大型互聯(lián)網(wǎng)平臺企業(yè)個人信息保護獨立監(jiān)督機構研究

張新寶

中華人民共和國個人信息保護法（以下簡稱個人信息保護法）第58條為大型互聯(lián)網(wǎng)平臺企業(yè)特別設置了行政法上的第三方義務，規(guī)范了大型互聯(lián)網(wǎng)平臺企業(yè)的個人信息處理活動，促進了其在互聯(lián)網(wǎng)治理特別是個人信息保護方面發(fā)揮積極作用；以此抓住了互聯(lián)網(wǎng)生態(tài)處理個人信息的關鍵環(huán)節(jié)，起到了提綱挈領、綱舉目張的效果；由此貫徹了“推動形成政府、企業(yè)、相關社會組織、公眾共同參與個人信息保護的良好環(huán)境”（個人信息保護法第11條）的個人信息保護與網(wǎng)絡治理思路，契合了習近平總書記在一系列重要講話中強調的系統(tǒng)治理理念、思想和方略。

個人信息保護法第58條貫徹了網(wǎng)絡治理特別是個人信息保護的全新理念，在強化大型互聯(lián)網(wǎng)平臺企業(yè)個人信息保護義務的大框架下規(guī)定了多項特別義務，包括成立主要由外部成員組成的獨立機構對個人信息保護情況進行監(jiān)督、制定基于“三公原則”的平臺規(guī)則、違法違規(guī)產(chǎn)品和服務的下架義務、社會責任規(guī)則等。法律公布和施行以來，學界和實務界積極研究和探索該條文的正確理解和適用，國家有關部門也在起草有關規(guī)范性文件和國家標準以實施這條法律。

就該條第1款第1項關于“成立主要由外部成員組成的獨立機構對個人信息保護情況進行監(jiān)督”而言，目前在理論與實踐上還有諸多爭議：第一，個人信息保護法第58條第1款第1項的規(guī)定適用于哪些個人信息處理者？法律條文作出了定性規(guī)定，即適用于“提供重要互聯(lián)網(wǎng)平臺服務、用戶數(shù)量巨大、業(yè)務類型復雜的個人信息處理者”。但是，條文缺乏定量的標準。第二，個人信息保護法第58條第1款第1項規(guī)定的“主要由外部成員組成的獨立機構”具有何種法律性質，由哪些人員構成？它是大型互聯(lián)網(wǎng)平臺企業(yè)的外部機構還是大型互聯(lián)網(wǎng)平臺企業(yè)的內部機構？如果是內部機構，其獨立性又如何得到保證？第三，在確定“主要由外部成員組成的獨立機構”的法律性質前提下，此等機構承擔哪些職責以及如何進行運作？本文將從個人信息保護法第58條的形成過程入手，重點研討上述三個方面的問題，以期為該條款（尤其是第1款第1項）的正確理解和實施提供一些可操作的意見和建議。

一、理念與條文形成

（一）設置大型互聯(lián)網(wǎng)平臺企業(yè)個人信息保護特別義務的理念

大型互聯(lián)網(wǎng)平臺企業(yè)，是指控制著商業(yè)用戶（個人信息處理者）觸達終端用戶（個人信息主體）的主要渠道、用戶規(guī)模大、計算能力強且產(chǎn)業(yè)覆蓋面廣的互聯(lián)網(wǎng)平臺經(jīng)營者。在信息產(chǎn)業(yè)界，也將大型互聯(lián)網(wǎng)平臺企業(yè)稱為互聯(lián)網(wǎng)“頭部企業(yè)”。治理大型互聯(lián)網(wǎng)平臺企業(yè)包括對其個人信息處理活動的監(jiān)督，是互聯(lián)網(wǎng)治理的關鍵和核心環(huán)節(jié)。為大型互聯(lián)網(wǎng)平臺企業(yè)施加個人信息保護特別義務是構建治理主體多元、工具多樣的社會治理網(wǎng)絡的必然要求。政府從“守夜人”角色向管理和服務職能定位的轉型極大地擴張了國家任務，但在因科技發(fā)展、金融創(chuàng)新而使得分工逐漸細化、內容日趨復雜的行政事務領域，政府喪失了固有的信息、資源和能力優(yōu)勢，于是不得不向私人主體尋求合作以克服政府失靈。在這種合作治理網(wǎng)絡中，多元主體通過共享、動員和聚合分散的資源，協(xié)調利益和行動，實現(xiàn)行政任務。

個人信息處理的治理本屬行政機關的職責。但是，一則由于行政資源短缺，執(zhí)法活動難以全面覆蓋數(shù)量龐大的全部個人信息處理者；二則由于評估指標僵化，行政監(jiān)管無法應對日新月異的技術發(fā)展與不斷變化的個人信息權益侵害方式；三則由于日常規(guī)制缺位，專項整治不宜成為常態(tài)化的規(guī)制工具。由此，行政機關亟需創(chuàng)新治理模式，在治理節(jié)點中引入新的主體，在治理方式中運用新的工具。

互聯(lián)網(wǎng)生態(tài)系統(tǒng)中存在一些特殊的主體，它們要么定義著移動App運行時所需調用的各種系統(tǒng)權限，并為之提供特定技術資源，要么是移動App的主要分發(fā)渠道，或作為觸達用戶的主要載體。相較于行政機關，這些控制了技術環(huán)境和運營環(huán)境的“守門人”（也即大型互聯(lián)網(wǎng)平臺企業(yè)或頭部企業(yè)），包括移動終端操作系統(tǒng)、應用程序分發(fā)平臺和平臺型App，更有技術能力規(guī)制中小型移動App。例如，操作系統(tǒng)可以根據(jù)個人信息的不同風險等級設置默認的移動App可以獲取的操作系統(tǒng)權限，或在較高風險情況下給予用戶提示。

