人大教授张新宝：应优先出台头部企业外部独立监督机制等配套规定

21世纪经济报道记者王俊 北京报道 

11月1日个人信息保护法即将实施，作为我国第一部个人信息保护的专门法律，如何确保其得到全面、正确、有效地实施是学界近期研究重点。10月23日，第五届全国智能科技法治论坛上，中国人民大学法学院教授张新宝就此发表了主旨演讲。

张新宝提出针对敏感个人信息、个人信息跨境、头部企业外部独立监督机制等五个方面，应当优先制定出台配套相关规定；在个人信息保护法实施后一段时间，有必要开展一次严格的集中执法活动；并且，加强不同部门之间的执法配合。

优先出台敏感个人信息保护规则

“个人信息保护法共计八章七十四条，立法者想要在有限的篇幅里实现对个人信息处理活动的全面调整，对于部分较为复杂的问题只能做出框架性规定，事后的具体落实有待司法解释、行政法规、部门规章予以进一步细化。”张新宝指出。

张新宝建议，抓紧制定出台相应配套规定，尤其是针对敏感个人信息、个人信息跨境、头部企业外部独立监督机制等五方面，应优先制定出台配套相关规定。

具体来看：

一、关于敏感个人信息保护规则。个人信息保护法对敏感个人信息处理规则包含较多的概括性规定以及指引性规定。目前我国关于敏感个人信息保护相关的法律文件，主要是《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》、《儿童个人信息网络保护规定》等，相关规定还有待进一步加强。 

二、关于个人信息跨境提供的配套规定。张新宝指出，个人信息保护法就个人信息跨境提出的安全评估、个人信息保护认证标准、标准合同等制度具体如何应用，有待于国家网信办等有关部门作出后续规定。

三、关于个人信息处理合规审批的配套规定。个人信息保护法第五十四条规定，个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。

“个人信息处理合规审计涉及第三方机构，关于这类机构的设立以及运行，目前缺乏相应的法律法规调整，需要制定细化规则。”张新宝表示。

四、头部企业外部独立监督机制的配套规定。个人信息法第五十八条规定，提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应成立主要由外部成员组成的独立机构对个人信息保护情况进行监督。

张新宝表示，现阶段加强头部企业的外部独立监督，对营造个人信息保护的行业治理机制，提升个人信息保护的治理水平具有重要意义。这类机构应当如何行使监督权，职权独立性如何得到保障？其运作需要国家网信部门制定进一步的规章制度加以规范。

五、关于个人信息保护评估认证服务的配套规定。个人信息保护法第六十二条规定，国家网信部门统筹协调有关部门，支持有关机构发展个人信息保护的评估认证服务。

张新宝指出，进行个人信息保护影响评估是特定情况下个人信息处理活动规范化的要求,个人信息保护认证对个人信息处理行业的准入机制形成将起到明显的促进作用，相关制度以及机构的建设需要大力推进。

开展一次严格的集中执法活动

11月1日，个人信息保护法将正式实施。那么对于法律实施前个人信息处理者已经收集、处理、存储的个人信息，在处理这类存量信息时如果存在违反个人信息保护法的情形，是否应当按照个人信息保护法的规定追究其责任？

张新宝指出，应当以个人信息保护法实施之日作为时间节点区分实施前、实施后，分别作出判断。

此外，他强调，应实施进行一次严格的执法集中执法活动。

个人信息保护法第七章对违反处理个人信息的法律责任作出了全面规定，包括高额罚款以及直接主管人员和其他直接责任人的职业准入禁止等新责任形式。

“个人信息保护法实施后一段时间，有必要适时展开一次严格的集中执法活动，对严重侵害个人信息行为处以高额的罚款或者职业准入禁止，会起到一定的威慑作用。”张新宝指出。

他建议，开展集中执法活动的时间不宜过早，给企业一定的准备时间，但也不能太晚。实施后半年到一年是一个较为合适的集中执法时间。

加强不同部门之间执法配合 

个人信息保护的实施落地离不开各个监督监管部门的相互配合。

根据个人信息保护法第六十条，履行个人信息保护责任的部门可分为两类，一类是负责统筹协调个人信息保护工作和相关监督管理工作的国家网信部门，包括中央网信办和地方网信办。第二类是负责个人信息保护监督管理职能的国务院内有关部门以及县级以上的地方人民政府的有关部门，其内含的个人信息保护机构具体负责履行职能责任。

张新宝强调，前述两个部门机构都负有个人信息保护的法定职责，因此需要明确二者之间的职责关系。

他建议，国家网信部门应作为牵头单位负责联合调查的组织协调工作，其他部门内含的个人信息保护机构根据各自管辖领域的执法权限参与其中，进而实现统筹协调,各行其职。