“滴滴出行”被查一事的法律分析及警示- -兼评《网络安全审查办法》的适用

（二）简析

1、被审查主体的范围扩大

《征求意见稿》将被审查主体扩大至“关键信息基础设施运营者”和“数据处理者”。《数据安全法》规定，数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。这意味着，所有涉及上述数据处理活动的主体，只要其活动影响或可能影响国家安全，都应当接受网络安全审查。从这个角度而言，《征求意见稿》的规范对象范围较之《办法》有所扩大。

2、审查范围的扩张

一是将数据处理活动和国外上市纳入了网络安全审查所针对的行为的范围，二是增加了评估活动是否会带来国家安全风险的考虑因素——“核心数据、重要数据或大量个人信息被窃取、泄露、毁损以及非法利用或出境的风险”和“国外上市后关键信息基础设施，核心数据、重要数据或大量个人信息被国外政府影响、控制、恶意利用的风险”。值得注意的是，这一修订进一步落实了《数据安全法》确立的数据分类分级保护制度。

根据《数据安全法》的规定，国家将根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护，有关部门需制定“重要数据”目录，同时这也是首次提出“核心数据”的概念。

3、将国外上市纳入安全审查范围

将国外上市纳入安全审查范围是本次修订的一大亮点所在。《征求意见稿》新增第六条规定“掌握超过100万用户个人信息的运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查”，明确了掌握超过100万用户个人信息的运营者赴国外上市的网络安全审查义务。虽然对目前主流互联网服务而言，用户可以轻易超出100万，特别是企业到了可以上市的程度时，其用户量更为可观。但100万这个的数字并不是从企业经营规模或经济实力考虑的，而是综合考虑了我国互联网产业发展的实际情况、批量个人信息泄露后对国家安全和公共利益带来的影响而确定的标准，主要考虑的是社会影响。实践中，100万用户已经是很大的群体，发生个人信息安全事件的影响已经相当严重，所以说这个门槛是相对合适的。[2]

除此之外，针对中国企业赴国外上市而展开的网络安全审查，另有三方面的修改值得关注：一是，将拟提交的IPO材料纳入运营者申报网络安全审查应当提交的材料；二是，将证监会纳入网络安全审查工作机制成员单位，并赋予其通过网络安全审查工作机制对境外上市的中国企业进行网络安全审查的权力；三是，将“核心数据、重要数据或大量个人信息出境的风险”，以及“国外上市后关键信息基础设施，核心数据、重要数据或大量个人信息被国外政府影响、控制、恶意利用的风险”作为网络安全审查评估采购活动、数据处理活动以及国外上市可能带来的国家安全风险的重要考虑因素。

虽然“国外上市”行为在《征求意见稿》中特别予以强调，但考虑到其属于可能出现数据安全风险的一种具体情形，从整体上说，《征求意见稿》的主要目的仍是为了落实《数据安全法》第二十四条的要求，建立数据安全审查制度。

（一）网络数据安全合规的重要性

本次滴滴被查事件以及《征求意见稿》对相关内容的修改和新增都表明了国家已经开始重视数据安全等非传统领域的安全防范，虽然《征求意见稿》未明确规定哪些企业需要补充申报网络安全审查，或者主动申报网络安全审查（除第六条规定的“赴国外上市的掌握超过100万用户个人信息的运营者”）。但可以明确的是，从现在起，所有的数据处理者，特别是掌握了批量个人信息或重要数据的大型互联网企业、公共服务机构，以及已经在国外上市的互联网企业，要自行组织或者委托专业机构对本企业数据处理的合规性，特别是其数据处理是否可能影响国家安全进行评估。

因此作为市场主体的企业应将网络数据合规作为企业发展的重要方略，否则可能会造成：（1）遭到监管调查后“股价暴跌”，企业受到较大经济损失；（2）受到各国监管部门严苛而高昂的处罚；（3）名誉受损造成企业信任危机与业务流失等严重后果。

针对上述合规风险，企业应当采取以下风险控制措施：

1、制定网络数据安全管理制度和操作规程。企业应通过正式、有效的方法制定、发布内部网络数据安全管理制度，并要求工作人员严格落实相关制度。

2、加强人员管理，建立人员培训及考核机制。在聘用员工时，对其身份背景等进行详细审查；员工离职时，应及时中止其相应权限，如有需要可以签订保密协议。同时，应定期对工作人员进行合规培训，加强员工网络数据安全合规意识。

3、企业在“走出去"的过程中，需要特别关注当地法律法规体系对于数据合规的监管要求。跨境合规会导致数据与网络安全合规管理变得比较复杂。对于志在国际化的企业而言，不仅需要做好相关的数据信息保护与网络安全基础防范工作以规避基础操作风险，还需要兼顾多个国家和地区对于相关领域的不同监管要求，努力做到在每个法域之下的严格合规。举例而言，总体上来说欧盟《通用数据保护条例》的合规要求比我国《网络安全法》更严格，因此很多企业尤其是跨国企业在完成通用《通用数据保护条例》合规之后想当然地认为自己的合规管理体系必然符合中国《网络安全法》及相关标准，或者全球范围内其他国家或地区强制性法律法规的要求，但事实上，尽管很多技术指标存在交叉，但各国或地区法律的大部分合规要求是不同的，例如若企业未履行中国针对网络安全所提出的等级保护备案要求，则无论其《通用数据保护条例》合规做得多么完善、计算机信息系统技术安防措施做得如何到位，其还是有可能因为未落实等保备案义务而受到中国网安法的处罚。

此次《网络安全审查办法》的适用及《征求意见稿》的颁布显示了国家对网络安全审查制度的重视及创新，相关企业与单位也应积极响应，构建新形势下自身网络数据安全合规体系，有效维护国家安全和自身利益。