在新的治理工具上，可以采取如下措施：第一，賦予大型互聯(lián)網(wǎng)平臺企業(yè)行政法上的第三方義務。有關由私人主體承擔違法行為發(fā)現(xiàn)、阻止工作的法律規(guī)定，我國法律不乏其例。如根據(jù)民法典第1194條—第1197條，網(wǎng)絡服務提供者有權“采取刪除、屏蔽、斷開鏈接等必要措施”阻止網(wǎng)絡用戶的侵權行為。這些私人主體通常在管理、技術方面處于更加優(yōu)越的地位（如前文所述），其管理行為更符合成本收益分析。與行政機關逐一審查、要求移動App逐一整改同質性問題所付出的成本相比，監(jiān)管少數(shù)大型互聯(lián)網(wǎng)平臺企業(yè)、要求其一次性解決更為經(jīng)濟，由此行政機關更有時間與精力去攻克無法經(jīng)由大型互聯(lián)網(wǎng)平臺企業(yè)一體規(guī)制的異質性難題?？梢?，抓住互聯(lián)網(wǎng)生態(tài)個人信息處理的關鍵環(huán)節(jié)，可以有效緩解有限的行政資源與多點爆發(fā)的違法行為之間的矛盾，起到事半功倍的效果。

第二，大型互聯(lián)網(wǎng)平臺企業(yè)的自我規(guī)制義務。傳統(tǒng)命令—控制式的政府高權主義規(guī)制模式在個人信息治理上往往存在障礙。政府既無法為每個企業(yè)量體裁衣，確定精細的行為守則，也無法深入企業(yè)內部實時監(jiān)督個人信息處理活動。更加包容的手段為行政機關設定規(guī)制目標，企業(yè)自行設定規(guī)則、不斷調適并推進內部守法。在該規(guī)制理念之下，政府僅需就企業(yè)自我規(guī)制行為加以管制，從而達至集權與“放松規(guī)制”的折中。企業(yè)的自我規(guī)制意味著企業(yè)在作出決策時需適度考量利益相關者訴求，包括個人信息主體的個人信息權益受到保護的訴求和商業(yè)用戶受到公平、公正對待的訴求，由此推動了公司社會責任與公司治理的進一步融合。

對大型互聯(lián)網(wǎng)平臺企業(yè)施加個人信息保護特別義務，也是義務與風險相一致原則的體現(xiàn)。我國對個人信息保護所采取的“基于風險的進路”理論源于歐盟1995年的數(shù)據(jù)保護指令，目的在于為不同的個人信息處理活動依其風險程度配置不同的義務負擔，以實現(xiàn)個人信息的動態(tài)、多層次、可擴展的保護。否則，統(tǒng)一的標準要么讓小型企業(yè)因合規(guī)成本高昂而對個人信息的利用望而卻步，要么無法完全約束大型企業(yè)的個人信息處理活動而使得個人信息權益的保護不足。就比較法而言，《數(shù)字服務法（草案）》同樣為具有不同用戶規(guī)模的中介服務提供者設定不同的義務。

在個人信息類型上，處理敏感個人信息較一般個人信息需負有更高的告知、同意與安全防范管理標準；在個人信息規(guī)模上，達到國家網(wǎng)信部門規(guī)定數(shù)量的個人信息處理者應當指定個人信息保護負責人；在個人信息處理方式上，利用個人信息進行自動化決策或實施其他對個人權益帶來更大風險的處理活動時，應當進行強制性的事前個人信息保護影響評估。那么，對于大型平臺，其用戶規(guī)模較大、數(shù)據(jù)類型豐富，容易成為人為惡意攻擊的對象；個人信息利用方式更為多元，海量數(shù)據(jù)的沉淀大大提升了數(shù)據(jù)挖掘的價值，二次利用、數(shù)據(jù)融合等現(xiàn)象明顯，而且非自用數(shù)據(jù)的交易、自用數(shù)據(jù)的API接口傳輸也會帶來第三方關聯(lián)風險；個人信息處理技術更為前沿，技術風險的隱蔽性、應用層的弱解釋性等問題突出。故此，有必要向大型平臺施加與其處理活動相稱的較重義務。

（二）個人信息保護法第58條的形成

在個人信息保護法起草過程中，其一審稿草案并未包含大型互聯(lián)網(wǎng)平臺企業(yè)個人信息保護特別義務的條款。全國人大常委會就該一審稿草案廣泛征求社會意見，有關部門、專家踴躍建言，指出應當強化超大型互聯(lián)網(wǎng)平臺的個人信息保護義務，并加強監(jiān)督。筆者于2021年1月初積極向立法部門提出立法建議得到有關領導批示，并在《比較法研究》上發(fā)表《互聯(lián)網(wǎng)生態(tài)“守門人”個人信息保護特別義務設置研究》一文，形成一定的學術影響力。全國人大憲法和法律委員會經(jīng)研究，建議增加一條規(guī)定：提供基礎性互聯(lián)網(wǎng)平臺服務、用戶數(shù)量巨大、業(yè)務類型復雜的個人信息處理者，應當履行下列義務：（一）成立主要由外部成員組成的獨立機構，對個人信息處理活動進行監(jiān)督；（二）對嚴重違反法律、行政法規(guī)處理個人信息的平臺內的產(chǎn)品或者服務提供者，停止提供服務；（三）定期發(fā)布個人信息保護社會責任報告，接受社會監(jiān)督。這一方案被《個人信息保護法（二次審議稿）》第57條采納并被提交給全國人大常委會進行審議。

針對前述《個人信息保護法（二次審議稿）》第57條的內容，有的部門、專家提出，大型互聯(lián)網(wǎng)企業(yè)制定有關個人信息保護的平臺規(guī)則時，應當公平合理地對待平臺內經(jīng)營者。全國人大憲法和法律委員會經(jīng)研究，建議對草案二次審議稿作以下修改：增加規(guī)定，即大型互聯(lián)網(wǎng)企業(yè)應當遵循公開、公平、公正的原則，制定有關個人信息保護的平臺規(guī)則。如此，大型互聯(lián)網(wǎng)平臺企業(yè)不僅僅以協(xié)助行政機關完成行政任務的輔助性角色出現(xiàn)，如在商業(yè)用戶嚴重違反法律、行政法律的情形下停止提供服務，還能發(fā)揮更加能動的作用，利用合同進行私人規(guī)制?？梢姡⒎ㄕ咔擅钔ㄟ^合同、自我規(guī)制等多元治理工具之間的功能性耦合，來達到規(guī)制眾多中小型個人信息處理者的目標。

在法律草案的討論過程中，全國人大有的常委委員提出，應當要求大型互聯(lián)網(wǎng)平臺建立個人信息保護合規(guī)體系，加強內部合規(guī)管理。全國人大憲法和法律委員會經(jīng)研究，建議在草案三次審議稿第58條（即二次審議稿的第57條）中增加規(guī)定，大型互聯(lián)網(wǎng)平臺應當“按照國家規(guī)定建立健全個人信息保護合規(guī)制度體系”。這有機結合了自我規(guī)制與由獨立監(jiān)督機構（相對獨立與外部性）、社會監(jiān)督和行政機關形成的外在約束。

