數字經濟行業政治法律環境

• 袁靜美 2023年4月19日 來源：中研網 687 40
• 繁體

行業主要法律法規

《網絡安全法》

隨著互聯網的高速發展，我國早以步入了網絡時代，相對于傳統社會而言，網絡世界相對自由，容易發生泄密，從而導致國家利益受損。為了維護網絡空間安全，規范互聯網的使用，我國推出了網絡安全法。

1、《網絡安全法》樹立了網絡安全法的基本準則。

第一、網絡空間主權準則。《網絡安全法》第1條“立法意圖”開宗明義，清晰規則要維護我國網絡空間主權。網絡空間主權是一國國家主權在網絡空間中的天然延伸和表現。習近平總書記指出，《聯合國憲章》樹立的主權對等準則是今世世界關系的基本準則，掩蓋國與國交往各個范疇，其準則和精力也應該適用于網絡空間。各國自主選擇網絡開展道路、網絡辦理模式、互聯網公共方針平和等參加世界網絡空間辦理的權力應當得到尊重。第2條清晰規則《網絡安全法》適用于我國境內網絡以及網絡安全的監督辦理。這是我國網絡空間主權對內最高管轄權的詳細表現。

第二、網絡安全與信息化開展偏重準則。習近平總書記指出，安滿是開展的條件，開展是安全的保證，安全和開展要同步推進。網絡安全和信息化是一體之兩翼、驅動之雙輪，必須一致策劃、一致布置、一致推進、一致施行。《網絡安全法》第3條清晰規則，國家堅持網絡安全與信息化偏重，遵從活躍利用、科學開展、依法辦理、保證安全的方針;既要推進網絡基礎設備建造，鼓舞網絡技能創新和使用，又要樹立健全網絡安全保證系統，提高網絡安全維護能力，做到“雙輪驅動、兩翼齊飛”。

第三、一起辦理準則。網絡空間安全只是依托政府是無法完成的，需求政府、企業、社會安排、技能社群和公民等網絡利益相關者的一起參加。《網絡安全法》堅持一起辦理準則，要求采取辦法鼓舞全社會一起參加，政府部分、網絡建造者、網絡運營者、網絡服務供給者、網絡職業相關安排、高等院校、職業學校、社會公眾等都應依據各自的人物參加網絡安全辦理作業。

2、《網絡安全法》提出擬定網絡安全戰略，清晰網絡空間辦理方針，提高了我國網絡安全方針的通明度

《網絡安全法》第4條清晰提出了我國網絡安全戰略的主要內容，即：清晰保證網絡安全的基本要求和主要方針，提出要點范疇的網絡安全方針、作業任務和辦法。第7條清晰規則，我國致力于“推進構建平和、安全、敞開、協作的網絡空間，樹立多邊、民主、通明的網絡辦理系統。”這是我國榜首次通過國家法令的方式向世界宣示網絡空間辦理方針，清晰表達了我國的網絡空間辦理訴求。上述規則提高了我國網絡辦理公共方針的通明度，與我國的網絡大國位置相稱，有利于提升我國對網絡空間的世界話語權和規矩擬定權，促進網絡空間世界規矩的出臺。

3、《網絡安全法》進一步清晰了政府各部分的職責權限，完善了網絡安全監管系統

《網絡安全法》將現行有用的網絡安全監管系統法制化，清晰了網信部分與其他相關網絡監管部分的職責分工。第8條規則，國家網信部分擔任統籌和諧網絡安全作業和相關監督辦理作業，國務院電信主管部分、公安部分和其他有關機關依法在各自職責范圍內擔任網絡安全維護和監督辦理作業。這種“1X”的監管系統，契合當時互聯網與實際社會全面交融的特色和我國監管需求。

4、《網絡安全法》強化了網絡運轉安全，要點維護要害信息基礎設備

《網絡安全法》第三章用了近三分之一的篇幅規范網絡運轉安全，特別著重要保證要害信息基礎設備的運轉安全。要害信息基礎設備是指那些一旦遭到損壞、喪失功用或許數據走漏，可能嚴重危害國家安全、國計民生、公共利益的系統和設備。網絡運轉安滿是網絡安全的重心，要害信息基礎設備安全則是重中之重，與國家安全和社會公共利益休戚相關。為此，《網絡安全法》著重在網絡安全等級維護制度的基礎上，對要害信息基礎設備施行要點維護，清晰要害信息基礎設備的運營者負有更多的安全維護職責，并配以國家安全檢查、重要數據強制本地存儲等法令辦法，保證要害信息基礎設備的運轉安全。

