網(wǎng)上投稿
2017年4月11日，國(guó)家互聯(lián)網(wǎng)信息辦公室發(fā)布了關(guān)于《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法（征求意見稿）》（以下簡(jiǎn)稱“《數(shù)據(jù)出境辦法（征求意見稿）》”）公開征求意見的通知。根據(jù)我國(guó)既往的立法實(shí)踐，規(guī)范性文件的征求意見稿往往與最后實(shí)施的正式文件在內(nèi)容上差異不大，故而通過對(duì)《數(shù)據(jù)出境辦法(征求意見稿)》條文的梳理與探討，有助于企業(yè)及時(shí)預(yù)判立法與執(zhí)法動(dòng)態(tài)、提前做好合規(guī)工作?！稊?shù)據(jù)出境辦法(征求意見稿)》共計(jì)十八條，結(jié)合其具體內(nèi)容，我們認(rèn)為有以下幾個(gè)方面值得關(guān)注。
一、上位法的依據(jù): 《國(guó)家安全法》、《網(wǎng)絡(luò)安全法》
《數(shù)據(jù)出境辦法(征求意見稿)》第一條明確指出其依據(jù)為《中華人民共和國(guó)國(guó)家安全法》(以下簡(jiǎn)稱“《國(guó)家安全法》”)《中華人民共和國(guó)網(wǎng)絡(luò)安全法》(以下簡(jiǎn)稱“《網(wǎng)絡(luò)安全法》”)等法律法規(guī)，《數(shù)據(jù)出境辦法(征求意見稿)》將出境數(shù)據(jù)須評(píng)估的范圍界定為個(gè)人信息以及重要數(shù)據(jù)具有上位法依據(jù)?！秶?guó)家安全法》第十六條規(guī)定國(guó)家“保障公民的生命財(cái)產(chǎn)安全和其他合法權(quán)益”，個(gè)人信息具有數(shù)據(jù)和公民權(quán)益雙重屬性：第二十五條明確規(guī)定國(guó)家“實(shí)現(xiàn)網(wǎng)絡(luò)和信息核心技術(shù)、關(guān)鍵基礎(chǔ)設(shè)施和重要領(lǐng)域信息系統(tǒng)及數(shù)據(jù)的安全可控”，重要數(shù)據(jù)即對(duì)應(yīng)“關(guān)鍵基礎(chǔ)設(shè)施和重要領(lǐng)域信息系統(tǒng)及數(shù)據(jù)”。因此，《數(shù)據(jù)出境辦法(征求意見稿)》并非僅僅是《網(wǎng)絡(luò)安全法》第三十七條的細(xì)化配套實(shí)施辦法。這一認(rèn)識(shí)有助于我們正確解讀數(shù)據(jù)出境的相關(guān)要求。
二、規(guī)范的主體: 網(wǎng)絡(luò)運(yùn)營(yíng)者的內(nèi)涵
根據(jù)《數(shù)據(jù)出境辦法(征求意見稿)》第二條[1]的內(nèi)容，該辦法規(guī)范的主體系“網(wǎng)絡(luò)運(yùn)營(yíng)者”。《數(shù)據(jù)出境辦法(征求意見稿)》在“網(wǎng)絡(luò)運(yùn)營(yíng)者”的定義上與《網(wǎng)絡(luò)安全法》保持了一致，是指“網(wǎng)絡(luò)的所有者、管理者和網(wǎng)絡(luò)服務(wù)提供者”。全國(guó)人大法工委經(jīng)濟(jì)法室副主任楊合慶先生在其主編的《中華人民共和國(guó)網(wǎng)絡(luò)安全法解讀》中指出，“在本法制定前的法律中，更多的使用網(wǎng)絡(luò)服務(wù)提供者的概念，它包括網(wǎng)絡(luò)接入服務(wù)提供者(ISP)和網(wǎng)絡(luò)內(nèi)容服務(wù)提供者(ICP)兩類。由于網(wǎng)絡(luò)安全法規(guī)定的網(wǎng)絡(luò)除互聯(lián)網(wǎng)外還包括局域網(wǎng)和工業(yè)控制系統(tǒng)，它們很多不向社會(huì)提供商業(yè)或公共服務(wù),但其所有者和控制者也必須承擔(dān)相應(yīng)的安全義務(wù)，防范網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，保障網(wǎng)絡(luò)安全穩(wěn)定運(yùn)行?！庇纱丝梢?“網(wǎng)絡(luò)運(yùn)營(yíng)者”的概念比“網(wǎng)絡(luò)服務(wù)提供者”的概念更為寬泛，值得讀者予以關(guān)注。
|
對(duì)應(yīng)的部門
|
規(guī)定的名稱
|
使用的概念
|
|
立法部門
