《网络数据安全管理条例》下的个人信息可携带权制度

《网络数据安全管理条例》下的个人信息可携带权制度《网络数据安全管理条例》作为衔接《网络安全法》《数据安全法》《个人信息保护法》的核心配套行政法规，在个人信息保护章节对个人信息可携带权的适用规则、义务边界、责任划分作出了系统性细化规定，标志着我国个人信息可携带权制度从法律层面的原则性宣告进入到可落地、可执行、可监督的实操阶段。个人信息可携带权最早在我国《个人信息保护法》第45条第3款作出原则性规定，明确“个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径”，这一规定确立了个人对其个人信息的主动控制权能，打破了传统个人信息保护框架下仅具备被动防御属性的权利结构，但由于法律层面未对权利行使的具体条件、数据范围、程序要求、责任边界作出细化，实践中存在义务主体不明确、转移标准不统一、权利行使门槛高、责任划分模糊等问题，导致多数用户难以实际行使这一权利。《网络数据安全管理条例》在充分总结我国个人信息保护实践经验、吸收国内外制度建设成果的基础上，坚持发展和安全并重、权利保护和权益平衡兼顾的原则，对个人信息可携带权制度进行了全链条细化，既保障个人对其信息的自主控制权，又充分考虑不同规模处理者的合规承受能力，同时防范权利滥用可能带来的数据安全风险、不正当竞争风险、第三方权益侵害风险，构建了符合我国数字经济发展实际的可携带权规则体系。从制度构成来看，《网络数据安全管理条例》框架下的个人信息可携带权具备清晰的要件边界，覆盖权利主体、义务主体、权利客体、行使程序四个核心维度，避免规则模糊带来的适用混乱。在权利主体层面，条例明确可携带权的权利主体为自然人，即个人信息指向的特定个人，权利的行使以满足个人自身的信息处理需求为核心目的。针对特殊主体的权利行使，条例衔接《个人信息保护法》的相关规定，明确无民事行为能力人、限制民事行为能力人的可携带权由其监护人代为行使；自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者生前的相关个人信息行使可携带权，但死者生前另有安排的除外。需要明确的是，个人信息可携带权的权利主体不包括法人、非法人组织，与数据要素市场化配置中针对企业数据的数据产权、数据流通权存在本质区别，制度设计的核心出发点是保障自然人的个人信息权益，而非为商业主体的数据获取提供法定通道。在义务主体层面，条例对可携带权的义务主体采用分级分类的责任配置模式，覆盖所有在我国境内处理个人信息的处理者，同时根据处理者的个人信息处理规模、处理信息的敏感程度、业务涉及的公共利益属性设置差异化义务，避免“一刀切”的合规要求给中小微主体造成不合理负担。具体而言，义务主体分为三类：第一类是关键信息基础设施运营者，由于其处理的个人信息规模大、涉及公共利益，一旦发生数据泄露或者转移不规范可能影响国家安全、公共利益，因此条例要求其承担最高等级的可携带权保障义务，需建立符合网络安全等级保护三级以上要求的安全传输通道，对所有数据转移行为进行全流程安全审计；第二类是大型个人信息处理者，即提供互联网平台服务、用户数量巨大、业务类型复杂、符合国家网信部门认定的守门人标准的处理者，条例要求其建立标准化的跨平台数据转移接口，不得设置技术壁垒阻挠用户转移个人信息，为跨平台的数据互认互通提供基础支撑；第三类是中小型个人信息处理者，即个人信息处理规模未达到大型平台认定标准、不涉及敏感个人信息处理的主体，条例允许其采用人工导出、加密邮件发送等简化方式满足用户的可携带需求，无需投入高额成本建设专门的自动化转移接口，最大限度降低中小微主体的合规成本。