從極具創(chuàng)新性與富有中國特色的個人信息保護法第58條的立法形成過程可以看出，有關個人信息保護立法工作的推進過程是國家就應當如何合理配置利益相關主體的權利和義務以實現(xiàn)“三方平衡”的認識不斷深入的過程，也是國家立法就應當如何構建社會治理網(wǎng)絡，選取合適的治理主體與治理工具的理解不斷深入的過程。立法部門集思廣益，積極借鑒了歐盟數(shù)字市場法（草案）與數(shù)字服務法（草案）的經(jīng)驗，將大型互聯(lián)網(wǎng)平臺企業(yè)作為規(guī)制的重點之一，貫徹了科學立法、民主立法的理念。

二、獨立監(jiān)督機構的適用對象

“獨立監(jiān)督機構”，是指根據(jù)個人信息保護法第58條的規(guī)定成立的主要由外部成員組成的獨立機構，其職責是對相關個人信息處理者的個人信息保護情況進行監(jiān)督。獨立監(jiān)督機構的適用對象，是指哪些個人信息處理者應當依法成立主要由外部成員組成的獨立機構監(jiān)督其個人信息保護情況。

依據(jù)個人信息保護法第58條第1款的規(guī)定，應當承擔個人信息保護特別義務的個人信息處理者為“提供重要互聯(lián)網(wǎng)平臺服務、用戶數(shù)量巨大、業(yè)務類型復雜的個人信息處理者”。這樣的個人信息處理者通常不是個人而是企業(yè)；通常不是一般規(guī)模的企業(yè)而是大型企業(yè)；通常不是傳統(tǒng)企業(yè)，而是大型互聯(lián)網(wǎng)平臺企業(yè)。因此，獨立監(jiān)督機構的適用對象，可以被界定為大型互聯(lián)網(wǎng)平臺企業(yè)。以下是對這一結論的具體論證：

如何根據(jù)第58條的三個定性標準具體確定特殊義務主體的范圍，除了通過實質論證向該類主體施加監(jiān)管平臺內的產(chǎn)品或者服務提供者（商業(yè)用戶）個人信息處理活動的第三方義務和強化其內部合規(guī)、外部監(jiān)督的合理性以外，缺乏其他可操作的定量標準。不過我國《互聯(lián)網(wǎng)平臺分類分級指南（征求意見稿）》（以下簡稱《分類分級指南》）根據(jù)平臺的用戶規(guī)模、業(yè)務種類、經(jīng)濟體量和限制能力（平臺具有的限制或阻礙商戶接觸消費者的能力）的差異，將互聯(lián)網(wǎng)平臺分為超級平臺、大型平臺和中小平臺等三級。由此產(chǎn)生這樣兩個問題：第一，個人信息保護法第58條與《分類分級指南》對平臺進行類型化區(qū)分的不同標準之間有何關系；第二，如何利用《分類分級指南》的具體規(guī)定來理解和實施個人信息保護法第58條的規(guī)定，確定獨立監(jiān)督機構的適用對象。

1.細化“大型互聯(lián)網(wǎng)平臺企業(yè)”的認定標準

《分類分級指南》的分級標準實則是個人信息保護法第58條的特別義務主體三要素之細化，其經(jīng)濟體量、用戶規(guī)模和業(yè)務種類的量化指標為認定獨立監(jiān)督機構的適用對象指明了方向，有利于提高法律適用的確定性。

在判斷標準中，兩者均有用戶規(guī)模與業(yè)務種類兩項，僅就“提供重要互聯(lián)網(wǎng)平臺服務”和“經(jīng)濟體量”“限制能力”存在區(qū)別。但從法律解釋的角度來看，“提供重要互聯(lián)網(wǎng)平臺服務”可與“經(jīng)濟體量”“限制能力”相對應?！疤峁┲匾ヂ?lián)網(wǎng)平臺服務”在二審稿草案中的表述為“提供基礎性互聯(lián)網(wǎng)平臺服務”。作此修改的原因在于：其一，互聯(lián)網(wǎng)平臺處于網(wǎng)絡結構中的應用層和服務層，相較于網(wǎng)絡基礎服務提供商（如寬帶服務），其對信息傳輸?shù)目刂屏^弱，能否被視為提供了基礎性服務有待商榷。其二，即便在互聯(lián)網(wǎng)平臺中，不同的平臺有著不同的功能和服務類型，其中最重要、最基本的系統(tǒng)軟件當屬控制其他軟件運行的技術環(huán)境的操作系統(tǒng)，但將特殊義務主體限縮至此未免過于狹隘。故在理解“提供重要互聯(lián)網(wǎng)平臺服務”時，應強調平臺在連接終端用戶和商業(yè)用戶方面的關鍵地位，以及其在推動經(jīng)濟發(fā)展、保障民生、維護國家安全等方面的重要作用。如此界定與《分類分級指南》中的“經(jīng)濟體量”“限制能力”相印證。就該要件而言，“提供重要互聯(lián)網(wǎng)平臺服務”的主體至少可以囊括操作系統(tǒng)，控制軟件被下載和分發(fā)的主要節(jié)點的應用商店，為終端用戶和商業(yè)用戶提供交互環(huán)境的小程序平臺（如微信、支付寶等）和網(wǎng)絡銷售類、生活服務類等促成多邊交易的中介平臺（如淘寶、京東）。

將用戶規(guī)模與業(yè)務種類納入平臺分級與個人信息保護義務強度的區(qū)分標準同樣具備充分的理據(jù)。首先，在用戶規(guī)模方面，當平臺直接處理個人信息時，個人信息處理活動所帶來的系統(tǒng)性風險、對社會公共利益產(chǎn)生的可能影響往往與用戶規(guī)模呈正相關關系。一方面，算法歧視、個人信息泄露極易侵害個人基本權利和民事權利，進而引發(fā)群體性事件，減損公眾對互聯(lián)網(wǎng)公司的社會信任；另一方面，不當使用類型豐富、數(shù)量巨大、主體多元的數(shù)據(jù)集會對社會利益和國家安全造成威脅。例如，臉書公司將用戶的個人信息與劍橋公司共享，對用戶進行政治畫像，干涉、操控大選走勢。