|
《網(wǎng)絡(luò)安全法》(主席令第53號(hào))
|
網(wǎng)絡(luò)運(yùn)營(yíng)者
|
|
行政部門
|
《信息網(wǎng)絡(luò)傳播權(quán)保護(hù)條例》(國(guó)務(wù)院令第634號(hào))
|
網(wǎng)絡(luò)服務(wù)提供者
|
|
《互聯(lián)網(wǎng)信息服務(wù)管理辦法》(國(guó)務(wù)院令第588號(hào))
|
互聯(lián)網(wǎng)信息服務(wù)提供者
|
|
|
司法部門
|
《最高人民法院關(guān)于審理利用信息網(wǎng)絡(luò)侵害人身權(quán)益民事糾紛案件適用法律若干問題的規(guī)定》(法釋[2014]11號(hào))
|
網(wǎng)絡(luò)服務(wù)提供者
|
“互聯(lián)網(wǎng)信息服務(wù)提供者”<“網(wǎng)絡(luò)服務(wù)提供者”<“網(wǎng)絡(luò)運(yùn)營(yíng)者”
此外，《數(shù)據(jù)出境辦法(征求意見稿)》第十六條規(guī)定“其他個(gè)人和組織在中華人民共和國(guó)境內(nèi)收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù)出境的安全評(píng)估工作參照本辦法執(zhí)行”，因此，除了網(wǎng)絡(luò)運(yùn)營(yíng)者之外，《數(shù)據(jù)出境辦法(征求意見稿)》將所有主體都“一網(wǎng)打盡”。
三、規(guī)范的適用: 范圍、行為與對(duì)象
(一)適用的范圍
依據(jù)《數(shù)據(jù)出境辦法(征求意見稿)》的定義，“數(shù)據(jù)出境”是指網(wǎng)絡(luò)運(yùn)營(yíng)者將在中華人民共和國(guó)境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù), 提供給位于境外的機(jī)構(gòu)、組織、個(gè)人。對(duì)于“境內(nèi)”一詞的理解,我們認(rèn)為有以下兩點(diǎn)值得注意：
第二，“境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù)”的表述沒有明確“境內(nèi)”的涵義，即具體是網(wǎng)絡(luò)運(yùn)營(yíng)者位于境內(nèi)或“收集和生產(chǎn)”信息或數(shù)據(jù)的服務(wù)設(shè)備位于境內(nèi)，還是被收集信息或數(shù)據(jù)的服務(wù)對(duì)象位于境內(nèi)，在《數(shù)據(jù)出境辦法(征求意見稿)》中并未明確定義。我們理解，“運(yùn)營(yíng)”一詞具有寬泛的含義，同時(shí)互聯(lián)網(wǎng)本身具有跨地域的屬性，“境內(nèi)”+“運(yùn)營(yíng)”的表述在理解上容易引發(fā)歧義，有待《網(wǎng)絡(luò)安全法》正式施行后的司法案例或有關(guān)部門出臺(tái)細(xì)則予以釋明。
|
條文表述
|
有待釋明的情形
|
需要探討的原因
|
|
“網(wǎng)絡(luò)運(yùn)營(yíng)者將在中華人民共和國(guó)境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù)”
|
網(wǎng)絡(luò)運(yùn)營(yíng)者的辦公地點(diǎn)不在境內(nèi)是否適用
|
目前法律尚未明確“信息”的法律地位，僅側(cè)重保護(hù)個(gè)人信息的收集與利用，使得在處理具體問題時(shí)， 信息或數(shù)據(jù)是附屬于服務(wù)對(duì)象或附屬于存儲(chǔ)介質(zhì)或附屬于歸集主體尚不明確
|
|
網(wǎng)絡(luò)運(yùn)營(yíng)者的辦公地點(diǎn)在境內(nèi)，收集和生產(chǎn)信息或數(shù)據(jù)的服務(wù)設(shè)備不在境內(nèi)是否適用
|
||
|
網(wǎng)絡(luò)運(yùn)營(yíng)者的服務(wù)對(duì)象不在境內(nèi)是否適用
|
除了上述地域?qū)用娴囊?guī)范適用問題外，《數(shù)據(jù)出境辦法(征求意見稿)》的適用位階問題也值得讀者關(guān)注。根據(jù)《數(shù)據(jù)出境辦法(征求意見稿)》第二條、第十五條[2]、第十六條[3], 就數(shù)據(jù)出境的法律適用，結(jié)合《網(wǎng)絡(luò)安全法》第三十七條[4]，以及《國(guó)家安全法》第二十五條, 我們可以得出以下兩點(diǎn)結(jié)論:
