2025年11月22日，國家互聯(lián)網(wǎng)信息辦公室、公安部發(fā)布了《大型網(wǎng)絡(luò)平臺個人信息保護規(guī)定（征求意見稿）》（以下簡稱《征求意見稿》），旨在幫助具有海量用戶和對全局有系統(tǒng)性影響的大型網(wǎng)絡(luò)平臺，進一步提升個人信息保護能力。該規(guī)定以強化平臺能力建設(shè)為主線，從平臺識別、專職負責(zé)人和組織保障、數(shù)據(jù)中心能力要求、數(shù)據(jù)跨境流動與數(shù)據(jù)可攜權(quán)，以及必要時引入第三方數(shù)據(jù)中心托管等方面，構(gòu)建了可問責(zé)、可驗證、可托底的個人信息保護框架。
這一監(jiān)管路徑的邏輯在于：通過明確制定發(fā)布大型網(wǎng)絡(luò)平臺目錄、確保平臺內(nèi)部建立完善的合規(guī)體系并接受外部監(jiān)督、強化技術(shù)和基礎(chǔ)設(shè)施保障、賦予用戶對數(shù)據(jù)遷移和流動的權(quán)利，同時預(yù)設(shè)當(dāng)平臺自身能力不足或出現(xiàn)重大風(fēng)險時的外部介入機制，從而全面提升個人信息保護水平。本文對《征求意見稿》所規(guī)定的五個關(guān)鍵制度設(shè)計，分析其科學(xué)性和必要性，并結(jié)合歐盟、美國等相關(guān)制度進行比較論證。
一、大型平臺認定：細化明確系統(tǒng)性外部性平臺義務(wù)標(biāo)準
《征求意見稿》通過“雙重標(biāo)準”，即明確的用戶數(shù)量閾值（如注冊用戶5000萬以上、月活躍用戶1000萬以上）和服務(wù)性質(zhì)（涉及重要網(wǎng)絡(luò)服務(wù)、可能影響公共利益或國家安全），精準識別具有系統(tǒng)性影響和高風(fēng)險的平臺（第三條）。這一方式兼顧了可操作性和風(fēng)險精準度，避免了監(jiān)管的泛化與資源浪費。國際經(jīng)驗表明，歐盟《數(shù)字服務(wù)法》亦采用類似標(biāo)準，將月活躍用戶超過4500萬的平臺認定為超大型在線平臺，實施更嚴格的風(fēng)險評估、外部審計和數(shù)據(jù)共享義務(wù)。歐盟強調(diào)，此舉正因大型平臺對社會治理和公共利益的系統(tǒng)性外部性風(fēng)險顯著，必須通過高透明度和嚴監(jiān)管加以控制。此外，美國學(xué)界也提出對具有重大社會影響的科技平臺采用類似公共事業(yè)監(jiān)管理念，強化其社會責(zé)任和外部監(jiān)督?！墩髑笠庖姼濉匪O(shè)定的精準識別機制與國際監(jiān)管實踐高度一致，不僅提高了監(jiān)管透明度與可預(yù)測性，也確保了監(jiān)管資源的有效配置，實現(xiàn)了公共利益保護和風(fēng)險精準管理的有機統(tǒng)一。
二、個人信息保護負責(zé)人制度及專門機構(gòu)：責(zé)任落實與組織保障
《征求意見稿》明確規(guī)定大型平臺須設(shè)立高層級個人信息保護負責(zé)人，負責(zé)參與重大決策、統(tǒng)籌制度建設(shè)與風(fēng)險評估、監(jiān)督投訴處理并組織制定專門的未成年人個人信息處理規(guī)則（第五條）。同時，要求配備專門的個人信息保護工作機構(gòu)，并為其提供必要的經(jīng)費、人員與技術(shù)工具等組織保障（第六條、第七條）。此外，針對負責(zé)人與機構(gòu)信息的變更，要求平臺在20個工作日內(nèi)向監(jiān)管部門進行報備（第八條）。這一制度設(shè)計體現(xiàn)了“責(zé)任到人”與“組織保障”相結(jié)合的監(jiān)管思路，確保個人信息保護義務(wù)在企業(yè)內(nèi)部真正落地執(zhí)行。
從國際經(jīng)驗看，歐盟《通用數(shù)據(jù)保護條例》早已明確要求在處理高風(fēng)險個人數(shù)據(jù)場景下設(shè)立數(shù)據(jù)保護官，并強調(diào)其職能獨立性及直接向企業(yè)最高管理層匯報，以保證其合規(guī)監(jiān)督的有效性。歐盟《數(shù)字服務(wù)法》則要求超大型平臺建立專門的獨立合規(guī)部門，定期接受外部獨立審計，通過內(nèi)部責(zé)任落實與外部審計形成持續(xù)有效的問責(zé)鏈條。歐盟的思路在于，由于數(shù)字平臺生態(tài)的復(fù)雜性，僅靠企業(yè)自律已難以保障合規(guī)，必須通過內(nèi)嵌于企業(yè)組織結(jié)構(gòu)的合規(guī)制度以及外部透明審計，形成可信的治理機制。