當商業(yè)用戶處理個人信息時，根據(jù)平臺與商業(yè)用戶之間的不同關系，可將平臺分為兩類：第一類為小程序平臺如微信、電商平臺如淘寶，此時商業(yè)用戶所處理的個人信息主要來源于平臺的共享。比如，小程序在接口調用、權限獲取和管理、消息推送等方面皆受限于小程序平臺，小程序只能獲取小程序平臺已經(jīng)從手機系統(tǒng)獲取的權限。無論是處理用戶信息、設備信息還是地理位置信息，小程序需要向平臺申請，而平臺則有權對相關接口進行保護。又如，《淘寶網(wǎng)隱私政策》（2022年4月2日版）第3條指出：“我們不會與淘寶網(wǎng)服務提供者以外的公司、組織和個人共享您的信息，但以下情況除外：……3、為訂立、履行您作為一方當事人的合同所必需的情況下的共享……”并在個人信息共享清單中列舉了與店鋪商家共享的個人信息類型和提供方式?？梢姡脚_是否允許商業(yè)用戶訪問數(shù)據(jù)、允許商業(yè)用戶訪問哪些數(shù)據(jù)，是平臺基于自主決策進行的個人信息共享活動，該層次的控制和管理本質上屬于平臺對終端用戶履行本位的個人信息保護義務，而非第三方義務，于是用戶規(guī)模在平臺分級中的作用便與上段無異。第二類平臺如操作系統(tǒng)和應用商城，與商業(yè)用戶并沒有數(shù)據(jù)來源上的從屬關系，但存在技術上的鉗制關系（小程序平臺和電商平臺同樣具有該特性）。這些平臺所具有的終端用戶和商業(yè)用戶規(guī)模越大，行政機關監(jiān)管平臺的成本與平臺通過代碼、技術研發(fā)規(guī)制商業(yè)用戶的成本之和相較于行政機關逐一監(jiān)管商業(yè)用戶的成本越低，經(jīng)濟效益越顯著，故而越具有由其履行行政法上第三方義務的經(jīng)濟合理性。

其次，在業(yè)務種類方面，具有全行業(yè)賦能效應的平臺之公共性通常比僅具有單一行業(yè)賦能效應的平臺的公共性更強，更應承擔公共管理職能并受到更嚴格的管制。

綜上所述，認定個人信息保護法第58條的適用對象即大型互聯(lián)網(wǎng)平臺企業(yè)時，可以參考《分類分級指南》關于平臺分級的標準，包括其中的超級平臺經(jīng)營者、大型平臺經(jīng)營者。

2.“大型互聯(lián)網(wǎng)平臺企業(yè)”對標超級平臺經(jīng)營者與大型平臺經(jīng)營者

個人信息保護法第58條的適用對象即大型互聯(lián)網(wǎng)平臺企業(yè)應當對標《分類分級指南》中的超級平臺經(jīng)營者與大型平臺經(jīng)營者。

第一，個人信息保護法第58條的適用對象包括超級平臺經(jīng)營者與大型平臺經(jīng)營者，而不僅僅是超級平臺經(jīng)營者，符合我國市場的實際情況?！斗诸惙旨壷改稀分赋龀壠脚_經(jīng)營者的上年底市值（估值）不低于10000億元人民幣，大型平臺經(jīng)營者的上年底市值（估值）不低于1000億元人民幣。根據(jù)中國信通院發(fā)布的《2021年四季度我國互聯(lián)網(wǎng)上市企業(yè)運行情況》，2021年度僅騰訊控股（35885.3億元人民幣）、阿里巴巴（21082.8億元人民幣）和美團-W （11306.5億元人民幣）三家互聯(lián)網(wǎng)企業(yè)的市值為萬億元級，數(shù)量極少。如若個人信息保護法第58條以超級平臺經(jīng)營者為規(guī)制對象，行政機關通過指派專員的方式進行重點監(jiān)管即可，而無需借助具有普遍約束力的法律，在公司治理中引入外部監(jiān)督機構?；诒M可能有效規(guī)制眾多中小型個人信息處理者的考量，有必要適當放低經(jīng)濟體量門檻，容納更多的互聯(lián)網(wǎng)平臺企業(yè)。

第二，將個人信息保護法第58條中的大型互聯(lián)網(wǎng)平臺企業(yè)解釋為超級平臺經(jīng)營者、大型平臺經(jīng)營者與《互聯(lián)網(wǎng)平臺落實主體責任指南（征求意見稿）》（以下簡稱《主體責任指南》）規(guī)制的主體范圍相契合。需指出的是，該指南統(tǒng)合消費者權益保護、反不正當競爭、反壟斷、個人信息保護、網(wǎng)絡用戶和內容監(jiān)管、知識產(chǎn)權保護等多方位規(guī)則，將各種意旨相異的義務規(guī)定在一起，并對用戶規(guī)模、業(yè)務種類、經(jīng)濟體量和限制能力在不同義務劃定中的權重和分量進行了模糊處理，可能會產(chǎn)生僅在個人信息保護領域承擔特別義務的主體與在多個領域承擔特別義務的主體在實質范圍上是否相同的疑慮。比如，解決商業(yè)用戶和消費者對超級平臺與大型平臺高度依賴之后的不公平行為問題時，經(jīng)濟體量和用戶規(guī)模指標更為重要。《主體責任指南》第1條到第3條要求超級平臺與大型平臺經(jīng)營者公平競爭、平等治理、開放生態(tài)，借鑒了歐盟數(shù)字市場法的“守門人”規(guī)定。這類主體受到規(guī)制的原因在于它們在整個平臺生態(tài)系統(tǒng)中行使控制權，在結構上極難受到現(xiàn)有或新的市場參與者的挑戰(zhàn)或競爭，容易采取不公平競爭的行動。而經(jīng)濟體量指標可以反映出它們的貨幣化能力和門戶地位，以及利用資本鞏固地位的能力。用戶規(guī)模指標則反映該平臺是商業(yè)用戶接觸終端用戶的主要媒介且具有強大的影響力。再比如，解決超級平臺與大型平臺對商業(yè)用戶的違法行為進行治理及其侵害用戶權益的問題時，限制能力和用戶規(guī)模指標更為重要。這是因為超級平臺與大型平臺在促進商品交易、傳播信息、觀點和思想上地位關鍵，信息、商品和服務的潛在接收者越多、權益影響范圍波及越大，越容易產(chǎn)生系統(tǒng)性風險。故而，超級平臺與大型平臺企業(yè)應當承擔與其社會影響力相稱的高標準義務。在比較法上，歐盟的數(shù)字服務法為在線中介服務提供者設定監(jiān)管義務的程度時僅以服務對象的數(shù)量為變量。