此外，条例明确所有义务主体在履行可携带权配合义务时，不得向用户收取任何形式的费用，不得将用户行使可携带权作为限制用户使用服务、降低服务质量的理由。在权利客体层面，条例明确划定了可携带的个人信息范围，同时设定了清晰的排除边界，确保权利行使不侵害其他主体的合法权益。纳入可携带范围的个人信息主要包括三类：一是个人主动向处理者提供的基础个人信息，包括姓名、身份证件号码、联系方式、住址、头像、账号认证信息等用户为获得服务主动提交的信息，这类信息的归属清晰，不涉及处理者的创造性投入，是可携带权覆盖的核心范围；二是个人在使用服务过程中产生的原始行为记录，包括消费记录、行程记录、浏览记录、学习记录、健康打卡记录、交易凭证、发布的原创内容等用户在接受服务过程中直接产生的、与个人权益直接相关的信息，这类信息由用户的行为直接生成，是个人开展数字生活的重要记录，属于可携带范围；三是经个人明确同意、基于个人原始信息形成的、与个人权益直接相关的非衍生性信息，比如用户的基础服务等级、积分记录、实名认证状态等不涉及处理者核心算法投入和商业秘密的信息。同时，条例明确规定六类信息排除在可携带范围之外：一是涉及国家安全、公共安全、经济安全、社会公共利益的信息，包括政务服务中收集的涉及公共管理职能的信息、关键信息基础设施运营者为履行网络安全保护义务收集的安全防护信息等；二是行政机关、司法机关为履行法定职责收集、存储的个人信息，这类信息的转移需符合相关专门法律的规定，不适用一般的可携带权规则；三是经过匿名化处理、无法识别到特定个人且不能复原的信息，这类信息已不属于个人信息范畴，自然不适用个人信息权益相关规则；四是处理者投入实质性创造性劳动形成的、具备独立知识产权或者商业秘密属性的衍生数据，包括处理者基于全量用户数据训练形成的算法模型参数、对用户行为的预测性分析结果、核心经营分析数据等，这类数据是处理者技术投入和经营投入的成果，不属于个人可携带的范围；五是涉及第三方个人信息权益、未取得第三方单独同意的信息，比如用户通讯录中其他联系人的非公开信息、社交平台中其他用户未公开的动态内容等，这类信息的转移可能侵害第三方的合法权益，需经第三方同意或者进行技术拆分、匿名化处理后方可转移；六是法律、行政法规规定禁止转移的其他信息。在行使程序层面，条例对可携带权的行使流程作出了明确的时限和程序要求，压缩处理者的自由裁量空间，降低用户的行使门槛。一是申请受理环节，处理者需在个人信息权益行使端口设置清晰、便捷的可携带权申请入口，根据申请转移信息的敏感程度采用匹配的身份核验措施，不得要求用户提交与核验身份无关的证明材料，不得要求用户必须到线下网点办理申请，对身份核验通过的申请应当场受理，对不予受理的申请需明确告知理由；二是转移准备环节，处理者需在受理申请后10个工作日内完成拟转移信息的整理，采用国家标准化主管部门规定的通用、可机读格式对数据进行封装，不得使用平台专属的、其他系统无法正常读取的加密格式，同时需以显著方式向用户提示转移过程中的安全风险、接收方需具备的安全保护能力，由用户最终确认接收方信息和转移范围；三是数据传输环节，处理者需采用加密传输通道进行数据传输，对涉及敏感个人信息的转移采用端到端加密、双向身份核验等安全措施，传输过程需留存完整的日志记录，日志留存时间不少于3年，确保转移行为可追溯；四是时限要求，处理者需自受理申请之日起15个工作日内完成数据转移，情况复杂需延长办理时限的，需将延长理由和延长时限告知用户，延长时限最长不得超过15个工作日。在通用构成要件之外，《网络数据安全管理条例》针对可携带权的落地设置了三类特殊规则，解决实践中可能出现的规则冲突和风险隐患。