由此可見，《征求意見稿》所提出的個人信息保護負責(zé)人與專門機構(gòu)制度，符合國際監(jiān)管趨勢，將抽象的合規(guī)要求轉(zhuǎn)化為平臺企業(yè)內(nèi)部的明確職責(zé)與具體執(zhí)行能力，形成了內(nèi)外雙重約束與治理閉環(huán)，極大提升了個人信息保護制度的可操作性和執(zhí)行力。
三、數(shù)據(jù)中心能力建設(shè)與平臺主動報告義務(wù)：夯實基礎(chǔ)設(shè)施合規(guī)與可監(jiān)管性
大型平臺由于處理海量個人信息，必須在技術(shù)和基礎(chǔ)設(shè)施上具備足夠的安全管理能力。《征求意見稿》將大型平臺數(shù)據(jù)中心能力建設(shè)與主動報告義務(wù)結(jié)合設(shè)計，落實《個人信息保護法》要求，強調(diào)平臺必須將在境內(nèi)收集和產(chǎn)生的個人信息存儲在境內(nèi)（第九條），并建立完善的數(shù)據(jù)管理和技術(shù)安全規(guī)范體系，同時要求對重大風(fēng)險或系統(tǒng)變更及時處置并向監(jiān)管部門報告（第十條、第十三條）。這種“基礎(chǔ)設(shè)施合規(guī)”與“可監(jiān)管性”相結(jié)合的設(shè)計，突出了對平臺數(shù)據(jù)安全能力的事前建設(shè)與事中事后的透明監(jiān)督，確保合規(guī)能力真正可驗證、可考核，而非流于形式。
從國際實踐來看，歐盟《數(shù)字服務(wù)法》要求超大型平臺每年必須進行獨立外部審計，并向監(jiān)管機構(gòu)與獨立研究者開放數(shù)據(jù)，以確保平臺合規(guī)措施的持續(xù)可見性。此外，歐盟《網(wǎng)絡(luò)和信息系統(tǒng)指令2》更是明確要求成員國對數(shù)據(jù)中心、云服務(wù)等關(guān)鍵數(shù)字基礎(chǔ)設(shè)施實施嚴格的安全風(fēng)險管理、通報機制和現(xiàn)場審計檢查，以確保其安全性與可靠性。因此，歐盟的路徑是《數(shù)字市場法》與《數(shù)字服務(wù)法》的監(jiān)管側(cè)重于平臺“無形”層面，而對數(shù)據(jù)中心這類“有形”基礎(chǔ)設(shè)施的監(jiān)管，則由《網(wǎng)絡(luò)和信息系統(tǒng)指令2》及各成員國法規(guī)起到重要的補充作用。
《征求意見稿》將數(shù)據(jù)中心的安全能力建設(shè)與主動報告緊密結(jié)合，與歐盟“審計+報告+現(xiàn)場檢查”的監(jiān)管邏輯高度一致，不僅顯著提升了監(jiān)管的可操作性，也順應(yīng)了全球?qū)?shù)字基礎(chǔ)設(shè)施監(jiān)管日益強化的趨勢。這種制度設(shè)計，有效強化了對個人信息安全的整體保障能力。
四、數(shù)據(jù)可攜：用戶賦權(quán)、平臺互通與風(fēng)險管控
《征求意見稿》第十四條明確規(guī)定，大型網(wǎng)絡(luò)平臺應(yīng)保障用戶可便捷地轉(zhuǎn)移個人信息，并對轉(zhuǎn)移請求設(shè)定了明確的受理時限和服務(wù)標(biāo)準，如要求“30個工作日內(nèi)答復(fù)與處理”，確保用戶權(quán)利的落實具備明確的可操作性和可核查性。這種安排不僅從抽象權(quán)利宣示轉(zhuǎn)化為可執(zhí)行的服務(wù)承諾，更通過服務(wù)時限、流程和標(biāo)準的明確規(guī)范，增強了用戶對個人信息的自主控制力，降低了用戶對特定平臺的依賴程度。
從國際監(jiān)管經(jīng)驗來看，歐盟《通用數(shù)據(jù)保護條例》第二十條也確立了類似的個人數(shù)據(jù)可攜權(quán)，明確要求數(shù)據(jù)控制者需以結(jié)構(gòu)化、機器可讀的方式向用戶提供其個人信息，以方便用戶自由遷移到其他平臺。此外，歐盟《數(shù)字市場法》第6（9）條更進一步強化對“守門人”平臺的數(shù)據(jù)可攜要求，要求其提供高質(zhì)量、持續(xù)且實時的數(shù)據(jù)遷移服務(wù)，并積極鼓勵第三方直接接入，目的是減少平臺的鎖定效應(yīng)，促進數(shù)字市場競爭與用戶的自由選擇權(quán)。
