周汉华强调，“徒法不足以自行”，需要通过制定司法解释、行政法规、部门规章或者地方性法规，推动个人信息保护法有关制度的落地。
　　“守门人”个人信息保护社会责任测评报告首发①：敏感个人信息提示不充分，外部监督机制待完善 《个人信息保护法》实施一周年是否打破被动让渡个人信息的宿命 “个人信息保护法实施一周年实践与展望”高峰论坛在京举行平台主体责任落实成关注焦点
　　《个人信息保护法》颁布一年后中国互联网大厂仍难以进入“守门人”角色？ 最高人民检察院检委会委员、第八检察厅厅长胡卫列：发挥检察公益诉讼职能为个人信息保护提供法治保障专家学者、企业代表热议《个人信息保护法》一周年实践经验：保护与合理利用平衡难题待解，中小企业需更多合规指引 “守门人”个人信息保护社会责任测评报告首发②：单独同意变打包同意社会责任报告制度仍需落实合力共筑个人信息权益保障的法治生态——写在《个人信息保护法》实施一周年专访张新宝：个人信息保护法落地可先抓大带小重点治理大型平台企业
　　展开更多
　　2021年8月20日，《中华人民共和国个人信息保护法》由第十三届全国人民代表大会常务委员会第三十次会议通过，成为中国首部个人信息保护的专门性法律。
　　个人信息保护法的立法进程持续了近20年，这20年间，中国社会科学院法学研究所副所长、中国法学会网络与信息法学研究会负责人周汉华持续研究和推动立法，早在2005年，他就领衔中国社会科学院法学研究所个人信息数据保护法研究课题组形成了最早的个人信息保护法专家意见稿之一。
　　这些年，他持续为个人信息保护鼓与呼，见证了这部法律从研究立项、搁置、热点事件催化后的立法提速、颁布实施。
　　而今法律颁布已一年，周汉华的关注点更为实际，相关制度如何落地是他心系的问题，“大型互联网平台的四类义务，实践中如何判定违反四类应当承担的责任？如何判断对个人信息保护情况进行监督的独立机构的‘独立性’？……”都是亟待解决的问题。
　　他不断强调，“徒法不足以自行”，需要通过制定司法解释、行政法规、部门规章或者地方性法规，推动个人信息保护法有关制度的落地。
　　《个人信息保护法》的实施是个人、企业、执法者的共同关切
　　《21世纪》：在《个人信息保护法》之前，我国已有《网络安全法》《电子商务法》《民法典》等多部涉及个人信息的法律。您如何看待《个人信息保护法》单独立法在我国顶层设计中的必要性？
　　周汉华：我国关于个人信息保护的法律制度是随着我国法治建设而逐渐完善的。在《个人信息保护法》出台之前，《全国人大常委会关于加强网络信息安全保护的决定》《网络安全法》《电子商务法》《民法典》等多部法律规定了若干个人信息保护的条文，但是有关内容不够系统全面。
　　此外，个人信息领域的新技术、新业态、新模式不断涌现，既有的法律制度不能很好地解决新出现的法律问题。制定《个人信息保护法》，有助于在个人信息保护方面形成更加完备的法律规范体系，为保护个人信息权益、规范个人信息处理活动、促进个人信息合理利用等提供更加坚实的法治保障。
　　《21世纪》：《个人信息保护法》颁布一周年，给整个社会环境带来了怎样的影响？
　　周汉华：《个人信息保护法》颁布一年以来，全社会更加重视对个人信息的保护，个别侵犯公民个人信息的案件可能会引起社会的广泛关注甚至成为重大舆情事件。《个人信息保护法》成为个人、企业、执法者谈论个人信息保护时的基本依据，如何更好地实施《个人信息保护法》成为个人、企业、执法者的共同关切。
　　《21世纪》：您认为接下来有哪些可以作为重要抓手推动这部法律的落地？
　　周汉华：一是继续完善细化法律制度。特别是通过制定司法解释、行政法规、部门规章或者地方性法规，推动《个人信息保护法》有关制度的落地。
　　《个人信息保护法》的出台并不意味着我国已经形成完备的个人信息保护制度体系。《个人信息保护法》许多条款都比较原则，对于许多问题还没有提出最终的解决方案，因此需要根据实践发展情况，适时地修改法律、制定新的法律，或者司法解释、行政法规、部门规章、地方性法规等，不断推进《个人信息保护法》的实施。
　　二是通过案例推进法律实施。个人信息保护的场景较多，不同场景下法律适用规则可能不完全一样，因此可能暂时难以制定明确的、体系化的司法解释或实施细则。通过个案的执法、司法明确法律适用规则，也是推进《个人信息保护法》落地的重要途径。
　　判断企业是否履行“守门人”条款成难点
　　《21世纪》：对于大型平台企业，《个人信息保护法》课以更多的义务，“守门人”条款当时纳入法律时争议很大，您如何看待这个争议？为大型平台设置“守门人”条款目前来看落地情况如何？还有哪些难点需要解决？
　　周汉华：互联网平台对于促进数字经济发展发挥着重要作用，但是随着互联网平台企业的壮大，逐渐出现了一些超级平台利用数据优势阻碍竞争、侵害用户权益等现象，加强对互联网平台特别是超级平台的治理已经成为全球共识。这种情况下，《个人信息保护法》加入“守门人”条款是有必要的。
