个人信息保护分层治理体系迎来制度完善

　　早上点外卖，APP强行索要通讯录权限；午休时刷短视频，算法精准推送和朋友闲聊时提及的商品；想要注销闲置账号，在设置页面反复翻找十几分钟仍无处下手……这些熟悉的“数字困扰”，可能即将迎来系统性改变。

　　近日，国家网信办就《大型个人信息处理者个人信息保护规定（征求意见稿）》向社会公开征求意见。此前，国家网信办、公安部联合公布《小型个人信息处理者个人信息保护简化措施规定》，其中明确，处理不满10万人个人信息的机构可适用简化合规要求。一“简”一“严”，一“放”一“管”，中国个人信息保护的分层治理拼图正在完整拼接。

　　监管范围的一次范式跃迁

　　征求意见稿对大型个人信息处理者的认定，应当综合考虑下列条件：处理1000万人以上自然人个人信息；提供涉及个人信息处理的重要网络服务，或者经营范围涵盖多种业务且涉及个人信息处理；个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等具有重要影响。

　　工业和信息化部信息通信经济专家委员会委员盘和林举例：微信月活跃账户已达14.32亿户，支付宝用户超过10亿户，腾讯、蚂蚁属于大型个人信息处理者；淘宝、拼多多、京东、美团、滴滴、携程等电商和生活服务平台，抖音、快手、微博、小红书、B站等内容平台，OPPO、vivo、荣耀、小米等智能终端厂商，DeepSeek、MiniMax、Kimi等AI大模型服务商，大型银行和电信运营商，均在此列。

　　值得注意的是，认定并非只看用户数量。盘和林指出，即使未达到1000万的定量门槛，若业务涉及关键信息基础设施、提供基础性网络服务，或对国家安全、经济运行等具有重要影响，也可能被定性纳入。这种“定量+定性”的双重原则，体现了监管“比例原则”与“风险分级”的治理思路——监管资源永远有限，将重心聚焦于处理海量个人信息、社会影响面广的大型处理者，能够以最高效率防范系统性风险。

　　中国社会科学院法学研究所研究员周汉华此前曾指出，我国《中华人民共和国个人信息保护法》第五十八条对“守门人直接义务”的规定只有两项，“本身内容比较原则，刚性不强”，只能称为“半个守门人条款”。而此次征求意见稿从认定标准、处理规则、内部义务、监督委员会到法律责任进行了系统细化，填补了原有法律规则的落地空白。

　　给数据权力装上制度“刹车片”

　　征求意见稿中最引人注目的条款之一，是“大型个人信息处理者收集个人信息，应当坚持最小必要原则，限于提供产品或者服务所必需，不得过度收集个人信息”。这一原则如何落地？盘和林认为，一是建立“功能服务—个人信息”映射清单，外卖平台可以收集送餐地址，但无权要求开放通讯录；修图软件需要读取相册，但不需要获取位置信息。二是控制数据调用权限和频率，工作人员数据访问实行最小权限，操作记录至少保存6个月。三是对SDK与第三方组件进行穿透管理，要求以结构化清单列明嵌入的SDK名称、版本、运营者及收集个人信息的种类，堵住“暗度陈仓”式收集的漏洞。

　　如果说“最小必要”是对数据处理行为的约束，那么“个人信息保护监督委员会”则是对企业内部治理结构的再造。征求意见稿规定，大型个人信息处理者应当自被认定之日起6个月内成立主要由外部成员组成的监督委员会，“成员不少于7名，外部成员占比不低于三分之二”，负责人须由外部成员担任且具备高级合规审计人员能力。

　　盘和林分析，这一设计与企业内部部门存在本质区别：外部成员本人及直系亲属不得在企业及其子公司任职，不得直接或间接持有企业已发行股份1％以上，不得为企业及其关联企业提供财务、法律、咨询、审计等专业服务——从制度上切断了利益纽带。监督委员会至少每6个月召开一次定期会议，有证据证明存在违法情形的，经三分之一以上成员提议可召开临时会议；监督意见须取得全体成员三分之二以上同意方可形成，企业董事会无正当理由不予处理的，监督委员会可以向省级网信部门报告。这意味着外部监督机构不仅有“发声权”，还有“上报权”。

　　普通用户会感受到什么变化？

　　对于不读法律条文的普通用户而言，这部规定若落地，将带来可感知的改变。

　　首先是“信息收集清单”更加透明可读。征求意见稿要求，以结构化清单形式列明每项功能服务收集使用个人信息的目的、方式、种类，调用权限名称、频率，收集使用敏感个人信息的必要性以及对个人权益的影响。未来打开APP，用户将一目了然：这个功能为什么需要我的位置，那个权限调用频率是多少。

　　其次，“个性化推荐”可以一键关闭。征求意见稿明确要求“设置易于理解、便于访问和操作的个性化推荐关闭选项”，用户选择关闭后，企业应当停止将相关个人信息用于个性化推荐目的，并为用户提供删除针对其个人特征的用户标签等功能。

　　再次，“个人信息转移”变得可操作。对符合《网络数据安全管理条例》第二十五条规定条件的个人信息转移请求，大型个人信息处理者应当自完成个人身份验证和请求验证后30个工作日内采取通用或者机器可读的格式转移个人信息，并以邮件、电话、短信等方式告知个人处理结果。这意味着用户可以要求平台将自己的数据“打包”转移至新平台，降低换平台成本。

　　最后，“删除权”有了明确的时间约束。个人请求删除个人信息的，大型个人信息处理者应当及时删除；确有理由不能删除的，应当在15个工作日内答复。

　　此外，便捷的撤回同意方式、不超过15个工作日的投诉举报响应时限等条款，都在将个人信息权利从“纸面权利”转化为“可执行权利”。

　　数字中国建设持续深化的背景下，平衡产业创新发展与个人信息安全保护，是监管机构、互联网企业共同面对的核心课题。而对于每一个普通用户来说，一个更透明、更可控、更安全的数字生活，或许正从这份征求意见稿开始，从纸面走向现实。

来源：人民邮电报