本文作者：王祺

引言

2021年11月1日，《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）正式施行。作为我国个人信息保护领域的专门性法律，它与《中华人民共和国网络安全法》《中华人民共和国数据安全法》共同构成数据治理的"三驾马车"，标志着我国个人信息保护从分散立法走向系统立法。五年间，围绕该法创设的各项义务，配套法规规章与国家标准密集出台，行政执法与刑事司法同步发力，形成了一张覆盖告知同意、敏感个人信息、自动化决策、跨境流动、合规审计等关键环节的监管之网。

值此五周年之际，本文拟回顾五年来的监管脉络与义务体系演变，梳理执法处罚的典型图景与关注点的变化，并在此基础上对未来的监管趋势作出研判，以期为企业法务与合规人员提供参考。

一、五年监管脉络：从"框架搭建"到"制度细化"

（一）《个人信息保护法》创设的基础义务体系

《个人信息保护法》以"告知—同意"为核心，为个人信息处理者创设了一套系统的法定义务，主要可归纳为以下几个层面：

其一，处理规则层面的义务。处理个人信息应当遵循合法、正当、必要和诚信原则，采取对个人权益影响最小的方式，不得过度收集。基于个人同意处理的，应当在充分知情的前提下取得自愿、明确的同意；处理敏感个人信息、向第三方提供、公开个人信息、向境外提供等情形，还应当取得个人的单独同意。处理个人信息应当限于实现处理目的的最小范围，不得以个人不同意处理其个人信息为由拒绝提供产品或者服务，但为提供产品或者服务所必需的除外。

其二，敏感个人信息与未成年人信息的特别保护义务。处理敏感个人信息须具有特定目的和充分必要性，取得单独同意并采取严格保护措施；不满十四周岁未成年人的个人信息属于敏感个人信息，处理时应当取得其父母或者其他监护人的同意，并制定专门的处理规则。

其三，自动化决策的规制义务。利用个人信息进行自动化决策的，应当保证决策的透明度和结果的公平、公正，不得在交易价格等交易条件上实行不合理的差别待遇；通过自动化决策方式作出对个人权益有重大影响的决定的，个人有权要求予以说明，并有权拒绝仅通过自动化决策方式作出决定。

其四，处理者的一般安全保护义务。个人信息处理者应当制定内部管理制度和操作规程，对个人信息实行分类管理，采取加密、去标识化等安全技术措施，合理确定操作权限并定期开展安全教育和培训，制定并组织落实个人信息安全事件应急预案；处理个人信息达到国家网信办规定数量的，应当指定个人信息保护负责人，并公开其联系方式。

其五，个人信息保护影响评估与合规审计义务。处理敏感个人信息、利用个人信息进行自动化决策、委托处理、向第三方提供或公开个人信息、向境外提供个人信息，以及对个人权益有重大影响的其他情形的，应当事前进行个人信息保护影响评估；个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。

其六，大型平台的特别义务。提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督，制定平台规则，并定期发布个人信息保护社会责任报告。

其七，个人信息跨境提供的规则。向境外提供个人信息，应当通过国家网信部门组织的安全评估、经专业机构进行的个人信息保护认证、与境外接收方订立标准合同等方式之一，并取得个人的单独同意。此外，《个人信息保护法》第六十六条设定了最高五千万元或者上一年度营业额百分之五的行政罚款，第七十条确立了公益诉讼制度，第七十一条则衔接刑事责任，形成"行政—民事—刑事"三位一体的责任闭环。

（二）配套制度体系的逐步成型

（三）执法关注点的演进：从"形式合规"到"实质合规"

与规则体系的完善相呼应，五年来的执法通报清晰勾勒出一条处罚关注点层层递进的演进脉络，大致可划分为三个阶段：

第一阶段（个保法施行前），执法聚焦App专项整治下的"形式合规"问题。2019年1月，中央网信办、工业和信息化部、公安部、国家市场监督管理总局联合开展App违法违规收集使用个人信息专项治理，处罚的重心是"有没有隐私政策"这一基础性要求。当年共通报256款问题App，其中一批App因完全没有隐私政策、未明示收集使用规则被点名，另有部分App因强制一次性索取多项权限被处理，拒不整改者被下架。这一阶段的执法，解决的是个人信息保护"从无到有"的问题。

第二阶段（2021年个保法施行后至2025年），执法深入到"同意是否合法有效"。随着《个人信息保护法》确立单独同意、最小必要、敏感个人信息等规则，执法通报中"未取得单独同意""强制收集非必要个人信息""违反最小必要原则"等表述开始高频出现，处罚对象也从"没有隐私政策"转向"有政策但未真正落实"。2023年某大型知识服务平台因违反必要原则、未经同意收集个人信息被处罚款5000万元，即是这一阶段执法取向的典型注脚。

第三阶段（2026年至今），执法延伸至个人信息出境环节。伴随数据出境安全评估、标准合同、认证三条合规路径的落地，"未申报安全评估、未订立标准合同、未通过认证即擅自出境"成为新的查处重点。2026年初，上海网信部门通报的某酒店管理企业案（评估结论为"出境必要性不足"后仍持续违规出境）、某物业管理企业案（未履行任何合规程序即擅自向境外提供含金融账户的敏感个人信息），以及同年6月某在线旅游平台因违法出境个人信息被罚款1000万元，均属此类；公安网安部门亦查处过跨国企业未依法履行出境合规程序、违规向境外总部传输用户个人信息的案件。数据出境由此从"合规咨询热点"转变为"执法处罚落点"。