第一，對(duì)照《數(shù)據(jù)出境辦法(征求意見稿)》第二條與《網(wǎng)絡(luò)安全法》第三十七條以及《國(guó)家安全法》第二十五條，我們理解前者對(duì)應(yīng)的規(guī)范性文件是后者規(guī)定的具體化，在適用時(shí)遵照《數(shù)據(jù)出境辦法(征求意見稿)》修訂生效施行后的正式文件；
第二，我國(guó)政府與其他國(guó)家或地區(qū)簽署的關(guān)于數(shù)據(jù)出境的協(xié)議、涉及國(guó)家秘密信息的具體規(guī)定或其他個(gè)人和組織涉及數(shù)據(jù)出境的具體規(guī)定，在適用時(shí)會(huì)優(yōu)位于《數(shù)據(jù)出境辦法(征求意見稿)》修訂生效后的正式文件。
|
適用性(先)
|
適用性(中)
|
適用性(后)
|
|
我國(guó)政府與其他國(guó)家或地區(qū)簽署的關(guān)于數(shù)據(jù)出境的協(xié)議
|
《數(shù)據(jù)出境辦法(征求意見稿)》修訂生效后的正式文件【操作性較強(qiáng)】
|
《網(wǎng)絡(luò)安全法》第三十五條以及《國(guó)家安全法》第二十五條【原則性較強(qiáng)、操作性較弱】
|
|
涉及國(guó)家秘密信息的具體規(guī)定
|
||
|
其他個(gè)人和組織涉及數(shù)據(jù)出境的具體規(guī)定
|
(二)適用的行為
依據(jù)《數(shù)據(jù)出境辦法(征求意見稿)》的定義，網(wǎng)絡(luò)運(yùn)營(yíng)者在“提供”相關(guān)信息或數(shù)據(jù)時(shí)，將適用該辦法。實(shí)踐中，“提供”在形態(tài)上區(qū)分為主動(dòng)提供與被動(dòng)提供，在模式上區(qū)分為線上提供與線下提供。對(duì)于“提供”一詞的理解，我們認(rèn)為有以下兩點(diǎn)值得注意:
第一, 我們理解, 網(wǎng)絡(luò)運(yùn)營(yíng)者直接通過網(wǎng)絡(luò)將相關(guān)信息或數(shù)據(jù)傳輸給境外機(jī)構(gòu)、組織或個(gè)人的情形，顯而易見系屬于“提供”行為，網(wǎng)絡(luò)運(yùn)營(yíng)者允許前述境外主體通過網(wǎng)絡(luò)訪問、讀取相關(guān)信息或數(shù)據(jù)，在行為效果上與主動(dòng)提供一致，故而類似“被動(dòng)提供”的行為受到該辦法的規(guī)范也應(yīng)是題中之義；
第二，盡管“數(shù)據(jù)出境”的措辭容易使讀者聯(lián)想到網(wǎng)絡(luò)，但《數(shù)據(jù)出境辦法(征求意見稿)》的第一條[5]明確了該辦法的立法依據(jù)除了《網(wǎng)絡(luò)安全法》之外，還包括《國(guó)家安全法》，我們理解，盡管《數(shù)據(jù)出境辦法(征求意見稿)》修訂生效后的正式文件適用于數(shù)據(jù)被線下帶出境的情形在實(shí)踐中可操作性較低(例如:民航在安檢時(shí)核查乘客攜帶的信息或數(shù)據(jù)存儲(chǔ)介質(zhì)的合理性及合法性可能存在爭(zhēng)議)， 但在文義理解上, 依然無法排除該辦法不適用于線下的數(shù)據(jù)出境。
【注】箭頭方向代表《數(shù)據(jù)出境辦法(征求意見稿)》修訂生效后的正式文件的適用性由強(qiáng)到弱。
(三)適用的對(duì)象
在這里，“適用的對(duì)象”是個(gè)廣義的概念，包括“個(gè)人信息和重要數(shù)據(jù)”(標(biāo)的)，也包括“位于境外的機(jī)構(gòu)、組織、個(gè)人”(對(duì)象)。關(guān)于對(duì)“個(gè)人信息和重要數(shù)據(jù)”的理解，我們認(rèn)為有以下兩點(diǎn)值得注意:
第一，這里的“個(gè)人信息”并非指所有與個(gè)人有關(guān)的信息，而是指與個(gè)人有關(guān)且可以識(shí)別身份的信息，屬于相對(duì)狹義的概念。具體而言，《數(shù)據(jù)出境辦法(征求意見稿)》在定義上，沿用了《網(wǎng)絡(luò)安全法》的相關(guān)規(guī)定，明確“個(gè)人信息”是指以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別自然人個(gè)人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號(hào)碼、個(gè)人生物識(shí)別信息、住址、電話號(hào)碼等。故而，經(jīng)過脫敏處理的個(gè)人信息不屬于該辦法中定義的個(gè)人信息。但值得注意的是, 如果巨量的脫敏信息使得信息獲得方可以通過該類脫敏信息獲得與國(guó)家安全、經(jīng)濟(jì)發(fā)展，以及社會(huì)公共利益密切相關(guān)的數(shù)據(jù)，則可能屬于“重要數(shù)據(jù)”。
第二，這里的“重要數(shù)據(jù)”的具體內(nèi)涵有賴于后續(xù)頒布的“國(guó)家有關(guān)標(biāo)準(zhǔn)和重要數(shù)據(jù)識(shí)別指南”。我們理解，《網(wǎng)絡(luò)安全法》中關(guān)于“重要數(shù)據(jù)”的規(guī)定確立了處置數(shù)據(jù)出境問題的基本原則，《數(shù)據(jù)出境辦法(征求意見稿)》修訂生效后的正式文件將在基本原則上進(jìn)一步明確處置的程序(評(píng)估、報(bào)告等)，而“重要數(shù)據(jù)”的內(nèi)涵可能會(huì)先在政府層面的政策方針中予以明確，再具體落實(shí)到法律法規(guī)中。在相關(guān)規(guī)定沒有出臺(tái)前，讀者可關(guān)注中國(guó)網(wǎng)信網(wǎng)(中共中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組辦公室官方網(wǎng)站, 鏈接地址：
http://www.cac.gov.cn/)中的相關(guān)時(shí)評(píng)以及國(guó)際慣例。
|
《網(wǎng)絡(luò)安全法》
(已頒布)
|
《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法》
(征求意見中)
|
“重要數(shù)據(jù)識(shí)別指南”
(待頒布)
|
|
確立處置數(shù)據(jù)出境問題的基本原則
|
明確處置數(shù)據(jù)出境問題的程序(評(píng)估、報(bào)告等)
|
明確“重要數(shù)據(jù)”的內(nèi)涵(即政府監(jiān)管的信息邊界)
|
對(duì)于“位于境外的機(jī)構(gòu)、組織、個(gè)人”的理解，我們認(rèn)為值得注意的是“機(jī)構(gòu)”一詞?！皺C(jī)構(gòu)”從廣義角度而言，包括政府機(jī)構(gòu)。在實(shí)踐中，如果網(wǎng)絡(luò)運(yùn)營(yíng)者需要向境外政府機(jī)構(gòu)提供相關(guān)信息或數(shù)據(jù)，可能涉及兩部乃至多部法律的適用。前文所述的數(shù)據(jù)出境的雙邊或多邊協(xié)議會(huì)在一定程度上解決該問題，但在具體的協(xié)議出臺(tái)前，依據(jù)屬地原則，網(wǎng)絡(luò)運(yùn)營(yíng)者仍需適用我國(guó)關(guān)于數(shù)據(jù)出境的管理辦法。如果境外對(duì)數(shù)據(jù)傳輸另有規(guī)定且與我國(guó)的規(guī)定有所沖突，我們建議相關(guān)網(wǎng)絡(luò)運(yùn)營(yíng)者及時(shí)與我國(guó)網(wǎng)信主管部門溝通，明確相關(guān)規(guī)定或評(píng)估程序豁免適用的條件或情形。
四、外部評(píng)估的前提: 禁止規(guī)定以及啟動(dòng)條件
《數(shù)據(jù)出境辦法(征求意見稿)》的第十一條[6]明確了數(shù)據(jù)禁止出境的情形，主要包括: 第一，個(gè)人信息出境未經(jīng)個(gè)人信息主體或作為未成年人的信息主體的監(jiān)護(hù)人的同意，或可能侵害個(gè)人利益；第二，數(shù)據(jù)出境給國(guó)家政治、經(jīng)濟(jì)、科技、國(guó)防等安全帶來風(fēng)險(xiǎn), 可能影響國(guó)家安全、損害社會(huì)公共利益。圍繞個(gè)人信息，最近公布的《中華人民共和國(guó)民法總則》(以下簡(jiǎn)稱“《民法總則》”)第一百一十一條明確規(guī)定，自然人的個(gè)人信息受法律保護(hù)；任何組織和個(gè)人需要獲取他人個(gè)人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個(gè)人信息, 不得非法買賣、提供或者公開他人個(gè)人信息。