2022年12月，北京國際數(shù)字經(jīng)濟治理研究院數(shù)據(jù)跨境專委會副主任、數(shù)據(jù)治理與跨境服務(wù)中心總經(jīng)理黃雷在智能網(wǎng)聯(lián)汽車數(shù)據(jù)治理和發(fā)展論壇上做了“智能網(wǎng)聯(lián)汽車數(shù)據(jù)跨境現(xiàn)狀和痛點以及解決路徑”主題演講。
黃雷提出，數(shù)據(jù)跨境流動的法律規(guī)則逐漸清晰，數(shù)據(jù)出境風險自評估成為企業(yè)數(shù)據(jù)跨境流動的必要合規(guī)路徑，由于數(shù)據(jù)出境風險自評估工作復雜度高、難度大、耗時長，建議企業(yè)：一是盡早開展數(shù)據(jù)出境風險自評估工作，提前識別潛在風險與隱患，通過整改切實解決或降低風險；二是制定并完善數(shù)據(jù)合規(guī)制度，建立數(shù)據(jù)安全合規(guī)體系；三是必要時可聘用專業(yè)的第三方跨境合規(guī)服務(wù)機構(gòu)，保障數(shù)據(jù)出境風險自評估報告的效果和質(zhì)量。
以下為演講摘錄：
一、數(shù)據(jù)跨境法律法規(guī)的背景
數(shù)據(jù)跨境是當前汽車行業(yè)或者是智能網(wǎng)聯(lián)行業(yè)安全合規(guī)的重要組成部分，這里面分為數(shù)據(jù)安全和數(shù)據(jù)出境兩個部分。就智能網(wǎng)聯(lián)行業(yè)數(shù)據(jù)安全而言，監(jiān)管部門主要有網(wǎng)信辦、工信部、自然資源部等，主管部門已經(jīng)發(fā)布了《汽車數(shù)據(jù)安全管理若干規(guī)定》《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例（征求意見稿）》，還有2021年的《關(guān)于開展汽車數(shù)據(jù)安全網(wǎng)絡(luò)安全自查的工作通知》。汽車行業(yè)參與者被定義為汽車數(shù)據(jù)處理者，所以需要完成汽車數(shù)據(jù)安全自評估工作，也要依照若干規(guī)定的要求，完成每年12月15日的汽車重要數(shù)據(jù)年報。同時根據(jù)網(wǎng)信辦的要求，在《個人信息出境安全評估辦法（征求意見稿）》、《數(shù)據(jù)出境安全評估辦法》、《個人數(shù)據(jù)出境標準合同規(guī)定》的要求下，滿足條件的汽車數(shù)據(jù)處理者需要做數(shù)據(jù)出境風險自評估，要向網(wǎng)信部門提交風險自評估報告。
《數(shù)據(jù)出境安全評估辦法》出臺的背景是基于《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護法》中對數(shù)據(jù)出境的基礎(chǔ)制度——安全評估制度的細化和落實。立法目的是規(guī)范整體企業(yè)的數(shù)據(jù)出境活動，保護信息權(quán)益，維護國家安全和公共安全，同時促進數(shù)據(jù)跨境的安全流動和自由流動。確立原則是堅持事前評估和持續(xù)監(jiān)督，風險自評估和安全評估相結(jié)合，防范屬于出境的安全風險，保障整體依法有序地自由流動。數(shù)據(jù)出行安全評估的流程分為兩大部分，第一部分是企業(yè)申報準備和提交申報，第二部分是網(wǎng)信部門開展安全評估及持續(xù)監(jiān)督。在自評估階段，依照辦法中的第五條企業(yè)開展風險自評估。根據(jù)第六條，我們要申請?zhí)釄蟛牧希ㄉ陥髸?、自評估報告、法律文件、其他材料等。在安全評估階段，基于第十一條、第八條、第十條，會出現(xiàn)受理和不受理的結(jié)果，同時有補充材料的機會，最后根據(jù)第十二條去完成，形成一個評估結(jié)果。實際程序中也會出現(xiàn)申請重新評估、安全監(jiān)管，投訴舉報等要求。
