2022年12月，北京國(guó)際數(shù)字經(jīng)濟(jì)治理研究院數(shù)據(jù)跨境專委會(huì)副主任、數(shù)據(jù)治理與跨境服務(wù)中心總經(jīng)理黃雷在智能網(wǎng)聯(lián)汽車(chē)數(shù)據(jù)治理和發(fā)展論壇上做了“智能網(wǎng)聯(lián)汽車(chē)數(shù)據(jù)跨境現(xiàn)狀和痛點(diǎn)以及解決路徑”主題演講。
黃雷提出，數(shù)據(jù)跨境流動(dòng)的法律規(guī)則逐漸清晰，數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估成為企業(yè)數(shù)據(jù)跨境流動(dòng)的必要合規(guī)路徑，由于數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估工作復(fù)雜度高、難度大、耗時(shí)長(zhǎng)，建議企業(yè)：一是盡早開(kāi)展數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估工作，提前識(shí)別潛在風(fēng)險(xiǎn)與隱患，通過(guò)整改切實(shí)解決或降低風(fēng)險(xiǎn)；二是制定并完善數(shù)據(jù)合規(guī)制度，建立數(shù)據(jù)安全合規(guī)體系；三是必要時(shí)可聘用專業(yè)的第三方跨境合規(guī)服務(wù)機(jī)構(gòu)，保障數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估報(bào)告的效果和質(zhì)量。
以下為演講摘錄：
一、數(shù)據(jù)跨境法律法規(guī)的背景
數(shù)據(jù)跨境是當(dāng)前汽車(chē)行業(yè)或者是智能網(wǎng)聯(lián)行業(yè)安全合規(guī)的重要組成部分，這里面分為數(shù)據(jù)安全和數(shù)據(jù)出境兩個(gè)部分。就智能網(wǎng)聯(lián)行業(yè)數(shù)據(jù)安全而言，監(jiān)管部門(mén)主要有網(wǎng)信辦、工信部、自然資源部等，主管部門(mén)已經(jīng)發(fā)布了《汽車(chē)數(shù)據(jù)安全管理若干規(guī)定》《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例（征求意見(jiàn)稿）》，還有2021年的《關(guān)于開(kāi)展汽車(chē)數(shù)據(jù)安全網(wǎng)絡(luò)安全自查的工作通知》。汽車(chē)行業(yè)參與者被定義為汽車(chē)數(shù)據(jù)處理者，所以需要完成汽車(chē)數(shù)據(jù)安全自評(píng)估工作，也要依照若干規(guī)定的要求，完成每年12月15日的汽車(chē)重要數(shù)據(jù)年報(bào)。同時(shí)根據(jù)網(wǎng)信辦的要求，在《個(gè)人信息出境安全評(píng)估辦法（征求意見(jiàn)稿）》、《數(shù)據(jù)出境安全評(píng)估辦法》、《個(gè)人數(shù)據(jù)出境標(biāo)準(zhǔn)合同規(guī)定》的要求下，滿足條件的汽車(chē)數(shù)據(jù)處理者需要做數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估，要向網(wǎng)信部門(mén)提交風(fēng)險(xiǎn)自評(píng)估報(bào)告。