5、《網絡安全法》完善了網絡安全職責和職責，加大了違法懲辦力

《網絡安全法》將本來散見于各種法規、規章中的規則上升到人大法令層面，對網絡運營者等主體的法令職責和職責做了全面規則，包括遵法職責，恪守社會公德、商業道德職責，誠實信用職責，網絡安全維護職責，承受監督職責，承擔社會職責等，并在“網絡運轉安全”、“網絡信息安全”、“監測預警與應急處置”等章節中進一步清晰、細化。在“法令職責”中則提高了違法行為的處分標準，加大了處分力度，有利于保證《網絡安全法》的施行。

6、《網絡安全法》將監測預警與應急處置辦法制度化、法制化

《網絡安全法》第五章將監測預警與應急處置作業制度化、法制化，清晰國家樹立網絡安全監測預警和信息通報制度，樹立網絡安全危險評價和應急作業機制，擬定網絡安全事情應急預案并定時演練。這為樹立一致高效的網絡安全危險陳述機制、情報同享機制、研判處置機制供給了法令依據，為深化網絡安全防護系統，完成全天候全方位感知網絡安全態勢供給了法令保證。

中華人民共和國網絡安全法出臺意義

(1)服務于國家網絡安全戰略和網絡強國建設

《網絡安全法》中明確提出了有關國家網絡空間安全戰略和重要領域安全規劃等問題的法律要求，這有助于實現推進中國在國家網絡安全領域明晰戰略意圖，確立清晰目標，厘清行為準則，不僅能夠提升我國保障自身網絡安全的能力，還有助于推進與其他國家和行為體就網絡安全問題展開有效的戰略博弈。

(2)構建我國首部網絡空間管轄基本法

作為國家實施網絡空間管轄的第一部法律，《網絡安全法》屬于國家基本法律，是網絡安全法制體系的重要基礎。這部基本法規范了網絡空間多元主體的責任義務，以法律的形式催生一個維護國家主權、安全和發展利益的“命運共同體”。具體包括，規定網絡信息安全法的總體目標和基本原則;規范網絡社會中不同主體所享有的權利義務及其地位;建立網站身份認證制度，實施后臺實名;建立網絡信息保密制度，保護網絡主體的隱私權;建立行政機關對網絡信息安全的監管程序和制度，規定對網絡信息安全犯罪的懲治和打擊;以及規定具體的訴訟救濟程序等等。

(3)提供維護國家網絡主權的法律依據

2016年7月推出的《國家安全法》首次以法律的形式明確提出“維護國家網絡空間主權”。隨之應運而生的《網絡安全法》是《國家安全法》在網絡安全領域的體現和延伸，為我國維護網絡主權、國家安全提供了最主要的法律依據。

(4)服務于國家網絡安全戰略和網絡強國建設

現如今，網絡空間逐步成為世界主要國家展開競爭和戰略博弈的新領域。網絡信息是建設網絡強國的必爭之地，網絡強國宏偉目標的實現離不開堅實有效的制度保障，《網絡安全法》的出臺意味著建設網絡強國的制度保障邁出堅實的一步。

(5)在網絡空間領域貫徹落實依法治國精神

此次《網絡安全法》破除重重障礙，撥云見日，高舉依法治國大旗，開啟了依法治網的嶄新局面，成為依法治國頂層設計下一項共建共享的路徑實踐。依法治網成為我國網絡空間治理的主線和引領，以法治謀求網治的長治久安。《網絡安全法》還考慮到網絡的開放性和互聯性，加強法治工作的國際合作協調，讓人類共同面臨的網絡犯罪無處遁形，通過科學有效、詳細的法律進行懲罰和約束，達到正本清源的目的。

《信息安全技術個人信息安全規范(草案)》

2019年2月1日，全國信息安全標準化技術委員會(以下簡稱“信安標委”)發布了《信息安全技術個人信息安全規范(草案)》。

1、區分基本業務功能和擴展業務功能，保障個人信息主體選擇同意權

《網絡安全法》實施后，為了符合個人信息收集、使用的“明示”+“同意”的原則性要求(第四十一條、第四十二條)，一些APP在首次安裝時，往往將所有服務和業務功能捆綁在一起，通過用戶對隱私政策的接受來獲得“一攬子授權”，強迫用戶一次性授權同意各項業務功能所收集的多種個人信息。用戶若想使用其基本功能，必須全盤接受所有個人信息的收集和使用，否則只能退出軟件，用戶自身的選擇同意權并未得到充分的體現。