企業(yè)自評估，首先要明確向境外提供數(shù)據(jù)的時候，是否包含個人信息和重要數(shù)據(jù)。是否滿足法規(guī)中定性和定量的申報條件，如滿足需要準備開展安全自評估工作并向網(wǎng)信部門提交安全評估報告。除了提供數(shù)據(jù)出境安全評估外，個人信息的保護認證、標準合同和網(wǎng)信部門的其他要求，都可以作為我們數(shù)據(jù)出境的路徑，這需要企業(yè)根據(jù)自身實際情況結(jié)合法律法規(guī)要求去決定出境路徑。
在自評估的過程中，企業(yè)開展評估中要注意以下幾個要點，第一，整體數(shù)據(jù)出境情況的風險和整體的數(shù)據(jù)盤點。企業(yè)要從企業(yè)業(yè)務(wù)的角度，從數(shù)據(jù)的出境和境外接收方去論述它的目的、范圍、方式，數(shù)據(jù)出境的合法性、正當性和必要性、規(guī)模、種類、敏感程度等。境外接收方面，我們主要關(guān)注境外接收方承擔的一些責任和義務(wù)，包括境外接收方的安全保障能力。同時，個人信息權(quán)益的維護渠道是否通暢。在法律文件與約定情況上，主要是看與境外接收方擬定的數(shù)據(jù)出境相關(guān)合同，或者其他的這些法律文件是否充分約定了數(shù)據(jù)安全保護的責任和義務(wù)。此外，還有一些企業(yè)認為有必要的其他事項，也需要作為評估的重點，放到自評估報告里面來。
違反相關(guān)規(guī)定的企業(yè)，根據(jù)《數(shù)據(jù)出境評估的安全辦法》18條，可能會受到相應處罰，如果情節(jié)嚴重，還要追究刑事責任，同時企業(yè)需要停止未經(jīng)許可的數(shù)據(jù)出境行為和線路通道。
二、汽車數(shù)據(jù)跨境評估痛點和解決路徑
汽車數(shù)據(jù)跨境評估有六大痛點。
第一，數(shù)據(jù)出境的行為是具備隱蔽性的，例如因供應商導致的數(shù)據(jù)出境、遠程運維導致的數(shù)據(jù)出境等。
第二，跨國企業(yè)全球統(tǒng)一部署的系統(tǒng)占比高。
第三，個人信息和重要數(shù)據(jù)難以識別。在很多場景下，個人信息的范圍也不是很清晰，所以需要進一步識別。
第四，企業(yè)自身開展數(shù)據(jù)出境自評估耗時較長。企業(yè)整體運營情況和的數(shù)據(jù)流轉(zhuǎn)情況都要進行比較完整、比較精細的盤點，才能把整個的數(shù)據(jù)梳理出來，時間跨度大。
第五，數(shù)據(jù)出境的自評估需要大量的內(nèi)外部協(xié)調(diào)工作。
第六，風險緩釋計劃和合規(guī)體系建設(shè)亟需指導。
《數(shù)據(jù)出境安全評估辦法》所稱的數(shù)據(jù)出境活動主要包括：一是，數(shù)據(jù)處理者將在境內(nèi)運營中收集和產(chǎn)生的數(shù)據(jù)傳輸、存儲至境外。二是，數(shù)據(jù)處理者收集和產(chǎn)生的數(shù)據(jù)存儲在境內(nèi)，境外的機構(gòu)、組織或者個人可以訪問或者調(diào)用。數(shù)據(jù)的分級分類，其實是為了有序的跨境流動。這里面可能分一般數(shù)據(jù)，個人信息和個人敏感信息。個人信息是用電子或者其他方式去識別或者可識別的自然人有關(guān)的信息，其實不包括匿名化和處理過的信息。敏感信息是一旦泄露或者非法使用，會容易導致自然人的人格尊嚴受到侵害或者是危害人身財產(chǎn)安全的信息。重要數(shù)據(jù)里面包括一些未公開的政府信息、大面積人口基因的數(shù)據(jù)、地理位置信息等。
我們認為企業(yè)應該做的第一件事情是做判定自身屬于哪種數(shù)據(jù)處理者，跨境傳輸?shù)臄?shù)據(jù)類型是什么，企業(yè)性質(zhì)是什么，是否達到了其他申報評估的觸發(fā)條件。第二件事情是識別風險，根據(jù)數(shù)據(jù)盤點、制度排查去識別出潛在的風險。第三件事情是解決或者降低數(shù)據(jù)處理中的風險和隱患，提高數(shù)據(jù)安全保護能力，進行合規(guī)整改、合規(guī)體系建設(shè)和完善，最終制定整體的風險緩釋計劃，確保整體數(shù)據(jù)安全流轉(zhuǎn)可控。