《數(shù)據(jù)出境安全評(píng)估辦法》出臺(tái)的背景是基于《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》中對(duì)數(shù)據(jù)出境的基礎(chǔ)制度——安全評(píng)估制度的細(xì)化和落實(shí)。立法目的是規(guī)范整體企業(yè)的數(shù)據(jù)出境活動(dòng)，保護(hù)信息權(quán)益，維護(hù)國(guó)家安全和公共安全，同時(shí)促進(jìn)數(shù)據(jù)跨境的安全流動(dòng)和自由流動(dòng)。確立原則是堅(jiān)持事前評(píng)估和持續(xù)監(jiān)督，風(fēng)險(xiǎn)自評(píng)估和安全評(píng)估相結(jié)合，防范屬于出境的安全風(fēng)險(xiǎn)，保障整體依法有序地自由流動(dòng)。數(shù)據(jù)出行安全評(píng)估的流程分為兩大部分，第一部分是企業(yè)申報(bào)準(zhǔn)備和提交申報(bào)，第二部分是網(wǎng)信部門(mén)開(kāi)展安全評(píng)估及持續(xù)監(jiān)督。在自評(píng)估階段，依照辦法中的第五條企業(yè)開(kāi)展風(fēng)險(xiǎn)自評(píng)估。根據(jù)第六條，我們要申請(qǐng)?zhí)釄?bào)材料，包括申報(bào)書(shū)、自評(píng)估報(bào)告、法律文件、其他材料等。在安全評(píng)估階段，基于第十一條、第八條、第十條，會(huì)出現(xiàn)受理和不受理的結(jié)果，同時(shí)有補(bǔ)充材料的機(jī)會(huì)，最后根據(jù)第十二條去完成，形成一個(gè)評(píng)估結(jié)果。實(shí)際程序中也會(huì)出現(xiàn)申請(qǐng)重新評(píng)估、安全監(jiān)管，投訴舉報(bào)等要求。
企業(yè)自評(píng)估，首先要明確向境外提供數(shù)據(jù)的時(shí)候，是否包含個(gè)人信息和重要數(shù)據(jù)。是否滿足法規(guī)中定性和定量的申報(bào)條件，如滿足需要準(zhǔn)備開(kāi)展安全自評(píng)估工作并向網(wǎng)信部門(mén)提交安全評(píng)估報(bào)告。除了提供數(shù)據(jù)出境安全評(píng)估外，個(gè)人信息的保護(hù)認(rèn)證、標(biāo)準(zhǔn)合同和網(wǎng)信部門(mén)的其他要求，都可以作為我們數(shù)據(jù)出境的路徑，這需要企業(yè)根據(jù)自身實(shí)際情況結(jié)合法律法規(guī)要求去決定出境路徑。
在自評(píng)估的過(guò)程中，企業(yè)開(kāi)展評(píng)估中要注意以下幾個(gè)要點(diǎn)，第一，整體數(shù)據(jù)出境情況的風(fēng)險(xiǎn)和整體的數(shù)據(jù)盤(pán)點(diǎn)。企業(yè)要從企業(yè)業(yè)務(wù)的角度，從數(shù)據(jù)的出境和境外接收方去論述它的目的、范圍、方式，數(shù)據(jù)出境的合法性、正當(dāng)性和必要性、規(guī)模、種類、敏感程度等。境外接收方面，我們主要關(guān)注境外接收方承擔(dān)的一些責(zé)任和義務(wù)，包括境外接收方的安全保障能力。同時(shí)，個(gè)人信息權(quán)益的維護(hù)渠道是否通暢。在法律文件與約定情況上，主要是看與境外接收方擬定的數(shù)據(jù)出境相關(guān)合同，或者其他的這些法律文件是否充分約定了數(shù)據(jù)安全保護(hù)的責(zé)任和義務(wù)。此外，還有一些企業(yè)認(rèn)為有必要的其他事項(xiàng)，也需要作為評(píng)估的重點(diǎn)，放到自評(píng)估報(bào)告里面來(lái)。
違反相關(guān)規(guī)定的企業(yè)，根據(jù)《數(shù)據(jù)出境評(píng)估的安全辦法》18條，可能會(huì)受到相應(yīng)處罰，如果情節(jié)嚴(yán)重，還要追究刑事責(zé)任，同時(shí)企業(yè)需要停止未經(jīng)許可的數(shù)據(jù)出境行為和線路通道。
二、汽車(chē)數(shù)據(jù)跨境評(píng)估痛點(diǎn)和解決路徑
汽車(chē)數(shù)據(jù)跨境評(píng)估有六大痛點(diǎn)。
