30平方房屋装修效果图大全-三维家

具体到事中审查领域，对域外实践进行梳理和分析，有助于我们深化对制度建构规律的认识，为我国相关工作提供线索。

不同的立法监督系统与分散的备案审查机关对文件的审查标准规定得不一致，其审查工作的精细程度也存在差异，加之各个审查主体在审查时缺少有效的沟通协商机制，在审查后又缺乏紧密的报备衔接机制，极易导致审查结论冲突，从而加剧社会公众对备案审查结论出错的担忧。在依申请审查中，存在针对提起审查要求和审查建议两种情况：法定机关提出审查要求，审查机关会直接受理，不存在不予启动的情况。

备案审查事后纠错的本质就是对法律规范冲突的再审查，也是对备案审查机关的再监督，其目标就是维护国家法制统一，符合宪法原理和宪法规范。然而，个别备案审查结论目前已经引起一定的社会质疑却是客观事实。但实践中，四阶段事后纠错程序的启动依赖于适格的申请主体，且有一定的条件限制，那么所有阶段的审查结论都受到质疑并成功启动纠错程序的几率极低。三、地方立法中备案审查纠错制度的创新性规定及启示 （一）现行地方立法试水的实证分析 遍查有关备案审查的立法可以发现，中央层面并未设立任何形式的事后纠错制度，但地方上通过法规或规章做了创新性规定，且各地的纠错制度呈现出不同的样态（见表1）。[46]可见，备案审查机关虽然不会经常动用刚性手段，但并不意味着这一手段永远不会使用，[47]2021年全国人大常委会法工委备案审查工作报告就提出必要时依法启动全国人大常委会撤销纠正程序的工作安排。

需要指出的是，备案审查事前预防与事后纠错机制，在整个备案审查程序中并没有形成绝对的先预防、后纠错的二阶分布模式，由于纠错机制在备案审查的四阶段均可设置，预防机制与纠错机制呈现出交替推进状态，由两者接力保证备案审查的质量。[14]以人大系统为例，截至2019年底，全国人大常委会法工委法规备案审查室有13人，地方上平均每个省3.3人，平均每个市2人左右，平均每个县1人左右。[39]英国信息专员办公室在执法指南征求意见稿中指出：当处罚对象不具有商业性质并因此没有营业额时，我们将考虑其相关财政状况的同类信息（equivalent information），包括收入、预算或支出。

[13]《个人信息保护法》起草过程中，曾有人提出若众多履行个人信息保护职责的部门都有权处以巨额罚款，会给企业造成灭顶之灾，也可能导致地方部门为增加财政收入而罚款，故第66条第2款规定应由省级以上履行个人信息保护职责的部门来罚款。但为了全面、准确和高效地适用现行法，本文建议：第一，将违反本法规定处理个人信息解释为违反《个人信息保护法》第一至三章的行为，因为第二、三章都是在规定个人信息处理规则，前者涉及所有处理行为，后者聚焦跨境提供行为，第一章规定个人信息处理基本原则，可作为兜底性规范。（三）有责性 应受行政处罚行为之有责性是指作为谴责对象的行为必须能为行为人意志控制，包括责任能力和责任条件。第一，如何理解上一年度营业额？《个人信息保护法》此规定受GDPR影响，但也存在重要差异。

关于责任条件，《行政处罚法》第33条第2款规定：当事人有证据证明没有主观过错的，不予行政处罚。结语 本文聚焦《个人信息保护法》第66条，对个人信息保护行政处罚制度展开分析。

据《民法典》第104条，对个人独资企业的罚款首先由企业财产承担，不足的部分由设立人的个人财产承担补充责任。作者简介：彭錞，法学博士，北京大学法学院助理教授。例如某APP的隐私政策未包括收集使用个人信息的规则，据《APP违法违规收集使用个人信息行为认定方法》第1条应认定为未公开收集使用规则。第二，如何理解禁止责任人员在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人？一定期限不是终身禁入，后者应由法律明文规定，例如《安全生产法》第92条第3款。

[28]参见程啸：《个人信息保护法理解与适用》，中国法制出版社2021年版，第507-508、522页。上文细化的情节轻微和情节较重，前者可适用警告，后者可单处或并处另外两种处罚。典型如2011年《互联网文化管理暂行规定》第33条、2017年《互联网信息内容管理行政执法程序规定》第6条和2018年修订的《公安机关办理行政案件程序规定》第11条。中国法上，单个自然人可成立个体工商户、个人独资企业和一人有限责任公司，如何连带处罚须分情况讨论。

《个人信息保护法》第66条没有明确哪些主体应罚，但其第二至五章设定的个人信息处理规则、义务以及个人在个人信息处理活动中的权利均指向个人信息处理者，而根据第21条，个人信息处理受托人也须实现《个人信息保护法》合规。第二，地域管辖之协调。

