一句话回答：按《个人信息保护法》第五十八条，提供重要互联网平台服务、用户数量巨大、业务类型复杂的平台，要额外履行四项“特别义务”——建合规体系并设主要由外部成员组成的独立机构监督、制定平台规则约束入驻商家、对严重违规商家停止服务、定期发布个人信息保护社会责任报告。不履行，先被责令改正、警告、没收违法所得；拒不改正罚100万元以下，情节严重的最高罚5000万元或者上一年度营业额的5%。

一、法律依据：个人信息保护法第五十八条

“提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务：（一）按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督；（二）遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务；（三）对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务；（四）定期发布个人信息保护社会责任报告，接受社会监督。”

二、什么算“大型互联网平台”

法律没有给一个固定数字，判断标准是三个要素叠加：提供重要互联网平台服务、用户数量巨大、业务类型复杂。实践中通常结合平台的用户规模、业务门类数量、对平台内经营者和用户的影响程度综合认定，具体口径以网信部门规定为准。

直白说，这一条主要落在头部的电商、社交、搜索、出行、内容平台身上。中小企业的自建App、小程序一般不属于这一档，不用自己吓自己。

三、四项特别义务具体要做什么

第一，合规制度体系加独立监督机构。不是让法务部自己写个制度就算完，关键在“主要由外部成员组成”的独立机构，要有独立性和实际的监督权限。

第二，平台规则。要把入驻商家、服务商处理个人信息的规范和义务写进平台协议和规则里，并且公开、公平、公正地执行。

第三，停止服务。发现平台内有商家严重违法处理个人信息的，平台要停止对它提供服务。这一条是“作为义务”，不作为同样可能被追责。

第四，定期发布个人信息保护社会责任报告。这是最容易被漏掉的一项，也是最容易留痕被查的一项。

四、不履行会有什么后果

按《个人信息保护法》第六十六条，违反本法处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正、给予警告、没收违法所得；对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处100万元以下罚款，对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。

情节严重的，由省级以上履行个人信息保护职责的部门责令改正、没收违法所得，并处5000万元以下或者上一年度营业额5%以下罚款，还可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处10万元以上100万元以下罚款，并可以决定在一定期限内禁止其担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

另外，第五十九条明确：接受委托处理个人信息的受托人，也要依照本法和有关法律、行政法规采取必要措施保障所处理的个人信息的安全，并协助个人信息处理者履行法定义务。平台把数据交给外包商、云服务商，不等于把责任也交出去了。

五、实务中要注意什么

提醒一句：这四项义务全是“可留痕”的。独立机构有没有真的成立、平台规则有没有真的写进协议、违规商家有没有真的被停服、社会责任报告有没有按期发布，监管一查后台就知道。所以不要做成纸面制度，要把会议记录、规则版本、处置记录、发布记录留档。

第二，判断自己是不是“大型平台”不要靠自我感觉。可以对照《互联网平台分类分级指南》等国家规定的分类分级思路，结合自身用户量和业务复杂度做一次内部评估，评估依据和结论要留档备查。

六、案例分析（示意情景）

说明：以下为便于理解的示意情景，不是真实案件。

某电商平台被举报平台内多家商户违规收集消费者通讯录。经查，平台自身的隐私政策写得完整，但入驻协议里没有任何个人信息保护条款，也从未对违规商户停止过服务，更没有发布过个人信息保护社会责任报告。这种情形下，平台即使自己没有直接收集这些数据，也可能因为未履行第五十八条规定的平台规则、停止服务等特别义务而被责令改正并处罚。要点是——平台的责任不只是“我不违规”，还包括“管住我平台上的商家”。

七、常见问题（FAQ）

问：这条只对头部大厂适用吗？

答：第五十八条的适用对象是“提供重要互联网平台服务、用户数量巨大、业务类型复杂”的个人信息处理者，实践中主要落在头部电商、社交、搜索、出行、内容平台，中小企业的自建App、小程序一般不属于这一档。

问：独立监督机构必须全部是外部人吗？

答：法律规定是“成立主要由外部成员组成的独立机构”，核心在外部成员占多数并具备实际监督权限。

问：商家在平台上违法收集信息，平台也要担责吗？

答：要。平台要制定平台规则明确入驻方处理个人信息的规范和义务，并对严重违反法律、行政法规处理个人信息的平台内产品或者服务提供者停止提供服务。

问：社会责任报告必须公开吗？

答：第五十八条要求“定期发布个人信息保护社会责任报告，接受社会监督”，发布是法定义务，不是可选项。

问：不履行这些义务会被罚多少？

答：按第六十六条，拒不改正的并处100万元以下罚款，直接责任人员处1万元以上10万元以下；情节严重的，并处5000万元以下或者上一年度营业额5%以下罚款，直接责任人员处10万元以上100万元以下，还可被禁止在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

相关阅读

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512