(網經社訊)5月28日，國家互聯網信息辦公室發(fā)布了《數據安全管理辦法（征求意見稿）》(全文鏈接：qjkhjx.com/detail--6510609.html)（以下簡稱“《數據安全管理辦法》”），開始向社會公開征求意見。征求意見稿提出，網絡運營者不得以改善服務質量、提升用戶體驗、定向推送信息、研發(fā)新產品等為由，以默認授權、功能捆綁等形式強迫、誤導個人信息主體同意其收集個人信息。
《數據安全管理辦法》對網絡運營者在數據收集、處理使用、安全監(jiān)督管理三方面作出了要求，包括企業(yè)利用用戶數據和算法推送新聞信息、商業(yè)廣告時，應標明“定推”字樣、并為用戶提供停止接收定向推送信息的功能等。
無獨有偶，5月24日據網信辦官方通報，在中央網信辦、工信部、公安部、市場監(jiān)管總局指導下，App專項治理工作組開通了違法違規(guī)收集使用個人信息舉報渠道，認真受理網民舉報。期間，工作組收到大量關于App強制、超范圍索要權限等舉報信息。統計結果顯示相當部分APP都有存在強制超范圍索要權限情況，平均每個APP申請收集個人信息相關權限數有10項，而用戶不同意開啟則APP無法安裝或運行的權限數平均僅為3項(詳見《百款常用App申請收集使用個人信息權限列表》www.cac.gov.cn/2019-05/24/c_1124538535.htm )。對此，網經社-電子商務研究中心（100EC.CN）發(fā)布快評：百個APP用戶信息調查 存強制超范圍要權限（詳見：qjkhjx.com/detail--6510501.html）。
另據“電子商務消費糾紛調解平臺”（www.315.100ec.cn ）近年來受理的全國電商投訴案件大數據表明，包括天貓/淘寶、京東、唯品會、當當網、蘇寧易購、國美在線、1號店等在內的電商平臺，以及窩窩團、美團、大眾點評、百度糯米、攜程、去哪兒、支付寶等在內的生活服務O2O平臺，均曾出現用戶信息泄露事件。而僅2018年，就多次出現用戶個人信息泄露事件，圓通、順豐十幾億條個人信息在暗網被出售，以及12306數百萬條旅客信息在網上被出售等。
對此，網經社-電子商務研究中心特約研究員、上海漢盛律師事務所高級合伙人律師李旻從法律的角度來看，《數據安全管理辦法（征求意見稿）》存在以下幾大亮點：
亮點一：既保護個人信息安全保護 又維護網絡空間主權和國家安全
對此，網經社-電子商務研究中心特約研究員、上海漢盛律師事務所高級合伙人律師李旻表示，《數據安全管理辦法》第一條明確指出其上位法依據為《中華人民共和國網絡安全法》(以下簡稱“《網絡安全法》”)等法律法規(guī),《數據安全管理辦法》將數據活動的范圍界定為“利用網絡開展數據收集、存儲、傳輸、處理、使用等活動”具有上位法依據，即《網絡安全法》第七十六條第（四）款：“網絡數據是指通過網絡收集、存儲、傳輸、處理和產生的各種電子數據。”《數據安全管理辦法》并非僅僅是《網絡安全法》第十條的細化配套實施辦法，其更為側重對個人信息安全的保護。
此前，已出臺的與個人信息有關的文件包括《信息安全技術個人信息安全規(guī)范》（下稱《規(guī)范》）、《互聯網個人信息安全保護指南》（下稱《指南》）等，《數據安全管理辦法》可能作為部門規(guī)章發(fā)布，效力層級比《規(guī)范》和《指南》更高，進一步實現《網絡安全法》保障網絡安全，維護網絡空間主權和國家安全的宗旨。由于《數據安全管理辦法》發(fā)布在中美貿易華為攻堅戰(zhàn)期間，既是大數據時代我國數據安全的剛需體現，也在為5G市場鋪平國內數據處理合規(guī)化道路。
亮點二：收集個人敏感信息和重要數據需備案
李旻律師認為，與《規(guī)范》中將個人信息處理規(guī)則列入隱私政策的內容要求中不同，《數據安全管理辦法》明確要求“制定并公開個人信息收集使用規(guī)則”，且強調“如果收集使用規(guī)則包含在隱私政策中，應相對集中，明顯提示，以方便閱讀”，突出信息使用規(guī)則的重要性，以便個人信息主體享有充分選擇權。
此外，對于此前網絡運營者超出運營需要收集個人信息的行為予以限制，對“網絡產品核心業(yè)務功能運行的個人信息”以外的信息，網絡運營者不得因個人信息主體未同意收集而拒絕提供核心業(yè)務功能服務。
此外，李旻律師還表示，在指導性國家標準《規(guī)范》對敏感信息收集限定的基礎上，《數據安全管理辦法》大力保護用戶隱私，要求“網絡運營者以經營為目的收集重要數據或個人敏感信息的，應向所在地網信部門備案”，通過國家強制力對隱私信息的收集使用予以限制，在隱私信息泄漏時亦有跡可循，以實現個人隱私信息的數據安全。
亮點三：明確大數據推送合成信息標注“定推”、“合成”等字樣