規范提出產品和服務提供者應當區分產品的基本業務功能和擴展業務功能，明確過度收集、強迫收集、捆綁授權個人信息等亂象不符合法律和監管要求。規范增加了“附錄C保障個人信息主體選擇同意權的方法”，明確了不同業務功能應用場景下不同的告知和明示統一的方法，并例舉了交互式界面的設計模板。

規范要求產品和服務提供者應當根據個人信息主體選擇、使用所提供產品或服務的根本期待和最主要的需求，來劃定產品或服務的基本業務功能，而不應將改善服務質量、提升用戶體驗、研發新產品單獨作為基本業務功能。當產品或服務提供多項需收集個人信息的業務功能時，個人信息控制者不得違背個人信息主體的自主意愿，強迫個人信息主體接受產品或服務所提供的業務功能及相應的個人信息收集請求。

產品和服務提供者收集基本業務功能所必要的個人信息時，除告知用戶所必要收集的個人信息類型外，還應當告知用戶拒絕提供授權所產生的影響，即企業可拒絕向用戶提供該業務功能。而對于擴展業務功能所需的個人信息，產品和服務提供者應當允許個人信息主體對擴展業務功能逐項選擇同意，如個人信息主體不同意收集擴展業務功能收集所必要的個人信息，不得拒絕提供基本業務功能或降低基本業務功能的服務質量。

2019年1月25日中央網信辦、工業和信息化部、公安部、市場監管總局聯合發布《關于開展App違法違規收集使用個人信息專項治理的公告》(以下簡稱“公告”)，決定自2019年1月起至12月，在全國范圍組織開展持續時間長達一年的App違法違規收集使用個人信息專項治理行動，旨在解決目前App強制授權、過度授權、超范圍收集個人信息等突出問題。其中公告指出，本次專項治理行動將由全國信息安全標準化技術委員會、中國消費者協會、中國互聯網協會、中國網絡空間安全協會，組織相關專業機構，編制大眾化應用基本業務功能及必要信息規范、App違法違規收集使用個人信息治理評估要點，作為本次評估工作的主要依據。

而本次規范修訂正與上述四部門聯合開展個人信息專項治理的工作要求相一致，為公眾提供了區分基本業務功能和擴展業務功能的判斷標準及方式，為企業自查及合規整改提供了良好指引。

2、明確平臺商對于接入的第三方產品或服務收集個人信息的管理義務

2018年5月正式實施的《個人信息安全規范》對“委托處理”、“共同個人信息控制”兩類場景的合規操作進行了規定。目前，應用程序中接入/嵌入第三方產品或服務的應用場景十分常見，一旦發生合規漏洞，平臺商和第三方往往無法明確雙方的責任和義務，而數據主體往往很難去追究第三方產品或服務提供商的責任。為順應新技術、新產品形態的發展，本次規范結合了行業良好實踐及主管部門的監管態度，提出平臺商作為個人信息控制者應當履行一定的合規義務，具體如下：

應建立第三方產品或服務接入管理機制和工作流程，必要時應建立安全評估等機制設置接入條件;

應與第三方產品或服務提供者通過合同等形式明確雙方的安全責任及應實施的個人信息安全措施;

應妥善留存平臺第三方接入有關合同和管理記錄，確保可供相關方查閱;

應要求第三方根據本標準相關規定要求向個人信息主體征得收集個人信息的授權同意，核驗其實現本項要求的方式;

應要求第三方產品或服務建立響應個人信息主體請求、申訴等的機制，并妥善留存、及時更新，確保個人信息主體查詢、使用;

應督促和監督第三方產品或服務提供者加強個人信息安全管理，發現第三方產品或服務沒有落實安全管理要求和責任的，應及時督促整改，必要時停止接入;

涉及第三方嵌入或接入的自動化工具(如代碼、腳本、接口、算法模型、軟件開發工具包、小程序等)的，宜開展技術檢測確保其個人信息收集、使用行為符合約定要求，并對第三方嵌入或接入的自動化工具收集個人信息的行為進行審計，發現超出約定行為的及時切斷接入。

