<menu id="guoca"></menu>
<nav id="guoca"></nav><xmp id="guoca">
  • <xmp id="guoca">
  • <nav id="guoca"><code id="guoca"></code></nav>
  • <nav id="guoca"><code id="guoca"></code></nav>

    國家安全視野中的數據分類分級保護

    VSole2021-11-02 03:12:47

    對數據分類分級,是開展數據安全治理的起始點。目前,在我國網絡安全和數據安全相關的法律法規中,數據分類分級的要求多有體現,但基本上這些分類分級的思路和方案均站在組織內部的視角,目的是提升組織的數據安全管理能力和水平。本文將之稱為“自下而上”的數據分類分級。而《數據安全法》創造性地提出了“自上而下”的數據分類分級路徑,其第21條規定“國家建立數據分類分級保護制度”,其重要意義可以與《網絡安全法》第21條的“國家實行網絡安全等級保護制度”做類比。本文分析此項制度設計的背景和邏輯,以及其對數據主權國際競爭加劇態勢下的重大影響和意義。

    目次

    一、現有數據分類分級的保護路徑

    二、《數據安全法》對數據分類分級保護的制度設計

    三、數據分類分級的國際競爭意義

    四、結語

    本文來源為《中國法律評論》2021年第5期專論(第71-78頁),原文10000余字,為閱讀方便,腳注從略。如需引用,可參閱原文。

    在網絡安全領域,對數字資產(包括信息系統、網絡系統、數據等)的安全保護,起始于對數字資產的分類分級。將數字資產劃分成不同的類別和不同的級別,就能相應地確定與類別和級別匹配的安全保護水平和措施。在我國,分類分級的思想最早貫徹于網絡和信息系統的安全治理工作之中。在《網絡安全法》生效之前,我國將“信息安全等級保護制度”作為國家信息安全保障體系中的“一項基本制度”。“信息安全等級保護制度”是指“對國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統分等級實行安全保護,對信息系統中使用的信息安全產品實行按等級管理,對信息系統中發生的信息安全事件分等級響應、處置。”

    2017年《網絡安全法》開始實施,其將網絡運營者劃分為一般的網絡運營者和關鍵信息基礎設施運營者兩大類。后者為“公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務、國防科技工業等重要行業和領域的,以及其他一旦遭到破壞、喪失功能或者數據泄露,可能嚴重危害國家安全、國計民生、公共利益的重要網絡設施、信息系統等”,前者即是“網絡的所有者、管理者和網絡服務提供者”中的非關鍵信息基礎設施的其他運營者。

    同時對于所有的網絡運營者,《網絡安全法》將“信息安全等級保護制度”升級為“網絡安全等級保護制度”。該制度“根據等級保護對象在國家安全、經濟建設、社會生活中的重要程度,以及一旦遭到破壞、喪失功能或者數據被篡改、泄露、丟失、損毀后,對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的侵害程度等因素”,將其劃分為五個級別。不同級別的等級保護對象應具備不同的基本安全保護能力。

    相對于對網絡和信息系統的分類分級,我國從安全保護角度對數據的分類分級要求比較新。《網絡安全法》第21條規定,網絡運營者為“防止網絡數據泄露或者被竊取、篡改”應當履行的最基本的安全保護義務之一,即“采取數據分類、重要數據備份和加密等措施”。此后主管監管部門發布的相關規定,對數據分類分級也做出了要求。

    2021年9月1日生效的《數據安全法》,對數據分類分級作出了專門規定,提出:“國家建立數據分類分級保護制度,根據數據在經濟社會發展中的重要程度,以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用,對國家安全、公共利益或者個人、組織合法權益造成的危害程度,對數據實行分類分級保護。

    國家數據安全工作協調機制統籌協調有關部門制定重要數據目錄,加強對重要數據的保護。關系國家安全、國民經濟命脈、重要民生、重大公共利益等數據屬于國家核心數據,實行更加嚴格的管理制度。”全國人大常委會法制工作委員會對《數據安全法》的立法說明中,將數據分類分級管理制度作為國家數據安全管理制度和體系中的首要制度。

    仔細分析《數據安全法》和《網絡安全法》中對數據分類分級的規定,可以發現一個顯著的區別:《網絡安全法》中開展數據分類工作的主體是網絡運營者;在《數據安全法》中,數據分類分級的主體卻是國家。本文認為,數據分類分級工作的主體不同,蘊含著對數據安全保護思路和工作路徑的重大變化,凸顯了國家對數據作為基礎性戰略資源的認識和管理思路的升級,更是服務于數據主權的國際競爭。

