将治大者不治细-《大型网络平台个人信息保护规定（征求意见稿）》解读 -

11月22日，国家网信办和公安部联合就《大型网络平台个人信息保护规定(征求意见稿)》(下称《征求意见稿》)向社会公开征求意见。虽然该规一、大型网络平台的认定《征求意见稿》拟进一步明确，国家网信部门会同国务院公安部门等有关部门制定发布大型网络平台目录并动态更新，同时拟提出认定大型网络平台的四个因素：(1)数量因素。注册用户5000万以上或者月活跃用户1000万以上；(2)业务因素。提供重要网络服务或者经营范围涵盖多个类型业务；(3)风险因素。掌握处理的数据一旦被泄露、篡改、损毁，对国家安全、经济运行、国计民生等具有重要影响；(4)其他因素。国家网信部门、国务院公安部门规定的其他情形。2.哪些企业可能被认定为大型网络平台?《征求意见稿》提出了数量、业务、风险和其他因素考量的认定标准，其中数量标准、业务类型为定量标准，比较客观；业务重要程度和数据安全风险为定性标准，比较主观。就数量标准和业务类型而言，建议相关企业参考个人信息保护负责人报送情况，其中包括处理个人信息规模(按去重后的自然人统计)和月活跃用户(按去重后的自然人统计),也包括涉及行业领域——大于或等于三个以上的行业领域，很有可能被认为属于“经营范围涵盖多个类型业务”。就业务重要程度和数据安全风险而言，建议相关企业考虑掌握处理的数据类型，如位置、金融、健康、生物识别(特别是人脸信息)、儿童个人信息等均可能较为敏感的数据类型，容易构成“一旦被泄露、篡改、损毁，对国家安全、经济运行、国计民生等具有重要影响”的因素；就业务重要程度来说，结合互联网发展实际和我们的理解，国民级应用、头部应用以及与个人生活、工作密切相关的应用可能构成“提供重要网络服务”,具体可参见下表：用户规模巨大，涉及舆情、通信内容、社交关系电商与物流出行服务涉及大量用户数据，包括语音、图像、行为数据二、大型网络平台的义务和特殊规定《征求意见稿》以《个人信息保护法》《数据安全法》《网络安全法》《网络数据安全管理条例》等为上位法依据，涉及个人信息保护、数据安全、网络安全等相关义务。根据“守门人”理论，大型网络平台通常要在履行一般义务的基础上，承担更高的安全保障义务，体现出风险治理的思路。网络安全1.指定个人信息保护负责人；2.开展个人信息保护合规审计；/1.个人信息保护负责人特殊任职要求及具体职责；2.明确个人信息保护工作机构；3.个人信息可携权；4.高水平合规审计；1.数据出境安全；2.IDC选用及合同要求；/1.主体责任和社会责任《征求意见稿》第四条规定了提供大型网络平台服务的网络数据处理者(“大型网络平台服务提供者”)应承担主体责任和社会责任。主体责任意味着相关主体对法定义务履行情况负有证明义务，需要企业妥善开展相关合规工作并留存相关合规证明；社会责任意味着在法定责任基础上更高的责任，需要企业充分考虑国家、社会、公众等利益开展合规工作。具体而言，第四条重点明确了四个总体合规义务：(1)基本原则。遵循合法、正当、必要和诚信原则；(2)遵法循礼。遵守法律、法规，遵守社会公德和伦理；(3)重点保护。严格保护敏感个人信息和未成年人个人信息；(4)安全保障。不得危害国家安全、公共利益，不得损害个人、组织的合法权益。2.个人信息保护《征求意见稿》要求大型网络平台服务提供者对所处理的个人信息安全承担主体责任，即应当遵守《个人信息保护法》及相关配套规定的要求。同时，《征求意见稿》还对大型网络平台服务提供者提出了更高的个人信息保护要求，包括个人信息保护负责人及个人信息保护工作机构的设置、个人信息可携权、高水平合规审计等。(1)个人信息保护负责人及个人信息保护工作机构《征求意见稿》对大型网络平台设置信息保护负责人规定了更高要求。