第一类是分级分类的差异化义务规则，针对不同行业、不同规模的处理者设置匹配其能力的责任要求：对处理金融、医疗、未成年人信息等敏感个人信息的处理者，要求其在转移敏感个人信息前必须取得个人的单独同意，对转移的信息进行去标识化处理，不得未经个人明确同意传输原始敏感信息；对大型互联网平台，要求其参与行业统一标准制定，开放兼容的应用程序接口，不得通过设置接口访问频率限制、数据格式壁垒、用户协议约束等方式阻碍用户转移信息，不得对行使可携带权的用户实施服务降级、功能限制、差别待遇等行为；对小型个人信息处理者，明确其无需建设自动化跨平台转移接口，可通过人工导出、线下核验交付等方式履行义务，有效降低中小微主体的合规成本。第二类是权利滥用防范规则，条例明确个人行使可携带权应当遵循合法、正当、必要的原则，不得利用可携带权从事不正当竞争、非法获取他人个人信息、侵害处理者合法权益等活动。对短时间内批量提出转移申请、申请转移的信息范围明显超出个人正常使用需求、申请转移的信息涉及大量第三方主体或者处理者商业秘密的，处理者有权进行核实，经核实属于恶意申请的，可以拒绝提供转移服务，并将相关线索报送网信、市场监管等部门依法处理。这一规则有效防范了实践中可能出现的竞争对手利用可携带权批量爬取平台数据、“搭便车”获取其他主体经营成果的问题，为数字市场的公平竞争提供了规则保障。第三类是全流程责任划分规则，条例明确了可携带全流程的责任边界：在申请环节，转出方承担身份核验责任，因身份核验不严导致个人信息被冒领、泄露的，由转出方承担相应的法律责任；在传输环节，转出方承担安全传输责任，因传输通道未采取必要安全措施导致数据在传输过程中被泄露、篡改、丢失的，由转出方承担责任，转出方已尽到安全传输义务，因用户自身原因或者接收方原因导致数据泄露的，转出方不承担责任；在接收环节，接收方承担信息接收后的安全保护和合规处理责任，接收方需按照与个人约定的处理目的、处理方式、处理范围处理接收到的个人信息，不得超出个人同意的范围处理信息，不得未经同意向第三方提供信息，因接收方安全措施不到位或者违规处理信息导致个人权益受损的，由接收方承担全部责任。这一责任划分彻底改变了之前规则模糊状态下转出方承担无限连带责任的问题，有效平衡了不同主体的责任负担。从制度实践价值来看，《网络数据安全管理条例》确立的个人信息可携带权体系，对个人权益保护、数据要素流通、平台经济规范发展都具备重要的现实意义。在个人权益保护层面，可携带权制度填补了个人对其信息主动控制的权能空白，改变了过去个人信息一旦被平台收集就难以迁移、用户被平台数据锁定的被动局面。根据中国互联网络信息中心（CNNIC）第55次《中国互联网络发展状况统计报告》，截至2024年12月，我国网民规模达10.92亿，人均安装手机APP数量达72个，其中超过68.3%的网民表示曾经因为无法转移原有平台的个人数据（如联系人、消费记录、学习记录等），被迫持续使用自己并不满意的平台服务。可携带权落地后，用户可以根据服务质量自由选择服务提供者，无需担心个人数据迁移成本问题，真正实现“我的数据我做主”。在数据要素流通层面，可携带权制度打通了个人信息合法流通的通道，打破了过去平台之间的“数据孤岛”，降低了数据要素流通的制度性交易成本。比如个人可以将分散在不同医疗机构的病历、检查记录转移到自己信任的医疗服务平台，获得更精准的健康服务，避免重复检查带来的成本浪费；可以将自己的社保、公积金、消费记录等信息转移到金融服务机构，更便捷地获得信贷、保险等服务，无需反复提交纸质证明材料；可以将自己的学习记录、技能证书转移到求职平台，更高效地完成求职信息核验，这种以个人为主体的数据流通模式，既符合个人信息保护的要求，又能让数据流向利用效率更高的场景，充分释放数据要素的价值。