互联网平台合规管理指南（试行）

互联网平台合规管理指南（试行）为规范互联网平台经营行为，压实平台主体责任，防范合规风险，依据《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《中华人民共和国反垄断法》《中华人民共和国反不正当竞争法》《互联网平台落实主体责任指南》等法律法规及监管文件，制定本指南，适用于我国境内从事互联网信息服务、网络交易服务、内容分发服务、社交服务、金融科技服务等各类业务的互联网平台运营主体。一、合规管理体系搭建要求1.1组织架构设置建立三级合规管理架构，明确各层级权责：决策层：用户规模超1000万的头部平台应设立独立合规委员会，由CEO、首席合规官、各业务线负责人共同组成，每季度至少召开1次合规专项会议，对全平台合规管理重大事项进行决策；中小平台由董事会或实际控制人承担合规管理最终责任。管理层：设立首席合规官岗位，直接向董事会汇报，有权列席所有涉及业务决策、经营规划的会议，对重大合规风险拥有一票否决权；设立独立合规管理部门，不得隶属于业务、市场等盈利性部门，负责制度制定、合规审查、风险排查、培训宣传、监管对接等核心工作。执行层：各业务线指定专职合规联络员，负责本业务线合规要求落地、风险上报，每月向合规部门报送本业务线合规运行情况。人员配置要求：用户规模100万-1000万的中型平台，合规团队人数不低于总员工数的2%；用户规模不足100万的小型平台，至少配备1名专职合规人员，不得由业务部门人员兼任。1.2制度体系建设建立分级合规制度体系，实现全业务场景覆盖：一级制度：制定《平台合规管理手册》作为总纲领，明确全员合规准则、合规风险分级标准、问责规则、管理流程等内容，对所有岗位具备约束效力。二级制度：制定数据合规、内容合规、反垄断合规、反不正当竞争合规、消费者权益保护、特殊群体保护、网络安全等专项合规制度，明确各领域合规要求、操作规范、责任主体。三级指引：针对具体业务场景制定操作指引，包括用户注册流程合规指引、内容审核操作指引、营销活动合规指引、商家入驻审核指引等，明确每个操作环节的合规要点。建立制度动态更新机制：合规部门建立法律法规监测台账，安排专人每日跟进监管部门发布的新规、指导案例、整改通报，每季度梳理1次业务适配性问题，每年完成1次全平台合规制度的全面修订；遇重大新规发布（正式法律、行政法规、部门规章），应在10个工作日内完成相关制度的专项修订。1.3合规考核与问责将合规指标纳入全员绩效考核体系，通用岗位合规指标占比不低于15%，内容审核、数据处理、市场营销、招商运营等核心岗位合规指标占比不低于25%，考核结果直接与岗位晋升、绩效发放挂钩。建立分级问责机制：根据违规情节轻重分为三个等级，一般违规（未造成不良影响、无主观故意）给予通报批评、扣除10%-30%当月绩效处罚；较重违规（造成局部不良影响、存在主观疏忽）给予降职、调岗、扣除30%-60%当月绩效处罚；严重违规（造成重大舆情、监管处罚、用户损失，存在主观故意）给予解除劳动合同、纳入行业黑名单处罚，涉及违法的移送司法机关处理。建立容错机制：对因政策边界不明确、无主观故意且未造成重大损失的创新类业务违规行为，可从轻或免于问责，鼓励业务合法创新。二、重点领域合规管理要求2.1数据合规管理2.1.1个人信息保护严格遵循“合法、正当、必要、诚信”原则，收集个人信息不得超出实现业务功能的最小范围，不得强制要求用户同意与当前业务功能无关的个人信息收集权限，不得采用默认勾选、捆绑授权等方式获取用户同意；收集生物识别、宗教信仰、医疗健康、金融账户、行踪轨迹等敏感个人信息时，必须向用户单独告知收集目的、处理方式、存储期限等信息，取得用户的单独明示同意，处理不满14周岁未成年人个人信息的，必须取得其监护人的明示同意。建立个人信息权益响应机制，设置专门的个人信息权益申请入口，对用户提出的查询、复制、更正、补充、删除个人信息、注销账号、撤回授权等申请，应在15个工作日内响应并处置，情况复杂的最长不得超过30个工作日；不得设置不合理的账号注销障碍，账号注销后应在15个工作日内完成用户个人信息的删除或匿名化处理（法律法规另有规定的除外）。定期开展个人信息保护影响评估（PIA），存在以下情形之一的必须开展PIA：处理敏感个人信息、利用个人信息开展自动化决策、向第三方提供个人信息、公开披露个人信息、个人信息出境、其他对个人权益有重大影响的个人信息处理活动；处理敏感个人信息超过10万人、处理普通个人信息超过100万人的平台，每年至少开展1次全面PIA，评估报告及处理情况应留存至少3年，必要时报送属地网信部门。