中國(guó)科學(xué)技術(shù)大學(xué)公共事務(wù)學(xué)院、網(wǎng)絡(luò)空間安全學(xué)院教授 左曉棟

　　7月24日，中國(guó)電動(dòng)汽車(chē)百人會(huì)、中國(guó)信息化百人會(huì)在北京聯(lián)合召開(kāi)2022年度第19期高端研討會(huì)，主題為“智能網(wǎng)聯(lián)汽車(chē)數(shù)據(jù)管理如何平衡安全與創(chuàng)新”。中國(guó)科學(xué)技術(shù)大學(xué)公共事務(wù)學(xué)院、網(wǎng)絡(luò)空間安全學(xué)院教授左曉棟受邀出席，并發(fā)表演講。以下為左曉棟發(fā)言整理。

　　【核心觀(guān)點(diǎn)】：當(dāng)前，我國(guó)政策并未明確強(qiáng)調(diào)要實(shí)施數(shù)據(jù)本地化存儲(chǔ)。對(duì)數(shù)據(jù)出境施加一些條件要求甚至是條件限制，并不等于不讓數(shù)據(jù)出境，也不等于數(shù)據(jù)必須存在境內(nèi)。在數(shù)據(jù)管理方面，我國(guó)正在建立重要數(shù)據(jù)出境安全監(jiān)管制度，相關(guān)政策仍處于動(dòng)態(tài)調(diào)整階段。特別是，對(duì)重要數(shù)據(jù)的定義存在不一致是該階段的特定現(xiàn)象，未來(lái)將逐步達(dá)成共識(shí)。

　　01、如何理解我國(guó)當(dāng)前的數(shù)據(jù)出境安全管理制度

　　理解我國(guó)當(dāng)前的數(shù)據(jù)出境安全管理制度，主要有以下幾個(gè)要點(diǎn)：

　　一是當(dāng)前我國(guó)政策并未明確強(qiáng)調(diào)要實(shí)施數(shù)據(jù)本地化存儲(chǔ)。數(shù)據(jù)本地化存儲(chǔ)的概念最早來(lái)自于2017年6月1日起正式實(shí)施的《網(wǎng)絡(luò)安全法》第37條：“關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者在中華人民共和國(guó)境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù)應(yīng)當(dāng)在境內(nèi)存儲(chǔ)。因業(yè)務(wù)需要，確需向境外提供的，應(yīng)當(dāng)按照國(guó)家網(wǎng)信部門(mén)會(huì)同國(guó)務(wù)院有關(guān)部門(mén)制定的辦法進(jìn)行安全評(píng)估”。

　　即，《網(wǎng)絡(luò)安全法》第37條同時(shí)提及兩個(gè)制度：一個(gè)是本地化存儲(chǔ)制度;另一個(gè)是數(shù)據(jù)的出境評(píng)估制度。很多人認(rèn)為，既然要對(duì)數(shù)據(jù)出境設(shè)定規(guī)矩，那就是最好不要出去，也就是本地化存儲(chǔ)。但其實(shí)這是兩個(gè)概念。

　　對(duì)數(shù)據(jù)出境施加一些條件要求，甚至有時(shí)候是條件限制，并不等于不讓數(shù)據(jù)出境，也不等于數(shù)據(jù)必須存在境內(nèi)。必須看到，除了《網(wǎng)絡(luò)安全法》外，后續(xù)出臺(tái)的法律法規(guī)的確沒(méi)有再?gòu)?qiáng)調(diào)數(shù)據(jù)本地化存儲(chǔ)的概念。在個(gè)別場(chǎng)合下，可能數(shù)據(jù)還是要堅(jiān)持本地化存儲(chǔ)，但這一定是某種特定的數(shù)據(jù)，而不是針對(duì)所有的數(shù)據(jù)。

