自11日起，强化以预防为中心的个人信息保护体系的修订个人信息保护法将正式实施。该法不仅加强了对重大侵害的制裁，还对企业的前期投资和快速响应给予激励，同时强化了首席执行官（CEO）和董事会在个人信息保护方面的责任。
此次修订在加强制裁的同时，也增强了企业前期投资和快速响应的激励结构。作为引导个人信息保护投资的激励措施，企业若能充分进行事前预防和事故后的应对，罚款可减免最高达80%。
修订法将对重复或重大个人信息侵害的罚款上限从原来的整体销售额的3%提高至最高10%。对于故意或重大过失重复违规，或造成超过1000万人的大规模损害，或未能执行整改命令导致泄露事故发生的情况，均适用此规定。
杨处长解释，即使不是重复事故，只要认定为故意或重大过失，并造成超过1000万人的损害，也可适用最高10%的罚款。这些条件并非必须全部满足，而是作为独立的加重理由适用。
相反，对于在个人信息保护方面进行充分投资和管理的企业，罚款可减免最高40%。这适用于在事故发生后迅速检测异常迹象，并及时通知信息主体和相关部门，积极采取措施防止损害扩散和改善漏洞的企业。
个人信息委员会在加强制裁的同时，也重视引导企业进行预防投资和事故后的响应。若企业在事前投资和事故后响应均充分，减免幅度可高达80%。由于单靠事后制裁难以减少个人信息泄露，因此希望企业平时能建立保护体系，并在事故发生时迅速公开和应对。
不过，投资金额的多少并不直接决定减免幅度。个人信息委员会将综合考虑投资规模和持续性、个人信息资产和风险识别、安全措施水平、信息保护责任人（CPO）和CEO的角色等因素来判断减免水平。杨处长表示：“由于不同行业的特性不同，个人信息保护投资难以用统一的数字来规定。”
管理层的责任也将进一步加大。修订法明确规定，企业主或代表为个人信息处理和保护的最终管理责任人。个人信息保护责任人（CPO）需向CEO或董事会报告个人信息保护现状、主要风险和改进需求，管理层则需提供必要的预算和人力支持。这将个人信息保护提升为管理层的重要决策事项，而非仅仅是实务部门的工作。
因此，企业通知泄露事实的时点也将提前。未来，即使个人信息泄露尚未最终确认，也必须具备客观上高度可能泄露的情形。
个人信息委员会举例说明，若在暗网中流通的信息与实际数据库结构一致，或确认有入侵迹象但损害规模尚未确定等情况。
杨处长表示：“仅仅因为存在漏洞或有迹象并不能作为通知的依据，必须有客观上明确的怀疑情形。”
CPO的举报义务将在明年12月之前设定一个宽限期。目前，约有600至700家企业被指定为专业CPO。针对宽限期超过一年是否过长的质疑，杨处长解释道：“举报期限自实施日起为6个月，因此考虑到实际违规案例发生在明年3月之后，设定了年底之前的宽限期。”
※ 本报道经人工智能（AI）系统翻译与编辑。