對于此類第三方產品或服務嵌入的問題，平臺商應盡更為嚴格的合規義務。建議產品和服務提供商完善相應的管理機制和工作流程，明確雙方在個人信息保護合規問題上的責任和義務。

3、新增個性化展示及退出機制

針對目前較為常見的基于用戶畫像作定向推送、個性化展示等個人信息應用場景，規范首次闡釋了“個性化展示”的定義，并細化了相應的操作規則。“個性化展示”是基于特定個人信息主體(用戶)的網絡瀏覽歷史、興趣愛好、消費記錄和習慣等個人信息，向該個人信息主體展示信息內容、提供商品或服務的搜索結果等活動。

對于“個性化展示”的操作規則，規范劃分為“向個人信息主體推送新聞或信息服務的個性化展示”，“數據經濟經營者提供商品或者服務搜索結果的個性化展示”以及普遍意義上“向個人信息主體提供業務功能的過程中使用個性化展示”三大應用場景。其中，針對數據經濟場景下的個性化展示，規范與2019年1月1日正式實施的《數據經濟法》的立法原則保持一致，即“數據經濟經營者根據消費者的興趣愛好、消費習慣等特征向其提供商品或者服務搜索結果的，應當同時向該消費者提供不針對其個人特征的選項，尊重和平等保護消費者合法權益”(《數據經濟法》第十八條)。

同時，對于產品推送新聞或提供信息服務的應用，規范要求個人信息控制者應當以顯著方式標明“個性化展示”或“定推”等字樣向用戶明示，并為個人信息主體提供簡單直觀的退出個性化展示模式的選項。此舉一定程度上保證了個人信息主體對于定向推送的自主選擇，避免形成信息孤島。同時，對于普遍意義上的個性化推送，規范還建議個人信息控制者宜建立機制保證個人信息主體可以刪除或匿名化處理個性化展示活動所依賴的個人信息。這就從定向推送的深層基礎規范了產品或服務提供者對用戶畫像的控制界限，提出了用戶可以拒絕產品或服務提供者收集其個人信息進行特定的畫像處理的良好實踐模式。

4、細化個人信息安全事件報告制度

《網絡安全法》要求網絡運營者“在發生或者可能發生個人信息泄露、毀損、丟失的情況時，應當立即采取補救措施，按照規定及時告知用戶并向有關主管部門報告”(第四十二條)。《國家網絡安全事件應急預案》也對特別重大網絡安全事件、重大網絡安全事件、較大網絡安全事件、一般網絡安全事件四個等級的網絡安全事件應對措施進行了詳細規定。

但實踐操作中，一旦發生個人信息泄露等安全事件，企業往往無法判斷告知個人信息主體及上報監管部門的界限。本次修訂試圖彌補相應細則的缺失，提出了判斷“告知”及“上報”的依據，即通過確認個人信息泄露的程度、對個人信息主體所造成的影響，涉及的個人信息數量(超過100萬人的個人信息)和影響范圍(關系國計民生、公共利益的)等幾個因素來判斷。對于像基因、生物特征信息、疾病等個人敏感信息的泄露、毀損、丟失的安全事件，應當向個人信息主體逐一告知，并依照規范的要求向網信部門報告。

5、進一步細化個人信息控制者的組織管理要求

組織措施是數據合規的重要方面。本次修訂明確了個人信息控制者應當任命個人信息保護負責人，個人信息保護負責人應由具有相關管理工作經歷和個人信息保護專業知識的人員擔任，參與有關個人信息處理活動的重要決策直接向組織主要負責人報告工作，同時要求企業應為個人信息保護負責人和個人信息保護工作機構提供必要的資源，保障其獨立履行職責。規范對個人信息保護負責人和個人信息保護工作機構應履行的職責也作了詳細規定。

于此同時，規范提倡個人信息控制者建立、維護和更新所收集、使用的個人信息處理活動記錄，將所涉及個人信息類別、數量、來源、處理目的、使用場景，以及委托處理、共享、轉讓、公開披露、是否涉及出境、各環節相關的信息系統、組織或人員等情況形成系統的活動記錄，不僅對于企業內部合規整改工作提供參考，更是為企業一旦發生個人信息泄露等安全事件時的責任分擔提供有效依據。此要求與GDPR中的數據處理活動的記錄要求也是一致的。