《个人信息保护法》及《个人信息保护合规审计办法》明确了个人信息处理者设置个人信息保护负责人的要求，处理100万以上个人信息的个人信息处理者应当制定信息保护负责人。《征求意见稿》对大型网络平台的个人信息保护负责人的任职资格和具体职责提出了专门要求。(1)大型网络平台服务从事相关工作5年以上。以由网络数据安全负责人兼任。第五十二条处理个人信息达到国家网信部门规定当指定个人信息保护负责等进行监督。护职责的部门。规审计工作。应当成立主要由外部成员组成的独立机构对个人信息保护合规审计情况进行监督。11.1b)个人信息保护负责人应由具有相关管理工作经历和信息保护专业知识的人员担任。(一)指导大型网络平台动，落实国家网信部门、(二)参与大型网络平台项具有否决权；(三)负责对个人信息处网络平台个人信息处理活当立即采取措施，并向国门报告，涉嫌违法犯罪的应当向公安机关报案；(四)组织制定专门的未成年人个人信息处理规则。个人信息保护负责人可以直接向国家网信部门、有关主管部门报告大型网络平台服务提供者的个人信息保护有关情况。负责对个人信息处理活动以及采取的保护措施等进行监督负责个人信息处理者的个2.组织制定个人信息保护工作计划并督促落实；3.制定、签发、实施、定和相关规程；(包括个人信息的类型、数量、来源、接收方等)和授权访问策略；5.开展个人信息安全影响的对策建议，督促整改安前进行监测，避免未知的享等处理行为；9.进行安全审计；10.与监督、管理部门保况。个人信息保护负责人享有直接报告权，但其角色宜以沟通为主、监督为辅。《征求意见稿》明确，个人信息保护负责人可以直接向国家网信部门、有关主管部门报告大型网络平台服务提供者的个人信息保护有关情况。《征求意见稿》拟作出这样的规定，可能是为了帮助个人信息保护负责人排除内部的干扰或压力，从而更独立地实现对大型网络平台个人信息保护的监督。不过，个人信息保护负责人作为大型网络平台的雇员和高级管理人员，既对个人信息保护工作负责，也应对企业的经营发展负责。个人信息保护负责人作为内部人员更了解企业经营发展模式和个人信息处理活动特点，能够有效地监督个人信息保护工作的正常开展。但是，个人信息保护负责人本身就是企业个人信息保护的“法定代表人”,其履责情况即代表了企业的个人信息保护工作情况。个人信息保护负责人向监管机构报告的内容宜以沟通、咨询为主，寻求监管机构的指导，以在个人信息保护法治建设持续推进的背景下，不断明确具体实施规则，确定合法与违法的边界，促进企业发展和个人信息保护水平的提高。从这个角度看，监管机构实际上应为个人信息保护负责人的外部资源，协助其更好地把握个人信息保护的监管要求，并转化落实为企业的具体实践。当然，如果个人信息保护负责人正常履责受到企业内部的阻碍或干扰，也可以通过报告的手段获得监管力量的帮助。大型网络平台服务提供者不仅要指定个人信息保护负责人，同时也要设置个人信息保护工作机构。个人信息保护负责人在大型网络平台中开展个人信息保护工作，势必需要团队力量的支持。《征求意见稿》拟要求大型网络平台服务提供者明确个人信息保护机构，在个人信息保护负责人领导下开展个人信息保护相关工作(第六条第一款)。就《征求意见稿》的态度来看，鼓励大型网络平台服务提供者设立专门的个人信息保护工作机构(第六条第二款)。这表明，大型网络平台服务提供者应当设置个人信息保护工作机构，但可以根据实际情况，决定设置单独的个人信息保护工作机构，也可以在现有的组织架构中，由特定部门承担个人信息保护工作机构的职责。相较而言，个人信息保护负责人和个人信息保护工作机构的职责相互补充，个人信息保护负责人的职责更为偏向监督和指导，个人信息保护工作机构的职责更为偏向日常保护和具体落实。个人信息保护负责人(第五条第一款)个人信息保护工作机构(第六条第一款)息保护监管要求，配合有关部门开展个人信息保护监督检查；程以及个人信息安全事件应急预案，合理确定并对个人信息处理事项具有否决权；2.