◎ 文 《法人》杂志全媒体记者 李韵石

▲CFP

近日，国家互联网信息办公室依法对知网处以5000万元罚款，这是继2022年国家市场监督管理总局依据反垄断法处罚知网8760万元以来，知网又一次受到巨额罚款。业内要求知网合规发展的呼声日渐高涨。10月3日，北京鼎世律师事务所律师庞理鹏接受《法人》记者采访时说：“知网这些年一直处于风口浪尖，从2021年的知识产权问题到2022年的反垄断问题，再到近期的个人信息保护问题，都是社会关注的热点话题，尤其此次个人信息保护问题，涉及用户非常多，影响极为恶劣。”

侵权赔偿在先垄断处罚在后

2021年12月，知网因未经本人同意收录其论文被判赔偿70余万元。知网就该事件发表声明称，诚恳接受来自作者、媒体和社会各界的批评，全面检查在互联网业态下的著作权保护与使用授权方式，认真分析著作权授权链各环节的工作不足和瑕疵漏洞，虚心听取法律界专家、学者和出版机构的意见与建议，严格执行有关法律法规和政策要求，与学术期刊编辑出版单位一道正视问题、解决问题。

然而，仅半年时间，知网再次受到主管部门处罚。2022年5月，市场监管总局依据反垄断法对知网涉嫌实施垄断行为立案调查。调查发现，2014年以来，知网滥用该支配地位实施垄断行为。垄断行为具体表现为：一、通过连续大幅提高服务价格、拆分数据库变相涨价等方式，实施了以不公平的高价销售其数据库服务的行为；二、通过签订独家合作协议等方式，限定学术期刊出版单位、高校不得向任何第三方授权使用学术期刊、博硕士学位论文等学术文献数据，并采取多种奖惩措施保障独家合作实施。

2022年12月26日，市场监管总局依法作出行政处罚决定，责令知网停止违法行为，并处以其2021年中国境内销售额17.52亿元5%的罚款，计8760万元。对此，知网表示，诚恳接受，坚决服从，并公布五个方面15条整改措施，包括彻底整改独家合作、大幅降低服务价格、保护作者合法权益、持续优化相关服务、全面加强合规建设等。

违规收集个人信息再遭重罚

近日，根据网络安全审查结论及发现的问题和移送的线索，国家互联网信息办公室依法对知网涉嫌违法处理个人信息行为进行立案调查。

经查实，知网主要运营主体为同方知网（北京）技术有限公司、同方知网数字出版技术股份有限公司、光盘版电子杂志社三家公司，其运营的手机知网、知网阅读等14款APP存在违反必要原则收集个人信息、未经同意收集个人信息、未公开或未明示收集使用规则、未提供账号注销功能、在用户注销账号后未及时删除用户个人信息等违法行为。

9月1日，国家互联网信息办公室依据网络安全法、个人信息保护法、行政处罚法等法律法规，综合考虑知网违法处理个人信息行为的性质、后果、持续时间特别是网络安全审查情况等因素，对知网依法作出网络安全审查相关行政处罚的决定，责令停止违法处理个人信息行为，并处人民币5000万元罚款。

对此，10月3日，庞理鹏表示，收集个人信息应当遵循合法正当诚信原则、最小必要原则、目的明确原则、知情同意原则、个体参与原则、保证质量原则、公开透明原则、安全保障原则和权责一致原则。

庞理鹏介绍，知网作为国内知名的学术资源平台，截至2022年，总用户人数已超4300万人，文章数量已逾2.8亿篇，掌握着大量个人信息和涉及国防、工业、电信、交通运输、自然资源、卫生健康、金融等重点行业领域重要数据，以及中国重大项目、重要科技成果及关键技术动态等敏感信息，作为个人信息处理者，的确在对个人信息处理过程中压力不小，但是这不应该成为其违反个人信息保护法、不履行保护个人信息义务的借口。

知网对于平台信息保护义务的懈怠，损害的不仅是个体的信息安全，同时也为国家信息安全带来了巨大风险。知网此次被罚给所有行业带来警示，个人信息处理者需加强企业内部管理、完善企业合规机制，必要时还需要开展外部审计流程。

