怎么报，该报谁？个人信息保护负责人信息报送“十问十答”

“个人信息处理者处理个人信息数量已经达到100万人的，应当在今年8月29日前，完成个人信息保护负责人信息报送工作。”7月18日，国家网信办发布《关于开展个人信息保护负责人信息报送工作的公告》（下称《公告》），提醒个人信息处理者依法履行个人信息保护负责人信息报送手续。

如何履行报送手续，有哪些要点应当注意？广东省网络数据安全与个人信息保护协会联合南方都市报、南都大数据研究院梳理相关材料，推出“十问十答”予以解读。个人信息保护与我们每个人息息相关，也呼吁个人信息处理者切实履责，牢筑屏障。

Q1：为什么要报送个保负责人信息？

《公告》提出，根据《个人信息保护法》《个人信息保护合规审计管理办法》等法律法规规章规定，处理100万人以上个人信息的个人信息处理者，应当向所在地设区的市级网信部门履行个保负责人信息报送手续。

中央财经大学法学院教授、数字经济与法治研究中心执行主任刘权表示，面对无处不在的个人信息处理活动，监管部门存在违法信息获取的滞后性、人财物的有限性等局限。个人信息保护负责人的产生，是强化个人信息处理者自我规制以弥补政府规制不足的现实需要。这项制度可以促进个人信息处理合规，推动个人信息保护的公私合作治理。

Q2：个保负责人应履行哪些职责？

《个人信息保护法》将个保负责人定位为“负责对个人信息处理活动以及采取的保护措施等进行监督”，并要求个保负责人公开联系方式。《个人信息保护合规审计管理办法》则明确，由个保负责人负责个人信息处理者的个人信息保护合规审计工作。

中国电子技术标准化研究院华南分院邹秋阳表示，个保负责人首先要强化责任意识，历练专业技能，不能徒挂虚名；建议针对个人信息保护建立专门的工作机制，强化企业全员个保意识。针对工作方法，最根本的要识别经营中的个人信息处理活动重点场景，落实个人信息保护影响评估等具体工作；积极防范个人信息安全事件，做好应急预案，在事件发生时做好危害减轻与通知报送工作；更进一步，要积极响应用户诉求、听取社会意见、接受外部反馈，履行个人信息保护社会责任。

Q3：谁来担任个保负责人？

当前《个人信息保护法》并未明文要求个保负责人必须为企业高管或主要负责人，但基于实践，推进个保措施、监督个保工作必然需要较高的职权。

而《个人信息保护合规审计管理办法》在其附件《个人信息保护合规审计指引》对个保负责人的履职情况提出了具体要求，涉及多项工作权限，包括：

是否具有相关的工作经历和专业知识，熟悉个人信息保护相关法律、行政法规；

是否具有明确清晰的职责，是否被赋予充分的权限协调个人信息处理者内部相关部门与人员；

在个人信息处理重大事项决策前是否有权提出相关意见和建议；

是否有权对个人信息处理者内部个人信息处理的不合规操作进行制止和采取必要的纠正措施等。

此外，今年11月1日即将施行的国家标准《数据安全技术 敏感个人信息处理安全要求》也提到，处理10万人以上敏感个人信息的个人信息处理者，个人信息保护负责人应当具备个人信息保护专业知识和相关管理工作经历，由处理者管理层成员担任。

《网络数据安全管理条例》则规定，网络数据安全负责人应当由网络数据处理者管理层成员担任，有权直接向有关主管部门报告网络数据安全情况。

《征信业务管理办法》规定，个人征信机构、保存或者处理100万户以上企业信用信息的企业征信机构，应当设立信息安全负责人和个人信息保护负责人，由公司章程规定的高级管理人员担任。

Q4：哪些组织属于报送义务主体？

《公告》提出，自该公告发布之日起，个人信息处理者处理个人信息达到100万人的，应当自数量达到之日起30个工作日内完成个保负责人的信息报送；若在公告发布前，处理个人信息数量已经达到100万人，应当在2025年8月29日前完成信息报送。

与《公告》一同发布的《个人信息保护负责人信息报送系统填报说明（第一版）》（下称《填报说明》）及相关附件提及，处理个人信息的总规模，按去重后的自然人数量统计。同时，个保负责人信息报送的主体不限于企业，还包括了政府部门、事业单位、社会组织等。

有律师提醒，适用《个人信息保护法》第三条第二款的境外企业或组织，亦属于《公告》明确的报送义务主体，由其根据《个人信息保护法》五十三条指定的境内专门机构或者指定代表履行报送手续。