　　《个人信息保护法》第五十八条规定，提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者应按照国家规定，建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督。遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务。对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务。定期发布个人信息保护社会责任报告，接受社会监督。
　　目前，主要的大型互联网企业基本上都已经针对该条款的要求开展了相应的合规工作。但由于“守门人”条款内容比较原则，如何判断企业是否已经履行义务，成为实践中亟需解决的难题。
　　例如《个人信息保护法》第五十八条规定了大型互联网平台的四类义务，实践中如何判定违反四类应当承担的责任？如何判断对个人信息保护情况进行监督的独立机构的“独立性”？大型互联网平台被要求“定期发布个人信息保护社会责任报告，接受社会监督”，这是否意味着大型互联网企业要承担一定的社会责任，还是只要定期发布报告即可？
　　举一个极端的例子，假如某一互联网平台除履行法律义务之外，没有承担任何社会责任，也如实地发布报告，那么该互联网平台是否要承担法律责任？从立法目的来看，第五十八条要求大型互联网平台承担法律义务之外的社会责任。但是另一方面，既然社会责任没有法律的明文规定，那么我们如何对企业承担社会责任的情况进行评价？
　　《21世纪》：对于上述问题，在政策制定层面，您有何建议？
　　周汉华：期待国家网信办出台大型平台的具体认定机制和标准、动态发布被认定为大型平台的名单，并就大型平台社会责任报告提供具体指引目录。也可以结合实践中发布社会责任报告的情况，适时选出最佳实践予以引导和推广。
　　我们也正在组织开展这方面的独立评测，希望通过第三方的专业优势，对大型平台的个人信息保护社会责任尽职情况进行监督。
　　为世界贡献中国方案
　　《21世纪》：《个人信息保护法》的域外效力如何？
　　周汉华：随着数字经济全球化的不断推进，个人信息跨境处理活动也大量增加，个人信息保护的安全风险日益突出，但由于各国法律制度和保护水平不同，完全依靠传统的属地管辖已经不能满足个人信息保护的需要。
　　为此，《个人信息保护法》借鉴有关国家和地区的做法，规定了域外适用效力，以充分保护我国境内个人的合法权益。《个人信息保护法》的域外效力针对的主要是在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动。《个人信息保护法》第三条规定了三类境外个人信息处理活动的适用情形：一是以向境内自然人提供产品或者服务为目的；二是分析、评估境内自然人的行为；三是法律、行政法规规定的其他情形。
　　《21世纪》：世界范围内，超过120个国家和地区都已完成或在寻求个人信息保护的立法。您如何看待我国《个人信息保护法》的探索？
　　周汉华：当前，信息领域还没有形成国际通行的规则和有效的执行机制，我国在制定《个人信息保护法》时，既借鉴了境外有益经验，也结合中国实际进行了有益探索，为世界贡献了中国方案。
　　例如，如何通过设计有效的激励相容机制调动信息处理者的积极性，提高个人信息保护的实效，实现保护与利用的统一，避免命令控制式管理方式带来的各种负面影响，一直是各国关注的重点，《个人信息保护法》在这方面也进行了有益的探索。
　　针对我国信息安全管理实践中存在的重复检测、认证等痼疾，第五十四条、五十五条分别设计了特色鲜明的合规审计与风险评估制度，不同于很多国家的法律规定。这些制度设计既避免了采用检测、认证等传统手段可能带来的负作用，调动了信息处理者自我合规审计、自主风险评估的积极性，又保留了特定情形下管理部门要求委托专业机构进行合规审计，并通过明确界定风险评估的范围和标准，实现以自律为主、自律与他律相结合的管理方式创新，有望走出传统管理方式中常见的“一抓就死、一放就乱”的两难格局。
　　此外，《个人信息保护法》专章规定了“个人信息跨境提供的规则”，规定了向境外提供个人信息的基本条件和基本制度，包括单独同意制度、安全评估制度、司法协助、限制或者禁止名单制度(黑名单制度)、对等反制措施等等，一方面保障了正常必要的个人信息跨境处理活动，另一方面维护了我国数字主权和个人信息安全，特别是第四十一条重申了我国《国际刑事司法协助法》的立场，规定“非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息”，有力地维护了我国的数字主权。
（文章来源：21世纪经济报道）