[摘要]個人信息保護行政監管歷來存在“九龍治水”的情況，《個人信息保護法》也未設置單獨、獨立的監督機構監管個人信息保護，而是設定了“統籌監管下的協作監管（1+X）”的監管模式，包括國家網信辦、工信部、公安部、市場監管總局四部委，以及國務院及地方政府的相關部門。從過往的監管行動來看，個人信息保護的行政監管呈現專項執行、聯動執行、高頻次、公開通報以及更加科學和技術化等趨勢，但也存在監管分散、監管職責不清、程序不明，缺乏專業性、獨立性等問題，亟待解決。

[關鍵詞]個人信息保護；行政監管；聯動執行；監管分散

數字經濟時代，個人信息作為新的生產要素，作用越發凸顯，不僅影響到個人權益、企業經營，更關系到公共利益和國家安全。伴隨著信息技術的發展，個人信息違法違規收集和使用等問題愈加嚴峻，個人信息違法犯罪活動也日益增多，如何有效地監管個人信息的收集和處理，打擊個人信息違法犯罪行為，平衡個人信息的保護和利用，已成為重要課題。行政監管是個人信息保護的主要方式和力量，介于民事和刑事之間，通常能夠更加快速和有效地進行監管，更好地預防和制止風險，及時懲處或校正個人信息處理不當行為，行政執法也可以為涉及個人信息處理的企業提供合規指引、參考。近年來，監管機構不斷通過各類執法行動對個人信息違法犯罪行為進行懲治和監管，取得了良好效果。但是，個人信息保護的行政監管機構眾多，存在標準不一、監管領域不清等問題，既可能導致個人信息主體遭受侵害時救濟途徑不清，有可能造成企業因疲于應付監管而無法真正做好個人信息保護。因此，厘清個人信息保護行政監管的現狀及問題，有利于行政監管發揮事前預防、事中監督和事后處理貫穿個人信息保護全過程的作用^[]，更好地保護個人信息權益。

一、個人信息保護行政監管的現狀

個人信息保護的行政監管素來存在“九龍治水”的現象，網信部門、電信主管部門、公安部門、市場監管部門以及金融、教育、交通、醫療、衛生等相關領域的主管部門都負有監管責任。在《個人信息保護法》立法過程中，多位專家、學者呼吁立法設立統一、專門的監管機構，但剛頒布的《個人信息保護法》^[]并未單獨設置專門的機構監管個人信息保護，深入參與和推動個人信息保護立法的法學專家周漢華教授也對此表示遺憾^[]。《個人信息保護法》設定的個人信息保護行政監管模式與既有監管模式沒有太大不同，但又有所變化。沒有太大不同，是指《個人信息保護法》沒有設立統一、專門的監管機構，仍然延續了以往多方監管的模式，而有所變化是指《個人信息保護法》雖然延續了多方監管的模式，但明確了國家網信部門在個人信息保護監管中的統籌協調地位和作用，不再是單純的監管部門“各司其職”的模式，該規定對解決個人信息保護監管中存在的監管分散、相互推諉等問題無疑具有現實意義。

依照《個人信息保護法》第六十條的規定，國家網信部門、國務院有關部門以及縣級以上地方人民政府有關部門共同組成了我國個人信息保護的監管部門，法律上稱之為“履行個人信息保護職責的部門”。《個人信息保護法》設定的監管模式可以歸納為“統籌監管下的協作監管（1+X）”模式^[]，“1”指國家網信部門，負責統籌協調個人信息保護工作和相關監督管理工作，“X”指國務院有關部門和縣級以上人民政府有關部門，依照有關法律、行政法規的規定在各自職責范圍內負責個人信息保護和監督管理工作^[]。

“X”具體包括哪些部門，《個人信息保護法》未作明確規定，通過梳理現行法律法規可以確定，“X”既包括橫向層面的公安部、工信部、國家市場監管總局等國務院有關部門，也包括縱向層面的各地網信辦、通信管理局、市場監管部門等地方政府有關部門，同時還包括特定領域和特定行業的國家安全部門、中國人民銀行、中國銀行保險監督管理委員會、交通運輸主管部門、衛生健康主管部門、教育主管部門等。（參見表1）