歐盟的實踐表明，數(shù)據(jù)可攜權(quán)與平臺互操作性已成為現(xiàn)代“公共事業(yè)式”監(jiān)管的關(guān)鍵工具，能夠有效改善市場的進入條件，打破數(shù)據(jù)孤島局面，增強用戶對個人信息的控制力和選擇權(quán)。因此，《征求意見稿》強調(diào)數(shù)據(jù)遷移的便利性和時效性，充分體現(xiàn)了“用戶賦權(quán)”與“市場競爭”的監(jiān)管邏輯，與國際先進的監(jiān)管理念高度一致。
五、托底機制：第三方數(shù)據(jù)中心存儲的外部保障
《征求意見稿》第十七條明確規(guī)定，當(dāng)大型網(wǎng)絡(luò)平臺出現(xiàn)重大安全風(fēng)險、嚴重數(shù)據(jù)事故或執(zhí)法發(fā)現(xiàn)系統(tǒng)性缺陷等極端情形，且平臺自身能力不足以保障個人信息安全時，監(jiān)管機關(guān)有權(quán)要求平臺將個人信息轉(zhuǎn)移至符合條件的第三方數(shù)據(jù)中心進行存儲和管理。這一安排旨在建立一種“托底機制”，提供關(guān)鍵時刻的結(jié)構(gòu)性矯正與應(yīng)急接管能力，有效防范因平臺技術(shù)或管理能力不足而引發(fā)的個人信息安全風(fēng)險擴散和失控。
這種機制在國際監(jiān)管實踐中具有顯著的理論和制度基礎(chǔ)。盡管歐盟《數(shù)字服務(wù)法》和《數(shù)字市場法》未明確規(guī)定“強制第三方托管”，但其制度設(shè)計包括限制令、暫停數(shù)據(jù)處理、外部獨立審計與數(shù)據(jù)開放共享等多種外部矯正措施，實質(zhì)上與第三方可信托管的理念相似。此外，歐美學(xué)界近年來將大型網(wǎng)絡(luò)平臺視為“新公共事業(yè)”的重要信息基礎(chǔ)設(shè)施，強調(diào)其對社會穩(wěn)定、連續(xù)性和公共利益的重要意義，提出在必要情形下應(yīng)采取結(jié)構(gòu)性手段介入，以確保平臺生態(tài)穩(wěn)定運行并防范系統(tǒng)性風(fēng)險。
因此，《征求意見稿》所引入的第三方數(shù)據(jù)中心托底機制，是針對高風(fēng)險場景的一種必要的工程化風(fēng)險管控與應(yīng)急保障措施。這種機制強調(diào)了個人信息保護的連續(xù)性與韌性，將抽象的制度要求轉(zhuǎn)化為具體的應(yīng)對能力，確保在關(guān)鍵時刻平臺個人信息的安全性與合規(guī)性。這種制度設(shè)計不僅與國際主流的監(jiān)管思路保持一致，更為高風(fēng)險平臺提供了明確、可驗證且可實際操作的保障方案，體現(xiàn)出高度的監(jiān)管科學(xué)性和制度正當(dāng)性。
綜上，《大型網(wǎng)絡(luò)平臺個人信息保護規(guī)定（征求意見稿）》通過上述五方面的制度設(shè)計，勾勒出我國個人信息保護監(jiān)管的新思路：強調(diào)平臺主體責(zé)任和能力提升，同時借鑒國際經(jīng)驗強化透明度和外部監(jiān)督，并設(shè)置極端情況下保護用戶權(quán)益的安全網(wǎng)。這一套框架既具有務(wù)實的制度邏輯，又體現(xiàn)了前瞻性的監(jiān)管理念。對于監(jiān)管部門而言，該規(guī)定提供了操作性強的工具箱，使對大型平臺的監(jiān)管“有據(jù)可依、有力可使”。對于企業(yè)而言，新要求倒逼其加強合規(guī)投入，提升數(shù)據(jù)治理水平，在國內(nèi)國際雙重標(biāo)準下贏得用戶信任。對于學(xué)界和公共政策制定者而言，這一探索也提供了可資借鑒的“中國方案”，印證了在數(shù)字時代如何通過綜合治理來有效平衡個人信息保護與數(shù)字經(jīng)濟創(chuàng)新發(fā)展的命題。（作者：洪延青，北京理工大學(xué)法學(xué)院教授）
