论事态可能瞬息万变。因此对于企业来说，及时监测并控制舆情风险、避免次生危害，显得尤为关键。在与个人信息主体互动过程中，企业应保证响应的及时性、规范性、统一性，确保互动行为符合相关法律规定。

其中，主体投诉是企业普遍面临的一类舆情事件。日常业务中，企业每日可能通过网上平台、热线电话、社交媒体网站等渠道接收大量问询或投诉，个人信息安全事件发生的信号可能就隐藏在其中；如果在安全事件发生初期，客服人员或舆情监测系统未能及时识别异常并上报，或企业没有事先制定相关应急处置流程，会导致危害扩大、负面舆评广泛传播，对企业的声誉产生深远的不利影响。

为了应对这一挑战，企业可建立舆情预警机制，并在应急演练中插入主体投诉环节，让客户服务部、运营部等相关部门进行模拟响应，锻炼内部对此类示警信号的舆情研判和危机应对能力，使企业更有信心面对复杂多变的舆情环境。

此外，主体行权也是舆情响应中企业务须重视的一大痛点。根据《个人信息保护法》，个人对其个人信息的处理享有知情权、决定权、查阅权、复制权、更正权、要求解释说明权、转移权、注销权、撤回同意权等权利。个人信息安全事件中企业可能在短时间内收到大量个人行权请求，为有效应对此类突发事件，企业可建立便捷的申请受理和处置机制，并在应急演练中插入主体行权环节，检验行权渠道的通畅性与响应机制的有效性，提高相关部门在规定期限内完成记录、验证、处置、反馈全流程的应对水平。 

在模拟舆情治理的过程中，企业可着重关注如下方面：


舆情监测：及时识别个人信息安全事件，组织研判与评估，启动响应机制；

沟通畅通：维系热线、邮箱等沟通渠道的畅通，保证问询、投诉或个人行权的快速响应，为个人提供及时的解答、安抚与支持；

通知与声明：及时向个人发布通知，并在必要时向媒体与公众做出声明，保证舆情发生时妥善地处理与外部的沟通和舆论应对；

行权响应：在规定时限内完成行权请求的响应，保障个人的个人信息相关合法权益。

监管突击检查的应对机制

根据《个人信息保护法》第六十三条，履行个人信息保护职责的部门可以实施现场检查，对涉嫌违法的个人信息处理活动进行调查。面对突击检查，没有做好准备工作的企业可能应对不及，惊慌失措，甚至可能出现提供不实信息、逃避执法的情形，招致严重后果。又或当监管部门要求查阅资料时，企业由于缺乏经验可能会提供非必要数据或不相关信息，造成过度披露。

为避免上述情况发生，企业可通过演练来模拟监管检查流程，以便迅速而有序地应对各种可能的情况。首先，企业应深入了解监管检查程序和相关法规要求，通过自我审查保证个人信息处理活动的合法性，确保在突击检查发生时能够配合执法人员。其次，建立责任小组，确保相关成员了解应对机制。此外，建立个人信息保护政策与操作流程文档清单，明确相关数据存储位置，以便在监管要求时迅速提供资料。通过模拟突袭，企业得以更加从容地应对政府部门的突击检查，最大程度地减轻法律风险。

三、对于企业的合规建议

个人信息安全事件应急预案、应急演练与培训

企业应及早制定或完善个人信息安全事件应急预案，并定期组织培训与应急演练。这不仅是对监管要求的积极回应，也是对企业自身长远发展的有力支持。通过建立起一套完整的应急预案与操作规程，以预防和降低个人信息安全事件带来的潜在损失与负面影响，保障其个人信息处理活动合法、安全、有序进行；同时，定期开展合规培训与应急演练有助于提升企业的危机应对水平，确保在事件发生时能够迅速有序地采取行动。

普华永道致力于为企业提供个人信息安全事件应急响应方面的全方位合规咨询、安全意识培训、应急演练等服务，协助企业建立健全的个人信息保护体系，提高个人信息安全事件应对能力。


Privacy Ready

个人信息保护是一项长期的、运营层面的工作，一个健壮的个人信息保护管理体系不是一蹴而就的，需要企业在制度、人力、流程、工具等方面持续投入和积累。在当前全行业隐私人才普遍短缺的环境下，企业会需要借助数字化工具平台来支持日常隐私运营工作，包括：个人信息保护影响评估、数据出境安全评估、用户权利响应等。

为助力企业实现个人信息保护合规，普华永道聚焦个保法，开发了一站式可定制的个人信息保护合规管理平台Privacy Ready。Privacy Ready可以根据企业日常隐私合规管理与需求快速响应业务和法规变化，帮助企业有效应对个保法合规与风险处置。其内置支持多部门协作的标准评估流程，支持生成面向内部管理的风险看板和处置进度追踪、以及面向监管要求的评估文档和系统清单，为企业提供了一个线上协作的合规自动化评估门户。



Privacy Ready 六大功能模块：
满足多场景隐私合规需求


联系我们

Privacy Ready产品相关问询，请发送至：privacyready@cn.pwc.com，或联系普华永道中国网络安全和隐私服务团队。

中部

张俊贤
普华永道中国中区网络安全和隐私服务主管合伙人
电话：+86 (21) 2323 3927
邮箱：chun.yin.cheung@cn.pwc.com

黄思维
普华永道中国网络安全和隐私服务合伙人
电话：+86 (21) 2323 2605
邮箱：miles.huang@cn.pwc.com

徐静
普华永道中国网络安全和隐私服务经理
电话：+86 (21) 2323 6351
邮箱：annie.xj.xu@cn.pwc.com

北部

李睿
普华永道中国网络安全和隐私服务中国内地主管合伙人
电话：+86 (10) 6533 2312
邮箱：lisa.ra.li@cn.pwc.com

南部

黄景深
普华永道中国内地及香港地区网络安全和隐私服务主管合伙人
电话：+852 2289 2719
邮箱：kenneth.ks.wong@hk.pwc.com

翁泽鸿
普华永道中国网络安全和隐私服务合伙人
电话：+86 (20) 3819 2629
邮箱：danny.weng@cn.pwc.com


© 2024 普华永道版权所有。普华永道系指普华永道在中国的成员机构、普华永道网络和/或其一家或多家成员机构。每家成员机构均为独立的法律实体。详情请见 www.pwc.com/structure。

免责声明：本微信文章中的信息仅供一般参考之用，不可视为详尽说明，亦不构成普华永道的法律、税务或其他专业建议或服务。普华永道各成员机构不对任何主体因使用本文内容而导致的任何损失承担责任。

您可以全文转载，但不得修改，且须附注以上全部声明。如转载本文时修改任何内容，您须在发布前取得普华永道中国的书面同意。