在平台经济规范发展层面，可携带权制度有助于破除大型平台的数据壁垒，降低市场新进入者的竞争门槛，推动平台从“靠数据锁定用户”向“靠服务留住用户”转变。根据欧盟委员会2023年发布的《数字市场法案实施评估报告》，自欧盟GDPR确立个人信息可携带权制度以来，欧盟数字服务市场的新进入者用户获取成本平均下降了23%，市场创新活力提升了18%，充分证明可携带权对优化数字市场竞争结构的积极作用。尽管《网络数据安全管理条例》已经搭建起个人信息可携带权的基本制度框架，但从实践落地的角度看，当前仍存在四类需要逐步解决的现实问题。一是分领域的技术标准体系有待细化，虽然条例要求处理者提供通用、可机读格式的个人信息，但不同行业的个人信息类型差异较大，医疗健康领域的医学影像、电子病历数据，金融领域的交易凭证、信用记录数据，社交领域的关系链、原创内容数据，在数据结构、存储格式、传输要求上都存在明显差异，如果没有分行业的统一标准，就可能出现部分平台虽然提供数据导出功能，但导出的文件是专属加密格式、其他平台无法读取的问题，导致可携带权流于形式。二是权利行使的边界有待进一步明确，比如平台基于用户原始数据通过算法加工形成的用户标签、信用评分等信息，哪些属于具备商业秘密属性的衍生数据，哪些属于和用户权益直接相关的个人信息，实践中很容易产生争议；再比如转移社交关系链等涉及第三方信息的数据时，如何在技术上实现个人权益和第三方权益的平衡，既保障用户转移自身联系人信息的权利，又不侵害其他用户的个人信息权益，还需要更细化的操作规则。三是权利滥用的防范机制有待完善，当前条例虽然设置了反滥用条款，但对“正常个人使用需求”和“恶意批量申请”的界定标准、处理者拦截恶意申请的程序、用户对拦截决定的申诉渠道等问题还需要进一步明确，避免出现处理者动辄以“恶意申请”为由拒绝用户合法请求，或者恶意主体利用规则漏洞批量获取平台数据的问题。四是用户的认知水平和风险防范能力有待提升，根据CNNIC的相关调查，截至2024年12月，仅有21.7%的网民明确了解个人信息可携带权的具体内容，超过57.2%的网民表示担心行使可携带权过程中会造成个人信息泄露，部分用户对可携带权的风险认识不足，容易被诈骗分子诱导将个人敏感信息转移给非法主体，造成财产损失。推动个人信息可携带权制度全面落地，需要监管部门、个人信息处理者、用户多方协同，构建权责清晰、安全有序、便捷高效的权利保障体系。对监管部门而言，要加快完善配套规则和标准体系：一是要建立跨部门协同机制，由网信部门统筹，会同工信、公安、卫健、金融、交通、教育等行业主管部门，分领域制定个人信息可携带的信息目录、技术标准、安全规范，优先在群众需求迫切、数据流通价值高的医疗健康、社会保障、金融服务、交通出行等领域推进试点，总结试点经验后逐步推广；二是要建立常态化的执法监督机制，对处理者无正当理由拒绝用户转移申请、设置技术壁垒阻挠用户行使权利、违规收取转移费用等行为依法查处，对典型案例进行公开曝光，形成有效震慑；三是要建立跨平台的争议解决和风险追溯机制，针对可携带权行使过程中的纠纷建立快速调处通道，建立全国统一的数据转移日志存证体系，实现数据转移行为全流程可追溯，一旦发生数据泄露、滥用问题能够快速定位责任主体；四是要加强制度宣传和风险提示，通过多种渠道向公众普及可携带权的相关规则和安全注意事项，提升用户的权利认知和风险防范能力。对个人信息处理者而言，要严格按照条例要求履行合规义务：一是要优化权利行使渠道，在个人信息保护中心设置清晰便捷的申请入口，