　　二是對(duì)數(shù)據(jù)出境安全管理政策的認(rèn)定，不是所有的數(shù)據(jù)出境都按現(xiàn)在的數(shù)據(jù)出境條件來(lái)實(shí)施?！毒W(wǎng)絡(luò)安全法》和《數(shù)據(jù)安全法》明確了重要數(shù)據(jù)的出境條件，即必須經(jīng)過(guò)網(wǎng)信部門(mén)組織的安全評(píng)估，《個(gè)人信息保護(hù)法》與《網(wǎng)絡(luò)安全法》也明確了個(gè)人信息出境的條件。

　　個(gè)人信息出境有四條不同的途徑：第一，經(jīng)過(guò)網(wǎng)信部門(mén)組織的安全評(píng)估，主要是關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者和處理100萬(wàn)人以上個(gè)人信息的數(shù)據(jù)處理者，或者自上年1月1日起累計(jì)向境外提供10萬(wàn)人個(gè)人信息或者1萬(wàn)人敏感個(gè)人信息的數(shù)據(jù)處理者。第二，如果不屬于以上情況的個(gè)人信息出境，可以通過(guò)安全認(rèn)證，就是由國(guó)家網(wǎng)信部門(mén)牽頭組織的個(gè)人信息保護(hù)認(rèn)證，進(jìn)行數(shù)據(jù)出境。第三，通過(guò)標(biāo)準(zhǔn)合同，這個(gè)標(biāo)準(zhǔn)合同由國(guó)家網(wǎng)信部門(mén)確定，數(shù)據(jù)發(fā)送方和數(shù)據(jù)接收方簽訂。第四，法律法規(guī)或者網(wǎng)信部門(mén)規(guī)定的其他條件。

　　那么，不屬于上面的情況，按照目前法律法規(guī)規(guī)定，這是可以自由出的(涉密信息或行業(yè)有特殊要求的除外)。大家的注意力都被前一階段國(guó)家政策的數(shù)據(jù)出境安全要求吸引過(guò)去了，誤以為數(shù)據(jù)必須這么出境。實(shí)際上還有相當(dāng)多的數(shù)據(jù)是不必通過(guò)以上路徑就可以出境，即，既非重要數(shù)據(jù)也非個(gè)人信息。目前的法律沒(méi)有規(guī)定所有的數(shù)據(jù)出境都必須經(jīng)過(guò)評(píng)估、標(biāo)準(zhǔn)合同或者認(rèn)證。當(dāng)企業(yè)進(jìn)行數(shù)據(jù)出境時(shí)，可以對(duì)數(shù)據(jù)進(jìn)行梳理，將重要數(shù)據(jù)、個(gè)人信息與其他出境數(shù)據(jù)分類(lèi)處理。

　　02、重要數(shù)據(jù)定義存在沖突是政策調(diào)整的結(jié)果

　　重要數(shù)據(jù)是出境管理的一個(gè)重要管理對(duì)象，我國(guó)正在建立重要數(shù)據(jù)的安全監(jiān)管制度，重要數(shù)據(jù)識(shí)別國(guó)家標(biāo)準(zhǔn)已經(jīng)進(jìn)入送審稿階段，后續(xù)標(biāo)準(zhǔn)制定的進(jìn)程也會(huì)加快。

　　除了國(guó)家標(biāo)準(zhǔn)外，2021年，我國(guó)出臺(tái)了首部針對(duì)汽車(chē)數(shù)據(jù)安全制定的法規(guī)——《汽車(chē)數(shù)據(jù)安全若干管理規(guī)定》，其中也對(duì)汽車(chē)重要數(shù)據(jù)進(jìn)行了定義，包括“涉及個(gè)人信息主體超過(guò)10萬(wàn)人的個(gè)人信息”。這與其他法規(guī)中對(duì)于重要數(shù)據(jù)的定義不完全一致。從事物發(fā)展的客觀(guān)規(guī)律來(lái)看，《汽車(chē)數(shù)據(jù)安全若干管理規(guī)定》是在智能汽車(chē)發(fā)展迅速、數(shù)據(jù)安全風(fēng)險(xiǎn)隱患急劇增加的背景下出臺(tái)的試行規(guī)定，當(dāng)時(shí)對(duì)重要數(shù)據(jù)的認(rèn)識(shí)并沒(méi)有現(xiàn)在這樣深刻。隨著時(shí)間的發(fā)展、政策的不斷調(diào)整，未來(lái)將逐步達(dá)成共識(shí)。