我們對企業(yè)數(shù)據(jù)跨境安全合規(guī)有三部分建議。
第一，希望企業(yè)可以盡早地開展數(shù)據(jù)跨境的咨詢工作。
第二，是希望企業(yè)可以積極參與我國數(shù)據(jù)分級分類的政策制定，貢獻企業(yè)智慧，完善整體數(shù)據(jù)合規(guī)制度，建立整體數(shù)據(jù)內(nèi)部的合規(guī)體系。
第三，在自評估的過程中，要確保數(shù)據(jù)評估質(zhì)量，要聘用專業(yè)的第三方機構(gòu)去完成企業(yè)的自評估。
一個典型的數(shù)據(jù)處理者評估的流程，需要分為兩部分:
第一部分是數(shù)據(jù)處理者進行數(shù)據(jù)出境的風險自評估;
第二部分是從監(jiān)管一事一議的角度去做數(shù)據(jù)出境的安全評估。
如果整體流程都沒有問題，最終會完成評估，有效期是兩年。如果在兩年之內(nèi)發(fā)生特定變化，企業(yè)需要重新提交評估材料。如果企業(yè)還有新業(yè)務(wù)，新目的，新跨境傳輸方式產(chǎn)生，也需要提前向網(wǎng)信部門提交數(shù)據(jù)安全評估資料，以獲批準。數(shù)據(jù)處理者針對已開展或?qū)⒁_展的數(shù)據(jù)出境活動進行數(shù)據(jù)出境安全風險自評估時，應當遵循五大原則，分別是全面性原則、客觀性原則、匹配性原則、及時性原則和持續(xù)性原則。
《數(shù)據(jù)出境安全評估辦法》第六條規(guī)定了申報數(shù)據(jù)出境安全評估應當提交的材料：首先要包含申報書，申報書實際上是有統(tǒng)一模板。第二，自評估報告，要提前實施、提前準備。第三，數(shù)據(jù)處理者與境外接收方簽訂的法律文件。第四，其他材料，包括網(wǎng)信部門的一些管理材料、工程文檔或其他佐證。
北京國際數(shù)字經(jīng)濟研究院數(shù)據(jù)治理與跨境服務(wù)中心針對企業(yè)數(shù)據(jù)跨境的六個痛點，提出了一些解決方案。
第一，針對數(shù)據(jù)出境行為的隱蔽性，中心已經(jīng)總結(jié)出一些標準化的問卷模板，并且服務(wù)中心也有產(chǎn)品級的工具，可以幫助企業(yè)做相對全面細致的資產(chǎn)盤點工作。
第二，針對個人信息、重要數(shù)據(jù)難以識別，中心充分吸收了數(shù)據(jù)技術(shù)和法律安全等各行業(yè)的優(yōu)勢專家資源，并且針對不同行業(yè)，尤其是智能網(wǎng)聯(lián)行業(yè)的一些典型的業(yè)務(wù)場景的知識庫，做相應的檢索，去識別個人信息和重要數(shù)據(jù)。
第三，針對內(nèi)外部所需的大量協(xié)調(diào)工作，中心現(xiàn)在可以協(xié)助各方實現(xiàn)可知可控可溯的數(shù)據(jù)盤點的管理要求，有相關(guān)的工具系統(tǒng)支撐。同時我們的系統(tǒng)也支持多部門協(xié)同工作。
第四，針對全球企業(yè)統(tǒng)一部署的系統(tǒng)占比高的情況，中心在系統(tǒng)上也針對不同場景的系統(tǒng)，形成了快速應對、快速識別的整體合規(guī)整理方案。
第五，針對企業(yè)耗時長的問題，中心針對不同的行業(yè)對不同的業(yè)務(wù)場景進行分析。通過我們之前的積累、模板以及技術(shù)手段，可以支持報告的半自動化生成。這種方式可以整體提升報告生成的效率。
第六，針對風險緩釋計劃和合規(guī)體系的指導，中心有很多行業(yè)資深專家，還有很多過往案例支撐，可以為企業(yè)提供有效的咨詢方案。
轉(zhuǎn)自焉知智能汽車
