《個人資訊保護法》生效 增加企業合規成本

《個人資訊保護法》於2021年8月20日經全國人大常委會通過，並已於2021年11月1日起施行。這是內地首部針對個人資訊保護而訂立的法律。

《個人資訊保護法》確立以個人的同意為處理個人資訊的主要法律基礎，規定處理個人資訊須遵循合法、正當、誠信、最少必要以及公開透明的原則，並且須具有明確、合理的目的。

個人有權向個人資訊處理者（相當於香港《個人資料（私隱）條例》下的「資料使用者」）查閱、複製、更正以及要求刪除其個人資訊，亦有權要求個人資訊處理者提供轉移其個人資訊至其他處理者的途徑。

個人資訊處理者在處理屬未滿十四周歲未成年人的個人資訊時，須取得其父母或監護人的同意，及須制定專門的個人資訊處理規則。

《個人資訊保護法》禁止利用個人資訊進行自動化決策以對個人在交易價格等交易條件上實施不合理的差別待遇（即俗稱「殺熟」行為）。此外，如果個人資訊處理者通過自動化決策方式向個人進行資訊推送或商業行銷，須向個人提供不針對其個人特徵的選項或便捷的拒絕方式。從投資角度去看，這將會限制了之前以「殺熟」或其他利用資料分析去推動的行銷行為，企業盈利也因而受到限制。

個人資訊處理者如要向境外提供個人資訊，須取得個人的單獨同意，以及符合特定條件，例如通過國家網信部門組織的安全評估、取得規定的認證、或簽定國家網信部門制定的標準合同等。《個人資訊保護法》具境外效力。境外機構如為向境內自然人提供產品或者服務，或者為分析、評估境內自然人的行為等而處理境內自然人的個人資訊，亦須遵守《個人資訊保護法》的規定，及在境內設立專門機構或代表。

從投資角度去看，這將會增加了境外企業與內地人做生意的難度，個別現於境外上市，而主要服務內地客戶的企業，其經營方式或會受到挑戰。

國家網信部門將負責統籌協調個人資訊保護工作和相關監督管理工作。國務院有關部門亦會在各自職責範圍內負責個人資訊保護和監督管理工作。

違反《個人資訊保護法》規定的個人資訊處理者，最高可被罰款人民幣五千萬元，或上一年度營業額的百份之五，並可被責令停業整頓、吊銷相關業務許可或營業執照等。從投資角度去，違法者的後果可大可小，有機會影響經營狀況。在這種背景下，相信要待業界消化及適應新法後，才有望穩定下來。但隨著法規要求越來越多，法規成本也會增加，並會蠶食企業盈利，不利於企業估值。