境内外DPO的差异在哪？

对比欧盟与中国一系列数据违规案件， 中国的 DPO 不具有欧盟独立承担责任的地位，还面临着资格罚的风险。

1. 境内外 DPO 责任差异

2024 年 8 月 26 日，荷兰数据保护局公告，网约车服务运营商 Uber 公司违规进行 数据跨境传输，被处以 2.9 亿欧元的罚款，这是荷兰数据保护局有史以来开出的最高 罚单。但对于 uber 公司的 DPO，当局并未给予任何罚款或禁令。

相形之下，国内个人信息保护领域最高罚单——滴滴案中的 DPO 就不那么轻松了。 2022 年 7 月 21 日，国家互联网信息办公室对滴滴全球股份有限公司处人民币 80.26 亿 元罚款。同时对滴滴全球股份有限公司董事长兼 CEO 程维、总裁柳青各处人民币 100 万元罚款，理由是二人对违法行为负“主管责任”。28虽因网信办对滴滴公司案件的调查始于 2021 年 7 月，彼时《个保法》尚未生效，“个人信息保护负责人”这个中国版的 DPO 称谓尚未正式提出，但承担等同 DPO 职责的两名公司负责人还是受到了罚款的处罚。 这种因组织存在数据违法违规行为，同时处罚组织与负责人的“双罚”现象在国内案 例丰富（以近期举例）： 2024 年 8 月，杭州银行因数据质量等问题，被罚款 110 万元，同时杭州银行 4 名 相关负责人被警告。

2024 年 7 月，交通银行股份有限公司山西省分行涉及违反信用信息采集、提供、 查询及相关管理规定等，被警告并处罚款 107.7 万元。此外，5 名相关负责人被罚款。 30 2024 年 6 月，长沙某发展有限公司的网络信息系统数据安全保护、应急处置、风 险评估等制度不健全，长沙市委网信办对该企业及相关责任人分别作出罚款五万元和一 万元的行政处罚。

2024 年 5 月，南昌某集团有限公司因未履行数据安全保护义务，被处以警告、罚 款 10 万元，直接负责的主管人员被处以罚款 2 万元。32 国内一系列对于 DPO 与组织双重处罚的案例，与前述 Uber 重大数据跨境违法案 件中只处罚企业的案例相较，可以看出域内外 DPO 的责任承担如同“橘生淮南则为橘， 橘生淮北则为枳”的典故所喻，在不同法域中展现出显著的差异性，国内的 DPO 并不像 欧盟 DPO 只需独善其身，而是要对组织的数据违法违规行为承担法律责任。这种差异 反映出国内外 DPO 在法律地位上的差异。

2. 境内外 DPO 地位对比

前述案例对比中有关 DPO 法律责任承担的差异，映射了国内外 DPO 法律地位的 不同，具体来说，欧盟 DPO 具有强独立地位，而国内 DPO 则处于弱从属地位。

(1) 欧盟 DPO 的“强”独立地位 从任命规则看“独立地位”。欧盟 GDPR 中组织所任命的 DPO，可以由独立于组织 的外部机构、外部服务提供商或外部专业人员担任。但如果由内部员工担任 DPO，GDPR要求组织“保证员工的任何其他任务和责任不会导致利益冲突”（GDPR 第 38（6）条）。 因此，欧盟 DPO 的范围，包括内部与履行数据保护职责不冲突的员工，以及中立数据 保护第三方。在这种任命机制下，现实中企业通常先向外寻找专业的组织或人士，再考 虑合适的内部员工，确保了数据保护官在履行职责时具有独立性，不受组织内部的制约， 从而更有效地监督组织的数据合规，并促进组织内外数据信息的连接。

从解雇规则看“独立地位”。在欧盟，组织要解雇 DPO，也不那么容易。对于内部 责任，GDPR 第 38（3）条规定，“控制者和处理者应当确保 DPO 不会收到任何有关执 行其工作任务的指示，DPO 不能因执行自身的任务而被解雇或处罚。”该规定为 DPO 提 供解雇方面的保护，禁止控制者或处理者随意解雇 DPO。在 2022 年 6 月 22 日 Leistritz AG 诉 LH（C-534/20）33一案中，欧盟法院（CJEU）对禁止解雇、处罚 DPO 的规定解 释为，必须保护 DPO 免受任何终止其职责的决定的影响，因为解雇或处罚的决定将使 DPO 处于数据保护中的不利地位。欧盟法院还指出，这一要求一视同仁地适用于内部 被任命的员工 DPO 和根据服务合同被聘任的外部 DPO。

