DPO经历了怎样的演变历程？

 DPO 从最初的“高配”逐渐演变为现在的“标配”。

从“高配”到“标配”的 DPO。 2024 年 8 月，多家中国出海新加坡的企业（含小型企业）收到了新加坡个人数据 保护委员会（PDPC）官方邮件，鼓励企业在今年 9 月 30 日前上报数据保护官（Data Protection Officer，DPO）的基本信息。 该要求其实来自于《新加坡个人数据保护法》（PDPA）的规定“所有企业都必须 任命 DPO24”，意味着不论企业处理个人信息的规模与种类，均需要任命 DPO。 对比欧盟，2018 年 5 月 25 日生效的《通用数据保护条例》（GDPR），虽仅规定 了满足一定情形25的数据控制者与数据处理者应任命 DPO，但在 WP2926发布的指南中 指出：即使非强制任命 DPO 的企业，有时也会发现在自愿的基础上指定 DPO 是有益 的，WP29 鼓励这些自愿努力。 可见，DPO 已从“旧时王谢堂前燕”，开始“飞入寻常百姓家”，已非早些年处 理大规模特殊数据等类型的企业才须配置的“山珍海味”，而是所有企业触手可及的“家 常便饭”，从“高配”演化为“标配”。

1. 高配时代的 DPO。事实上，DPO 从诞生时就带有高端配置的色彩，企业永远会在经济利益与风险控 制之间进行价值衡量与取舍，并非所有企业都有足够的资源和风险规避的必要性去任命 这样一个角色。 1978 年《德国联邦数据保护法案》最早提出 DPO 概念，要求从事自动化处理个人 数据的部分公司任命 DPO。此后，2001 年在欧盟机构内部要求强制任命 DPO。数字经 济时代，面对数字技术飞跃与数据洪流挑战，欧洲委员会酝酿深化改革，对 DPO 的强 制要求进行拓展。2018 年， GDPR 正式生效，DPO 制度在欧盟全面铺开，但强制配置 的要求仍仅局限于符合条件的部分组织。

与此同时，尽管我国现行法律体系中未直接采用 DPO 这一称谓，国内数据领域的 法律法规中却也有许多相似职能的角色（统称为 DPO），如个人信息保护负责人、数据 安全负责人、网络安全负责人、儿童个人信息保护负责人、汽车数据安全管理负责人等。 其中，仅网络安全负责人与儿童个人信息保护负责人属于标配（特别地，儿童个人信息 保护负责人为处理儿童个人信息企业的标配），其他为高配（即法律要求满足一定条件 的企业强制配置 DPO），典型代表如个人信息保护负责人：

可见，立法层面，欧盟与我国针对 DPO 均设置了一定门槛，不要求所有企业均予 以配置，仅针对在数据处理维度可能存在高风险的企业（如欧盟定义的大规模处理敏感 个人数据等类型的组织；我国定义的处理超过 100 万个人信息或者 10 万敏感个人信息 等类型的企业），法律强制要求必须配置，呈现“高配”意味。

2. 标配时代的 DPO 。随着立法与实践的推进，DPO 已“飞入寻常百姓家”，呈现出标配化趋势。 (1) 立法动向：DPO 强制标配 。域外：新加坡打响 DPO 标配要求第一枪。2024 年 8 月，新加坡个人数据保护委员 会 PDPC 不仅在官网强调在新加坡注册的企业必须任命 DPO，还以邮件形式鼓励企业 于今年 9 月 30 日前在新加坡会计与企业管制局在线备案平台注册数据保护官 DPO 的 姓名和联系方式等信息资料。其实 PDPC 已经多次在官网鼓励企业注册公开 DPO 信息， 只是今年升级了其鼓励手段，通过邮件方式专门提醒。其源自新加坡《个人数据保护法》 PDPA 第 11（3）条规定，“组织必须指定一名或多名人员负责确保组织遵守本法案。”与前文展示的 DPO 要求规范不同，新加坡在个人信息保护领域没有为 DPO 的设置设 定任何人数或敏感性的门槛，凡是涉及个人数据的组织均应任命 DPO。上述法律规定 以及 PDPC 官方邮件提示，体现了新加坡在立法与执法层面，正式开启了 DPO“标配” 的先河。

