专家解读个人信息保护负责人制度

刘权：个人信息保护负责人属于履行公共职能的私人监督者。个人信息保护负责人的产生，是政府强化企业自我规制以弥补数字时代行政监管不足的现实需要。2017年发布的《信息安全技术个人信息安全规范》首次使用“个人信息保护负责人”一词，2021年起施行的《中华人民共和国个人信息保护法》中将其职能定位为“负责对个人信息处理活动以及采取的保护措施等进行监督”。

面对日新月异的数字科技和几乎无处不在的个人信息处理行为，监管部门存在“知识供给不足”、违法信息获取的滞后性、人财物的有限性等缺陷，导致传统的行政监管日益捉襟见肘、力不从心。自我规制主体拥有充分的“内部知识”和较高的专业技术水平，可以通过较低的成本更快捷地回应技术变化，更容易创造出更有力的监管手段。

《法治周末》：个人信息保护负责人的职责是什么？

刘权：个人信息保护负责人的使命是为保护个人信息，可以较为有效地监督高风险的不合规处理行为。通过对个人信息处理者的作为和不作为行为进行全面监督，如监督是否制定并及时更新了个人信息保护政策和相关规程、是否开展了有效的个人信息保护影响评估、是否定期进行了合规审计、是否采取了必要的安全保护措施，个人信息保护负责人可以预防和制止不合规的个人信息处理而达到未雨绸缪的效果。

此外，个人信息保护负责人作为连接纽带，有利于推动个人信息保护的公私合作治理。通过对内负责对个人信息处理活动以及采取的保护措施等进行监督，对外协助个人信息权益人实现其权利束，并及时向监管部门报告相关情况，个人信息保护负责人可以有效协调多方力量共同保护个人信息。

《法治周末》：个人信息保护负责人应具备哪些条件？

刘权：我国的个人信息保护负责人应当诚实正直，具备法律、经济、科技、政治等专业知识，并具有一定的管理和沟通能力。首先，诚实正直应是担任个人信息保护负责人的首要条件。其次，个人信息保护是一项高度专业化的活动，个人信息保护负责人必须具备相应的专业知识，尤其是应熟知网络与信息法。最后，个人信息保护负责人应具有一定的管理和沟通能力，能够有效同个人信息处理者、监管机构和个人信息权益人沟通。此外，担任个人信息保护负责人应不违反从业禁止情形。

符合条件的内部员工和外部人员，都可以被指定为个人信息保护负责人，二者各有利弊。外部人员有可能具备更高的专业能力，更高的工作效率，但外部人员无法有效掌握企业内部信息，难以进行有效的沟通协调，且投入监督的时间、精力较为有限，为了更好地对个人信息处理者进行具体、深入的日常监督，宜指定符合条件的内部员工担任个人信息保护负责人，但应从制度上保障其能够独立地履行监督职责。

保障个人信息保护负责人独立性

《法治周末》：个人信息保护负责人的设立标准和适用主体方面，在您看来应该如何合理确定呢？

刘权：个人信息保护法第52条要求“处理个人信息达到国家网信部门规定数量的个人信息处理者”应设立个人信息保护负责人。之所以以个人信息处理数量为标准，是因为处理的个人信息数量越多，对个人甚至对社会、国家造成损害的可能性就越大。然而，尽管个人信息处理数量较少，但如果处理的都是敏感个人信息，也可能造成毁灭性影响。应防止“一刀切”地以个人信息处理数量作为强制设立个人信息保护负责人的标准。因此，在以个人信息处理数量为标准的基础上，需要进一步区分个人信息的种类和级别。一般而言，处理的个人信息越重要，个人信息处理数量的门槛应当设置得越低。

目前，社会对个人信息滥用的关注点基本上都集中在对个人和商业机构上，缺少对国家机关的个人信息处理行为的关注。实际上，无论是私人主体还是公共机构，都存在故意或过失侵犯个人信息的可能。公共机构同时属于个人信息保护者和个人信息处理者，负有对私主体的个人信息处理进行监管的职责，但同时应确保自身进行个人信息处理时合规，同样有必要设立个人信息保护负责人。

《法治周末》：为保障个人信息保护负责人的独立性，您有哪些建议？

刘权：想要使个人信息保护负责人独立有效地监督个人信息处理者，需要完善的配套制度予以保障。其一，个人信息处理者应当将所有相关信息及时提供给个人信息保护负责人，并保障其能够参与重要会议。个人信息保护负责人在履职时不应受到任何干预，独立发表不同意见的权利应得到保障。其二，为个人信息保护负责人提供必要的资源。除必要的物质资源外，还包括履职所应当具备的所有相关条件，如获得管理高层的支持、充裕的履职时间、适当的人财物支持、访问其他部门的必要权限、持续的培训等。其三，个人信息保护负责人应具有相对独立的地位，不应受任何部门的直接领导，有权自主开展监督活动。如果个人信息保护负责人独立履职面临较大的内部阻力，监管机构应提供相应的帮助。其四，个人信息保护负责人的法定职责为“监督”，不应同时履行存在利益冲突的职责。

我认为，作为数字时代市场需求巨大的个人信息保护负责人，需要通过专门的培养与认证机制予以职业化，才能有效保障其履职的独立性和专业性。必要时可以通过考试等方式，为符合资质的人员颁发个人信息保护负责人证书。

此外，个人信息处理者不得随意解雇或惩罚个人信息保护负责人，以保障其能够安心无忧地独立行使监督职责。即使同样是企业的内部员工，对个人信息保护负责人的解雇或惩罚也应当适用更为严格的条件和程序。除非基于重大事由，否则不得随意解雇个人信息保护负责人。个人信息保护负责人的合同越稳定，防止不公平解雇的保障措施越多，就越有可能独立履职。

《法治周末》：如出现个人信息泄露的情形，个人信息保护负责人是否要承担责任？

刘权：个人信息保护负责人不是真正的“负责人”，而是“监督人”，所以不应对个人信息保护负直接责任，只应在监督不力或故意违法的情形下承担责任。

如果个人信息保护负责人没有过错，勤勉尽职地进行了独立有效的监督，即使发生了个人信息损害，也不用对此承担责任。个人信息保护法第69条规定了过错推定原则，即个人信息处理者能证明自己没有过错的，即使存在损害也不用承担侵权责任。过错推定原则也可适用于个人信息保护负责人，如果其能证明自己有效履行了监督职责而没有过错，就不用承担责任。如果个人信息保护负责人存在过错而没有独立有效地履行监督职责，应根据过错大小承担相应的责任。如果明知或应当知道个人信息处理者的个人信息处理活动违法，或明知或应当知道个人信息处理者没有采取必要的保护措施，但仍然不提出有效的监督建议，不及时向监管机构报告，则个人信息保护负责人应承担相应的责任。如果个人信息保护负责人只是由于过失而没有独立有效地履行监督职责，应根据过失大小确定责任大小。如果个人信息保护负责人直接参与到个人信息处理活动中导致个人信息损害，或是帮助个人信息处理者掩盖、销毁证据，应同个人信息处理者一起承担连带责任。

【2024澳门天天开好彩大全免费】【新澳天天开奖资料大全最新】

【2024年天天开好彩资料】 【新澳天天开奖资料大全最新54期】

【2024澳门天天开好彩大全53期】 【澳门天天开彩期期精准】

【2024全年资料免费大全】 【新澳天天开奖资料大全】

【澳门内部最精准免费资料】 【2024澳门天天开好彩大全】

【2024年新奥门天天开彩免费资料】 【新澳2024今晚开奖资料】【新澳门彩历史记录近30期】

点赞数: 0