个人信息保护分级监管框架加速健全

清晨下单外卖时，APP强行索取通讯录授权；午间浏览短视频，算法精准推送午休时与朋友聊到的商品；打算注销闲置账户，在设置入口来回翻寻仍找不到入口……这些司空见惯的“数字烦恼”，有望迎来系统性破解。

近日，国家网信办就《大型个人信息处理者个人信息保护规定（征求意见稿）》向社会公开征集意见。在此之前，国家网信办与公安部联合发布《小型个人信息处理者个人信息保护简化措施规定》，明确处理不足10万人个人信息的机构可适用简化合规义务。一“简”一“严”、一“放”一“管”，我国个人信息保护的分级监管版图正在趋于完整。

监管视野的一次范式升级

征求意见稿对大型个人信息处理者的界定，应当统筹考量以下条件：处理1000万人以上自然人个人信息；提供涉及个人信息处理的关键网络平台服务，或经营范围横跨多种业务且涉及个人信息处理；个人信息处理活动对国家安全、经济运行、社会秩序、公共健康和安全等具有重大影响。

工业和信息化部信息通信经济专家委员会委员盘和林举例说明：微信月活跃账户已达14.32亿户，支付宝用户逾10亿户，腾讯、蚂蚁归入大型个人信息处理者范畴；淘宝、拼多多、京东、美团、滴滴、携程等电商及生活服务平台，抖音、快手、微博、小红书、B站等内容平台，OPPO、vivo、荣耀、小米等智能终端制造商，DeepSeek、MiniMax、Kimi等AI大模型服务商，大型银行与电信运营商，均在覆盖范围之内。

值得关注的是，认定标准并非单一考量用户规模。盘和林强调，即便未触及1000万的量化门槛，若业务涉及关键信息基础设施、提供基础性网络服务，或对国家安全、经济运行等具有重大影响，也存在被纳入监管的可能。这种“定量+定性”的复合原则，折射出监管“比例原则”与“风险分级”的治理逻辑——监管资源始终有限，将重心集中于处理海量个人信息、社会影响广泛的大型处理者，能以最高效率防范系统性风险。

中国社会科学院法学研究所研究员周汉华此前曾指出，我国《个人信息保护法》第五十八条对“守门人直接义务”的规定仅有两项，“本身内容较为原则，刚性不足”，只能称作“半个守门人条款”。而本次征求意见稿从认定标准、处理规则、内部义务、监督委员会到法律责任进行了系统性细化，填补了原有法律规则的落地空白。

为数据权力加装制度“刹车”

征求意见稿中最受关注的条款之一，在于“大型个人信息处理者收集个人信息，应当遵循最小必要原则，限于提供产品或者服务所必需，不得过度收集个人信息”。这一原则如何落地？盘和林认为，其一，要建立“功能服务—个人信息”映射清单，外卖平台可以采集送餐地址，但无权要求开放通讯录；修图软件需要读取相册，但不必获取位置信息。其二，要限制数据调用权限与频次，工作人员数据访问实行最小授权，操作记录至少留存6个月。其三，要对SDK与第三方组件实施穿透式管理，要求以结构化清单载明嵌入的SDK名称、版本、运营者及收集个人信息的类别，堵住“暗中输送”式采集的漏洞。

如果说“最小必要”是对数据处理行为的约束，那么“个人信息保护监督委员会”则是对企业内部治理架构的重塑。征求意见稿规定，大型个人信息处理者应当自被认定之日起6个月内成立主要由外部成员构成的监督委员会，“成员不少于7名，外部成员占比不低于三分之二”，负责人须由外部成员担任且具备高级合规审计人员资质。

盘和林分析，这一设计与企业内部部门存在本质差异：外部成员本人及直系亲属不得在企业及其子公司任职，不得直接或间接持有企业已发行股份1％以上，不得为企业及其关联企业提供财务、法律、咨询、审计等专业服务——从制度上斩断了利益关联。监督委员会至少每6个月召开一次定期会议，有证据证明存在违法情形的，经三分之一以上成员提议可召集临时会议；监督意见须取得全体成员三分之二以上同意方可形成，企业董事会无正当理由不予采纳的，监督委员会可向省级网信部门报告。这意味着外部监督机构不仅拥有“发言权”，还具备“上报权”。

普通用户将迎来哪些变化？

对于不研读法律条文的普通用户而言，这部规定若付诸实施，将带来切实可感的转变。

首先是“信息收集清单”更加清晰易读。征求意见稿要求，以结构化清单形式载明每项功能服务收集使用个人信息的目的、方式、种类，调用权限名称、频次，收集使用敏感个人信息的必要性以及对个人权益的影响。未来打开APP，用户将一目了然：该功能为何需要我的位置，该权限调用频次如何。

其次，“个性化推荐”可一键关停。征求意见稿明确要求“设置易于理解、便于访问和操作的个性化推荐关闭选项”，用户选择关闭后，企业应当停止将相关个人信息用于个性化推荐目的，并为用户提供删除针对其个人特征的用户标签等功能。

再次，“个人信息转移”变得切实可行。对符合《网络数据安全管理条例》第二十五条规定条件的个人信息转移请求，大型个人信息处理者应当自完成个人身份核验和请求核验后30个工作日内采取通用或者机器可读的格式转移个人信息，并以邮件、电话、短信等方式告知个人处理结果。这意味着用户可要求平台将自己的数据“打包”转移至新平台，降低切换平台的成本。

最后，“删除权”有了明确的时间限定。个人请求删除个人信息的，大型个人信息处理者应当及时删除；确有理由无法删除的，应当在15个工作日内作出答复。

此外，便捷的撤回同意渠道、不超过15个工作日的投诉举报响应时限等条款，都在将个人信息权利从“纸面权利”转化为“可执行权利”。

数字中国建设持续推进的背景下，统筹产业创新发展与个人信息安全保护，是监管机构、互联网企业共同面对的核心课题。而对于每一个普通用户而言，一个更透明、更可控、更安心的数字生活，或许正从这份征求意见稿启程，从纸面照进现实。（记者 吴双）