国内：首席数据官制度蓬勃发展。自 21 年《个人信息保护法》《数据安全法》颁 布以来，3 年间，有关数据的地方性法规及其他文件发布数量大幅增长。从 DPO 任命 的角度来看，制度层面推行的首席数据官虽然仍是组织内负责数据领域的角色，但其职 责有了明显扩充。如 2023 年 1 月正式生效的《北京市数字经济促进条例》第 48 条明确 提出，“鼓励各单位设立首席数据官”。该规范，一方面强调 DPO 的数据合规职责， “开展数据处理活动，应当建立数据治理和合规运营制度，履行数据安全保护义务，严 格落实个人信息合法使用、数据安全使用承诺和重要数据出境安全管理等相关制度”， 另一方面又主张推进数字产业化和产业数字化，加强数据资源的开发利用。2023 年 7 月 发布的《浙江省企业首席数据官制度建设指南》鼓励国有企业、基础电信企业、大型制 造业企业、重点互联网企业率先探索设立首席数据官，鼓励数字化基础较好、拥有较大 规模数据资源、数据产品和服务能力较突出的各类企业设立数据官，以实现“数据开发 利用促进数据安全、数据安全保障数据开发利用”。

立法的动向似乎是在鼓励所有处于数据经济发展时代的企业都应配置 DPO，同时 DPO 的设置目的也从单纯的组织内的数据风险监督角色，向组织内的数据风险监督与 开发利用管理的综合角色进行迭代与扩充。此时，在决定是否设置 DPO 时，关键考量 已不再局限于风险控制的绝对必要性，而是日益倾向于数据开发利用的迫切需求。

(2) 实践共识：DPO 逐渐普及于众。 域外：鼓励自愿配备 DPO。如文首提及，在 GDPR 规定之外，WP29 鼓励企业自愿 配备 DPO。WP29 在其发布的指南中指出：除非一个组织明显不需要设立 DPO，否则 都应当记录下其为确定是否设立一个 DPO 而做的内部分析，以便能够证明各种相关因 素都得到了适当考虑。而即使非强制任命 DPO 的企业，有时也会发现在自愿的基础上 指定 DPO 是有益的，WP29 鼓励这些自愿努力。根据 EDPB 于 2024 年 1 月 16 日公布 的调查报告《2023 Coordinated Enforcement Action Designation and Position of DataProtection Officers》27，有 2482 份答复（约占答复总数的 14%）指出对 DPO 的指定 并非基于法律义务的要求。

根由所在：甲方重视。而实践中逐渐形成标配 DPO 的这一共识，除了前述立法鼓 励之外，深层次动因还源于甲方在招投标活动及业务拓展阶段对乙方数据安全与管理体 系能力的高度重视与严格评估。随着数据保护意识的普遍提升，甲方企业愈发倾向于选 择那些具备完善数据管理机制、能够有效保障数据安全的合作伙伴。因此，乙方企业配 置 DPO，不仅成为展示其数据治理能力的重要标志，也是赢得市场信任、促进业务合作 的关键因素。以欧盟具有代表性的 PREVENT PCP 项目为例，该项目总预算高达 7,526,881.72 欧元。在该招标书第 6.8 章节“数据保护”项下的第 14 条中，招标方明确 提出了对投标方配置 DPO 的强制性要求。如果没有配置 DPO，面 对相关项目的招标、合作机会，企业将处于不利境地，严重影响其市场竞争力。

而对比国内，在常见的企业招投标所需的资质中，越来越多的招标企业要求投标企 业具备 ISO27001、ISO27701等相关资质（贯标分别要求配置信息安全管理 人员、数据安全管理人员）或者具备良好的数据安全保障能力，而设置数据安全治理组 织架构（如配备 DPO）就是证明满足该要求的有利证明，由此持续推动 DPO 的普适化。

从数据保护领域的核心高端配置角色，到数据生态系统中不可或缺的标配要素， DPO 的角色定位经历了显著的转变与升华。企业当紧跟 DPO 标配时代的步伐，及时关 注自身业务需求，不仅限于满足法律法规的强制硬性规定、把握数据合规的风险管理， 更要前瞻性地积极响应市场需求，满足潜在合作伙伴对数据管理能力的高标准期待，深 入挖掘和利用自身数据资产的价值潜力，适时配置 DPO。