表1 我國個人信息保護的部分行政監管機構

地位/作用	領域/行業	監管機構
統籌協調	網絡安全、互聯網信息內容管理	國家互聯網信息辦公室
協作 （國務院有關部門）	電信和互聯網	工業和信息化部
	網絡安全、互聯網違法犯罪活動	公安部
	市場監督管理、消費者保護	國家市場監督和管理總局
	金融（銀行/保險）	中國人民銀行、中國銀行保險監督管理委員會
	交通	交通運輸部
	醫療、衛生健康	國家衛生健康委員會
	新聞出版、廣播電視	國家新聞出版署、國家廣播電視總局
	教育	教育部
	國家安全	國家安全部、國家密碼管理局
協作 （地方政府有關部門）	地方網信辦、通信管理局、公安機關、市場監督和管理機關、教育局、衛生健康主管部門、交通運輸主管部門等

 

二、常見的個人信息保護行政監管機構

（一）國家網信辦

國家網信辦，全稱為“中華人民共和國國家互聯網信息辦公室”，設立于2011年5月，是隸屬于國務院的辦事機構。根據國務院的授權，國家網信辦主要負責我國互聯網信息內容管理工作，并負責監督管理執法^[]。《個人信息保護法》頒布前，國家網信辦作為“國家網信部門”，與公安部、工業和信息化部共稱為互聯網監管的“三駕馬車”，在個人信息保護監管上扮演了非常重要的角色。統計近兩年有關個人信息保護監管的執法行動以及有關執法案例，國家網信辦可謂是最為活躍的個人信息保護監管機構之一。《個人信息保護法》頒布后，國家網信辦作為個人信息保護的統籌協調部門，確立了一個比較明確的主導地位，被賦予的權力更多了，將來對個人信息保護的監管力度勢必會只增不減^[]。

國家網信辦作為個人信息保護的主要監管機構，近年來也出臺了許多有關個人信息保護的部門規章及規范性文件，包括《兒童個人信息網絡保護規定》《汽車數據安全規定若干規定（試行）》《網絡安全審查辦法》《移動互聯網應用程序信息服務管理規定》等。此外，各地網信部門（“地方網信辦”）作為地方政府部門承擔了國家網信辦在本轄區的監管職責，與國家網信辦一樣，都是個人信息保護的主要監管機構。

值得一提的是，國家網信辦與中央網信辦是一個機構兩塊牌子，列入中共中央直屬機構序列。中央網信辦，全稱為“中共中央網絡安全和信息化委員會辦公室”，是“中央網絡安全和信息化委員會”的辦事機構，而中央網絡安全和信息化委員會是原“中央網絡安全和信息化領導小組”根據2018年《深化黨和國家機構改革方案》改組而來，主要負責我國網絡安全和信息化領域重大工作的頂層設計、總體布局、統籌協調、整體推進、督促落實。上述機構設置實際強化了國家網信辦的統籌協調地位，更有利于國家網信辦開展個人信息保護監管工作。

（二）工業和信息化部

工信部，即“中華人民共和國工業和信息化部”，2008年在國務院機構改革中由原信息產業部、國防科工委和國務院信息化辦公室組建而成，是國務院的電信主管部門。根據中央機構編制委員會辦公室文件的最新規定，工信部的主要職責包括互聯網行業管理、信息通信管理、網絡與信息安全管理等內容^[]。工信部作為互聯網行業和電信行業的主管部門，很早就關注到了個人信息保護問題，曾在2013年就出臺了《電信和互聯網用戶個人信息保護規定》，對電信業務經營者、互聯網信息服務提供者收集用戶信息行為提出了很多原則和要求，并規定了行政處罰措施^[]。

工信部同為“三駕馬車”之一，曾多次單獨或與其他部門聯合開展個人信息保護的監管執法行動，包括2019年1月與其他部門聯合開展的App違法違規收集使用個人信息專項治理行動^[]，2020年7月單獨開展的縱深推進App侵害用戶權益專項整治行動等^[]。在多部法律法規中，工信部被賦予了個人信息保護監管職責，是我國個人信息保護最重要的監管機構之一。同樣，工信部自身也出臺了多個部門規章、規范性文件，對涉及有關電信和互聯網的個人信息進行保護和監管。除工信部外，各省、自治區、直轄市的通信管理局與工信部統稱為“電信管理機構”，承擔工信部在地方轄區內的監管職責。

