21世紀經濟報道記者 王俊 見習記者 鐘雨欣 北京報道

編者按：作為中國首部專門個人信息保護的專門性法律，個人信息保護法千呼萬喚始出來。頒布一年后，個人信息保護法給企業運營、社會公眾帶來了哪些影響，仍有哪些地方需要完善改進？21世紀經濟報道-南財合規科技研究院長期關注個人信息保護議題，持續跟蹤報道立法進程、監管動態、公眾呼聲。在個保法即將實施一周年之際，拋出備受關注的關鍵話題，以期能引來更多的探討，推動這部法律的實施。

(相關資料圖)

每天，有1/3的人類線上行為都要受到Meta平臺政策的約束。

2022年一季度，Meta旗下的社交軟件Facebook、Instagram、Messenger、WhatsApp等每日平均活躍人數（DAU）為28.7億人，超過世界人口的1/3；其中，僅Facebook的DAU就高達19.6億人。

這或是數字經濟時代的一種“等價交換”——作為買方的用戶通過讓渡部分“自由”來與平臺交換“便利”。

賣方的“Meta”們，掌握著海量用戶數據支配權以及平臺規則制定權，因此被要求承擔“守門人”的義務。

在大洋彼岸如此，在中國也是如此。

2021年8月，中國《個人信息保護法》創設性提出了“守門人”條款。但一年過去，中國的“守門人”制度似乎仍呈現一定程度的“水土不服”。

誰來“守門”？

“數字守門人”，常被解釋為看門人、關守、網守、守望者等，在互聯網領域，泛指守衛網絡入口的人和控制訪問的人。

坐擁龐大用戶數量以及絕對技術與數據優勢的平臺巨頭，掌管著人們進入互聯網世界的信息入口，形塑公眾的行為習慣，也改變著數字經濟社會秩序，逐漸構建起自身的數字王國。

素來警覺的歐洲大陸，對于平臺巨頭的支配力量日漸敏感，就此掀起對監管風暴，并經數年探討將“數字守門人”引入立法。

2021年8月20日，中國《個人信息保護法》頒布，創設性提出了“守門人”條款，在58條以4個款項200余字，規定了“守門人”平臺需承擔的義務與責任，以期抓住個人信息保護的關鍵和核心環節。

不過，歐盟的數字守門人是基于競爭法或者管制角度設計，移植到個人信息保護領域是否能發揮其作用？在個人信息保護領域，哪些平臺企業會被納入“守門人”，他們將如何在實踐中踐行法律規定？原則性條款如何落地？個人信息保護與反壟斷在數字經濟領域的競合關系日趨明顯，該如何平衡，怎么避免“責任”的濫用？

這一系列的問題決定著“守門人”制度能否在實踐中展現自身的生命力。

個人信息是數字時代的原材料，其疊加累積形成的大數據，是平臺企業競爭的關鍵，可以幫助企業預測、營銷、決策、發展、競爭。所謂的流量爭奪，背后是用戶以及用戶個人信息的爭奪之戰。

有爭奪便會有損害，違法違規或過度收集個人信息、濫用個人信息情況伴生。中國社會科學院法學研究所副所長、中國法學會網絡與信息法學研究會負責人周漢華表示，互聯網平臺對于促進數字經濟發展發揮著重要作用，但隨著互聯網平臺企業的壯大，逐漸出現了一些超級平臺利用數據優勢阻礙競爭、侵害用戶權益等現象，加強對互聯網平臺特別是超級平臺的治理已經成為全球共識。這種情況下，《個人信息保護法》加入“守門人”條款是有必要的。

中國人民大學法學院教授張新寶主張強化大型互聯網平臺的個人信息保護義務，抓住互聯網治理的關鍵和核心環節，就此引入“守門人”概念，被納入《個人信息保護法》。《個人信息保護法》第五十八條對“提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者”課以特別義務。

