“企業絕不能給予個人信息保護專家委員會成員過高的津貼，如果他們被企業俘獲，外部監督的意義和價值都會大打折扣。”
談及個人信息保護法中針對大型平臺成立外部獨立監督機構的規定，對外經貿大學數字經濟與法律創新研究中心主任許可如是說道。
12月17日，南方都市報個人信息保護研究中心在北京召開“2021啄木鳥數據治理論壇”，并發布《個人信息安全年度報告（2021）》。
許可在論壇上發表了主題為“個人信息保護獨立機構的設置與運行”的演講。在他看來，要有效落實外部個人信息保護機構的職能，最重要的是保障其信息的獲取和經濟上的獨立性。
個保法：從個人信息處理1 活動到個人信息保護情況到個人信息保護情況
今年11月1日，我國首部針對個人信息保護的專門性立法——個人信息保護法（下稱“個保法”）正式施行。其中第五十八條規定，提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者，應成立主要由外部成員組成的獨立機構對個人信息保護情況進行監督。
許可認為，設立外部個人信息保護機構的主要目的并非監督個人信息的“處理行為”，而是監督“個人信息保護活動”，提升企業的個人信息保護水平，從而為企業、為社會帶來積極的引領作用，保護用戶權益和社會公共利益。
這一條款曾引發激烈討論。
今年4月，個人信息保護法二審稿公布。其中規定，提供基礎性互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者，應當成立主要由外部成員組成的獨立機構，對個人信息處理活動進行監督。
“二審稿的規定曾經帶來了非常大的反對聲音，很多人認為，這樣會導致商業機密泄露并帶來更多安全隱患。”許可說。
在8月獲得通過的最終版中，“對個人信息處理活動進行監督”被改為“對個人信息保護情況進行監督”。
2
機構定位：獨立專業的個人信息保護機關
在許可看來，外部個人信息保護機構的定位是獨立的、專業的個人信息保護機關；從構成來看，它是由獨立董事構成的個人信息保護專門委員會以及個人信息保護專家委員會組成。前者實施“命令式監督權”，后者實施“建議式監督權”，共同形成監督個人信息保護的合力。
他進一步解釋，這樣構成的目的在于讓外部監督真正發揮實效。“要想讓外部的監督發揮實效，就必須通過內部的決策機構。而內部決策機構最好的做法就是仿效獨立董事的相關制度——在董事會下面設立一個主要由獨立董事承擔監督作用的個人信息保護專門委員會。”
在二者的職責方面，許可指出，個人信息保護專家委員會的職能是將外部專家的意見反饋至內部決策機構，再促進該意見得到有效落實。而個人信息保護專家委員會主要由個人信息保護方面的法律、技術專家組成，其主要職責是行使建議性的監督權。
許可演講現場
許可強調，作為純粹的外部機構，個人信息保護專家委員會的成員需要具備相應的任職資格，既要具有獨立性，還要具備專業知識及專業經驗。“從其任免來說，應由董事會下面的個人信息保護專門委員會進行任免，其免職應嚴格限制，不得無故免職。”
除此以外，個人信息保護專家委員會還具備其他重要職權。許可指出，一是審查企業的個人信息合規制度，包括平臺規則、隱私政策以及個人信息合規審計報告等；二是為企業個人信息保護工作報告提出建議和意見；三是出具個人信息保護監督報告，參與評議個人信息保護社會責任報告，“為了更好地進行社會監督，個人信息保護專家委員會可以將報告內容對社會公眾披露。”
3
委員會職能落實關鍵：經濟不依賴企業
南都記者注意到，在個保法正式施行的時間前后，部分頭部互聯網企業加快了合規速度。10月底，騰訊、攜程紛紛開始招募“個人信息保護外部監督員”，其主要工作職責為獨立監督、評議公司及其產品的個人信息保護相關工作并提出建議等。
如何才能保障個人信息保護專家委員會職能的落實？許可就此提出了兩點意見。
一是要保證信息的獲取，沒有信息就無法進行監督。許可認為，個人信息保護專家委員會有權以決議的方式對企業的個人信息保護事項提出質詢，“如果解釋不清楚，（委員會）還可以找第三方進行測評和審計。”
二是要保障個人信息保護專家委員會的獨立性，尤其與企業間不得存在經濟依附。他指出，委員會成員應保證自身在人身、經濟方面與企業不存在依附關系。
“企業絕不能給予委員會成員過高的津貼，這個額度可以參照獨立董事的薪酬，大概與社會平均工資相應——如果他們被企業俘獲，那么監督的意義和價值都會大打折扣。”
采寫：南都見習記者 樊文揚
版權聲明：本文內容由互聯網用戶自發貢獻，該文觀點僅代表作者本人。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。如發現本站有涉嫌抄襲侵權/違法違規的內容， 請發送郵件至 舉報，一經查實，本站將立刻刪除。