2.1.2数据安全与出境管理按照《数据安全法》要求建立数据分级分类管理制度，将平台数据划分为核心数据、重要数据、一般数据三个等级，其中核心数据指关系国家安全、国民经济命脉、重要民生、重大公共利益的数据，重要数据指一旦泄露、篡改、损毁可能危害国家安全、公共利益的数据，一般数据指除核心、重要数据之外的其他数据；重要数据目录应报送属地网信部门备案，核心数据的处理活动应严格遵守国家相关监管要求。落实数据全生命周期防护要求，数据存储采用加密技术，敏感个人信息、重要数据应采用端到端加密存储，传输过程采用HTTPS等加密传输协议，数据访问设置权限管控，遵循最小权限原则，重要数据的访问需经多级审批，数据销毁采用物理销毁或不可逆删除技术，不得随意丢弃存储介质。严格落实网络安全等级保护制度，二级及以上信息系统每年至少开展1次等保测评，三级及以上信息系统每半年至少开展1次漏洞扫描，每年开展至少1次渗透测试；发生数据泄露、篡改、损毁等安全事件时，应立即启动应急预案，采取补救措施，在72小时内上报属地网信、公安部门，并及时告知受影响的用户，说明事件基本情况、可能造成的危害、已采取的补救措施、用户防范建议等内容。数据出境严格遵守《数据出境安全评估办法》，存在以下情形之一的，应向国家网信部门申报数据出境安全评估：处理100万人以上个人信息的平台向境外提供个人信息、自上年1月1日起累计向境外提供10万人以上个人信息或者1万人以上敏感个人信息、出境数据中包含重要数据或核心数据；未通过安全评估的，不得开展数据出境活动。2.2内容合规管理2.2.1内容审核机制建设根据平台业务类型配置足额审核人员，从事时政信息、短视频、直播、社交、网络文学等UGC内容服务的平台，审核人员配比不低于日活跃用户数的万分之三，其他类型UGC平台审核人员配比不低于日活跃用户数的万分之一；审核人员应经过不少于40学时的岗前培训，考核合格后方可上岗。采用“机审+人工复核”的审核模式，机审覆盖率达到100%，配置涉政、涉恐、涉黄、涉赌、涉诈、低俗、造谣、侵权等关键词库、样本库，每季度更新1次审核规则；机审通过的内容中，涉民生、涉公共事件、涉敏感群体的内容100%人工复核，其他内容人工复核比例不低于10%，用户举报的内容100%人工复核。建立违规内容处置机制，对确认违规的内容应在1小时内采取删除、屏蔽、限流等处置措施，对多次发布违规内容的用户建立黑名单制度，实行跨平台联合惩戒，处置记录留存至少3年。2.2.2算法推荐合规严格遵守《互联网信息服务算法推荐管理规定》，算法推荐服务提供者应向网信部门履行算法备案手续，不得利用算法推荐服务传播违法违规内容，不得设置诱导用户沉迷、过度消费的算法模型，不得根据用户的消费偏好、支付能力等实施大数据杀熟等差别待遇。向用户提供不针对其个人特征的选项，或者向用户提供关闭算法推荐服务的选项，用户选择关闭的，不得强制推送个性化内容；向未成年人提供算法推荐服务的，不得推送可能诱导未成年人模仿不安全行为、违反社会公德、沉迷网络等内容，不得向未成年人推送商业广告。2.2.3内容投诉处置设置便捷的内容投诉举报入口，公示投诉举报流程，对用户提交的投诉举报应在24小时内响应，72小时内完成处置并反馈结果，对不实投诉要及时澄清，对被错误处置的内容要及时恢复。2.3市场经营合规管理2.3.1反垄断合规不得与其他经营者达成固定价格、分割市场、限制产量、联合抵制交易等垄断协议，不得滥用市场支配地位从事以下行为：以不公平的高价销售商品或者以不公平的低价购买商品、没有正当理由以低于成本的价格销售商品、没有正当理由拒绝与交易相对人进行交易、没有正当理由限定交易相对人只能与其进行交易或者只能与其指定的经营者进行交易（即“二选一”）、没有正当理由对交易相对人实行差别待遇、没有正当理由搭售商品或者在交易时附加其他不合理的交易条件。达到经营者集中申报标准的，应事先向国家市场监督管理总局申报，未申报的不得实施集中，申报标准为：（1）参与集中的所有经营者上一会计年度在全球范围内的营业额合计超过100亿元人民币，并且其中至少两个经营者上一会计年度在中国境内的营业额均超过4亿元人民币；（2）参与集中的所有经营者上一会计年度在中国境内的营业额合计超过20亿元人民币，并且其中至少两个经营者上一会计年度在中国境内的营业额均超过4亿元人民币。市场份额占相关行业领域前3位的平台，每半年开展1次反垄断合规风险评估，每年向属地市场监管部门报送反垄断合规报告。