简析《大型个人信息处理者个人信息保护规定（征求意见稿）》

给个人信息处理“大户”立规矩

　　8月7日，国家互联网信息办公室发布《大型个人信息处理者个人信息保护规定（征求意见稿）》（以下简称《征求意见稿》），面向社会公开征求意见。意见反馈截止时间为2026年9月7日。

　　该《征求意见稿》针对大型个人信息处理者在个人信息处理中必须遵循的处理规则、应承担的义务、个人信息保护监督委员会的设立及其运作等作了细致规定，为个人信息保护提供有力的实践指导，进一步规范大型个人信息处理者个人信息处理活动，保护个人信息合法权益，促进个人信息依法合理利用。

　　应运而生，亮点颇多

　　从制度演进角度看，对大型个人信息处理者的特别要求，源于《中华人民共和国个人信息保护法》第五十八条。该条规定，提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行一系列义务。例如，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督、定期发布个人信息保护社会责任报告等义务。2024年9月公布的《网络数据安全管理条例》第六十二条第八项在行政法规层面明确界定了“大型网络平台”的概念：“大型网络平台，是指注册用户5000万以上或者月活跃用户1000万以上，业务类型复杂，网络数据处理活动对国家安全、经济运行、国计民生等具有重要影响的网络平台。”2025年，《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》和《大型网络平台个人信息保护规定（征求意见稿）》相继发布，面向社会公开征求意见。此次发布的《征求意见稿》，系在这两份征求意见稿基础上整合完善而成。

　　《征求意见稿》共6章50条，将个人信息保护法第五十八条确立的“守门人”制度从原则层面推向细则。其中，亮点颇多，例如要求企业以“结构化清单”逐项列明信息收集情况，规定非敏感信息经汇聚融合足以识别敏感事项的，按敏感个人信息保护等。

　　调整对象有待进一步完善

　　相较于2025年发布的《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》《大型网络平台个人信息保护规定（征求意见稿）》，《征求意见稿》的显著变化在于调整对象从“大型网络平台”转变为“大型个人信息处理者”。这一转变的初衷在于掌握海量个人信息的主体不限于网络平台，银行、医院、汽车企业等都可能掌握海量个人信息。将这些非平台企业纳入规制，有助于实现对个人信息的全面保护。

　　但这与个人信息保护法第五十八条的规定存在抵触。个人信息保护法第五十八条对个人信息“守门人”的认定提出三项要件：重要互联网平台服务、用户数量巨大、业务类型复杂。一般认为，这三项要件是并列关系，必须同时满足。据此，非互联网平台不应被视为“守门人”而被赋予更高的义务。《征求意见稿》将调整对象从“网络平台”扩张到“个人信息处理者”，上位法依据不足。建议依据个人信息保护法的规定，将调整对象限于提供重要互联网平台服务的处理者。非互联网平台的大型个人信息处理者可以参照《征求意见稿》的规定优化企业的个人信息合规，但不宜直接作为被调整的对象。

　　此外，《征求意见稿》还放宽了“大型”的认定标准。《网络数据安全管理条例》《大型网络平台个人信息保护规定（征求意见稿）》规定，对“大型”的判断标准之一是“注册用户5000万以上或者月活跃用户1000万以上”，而《征求意见稿》将标准放宽到“处理1000万人以上自然人个人信息”。这意味着大量企业将被纳入调整范围，在提升个人信息保护水准的同时，企业合规成本与国家管理等社会成本也将大幅增加。建议当前可适当提高量化门槛，待将来再视情况逐步扩大调整的企业范围。

　　从“目录”到“申报”：务实背后有“隐忧”

　　实践中，如何认定哪些企业属于“大型个人信息处理者”？《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》《大型网络平台个人信息保护规定（征求意见稿）》都采用了“目录”方式，即由国家网信部门会同公安部门等制定发布大型网络平台目录并动态更新。《征求意见稿》将认定方式改为“申报”方式，即符合条件的处理者须主动向国家网信部门申报，经相关部门查验确定后向社会公告。这一转变更务实，因为政府难以全面掌握企业的数据处理规模等，让最了解自身情况的企业先行申报，效率更高，有利于减轻监管负担。

　　但“申报制”引发的问题是，如果企业不申报如何解决？现行法律没有直接对应的规则，这将给实践操作带来一定不便。对此，一方面，有必要在《征求意见稿》第五章“监督管理和法律责任”部分明确未申报的法律责任；另一方面，可细化督促申报机制，使《征求意见稿》第三条规定的督促申报条款可以有效落地。

　　否决权存废：“牙齿”如何安放

　　根据个人信息保护法的规定，达到一定规模的企业应当指定个人信息保护负责人，由其负责对个人信息处理活动以及采取的保护措施等进行监督。可以说，个人信息保护负责人是企业内部落实个人信息保护相关要求的重要角色。《征求意见稿》对个人信息保护负责人的职责等作了细致规定。其中，较引人注目的是，《征求意见稿》删除了《大型网络平台个人信息保护规定（征求意见稿）》中规定的个人信息保护负责人的“否决权”。《大型网络平台个人信息保护规定（征求意见稿）》第五条第三款规定，个人信息保护负责人有权参与大型网络平台个人信息处理事项相关决策，并对个人信息处理事项具有否决权。而《征求意见稿》则改为，个人信息保护负责人“参与大型个人信息处理者个人信息处理事项相关决策，对存在安全风险的决策及时提出意见。大型个人信息处理者对合规性意见无正当理由不予处理，或者处理结果违反法律、行政法规和国家有关规定的，个人信息保护负责人可以直接向所在地省级网信部门报告”。

　　这里删除个人信息保护负责人“否决权”有其合理性，让拿公司薪水、受公司考核的高管否决公司决策，的确有一定的自相矛盾之处。“否决权”使个人信息保护负责人成为决策链条的关键环节之一，赋予其较大的权限。一旦决策不当，未行使“否决权”的个人信息保护负责人会成为重要责任人。但这尚不足以否定“否决权”规则。例如，独立董事同样由公司聘任、领取报酬，但须对公司决策作出独立客观的判断。同样，监事会有权要求纠正公司董事、高管的违法行为。可见，“受聘于公司”与“独立判断”并非不可得兼，关键在于制度配套。

　　建议保留“否决权”，并强化配套安排。一方面，借鉴独立董事制度，明确个人信息保护负责人的独立性要求与履职保障；另一方面，设置善意履职免责规则，以化解个人信息保护负责人履职中的责任隐忧。法律只有为个人信息保护负责人提供足够的权利和有效的保障，才能真正确保个人信息保护制度在企业内部得到有效落实。

　　从个人信息保护法的原则性规定到《征求意见稿》的细致展开，“数字守门人”制度在我国确立已近五年。《征求意见稿》在强化个人信息保护方面有了重要进展，这是我国个人信息保护法治建设的重要一步，但下一步还应在调整对象上遵循上位法依据，在企业认定上补充落实机制，在个人信息保护负责人履职上配足权限和保障。

　　本文为2024年度上海市“曙光计划”项目“人工智能侵权责任立法论”（项目编号：24SG56）的阶段性研究成果。

　　〔作者为上海政法学院数智法学院（知识产权学院）副院长、教授、博士生导师〕