从责任豁免看“独立地位”。正是 DPO 所具有独立法律地位，才成就“组织违法与 DPO 无关”。在外部法律责任上，WP2934的《DPO 指南》中第一条就明确了“DPO 不 因为组织违反 GDPR 而承担责任。确保并证明数据处理遵守 GDPR 相关规定，是数据 控制者、数据处理者的责任”。GDPR 仅针对作为数据控制者与处理者的企业规定了承 担处罚的责任，DPO 无需因组织的违法行为而受罚。在欧盟法律框架中，其极力保障 DPO 人事安排、责任承担的独立性为 DPO 履职提供基础环境。只有 DPO 具有独立履 职的地位，不受组织约束，才能落实监督组织数据合规、连结组织内外数据信息等初始 作用。Meta 的天价处罚案件，更加说明欧盟 DPO 的独立地位并不因组织出现重大的数 据违法行为而有所动摇。Meta 违规进行数据跨境传输案是迄今为止因违反 GDPR 而被 处以最高罚款的标志性案件。EDPB 表示，Meta 公司违法传输的个人信息数量十分巨 大，且属于系统性、重复性且持续性的数据传输，违法行为非常严重，决定对 Meta 处 以 12 亿欧元（约合 91 亿人民币）的罚款35。除了罚款外，Meta 还受到数据主管部门的谴责和命令，要求其采取整改措施、暂停数据传输等。但即便是如此严重的数据违法案 件，数据主管部门并没有对 Meta 公司的 DPO 提出任何意见或处罚。高昂的罚款仅针对 企业做出，并不涉及 DPO 责任。

(2) 国内 DPO 的“弱”从属地位 双罚制：DPO 因组织违法而受罚。在国内，《个保法》《网安法》等规范不仅没有 规定任命、解雇等方面对 DPO 独立地位的保障，且法律责任上还规定了“直接负责的主 管人员”“其他直接责任人员”与组织均罚款的原则。具体如下： 在《网安法》中，网络运营者未履行对产品服务提供安全维护等网络安全保护义务 时，直接负责的主管人员和其他直接责任人员可能面临五千元以上十万元以下罚款。 在《数安法》中，数据处理者未履行数据安全保护义务的，直接负责的主管人员和 其他直接责任人员根据数据处理者违法的严重程度，可能被处以一万元以上十万元以下 罚款或十万元以上一百万元以下罚款。

在《个保法》中，数据处理者未按规定处理个人信息或处理个人信息未履行法律规 定的个人信息保护义务的，直接负责的主管人员和其他直接责任人员根据数据处理者违 法的严重程度，可能被处以一万元以上十万元以下罚款或十万元以上一百万元以下罚款。 在《网络数据安全管理条例》中，网络数据处理者违规处理数据的，直接负责的主 管人员和其他责任人员根据网络数据处理者的违规程度，最高面临 100 万元以下罚款。 在双罚制的原则下，针对 DPO 的处罚与其所在组织深度绑定，罚款金额将依据组 织违法严重程度上涨。具体而言，若组织违法情形属于“情节严重”或“拒不改正”的， 作为DPO的直接负责主管人员和其他直接责任人员面临的最高罚款金额达到100万元。

举例而言，在赣州某信息技术公司案中，该公司业务系统疑似遭受黑客攻击，经调 查涉案公司在开展网络营销代理业务中未有效落实网络和数据安全保护主体责任，未依 法采取相应的技术措施保障业务系统数据安全。有关部门依据《数据安全法》对公司给 予警告、罚款 15 万元的处罚，对直接负责的主管人员和直接责任人各罚款 1 万元。36 与前述 Meta 案件对比，该案件并未造成任何数据泄露或违规进行数据跨境传输的实质后果，仅是存在业务系统的风险，而且在处罚决定中，处罚机关没有论证作为责任 人员的 DPO 存在何种违法行为，就对其进行了罚款。DPO 遭受了组织连带的处罚责任。 DPO 法律责任与组织责任的藕断丝连，反映在法律地位上是国内的 DPO 法律地位 上的“从属性”，其不具有独立履职的地位，受到组织的监督管理，法律责任也与组织休 戚相关。

行业禁令：真正的如履薄冰。值得注意的是，比罚款具有更大杀伤力的行业禁令。 除罚款外，国内相关规范还规定了针对 DPO 的“行业禁止令”（《个人信息保护法》 第六十六条“可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员 和个人信息保护负责人”）。 我们称其为“资格罚”。资格罚对 DPO 在相关行业内担任董监高和个人信息保护 负责人的资格进行限制。如果说双罚制中的罚款让 DPO 在当下承担了组织违法的连带 责任，资格罚则让这种连带责任的影响进一步发酵。根据 2024 年 7 月 1 日生效的《公 司法》第一百七十八条规定，无民事行为能力或者限制民事行为能力、因贪污、贿赂、 侵占财产、挪用财产或者破坏社会主义市场经济秩序被判处刑罚、失信被执行人等五种 情形下，不得担任公司的董事、监事、高级管理人员。而因组织违法而承担责任的 DPO 其违法程度显然没有达到失信被执行等严重程度，却可能与失信被执行人承担相同的资 格罚。