    本文的內容安排如下:第一部分是對現有數據分類分級保護路徑的梳理和分析;第二部分解析《數據安全法》數據分類分級保護的制度設計,并對《數據安全法》中提出的重要數據和核心數據做出解構和重構;第三部分闡釋數據分類分級安全管理制度在國際競爭方面的重大意義;最后,本文嘗試對數據分類分級工作落地實施提出建議。

    現有數據分類分級的保護路徑

    無論是現行的法律、行政法規還是部門規章,都僅僅止步于提出數據分類分級的要求,并沒有對如何分類分級提出進一步的方案。

    例如在行政法規層面,國務院2018年3月發布的《科學數據管理辦法》第10條規定:“科學數據中心負責科學數據的分級分類”;第20條規定“法人單位要對科學數據進行分級分類,明確科學數據的密級和保密期限、開放條件、開放對象和審核程序等”。

    在部門規章或規范性文件層面,例如中國證券監督管理委員會2019年6月實施的《證券基金經營機構信息技術管理辦法》第30條規定:“證券基金經營機構應當將經營及客戶數據按照重要性和敏感性進行分類分級,并根據不同類別和級別作出差異化數據管理制度安排。”中國銀保監會辦公廳2019年5月發布的《關于開展銀行業和保險業網絡安全專項治理工作的通知》規定:銀行業和保險業機構應當“強化客戶信息保護。要制定數據安全分類分級標準,構建覆蓋客戶信息全生命周期的保護體系,防范數據被竊取”。工業和信息化部辦公廳2019年6月印發的《電信和互聯網行業提升網絡數據安全保護能力專項行動方案》規定,電信和互聯網行業應“加快建立網絡數據分類分級保護、數據安全風險評估、數據安全事件通報處置、數據對外提供使用報告等制度”。

    在國家部委發布的指引性文件,或者國家和行業標準層面,可以看到一些嘗試或方案。工業和信息化部2020年2月印發的《工業數據分類分級指南(試行)》中,提出了對工業數據的分類和分級標準。該指南第5條提出:“工業企業結合生產制造模式、平臺企業結合服務運營模式,分析梳理業務流程和系統設備,考慮行業要求、業務規模、數據復雜程度等實際情況,對工業數據進行分類梳理和標識,形成企業工業數據分類清單。”

    沿著第5條,該指南在第6條中給出了工業企業的數據分類范例:“工業企業工業數據分類維度包括但不限于研發數據域(研發設計數據、開發測試數據等)、生產數據域(控制信息、工況狀態、工藝參數、系統日志等)、運維數據域(物流數據、產品售后服務數據等)、管理數據域(系統設備資產信息、客戶與產品信息、產品供應鏈數據、業務統計數據等)、外部數據域(與其他主體共享的數據等)。”至于數據分級,該指南根據數據發生“篡改、破壞、泄露或非法利用”后造成的危害——“可能對工業生產、經濟效益等帶來的潛在影響”作為數據分級的標準,將數據分為三級。

    同樣,證監會于2018年9月正式公布實施《證券期貨業數據分類分級指引》。該指引第6.4條要求:“本標準推薦的分類分級方法,從業務條線出發,首先對業務細分,其次對數據細分,形成從總到分的樹形邏輯體系結構,最后,對分類后的數據確定級別;同時,推薦考慮確定數據形態……”具體來說,數據分類“依據自身業務特點對產生、采集、加工、使用或管理的數據進行分類”。數據分級“是以數據分類為基礎,采用規范、明確的方法區分數據的重要性和敏感度差異,并確定數據級別”。

    秉持類似思路的還有2020年2月中國人民銀行正式發布的《個人金融信息保護技術規范》(JR/T0171—2020)。在這些嘗試或方案中,數據分類采取的路徑主要是一種“實然”(“是什么就是什么”)路徑。此種路徑的基本思路是不改變企業實際如何組織生產的方式和流程,且客觀描述在這個方式和流程中所收集、產生出的數據類型。在完成數據分類的前提下,根據“后果”路徑,來對數據進行分級。此種路徑的基本思路是根據某類數據的安全屬性(完整性、保密性、可用性)遭到破壞后的影響對象、影響范圍、影響程度,對數據進行定級。一般來說,有分為三級的,也有分為四級的。本文將上述思路統稱為“自下而上”的數據分類分級。

