互联网平台“基本法”来了

2021年11月1日《个人信息保护法》正式实施， 与2017年6月1日施行的《网络安全法》、2021年9月1日施行的《数据安全法》并称我国网络空间治理的三大基础法律。在信息网络上位法均已就位的同时，关于互联网平台行业的相关制度建设也正在稳步推进，10月29日，互联网平台行业的重要的基础规则《互联网平台分类分级指南》和《互联网平台落实主体责任指南》也发布了征求意见稿，不久互联网平台的“基本法”也将出台，群雄并起、巨头争霸的互联网平台江湖终于即将步入法制的轨道。

这是继2021年2月7日国务院反垄断委员会发布《关于平台经济领域的反垄断指南（国反垄发〔2021〕1号）》之后，对互联网平台整个行业的基本监管制度的完善，不仅是对平台巨头，整个平台行业都将纳入规范化管理的框架。

一、互联网平台分类分级

互联网平台出身于草莽，在创新的驱动下不断开辟业务疆域，在激烈的竞争中快速成长壮大，在资本的推动下飞速并购膨胀，使得互联网平台，尤其是平台巨头业务规模庞大边界模糊结构复杂，很难进行有效的监管，本次对互联网平台进行分类分级可以有效清理混沌的互联网平台行业，为未来的全面管理奠定基础。

1.平台分类。

根据平台的连接属性和主要功能，主要分为以下六大类：

表一：平台分类表

目前尚未规定对不同类别的平台采取不同的准入制度和管理规则，但结合现有的法律法规规定，特殊的类别，例如金融服务类，应遵守相应的行业规定，如支付结算类需要向人民银行申请支付业务许可证，遵守《非金融机构支付服务管理办法》或《条码支付业务规范（试行）》等规定，消费金融类需要向银保监会申请消费金融牌照，遵守《消费金融公司试点管理办法》等规定。对涉及多类别业务的平台也未要求分业经营，鉴于各类平台的业务内涵差别较大，不排除今后会对不同的类别制定相应的管理细则，进行分类管理，而对于跨类别的综合平台，甚至是全类别的巨头平台，是否有可能会为了监管需要，规定按不同业务类别成立独立的法人机构，然后另行出台集团管理细则对综合平台进行集团化管理。

2.平台分级。

根据平台的用户规模、业务种类以及限制能力，主要分为以下三级：

表二：平台分级表

目前对超级平台规定了部分额外的主体责任，其内容更突出社会责任，而不是刚性的法律责任，而对于各级平台尚未规定不同的监管制度，既然级别划分的标准已明确不同平台涉及的用户规模，社会影响力和限制商户接触消费者（用户）能力有所不同，则对不同级别平台监管力度应有差别，对超级和大型平台应更严格的限制其权利范围，防止权利滥用，以保护和平衡用户及社会公众的权益，应制定分级别监管的制度细则。网络上也有市场人士建议，可以比照金融机构的监管体例，对超大型平台比照系统重要性金融机构，在内部管理和外部交易等方面都制定更严格的监管措施。

二、平台主体责任

平台主体责任指南规定了平台主体的34项责任，其中全部平台主体须遵守的有25项，超级平台须特别遵守的有9项。部分责任内容与近期我国互联网平台、网络信息、反垄断、知识产权等领域的密集立法修法活动紧密相关，主要梳理如下：

1、所有平台主体均须承担的责任

a.平台内用户实名制管理责任。要求互联网平台经营者应当根据相关法律、法规，落实网络用户实名制，建立针对平台内用户行为的有效管理制度。

该条义务可在2015年施行的《互联网用户账号名称管理规定》中找到依据，根据该规定，平台应按照“后台实名、前台自愿”的原则，要求用户通过真实身份信息认证后注册账号。2021年10月26日《互联网用户账号名称管理规定》修订征求意见稿进一步增添了“互联网用户账号服务平台应当采取复合验证等措施，对申请账号注册的互联网用户账号使用者进行基于移动电话号码、居民身份证号码、统一社会信用代码等真实身份信息认证，提高认证准确率”的要求。

b.平台内容管理责任。互联网平台经营者应当根据平台自身的特点，建立有效的内容管理制度，避免违法违规信息在平台上的传播。

2021年9月15日中共中央办公厅、国务院办公厅印发《关于加强网络文明建设的意见》，要求加强网络空间思想引领、加强网络空间文化培育、加强网络空间道德建设、加强网络空间行为规范、加强网络空间生态治理、加强网络空间文明创建。