結(jié)合《中華人民共和國(guó)合同法》關(guān)于格式條款的規(guī)定，我們理解網(wǎng)絡(luò)運(yùn)營(yíng)者在信息收集和產(chǎn)生的過程中，通過電子方式擬定授權(quán)條款時(shí)應(yīng)當(dāng)符合相關(guān)法律的規(guī)定。此外，“影響國(guó)家安全、損害社會(huì)公共利益”是個(gè)相對(duì)寬泛的概念，網(wǎng)絡(luò)運(yùn)營(yíng)者在簽訂數(shù)據(jù)出境協(xié)議時(shí)于風(fēng)險(xiǎn)提示與承擔(dān)的條款中應(yīng)對(duì)有關(guān)情形予以明確約定。
|
數(shù)據(jù)禁止出境的情形
|
涉及的主要法律法規(guī)
|
網(wǎng)絡(luò)運(yùn)營(yíng)者需關(guān)注的合同條款
|
|
個(gè)人信息出境未經(jīng)個(gè)人信息主體同意, 或可能侵害個(gè)人利益
|
《網(wǎng)絡(luò)安全法》
《民法總則》
|
授權(quán)許可類格式條款
|
|
數(shù)據(jù)出境影響國(guó)家安全、損害社會(huì)公共利益
|
《網(wǎng)絡(luò)安全法》
《國(guó)家安全法》
|
風(fēng)險(xiǎn)提示與分擔(dān)條款
|
《數(shù)據(jù)出境辦法(征求意見稿)》的第九條[7]規(guī)定了安全評(píng)估的啟動(dòng)程序，從擬出境數(shù)據(jù)涉及的規(guī)模、領(lǐng)域與重要性等方面明確數(shù)據(jù)出境前實(shí)施前置安全評(píng)估的條件。
|
類型
|
條件
|
要求
|
|
數(shù)據(jù)對(duì)應(yīng)的對(duì)象規(guī)模
|
含有或累計(jì)含有50萬人以上的個(gè)人信息
|
符合條件之一即需要申報(bào)安全評(píng)估
|
|
數(shù)據(jù)對(duì)應(yīng)的容量規(guī)模
|
數(shù)據(jù)量超過1000GB
|
|
|
數(shù)據(jù)對(duì)應(yīng)的相關(guān)領(lǐng)域
|
核設(shè)施、化學(xué)生物、國(guó)防軍工、人口健康等領(lǐng)域數(shù)據(jù)
|
|
|
數(shù)據(jù)對(duì)應(yīng)的環(huán)境信息
|
大型工程活動(dòng)、海洋環(huán)境以及敏感地理信息數(shù)據(jù)
|
|
|
關(guān)鍵信息基礎(chǔ)設(shè)施的安全技術(shù)與實(shí)體內(nèi)容
|
關(guān)鍵信息基礎(chǔ)設(shè)施的系統(tǒng)漏洞、安全防護(hù)等網(wǎng)絡(luò)安全信息
|
|
|
關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者向境外提供個(gè)人信息和重要數(shù)據(jù)
|
五、評(píng)估的內(nèi)容: 國(guó)家與個(gè)人的兩個(gè)層面
《數(shù)據(jù)出境辦法(征求意見稿)》的第八條[8]規(guī)定了數(shù)據(jù)出境安全評(píng)估的重點(diǎn)評(píng)估內(nèi)容。該條第一款第一項(xiàng)指出了“數(shù)據(jù)出境的必要性”。目前，該辦法尚在征求意見的立法步驟中，我們尚不清楚立法者對(duì)于“必要性”的態(tài)度，即沒有必要出境的數(shù)據(jù)是否就無法通過安全評(píng)估。依據(jù)《數(shù)據(jù)出境辦法(征求意見稿)》第三條的規(guī)定，數(shù)據(jù)出境安全評(píng)估應(yīng)遵循公正、客觀、有效的原則，保障個(gè)人信息和重要數(shù)據(jù)安全，促進(jìn)網(wǎng)絡(luò)信息依法有序自由流動(dòng)。故而，我們理解立法者對(duì)于數(shù)據(jù)出境的態(tài)度依然是中性的，側(cè)重于數(shù)據(jù)安全與信息自由的平衡。同時(shí)，對(duì)于評(píng)估后的處置程序亦未明確，從評(píng)估的立法本意來看，對(duì)于評(píng)估后的處置并非僅有可以出境與否的兩種答案，是否可以根據(jù)評(píng)估狀況，由網(wǎng)絡(luò)運(yùn)營(yíng)者輔之以相應(yīng)措施后亦可出境，期望在后續(xù)的立法進(jìn)程中予以明確。