（三）公安部

公安部，全稱為“中華人民共和國公安部”，是國務院的組成部門，全國公安工作的最高領導機關和指揮機關。公安部是國家網信辦、工信部之外的另外一架互聯網監管馬車，主要從保障網絡安全的角度切入，負責防范和打擊互聯網上的違法犯罪活動^[]。公安部內設網絡安全保衛局（“公安部網安局”），作為全國公安機關網絡安全保衛工作的領導機關和指揮機關，負責全國互聯網安全監督管理，維護互聯網公共秩序和公共安全，防范和懲治網絡違法犯罪活動。

公安部除了根據刑法等規定對侵犯公民個人信息的犯罪行為進行立案查處外，還可以根據《網絡安全法》《數據安全法》《未成年人保護法》《居民身份證法》《計算機信息系統安全保護條例》《關鍵信息基礎設施安全保護條例》等法律法規的規定對有關個人信息的違法行為進行行政監管，采取治安處罰等措施。公安部以及各地的公安機關，參與到個人信息保護的監管之中，不僅能夠加強監管作用，更能起到震懾作用。

（四）國家市場監管總局

國家市場監管總局，即“中華人民共和國國家市場監督管理總局”，是國務院直屬機構，主要負責組織和實施市場監督管理和執法等工作。國家市場監管總局對于個人信息保護的監管主要體現在消費者保護領域和市場秩序監管方面，根據《網絡安全法》《電子商務法》《消費者權益保護法》《侵害消費權益行為處罰辦法》等法律法規的規定，市場監督管理部門有權對有關個人信息的違法違規行為進行監管和查處，負有個人信息保護的監管職責。2019年3月，國家市場監管總局開展了名為“守護消費暨打擊侵害消費者個人信息違法行為專項執法行動”^[]。因為個人信息違法違規收集使用行為通常會涉及消費者權益保護問題和市場管理問題，所以市場監督管理部門同樣是個人信息保護的重要監管機構，廣泛地參與到多個有關個人信息保護監管的執法行動中。除國家市場監管總局外，各地的市場監管部門在本轄區內也負有個人信息保護的監管職責。

（五）其他有關機構

從以往的執法行動以及執法案例來看，國家網信辦、工信部、公安部、國家市場監管總局及其地方分支機構，是個人信息保護的常見監管機構，在個人信息保護方面發揮了不可替代的作用。除此之外，還有在特定領域和特定行業的一些常見監管機構，比如監管個人金融信息的“一行兩會”^[]，監管個人健康醫療信息的國家衛生健康委員會，監管個人交通運輸信息的交通運輸部，監管個人教育信息的教育部，以及這些機構的分支或派出機構等。相關監管機構也多次通過制定部門規章、規范性文件以及開展專項執法行動等方式對進行個人信息保護和監管工作。

三、個人信息保護行政監管的執法實踐

（一）主要執法方式和特點

我國對于個人信息的保護實際是刑事先行，通過2009年的《刑法修正案（七）》、2015年的《刑法修改案（九）》和2017年“兩高”侵犯公民個人信息案司法解釋^[]等規定建立和完善了“侵犯公民個人信息罪”的刑事追責制度。2016年徐玉玉被騙死亡案件^[]發生后以及2017年《網絡安全法》施行以后，個人信息保護問題受到全社會的關注，監管機關也逐漸重視個人信息保護問題。分析有關監管機構近年來的各類執法行動及執法案例發現，個人信息保護監管的主要執法方式和特點包括：

1.專項執法、聯合（聯動）執法居多。

2019年至今，國家及地方的網信辦、電信管理機構、公安機關、市場監管部門、教育主管部門等監管機構開展多達10余次的專項執法行動或整治行動，針對個人信息違法違規收集使用等問題進行專門、集中的監管執法或整治。專項執法行動的時間跨度大、覆蓋范圍廣，并且呈現多部門聯合（聯動）執法、綜合治理的趨勢，多個部門以建立工作組的形式，形成個人信息保護監管的協同機制，共同采取執法行動和監管舉措。（參見表2）