同日国家互联网信息办公室落实《意见》精神发布《关于进一步压实网站平台信息内容主体责任的意见》，要求平台充分发挥网站平台信息内容管理第一责任人作用，引导推动网站平台准确把握主体责任。要求网络平台对信息内容呈现结果负责，严防违法信息生产传播，自觉防范和抵制传播不良信息，确保信息内容安全；制定和完善适合网站平台特点的社区规则，严格落实总编辑负责制度，明确总编辑信息内容审核权利责任，建立总编辑全产品、全链条信息内容审核把关工作机制；完善内容生产扶持政策，采取资金、流量等多种支持方式，鼓励引导用户生产高质量信息内容；强化新闻信息稿源管理，严格落实互联网新闻信息服务相关法律法规，禁止未经许可的主体提供相关服务，转载新闻信息时，不得歪曲、篡改标题原意和新闻信息内容，保证新闻来源可追溯；规范热点排行，健全榜单规则，合理确定构成要素和权重，体现正确价值观导向；从事互联网新闻信息服务等业务，应当依法依规履行许可手续，未经许可不得开展相关活动；落实未成年人保护法律法规要求，结合业务类型和实际，制定未成年人网络保护具体方案；配备与业务规模相适应的从业人员，加大信息内容审核人员数量和比例，不断优化结构，切实保障信息服务质量。

c.反垄断责任。互联网平台经营者应当遵守反垄断领域的法律、法规、规章等规定，不得从事垄断协议、滥用市场支配地位等垄断行为。互联网平台经营者在实施经营者集中前，应根据有关法律法规履行申报义务，在获得有关部门批准之前，不得实施集中。

根据2021年2月7日发布的《关于平台经济领域的反垄断指南》规定，禁止平台经营者达成、实施垄断协议；禁止具有市场支配地位的平台经营者从事滥用市场支配地位行为；禁止平台经营者实施具有或者可能具有排除、限制竞争效果的集中等垄断行为。

2021年10月23日，全国人大在官网公布了《中华人民共和国反垄断法（修正草案）》征求意见稿，本次修订将平台领域新型滥用市场支配地位行为条款作为一项重要的增补内容，增加规定：具有市场支配地位的经营者利用数据和算法、技术以及平台规则等设置障碍，对其他经营者进行不合理限制的，属于前款规定的滥用市场支配地位行为。此外在达成垄断协议、经营者集中的审查等相关条款中也增加了平台经济领域的内容。

d.反不正当竞争责任。互联网平台经营者不得利用技术手段，通过影响用户选择或者其他方式，实施妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的不正当竞争行为。该条根据2019年修订的《反不正当竞争法》相关规定，要求互联网平台经营者不得实施混淆行为，引人误认为是他人商品、服务或者与他人存在特定联系；互联网平台经营者不得编造、传播虚假信息或者误导性信息，损害竞争对手商业信誉、商品声誉；互联网平台经营者不得通过虚假交易、组织虚假交易等方式进行虚假宣传，不得帮助平台内经营者实施虚假交易行为，或者为虚假交易行为提供便利条件。此外《反不正当竞争法》还针对经营者利用网络从事生产经营活动特别禁止：（一）未经其他经营者同意，在其合法提供的网络产品或者服务中，插入链接、强制进行目标跳转；（二）误导、欺骗、强迫用户修改、关闭、卸载其他经营者合法提供的网络产品或者服务；（三）恶意对其他经营者合法提供的网络产品或者服务实施不兼容等违法行为。

e.个人数据获取和自然人隐私与个人信息保护责任。未经用户同意，互联网平台经营者不得将经由平台服务所获取的个人数据与来自自身其他服务或第三方服务的个人数据合并使用。互联网平台经营者不得以合并个人数据为目的诱导、强迫用户登录并使用自身提供的其他服务。互联网平台经营者在运营中应当切实遵守国家法律、法规以及与自然人隐私和个人信息保护相关的规定，履行自然人隐私与个人信息保护责任。互联网平台经营者处理的用户个人信息发生或者可能发生泄露、篡改、丢失的，应当及时采取补救措施。