Q5：集团/总部下属多个分支机构可否统一报送？

《填报说明》介绍，履行信息报送手续的个人信息处理者，如以集团公司等形式运营、有多个分支机构的，可以由总部统一履行信息报送手续；如多个个人信息处理者存在关联关系（多个子公司、办公区、连锁店、第三方服务企业等），可以合并履行信息报送手续。

有专家提醒，合并报送时，个保负责人应掌握各子公司/业务/系统的具体情况，能对其进行相应的监督管理，并需要承担相应责任。

Q6：需要报送哪些信息？

根据《填报说明》，个人信息处理者报送个保负责人需提交的材料包括：

1.个人信息处理者基本情况表（《填报说明》附件已提供模板）；

2.个人信息保护负责人信息报送表（《填报说明》附件已提供模板）；

3.统一社会信用代码证件原件或影印件（加盖公章）扫描件；

4.法定代表人或负责人身份证件扫描件；

5.个人信息保护负责人身份证件扫描件；

6.个人信息保护负责人任职证明文件（加盖公章）扫描件；

7.经办人身份证件扫描件；

8.经办人授权委托书（加盖公章）扫描件（《填报说明》附件已提供模板）；

9.承诺书（加盖公章）扫描件（《填报说明》附件已提供模板）；

10.其他相关材料扫描件。

对其中的《个人信息保护负责人信息报送表》，有律师提醒，在“处理个人信息规模”一项中，需要注意个人信息的处理除了线上渠道（APP、小程序、快应用、网站、公众号等）外，还包括了线下渠道。“这方面容易被个人信息处理者忽略，且不容易统计。”

《个人信息保护负责人信息报送表》还要求个人信息处理者报送“处理未成年人个人信息规模、不满十四周岁未成年人个人信息规模”。据了解，“不满十四周岁未成年人的个人信息”属于敏感个人信息范畴，对于该信息的处理有特别规则，为此需要单列。此外，《未成年人网络保护条例》已于2024年1月1日起实施，对于虽然超过十四周岁，但是仍然属于未成年人范围的群体，需要进行特别保护，为此也需要单列。

有律师还提醒，向网信部门报送的个保负责人，与对外公开披露的个保负责人应当一致。“如果你报送的个保负责人是A，但公开披露的却是B的联系方式，这也可能涉及违规，或引发个保负责人个人的法律责任。”

Q7：如何报送个保负责人信息？

《公告》提出，个保负责人信息报送工作采用线上方式。报送主体可直接访问“个人信息保护业务系统”（https://grxxbh.cacdtsc.cn），按照系统首页提供的《填报说明》，准备相关材料并履行信息报送手续，也可从中国网信网（https://www.cac.gov.cn）首页“全国网信政务办事大厅”栏目访问“个人信息保护业务系统”。

《填报说明》同时提供了各省级网信部门咨询电话，如遇业务或技术问题，可通过电话咨询属地网信部门。

Q8：如何了解信息报送结果？

根据《填报说明》，网信部门将自提交信息报送材料之日起15个工作日内完成材料查验。若系统上的“审核状态”显示“信息报送完成”，则属于符合信息报送要求；若显示为“退回完善”的，应当在10个工作日内补充完善材料，逾期未补充完善材料的，视为主动终止信息报送；若显示为“审核未通过”的，属于不符合信息报送要求，自动终止信息报送程序。个人信息处理者可在“流程记录”中查看原因。

《填报说明》还提醒，报送业务流程结束后，由于报送的信息将定期从互联网上迁移，除填报单位名称、审核状态外，其他信息此后均不可查询和下载，个人信息处理者如需备份报送材料，需自行留存。

Q9：报送信息发生变化是否需要变更报送？

《填报说明》要求，如已报送信息发生以下情形的，视为实质性变更，应当在变更之日起30个工作日内办理信息报送变更手续。“变更”包括：

基本情况表中所有填写内容，含个人信息处理者基本信息、法定代表人（负责人）信息、经办人信息等发生变化的；

个人信息保护负责人信息报送表中总体情况或已报送的应用程序/业务/系统的个人信息保护负责人信息和处理个人信息情况等发生重大变化的、新增或减少应用程序/业务/系统的；

其他提交信息发生重大变更的。

如发生实质性变更后处理个人信息数量仍达到100万人的，信息报送主体应重新上传信息报送材料并提交审核。如发生实质性变更后信息报送主体不再处理个人信息或处理个人信息数量小于100万人的，则无需报送相关信息。

Q10：不履行报送手续有什么后果？

《公告》强调，未按规履行信息报送手续的，将依照有关法律法规规章的规定处理。

《个人信息保护法》规定，违反该法规定处理个人信息，或者处理个人信息未履行该法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

出品：

广东省网络数据安全与个人信息保护协会

南都大数据研究院

采写：南都研究员 李伟锋

（李玲、杨易鑫对本文亦有贡献）