進一步加強大型網(wǎng)絡平臺個人信息保護——簡析《大型網(wǎng)絡平臺個人信息保護規(guī)定（征求意見稿）》

武丹/制圖

作者|陳宇超

責編|薛應軍

正文共2783個字，預計閱讀需8分鐘▼

11月22日，國家互聯(lián)網(wǎng)信息辦公室、公安部聯(lián)合發(fā)布《大型網(wǎng)絡平臺個人信息保護規(guī)定（征求意見稿）》（以下簡稱《征求意見稿》）向社會公開征求意見。意見反饋截止時間為2025年12月22日。

《征求意見稿》立足大型網(wǎng)絡平臺用戶規(guī)模大、數(shù)據(jù)處理海量、社會影響深的特征，聚焦主體界定、責任落實、數(shù)據(jù)安全、權利保障、監(jiān)督共治等，為平臺合規(guī)提供了明確指引，將用戶個人信息權益保護落到實處，為平臺經(jīng)濟持續(xù)健康發(fā)展提供制度保障。

主要亮點

立足大型網(wǎng)絡平臺特點，《征求意見稿》提出了一系列具有針對性的措施。

第一，明確大型平臺界定標準，精準識別監(jiān)管對象?！墩髑笠庖姼濉穭?chuàng)新性地采用“數(shù)量閾值+風險評估”的雙重標準，將注冊用戶5000萬以上、月活躍用戶1000萬以上，提供重要網(wǎng)絡服務或業(yè)務覆蓋多領域及數(shù)據(jù)處理不當，可能對國家安全、國計民生造成嚴重影響的平臺納入重點監(jiān)管。這一制度設計改變傳統(tǒng)“一刀切”監(jiān)管模式，既為中小平臺預留了創(chuàng)新發(fā)展的合理空間，避免過度監(jiān)管對市場活力的抑制，又集中監(jiān)管資源管控高風險的大型網(wǎng)絡平臺主體，實現(xiàn)了監(jiān)管資源的精準配置。

第二，落實平臺治理責任，內部治理架構制度化。與以往監(jiān)管規(guī)則相比，《征求意見稿》構建了“個人信息保護負責人+專門工作機構”的雙重責任架構，第五條和第六條明確要求網(wǎng)絡平臺應當指定符合一定任職資格的管理層成員擔任個人信息保護負責人，并由負責人領導個人信息保護工作機構開展制定內部制度、進行風險監(jiān)測、監(jiān)督平臺內產(chǎn)品提供者等個人信息保護相關工作。這將抽象的“平臺主體責任”轉化為可操作的制度規(guī)范，為平臺信息保護責任劃定了清晰的執(zhí)行路徑，避免網(wǎng)絡平臺個人信息保護“人人有責卻無人負責、擔責”的治理困境。

第三，明確數(shù)據(jù)本地化與數(shù)據(jù)中心安全要求，升級數(shù)據(jù)安全防控。個人信息泄露風險，既可能由內部管理漏洞引起，也可能潛藏于數(shù)據(jù)存儲與傳輸環(huán)節(jié)。針對其中的隱患，《征求意見稿》第九條至第十三條對個人信息存儲和出境管理作了嚴格規(guī)定。一方面，對存儲個人信息的數(shù)據(jù)中心提出可操作性的安全條件，明確儲存?zhèn)€人信息的數(shù)據(jù)中心需滿足“設立在境內、主要負責人為中國國籍、安全性符合國家標準”三大條件。要求委托第三方數(shù)據(jù)中心存儲時，需滿足“境內存儲+合規(guī)審核+合同約束”的全面管理要求。另一方面，《征求意見稿》對內設數(shù)據(jù)中心與第三方數(shù)據(jù)中心的個人信息保護職責進行區(qū)分化設置，要求第三方數(shù)據(jù)中心協(xié)助平臺履行保護義務并接受個人信息保護負責人的監(jiān)督。這形成了“平臺主責、機構協(xié)同”的安全格局，為防范數(shù)據(jù)跨境流動風險和保障關鍵數(shù)據(jù)安全奠定堅實基礎。

第四，細化個人信息可攜帶權，回應用戶權利訴求?！墩髑笠庖姼濉访鞔_要求平臺需對用戶個人信息的查閱、復制、更正、刪除、注銷賬號、撤回同意等權利的行使提供便利途徑。同時，若用戶有需要，平臺需在“合理期限內”完成信息轉移，無法滿足要求時需“說明理由”，為個人信息“跨平臺流動”提供操作指引。值得注意的是，《征求意見稿》并非“一刀切”的剛性約束，而是預留了彈性空間。對因技術限制或法律規(guī)定無法及時轉移信息的，平臺可在說明理由后延長期限，這種“原則+例外”的立法模式，既堅守權利保護底線，又兼顧平臺運營實際。