个人信息保护日益完善

“近年来，我国对于个人信息保护日益完善，对于涉及个人信息的违法违规事件整治力度也在加强。”广东卓建律师事务所数据合规中心主任李兰兰10月5日告诉记者。

前不久，公安部在京召开新闻发布会，通报全国公安机关打击整治侵犯公民个人信息违法犯罪行为的举措和成效。2020年以来，公安机关累计侦破案件3.6万起，抓获犯罪嫌疑人6.4万名，查获手机黑卡3000余万张、网络黑号3亿余个。同时，公安机关巡查互联网企业5.5万家，办理行政案件1.3万余起；督导互联网头部企业完善用户数据采集、存储、使用制度，对未履行网络安全保护义务、未落实数据安全防护措施的互联网平台运营主体，依法予以行政处罚，督促其整改到位。

民法典与刑法均对个人信息的保护有严格规定。“个人信息”的概念被首次写入法律是在2021年1月1日实施的民法典第一千零三十四条：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”民法典明确指出个人信息受到法律的保护，任何单位与个人不得非法收集、利用、处理、传递他人的个人信息，更不得非法交易、提供或公开他人个人信息。

刑法第三百五十三条专门针对侵犯公民个人信息罪作出明确规定，将向他人提供或出售公民个人信息的行为视为犯罪，尤其是对于工作人员利用职务之便非法获利的，更会从重处罚。依照此罪条的规定，根据情节轻重，违法者将面临不同程度的罚金与有期徒刑。

此外，个人信息保护法、网络安全法、数据安全法等为个人信息保护提供了更为细致、全面的法律依据。

在此背景下，国家网信办《数字中国发展报告（2022)》显示，2022年“清朗”系列专项行动深入开展，下架APP、小程序2890余款，关闭网站7300多家；开展打击网络侵权盗版“剑网2022”专项行动，严厉打击文献数据库、短视频和网络文字等重点领域侵权盗版行为；累计依法约谈网站平台8608家，警告6767家，罚款处罚512家，会同电信主管部门取消违法网站许可或备案、关闭违法网站25233家，移送相关案件线索11229件。

“近期发布的《个人信息保护合规审计管理办法（征求意见稿）》（下称“意见稿”）主要是作为细化和补充个人信息保护法第五十四条和六十四条的文件，奠定了我国的个人信息保护合规审计的二分体系。”庞理鹏说，意见稿针对处理个人信息的企业，制定了一系列详细且严格的合规审计要求。这些要求以确保企业在个人信息处理活动中遵循法律法规、防范潜在风险，从而加强个人信息的保护。

意见稿主要分为定期审计（或内部审计）和监督审计（或外部审计）两大部分，以全面覆盖个人信息处理者（如企业）的个人信息处理活动。定期审计要求企业定期进行自我检查，确保其信息处理活动持续符合法律法规的规定，同时发现并及时纠正可能存在的违法行为或不合规情况，保障个人信息的安全与合规性。这样的机制促使企业建立健全的内部管理体系，提高企业自身的合规意识和能力。

监督审计则是指由相关监管部门指定机构进行的审计，以确保企业遵循相关法律法规，维护个人信息的安全性和合法性。监督审计是对企业的一种外部监督和制约，它强化了对企业违法行为的查处力度，有助于及时发现并制止企业的违法违规行为，保障个人信息不被非法侵权。

对于个人信息处理，庞理鹏认为，大企业需要反省自身，小企业也需要未雨绸缪，无论是否达到100万以上的个人信息存量，都需要对自我进行网络安全审查以及个人信息保护合规审计，以降低处理个人信息以及数据的合规风险。知网此次违规事件，不仅是对知网的惩罚，更是对全行业提出了严格的要求和期望，希望所有企业都能够吸取教训，加强合规管理和培训，严格履行个人信息保护法等相关法律法规要求，保障用户个人信息的安全，维护良好的行业生态和公众利益。

编审｜渠 洋

责编｜惠宁宁

校对｜张 波  张雪慧

来源｜《法人》杂志2023年10月总第236期