适用场景
面向提供重要互联网平台服务、用户数量巨大、业务类型复杂的中国出海企业，尤其是在拓展欧美等成熟市场时，需要满足当地及国内对大型平台的监管要求。
核心要点
1. 谁是“守门人”？识别标准与画像
“守门人”通常指提供重要互联网平台服务、用户数量巨大且业务类型复杂的处理者。具体画像包括：用户规模巨大（如年活超5000万）、处理海量数据、业务生态复杂（涉及多类核心平台服务）、具有显著市场支配地位或强大社会动员能力。出海企业需对照国内外标准进行自我评估。
2. 核心合规义务：三大责任层次
“守门人”需履行三大层次义务：一是平台建设义务，需建立完善的个人信息保护合规制度体系；二是对平台内经营者的管理义务，需制定平台规则并监督其合规；三是接受社会监督的义务，包括定期发布合规报告等。这构成了合规管理的核心框架。
3. 高风险场景与数据挑战
电商、金融科技、智能网联汽车、医疗健康等跨生态、多边参与的业务场景风险集中。主要挑战包括：数据权属不清、数据汇聚与跨境传输安全风险、算法不透明导致的“大数据杀熟”等差别待遇，以及可能损害市场公平竞争秩序。
4. 国内外监管对标：欧盟与中国
欧盟《数字市场法》(DMA)和《数字服务法》(DSA)对“守门人”有明确的量化标准（如月活用户、营业额）和行为禁令。中国《个人信息保护法》第五十八条及配套法规更强调“提供重要互联网平台服务”的定性及社会属性。出海企业需同时满足业务所在国和母国的监管要求。
实务建议
- 立即开展自我评估：根据用户规模、业务类型、市场地位等指标，判断自身是否可能被认定为“守门人”处理者。
- 搭建体系化合规制度：建立涵盖数据分类分级、内部审计、第三方管理、算法透明化机制的全流程合规体系。
- 强化对平台内经营者的管理：在合作协议中明确数据合规要求，并建立监督与处罚机制。
- 准备接受外部监督：建立通畅的用户投诉渠道，并准备定期编制和发布个人信息保护社会责任报告。
- 关注数据互联互通要求：在保障安全的前提下，评估并落实业务所在国（如欧盟）关于数据可携带性与互操作性的要求。
风险提示
- 误区：认为只有达到欧盟量化标准（如750亿欧元市值）才是“守门人”。事实：中国法规更强调“重要互联网平台服务”的定性，用户量巨大、业务复杂的平台即使市值未达标也可能需要履行义务。
- 误区：将《个保法》第五十八条的三个条件理解为“或”的关系。注意：实务中倾向于认为是“且”的关系，需同时满足“重要平台、用户巨大、业务复杂”才构成，避免过度扩大义务范围。
- 注意事项：数据融合与算法应用是监管重点，需确保自动化决策的透明、公平，并提供非个性化选项，避免“大数据杀熟”风险。
- 注意事项：“守门人”义务是跨领域的，不仅涉及数据安全，还与反垄断、反不正当竞争紧密相关，需进行综合性合规治理。