“企业绝不能给予个人信息保护专家委员会成员过高的津贴，如果他们被企业俘获，外部监督的意义和价值都会大打折扣。”
谈及个人信息保护法中针对大型平台成立外部独立监督机构的规定，对外经贸大学数字经济与法律创新研究中心主任许可如是说道。
12月17日，南方都市报个人信息保护研究中心在北京召开“2021啄木鸟数据治理论坛”，并发布《个人信息安全年度报告（2021）》。
许可在论坛上发表了主题为“个人信息保护独立机构的设置与运行”的演讲。在他看来，要有效落实外部个人信息保护机构的职能，最重要的是保障其信息的获取和经济上的独立性。
个保法：从个人信息处理1 活动到个人信息保护情况到个人信息保护情况
今年11月1日，我国首部针对个人信息保护的专门性立法——个人信息保护法（下称“个保法”）正式施行。其中第五十八条规定，提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应成立主要由外部成员组成的独立机构对个人信息保护情况进行监督。
许可认为，设立外部个人信息保护机构的主要目的并非监督个人信息的“处理行为”，而是监督“个人信息保护活动”，提升企业的个人信息保护水平，从而为企业、为社会带来积极的引领作用，保护用户权益和社会公共利益。
这一条款曾引发激烈讨论。
今年4月，个人信息保护法二审稿公布。其中规定，提供基础性互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当成立主要由外部成员组成的独立机构，对个人信息处理活动进行监督。
“二审稿的规定曾经带来了非常大的反对声音，很多人认为，这样会导致商业机密泄露并带来更多安全隐患。”许可说。
在8月获得通过的最终版中，“对个人信息处理活动进行监督”被改为“对个人信息保护情况进行监督”。
2
机构定位：独立专业的个人信息保护机关
在许可看来，外部个人信息保护机构的定位是独立的、专业的个人信息保护机关；从构成来看，它是由独立董事构成的个人信息保护专门委员会以及个人信息保护专家委员会组成。前者实施“命令式监督权”，后者实施“建议式监督权”，共同形成监督个人信息保护的合力。
他进一步解释，这样构成的目的在于让外部监督真正发挥实效。“要想让外部的监督发挥实效，就必须通过内部的决策机构。而内部决策机构最好的做法就是仿效独立董事的相关制度——在董事会下面设立一个主要由独立董事承担监督作用的个人信息保护专门委员会。”
在二者的职责方面，许可指出，个人信息保护专家委员会的职能是将外部专家的意见反馈至内部决策机构，再促进该意见得到有效落实。而个人信息保护专家委员会主要由个人信息保护方面的法律、技术专家组成，其主要职责是行使建议性的监督权。
许可演讲现场
许可强调，作为纯粹的外部机构，个人信息保护专家委员会的成员需要具备相应的任职资格，既要具有独立性，还要具备专业知识及专业经验。“从其任免来说，应由董事会下面的个人信息保护专门委员会进行任免，其免职应严格限制，不得无故免职。”
除此以外，个人信息保护专家委员会还具备其他重要职权。许可指出，一是审查企业的个人信息合规制度，包括平台规则、隐私政策以及个人信息合规审计报告等；二是为企业个人信息保护工作报告提出建议和意见；三是出具个人信息保护监督报告，参与评议个人信息保护社会责任报告，“为了更好地进行社会监督，个人信息保护专家委员会可以将报告内容对社会公众披露。”
3
委员会职能落实关键：经济不依赖企业
南都记者注意到，在个保法正式施行的时间前后，部分头部互联网企业加快了合规速度。10月底，腾讯、携程纷纷开始招募“个人信息保护外部监督员”，其主要工作职责为独立监督、评议公司及其产品的个人信息保护相关工作并提出建议等。
如何才能保障个人信息保护专家委员会职能的落实？许可就此提出了两点意见。
一是要保证信息的获取，没有信息就无法进行监督。许可认为，个人信息保护专家委员会有权以决议的方式对企业的个人信息保护事项提出质询，“如果解释不清楚，（委员会）还可以找第三方进行测评和审计。”
二是要保障个人信息保护专家委员会的独立性，尤其与企业间不得存在经济依附。他指出，委员会成员应保证自身在人身、经济方面与企业不存在依附关系。
“企业绝不能给予委员会成员过高的津贴，这个额度可以参照独立董事的薪酬，大概与社会平均工资相应——如果他们被企业俘获，那么监督的意义和价值都会大打折扣。”
采写：南都见习记者 樊文扬
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。