保护好自己：《个人信息保护法》第九条解读

第九条　　个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。

　　【条文主旨】

　　本条是关于个人信息处理者主体责任原则及安全保障原则的规定。

　　【条文理解】

　　本法将主体责任原则及安全保障原则规定在第1章总则，凸显其作为基本原则的重要地位。本条属原则性条款，对本法第5章“个人信息处理者的义务”和第7章“法律责任”相关内容具有指导意义。

　　随着大数据、云计算、人工智能等现代科技的发展，个人信息以前所未有的速度和广度被开发利用，个人信息处理活动不可避免地会产生新的社会风险，并可能导致信息主体的权益受到威胁和侵害。为此，本法概括性要求个人信息处理者对其个人信息处理活动负责，以满足保障个人信息权益和安全的客观要求。之所以强化个人信息处理者的主体责任，主要理由在于：其一，基于控制力理论，个人信息处理者是个人信息处理活动的决策者、控制者，当然要为处理活动负责，相较于信息主体，其具有明显的技术与资本优势，对处理行为的目的、方式、所采用的技术等各项情况更为了解，且有足够的技术能力去对处理行为的风险进行评估和控制，由其履行相关责任和义务，更具操作性，亦更能节约社会整体成本。其二，根据权利义务相一致原则，个人信息处理者是个人信息处理活动的受益者，既然其从个人信息中直接或间接获取利益，那么理应承担相应的社会责任，这也有利于建立个人信息处理者与信息主体之间的信任关系，提升信息主体对个人信息安全的信心，进而促进个人信息的良性流转与合理利用。

　　个人信息处理者对其个人信息处理活动负责，强调的是个人信息处理者处理个人信息应当符合法律和行政法规的规定。首先，个人信息处理者需要遵守本法所明确的“合法、正当、必要、诚信原则”（第5条）、“目的限制原则”“数据最小化原则”（第6条）、“公开透明原则”（第7条）、“保证个人信息质量原则”（第8条）等各项法律原则。其次，个人信息处理者需要遵守本法第5章关于个人信息处理者的义务之相关细化规定。即：应当按照规定制定内部管理制度和操作规程，采取相应的安全技术措施，并指定负责人对其个人信息处理活动进行监督（第51条、第52条）；应当定期对其个人信息处理活动进行合规审计（第54条）；在涉及敏感个人信息、自动化决策、向境外提供个人信息等情形时应当在事前进行个人信息保护影响评估（第55条）；发生或可能发生个人信息泄露、篡改、丢失时，应当履行通知和补救义务（第57条）；提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者还应当履行更高水平的保护义务（第58条）。再次，个人信息处理者需要按照本法其他章节的规定建立个人行使权利的申请受理和处理机制（第50条）。最后，考虑到经济社会生活的复杂性和个人信息处理的不同情况，如其他法律、行政法规有涉及个人信息处理者责任的特别规定，亦应当一并予以遵守。

　　个人信息处理者对其个人信息处理活动负责，也意味着个人信息处理者要为其违法处理个人信息的行为承担相应的法律责任。本法第66条、第67条、第71条可作为确定相关行政责任甚至刑事责任的规范依据，第69条可作为确定相关民事责任的规范依据。