根据《个人信息保护法》规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。取得个人的同意，个人信息处理者方可处理个人信息。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。平台经营者不得使用未经用户同意采集的数据，也不得超出服务范围过度收集个人数据，更不能以诱导、强迫等方式违规收集个人数据。

个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。

只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。个人信息处理者处理敏感个人信息的，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响 。

发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。

对于处理个人信息达到国家网信部门规定数量的个人信息处理者还应当履行完善个人信息数据的管理制度、指定负责人、定期发布社会责任报告等额外职责。

f.算法规制责任。互联网平台经营者利用其掌握的大数据进行产品推荐、订单分配、内容推送、价格形成、业绩考核、奖惩安排等运用时，需要遵守公平、公正、透明的原则，遵守法律、法规，尊重社会公德和基本的科学伦理，不得侵害公民基本权利以及企业合法权益。对于关涉社会公共利益的算法运用，应当遵守国家关于算法监管的有关规定，并接受社会监督。

关于算法规则，在《个人信息保护法》中体现在自动化决策条款中，规定个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。

此外，2021年8月27日国家互联网信息办公室公开了《互联网信息服务算法推荐管理规定（征求意见稿）》，专门对算法推荐进行了规定，算法推荐服务提供者应当加强用户模型和用户标签管理，完善记入用户模型的兴趣点规则，不得将违法和不良信息关键词记入用户兴趣点或者作为用户标签并据以推送信息内容，不得设置歧视性或者偏见性用户标签。

g.禁止歧视性价格行为规范责任。互联网平台经营者在经营过程中应当遵守价格相关法律、法规，不得利用平台规则和数据、算法等技术手段实施价格歧视、哄抬价格、低价倾销等不正当价格行为，不得利用虚假的或者使人误解的价格手段诱骗消费者交易。

对于大数据杀熟行为，《关于平台经济领域的反垄断指南》规定具有市场支配地位的平台经营者不得差别待遇，滥用市场支配地位，无正当理由对交易条件相同的交易相对人实施差别待遇，排除、限制市场竞争。

《互联网信息服务算法推荐管理规定（征求意见稿）》则规定，算法推荐服务提供者向消费者销售商品或者提供服务的，应当保护消费者合法权益，不得根据消费者的偏好、交易习惯等特征，利用算法在交易价格等交易条件上实行不合理的差别待遇等违法行为。

h.知识产权保护责任。互联网平台经营者应当建立有针对性的知识产权保护规则和相应治理规则，履行知识产权保护责任，加强与知识产权权利人合作，严格履行知识产权保护义务，在存在过错的情况下，承担相应法律责任。

2020年11月《著作权法》修订，2021年6月1日起施行。新著作权法将复制权的行使方式增加了数字化；增加了“视频搬运”现象的著作权法应对，“视频搬运”现象作为短视频类的著作权争议，已经由最初客体的可版权性转向行为的合法性认定问题，由于移动互联网时代短视频制作和传播早已超出网络用户自我表达的范畴，成为“引流”和“圈粉”的重要手段，并通过用户规模的提升给互联网平台带来经济收益，因此其性质应视为“职业创造内容”，并严格根据“三步检验法”判断“搬运”的合法性，从行为是否与原作品使用产生经济上的冲突来决定是否将因搬运而生的短视频纳入事前许可范围；为保障互联网传播效率的充分发挥，将互联网平台作为著作权集中和大规模许可的主体看待，突破传统集体管理制度对集体管理组织的认知局限，允许互联网平台集中行使著作财产权，发挥数字权利管理信息的功能，降低作品在互联网传播的信息成本和协商成本，保障网络用户能够继续低成本使用他人作品进行“二次创作”。