基于此案所暴露出的房地產中介行業存在的普遍問題，朝陽法院對北京市住房和建設委員會出具了司法建議書，建議完善房地產中介行業管理制度，并提出房地產中介機構應當建立健全公民個人信息安全管理制度和從業人員信息操作規范，設立信息傳輸時的加密處理機制。規范履行合同過程中對公民個人信息的保護，明確信息保管的責任人等。

由此可見，產品或服務提供者建立健全內部數據合規體系，尤其是健全個人信息內部操作規范，提高自身的合規審慎義務，已經成為企業必不可少的合規重點。規范在此現實意義下，提倡企業建立、維護和更新所收集、使用的個人信息處理活動記錄，并明確了活動記錄的具體內容，為企業合規提供了更為詳細的指引。

6、個人信息的匯聚融合

所謂個人信息的匯聚融合，對于數據控制者而言，就是把不同產品線、不同來源或基于不同目的所收集的數據聚集在一起，形成“大”數據，以增強企業的數據能力，或者是更好地了解和服務客戶。目前在業界“企業平臺化”和“市場精準化”的趨勢下，數據匯聚融合行為已經非常普遍，也是不可逆轉的技術方向。但是，數據的匯聚融合，很有可能侵犯數據主體的合法權益，比如超范圍使用、非授權目的的使用等。基于此，規范并沒有“封殺”數據匯聚融合，而是提出了具體的要求：

非獲得授權業務的必要，一般應采用間接畫像;

數據加工處理后，如仍具備個人識別(單獨或結合)能力，則還應作為個人信息對待，受授權范圍的約束;

如數據的匯聚融合的使用行為超出了已獲得授權的范圍，則應當重新獲得授權;

應根據匯聚融合后個人信息所用于的目的，開展個人信息安全影響評估(PIA)。

7、意外地刪除無需征得授權同意之“履行合同必要”的情形

規范針對原有個人信息控制者收集、使用個人信息無需征得個人信息主體的授權同意的例外情形作了兩處修改：在部分，一是將“法律法規規定的其他情形”修改為“與個人信息控制者履行法律法規規定的義務相關的”;二是刪除了履行合同必要之例外，即“根據個人信息主體要求簽訂和履行合同所必需的情形”。

對于第一處的修訂，我們認為個人信息控制者收集、使用個人信息，將其“征得授權同意的例外”的條件界定為與個人信息控制者履行其法律義務相關而不論其它場景，是合適的，也可以避免該例外的濫用。

對于第二處刪除“征得授權同意的例外”之“履行合同必要”，我們認為該修訂可能會帶來不必要的社會成本。一般情況下，可以認為合同的各方基于履行合同義務而向合同相對方提供簽約和履約所必要的個人信息，這是善意履約的表現。于此同時，提供個人信息的一方一般也具有相應的心理預期。在GDPR中也有基于“履行合同必要”而無需另行征得個人信息主體的授權同意的類似規定。盡管有專家質疑此類例外規定與《網絡安全法》所確定的“授權同意”規則相沖突，但我們理解所謂的“授權同意”規則，應當既包括書面合同的授權同意，也包括通過實際行為作出的授權同意，簽約、履約即是如此，因此它們之間并沒有實質性沖突。

同時，我們也擔心“履行合同必要”作為“征得授權同意的例外”可能會導致一系列濫用問題，尤其是對于C端消費者面對大平臺的情形。對此，我們建議對該例外的適用增加一個條件限定，即：“根據個人信息主體要求簽訂和履行合同所必需的，且該個人信息的收集和使用符合一般個人信息主體的理解和預期。”如此，既可以消除濫用之擔憂，又便利于商業交易。

欲了解更多行業的未來發展前景，可以點擊查看中研普華產業院研究報告《2023-2028年中國數字經濟行業發展前景及投資戰略分析報告》。

• 相關深度報告REPORTS

  

  2023-2028年中國數字經濟行業競爭分析與投資潛力預測報告

  數字經濟，作為一個內涵比較寬泛的概念，凡是直接或間接利用數據來引導資源發揮作用，推動生產力發展的經濟形態都可以納入其范疇。在技術層面，包括大數據、云計算、物聯網、區塊鏈、人工智能、...

  查看詳情

延伸閱讀

推薦閱讀

猜您喜歡