王 丹

（1.中国人民大学书报资料中心 北京 100872）

2020年5月，我国第十三届全国人民代表大会第三次会议高票通过的《中华人民共和国民法典》使用“信息处理者”一词全面覆盖参与个人信息采集、聚合、存储、加工、传输、提供和公开等主要环节的各类主体，突破了《网络安全法》《电子商务法》《信息安全技术 个人信息安全规范》（GB/T 35273-2020）等法律规范和国家标准中混乱割裂的术语使用状态。2021年8月通过的《个人信息保护法》进一步概括规定了“个人信息处理者”的基本含义、处理原则、处理范围及其一般义务等。

虽然上述条款增进了个人信息保护领域立法的统一性、科学性、简明性与实效性，却未能详细勾勒个人信息处理主体的具体类别及其在不同场域下的权责关系。亟待结合我国数据产业发展状况与域内外相关立法进展，系统性绘就个人信息主体建规立制的完整概念体系与特殊场景下不同子项的特定角色及其责任，支撑我国数据要素市场发展壮大。

1 个人信息处理主体建规立制的域外情状

1.1 欧盟基于个人数据控制的二元分类

欧盟的《通用数据保护条例》（以下简称《条例》）（General Data Protection Regulation，GDPR）将参与处理任何已识别或可识别自然人相关信息的主体划分为“数据控制者”（Data Controller）和“数据处理者”（Data Processor），并将“数据处理”范围细化为“针对个人数据或个人数据集合的单一操作或一系列操作，诸如收集、记录、组织、建构、存储、自适应或修改、检索、咨询、使用、披露、传播或以其他方式应用，排列、组合、限制、删除或销毁，无论此操作是否采用自动化手段”。……