表2  2019-2021年部分個人信息保護執法行動

日期	監管機構	執法行動名稱	執法方式
2019年1月23日	中央網信辦、工信部、公安部、國家市場監管總局	《中央網信辦、工業和信息化部、公安部、市場監管總局關于開展App違法違規收集使用個人信息專項治理的公告》	專項執法、聯合執法
2019年1月23日	公安部	“凈網2019”專項行動	專項執法
2019年3月12日	國家市場監管總局	《市場監管總局辦公廳關于開展“守護消費”暨打擊侵害消費者個人信息違法行為專項執法行動的通知》	專項執法
2019年6月28日	工信部	工業和信息化部辦公廳關于印發《電信和互聯網行業提升網絡數據安全保護能力專項行動方案》的通知	專項執法
2019年8月10日	教育部、中央網信辦、工信部、公安部、民政部、國家市場監管總局、國家新聞出版署、全國“掃黃打非”工作小組辦公室	《教育部等八部門關于引導規范教育移動互聯網應用有序健康發展的意見》	專項執法、聯合執法
2019年10月31日	工信部	《工業和信息化部關于開展App侵害用戶權益專項整治工作的通知》	專項執法
2020年4月17日	江蘇省網信辦、江蘇省公安廳、江蘇省市場監管局、江蘇省通信管理局	《關于開展App違法違規收集使用個人信息專項治理的公告》	專項執法、聯合執法
2020年7月22日	工信部	《工業和信息化部關于開展縱深推進App侵害用戶權益專項整治行動的通知》（工信部信管函〔2020〕164號）	專項執法
2021年2月24日	中國銀保監會、中央網信辦、教育部、公安部、中國人民銀行	《關于進一步規范大學生互聯網消費貸款監督管理工作的通知》	專項執法、聯合執法
2021年4月16日	天津市網信辦、天津市公安局、天津市市場監管委、天津市通信管理局	《關于開展天津市2021年度App網絡安全專項治理的通知》	專項執法、聯合執法
2021年6月1日	浙江省網信辦、浙江省公安廳、浙江省市場監管局、浙江省通信管理局	《關于聯合開展浙江省2021年度App違法違規收集用使用個人信息專項治理的公告》	專項執法、聯合執法
2021年9月1日	交通運輸部、中央網信辦、工信部、國家市場監管總局	《五部門聯合約談11家網約車平臺公告》	專項執法、聯合執法

 

2.高頻次、公開通報違法違規行為。

根據《App違法違規收集使用個人信息專項治理報告（2019）》統計^[]，僅2019年一年，中央網信辦等四部門聯合開展的App專項治理行動，對用戶常用的千余款 App 進行了評估，向256 款App的運營者通報問題，督促其完成1267個重點問題的整改工作，建議有關監管部門下架未落實整改要求App共11款；工信部開展的電信和互聯網行業提升網絡數據安全保護能力專項行動以及App侵害用戶權益專項整治行動，對236款App運營者下發整改通知書，公開通報56款App、下架3款App；公安部開展的“凈網2019”專項行動，檢測評估3.1萬余款App，調查核查App違法違規線索3129條，整改2090款App，查處1121款App，集中曝光100款存在違法違規收集使用個人信息行為的App；市場監管總局開展的“守護消費”暨打擊侵害消費者個人信息違法行為專項執法行動，立案查處各類侵害消費者個人信息案件1474件，查獲涉案信息369萬余條，罰沒款1946萬余元；組織執法聯動4225次，開展行政約談3536次。截止2021年9月，僅工信部就已發布共計18批關于侵害用戶權益行為的App通報，要求有關App限期整改^[]。個人信息違法違規行為高頻次執法監督，全網公開通報，引起了全社會的廣泛關注，起到良好的監管效果。