第一，數(shù)據(jù)出境的行為是具備隱蔽性的，例如因供應(yīng)商導(dǎo)致的數(shù)據(jù)出境、遠(yuǎn)程運(yùn)維導(dǎo)致的數(shù)據(jù)出境等。
第二，跨國(guó)企業(yè)全球統(tǒng)一部署的系統(tǒng)占比高。
第三，個(gè)人信息和重要數(shù)據(jù)難以識(shí)別。在很多場(chǎng)景下，個(gè)人信息的范圍也不是很清晰，所以需要進(jìn)一步識(shí)別。
第四，企業(yè)自身開(kāi)展數(shù)據(jù)出境自評(píng)估耗時(shí)較長(zhǎng)。企業(yè)整體運(yùn)營(yíng)情況和的數(shù)據(jù)流轉(zhuǎn)情況都要進(jìn)行比較完整、比較精細(xì)的盤(pán)點(diǎn)，才能把整個(gè)的數(shù)據(jù)梳理出來(lái)，時(shí)間跨度大。
第五，數(shù)據(jù)出境的自評(píng)估需要大量的內(nèi)外部協(xié)調(diào)工作。
第六，風(fēng)險(xiǎn)緩釋計(jì)劃和合規(guī)體系建設(shè)亟需指導(dǎo)。
《數(shù)據(jù)出境安全評(píng)估辦法》所稱的數(shù)據(jù)出境活動(dòng)主要包括：一是，數(shù)據(jù)處理者將在境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的數(shù)據(jù)傳輸、存儲(chǔ)至境外。二是，數(shù)據(jù)處理者收集和產(chǎn)生的數(shù)據(jù)存儲(chǔ)在境內(nèi)，境外的機(jī)構(gòu)、組織或者個(gè)人可以訪問(wèn)或者調(diào)用。數(shù)據(jù)的分級(jí)分類，其實(shí)是為了有序的跨境流動(dòng)。這里面可能分一般數(shù)據(jù)，個(gè)人信息和個(gè)人敏感信息。個(gè)人信息是用電子或者其他方式去識(shí)別或者可識(shí)別的自然人有關(guān)的信息，其實(shí)不包括匿名化和處理過(guò)的信息。敏感信息是一旦泄露或者非法使用，會(huì)容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者是危害人身財(cái)產(chǎn)安全的信息。重要數(shù)據(jù)里面包括一些未公開(kāi)的政府信息、大面積人口基因的數(shù)據(jù)、地理位置信息等。
我們認(rèn)為企業(yè)應(yīng)該做的第一件事情是做判定自身屬于哪種數(shù)據(jù)處理者，跨境傳輸?shù)臄?shù)據(jù)類型是什么，企業(yè)性質(zhì)是什么，是否達(dá)到了其他申報(bào)評(píng)估的觸發(fā)條件。第二件事情是識(shí)別風(fēng)險(xiǎn)，根據(jù)數(shù)據(jù)盤(pán)點(diǎn)、制度排查去識(shí)別出潛在的風(fēng)險(xiǎn)。第三件事情是解決或者降低數(shù)據(jù)處理中的風(fēng)險(xiǎn)和隱患，提高數(shù)據(jù)安全保護(hù)能力，進(jìn)行合規(guī)整改、合規(guī)體系建設(shè)和完善，最終制定整體的風(fēng)險(xiǎn)緩釋計(jì)劃，確保整體數(shù)據(jù)安全流轉(zhuǎn)可控。
我們對(duì)企業(yè)數(shù)據(jù)跨境安全合規(guī)有三部分建議。
第一，希望企業(yè)可以盡早地開(kāi)展數(shù)據(jù)跨境的咨詢工作。
第二，是希望企業(yè)可以積極參與我國(guó)數(shù)據(jù)分級(jí)分類的政策制定，貢獻(xiàn)企業(yè)智慧，完善整體數(shù)據(jù)合規(guī)制度，建立整體數(shù)據(jù)內(nèi)部的合規(guī)體系。
第三，在自評(píng)估的過(guò)程中，要確保數(shù)據(jù)評(píng)估質(zhì)量，要聘用專業(yè)的第三方機(jī)構(gòu)去完成企業(yè)的自評(píng)估。
一個(gè)典型的數(shù)據(jù)處理者評(píng)估的流程，需要分為兩部分:
第一部分是數(shù)據(jù)處理者進(jìn)行數(shù)據(jù)出境的風(fēng)險(xiǎn)自評(píng)估;
第二部分是從監(jiān)管一事一議的角度去做數(shù)據(jù)出境的安全評(píng)估。
如果整體流程都沒(méi)有問(wèn)題，最終會(huì)完成評(píng)估，有效期是兩年。如果在兩年之內(nèi)發(fā)生特定變化，企業(yè)需要重新提交評(píng)估材料。如果企業(yè)還有新業(yè)務(wù)，新目的，新跨境傳輸方式產(chǎn)生，也需要提前向網(wǎng)信部門(mén)提交數(shù)據(jù)安全評(píng)估資料，以獲批準(zhǔn)。數(shù)據(jù)處理者針對(duì)已開(kāi)展或?qū)⒁_(kāi)展的數(shù)據(jù)出境活動(dòng)進(jìn)行數(shù)據(jù)出境安全風(fēng)險(xiǎn)自評(píng)估時(shí)，應(yīng)當(dāng)遵循五大原則，分別是全面性原則、客觀性原則、匹配性原則、及時(shí)性原則和持續(xù)性原則。
《數(shù)據(jù)出境安全評(píng)估辦法》第六條規(guī)定了申報(bào)數(shù)據(jù)出境安全評(píng)估應(yīng)當(dāng)提交的材料：首先要包含申報(bào)書(shū)，申報(bào)書(shū)實(shí)際上是有統(tǒng)一模板。第二，自評(píng)估報(bào)告，要提前實(shí)施、提前準(zhǔn)備。第三，數(shù)據(jù)處理者與境外接收方簽訂的法律文件。第四，其他材料，包括網(wǎng)信部門(mén)的一些管理材料、工程文檔或其他佐證。
北京國(guó)際數(shù)字經(jīng)濟(jì)研究院數(shù)據(jù)治理與跨境服務(wù)中心針對(duì)企業(yè)數(shù)據(jù)跨境的六個(gè)痛點(diǎn)，提出了一些解決方案。
第一，針對(duì)數(shù)據(jù)出境行為的隱蔽性，中心已經(jīng)總結(jié)出一些標(biāo)準(zhǔn)化的問(wèn)卷模板，并且服務(wù)中心也有產(chǎn)品級(jí)的工具，可以幫助企業(yè)做相對(duì)全面細(xì)致的資產(chǎn)盤(pán)點(diǎn)工作。
第二，針對(duì)個(gè)人信息、重要數(shù)據(jù)難以識(shí)別，中心充分吸收了數(shù)據(jù)技術(shù)和法律安全等各行業(yè)的優(yōu)勢(shì)專家資源，并且針對(duì)不同行業(yè)，尤其是智能網(wǎng)聯(lián)行業(yè)的一些典型的業(yè)務(wù)場(chǎng)景的知識(shí)庫(kù)，做相應(yīng)的檢索，去識(shí)別個(gè)人信息和重要數(shù)據(jù)。
第三，針對(duì)內(nèi)外部所需的大量協(xié)調(diào)工作，中心現(xiàn)在可以協(xié)助各方實(shí)現(xiàn)可知可控可溯的數(shù)據(jù)盤(pán)點(diǎn)的管理要求，有相關(guān)的工具系統(tǒng)支撐。同時(shí)我們的系統(tǒng)也支持多部門(mén)協(xié)同工作。
第四，針對(duì)全球企業(yè)統(tǒng)一部署的系統(tǒng)占比高的情況，中心在系統(tǒng)上也針對(duì)不同場(chǎng)景的系統(tǒng)，形成了快速應(yīng)對(duì)、快速識(shí)別的整體合規(guī)整理方案。
第五，針對(duì)企業(yè)耗時(shí)長(zhǎng)的問(wèn)題，中心針對(duì)不同的行業(yè)對(duì)不同的業(yè)務(wù)場(chǎng)景進(jìn)行分析。通過(guò)我們之前的積累、模板以及技術(shù)手段，可以支持報(bào)告的半自動(dòng)化生成。這種方式可以整體提升報(bào)告生成的效率。
第六，針對(duì)風(fēng)險(xiǎn)緩釋計(jì)劃和合規(guī)體系的指導(dǎo)，中心有很多行業(yè)資深專家，還有很多過(guò)往案例支撐，可以為企業(yè)提供有效的咨詢方案。
轉(zhuǎn)自焉知智能汽車(chē)
