中国政法大学赵鹏：个人信息保护需建立合作规制视角 加强监管和产业持续协同

21世纪经济报道 见习记者 郑雪 北京报道

时值《个人信息保护法》正式施行一周年之际，由中央网信办网络法治局指导，中国社会科学院法学研究所主办、南方财经全媒体集团承办的“《个人信息保护法》实施一周年实践与展望”高峰论坛在京举行。

个人信息保护不仅仅是私权保护，更需将其放在公共规则架构下理解。针对这一变化，中国政法大学法治政府研究院院长、教授赵鹏从行政法规规制的角度介绍了定位变化的原因以及面临的挑战。

赵鹏表示，早期的个人信息保护比较重视知情同意规则，《民法典》则更加系统地确认了个体在个人信息处理中一系列控制性权益。《个人信息保护法》除了进一步发展了这些个人权益外，更强调企业应当负责任的处理个人信息，遵守一系列个人信息处理的原则，还建立了国家网信部门统筹协调与相关部门分工负责的监管架构，并授权行政机关通过监督检查、行政处罚等监管措施来保护个人信息。这样的变化需要结合《个人信息保护法》的时代环境所理解。

在他看来，我们日渐进入一个“一切都被数据化”的时代，其中大量的数据处理又涉及个人信息。个人信息的处理因此构成了互联网数字经济的底层逻辑，既涉及大量不同主体的利益，也影响非常广泛的社会活动，因此必须要建立公共管制架构。

这种管制架构具有两个特点：一是管制目标相对宽泛。个人信息保护法律制度不宜被视为部门性的法律，它实际上承载了数字环境中公平权衡各种权益的基础设施的重任。“个人信息保护，实际上是把我们整体人权保护价值在数字空间的再度重申和强化。”由于个人信息保护承载了如此广泛的功能，它覆盖了大量潜在问题，将一些还处于理论探讨的前沿问题被纳入了规制的视野。

二是个人信息保护法的大量规范属于原则性、愿景性的规范，这种原则性的规范方式有利于涵盖大量处理场景和行业，但也给执行带来挑战。对于这些原则性规范不能理解为法律提供了一个确定的答案，也不能理解为监管部门制定合规清单即可，而是要求监管机构和企业将相关规定理解为持续的风险评价过程，引入可伸缩、合乎比例的方法，根据个人信息处理的具体场景将原则不断具体化。

“未来，我们可能要建立一种合作规制的视角，在个人信息保护评价机制上，不应当定位为对某一些具体细节问题的规制，而是应当评价企业的整体管理架构、整体治理机制是否在现有技术水平下尽到了最大努力。通过引入行业最佳实践，持续推动企业自我规制架构的完善，从而把外部监管和企业内部治理架构结合起来。”