然而，誰來“守門”？目前仍缺乏“考量”標準，“用戶數量巨大”、“業務類型復雜”該如何理解？

張新寶認為，大型互聯網平臺企業是指控制著商業用戶（個人信息處理者）觸達終端用戶（個人信息主體）的主要渠道、用戶規模大、計算能力強且產業覆蓋面廣的互聯網平臺經營者。

在他看來，“守門人”應包括移動終端操作系統、應用程序分發平臺和平臺型App。他特別指出，“守門人”條款規定的是平臺而不是公司，不是以法人獨立的單位劃分的，而是以平臺劃分的。大型互聯網平臺企業可能是幾家獨立的公司，但只要處于一個平臺就屬于規定范疇內。

參考《互聯網平臺分類分級指南（征求意見稿）》對平臺的劃分方式，張新寶表示，《個人信息保護法》第58條“大型互聯網平臺企業”應對標超級平臺經營者與大型平臺經營者。“因為超大平臺只有幾個，只規制超大平臺，那法律條文便失去意義。《指南》里提到的大型平臺也應屬于第58條的規定范疇。接下來可以再繼續制定實施細則，或者通過法院的案件審判來明確具體裁量標準。”

不過，個人信息保護領域中的“守門人”如何與競爭法視角下的“守門人”融合、平衡，側重點是否應有不同？如何劃定范圍？目前來看，“守門人”制度的第一關，“誰來守門”仍未確切定論。

“守門人”難當

執行難是制度落地的第二個關卡。

首先的考驗來自標新立異的法律規定。《個人信息保護法》第58條第一款規定，“守門人”平臺應當按照國家規定建立健全個人信息保護合規制度體系，成立主要由外部成員組成的獨立機構對個人信息保護情況進行監督。

這個規定讓不少互聯網平臺望而卻步。面對全新的事物，除騰訊、攜程發布了相關招募啟事外，大型平臺企業都保持沉默。

南方財經合規科技研究院院長虞偉曾指出，國內相關法律法規中尚未出現過類似提法，甚至在隱私保護最為嚴格的歐洲，都未有過針對企業個人信息保護設立外部獨立監督機構的先例。

攜程方面向21世紀經濟報道記者表示，組建外部監督專家團是希望能通過引入第三方獨立機構監督和評估產品或服務，提出意見建議，從而進一步完善個人信息保護工作，保障用戶權益。

攜程相關負責人介紹，通過公開發布“個人信息保護外部監督專家團”招募公告，公司對報名情況進行匯總和遴選，最終確定了9位專家監督員，包括資深的旅游行業專家、法學教授、律師、媒體代表等，不排除今后根據實際情況補充成員的可能性。

“我們建立了專家團專項工作群，該工作群由公司個人信息保護負責人、法務負責人與各位專家組成，以便專家能夠隨時對攜程個人信息保護的相關工作提出指導意見和建議。在收到意見建議后，我們會立即安排相關工作人員進行調查，并第一時間反饋調查結果或解決方案。同時，攜程根據實際情況，不定期向專家團匯報個人信息保護方面的工作進展。專家團還會結合熱點案件分享專業經驗，幫助攜程進一步完善個保工作。”攜程相關負責人表示。

雖然已有企業率先“破題”，但個人信息保護法頒布一年后，大部分互聯網平臺企業仍“按兵不動”，尚未公布設立“獨立機構”監督個人信息保護情況的相關消息。

有觀點認為，出現上述現象的一個原因在于企業對于法條的理解有難度。張新寶認為，“獨立監督機構”應內設于大型互聯網平臺企業，與企業的日常經營管理部門隔離，獨立進行個人信息保護監督，而不應該是獨立的社會監督機構或國家機關。

“獨立監督機構是大型互聯網企業公司治理的重要組成部分，是一個創新的制度，主要通過引入外部成員對企業的個人信息保護情況進行監督，確保企業在個人信息保護方面合規運行。”張新寶告訴記者。