大型互聯(lián)網(wǎng)平臺經(jīng)營者與《主體責任指南》中的超級與大型互聯(lián)網(wǎng)平臺經(jīng)營者在義務內容上仍有共性。其一，《主體責任指南》第13條之“動態(tài)建立審核詞庫和管控機制，建立平臺審核機制和日常巡查機制”、第21條之“加大對平臺內經(jīng)營者違法違規(guī)廣告的事先預警和事后處理”、第28條之“針對平臺內經(jīng)營者發(fā)布的商品和服務，應當建立內部監(jiān)督檢查制度，督促平臺內經(jīng)營者提供符合保障人身、財產(chǎn)安全要求的產(chǎn)品及服務”等條款均為平臺施加了監(jiān)管義務，這意味著超級平臺與大型平臺經(jīng)營者所具有的規(guī)模、資金和技術等優(yōu)勢成為其負擔第三方義務的重要理據(jù)。其二，與大型互聯(lián)網(wǎng)平臺經(jīng)營者應當定期發(fā)布個人信息保護社會責任報告類似，《主體責任指南》要求超級平臺與大型平臺經(jīng)營者履行保護勞動者（第30條）、特殊群體（第31條）、環(huán)境（第32條）的義務等社會責任。

由此可見，個人信息保護法第58條中承擔個人信息保護特別義務、需要設置主要由外部人員組成的獨立監(jiān)督機構的大型互聯(lián)網(wǎng)平臺企業(yè)，可對應《分類分級指南》《主體責任指南》中的超級平臺經(jīng)營者和大型平臺經(jīng)營者。

三、獨立監(jiān)督機構的性質與人員構成

（一）獨立監(jiān)督機構的獨立性

個人信息保護法第58條規(guī)定了大型互聯(lián)網(wǎng)平臺企業(yè)設立獨立機構監(jiān)督其個人信息保護的義務，創(chuàng)新性地在組織機構方面對企業(yè)提出了要求。此后，國家互聯(lián)網(wǎng)信息辦公室發(fā)布的《未成年人網(wǎng)絡保護條例（征求意見稿）》規(guī)定，未成年人用戶數(shù)量巨大、在未成年人群體具有顯著影響力的重要互聯(lián)網(wǎng)平臺服務提供者應當“成立主要由外部成員組成的獨立機構，對未成年人網(wǎng)絡保護情況進行監(jiān)督”。

關于獨立監(jiān)督機構的獨立性，目前有幾種不同的認識：一是與大型互聯(lián)網(wǎng)平臺企業(yè)獨立，作為行使社會監(jiān)督權力的獨立機構；二是與大型互聯(lián)網(wǎng)平臺企業(yè)獨立，作為國家監(jiān)管部門行使監(jiān)管權力的獨立機構；三是內設于大型互聯(lián)網(wǎng)平臺企業(yè)，與企業(yè)的日常經(jīng)營管理部門隔離，獨立進行個人信息保護監(jiān)督的機構。本文支持第三種觀點，理由如下：

第一，從法律條文的體系解釋角度判斷。第58條是規(guī)定于個人信息保護法第5章“個人信息處理者的義務”這一章的，該章規(guī)定個人信息處理者包括處理個人信息的大型互聯(lián)網(wǎng)平臺企業(yè)的個人信息處理義務，而不規(guī)定個人信息保護的社會監(jiān)督，也不規(guī)定國家監(jiān)管部門的職責。該法是在第6章專門規(guī)定保護個人信息的國家機關及其職責。因此，第58條所規(guī)定的“成立主要由外部成員組成的獨立機構對個人信息保護情況進行監(jiān)督”就只能理解為個人信息處理者包括處理個人信息的大型互聯(lián)網(wǎng)平臺企業(yè)的義務，而不能理解為“社會監(jiān)督”或者國家監(jiān)管方面的獨立機構。

第二，從獨立監(jiān)督機構的人員構成角度判斷。第58條規(guī)定的“成立主要由外部成員組成的獨立機構”表明，獨立機構的組成人員大部分是外部成員，少部分為內部成員。有內部成員參與的“獨立監(jiān)督機構”，其完全獨立于企業(yè)是不可能做到的。

第三，從國家機構設置的程序與政策判斷。新的國家機構的設置以及已有國家機構職能的增減，都需要經(jīng)過嚴格的法定程序，精簡國家機構、促進國家機關高效率運行是建設服務政府、法治政府的必然要求。在這樣的國家治理大背景下，不可能設置專門監(jiān)督大型互聯(lián)網(wǎng)平臺個人信息保護活動的國家機構，也不可能設置“主要由外部成員組成”的具有國家公權性質的受委托的獨立機構，對大型互聯(lián)網(wǎng)平臺企業(yè)的個人信息保護進行監(jiān)督。

第四，從“獨立監(jiān)督機構”的職能判斷。雖然“獨立監(jiān)督機構”應當具有較高程度的“獨立性”，但本質上是服務于企業(yè)的個人信息保護合規(guī)要求的，其存在的目的在于企業(yè)的依法合規(guī)經(jīng)營，確保企業(yè)在個人信息保護方面達到法律、法規(guī)和規(guī)范性文件要求的保護水平和落實相關的保護措施，避免企業(yè)因個人信息保護達不到合規(guī)要求而受到處罰。“獨立監(jiān)督機構”職能的“利己性”（服務于企業(yè)）決定了“獨立監(jiān)督機構”只能是企業(yè)的內設機構而不應該是獨立的社會監(jiān)督機構或者國家機關。

作為企業(yè)內設機構的“獨立監(jiān)督機構”，主要是指獨立于企業(yè)的日常經(jīng)營管理機構（如總經(jīng)理）、產(chǎn)品或者服務研發(fā)推廣機構等業(yè)務部門，因為這些機構和部門往往會以利潤導向進行管理和經(jīng)營而忽視個人信息保護。獨立機構獨立于這些機構和部門監(jiān)督企業(yè)的個人信息保護情況?！蔼毩⒈O(jiān)督機構”是大型互聯(lián)網(wǎng)企業(yè)公司治理的重要組成部分，是一個創(chuàng)新的制度，主要是通過引入外部成員對企業(yè)的個人信息保護情況進行監(jiān)督，確保企業(yè)在個人信息保護方面合規(guī)運行。