[23]熊樟林：《行政处罚责任主义立场证立》，载《比较法研究》2020年第3期，第142页。有违法所得的，由市场监管部门处违法所得一倍以上十倍以下罚款。

摘要:  在个人信息保护领域，除网信部门外，监管对象处理个人信息的行政机关都具有行政处罚权。对责任人的处罚包括罚款10万-100万元，并可以禁止其在一定期限内担任相关企业的董事、监事、高管和个人信息保护负责人。[19]2021年10月20日发布的《国家市场监督管理总局对十三届全国人大四次会议第7273号建议的答复》（国市监议[2021]126号）。[28]同理，行为人违反《个人信息保护法》，本质上是对国家建构的法秩序之破坏，[29]不一定给信息主体造成损害，例如处理者不按该法第52条要求指定个人信息保护负责人。但本文的初步分析表明：个人信息保护领域行政处罚复杂性高，极易在多头执法体制和巨大量罚空间下，偏离过罚相适的正轨。除网信部门外，还有哪些机构属于履行个人信息保护职责的部门？《网络安全法》第8条、《数据安全法》第6条将电信、公安、国安、交通、金融、自然资源、卫生健康、教育、科技部门列为网络安全、数据安全监管部门，但也采用其他有关机关和等的措辞来表明列举是不穷尽的。

营业额以《企业会计准则第14号——收入》第2条规定的企业在日常活动中形成的、会导致所有者权益增加的、与所有者投入资本无关的经济利益的总流入为准，计算范围则应以违法行为相关服务或市场为准。对此，根据《消费者权益保护法》第56条，可由市场监管部门警告、没收违法所得、处以违法所得一倍以上十倍以下的罚款，没有违法所得的，处以50万元以下的罚款，情节严重的，责令停业整顿、吊销营业执照。

层级管辖冲突视违法情节轻重来协调。[9]但网络空间对行为发生地中心主义带来巨大冲击，因为网络违法行为的发生地难以确定，即便可以确定，也往往不是确定处罚管辖权的最适宜标准。

[3]王融、黄致韬：《迈向行政规制的个人信息保护：GDPR与CCPA处罚制度比较》，载微信公众号腾讯研究院（最后访问时间：2021年12月27日）。但并非所有针对严重个人信息保护违法行为的处罚措施都只能由省级以上部门作出，因为根据第66条第2款，省级以上部门可通报有关主管部门吊销业务许可或营业执照，有关主管部门不限于省级以上部门。

根据《电信和互联网用户个人信息保护规定》第22条，由电信管理机构警告，可并处1万元以下的罚款。因此，作为个人信息处理者或个人信息处理受托人的组织、个人违反《个人信息保护法》，应依据第66条处罚。[22]《个人信息保护法》第六章第63条规定在履行个人信息保护职责的部门依法询问、调查、检查过程中，当事人负有配合义务，不得拒绝、阻挠，但该法第66条或其他条文并未对违反此义务的行为设定处罚。其二，尽管法定罚款数额高不等于实际罚款数额高，但法定额高本身就体现了立法者对特定违法行为危害性的判断，应当优先考虑。

GDPR第83条第2款列举了十一项决定应否罚款及金额的考量因素。如何认定拒不改正？在行政处罚领域，这是一项常见的情节，《网络安全法》第59-62、68、69条和《数据安全法》第45条都有涉及，可分两步认定：第一，履行个人信息保护职责的部门作出并送达责令改正决定书。

关于何为罚款数额高，理论上有实际数额高和法定数额高两种见解。第三，层级管辖之协调。

针对处理个人信息违法行为，上述任一地域管辖联结点所在行政区域的履行个人信息保护职责的部门都有处罚管辖权，按照《行政处罚法》第25条第1款，应由最先立案的机关行使管辖权。其三，以法定罚款额高为标准不会影响实现过罚相适，反而能让有最大量罚空间的处罚机关去确定与违法行为相应的罚款。

没有罚款上限或者罚款上限一致的，适用罚款下限高的规定。[3]以《个人信息保护法》第66条为切入点，探讨我国个人信息保护行政处罚制度的文献迄今仍付之阙如。一方面，本文无法就管辖纠纷解决程序、受罚行为具体认定、违法情节竞合、行民衔接、行刑衔接等问题展开。[26]参见喻少如、姜文：《论行政处罚的主观要件——以新修订〈行政处罚法〉第三十三条第二款为中心》，载《湖南警察学院学报》2021年第3期，第72页。

后者可进一步对单位适用责令暂停相关业务或停业整顿、吊销业务许可或营业执照，对个人适用从业禁止。（二）措施匹配 《个人信息保护法》第66条规定的多种行政措施中，如前所言，责令改正并非行政处罚，既可与处罚同时作出，亦可单独适用。

[17]上述做法各有道理：对公权机构罚款的理由在于其和非公权机构都是个人数据控制者或处理者，应一视同仁。[16]各成员国有三类做法。

因此，若行为人能够证明自己处理个人信息违反《个人信息保护法》没有过错，就不存在有责性，应不予处罚。为降低个人信息保护领域处罚的不确定性，建议统一标准如下：上一年度以处罚决定作出时的上一自然年度为准，因为这较之违法行为发生时点、立案时点、财政年度等更易确定。