8月20日，备受关注的《个人信息保护法》经由十三届全国人大常委会第三十次会议表决通过。对此，上上签邀请了世辉律师事务所合伙人王新锐，详细解读电子签名科技在企业保护个人信息方面的价值。
1. 上上签电子签约:据悉《个人信息保护法》从去年10月就已经面向社会征求意见，从公布草案到今年正式出台，这部预热了将近一年的法律，出台的背景和重要意义是什么?
王新锐律师:我自己参与到《个人信息保护法》的立法中已经有一段时间了。
其实我们在《个人信息保护法》起草之前就一直有相关的立法，只不过非常分散，例如《刑法》、《消费者权益保护法》、《电子商务法》、《网络安全法》里面都有相关的条文。
但是个人信息保护是一个多场景，非常复杂综合的事情，如果分散在不同的法律中，最后在实行过程中会出现很多问题。
而世界范围内，现在大家也意识到个人信息保护在数字经济发展过程中越来越重要。这也是我们作为一个数字经济发展大国，这两年将其提速的背景。《个人信息保护法》从草案发布到最终通过的速度非常快，这得益于前期的很多积累。
当然，这次有一个亮点，即《个人信息保护法》是根据宪法制定的，这在我们的立法过程中是很少见的。
这也证明这样一部法律本身是跟公民的基本权利息息相关，也是对之前公众个人信息被广泛收集、被滥用等情况的回应。
- 上上签电子签约:这次增加了一条很重要的条款，“为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。”这一条应该跟劳动合同相关，该如何解读?
王新锐律师:相信大家都非常关注这一条款，这一条款实际上是在最后三审稿中加入的。
条款包括两部分:第一部分是为履行普通的民事合同所必需。
为履行民事合同所必需是我们在个人信息处理规则中，世界范围内最常见的一个合法性基础，在几乎所有的立法中都会提到。
第二部分则是按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需，第二部分非常有特色，据我所知，这也算是在最后一刻加上的，背景是一些大公司跟立法者就此做过沟通。
公司跟员工之间存在隶属关系，因此，公司在管理过程中通过员工的同意去获得合法性基础，会有所不妥;同时，立法者考虑到，如果企业随意在劳动制度中添加一些跟个人信息处理有关的内容，对员工不公平。因此，最后条款的起草考虑了两种观点:
一种观点是认为企业可以基于人力资源管理的目的进行个人信息处理，另外一种观点是认为要在这个过程中限制大的公司利用优势地位获得个人信息。所以最后制定出来的条款特别强调要按照依法制定的劳动规章制度和依法签订的集体劳动合同进行个人信息处理。
不管是劳动规章制度还是劳动合同，都要确保其符合《劳动合同法》，并且保证整个制度制定以及合同签署过程的公平性、保证员工对个人信息的处理是知情的，公司也需要通过告知员工相关事宜以保障员工知情的权利。
3. 上上签电子签约:《个人信息保护法》特别用了一章提到跨境规则，上上签服务了很多知名外企，他们多数会在国内成立一些机构，我们在服务这些外企客户时应该注意些什么?
电子签名签完合同就会是文件形式，有一些外企客户的文件存储器可能放在国外，这种文件存储器放置国外的情况下，我们又应该如何去做?
王新锐律师:这个问题大家非常关注，也有很多跨国公司过来咨询。关于数据跨境，我们要分阶段来看。
我们看到《个人信息保护法》虽然出台了，但是关于数据跨境具体的落地配套措施还没有完全固定下来。
目前的阶段首先要实现合规，需要考虑“单独同意”和“事前风险评估”的问题，这在《个人信息保护法》中写得非常清楚，也有相应的制度建设要求。我们认为企业可以参考个人信息安全影响评估的国家标准，做相应的风险评估，这个阶段更多的是先落实单独同意和事前风险评估的规定。
第二阶段，就是涉及《个人信息保护法》中还提到的，按照国家网信部门的规定经专业机构进行个人信息保护认证、按照国家网信部门制定的标准合同与境外接收方订立合同这几种跨境传输的路径;或根据《个人信息保护法》，如果是企业构成关键信息基础设施，还要有相应的审批流程才能进行数据跨境。立法部门后续会出台相应的配套规则，届时，企业可以根据相应规则去考虑如何满足合规要求。
我们了解到，这些配套规则下的制度其实还是会符合企业大多数日常需求，我自己觉得不用特别担心。
对于服务器的选择是经常被问到的问题，中国有一类数据是需要境内存储的，这类往往是非常敏感的数据，比如健康医疗大数据，金融类数据、网约车相关数据、征信相关数据这些数据需要进行本地化存储。
除此以外，我们对于数据的存储地本身是没有要求的，但是如果是个人信息出境，则要符合刚才提到的要求。
我相信面对员工管理中出现的个人信息跨境的情况，后续国家层面会有一个相对统一的确定性方案，让大家的需求可以得到满足。现在来说我们更多需要做的是在签约的过程中做好留痕工作。
4. 上上签电子签约:您刚才提到风险提前告知是需要企业对其个人用户或者员工进行一些风险的提示是吗?
王新锐律师:对，比如现阶段《个人信息保护法》出台之后，我看到一些企业在修改自己的劳动合同。
告诉员工“因为我们是一家全球化企业，所以我们需要把你的信息 Transfer（转移）到总部去。”类似这样的明确的告知。
而且我们还发现像这种数据跨境，不只是涉及员工的个人信息，还会涉及员工的家人的信息，比如企业为其员工的未成年人子女购买保险等情况。这些信息的处理本身都要进行明确的书面告知。
以上这些如果是通过电子签名去签署，也要做好存储和留痕的工作，这也恰恰是电子签名签署合同的一个优势。