    目前部委指導性文件和標準所提出的數據分類分級路徑,給企業內部開展數據治理提供了很好的思路。如果企業能按照上述路徑開展分類分級工作,就能夠對其所掌握的數據建立管理目錄,并對目錄里面的數據進行“差序有致”的管理,最終達到對數據資產的高效利用和有效保護。

    正如《證券期貨業數據分類分級指引》對數據分類分級的闡釋:“數據分類是數據保護工作中的一個關鍵部分,是建立統一、準確、完善的數據架構的基礎,是實現集中化、專業化、標準化數據管理的基礎。行業機構按照統一的數據分類方法,依據自身業務特點對產生、采集、加工、使用或管理的數據進行分類,可以全面清晰地厘清數據資產,對數據資產實現規范化管理,并有利于數據的維護和擴充。數據分類為數據分級管理奠定基礎”,“數據分級有助于行業機構根據數據不同級別,確定數據在其生命周期的各個環節應采取的數據安全防護策略和管控措施,進而提高機構的數據管理和安全防護水平,確保數據的完整性、保密性和可用性”。

    采取“自下而上”的數據分類分級,本質上是站在組織的內部視角來看數據分類分級,目的是防止組織的資產和權益因為數據安全事件而受損。這種“自下而上”的數據分類分級模式有三個問題。第一個問題是,對數據提供何種保護水平僅僅由組織自行決定。以個人信息保護為例,組織出于自身的利益保護,普遍會將個人信息賦予高水平的保護,但其主要考慮的是防止因個人信息保護不利而導致的企業名譽、監管、司法等方面的風險,但對個人信息充分利用的考量(包括分析、與第三方共享、在生態內流轉、向境外傳輸等)始終占據優先級。因此其對個人信息保護的水平并不一定達到組織外部的個人、社會、監管部門所期待的水平。

    第二個問題是,很多情況下,掌握在企業手中的數據對國家、社會、個人的價值,要比對企業來說價值更高;或者說,一旦出現安全事件,對國家、社會、個人造成的危害可能比對企業利益的危害更大。例如劍橋分析事件中,Facebook疏于對第三方小程序的管理,導致8700萬個人的數據被非法用于政治選舉目的,包括影響脫歐公投和美國總統大選等。

    這就出現了一個所謂的“外部性”問題。外部性又稱為外溢效應,指一個人或一群人的行動和決策使另一個人或另一群人受損或受益的情況。顯然,目前站在組織內部角度的“自下而上”的數據分類分級,并不能很好地解決數據安全管理中的“外部性”問題。因此,為了督促或監督企業切實負起數據安全責任,同時對某些“外部性”很強的數據類型給予更高水平的安全保護,就需要國家站在組織的外部,要求組織對具體的、特定的數據類別,比其單純從自身角度出發所意愿供給的安全水平提供更高水平的保護。

    “自下而上”的數據分類分級的第三個問題是,目前的部委指導性文件和標準所提出的數據分類分級路徑,在單個行業、單個組織的內部可以適用,但是對于面對不同行業的眾多組織的主管監管部門來說,不具備互操作性,即一個組織的數據分類或數據分級,很可能與另外一個組織的數據分類和數據分級截然不同。這種情況下,數據安全主管監管機關很可能無法開展統一的管理和監督工作,更無法判斷組織對不同類型和級別數據采取的安全保護措施,是否能夠充分維護個人合法權益、公共利益和國家利益。

    《數據安全法》對數據分類分級保護的制度設計

    在上述背景下,《數據安全法》提出的由國家而非組織來實施數據分類分級的制度設計(本文稱之為“自上而下”的數據分類分級),就能得到很好的解釋。“自上而下”的數據分類分級,要求國家根據數據對國家、社會的價值(“數據在經濟社會發展中的重要程度”)以及出現安全事件后造成的危害后果(“一旦遭到篡改、破壞、泄露或者非法獲取、非法利用,對國家安全、公共利益或者個人、組織合法權益造成的危害程度”),來開展數據分類分級的工作。在分類分級工作完成之后,即可以強制性地配適不同程度的安全保護規則,目的在于要求組織吸收或內化“外部性”效應。

