個人信息保護負責人履職困境和規制策略研究
網絡安全與數據治理
張冬陽，周晨宇
中國政法大學法學院
摘要： 個人信息保護負責人集監督、代表和信息功能為一體，但作為組織成員過度依賴企業組織設計且缺乏決策權限，導致上述功能無法得到發揮。為了保障個人信息保護負責人獨立履職，使個人信息保護成為企業內生機制，國家應當進一步要求企業將組織義務轉化為有約束力的實施方案提交給監管機關，后者可以據此對個人信息保護負責人的監督能力進行審查，必要時采取制裁措施。對于個人信息保護負責人行政法律責任的承擔，應當根據個人信息保護負責人履職過程中的實際權限大小、是否窮盡可行手段防止違法行為進行綜合判斷。
中圖分類號：D922.16文獻標識碼：ADOI:10.19358/j.issn.2097-1788.2024.12.014
引用格式：張冬陽，周晨宇. 個人信息保護負責人履職困境和規制策略研究［J］.網絡安全與數據治理，2024，43（12）：94-99.
引用格式：張冬陽，周晨宇. 個人信息保護負責人履職困境和規制策略研究［J］.網絡安全與數據治理，2024，43（12）：94-99.
The dilemma of duty performance and regulatory strategies for personal information protection officers
Zhang Dongyang, Zhou Chenyu
School of Law, China University of Political Science and Law
Abstract： The personal information protection officer (PIPO) integrates supervisory, representative, and informational functions. However, as a member of the organization, they are overly reliant on the corporate organizational structure and lack decision-making authority, which prevents these functions from being effectively fulfilled. To ensure that the PIPO can independently perform their duties and make personal information protection an intrinsic mechanism within the company, the state should further require enterprises to convert organizational obligations into binding implementation plans submitted to regulatory authorities. These authorities can then assess the supervisory capabilities of the PIPO and impose sanctions if necessary. As for the administrative legal responsibility of the PIPO, a comprehensive judgment should be made based on the actual authority of the PIPO during the performance of his duties and whether all feasible means have been exhausted to prevent illegal activities.
Key words : personal information protection officer; personal information protection compliance; meta-regulation; organizational obligations; supervisory responsibilities
引言
從事個人信息處理活動的各類組織是個人信息保護的第一責任人，有義務采取必要的措施保障個人信息安全。為了有助于這一主體責任的落實，《個人信息保護法》明確規定了個人信息處理者的合規管理和保障個人信息安全等義務，要求其制定內部管理制度和操作流程，指定個人信息保護負責人對其個人信息處理活動進行監督［1］。
根據《個人信息保護法》第52條，處理個人信息達到國家網信部門規定數量的個人信息處理者應當指定個人信息保護負責人對組織內部個人信息處理活動以及所采取的保護措施進行監督，并公開個人信息保護負責人相關信息。2023年8月，國家互聯網信息辦公室發布《個人信息保護合規審計管理辦法（征求意見稿）》，根據所附個人信息保護合規審計參考要點，個人信息保護負責人的設立和履職成為互聯網平臺個人信息保護合規的核心任務之一。個人信息保護負責人制度被認為有助于從結構上完善個人信息處理者的組織體系，進而改變其思考和行為方式，使個人信息保護成為組織的內生機制［2］。被寄予厚望的個人信息保護負責人制度是否能夠真正地發揮個人信息保護合規的效用，立法者又應該作出怎樣的制度設計才能夠讓組織化的個人信息安全管理取得實效性，是一個值得繼續研究的問題。
本文詳細內容請下載：
http://www.cowatch.cn/resource/share/2000006273
作者信息：
張冬陽，周晨宇
（中國政法大學法學院，北京100088）
此內容為AET網站原創，未經授權禁止轉載。