中国网络监管机构针对处理大量个人信息的企业设定了新的合规期限，这是其强化数据隐私监管力度的最新举措。国家互联网信息办公室（CAC）现要求所有达到特定规模的“个人信息处理者”指定专门的数据保护官（DPO），并在2025年8月29日前向主管部门报备DPO的详细信息reedsmith.comreedsmith.com。属于该强制性规定适用范围的企业——大体上指处理超过100万人个人信息的企业——包括科技、零售、金融及其他拥有庞大用户数据且面向消费者的跨国公司reedsmith.comreedsmith.com。未能在备案截止日期前完成申报的企业将承担法律责任，企业及直接责任人员均将面临罚款处罚reedsmith.com。
这项新的DPO备案要求由国家网信办于2025年7月18日公布，属于旨在贯彻执行中国《个人信息保护法》（PIPL）的通知的一部分reedsmith.com。《个人信息保护法》此前已规定大规模数据处理者须指定个人信息保护负责人，但国家网信办的通知通过要求对该负责人进行官方备案，进一步增强了执法的刚性。根据礼德律师事务所（Reed Smith）的客户简报，符合条件的企业必须在截止日期前向属地网信部门提交DPO的姓名和联系方式reedsmith.com。该规定同样适用于中国本土企业以及在中国境内未设立实体机构但处理超过100万中国居民个人信息的境外企业——后者必须在中国境内指定专门机构或指定代表，并作为DPO报送该代表的信息reedsmith.com。至关重要的是，国家网信办明确指出DPO并无国籍限制：该负责人既可以是中方人员，也可以是外籍公民，但必须具备数据保护领域的相关专业知识reedsmith.com，并被赋予在全机构范围内推行合规的权力reedsmith.com。一旦指定，DPO将与企业共同承担确保遵守数据法律法规的个人责任；监管机构已明确表示，一旦发生违法行为，双方均将被追究责任reedsmith.com。
这项规定正迫使以大数据为驱动的企业立即展开合规应对。行业观察人士指出，中国隐私监管机构已迅速从构建法律框架转向实质性执法落实阶段。国家网信办的通知要求在7月之前处理个人信息已超过100万人门槛的企业仅有30个工作日——即截至8月底——来办理DPO备案reedsmith.com。未来跨过该门槛的新企业必须在达到门槛后的30天内完成备案reedsmith.com。不合规的风险绝非纸上谈兵：根据《个人信息保护法》，严重违法行为的罚款可高达¥50 million或企业上一年度营业额的5%，直接负责的主管人员（现包括DPO）亦可被处以个人罚款，甚至被禁止担任领导职务iapp.org。监管部门还表示，未报备DPO信息将被视为违法行为，可能会引发调查或公开通报。外资律所正建议客户切勿将DPO仅视为虚衔，而应将其视为在华数据治理的核心支柱。礼德律师事务所的简报呼吁：“企业和DPO必须立即采取行动，评估自身义务并确保在截止日期前完成备案。”reedsmith.com建议采取的措施包括：核实各在华关联机构合计处理个人信息是否达到100万人门槛、正式任命具备资质的DPO（或境外企业的境内指定代表），并准备提交给国家网信办的必要证明文件。除了文书申报之外，企业还应为DPO赋能并提供充足资源以落实《个人信息保护法》合规要求——从开展新强制要求的个人信息保护合规审计（大型处理者每两年须进行一次reedsmith.com），到监督跨国数据出境安全评估。紧迫的时间表凸显了中国堵塞数据保护监管执行漏洞的坚定决心。处理中国客户或员工数据的跨国企业正处于紧要关头，必须抓紧构建健全的数据保护官职能体系，否则将在这个对隐私监管愈发严格的司法管辖区面临罚款和声誉受损的风险。