|
數(shù)據(jù)出境安全評(píng)估的重點(diǎn)評(píng)估內(nèi)容
|
|
|
數(shù)據(jù)出境的必要性(第一款第一項(xiàng))
|
|
|
個(gè)人信息的要件(第一款第二項(xiàng))
|
重要數(shù)據(jù)的要件(第一款第三項(xiàng))
|
|
數(shù)據(jù)接收方的資質(zhì), 以及所在國(guó)家和地區(qū)的網(wǎng)絡(luò)安全環(huán)境(第一款第四項(xiàng))
|
|
|
數(shù)據(jù)再轉(zhuǎn)移后可能帶來風(fēng)險(xiǎn)(第一款第五項(xiàng))
|
出境數(shù)據(jù)匯聚后可能帶來風(fēng)險(xiǎn)(第一款第六項(xiàng))
|
六、評(píng)估的機(jī)制: 主體、模式與要求
《數(shù)據(jù)出境辦法(征求意見稿)》的第五條至第七條、第十二條對(duì)安全評(píng)估的主體、模式與要求作出了規(guī)定，安全評(píng)估的機(jī)制主要包括內(nèi)部評(píng)估、外部評(píng)估、年度評(píng)估、二次評(píng)估等。
|
評(píng)估機(jī)制
|
相關(guān)條文
|
具體要求
|
|
|
內(nèi)部評(píng)估
|
第七條[9]
|
在數(shù)據(jù)出境前自行組織并對(duì)評(píng)估結(jié)果負(fù)責(zé)
|
|
|
外部評(píng)估
|
第五條[10]
第六條[11]
|
國(guó)家網(wǎng)信部門
|
統(tǒng)籌協(xié)調(diào)
|
|
行業(yè)主管或監(jiān)管部門
|
組織開展
|
||
|
年度評(píng)估
|
第十二條[12]
|
根據(jù)業(yè)務(wù)發(fā)展和網(wǎng)絡(luò)運(yùn)營(yíng)情況, 每年至少進(jìn)行一次安全評(píng)估
|
|
|
二次評(píng)估
|
第十二條
|
當(dāng)數(shù)據(jù)接收方出現(xiàn)變更, 數(shù)據(jù)出境目的、范圍、數(shù)量、類型等發(fā)生較大變化, 數(shù)據(jù)接收方或出境數(shù)據(jù)發(fā)生重大安全事件時(shí), 需要重新評(píng)估
|
|
由評(píng)估的方式來看，網(wǎng)絡(luò)運(yùn)營(yíng)者開展內(nèi)部評(píng)估、年度評(píng)估以及二次評(píng)估的系其自我評(píng)估，在不涉及《數(shù)據(jù)出境辦法(征求意見稿)》第九條和第十一條規(guī)定情形下，均采取自我評(píng)估的方式，因此，網(wǎng)絡(luò)運(yùn)營(yíng)者自我評(píng)估的能力和水平關(guān)乎企業(yè)的正常運(yùn)營(yíng)。
七、建議
結(jié)合前述對(duì)《數(shù)據(jù)出境辦法(征求意見稿)》中相關(guān)條文的梳理與探討，我們就數(shù)據(jù)出境問題給出以下幾點(diǎn)建議:
第一，網(wǎng)絡(luò)安全已經(jīng)成為我國(guó)政府高度關(guān)注的問題，并上升到了“空間主權(quán)”的層面予以規(guī)范，網(wǎng)絡(luò)運(yùn)營(yíng)者或者涉及網(wǎng)絡(luò)運(yùn)營(yíng)的其他企業(yè)應(yīng)當(dāng)盡快對(duì)自身網(wǎng)絡(luò)安全工作進(jìn)行一次合規(guī)性審查，尤其是在近期有投融資規(guī)劃，或者金融資本近期擬進(jìn)入網(wǎng)絡(luò)科技領(lǐng)域的企業(yè)， 我們建議將網(wǎng)絡(luò)安全作為合規(guī)管理、盡職調(diào)查的重要事項(xiàng)之一予以對(duì)待。
第二，數(shù)據(jù)出境對(duì)應(yīng)的安全評(píng)估涉及自我評(píng)估的環(huán)節(jié)，對(duì)于在技術(shù)資質(zhì)、法律合規(guī)環(huán)節(jié)把控能力較弱的企業(yè)，我們建議聘請(qǐng)外部專業(yè)機(jī)構(gòu)進(jìn)行獨(dú)立評(píng)估，從而降低企業(yè)風(fēng)險(xiǎn)。
