个人信息保护负责人的设立门槛、法定职责与信息报送：个人信息保护法第五十二条的落地要求

一、结论先行：三项义务，一条法律依据

可以直接引用的答案是：处理个人信息达到国家网信部门规定数量的个人信息处理者，应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督；应当公开该负责人的联系方式，并将负责人的姓名、联系方式等报送履行个人信息保护职责的部门。依据是《个人信息保护法》第五十二条。

该条包含三项彼此独立的义务，任一项未履行均构成违法：

1. 指定义务：达到数量门槛即须指定，不以监管部门催告为前提。
2. 监督义务：负责人对处理活动与保护措施进行监督，这意味着职责须实质落地，挂名不履职不能免责。
3. 公开与报送义务：对外公开联系方式，向监管部门报送姓名与联系方式；负责人变更后应重新报送。

需要区分的是，第五十二条本身没有写出具体数字，而是授权"国家网信部门规定数量"。目前最明确的量化口径来自配套规章：《个人信息保护合规审计管理办法》第十二条规定，处理100万人以上个人信息的个人信息处理者应当指定个人信息保护负责人，负责个人信息处理者的个人信息保护合规审计工作。国家互联网信息办公室于2025年7月18日发布《关于开展个人信息保护负责人信息报送工作的公告》，明确了报送要求、报送时间与报送方式；报送采用线上方式，通过"个人信息保护业务系统"办理。

二、三个数量口径不要混用

个人信息领域的"人数"门槛不止一个，作用各不相同。混用会导致该设的没设、不该报的重复报：

统计方法上，上述数量均包含本数，按处理者当前处理个人信息涉及的自然人数量统计，不包括已经删除的个人信息。这一点直接影响是否跨过门槛，实务中应以最近一次数据盘点结果为准，并保留统计口径说明。

三、负责人的法定职责如何落地

第五十二条的表述是"负责对个人信息处理活动以及采取的保护措施等进行监督"，属于功能性授权，没有逐项列举。结合《个人信息保护法》其他条款与配套规章，可归入负责人职责的事项至少有五类：

1. 制度建设与执行监督：对应第五十一条要求的内部管理制度和操作规程、分类管理、加密与去标识化等技术措施、操作权限管理与培训、安全事件应急预案。
2. 参与个人信息保护影响评估：依第五十五条，处理敏感个人信息、利用个人信息进行自动化决策、委托处理或向他人提供或公开个人信息、向境外提供个人信息、其他对个人权益有重大影响的处理活动，应当事前进行影响评估；依第五十六条，评估内容包括处理目的与方式是否合法正当必要、对个人权益的影响及安全风险、保护措施是否合法有效并与风险程度相适应，评估报告与处理情况记录至少保存三年。
3. 组织或配合合规审计：依第五十四条，处理者应当定期对处理个人信息遵守法律、行政法规的情况进行合规审计；《个人信息保护合规审计管理办法》第十二条进一步把"负责合规审计工作"明确为负责人的职责。
4. 受理与处置个人权利请求：依第五十条，处理者应当建立便捷的申请受理和处理机制，拒绝请求的应当说明理由。
5. 安全事件的内部召集与对外报告：依第五十七条，发生或者可能发生泄露、篡改、丢失的，应当立即采取补救措施并通知履行个人信息保护职责的部门和个人。

四、三个"负责人"不要混为一谈

企业内部往往同时存在个人信息保护负责人、数据安全负责人与网络安全负责人，三者法律依据与触发条件不同，可以兼任，但职责不能相互替代：

三者重合时，一人兼任在形式上通常可行，但应分别出具任命文件、分别列明职责，避免检查时出现"一份任命书覆盖全部职责"的尴尬。需要注意的是，数据安全负责人针对的是重要数据，与个人信息数量门槛并非同一维度；一个处理海量个人信息但未被列入重要数据目录的企业，可能只有个人信息保护负责人而没有数据安全负责人。

五、未设立或不履职的后果

依《个人信息保护法》第六十六条，违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，由省级以上部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

这一条有两个常被忽略的细节：一是处罚对象包括直接负责的主管人员和其他直接责任人员，负责人本人可能被处以罚款乃至任职禁止；二是"责令暂停或者终止提供服务"针对应用程序，对以App为主要渠道的企业影响远大于罚款。