综观上述演进，监管执法的关注点呈现出从"形式合规"到"实质合规"、从"通用规则"到"专项场景"、从"集中整治"到"常态化执法"的层层深入之势，处罚力度亦随之加大。

二、五年执法图景：处罚的行业分布与典型案例

（一）高额行政处罚的里程碑案件

五年间，两起高额行政处罚成为个人信息保护执法的重要标志。2022年7月，国家网信办对某网约车平台作出罚款80.26亿元的行政处罚，认定其存在十六项违法事实、归纳为八个方面，违法处理个人信息达647.09亿条，违法行为自2015年6月起持续七年，并对公司董事长兼CEO、总裁各处罚款100万元。该案罚款约占该平台2021年营业收入的4.62%，接近《个人信息保护法》"上一年度营业额百分之五"的顶格标准，创下我国数据领域行政处罚金额的纪录。2023年9月，国家网信办对某大型知识服务平台作出罚款5000万元的行政处罚，认定其存在违反必要原则收集个人信息、未经同意收集个人信息等问题。两起案件分别指向平台型数据巨头与大型知识服务企业，共同释放出对大型个人信息处理者从严监管的明确信号。

（二）年度执法态势与行业分布

从年度视角观察，五年执法呈现明显的阶段性特征，各年度的重点领域与处罚形态如下表所示：

（三）2026年执法典型案例透视

2026年，执法信号进一步密集释放。当年9月，国家网信办发布的十起典型案例，较为直观地反映了当前的执法取向：广东某软件技术有限公司开发的硬件产品存在未授权访问漏洞，未经登录即可查看车辆状态，传输个人信息未加密，被责令改正、警告；浙江某信息科技有限公司运营的运动管理App以"防止作弊"为由，强制一次性索取定位、电话、存储等权限，超范围收集非必要个人信息，被责令改正、警告；重庆某置业有限公司在办公场所安装十余处图像采集设备，收集存储客户人脸信息五千余条用于营销，未取得单独同意，被责令改正、警告并处罚款；上海某科技有限公司自2022年起超范围收集用户主机配置、姓名、手机号、邮箱等个人信息并传输至境外数据中心，未申报数据出境安全评估，被责令改正并处罚款。

上述案例虽以警告、责令改正等较轻处罚为主，但其指向意义不容忽视：其一，执法已从"大平台"下沉至中小软件企业、房产企业、硬件厂商等各类主体，覆盖范围显著扩大；其二，人脸信息的单独同意、个人信息出境的安全评估、App的最小必要原则等，成为执法审查的高频要点；其三，刑事移送与行政执法的衔接日趋紧密，违法处理个人信息的法律风险呈现跨法域叠加的态势。

三、监管趋势前瞻

透过五年来的规则演进与执法图景，可以就未来的监管趋势作出如下研判：

第一，监管将从"运动式集中整治"转向"常态化、制度化合规"。随着《个人信息保护合规审计管理办法》及其配套国标落地，合规审计将取代间歇性专项检查，成为常态化、周期性的监管抓手。处理超过一千万人个人信息的处理者每两年至少开展一次合规审计，首次审计最迟应于2027年5月1日前完成；未达到该门槛的处理者虽可自行合理确定审计频次，但发生一百万人以上个人信息或者十万人以上敏感个人信息泄露等安全事件的，仍将被要求开展强制审计。尚未见因未开展合规审计被处罚的案例，恰恰说明该制度正处于从"建章立制"走向"实质落地"的临界点，企业宜尽早完成首次审计的自我体检。

第二，敏感个人信息与人脸识别的专项治理将持续深化。《人脸识别技术应用安全管理办法》将人脸信息处理纳入"单独同意＋本地存储＋非唯一验证"的严格框架，2026年执法典型案例亦已将违法收集人脸信息列为查处重点。可以预见，人脸识别、精准营销、自动化决策、未成年人信息等涉及敏感个人信息的场景，将成为下一阶段监管的重点靶向领域，相关企业应尽快完成相应场景的合规整改。

第三，数据跨境流动规则将持续优化并趋于精细化。《跨境流动规定》实施以来，数据出境安全评估平均用时已缩减至三十个工作日以内，自贸区负面清单制度在天津、北京、上海、海南、浙江等地陆续落地，金融业数据跨境流动合规指南亦已出台。未来，随着负面清单的进一步扩围、豁免情形的逐步明晰，数据跨境流动将形成"负面清单＋豁免情形＋分级路径"的精细化治理格局，合规成本有望进一步下降，但对未申报即出境的监管查处亦将更为严格。

第四，人工智能时代催生个人信息保护新议题。生成式人工智能的训练数据来源、自动化决策的算法透明度、深度合成内容的标识、基于人脸等生物识别信息的身份验证等，正在与个人信息保护深度交织。监管部门已通过《生成式人工智能服务管理暂行办法》《人工智能生成合成内容标识办法》等规则加以回应，未来"AI＋个人信息"的交叉监管将进一步加强，企业需将个人信息保护嵌入AI应用的全生命周期。

第五，企业合规将从"形式合规"走向"实质合规"。无论是合规审计的分层安排、小型处理者简化措施的差异化设计，还是执法案例中对"单独同意是否真正取得""最小必要是否实际落实"的实质审查，均传递出同一信号：纸面上的隐私政策已不足以应对监管，个人信息保护必须内化为可验证、可审计、可追溯的制度、技术与文化。对企业而言，应当以五周年为节点，全面梳理个人信息处理活动，评估自身所处的合规审计层级，补齐人脸识别、自动化决策、数据出境等重点场景的合规短板，将"合规溢价"转化为可持续的竞争优势。

结语