第五，引入第三方監(jiān)督與審計機制，構建社會共治格局?！墩髑笠庖姼濉芬笃脚_定期發(fā)布社會責任報告以加強社會監(jiān)督，并在第十五條至第十七條鼓勵要求平臺引入第三方專業(yè)機構進行合規(guī)審計和風險評估，明確在特定嚴重情形下，監(jiān)管部門可強制要求平臺委托第三方審計，并賦予第三方機構在發(fā)現(xiàn)重大風險或違法情形時直接向監(jiān)管部門報告的權利?！墩髑笠庖姼濉芬笠胪獠勘O(jiān)督，這彌補了單純依靠平臺自我聲明的監(jiān)管不足，有助于提升評估審計的客觀性和公信力，形成內部治理、政府監(jiān)管、社會監(jiān)督三方協(xié)同的共治模式。

完善建議

《征求意見稿》框架清晰，亮點突出，但最終落地實施，部分細節(jié)仍有進一步明確與完善的空間。

第一，進一步優(yōu)化“大型網(wǎng)絡平臺”界定的動態(tài)調整機制。一方面，建議在《征求意見稿》第三條明確“大型網(wǎng)絡平臺目錄”的更新頻率，如每季度進行動態(tài)核查，每年集中更新一次，規(guī)避目錄更新不及時可能導致的部分高風險平臺游離于監(jiān)管之外，或讓已不符合標準的平臺承擔過重合規(guī)成本風險。另一方面，細化對目錄制定的具體程序，將公眾參與渠道和平臺主體的知情權及申訴渠道納入考慮，例如，要求監(jiān)管部門在擬定目錄時公示認定依據(jù)和數(shù)據(jù)來源，給予新增平臺一定過渡期，允許其整改合規(guī)缺口、對目錄認定結果有異議的，可提交材料申請復核等，以確保認定過程公平公正及認定結果的準確性。

第二，厘清“個人信息保護負責人”的責任邊界與保障機制。《征求意見稿》賦予負責人重大權利和報告義務，也需關注其可能面臨的履職風險和企業(yè)內部阻力。一方面，建議進一步明確負責人的盡職標準，將其責任與平臺整體的合規(guī)狀況進行合理區(qū)分，避免“一刀切”的追責。與此相應的是，也要建立合理的負責人履職評價機制，由網(wǎng)信部門定期評估其決策合理性、監(jiān)督有效性，對濫用權力或失職的負責人依法追責。另一方面，建議增加負責人履職保障條款，明確平臺不得因其依法向監(jiān)管部門報告而施加不利影響，確保其能夠獨立、公正地履行職責。

第三，規(guī)范并細化合理收費標準，防范平臺濫用收費權?！墩髑笠庖姼濉返谑臈l允許平臺對個人重復轉移信息收取必要費用，但未明確收費的定價機制和上限標準。實踐中，若缺乏約束，部分平臺可能借收費之名變相阻礙用戶行使信息轉移權，增加用戶維權成本。針對此情況，一方面，建議規(guī)定由監(jiān)管部門會同物價部門制定個人信息轉移的合理收費指導價，明確收費上限，禁止平臺超出成本收取高額費用。另一方面，要求平臺公示收費標準和成本核算依據(jù)，接受用戶和社會監(jiān)督。此外，對于老年人、未成年人等特殊群體，可規(guī)定免收相關費用，體現(xiàn)制度的人文關懷。

第四，完善第三方審計、評估機構的資質要求與責任邊界?！墩髑笠庖姼濉返谑鍡l和第十六條鼓勵平臺委托第三方專業(yè)機構進行合規(guī)審計與風險評估，并規(guī)定在特定情形下主管部門可強制要求此類委托。一方面，為確保審計評估的公正性與專業(yè)性，除依據(jù)《中華人民共和國認證認可條例》進行機構認證外，建議進一步細化對第三方機構在個人信息保護領域的特定經(jīng)驗、技術能力、無重大違法違規(guī)記錄等方面的要求，并建立可供查詢的合格機構名錄。另一方面，需明確第三方機構在履職過程中獲取的平臺商業(yè)秘密、技術秘密等信息的保密義務，以及其出具虛假或失實報告的法律責任，以防范潛在的道德風險與利益沖突，確保其工作客觀公正。

《征求意見稿》構建了針對大型網(wǎng)絡平臺個人信息處理活動的規(guī)范框架，為個人信息保護與平臺經(jīng)濟發(fā)展提供關鍵制度支撐，期待其進一步完善與有效落地后，為數(shù)字經(jīng)濟的高質量發(fā)展提供堅實的法治保障。

（作者單位：上海社科院法學所）