第三十七条 法律、法规授权的具有管理公共事务职能的组织为履行法定职责处理个人信息，适用本法关于国家机关处理个人信息的规定。
【条文主旨】
本条是关于法律、法规授权的组织处理个人信息的规定。
【条文理解】
一、公共事务授权管理的必要性
公共事务是指伴随社会发展过程发生的关系国家、集体、个人共同利益的社会性事务，主要包括政治性公共事务和社会性公共事务。政治性公共事务是指与国家政权建设紧密相关，涉及国家政权稳定和国家政治发展的，需要依靠国家强制力加以解决的公共事务，如军事、外交、司法、维护公共安全等；社会性公共事务是不必依靠国家强制力来解决的公共事务，如教育、科技、公共交通、医药卫生等。伴随着公共事务的产生，出现了两种不同的社会分工：一种是直接生产公共物品、提供公共服务，其主体是各类社会公益组织；另一种是公共管理主体为了解决公共问题，实现公共利益，运用公共权力对公共事务施加管理，即公共事务管理。从理论上说，公共事务管理职能一般由国家机关承担。但是实践中，由于公共事务管理的复杂性以及专业性、技术性日益增强，加之国家机关人员编制有限，公务员数量难以满足公共事务管理的需要，单靠国家机关管理公共事务难以满足现实需要，客观上需要一些非国家机关承担某些公共事务管理职能。为此，大陆通过法律、法规授权某些具有管理公共事务职能的组织处理公共事务，被授权组织依照法定权限和程序，以自己的名义行使法律、法规所授职权，并承担行使该职权的法律后果，享有与国家机关相同的主体地位。
二、大陆目前授权管理的法律框架
在大陆目前的法律体系框架下，法律、法规授权主要多见于行政法领域。行政授权是指行政机关在法律、法规明确规定可以授权的情况下，根据行政管理的实际需要，依照法定权限和程序，将行政职权部分或全部授予有关组织，后者据此以自己的名义行使该职权，并承受该职权行为效果的法律制度。大陆行政授权的相关规定可见于《行政许可法》《行政处罚法》《行政强制法》三部行政法规范中，《行政许可法》第23条规定：“法律、法规授权的具有管理公共事务职能的组织，在法定授权范围内，以自己的名义实施行政许可。被授权的组织适用本法有关行政机关的规定。”《行政处罚法》第19条规定：“法律、法规授权的具有管理公共事务职能的组织可以在法定授权范围内实施行政处罚。”《行政强制法》第70条规定：“法律、行政法规授权的具有管理公共事务职能的组织在法定授权范围内，以自己的名义实施行政强制，适用本法有关行政机关的规定。”根据以上法律的规定，经过授权，非行政机关的组织就取得了行政执法的资格，可以以自己的名义行使行政许可权、行政处罚权、行政强制权，以自己的名义独立地承担相应的法律后果。
根据大陆相关法律、法规规定，法律、法规授权的组织主要包括以下几种：一是事业单位。事业单位，是指为国家创造或改善生产条件，从事为工农业生产服务活动，不以营利为目的的单位。二是社会团体。社会团体虽然不是行政机关，不属于行政系统，但法律、法规往往授权它们行使某些行政职能，如各种行业协会，它们有依法律、法规授权管理本行业的某些行政事务的权力。三是基层群众性自治组织。基层群众性自治组织是指城市和农村按居民、村民居住的地区设立的居民委员会和村民委员会。四是企业组织。企业组织主要是行政管理的对象，但在特定情况下，法律、法规也可授权其行使一定行政职权。五是各种技术检验、鉴定机构。对一些需要运用专门知识、专门技能、专门设备进行检验鉴定的事务，法律、法规通常授权由一些有关的技术性机构办理。
三、注意区分行政授权与行政委托
