推动大型个人信息处理者提升保护能力

cnofor

    为规范大型个人信息处理者个人信息处理活动，保护个人信息合法权益，促进个人信息依法合理利用，国家网信部门将前期已公开征求意见的《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》《大型网络平台个人信息保护规定（征求意见稿）》作了整合完善，形成《大型个人信息处理者个人信息保护规定（征求意见稿）》（以下简称“新征求意见稿”），于近日向社会公开征求意见。
    截至2025年12月，我国网民规模达11.25亿人，互联网普及率突破80%，生成式人工智能用户规模达6.02亿。海量个人信息向少数主体高度集中，如何使用和保护这些个人信息，成为广大人民群众最关心的重大问题之一。应该看到，不同主体对个人信息的处理规模和集中程度不同，对个人权益与公共利益的影响随之不同，所应承担的责任和义务也理当有所区别。新征求意见稿的起草，正是抓住个人信息保护中的“关键主体”，旨在把个人信息保护法确立的主体责任原则，转化为可操作、可检验、可追究的具体要求，为筑牢个人信息安全防线提供有力的制度抓手。
    具体来看，首先，新征求意见稿最鲜明的理念转变，是将规制对象由“大型网络平台”改为“大型个人信息处理者”。我国《网络数据安全管理条例》界定大型网络平台更多着眼于商业形态，如依据注册用户5000万以上或者月活跃用户1000万以上、业务类型复杂等要素；新征求意见稿则把“处理1000万人以上自然人个人信息”作为界定“大型个人信息处理者”的首要条件，并结合其服务的重要程度和影响范围综合判断。这一变化的意义，在于强调决定风险量级的是其所处理个人信息的规模、集中程度和敏感程度，而非是否以“平台”面目出现。同时，新征求意见稿以处理行为而非商业模式划定边界，使监管穿透平台形式，将模型训练、智能终端等非平台型处理活动纳入重点治理范畴，使责任范围与信息控制能力、风险外溢范围相匹配，有助于实行分类分级的精准治理。
    其次，建立由企业自我监督、外部专业监督、行政监管和社会监督共同构成的合作治理体系，是此次完善的一项重要制度创新。我国个人信息保护法要求相关个人信息处理者成立主要由外部成员组成的独立机构对个人信息保护情况进行监督。对此，新征求意见稿进一步细化规则，明确监督委员会以外部成员为主、负责人由外部成员担任，并对成员的独立性、兼职数量和津贴公开等作出限定。同时，规定大型个人信息处理者应当按照有关规定指定一名管理层成员担任个人信息保护负责人，等等。这一系列制度设计有利于层层压实企业主体责任，通过程序上的参与权和向外报告的渠道，有助于防止企业内部弱化、消解合规意见，既尊重企业自主经营权利，也能保障合规的刚性要求。
    再次，新增“个人信息处理规则”一章，使告知同意由形式走向实质。新征求意见稿要求以结构化清单列明每项功能服务收集使用个人信息的目的、方式、种类以及权限调用情况等。通过把授权说明改造为可逐项比对、可核验的清单，既能压缩“一揽子授权”的模糊空间，也为执法提供可度量的尺度。此外，诸如撤回同意、关闭个性化推荐、删除用户标签等个人权利的行使，也被赋予明确的流程和时限，不再只是流于纸面。
    最后，在守牢数据安全底线的同时，为相关主体留出发展空间。个人信息是数据要素的重要组成部分。新征求意见稿明确境内运营中收集和产生的个人信息应当存储在境内，对数据中心设立地、实际控制人国籍以及第三方专业机构注册地提出要求，并明确将侵害我国公民个人信息权益、危害国家安全和公共利益的境外组织、个人列入限制或者禁止个人信息提供清单，这体现了对总体国家安全观的贯彻落实。对未成年人个人信息，则以专门的处理规则、监护人同意与撤回的便捷渠道和专人专责等作出更严格的安排。新征求意见稿还设置了鼓励技术创新、鼓励通过个人信息保护认证、鼓励参与国际标准和规则制定等条款，这些设计将有助于推动数据要素在安全的轨道上有序流动。
    个人信息保护是一项长期工程，更是数字经济高质量发展的重要基石。唯有坚持以风险为尺度、以权利为中心、以责任为主线、以创新为导向，推动大型个人信息处理者把技术能力转化为治理能力和保护能力，才能让个人信息在法治轨道上安全有序流动，让数字创新建立在更加坚实的信任基础之上。
    （作者：王立梅，系中国政法大学数据法学院教授，中国法学会网络与信息法学研究会副会长）

来源：法治日报