《个人信息保护法》生效 增加企业合规成本

《个人信息保护法》于2021年8月20日经全国人大常委会通过，并已于2021年11月1日起施行。这是内地首部针对个人信息保护而订立的法律。

《个人信息保护法》确立以个人的同意为处理个人信息的主要法律基础，规定处理个人信息须遵循合法、正当、诚信、最少必要以及公开透明的原则，并且须具有明确、合理的目的。

个人有权向个人信息处理者（相当于香港《个人资料（私隐）条例》下的「资料使用者」）查阅、复制、更正以及要求删除其个人信息，亦有权要求个人信息处理者提供转移其个人信息至其他处理者的途径。

个人信息处理者在处理属未满十四周岁未成年人的个人信息时，须取得其父母或监护人的同意，及须制定专门的个人信息处理规则。

《个人信息保护法》禁止利用个人信息进行自动化决策以对个人在交易价格等交易条件上实施不合理的差别待遇（即俗称「杀熟」行为）。此外，如果个人信息处理者通过自动化决策方式向个人进行信息推送或商业营销，须向个人提供不针对其个人特征的选项或便捷的拒绝方式。从投资角度去看，这将会限制了之前以「杀熟」或其他利用数据分析去推动的营销行为，企业盈利也因而受到限制。

个人信息处理者如要向境外提供个人信息，须取得个人的单独同意，以及符合特定条件，例如通过国家网信部门组织的安全评估、取得规定的认证、或签定国家网信部门制定的标准合同等。《个人信息保护法》具境外效力。境外机构如为向境内自然人提供产品或者服务，或者为分析、评估境内自然人的行为等而处理境内自然人的个人信息，亦须遵守《个人信息保护法》的规定，及在境内设立专门机构或代表。

从投资角度去看，这将会增加了境外企业与内地人做生意的难度，个别现于境外上市，而主要服务内地客户的企业，其经营方式或会受到挑战。

国家网信部门将负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门亦会在各自职责范围内负责个人信息保护和监督管理工作。

违反《个人信息保护法》规定的个人信息处理者，最高可被罚款人民币五千万元，或上一年度营业额的百份之五，并可被责令停业整顿、吊销相关业务许可或营业执照等。从投资角度去，违法者的后果可大可小，有机会影响经营状况。在这种背景下，相信要待业界消化及适应新法后，才有望稳定下来。但随着法规要求越来越多，法规成本也会增加，并会蚕食企业盈利，不利于企业估值。