3.專業機構參與，監管更加科學化和技術化。

個人信息保護監管中，不僅涉及到法律問題，還涉及復雜的商業和技術問題，如網絡爬蟲、SDK、API、人工智能、大數據、算法等。因此，在個人信息保護的監管執法行動中，監管機構往往會委托或授權了有關專業機構或技術組織參與，對個人信息違法違規行為進行實際測評和分析。在中央網信辦等四部門聯合開展的專項治理行動中，全國信息安全標準化技術委員會、中國消費者協會、中國互聯網協會、中國網絡空間安全協會就曾作為專業機構受托參與執法行動，依據國家有關法律規定和標準，參與編制評估要點，并組織對有關個人信息收集使用情況進行評估。部分專業機構，不僅參與測評，還會將監測結果進行對外通報^[]。專業機構的介入使監管更加嚴格、全面，同時使監管更加科學化、技術化，企業在接受監管時不僅要提供書面文件還可能要接受一定的技術檢測，從而大大減少“明修棧道、暗度陳倉”的情況^[]。

（二）主要監管舉措和違法后果

《個人信息保護法》頒布前，《數據安全法》《網絡安全法》《電子商務法》《消費者權益保護法》《電信條例》等法律法規對違法個人信息活動的監管舉措和違法后果均作了相應規定。結合監管機構執法實踐，監管機構在處理違法個人信息活動時通常采用的監管舉措包括非正式的約談、公開通報或公開曝光，以及正式的限期整改或改正、罰款、沒收違法所得、暫停相關業務或下架相關產品、停業整頓、停止服務接入、吊銷業務許可或吊銷營業執照等。同時，監管機構還可將違法違規行為記入信用檔案并公布。對于國家機關及工作人員的違法違規行為，監管機構可以責令限期改正并可給予行政處分。不同的監管措施意味著當事人面臨的違法后果不同，輕則可能被公開通報或公開曝光，造成信用受損，重則可能被罰款、業務暫停、產品下架、停業整頓，導致業務或服務中斷，更重者可能面臨業務許可或營業執照吊銷等處罰，最終無法再繼續提供服務或經營。近期發生的“滴滴事件”便是如此，因“滴滴出行”存在嚴重違法違規收集使用個人信息問題，國家網信辦等監管機構對其進行了網絡安全審查，并采取了停止新用戶注冊、通知下架“滴滴出行”App等監管措施^[][]。

《個人信息保護法》對違反個人信息活動的監管舉措及違法后果作出更為細化和明確的規定，包括接受投訴、舉報、組織測評并公布測評結果等監管手段，以及監管機構可以采取的詢問和調查情況、查閱和復制資料、現場檢查、扣押物品、約談和合規審計等具體措施。根據《個人信息保護法》第六十六條的規定，當事人違法處理個人信息或未履行個人信息保護義務的，除了可能受到上述處罰外，相關主管人員或直接責任人還將受到禁業限制的處罰，即相關人員在一定期限內不能擔任相關企業的董事、監事、高級管理人員和個人信息保護負責人^[]。除了行政處罰措施外，《個人信息保護法》設立了個人信息保護公益訴訟制度，針對違法處理個人信息，侵害眾多個人權益的，人民檢察院、法律法規規定的消費組織和國家網信部門確定的組織可針對違法處理個人信息可依法向人民法院提起訴訟。該制度無疑增加了監管機關的監管權限，擴寬了監管路徑，有效地銜接了行政監管和司法監管。

四、個人信息保護行政監管的問題及完善建議

（一）監管機構眾多，監管分散，監管職責需進一步厘清

個人信息保護監管機構眾多，“九龍治水”式的多頭監管既可能造成監管分散，監管機構相互推諉、逃避責任的問題，又可能導致競相監管、重復監管的問題。首先，《個人信息保護法》雖然建立了“1+X”的監管模式，規定由國家網信部門作為個人信息保護的統籌協調機構，并規定國家網信部門可采取的統籌協調措施，但國家網信部門畢竟不是統一、獨立的個人信息保護監管機構，其與工信部、公安部、國家市場監管總局同屬于國務院的組成部門，并無級別之分，權限分工也并未明確和細化，其能否在未來統籌協調好個人信息保護工作仍有待檢驗；其次，有關個人信息保護的行政法律有近20部，部門規章有50余部，地方性法規及規范性文件更是上百余部^[]，國家網信辦及其他監管機構的職責也并非只有個人信息保護監管，各個監管機構如何確定監管范圍、職責內容，執法方式，避免權責不清，仍難以確定；最后，《個人信息保護法》中規定監管機構及監管舉措等，并未明確執行處罰權主體，只說是省級以上的有關部門，但究竟是哪個部門，只有將來在實踐中再予以逐步明確^[]。