2.3.2反不正当竞争合规不得实施以下不正当竞争行为：对商品的性能、功能、质量、销售状况、用户评价、曾获荣誉等作虚假或者引人误解的商业宣传，欺骗、误导消费者；通过组织虚假交易、虚构用户评价、刷单炒信等方式帮助其他经营者进行虚假或者引人误解的商业宣传；编造、传播虚假信息或者误导性信息，损害竞争对手的商业信誉、商品声誉；未经其他经营者同意，在其合法提供的网络产品或者服务中，插入链接、强制进行目标跳转；误导、欺骗、强迫用户修改、关闭、卸载其他经营者合法提供的网络产品或者服务；恶意对其他经营者合法提供的网络产品或者服务实施不兼容。开展有奖销售活动的，最高奖的金额不得超过5万元，不得设置谎称有奖、故意让内定人员中奖的欺骗式有奖销售。2.3.3广告与营销合规通过互联网发布的广告应当显著标明“广告”，与其他非广告信息相区别，不得使用“国家级”“最高级”“最佳”等广告法禁用表述，不得发布妨碍社会安定、损害社会公共利益、危害人身财产安全、泄露个人隐私的广告。发布医疗、药品、医疗器械、保健食品、特殊医学用途配方食品、农药、兽药、金融等法律法规规定应当进行广告审查的广告，应当事先取得广告审查机关的审查批准文件，未取得批准的不得发布。针对未成年人的网站、APP、网页等内容场景，不得发布医疗、药品、保健食品、医疗器械、化妆品、酒类、美容广告，以及不利于未成年人身心健康的网络游戏广告。2.3.4消费者权益保护平台内销售的商品或服务应当明码标价，不得虚构原价、虚假折扣、误导性标价，不得收取任何未予标明的费用；落实七日无理由退货制度，除消费者定作的、鲜活易腐的、在线下载或者消费者拆封的音像制品、计算机软件等数字化商品、交付的报纸、期刊等法定不适用七日无理由退货的商品外，其他商品不得拒绝消费者的无理由退货申请。以预收款方式提供商品或者服务的，应当明确商品或者服务的数量和质量、价款或者费用、履行期限和方式、安全注意事项和风险警示、售后服务、民事责任等内容，设置不少于7天的预付款冷静期，冷静期内消费者有权无条件退款。建立消费者投诉处理机制，设置724小时投诉入口，对消费者的投诉应在7个工作日内予以答复，投诉办结率不低于95%。2.4特殊群体保护合规2.4.1未成年人保护严格落实《未成年人网络保护条例》要求，所有面向未成年人提供服务的平台必须设置未成年人模式，未成年人模式应在用户首次打开APP时弹窗提示，未成年人模式下不得提供游戏充值、直播打赏、网络购物等服务，确需提供的应设置消费限额：8周岁以下未成年人不得进行任何消费，8-16周岁未成年人单次充值/消费不得超过50元，每月累计不得超过200元，16-18周岁未成年人单次充值/消费不得超过100元，每月累计不得超过500元。严格落实网络游戏时间管控要求，仅可在周五、周六、周日和法定节假日的20:00-21:00向未成年人提供网络游戏服务，其他时间不得向未成年人开放网络游戏服务。2.4.2老年人与残疾人保护面向公众提供服务的平台应设置适老化模式，适老化模式下字体大小不小于16号，操作步骤不超过3步，不得出现诱导老年人点击的弹窗广告、虚假理财信息、诈骗内容；落实信息无障碍要求，支持屏幕阅读器等辅助工具读取平台内容，为视力、听力残疾人使用平台服务提供便利。2.5网络安全与应急管理建立网络安全防护体系，每月至少开展1次全平台漏洞扫描，每季度至少开展1次渗透测试，及时修复发现的安全漏洞，高危漏洞修复率不低于98%，修复时长不超过24小时。制定网络安全事件、数据泄露事件、重大内容违规事件、系统性服务故障等四类专项应急预案，每半年至少组织1次应急演练，确保应急处置流程有效。发生重大网络安全事件、重大内容舆情事件、系统性服务故障超过2小时的，应在1小时内上报属地网信、公安、行业主管等部门，不得迟报、瞒报、谎报。三、合规运行保障机制3.1前置合规审查机制建立“业务发起-合规审查-整改优化-上线落地”的全流程审查机制，所有新业务上线、新产品发布、新功能迭代、重大营销活动开展、重大经营决策实施前，必须经过合规部门的前置审查，审查未通过的不得推进实施；合规审查应明确风险等级，低风险项目1个工作日内出具审查意见，中高风险项目3个工作日内出具审查意见，重大项目可延长至7个工作日。3.2合规培训机制建立分层分类的合规培训体系，新员工入职培训中合规内容占比不低于20%，考核合格后方可入职；全员每年接受不少于8学时的通用合规培训，内容审核、数据处理、市场营销、招商运营、算法研发等核心岗位人员每年接受不少于20学时的专项合规培训，首席合规官、合规部门人员每年接受不少于30学时的监管政策更新培训；培训完成后应进行考核，考核通过率不足80%的需重新参加培训。3.3合规举报与风险排查机制设置匿名合规举报通道，包括内部员工举报通道和外部用户举报通道，对举报人的个人信息严格保密，举报响应时效不超过3个工作日，核实属实的举报给予举报人相应的奖励；合规部门每季度开展1次全平台合规风险排查，重点排查数据安