有些探討將獨立機構的性質與外部獨立的審計機構（如會計師事務所）和內部的獨立董事進行類比，無疑是具有一定啟發(fā)性的?！蔼毩⒈O(jiān)督機構”作為企業(yè)內設的機構，其獨立性主要是體現(xiàn)為與日常經(jīng)營管理機構和產(chǎn)品服務研發(fā)經(jīng)營部門等的獨立，而不同于作為與企業(yè)僅有合同關系的審計機構。獨立機構與企業(yè)獨立董事的性質有相同的地方也有較大差異。相同之處在于獨立性。不同之處在于獨立董事對企業(yè)的諸多事項行使決策權，而獨立機構僅對個人信息保護活動進行監(jiān)督?jīng)]有決策權。獨立董事在董事會機制下行使權力，獨立機構則是向董事會或者股東會提出監(jiān)督建議和意見。

（二）獨立監(jiān)督機構的人員構成

法律規(guī)定“主要由外部成員組成的獨立機構”對大型互聯(lián)網(wǎng)平臺企業(yè)的個人信息保護進行監(jiān)督。就獨立機構的人員構成而言，需要從以下三個方面細化第58條第1款第1項的規(guī)定：一是獨立機構組成人員的數(shù)量；二是外部成員與內部成員的比例；三是外部成員的資質要求與內部成員的職務要求。

1.不同規(guī)模大型互聯(lián)網(wǎng)平臺企業(yè)“獨立監(jiān)督機構”組成人員的數(shù)量

將大型互聯(lián)網(wǎng)平臺企業(yè)和超級互聯(lián)網(wǎng)平臺企業(yè)均納入第58條適用對象，要求其成立主要由外部成員組成的獨立機構對個人信息保護活動進行監(jiān)督。這兩類企業(yè)在規(guī)模上有較大差別，個人信息保護的復雜程度和工作量等也不盡相同。因此，大型互聯(lián)網(wǎng)平臺企業(yè)與超級互聯(lián)網(wǎng)平臺企業(yè)監(jiān)督個人信息保護活動的獨立機構之組成人員的數(shù)量應有所區(qū)別。

有的超級與大型互聯(lián)網(wǎng)平臺企業(yè)積極探索獨立機構的建設，初步提出了15人的組成人員設想，這是比較符合企業(yè)實際情況的。本文的建議是：大型互聯(lián)網(wǎng)平臺企業(yè)的獨立機構由9—15人組成。

2.兩種組成人員的比例要求

法律規(guī)定獨立機構主要由外部人員組成，“主要”的文義是指絕對多數(shù)?？紤]到在投票等方面的技術要求，本文建議這里的“主要由外部成員組成”應當理解為外部成員不少于全體成員的三分之二。比如，在全體成員為9人的情況下，外部成員為6人或者多于6人，但是不能超過8人。在全體成員為15人的情況下，外部成員為10人或者多于10人，但是不能超過14人。

3.組成人員的資質或職務要求

首先，作為獨立機構組成人員的外部人員。外部人員是指不屬于企業(yè)，與企業(yè)不存在勞動人事關系和其他重要利害關系的自然人。這里的“重大利害關系”包括股東關系、債權債務關系，以及與企業(yè)董事、監(jiān)事等高級管理人員有近親屬關系等。作為獨立機構組成人員的外部人員，應當政治上合格、業(yè)務上精通個人信息保護法治與實踐操作。具體任職條件由國家履行個人信息保護職能的部門（如國家網(wǎng)信辦）通過頒布規(guī)范性文件確定。有資質擔任獨立機構組成人員的相關法律專家等可以成立個人信息保護獨立專業(yè)人員協(xié)會，受國家履行個人信息保護職能的部門指導和監(jiān)督。

獨立機構組成人員特別是外部成員的個體獨立性與專業(yè)性是保障其行使職能的必要前提。為了確保機構的獨立性，需關注以下四個方面：其一，獨立機構的外部成員不得與企業(yè)具有人事、經(jīng)濟上的利害關系。其二，獨立機構外部成員的名單需上報外部專家協(xié)會進行獨立性和專業(yè)性審查，向社會公眾公布，并由國家網(wǎng)信部門備案。其三，外部成員的津貼報酬需要有統(tǒng)一的標準且與企業(yè)相區(qū)隔。為保證獨立監(jiān)督機構成員不被大型互聯(lián)網(wǎng)企業(yè)俘獲，形成經(jīng)濟依附關系，外部成員不得被給付過高的薪酬。其四，在成員履職期間，一旦出現(xiàn)利益沖突或者其他不能履職的情況，應當主動向企業(yè)與外部專家協(xié)會申請，辭去職務。

外部監(jiān)督機構成員還應有專業(yè)性要求，否則無法有效地履行監(jiān)督職責。比如，成員需為個人信息保護領域公認的專家，具備高級以上專業(yè)技術職稱；熟悉有關個人信息法律法規(guī)、信息技術等相關理論及實踐經(jīng)驗。值得注意的是，成員應當有足夠時間和精力參與企業(yè)的監(jiān)督活動，已在3個及以上其他大型互聯(lián)網(wǎng)企業(yè)中擔任外部監(jiān)督機構成員的，不得再在其他企業(yè)擔任。

其次，作為獨立監(jiān)督機構組成人員的內部人員。處于“少數(shù)派”的內部人員參與獨立監(jiān)督機構，有利于獨立監(jiān)督機構與企業(yè)的溝通以行使個人信息保護監(jiān)督職能。作為獨立監(jiān)督機構組成人員的內部人員，應當包括企業(yè)主管法務和合規(guī)的高層管理人員以及具體負責企業(yè)個人信息保護的負責人（個人信息保護法第52條）。

