关键词：船东 保赔协会 个人信息保护法
导语：自2021年11月1日《个人信息保护法》（以下简称“PIPL”）生效以来，我所接到IG及多家保赔协会关于涉及海事领域，如船员雇佣及船员伤亡事故处理过程中个人信息保护相关问题的咨询，并制定了《个人信息处理同意书》（Informed Consent Form）范本及船员雇佣合同的推荐条款。本文站在协会及船东立场，从涉及船员伤亡事故处理的角度，在众多咨询问题当中挑选一二具有共性的基本问题，略加讨论。本文仅从船员人身伤亡事故处理的角度来探讨协会及船东在个人信息保护所应处理的问题。
PIPL下“个人信息”及“个人信息的处理”是两个非常重要的概念，只有明确这两个概念后，才可以进一步讨论PIPL在事故处理过程中的适用问题。换言之，如果处理的不是“个人信息”，或对个人信息没有进行“处理”，则PIPL并无适用空间。
PIPL下的“个人信息”是较为复杂的概念，其第4条规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息”。简单来说，PIPL定义下的个人信息包括能够单独识别自然人个人身份的信息（如个人肖像、身份证号码、社保号码等），以及与其他信息结合能够识别自然人个人身份的各种信息（如个人位置信息、个人通话记录、个人浏览记录等）。在已知既定个人后，进一步知晓的反应该特定自然人活动情况的各种信息是否属于PIPL下的个人信息，还需要司法实践进一步澄清。
PIPL下“个人信息的处理”的概念极为宽泛，该法第4条规定：“个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等”，几乎囊括了对个人信息可能采取的一切处理方式。
就本文的目的而言，仅需要了解到在船员伤亡事故中涉及的如船员的照片、年龄、性别、身份证号、社保信息、家庭住所、婚姻家庭情况、工资、病例等信息，均可能属于PIPL下的“个人信息”。而对上述信息的收集、存储、使用、加工、传输、提供等，均可能被认定为PIPL下“个人信息的处理”。
处理涉及船员伤亡事故过程中，是否需要遵守PIPL的规定，是最常被咨询的问题。具体包括：设立在境外的协会/船东是否需要适用PIPL？事故所涉船员不是中国籍是否需要适用PIPL？事故发生在中国境外是否需要适用PIPL？等等。
关于适用问题，PIPL第3条明确规定其适用于：1）在中华人民共和国境内处理自然人个人信息的活动；2）以向境内自然人提供产品或者服务为目的或为分析、评估境内自然人的行为而在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动。
考虑到境外协会或船东并不会以向境内自然人提供产品或者服务为目的或为分析、评估境内自然人的行为而在境外处理境内自然人的个人信息，PIPL第3条仅第一款具有适用空间。此处的境内，仅指中国大陆，不包括港澳台地区。
因此，无论协会及船东在境内还是境外、无论所涉船员是否是中国籍、无论事故发生在境内还是境外，只要协会或船东在境内处理船员的个人信息，PIPL就存在适用的空间。考虑到“个人信息”及“处理个人信息”的概念是如此的宽泛性，PIPL在涉及船员伤亡事故的处理过程中适用的可能性极高。
实践中，事故发生后协会或船东往往通过事故发生当地的通代、检验人或律师参与事故调查、搜集证据材料并与事故相对方协商解决纠纷。在此情况下，与伤亡船员相关的信息可能由通代、检验人或律师搜集、整理后再提供给协会及船东，由此便产生了谁才是PIPL的规制对象的问题。
要明确该问题，必须再引入两个PIPL下的法律概念，即“个人信息处理者”及“接受委托处理个人信息的人”。前者与欧盟《通用数据保护条例》（以下简称“GDPR”）下的“information controller”类似，后者与GDPR下的“information processor”类似。PIPL对“个人信息处理者”处理个人信息做出了多种限制与要求，但对“接受委托处理个人信息的人”并无特殊要求，仅在第21条规定未经“个人信息处理者”同意，“接受委托处理个人信息的人”不得转委托他人处理个人信息。因此，明确以上各方谁才是PIPL下的“个人信息处理者”，是明确PIPL规制对象的前提。
PIPL第73条1款对“个人信息处理者”作出了明确的定义：“个人信息处理者，是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。”依据以上定义，在协会、船东、通代、检验人、律师这五个主体中，首先可以确定律师仅是“接受委托处理个人信息的人”，而非“个人信息处理者”，因为律师永远是按照委托人的指示，为了委托人的利益行事，不会“自主决定处理目的、处理方式”。其次可以排除检验人，因为在一定程度上，其在案件处理过程中与律师的定位类似。关于通代，按照协会与其会员船东之间的条款，系接受船东委托协助处理案件，在具体事故处理过程中似乎也少有能够“自主决定处理目的、处理方式”的时候，我们更倾向于其同样不属于“个人信息处理者”，而仅是“接受委托处理个人信息的人”，但还需要具体问题具体分析。
在排除通代、检验人及律师后，仅剩协会和船东。我们认为，尽管对外船东才是赔偿或索赔的一方，但对内协会同样有理赔的需求，因此该两者均有可能被认定为“个人信息处理者”，均属于PIPL的规制对象。
PIPL禁止协会和船东（个人信息处理者）处理个人信息，除非取得个人同意或满足其他特定的情形。PIPL第13条规定：“依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意”。
依据上述规定，尽管部分船员伤亡事故的处理或许可以依法引用PIPL第13条2至7项的豁免情形，但出于安全起见，我们建议协会及船东在处理涉及船员伤亡事故初期就征得船员或其家属的相关同意。
PIPL关于个人信息的跨境传输同样值得一提。由于协会及船东往往并非境内主体，无论是通代、检验人还是律师在协助船东搜集、整理好个人信息后，都会第一时间提供给境外的协会或船东，这就涉及到了个人信息跨境传输的问题。因此，我们建议如通代、检验人或律师在直接将个人信息提供给境外的船东或协会前，需要得到信息主体的同意；如通代、检验人或律师先将个人信息提供给境内的船东，再由境内船东将个人信息提供给境外协会，则境内船东应按照PIPL第38条3款的要求先与协会签订国家网信部门制定的标准合同（已有征求意见稿），以期满足监管要求。
PIPL第七章对违反PIPL的法律责任做出了三类规定，包括行政处罚、承担赔偿责任以及记入信用档案。
行政处罚方面，PIPL第66条规定：
“违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。”
赔偿损失方面，PIPL第69条规定：
“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。”
在记入信用档案方面，PIPL第67条规定：
“有本法规定的违法行为的，依照有关法律、行政法规的规定记入信用档案，并予以公示。”
篇幅所限，以上仅为我们对涉及船员伤亡事故处理过程中个人信息保护几点相关问题的简略介绍。如您对于本文所涉法律问题存有疑问或遇到相关问题，请与我所孙凯律师或罗依律师联系：
kai.sun@haitonglawyer.com
joy.luo@haitonglawyer.com