第三，2016年10月國(guó)家稅務(wù)總局起草并對(duì)外發(fā)布了《非居民金融賬戶涉稅信息盡職調(diào)查管理辦法(征求意見稿)》，而此次的《數(shù)據(jù)出境辦法(征求意見稿)》再次提及“與其他國(guó)家、地區(qū)簽署的關(guān)于數(shù)據(jù)出境的協(xié)議”。我們理解以數(shù)據(jù)為核心的資產(chǎn)管理觀念正在國(guó)家層面形成，建議網(wǎng)絡(luò)運(yùn)營(yíng)者或者涉及網(wǎng)絡(luò)運(yùn)營(yíng)的其他企業(yè)應(yīng)積極響應(yīng)，以應(yīng)對(duì)外部政治、商業(yè)環(huán)境的實(shí)時(shí)變化。
【注釋】
[1]《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》第二條規(guī)定，網(wǎng)絡(luò)運(yùn)營(yíng)者在中華人民共和國(guó)境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù)，應(yīng)當(dāng)在境內(nèi)存儲(chǔ)。因業(yè)務(wù)需要, 確需向境外提供的，應(yīng)當(dāng)按照本辦法進(jìn)行安全評(píng)估。
[2]《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》第十五條規(guī)定，我國(guó)政府與其他國(guó)家、地區(qū)簽署的關(guān)于數(shù)據(jù)出境的協(xié)議， 按照協(xié)議的規(guī)定執(zhí)行。涉及國(guó)家秘密信息的按照相關(guān)規(guī)定執(zhí)行。
[3]《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》第十六條規(guī)定，其他個(gè)人和組織在中華人民共和國(guó)境內(nèi)收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù)出境的安全評(píng)估工作參照本辦法執(zhí)行。
[4]《中華人民共和國(guó)網(wǎng)絡(luò)安全法》第三十七條規(guī)定，關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者在中華人民共和國(guó)境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù)應(yīng)當(dāng)在境內(nèi)存儲(chǔ)。因業(yè)務(wù)需要，確需向境外提供的，應(yīng)當(dāng)按照國(guó)家網(wǎng)信部門會(huì)同國(guó)務(wù)院有關(guān)部門制定的辦法進(jìn)行安全評(píng)估；法律、行政法規(guī)另有規(guī)定的，依照其規(guī)定。
[5]《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》第一條規(guī)定，為保障個(gè)人信息和重要數(shù)據(jù)安全，維護(hù)網(wǎng)絡(luò)空間主權(quán)和國(guó)家安全、社會(huì)公共利益，保護(hù)公民、法人和其他組織的合法利益，根據(jù)《中華人民共和國(guó)國(guó)家安全法》《中華人民共和國(guó)網(wǎng)絡(luò)安全法》等法律法規(guī)，制定本辦法。
[6]《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》第十一條規(guī)定，存在以下情況之一的，數(shù)據(jù)不得出境: (一)個(gè)人信息出境未經(jīng)個(gè)人信息主體同意，或可能侵害個(gè)人利益；(二)數(shù)據(jù)出境給國(guó)家政治、經(jīng)濟(jì)、科技、國(guó)防等安全帶來風(fēng)險(xiǎn)，可能影響國(guó)家安全、損害社會(huì)公共利益；(三)其他經(jīng)國(guó)家網(wǎng)信部門、公安部門、安全部門等有關(guān)部門認(rèn)定不能出境的。