四、獨立機構的職責與運行

（一）獨立監(jiān)督機構的職責范圍

依據(jù)第58條的規(guī)定，獨立監(jiān)督機構的職責是監(jiān)督大型互聯(lián)網(wǎng)平臺企業(yè)的個人信息保護。在企業(yè)內，其所擔當?shù)穆氊熓潜O(jiān)督，而非決策和執(zhí)行。其所監(jiān)督的事項僅限于個人信息保護，而不涉及企業(yè)生產(chǎn)經(jīng)營和管理的其他事項。相較于企業(yè)的合規(guī)部門，獨立監(jiān)督機構僅能行使有限的監(jiān)督權。將該機構與企業(yè)內部予以隔離保障，既有利于獨立機構在履職時進行獨立、客觀和公平判斷，又有利于數(shù)據(jù)安全和企業(yè)商業(yè)秘密的維護。以個人信息存儲與傳輸?shù)募夹g管理為例，企業(yè)所采取的加密處理措施和方法被知悉的主體越多，數(shù)據(jù)安全越容易受到威脅。因此，獨立機構的職責主要是對企業(yè)的個人信息保護合規(guī)情況進行監(jiān)督。

大型互聯(lián)網(wǎng)企業(yè)不僅需要對自己的個人信息處理活動負責，還需履行規(guī)范商業(yè)用戶（如淘寶網(wǎng)上的網(wǎng)店）個人信息處理活動的義務。就此而言，獨立監(jiān)督機構的職責又可分為如下兩大類型：

其一，監(jiān)督大型互聯(lián)網(wǎng)平臺企業(yè)自身的個人信息保護合規(guī)情況。個人信息保護合規(guī)體系分為個人信息合規(guī)政策和個人信息合規(guī)流程，前者立足于個人信息主體的權益，后者則為實體權益之落實提供組織和程序保障。但實踐中，兩者之間的界分并非涇渭分明。個人信息主體權益的范圍與邊界需結合特定場景進行具體劃定，場景要素在實體權益與操作規(guī)則之間構建起橋梁，于是在監(jiān)督個人信息合規(guī)流程中的人員組織合規(guī)情況時，對操作規(guī)程的監(jiān)督不可避免地會涉及個人信息主體的實體權益。以中興通訊公司建立的合規(guī)制度為例，該企業(yè)建立了“政策、手冊、原則性規(guī)范、場景化指引”的規(guī)則框架，其中原則性規(guī)范既包括了實體性的《合法性基礎判斷規(guī)范》，又包括了管理性與程序性的《數(shù)據(jù)影響保護評估規(guī)范》。故而對獨立監(jiān)督機構職責的梳理不可過分僵化。

在個人信息合規(guī)政策方面，獨立監(jiān)督機構可格外注意與個人信息主體發(fā)生交互的合規(guī)情況，即大型互聯(lián)網(wǎng)企業(yè)制定的平臺規(guī)則和隱私政策，例如通過自動化決策方式向個人進行信息推送、商業(yè)營銷時，是否同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。

在個人信息合規(guī)流程方面，獨立監(jiān)督機構則可從制度合規(guī)、技術合規(guī)和組織合規(guī)三個角度著手，對大型互聯(lián)網(wǎng)企業(yè)的事前防范、事中規(guī)制和事后處置的合規(guī)情況進行監(jiān)督。事前環(huán)節(jié)的監(jiān)督包括：（1）個人信息保護負責人的設立；（2）組建統(tǒng)籌協(xié)調、制定規(guī)則、監(jiān)督執(zhí)行的個人信息保護合規(guī)部門，并制定內部管理制度；（3）在對個人權益有重大影響的處理活動前進行個人信息保護影響評估；（4）制定操作規(guī)程；（5）定期對從業(yè)人員進行安全教育和培訓；（6）個人信息跨境時的安全評估、個人信息保護認證或制定標準合同；（7）制定并組織實施個人信息安全事件應急預案。事中環(huán)節(jié)的監(jiān)督包括：（1）對個人信息實行分類管理、采取相應的加密、去標識化等安全技術措施；（2）合理確定個人信息處理的操作權限；（3）操作規(guī)程的遵守與內容審查；（4）合規(guī)審計；（5）定期發(fā)布個人信息保護社會責任報告。事后環(huán)節(jié)的監(jiān)督包括：（1）個人信息安全事件的補救和通知；（2）為個人信息主體的權利行使建立了便捷的受理和處理機制。

其二，監(jiān)督大型互聯(lián)網(wǎng)企業(yè)對商業(yè)用戶的個人信息處理活動予以規(guī)范的合規(guī)情況。大型互聯(lián)網(wǎng)企業(yè)對商業(yè)用戶進行個人信息處理活動所需盡到的監(jiān)管義務不盡一致。盡管操作系統(tǒng)平臺與應用商店都能對商業(yè)用戶采取技術控制措施，但操作系統(tǒng)是制約其他應用軟件的底層技術環(huán)境，而應用商店僅能部分阻卻其他應用軟件被獲取的通道，顯然前者的監(jiān)管義務更高。至于小程序平臺和電商平臺，它們除了在與商業(yè)用戶共享個人信息方面起決定性作用，還能控制商業(yè)用戶的市場準入，具備數(shù)據(jù)與技術的雙重鉗制關系。由此，獨立監(jiān)督機構在不同類型的互聯(lián)網(wǎng)企業(yè)中監(jiān)督的項目內容有所區(qū)別。

對于操作系統(tǒng)平臺，監(jiān)督范圍包括：（1）是否采取技術措施將應用軟件調取的系統(tǒng)權限限制在必要范圍之內；（2）是否按照系統(tǒng)權限對個人信息帶來的風險差異采取不同強度的保護措施，如申請麥克風、照相機、地理位置等權限時的單獨授權；（3）是否在系統(tǒng)權限被調用之后對用戶進行提示；（4）是否用合理的方式向用戶呈現(xiàn)應用軟件調取系統(tǒng)權限的狀態(tài)并允許用戶自由變動。

對于應用商店，監(jiān)督范圍包括：（1）平臺規(guī)則是否公平、公正、公開；（2）是否對應用軟件公示隱私規(guī)則作出合理的要求與審查；（3）是否對違法應用軟件采取事前禁止準入和事后下架的控制。

對于小程序平臺和電商平臺，監(jiān)督范圍包括：（1）企業(yè)是否采取技術措施將小程序從小程序平臺獲取的個人信息限制在必要范圍之內；（2）在小程序申請調取敏感個人信息時，是否采取強化保護措施；（3）是否以合同的方式對小程序采集、存儲、使用、共享個人信息的活動作出約束；（4）平臺規(guī)則是否公平、公正、公開；（5）是否對違法商業(yè)用戶采取事前禁止準入和事后下架、斷開連接的控制；（6）是否為個人信息主體舉報違法處理個人信息的商業(yè)用戶建立便捷的渠道。