（二）未設立獨立監管機構，監管可能缺乏專業性和獨立性

個人信息保護不僅是法律問題，更有復雜的商業和技術問題，各行業和各領域都可能發生違法收集、使用個人信息的問題。多位專家都曾反復呼吁和建議我國借鑒歐盟、日本、韓國、中國香港和澳門地區等境外國家或地區的立法模式，設立獨立、專門的個人信息保護監管機構，如此不僅可以避免在對國家機構及其工作人員進行監管時發生監管沖突，更能突顯個人信息保護監管機構應有的“獨立性”和“專業性”。但遺憾的是，囿于國家嚴控政府機構編制的政策方針，《個人信息保護法》最終未能采納相關建議。

沒有獨立的監管機構之所以可能導致監管缺乏專業性和獨立性，主要原因在于：其一，監管機構因為自身的職責多和工作重心有所偏向等原因，不能長期地、專注地關注個人信息保護中發生的各類復雜的商業和技術問題，乃至于在監管時缺乏專業性；其二，實際負責個人信息保護的機構仍需存于各有關部門，這些部門在組織、人力和資金上的獨立性均難以確保，這將尤其影響到在國家機關作為個人處理者的案件中執法的公正性和效率性^[]。

（三）監管執法程序不清，執法方式不明，行政救濟制度缺失

法諺云：“無救濟則無權利”，如果個人權利受到侵害卻沒有充分的救濟途徑，不僅使其權利受到損害，更會降低法律的權威性和政府的公信力^[]。《個人信息保護法》中比較詳盡的規定了監管機構可以采取的監管措施，以及當事人可能面臨的違法后果，但并未明確監管機構在個人信息保護監管中的具體執法程序、執法方式和當事人享有的行政救濟權利及行權方式等內容。在消費者保護領域，國家市場監管總局頒布了《侵害消費者權益行為處罰辦法》，對侵害消費者權益實施行政處罰的程序作出規定；在關鍵信息基礎設施供應鏈安全和網絡信息內容領域，國家網信辦頒布了《網絡安全審查辦法》《互聯網信息內容管理行政執法程序規定》，對關鍵信息基礎設施運營者采購網絡產品和服務，數據處理者開展數據處理活動時實施網絡安全審查，以及互聯網信息內容管理等內容作出較為明確的規定。但至今為止，我國尚未出臺有關個人信息保護的監管執法程序、執法方式和當事人受到行政處罰后的救濟程序。多頭監管的情況下，如果沒有統一、規范的執法制度，將增加監管機構濫用執法權、錯誤執法或隨意執法的風險；而沒有建立明確的救濟制度，也可能導致當事人在遭遇上述執法風險時舉足無措，權利無法得到有效救濟。

個人信息保護行政監管中存在的上述問題關乎到我國《個人信息保護法》的落地執行及實施效果，更可能影響我國個人信息保護工作的推進和整體評價，亟待解決。在《個人信息保護法》即將施行且個人信息保護監管的主要模式和機制已經基本確定的情況下，國家網信部門必須充分發揮統籌協調作用，通過制定實施細則或條例等方式明確各監管機構的監管范圍、職責、執法程序、方式以及當事人的救濟程序。同時國家網信部門應當盡快會同其他監管部門在國家層面建立統一的聯動和協調機制，制定監管機構協同監管及沖突解決的辦法，保障各監管機構遇到監管問題時能夠得以及時解決。最后，我國仍可繼續探索包括設立獨立監管機構或其他行之有效的個人信息保護監管機制，不斷完善個人信息保護的行政監管體系制度。

 

作者：四川瑞利恒律師事務所  吳錦熤

來源：成都市律師協會網絡與高新技術法律專業委員會

此文系作者個人觀點，不代表成都市律師協會立場

歡迎全市律師踴躍投稿，投稿郵箱：cdlxxc@163.com