[7]《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》第九條規(guī)定，出境數(shù)據(jù)存在以下情況之一的，網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)報(bào)請(qǐng)行業(yè)主管或監(jiān)管部門組織安全評(píng)估: (一)含有或累計(jì)含有50萬人以上的個(gè)人信息；(二)數(shù)據(jù)量超過1000GB；(三)包含核設(shè)施、化學(xué)生物、國(guó)防軍工、人口健康等領(lǐng)域數(shù)據(jù)，大型工程活動(dòng)、海洋環(huán)境以及敏感地理信息數(shù)據(jù)等；(四)包含關(guān)鍵信息基礎(chǔ)設(shè)施的系統(tǒng)漏洞、安全防護(hù)等網(wǎng)絡(luò)安全信息；(五)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者向境外提供個(gè)人信息和重要數(shù)據(jù)；(六)其他可能影響國(guó)家安全和社會(huì)公共利益，行業(yè)主管或監(jiān)管部門認(rèn)為應(yīng)該評(píng)估。行業(yè)主管或監(jiān)管部門不明確的，由國(guó)家網(wǎng)信部門組織評(píng)估。
[8]《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》第八條規(guī)定，數(shù)據(jù)出境安全評(píng)估應(yīng)重點(diǎn)評(píng)估以下內(nèi)容: (一)數(shù)據(jù)出境的必要性；(二)涉及個(gè)人信息情況，包括個(gè)人信息的數(shù)量、范圍、類型、敏感程度，以及個(gè)人信息主體是否同意其個(gè)人信息出境等；(三)涉及重要數(shù)據(jù)情況，包括重要數(shù)據(jù)的數(shù)量、范圍、類型及其敏感程度等；(四)數(shù)據(jù)接收方的安全保護(hù)措施、能力和水平，以及所在國(guó)家和地區(qū)的網(wǎng)絡(luò)安全環(huán)境等；(五)數(shù)據(jù)出境及再轉(zhuǎn)移后被泄露、毀損、篡改、濫用等風(fēng)險(xiǎn)；(六)數(shù)據(jù)出境及出境數(shù)據(jù)匯聚可能對(duì)國(guó)家安全、社會(huì)公共利益、個(gè)人合法利益帶來的風(fēng)險(xiǎn)；(七)其他需要評(píng)估的重要事項(xiàng)。
[9]《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》第七條規(guī)定，網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)在數(shù)據(jù)出境前，自行組織對(duì)數(shù)據(jù)出境進(jìn)行安全評(píng)估，并對(duì)評(píng)估結(jié)果負(fù)責(zé)。
[10]《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》第五條規(guī)定，國(guó)家網(wǎng)信部門統(tǒng)籌協(xié)調(diào)數(shù)據(jù)出境安全評(píng)估工作，指導(dǎo)行業(yè)主管或監(jiān)管部門組織開展數(shù)據(jù)出境安全評(píng)估。
[11]《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》第六條規(guī)定，行業(yè)主管或監(jiān)管部門負(fù)責(zé)本行業(yè)數(shù)據(jù)出境安全評(píng)估工作，定期組織開展本行業(yè)數(shù)據(jù)出境安全檢查。
[12]《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》第十二條規(guī)定, 網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)根據(jù)業(yè)務(wù)發(fā)展和網(wǎng)絡(luò)運(yùn)營(yíng)情況, 每年對(duì)數(shù)據(jù)出境至少進(jìn)行一次安全評(píng)估, 及時(shí)將評(píng)估情況報(bào)行業(yè)主管或監(jiān)管部門。當(dāng)數(shù)據(jù)接收方出現(xiàn)變更, 數(shù)據(jù)出境目的、范圍、數(shù)量、類型等發(fā)生較大變化, 數(shù)據(jù)接收方或出境數(shù)據(jù)發(fā)生重大安全事件時(shí), 應(yīng)及時(shí)重新進(jìn)行安全評(píng)估。
滬公網(wǎng)安備 31010402007129號(hào)