(风险治理)组织开展个人信息安全风险监测、风险评估、处置个人信息安全风险和事件；全风险或者存在违法违规情形的，应当立即采取措施，并向国机关报案；的规范和保护个人信息的义务，并对其个人信息处理活动和履行个人信息保护义务情况进行监督；5.(投诉举报)受理并处理个人信息保护投诉、举报；值得注意的是，《征求意见稿》不仅强调大型网络平台服务提供者为个人信息保护负责人、个人信息保护工作机构履行职责提供必要支持(第七条),而且通过报告机制的制度设计，督促企业具体落实。《征求意见稿》第八条要求大型网络平台服务提供者向国家网信部门报告相关信息，其中包括相关基本信息，以及“保障个人信息保护负责人和个人信息保护工作机构履职的措施”。这说明，大型网络平台服务提供者的个人信息保护工作由国家网信办直接监督、管理，也要求大型网络平台服务提供者必须提供足够向国家网信办报告的合理措施，以保障个人信息保护负责人和个人信息保护工作机构履职。(2)个人信息可携权《征求意见稿》首次规定了个人信息可携权的要求，以落实《个人信息保护法》第四十五条第三款的规定。具体包括以下几点：·时限要求。30个工作日内完成，但因请求数量、操作复杂等原因的，可以在合理、必要的情况下再延长30个工作日，同时向个人说明延期原因。·格式要求。必须是通用、机器可读的格式，同时支持通过应用程序接口或者其他标准化技术方式提供转移途径。·成本补偿。个人重复转移个人信息的，大型网络平台服务提供者可以根据转移个人信息的成本收取必要费用。从规定内容来看，《征求意见稿》倾向于鼓励个人信息可携权的实施，而几乎未对个人信息转移设置限制条件，这可能对互联网平台经济产生一定的影响，而这种影响的效果还有待评估，后续可能通过相关网络平台的反馈意见进一步作出判断。(3)个人信息保护合规审计2025年2月14日，国家互联网信息办公室正式发布《个人信息保护合规审计管理办法》及其附件《个人信息保护合规审计指引》,自2025年5月1日起施行。《审计办法》的发布，标志着《个人信息保护法》及《网络数据安全管理条例》所设立的个人信息保护合规审计制度正式进入落地实施阶段。个人信息保护合规审计制度是合规审计制度在数字化时代进行延伸与拓展的必然结果，其核心目的是全面、客观评估企业的个人信息保护合规水平，对个人信息保护合规的监管资源进行有效补充。《征求意见稿》显著提升了大型网络平台个人信息保护合规审计的要求，具体体现为以下几点：·鼓励选聘外部机构。《个人信息保护合规审计管理办法》明确个人信息处理者可以由其内部机构或者委托专业机构开展自行审计，而《征求意见稿》鼓励大型网络平台服务提供者优先选择通过认证的第三方专业机构。·违法举报。《征求意见稿》明确开展个人信息保护合规审计、风险评估等活动的第三方专业机构，可以直接向监管机构报告其发现的个人信息处理活动安全风险及违法违规情形。这从制度设计上似乎存在矛盾之处，大型网络平台选聘第三方机构开展合规审计工作，可能会担心其直接向监管机构报告的风险，而失去了整改的机会和可能，因此可能更倾向于由内部机构开展个人信息保护合规审计工作。但是从更深的角度理解，这种制度设计实际上是希望整体提高大型网络平台的个人信息保护合规水平，企业宜在充分开展个人信息保护合规的基础上，选聘专业第三方机构开展合规审计，从而既能提高个人信息保护水平，也能获得积极的第三方专业机构的审计认可。·强制审计。相较于《个人信息保护合规审计管理办法》,《征求意见稿》增加了两类强制审计的情形，即“多次出现个人信息违规出境等违法违规情形的”和“法律法规和有关主管部门规定的其他情形”。其中，《征求意见稿》再次体现出对大型网络平台个人信息出境的关注，也呼应了其对大型网络平台个人信息出境的严格管理规定。安全措施等较大风险的；措施等情形的；2.