2021年8月31日，国家市场监督管理总局起草《关于修改〈中华人民共和国电子商务法〉的决定（征求意见稿）》，对于电子商务平台经营者的知识产权保护责任提出了更严格的要求：电子商务平台经营者对平台内经营者实施侵犯知识产权行为未依法采取必要措施的，由有关知识产权执法部门责令限期改正，可以处五万元以上五十万元以下的罚款；情节特别严重的，有关部门可以限制其开展相关网络经营活动，直至吊销网络经营相关许可证。

2021年10月9日国务院关于印发《“十四五”国家知识产权保护和运用规划的通知（国发〔2021〕20号）》扩大了知识产权在网络信息领域的保护力度，提出健全大数据、人工智能、基因技术等新领域新业态知识产权保护制度。研究构建数据知识产权保护规则。完善电子商务领域知识产权保护机制。完善跨境电商知识产权保护规则。

2021年10月29日最高人民法院在全媒体新闻发布厅发布《最高人民法院关于加强新时代知识产权审判工作为知识产权强国建设提供有力司法服务和保障的意见》也提出要与时俱进，提高知识产权审判工作的水平，要加强新兴领域知识产权保护，服务新领域新业态规范健康发展。准确适用个人信息保护法、数据安全法，加强互联网领域和大数据、人工智能、基因技术等新领域新业态知识产权司法保护，完善算法、商业方法和人工智能产出物知识产权司法保护规则，合理确定新经济新业态主体法律责任，积极回应新技术、新产业、新业态、新模式知识产权保护司法需求。加强涉数据云存储、数据开源、数据确权、数据交易、数据服务、数据市场不正当竞争等案件审理和研究，切实维护数据安全，为数字中国建设提供法治保障。依法维护作品传播者合法权益，适应全媒体传播格局变化，依法妥善处理互联网领域文化创作及传播的著作权保护新问题。

i. 网络安全责任。互联网平台经营者应当按照网络安全等级保护制度的要求，履行网络安全保护义务，保障网络免受干扰、破坏或者未经授权的访问。互联网平台经营者应当制定网络安全事件应急预案，发生网络安全事件时，应当立即启动应急预案，采取相应的补救措施，并向有关主管部门报告。

该条责任是根据《网络安全法》对网络运营者的相关规定制定的，《网络安全法》规定，网络运营者开展经营和服务活动，必须遵守法律、行政法规，尊重社会公德，遵守商业道德，诚实信用，履行网络安全保护义务，接受政府和社会的监督，承担社会责任。建设、运营网络或者通过网络提供服务，应当依照法律、行政法规的规定和国家标准的强制性要求，采取技术措施和其他必要措施，保障网络安全、稳定运行，有效应对网络安全事件，防范网络违法犯罪活动，维护网络数据的完整性、保密性和可用性。

j. 数据安全责任。互联网平台经营者开展数据处理活动应当依照相关规定，落实数据分类分级保护制度相关要求，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。

该条责任根据《数据安全法》的相关规定制定，《数据安全法》规定，开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。开展数据处理活动以及研究开发数据新技术，应当有利于促进经济社会发展，增进人民福祉，符合社会公德和伦理。开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。

其中对于数据跨境流动安全需要特别予以关注。根据《个人信息保护法》规定，个人信息处理者向境外提供个人信息的，应当具备下列条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务。个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。

《数据安全法》规定，国家对与维护国家安全和利益、履行国际义务相关的属于管制物项的数据依法实施出口管制。非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。