　　03、我國(guó)加強(qiáng)數(shù)據(jù)安全工作可借鑒美國(guó)對(duì)TIKTOK的管理方式

　　近期美國(guó)對(duì)TikTok的管理方式，對(duì)我國(guó)加強(qiáng)數(shù)據(jù)安全工作具有借鑒意義。經(jīng)常有人提出，我國(guó)的數(shù)據(jù)管理對(duì)象范圍太大、太細(xì)，例如一些人認(rèn)為有些數(shù)據(jù)不應(yīng)該作為重要數(shù)據(jù)和敏感信息。還有人提出，對(duì)一些數(shù)據(jù)的本地存儲(chǔ)要求也沒(méi)有必要，且不應(yīng)該對(duì)達(dá)到一定量的數(shù)據(jù)進(jìn)行嚴(yán)格監(jiān)管。比如，在國(guó)外收集100萬(wàn)人的數(shù)據(jù)并不容易，但在我國(guó)一個(gè)車(chē)企掌握的數(shù)據(jù)量就能輕松達(dá)到100萬(wàn)人。所以有人提出，這個(gè)100萬(wàn)是不是應(yīng)該提高一下門(mén)檻呢?100萬(wàn)人的數(shù)據(jù)有那么敏感嗎?

　　要回答上述問(wèn)題，可以看看美國(guó)是如何做的。特別是近期美國(guó)對(duì)TIKTOK的管理。TIKTOK作為短視頻類(lèi)娛樂(lè)企業(yè)，按理說(shuō)沒(méi)那么多敏感數(shù)據(jù)，但美國(guó)認(rèn)定其有可能會(huì)使中國(guó)政府、情報(bào)機(jī)關(guān)獲取美國(guó)的“受保護(hù)數(shù)據(jù)”。而且這個(gè)“受保護(hù)數(shù)據(jù)”的范圍是由CFIUS(美國(guó)外國(guó)投資審查安全委員會(huì))認(rèn)定，認(rèn)定重點(diǎn)是哪些數(shù)據(jù)會(huì)影響美國(guó)國(guó)家安全。美國(guó)有人提出，前段時(shí)間CFIUS給的范圍太窄，大量應(yīng)該受保護(hù)的數(shù)據(jù)都沒(méi)有被納入其中。反觀(guān)我們國(guó)內(nèi)，我國(guó)曾要求特斯拉數(shù)據(jù)在國(guó)內(nèi)存儲(chǔ)，這相比以前是個(gè)巨大進(jìn)步，但跟美國(guó)一比還弱的多。美國(guó)提出，TIKTOK的數(shù)據(jù)只是存在美國(guó)境內(nèi)也不行，其還提出了一些限制條件，包括不能由中國(guó)背景員工訪(fǎng)問(wèn)、運(yùn)營(yíng)由美國(guó)人來(lái)負(fù)責(zé)、數(shù)據(jù)必須存在甲骨文的德克薩斯州計(jì)算中心，這是要構(gòu)建一種數(shù)據(jù)的管、用分離制度。目前，我國(guó)尚未建立該類(lèi)制度，世界其他國(guó)家也少有涉及。

　　美國(guó)在數(shù)據(jù)安全管理上的舉措值得高度關(guān)注，也警示我們對(duì)數(shù)據(jù)安全的認(rèn)識(shí)要有更多的國(guó)家安全考量。特別是在數(shù)據(jù)安全博弈日趨激烈的情況下，其背后的意圖以及將對(duì)全球數(shù)據(jù)安全管理制度有何影響，需要持續(xù)跟蹤觀(guān)察。這對(duì)我國(guó)的數(shù)據(jù)安全管理政策有很大的借鑒意義。