作為一個仍在探索中的制度，還有諸多問題亟待解決：外部監督機構能否實現真正“獨立”？如何保障監督效果？企業如何把握向外部監督機構披露信息的尺度？

雖然，目前相關部門正在起草“大型互聯網企業個人信息保護監督機構”相關國家標準，配套的細化規則落地后，相關企業開展合規工作將有更清晰的依據和指引。

但距離中國的互聯網企業都能進入“守門人”角色，似乎仍有一段長路要走。

“守門人”權力濫用的迷思

即便互聯網企業能快速進入“守門人”角色，又伴生出另外一個風險——“守門人”權利濫用。

“守門人”條款規定了相關平臺企業應履行的四項義務，在“能力越大，責任越大”的立法邏輯之下，不少聲音擔憂責任被異化。

大型平臺不僅僅是一個經營個體，更具備管理者的身份，這種身份是否會借個人信息保護的名義被濫用，是立法時爭議最大的。

對此，個人信息保護法草案二審稿時增加了“守門人”第二項要求，即相關平臺應“遵循公開、公平、公正的原則，制定平臺規則，明確平臺內產品或者服務提供者處理個人信息的規范和保護個人信息的義務”，回應了“制度濫用”爭議。

張新寶告訴21世紀經濟報道記者，二審稿中新增該項規定有兩項理由：一是《電子商務法》第32條作出了類似規定，“電子商務平臺經營者應當遵循公開、公平、公正的原則，制定平臺服務協議和交易規則，明確進入和退出平臺、商品和服務質量保障、消費者權益保護、個人信息保護等方面的權利和義務。”二是決策者認為要在公平、公開、公正的基礎上來制定平臺規則，平臺規則不能成為企業自身實施不正當競爭、強化壟斷的工具。

張新寶認為，大型平臺制定平臺規則之后，國家需要審查相關規則是否達到了公平、公正、公開的要求，是否貫徹了個人信息保護法的原則和精神。

“守門人”條款第三項也提及，相關大型平臺應“對嚴重違反法律、行政法規處理個人信息的平臺內的產品或者服務提供者，停止提供服務”。企業作為民事主體，這種“執法”應當是謹慎的，尤其是做處罰決定時，如果在判斷標準不明的情況下停止提供服務可能會引發爭議。

中國社科院大學競爭法研究中心執行主任韓偉從反壟斷的視角提出看法，新修訂的《反壟斷法》也強調了經營者不得利用平臺規則從事該法禁止的壟斷行為，與《個人信息保護法》“守門人”相關條款構成銜接關系。值得注意的是，個人信息保護與反壟斷在數字經濟領域的競合關系日趨明顯，且呈現出統一與沖突的復雜關系，個人信息“弱保護”與“強保護”近年在國際上均出現反壟斷案例。反壟斷法律制度在個人信息保護方面整體處于輔助角色，且應遵循競爭機理，即關注企業之間圍繞個人信息保護的競爭水平維系。

他認為，就《個人信息保護法》的“守門人”制度而言，由于該制度運行效果仍待實踐檢驗，建議該法實施初期不宜將“守門人”范圍覆蓋過寬。獨立監督機構這一規則的推進過程中，還需警惕不同主體的“經濟人”逐利性以及被“俘獲”的可能性，避免制度效果變異。

周漢華建議，在配套政策制定層面，期待國家網信辦出臺大型平臺的具體認定機制和標準，動態發布被認定為大型平臺的名單，并就大型平臺社會責任報告提供具體指引目錄。此外，還可以結合實踐中相關平臺企業發布社會責任報告的情況，適時選出最佳實踐予以引導和推廣。

被寄予厚望的中國“守門人”制度如何發揮其在個人信息保護領域的效用，看起來道阻且長，考驗監管智慧，也考驗守門人平臺的決心。

關鍵詞： 個人信息 個人信息保護法