《网络安全法》规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。

2021年10月29日国家互联网信息办公室发布了《数据出境安全评估办法（征求意见稿）》，规定数据处理者向境外提供重要数据，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估，数据出境评估结果有效期二年，期限届满或在有效期内出现规定情形的，数据处理者应当重新申报评估。数据处理者在向境外提供数据前，应事先开展数据出境风险自评估。数据处理者与境外接收方订立的合同充分约定数据安全保护责任义务。

k.特殊人群保护责任。根据相关法律法规对包括对消费者、平台内经营者、劳动者、未成年人、老年人以及其他存在障碍的人群进行特殊保护。

l.禁止、严防网络犯罪责任。包括禁止传销、网络黑灰产治理、禁限售管控等责任。

m.其他责任。包括广告行为规范责任、信息核验、记录、公示责任、服务协议与交易规则责任、信用评价责任、环境保护责任、纳税义务、配合执法等公益性责任。

2、超级平台主体责任

对超级平台制定特殊的社会责任，该做法在网络信息领域立法中比较普遍，例如《个人信息保护法》对提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者规定的特别社会责任，《网络安全法》对关键信息基础设施的运营者规定的特别义务，《数据安全法》对重要数据的处理者提出的特别要求，一般这些特别责任集中在社会公益、内部风控、内部制度建设等领域，旨在通过对这些行业头部机构的特别权利限制或额外义务承担促进对社会公共利益的保护和对行业内公平竞争市场秩序的维护。但这些责任更具有倡议性的属性，强制管理性不强，鉴于超级平台对本行业乃至全社会的影响力巨大，未来不排除出台管理细则对超级平台，甚至大型平台规定更严格的监管制度。

a.促进行业公平竞争市场秩序的维护责任。主要包括公平竞争示范责任、平等治理责任、促进创新责任和开放生态责任。

其中公平竞争示范责任包括两个部分内容：（一）在与平台内经营者开展公平竞争时，无正当理由，不使用平台内经营者及其用户在使用平台服务时产生或提供的非公开数据；（二）平台内经营者或用户访问、注册、登录、获取其所需的平台服务时，不将使用其他关联平台提供的服务作为前提条件。根据《个人信息保护法》规定，任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；处理、使用个人信息必须获得个人同意，且具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。超级平台为了与平台内经营者开展竞争时使用平台内经营者及其用户在使用平台服务时产生或提供的非公开数据，显然违反了《个人信息保护法》的上述规定，属于违法违规、过度收集使用个人信息的行为，而且是以违规违法收集使用的个人信息从事不正当竞争行为。此外，根据2021年5月1日施行的《网络交易监督管理办法》规定，网络交易经营者如搭售商品或服务，应当以显著方式提醒消费者注意的要求。超级平台对平台内经营者或用户在获取其平台服务时，无正当理由地将平台内经营者或用户使用其关联服务作为获取平台服务前提，显然也属于违规搭售的行为，并以此违规行为破坏市场公平竞争。

其中开放生态责任在《个人信息保护法》中也有相似的规定，《个人信息保护法》规定个人数据的可携带性，个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。

b.加强内部管理和制度完善责任。主要包括数据安全管理责任、内部合规治理责任、风险评估责任、风险防控责任、安全审计责任等。

图一：平台责任与相关法律法规对应导图

《互联网平台分类分级指南》和《互联网平台落实主体责任指南》是平台行业监管的第一步，先从主体角度对平台行业进行分类分级清理，其内容尚未覆盖平台行业的具体监管制度，后续应该会继续出台相关制度文件，完善平台行业的管理制度体系。平台行业的制度建设是我国网络信息领域法制化发展进程的重要组成部分，其推进必然在网络信息领域整体制度建设框架内，鉴于我国互联网信息科技的发展速度已远远超越了相关法制建设的速度，互联网巨头对行业和社会的影响力控制力也已远远超越了以往任何社会组织和机构，自2020年以来到今后的一段时期，对网络信息领域的行业监管和知识产权保护，对平台反垄断、反不正当竞争的规制，对网络消费者、平台内经营者、平台内劳动者的保护，以及社会公众的个人信息保护等的立法必将更加密集，我国的互联网江湖已经进入巨头争霸时代，将这些拥有洪荒之力的平台巨兽关进法律的笼子，对立法者来说将是一项前所未有的巨大挑战。