个人信息处理活动可能侵害众多个人的权益的；2.多次出现个人信息违规出境等违法违规情形的；3.个人信息处理活动可能侵害众多个人权益的；4.发生个人信息安全事件，导致100万人以上个万人以上敏感个人信息泄露、篡改、丢失、毁损的；·审计配合。在强制审计情形下，相较于《个人信息保护合规审计管理办法》要求个人信息处理者为专业机构正常开展个人信息保护合规审计工作提供必要支持，《征求意见稿》规定得更为细致，要求大型网络平台为第三方专业机构指定人员提供必要的访问大型网络平台网络数据设施、系统及操作日志记录权限等。3.数据安全《征求意见稿》对大型网络平台的数据安全提出了更高要求，具体涉及个人信息出境和数据中心(IDC)。(1)个人信息出境合规《征求意见稿》在措辞上对大型网络平台服务提供者的个人信息出境活动作出了较为严格的规定，与关键信息基础设施运营者的义务相当，即“应当将在中华人民共和国境内运营中收集和产生的个人信息存储在境内”,但是“确需向境外提供的，应当符合国家数据出境安全管理有关规定”(第九条第一款)。就文义而言，该规定原则上拟设置数据本地化的要求，与大型网络平台个人信息保护风险相匹配。结合《征求意见稿》第十条规定，大型网络平台服务提供者还应当将在中华人民共和国境内运营中收集和产生的个人信息存储在设立在中华人民共和国境内的数据中心，这显然提高了大型网络平台个人信息出境的合规义务。这些规定反映了现实情况，掌握较大规模个人信息的企业通常都会选择在境内存储个人信息，同时在满足数据出境安全管理合规义务的基础上开展必要的个人信息出境。整体来看，《征求意见稿》对大型网络平台个人信息出境持严格管理的态度，反映了风险治理的法治思路。不过仅从法理而言，《个人信息保护法》并未规定“原则本地化”的要求，后续《征求意见稿》如何处理法治衔接，给出确定的法治信号，也值得关注。(2)IDC选用及合同要求《征求意见稿》专门就大型网络平台使用IDC服务作出了规定，合规义务较高，具体包括以下几点：·本地化因素。《征求意见稿》要求大型网络平台服务提供者将在中华人民共和国境内运营中收集和产生的个人信息存储在符合条件的数据中心：设立在中华人民共和国境内；主要负责人具有中华人民共和国国籍，无境外永久居留权或者长期居留许可；安全性符合国家有关标准要求。·协助义务。《征求意见稿》规定了IDC协助大型网络平台服务提供者履行个人信息保护义务的要求，具体包括制度规程、漏洞管理、应急响应和报告义务等(第十一条)。值得注意的是，《征求意见稿》对IDC协助义务的规定，在一定程度上与大型网络平台服务提供者的个人信息保护义务有所重合，但是《征求意见稿》并未明确两者如何分配法律责任，以及两者在承担法律责任时应为何种关系，这可能有待后续立法中进一步厘清。·合同约束。《征求意见稿》要求大型网络平台服务提供者委托IDC存储个人信息的，应当签订合同，约定存储地点、规模、种类等，并确定监督权利、提供便利和协助管理等义务(第十二条)。·报送义务。《征求意见稿》要求大型网络平台服务提供者应当向国家网信部门等有关部门报送存储个人信息的数据中心的基本信息，包括管理团队和管理架构、内部个人信息保护管理制度、采取的安全措施、与第三方数据中心签署的合同文本等。同时，相关信息发生变化的，应当自变化之日起10个工作日内报送变更信息。·强制存储。需要注意的是，《征求意见稿》还规定了一种特殊情形，即在强制审计中发现大型网络平台服务提供者无能力保障个人信息安全的，国家网信部门、国务院公安部门和有关主管部门可以要求大型网络平台服务提供者通过签订合同等方式将个人信息存储在符合本规定要求的第三方数据中心(第十七条第三款)。4.网络安全考虑到《网络安全法》刚刚完成修正工作，《征求意见稿》未对网络安全相关内容作出进一步规定，仅原则性要求大型网络