李旻律師表示，與《電子商務法》要求競價排名結果需顯著標明為“廣告”的規(guī)定相類似，為保護用戶的知情權和拒絕廣告推廣的選擇權，《數據安全管理辦法》要求利用用戶數據和算法推送新聞信息、商業(yè)廣告需顯著標明“定推”字樣, 并為用戶拒絕接受定向推送信息提供選擇權。
此外，對于利用大數據、人工智能等技術自動合成新聞、博文、帖子、評論等信息需顯著標明“合成”字樣，針對以往屢禁不止的網絡水軍利用技術手段自動刷貼、刷評論的行為，《數據安全管理辦法》嚴令禁止以謀取利益或損害他人利益為目的自動合成信息的行為。
亮點四：明確針對新型數據的安全管理
“《數據安全管理辦法》針對網絡爬蟲等抓取網頁的自動化手段，明確限制在不妨礙網站正常運行的范圍內，并列明具體的訪問收集流量不得超過網站日均流量三分之一；針對“大數據殺熟”等歧視性推送行為，其要求網絡運營者開展定向推送活動應誠實守信，嚴禁歧視、欺詐等行為?！稊祿踩芾磙k法》針對新型數據的安全管理的規(guī)定能及時填補因社會發(fā)展導致的法律漏洞，具有前瞻性。”李旻律師表示。
《數據安全管理辦法》對于近年來層出不窮的網路數據安全問題予以細化規(guī)定，如對以往手機app過度獲取權限的問題，其要求“網絡運營者不得以改善服務質量、提升用戶體驗、定向推送信息、研發(fā)新產品等為由，以默認授權、功能捆綁等形式強迫、誤導個人信息主體同意其收集個人信息”；對數據泄露才確定網絡安全負責人的問題，其明確數據安全責任人的任職要求，突出網絡運營者主要負責人、數據安全責任人的姓名及聯系方式等。
李旻律師認為，盡管《數據安全管理辦法》尚存在部分概念及定義有待明確等問題，但從加強公民個人信息保護意識、規(guī)范企業(yè)數據處理活動的角度來看，其影響不容小覷。大數據時代的數據安全管理尤為重要，《數據安全管理辦法》是我國逐步構建數據安全監(jiān)管的框架的初步成果，也是維護網絡空間主權和國家安全的必然要求。
總結：我國對數據保護的推進是時代的必然選擇
對此，網經社-電子商務研究中心特約研究員、北京億達（上海）律師事務所律師董毅智認為，去年GDPR出臺之后也產生了幾例比較著名的高額處罰案例，美國方面Facebook等提供互聯網服務的公司也數次因數據保護問題被群眾以及監(jiān)管機構問責，我國對數據保護的推進也成為了必然。
董毅智認為，本次《數據安全管理辦法》主要強調了網絡運營者對于數據收集、使用的規(guī)范性，并第20條、第21條、第23條設立了類似GDPR中的被遺忘權內容，但這部分總體來說并不細致，網絡經營者對于已經散發(fā)出去的信息如何處理？用戶是否有權要求網絡經營者對已經散發(fā)出去的信息進行刪除或者負責？
“另外值得注意的是《數據安全管理辦法》特別指出對于用戶轉發(fā)的他人制作的信息應當標注用戶表示這件事，以及對于假冒、仿冒、盜用他人名義發(fā)布信息的舉報投訴，網絡運營者應當及時處理，這部分內容與知識產權保護相交叉，適用過程中對網絡運營商的技術以及對知識產權的認識提出了需求?！倍阒钦f到。
董毅智還認為，數據安全責任人的身份也值得關注，在網絡運營過程中數據安全責任起到了監(jiān)督、組織、負責的作用，“網絡運營者應為數據安全責任人提供必要的資源，保障其獨立履行職責”，那么在其尚未履行職責時，如何與其他法律相銜接？又如何評估其職責履行？如何保障其并非形同虛設？除去監(jiān)管部門的壓力，如何讓企業(yè)自身進行嚴格地評估？
“去年互聯網“殺熟”一度成為熱門，這背后也是數據泄露的問題。”董毅智提到。
最后，董毅智表示，基于用戶對平臺服務的信任而建立起的“黏性”，卻成為了某些平臺進行差別定價、數據反復買賣的“底氣”。此外，互聯網行業(yè)頭部企業(yè)的天然主導性，導致行業(yè)內部缺乏競爭，某些平臺更加肆無忌憚地出手。另一角度來說，過去對于同類競爭企業(yè)、上下游企業(yè)乃至行業(yè)之間的壟斷競爭產生了反壟斷法，而現在則對于同行業(yè)、跨行業(yè)之間企業(yè)聯手利用用戶信息提出了挑戰(zhàn)。
近年來，信息泄露事件屢屢發(fā)生，而App過度索要授權是個人信息泄露的導火索之一。互聯網信息安全存在的問題主要表現為，過度收集、非法收集、泄露隱患、非法售賣、無法注銷。為此，電子商務消費糾紛調解平臺（www.315.100ec.cn）進行2019電商系列調查專項行動之互聯網信息安全，通過快評發(fā)布、滾動曝光、專題聚焦、密集播報、媒體聯動、法律援助，關注互聯網用戶信息安全。如果您有相關線索，請?zhí)峁┙o我們！
為幫助電商各產業(yè)鏈相關主體更好的規(guī)避法律風險，即時解決法律糾紛，同時幫助需要融資上市的電商提供法律服務，網經社法律權益部推出電商法律服務產品，包括但不僅限于電商平臺合規(guī)審查與合規(guī)設置、專家法律研討鑒定會、電商法律顧問、電商內部法律培訓、官司訴訟代理、融資并購法律服務、行業(yè)標準制定以及網絡侵權輿情管理等。
相關閱讀：