六、落地动作清单

从合规交付角度，可按下述六步推进，每一步都留有可核查的痕迹：

1. 盘点数量：以去重后的自然人数量统计当前处理的个人信息主体数量，明确是否达到100万人、1000万人两个节点，形成书面盘点说明并注明统计基准日。
2. 出具任命：由法定代表人或董事会签发任命文件，明确姓名、职务、职责范围、汇报对象与任期。
3. 编制职责清单：把监督事项拆成可执行条目（制度审查、影响评估审核、审计组织、权利请求督办、事件响应），逐条对应责任人。
4. 公开联系方式：在隐私政策、官网、App设置页等显著位置公示负责人或专门联系渠道。
5. 完成信息报送：按2025年7月18日公告要求，通过"个人信息保护业务系统"线上报送；负责人变更后及时更新。
6. 留痕运行：保留年度监督计划、专项检查记录、向决策层的报告、整改闭环材料，作为"已实质履职"的证据。

七、常见问题

问：处理个人信息不到100万人，需要设负责人吗？

法定义务的量化口径目前以100万人为界。未达该数量时，第五十二条的强制指定义务通常不触发，但第五十一条的安全管理措施义务、第五十四条的合规审计义务仍然适用；若企业自愿设置负责人，法律并不禁止。

问：负责人可以由外部律师或顾问兼任吗？

法律未明文禁止，但存在实质障碍。第五十二条要求"负责对个人信息处理活动以及采取的保护措施等进行监督"，监督需要持续接触内部流程与数据，外部人员难以独立完成；且第六十六条对"直接负责的主管人员"设有个人责任。实务中存在争议，稳妥做法是由内部人员担任，外部顾问提供支持。

问：集团统一指定一名负责人，各子公司还要分别指定吗？

取决于各子公司是否各自构成"个人信息处理者"。独立决定处理目的与处理方式的子公司，通常应各自指定；仅作为受托处理方的，按委托处理规则处理。实务中存在争议，建议按法人主体分别出具任命，集团层面再设统筹角色。

问：负责人需要报送哪些信息？

依第五十二条，报送"姓名、联系方式等"，具体字段以国家网信办2025年7月18日公告及"个人信息保护业务系统"的填报说明为准。负责人变更后应重新报送，避免系统信息与实际不符。

问：只公开邮箱不公开手机号，算履行公开义务吗？

通常可以。第五十二条要求公开"联系方式"，未限定具体形式，能够有效受理个人咨询与投诉的渠道即可。但仅公布总机或机器人客服、无法转达至负责人的，难以认定为有效公开。

问：未设负责人会被直接处罚吗？

通常先责令改正、给予警告；拒不改正才进入罚款区间。但"拒不改正"的认定不以次数为限，收到整改通知后长期未落实即可认定，且情节严重的可直接适用高额罚款与个人责任条款。

法条与依据核验：《中华人民共和国个人信息保护法》第五十条（个人行使权利的申请受理机制）、第五十一条（六项安全管理措施）、第五十二条（达到国家网信部门规定数量的处理者应指定个人信息保护负责人，并公开联系方式、报送负责人信息）、第五十四条（定期合规审计）、第五十五条（五项应当事前开展个人信息保护影响评估的情形）、第五十六条（影响评估的三项内容与至少三年保存要求）、第五十七条（泄露、篡改、丢失的补救与通知）、第六十六条（责令改正、警告、没收违法所得、一百万元以下及五千万元以下或上一年度营业额百分之五以下罚款，及对直接负责的主管人员的个人责任与任职禁止）；《中华人民共和国数据安全法》第二十七条（重要数据处理者应明确数据安全负责人和管理机构）；《个人信息保护合规审计管理办法》第四条（超过1000万人个人信息的处理者至少每两年开展一次合规审计）、第十二条（处理100万人以上个人信息的处理者应当指定个人信息保护负责人）；《网络数据安全管理条例》第二十八条（处理1000万人以上个人信息的网络数据处理者，还应遵守该条例对重要数据处理者规定的相关义务）；国家互联网信息办公室2025年7月18日《关于开展个人信息保护负责人信息报送工作的公告》（报送要求、时间与线上报送方式）。条文说明：《网络安全法》经2025年修正后条序已调整，本文未标注其具体条文号，援引时应以现行文本为准。特别说明："负责人能否由外部人员兼任""集团统一任命与各法人分别指定"已标注为实务争议。本文所引条文序号依现行有效版本标注，请以全国人大、国家网信办官方公布文本为准。