需要進一步說明的是：第一，獨立監(jiān)督機構就職責范圍內的事項所享有的權力不限于監(jiān)督權，還可就其提出建議、意見并進行指導。第二，由于獨立監(jiān)督機構由董事會領導，故其還有權對大型互聯(lián)網(wǎng)企業(yè)個人信息保護相關的董事會議案提出建議和意見、對大型互聯(lián)網(wǎng)企業(yè)個人信息保護相關工作提交董事會議案，并列席與個人信息保護有關的董事會會議，但涉及商業(yè)秘密的，獨立監(jiān)督機構成員應當保密。第三，獨立監(jiān)督機構通常是以整體的形式履行職責，但獨立監(jiān)督機構成員也可單獨行使部分職責，如對大型互聯(lián)網(wǎng)企業(yè)個人信息保護相關問題提供意見和建議、對內部從業(yè)人員進行個人信息保護培訓、對個人信息保護相關工作向個人信息保護負責人提交獨立意見。

（二）獨立監(jiān)督機構的運行

1.獨立監(jiān)督機構的會議制度

由于獨立監(jiān)督機構的成員大部分為兼職參與公司治理，為確保其順利履行職責，大型互聯(lián)網(wǎng)企業(yè)，一則需要盡到必要信息提供義務，以消除信息不對稱，滿足獨立監(jiān)督機構成員的知情需求，如介紹情況、提供材料等，定期通報個人信息保護相關工作情況；二則應當暢通信息溝通與交流渠道，指定專人負責與獨立監(jiān)督機構及成員的日常聯(lián)系，及時響應獨立監(jiān)督機構及成員的意見和建議；三則為獨立監(jiān)督機構成員提供履行職責所必需的工作條件并承擔相應的費用，如獨立監(jiān)督機構聘請第三方審計機構進行審計合規(guī)的支出。

獨立監(jiān)督機構行使諸如進行監(jiān)督和指導、提出建議和意見的權力，以及形成決議皆采取召開會議的形式，這也是獨立監(jiān)督機構行使集體權力的主要方式。獨立監(jiān)督機構成員會議與公司股東會議、董事會議類似，分為常規(guī)會議和臨時會議。為激勵積極履行職責，有關管理規(guī)定可以對會議召開作出具體要求，比如例行的年度會議、半年會議乃至季度會議等定期會議的強制出席要求。獨立監(jiān)督機構的會議由個人信息保護監(jiān)督機構主席召集和主持。

定期會議在靈活性方面有所欠缺，當面臨突發(fā)事件或其他重大事件時，往往需要召開臨時會議。由此可以參照股東臨時會議和董事臨時會議。一方面，三分之一以上的獨立監(jiān)督機構成員機構成員可提議召開，個人信息保護監(jiān)督機構主席收到提議后十日內召集和主持會議；另一方面，當發(fā)生特殊情形時，必須召開臨時會議，比如個人信息泄露、篡改、丟失，大型互聯(lián)網(wǎng)企業(yè)因違法處理個人信息而被提起民事公益訴訟、給予行政處罰、進入刑事調查程序等。定期會議和臨時會議的決議、建議應當按照章程規(guī)定的流程及時提交給企業(yè)的權力機構或者企業(yè)的其他機構和部門。

2.獨立監(jiān)督機構與國家個人信息保護部門的關系

盡管大型互聯(lián)網(wǎng)平臺企業(yè)設置的個人信息保護獨立監(jiān)督機構屬于企業(yè)的內部機構，但是其引入了外部成員而且擔負法律規(guī)定的特殊職責，因此其設立、運行等應受到國家個人信息保護部門的指導和監(jiān)督。具體而言，國家個人信息保護部門宜出臺規(guī)范性文件規(guī)范獨立監(jiān)督機構成員的任職條件、獨立監(jiān)督機構的運行程序，包括發(fā)布供參照執(zhí)行的“模范章程”。國家網(wǎng)絡安全標準委員會可以制定相應的國家標準，指導和規(guī)范獨立監(jiān)督委員會的工作。

成立大型互聯(lián)網(wǎng)平臺企業(yè)個人信息保護獨立監(jiān)督機構成員協(xié)會，研究和協(xié)調各獨立監(jiān)督機構的工作，培訓和考核獨立監(jiān)督機構的成員，制定外部成員的報酬標準，是十分必要的。獨立監(jiān)督機構對企業(yè)個人信息保護事項作出的決定或者提出的鑒定意見，原則上將得到國家個人信息保護部門的認可。在發(fā)現(xiàn)企業(yè)在個人信息保護方面存在重大隱患或者嚴重違法情形時，獨立監(jiān)督機構應當及時向企業(yè)的權力機構提出意見和建議。企業(yè)權力機構拒絕接受的，經(jīng)獨立監(jiān)督機構多數(shù)成員表決同意，應將相關情況報告國家個人信息保護部門。

結 語

本文結合社會治理理念、個人信息保護基本法理和中國社會實際情況，就我國個人信息保護獨立監(jiān)督機構的設立提出如下建議：第一，負有設立義務的大型互聯(lián)網(wǎng)平臺企業(yè)可對應于《分類分級指南》《主體責任指南》中的超級平臺經(jīng)營者和大型平臺經(jīng)營者；第二，該獨立機構主要由外部成員構成，內設于大型互聯(lián)網(wǎng)平臺企業(yè)，與企業(yè)的日常經(jīng)營管理部門隔離，獨立對個人信息保護情況進行監(jiān)督。獨立機構組成人員包括少數(shù)內部人員與多數(shù)外部人員，均有履職的資質要求；第三，獨立監(jiān)督機構的職責定位主要是對大型互聯(lián)網(wǎng)平臺企業(yè)的個人信息處理行為進行自我規(guī)制的再監(jiān)督。個人信息保護法不少條文要求設置新的規(guī)章制度和執(zhí)行機制。無論是本文所論及的獨立監(jiān)督機構，還是強制性一般合規(guī)義務中的組織合規(guī)、制度合規(guī)、技術合規(guī)，均有待網(wǎng)信部門制定相關規(guī)范性文件和標準化管理委員會出臺技術標準，將相對抽象和原則的條文轉化為具體、可操作的行為規(guī)則，以進一步落實和實施個人信息保護法的規(guī)定。