法律、法规授权的组织在行使法律、法规所授职权时，享有与行政机关相同的行政主体地位，以自己的名义行使所授职权，并对外承担法律责任。在大陆相关法律体系中，与行政授权容易混淆的另外一种制度是行政委托。行政委托是指行政机关将其管辖权的一部分交由行政机关之外的组织或者个人，并以委托机关的名义行使行政职能。行政委托的法律要件通常包括四个方面的内容：一是行政委托必须有法定依据。行政机关必须在法律、法规及规章规定可以委托时，才能委托。没有法定依据的委托，是不合法的，也是无效的。二是委托行政机关必须拥有法定权限。委托机关在进行行政委托时，其委托给受委托人的公权力必须是其自身合法拥有的职权。如果行政机关把一项本身不拥有的公权力委托给受委托人行使，这显然是滥用职权，超越权限的委托当然无效。三是行政委托必须符合法定程序。由于行政委托的事务是具体行政行为，符合法定程序是“依法行政”的应有之意。四是行政委托对象应当是符合法定条件的有关企事业单位、社会组织或者个人。行政机关通过其内设机构和所属公务员实施行政管理，虽然也是一种实质性委托，但由于其与行政机关存在正常的内部关系，因而不包含在这里的行政委托之中。
行政授权与行政委托最大的区别在于有无法律、法规的授权。具体来说，两者之间的区别主要表现在以下几个方面：一是行政权力运行上不同。行政授权导致行政权力的转移，而行政委托并不导致行政权力的转移。二是行为名义和效果归属不同。在行政授权关系中，被授权人实施具体行政行为以自己的名义进行，而且行为的效果归属于自己；而在行政委托关系中，由于行政职权没有转移，所以被委托人实施具体行政行为只能以委托机关的名义进行，该行政行为的效果自然也归属于委托机关。三是行为者在行政诉讼中的地位不同。在行政授权关系中被授权组织实施授权行为的，可以成为行政诉讼的被告；而在行政委托关系中，由于被委托主体并非行政主体，因此不能成为行政诉讼中的被告。
综上，本条适用的主体为法律、法规授权的具有管理公共事务职能的组织，有关行政机关或组织依照法律、法规、规章的规定，接受行政机关委托处理个人信息的，不适用本条以及本节的特别规定，而应适用本法有关个人信息处理的其他规定。
【条文适用】
在具体适用该条时，应着重把握如下几点：
一是明确本条适用的主体。根据该条规定，只有法律、法规授权的具有管理公共事务职能的组织在履行职责处理个人信息时，才能适用有关国家机关处理个人信息的规定，对于适用主体，主要强调两个方面：其一，强调授权来源。本条强调授权的来源为法律和法规。由于授权是将国家机关的公权力授予非行政机关的组织行使，该组织取得授权后，可以以自己的名义行使国家公权力，因此，为了慎重起见，国家公权力的对外授权原则上限定在法律、法规层面，主要包括全国人民代表大会及其常务委员会制定的法律，国务院制定的行政法规，省、自治区、直辖市，较大的市（省、自治区的人民政府所在地的市，经济特区所在地的市以及经国务院批准的较大的市）的人民代表大会及其常务委员会制定的地方性法规，民族自治地方的人民代表大会制定的自治条例和单行条例，与行政法规有同等法律效力的国务院的决定等法规性文件的授权。需要注意的是，修改后的《行政诉讼法》第2条第2款规定：“前款所称行政行为，包括法律、法规、规章授权的组织作出的行政行为。”但是，本条并未将规章列入授权的范围，在具体适用时还需按照该条规定从严掌握，只有法律、法规授权的，才适用本条。其二，强调被授权组织的自身特点。被授权主体本身需要有管理公共事务的职能，否则构成违法授权，自然无法适用本条之规定。公共事务管理职能主要是指政府系统行使的行政管理职能和党委系统担负的党的领导机关工作职能，通常包括政策法规规划的研究制定、行政审批、行政许可、市场监管、执法监督以及公共管理服务等。
二是明确本条适用的行为。按照公共事务管理授权理论，被授权的组织只有在执行授权行为时，才享有行政主体的地位，其在执行被授职权以外的自身职能时，不享有行政权，不具有行政主体的地位。因此，在适用本条时，要注意区分被授权组织行为的权力来源。法律、法规授权的具有管理公共事务职能的组织，只有在授权范围内履行法定职责处理个人信息的，才适用本法关于国家机关处理个人信息的规定。如果某个组织虽然具有管理公共事务的职能，但是未经法律、法规授权，或者虽然经过授权，但处理非授权事务或者超过授权范围处理事务的，则其处理个人信息的行为应当适用本法关于个人信息处理的一般规定，而不能适用本节有关国家机关处理个人信息的特别规定。