    實際上,這種“自上而下”分類分級路徑在數據安全之外的領域并不鮮見。例如前文提到的對網絡和信息系統,區分為一般運營者和關鍵信息基礎設施運營者這兩大類。猶如國家對勞動人口的身份管理,國家就“自上而下”地將勞動人口劃分為公務員、事業單位人員、企業員工、務農人員等。這樣一種站在全局視角下的相對整齊劃一的分類,一直是國家統一管理的有效工具。

    《數據安全法》實際上已經“自上而下”地劃定了兩個主要的數據類型:個人信息和重要數據。雖然《數據安全法》沒有界定“重要數據”這個概念,但對其做了豐富的規則設計。例如重要數據的處理者應當明確數據安全負責人和管理機構(第27條);重要數據的處理者應當按照規定對其數據處理活動定期開展風險評估;并向有關主管部門報送風險評估報告(第30條);關鍵信息基礎設施所收集和產生的重要數據的出境安全評估使用《網絡安全法》規定,其他數據處理者收集和產生的重要數據的出境安全管理辦法,由國家網信部門會同國務院有關部門制定(第31條)等。

    而對個人信息的保護規則,《數據安全法》第53條規定,“開展涉及個人信息的數據處理活動,還應當遵守有關法律、行政法規的規定”,直接指向了《個人信息保護法》。由此,“作為數據領域的基礎性法律”的《數據安全法》初步完成了“自上而下”的數據分類分級中的數據分類工作,并設計了不同類別的數據的基本保護規則。相較于個人信息,重要數據這個概念極為新穎,因此下文將重點對其內涵做出分析。

    實際上,重要數據為《網絡安全法》首次提出,回顧“重要數據”的產生過程,可回溯到《網絡安全法(草案)》三讀與最終稿之間出現的一個微妙變化。三讀文本中使用的是“重要業務數據”,對此,可能存在兩種理解:一是認為“業務數據”英文為“business

    data”,是組織機構與外界發生業務交互(transactions)的記錄,不包括內部運營數據,例如組織機構人力資源管理方面的數據;二是認為“業務數據”同時包括組織機構“內部運作”和“外部業務交互”的數據。

    如果最終“重要業務數據”的定義采用前者,則關鍵信息基礎設施里存在其他類別的數據無需本地存儲;如果采用后者,則可認為關鍵信息基礎設施里的所有數據都要本地存儲。在2016年11月7日通過的《網絡安全法》最終文本中,立法者刪除了“業務”兩字,體現了立法者最后時刻的考量和決斷。

    在《網絡安全法》生效(2017年6月1日)之前,中央網信辦于2017年4月的《個人信息和重要數據出境安全評估辦法(征求意見稿)》中第一次對重要數據做出界定。重要數據“是指與國家安全、經濟發展,以及社會公共利益密切相關的數據,具體范圍參照國家有關標準和重要數據識別指南”。與其配套的國家標準《信息安全技術數據出境安全評估指南(草案)》在附錄A中進一步定義了重要數據。雖然上述規則和標準始終處于征求意見稿的狀態,但都明確了一點——重要數據的重要性,針對的是整體層面的利益保護,即保護國家安全、國計民生、公共利益。

    因此,只要運營者的數據不涉及整體層面利益,就不屬于“重要數據”的范疇。例如,一家互聯網廣告公司的高層會議紀要,如果不涉及國家、公共利益,顯然不屬于“重要數據”的范疇,這樣的數據能夠自由出境;但是一家生產戰備物資的企業,其信息系統形成的進出貨記錄、庫存水平等,可能就涉及國家安全事項,應當認定其為“重要數據”,《網絡安全法》原則上要求境內存儲。因此,從“重要業務數據”轉變為“重要數據”,說明立法者摒棄業界熟悉的“個人數據、企業數據、國家數據”的分類方法,進而從數據所影響的價值著手。換句話說,不論是個人數據還是企業數據,只要有可能危及整體層面的利益,也會被認定為“重要數據”。因此,《網絡安全法》首提“重要數據”,標志著“自上而下”的數據分類分級思路的雛形初現。

    雖然上述規則和標準始終處于征求意見稿的狀態,但2021年8月國家互聯網信息辦公室、國家發展和改革委員會、工業和信息化部、公安部、交通運輸部聯合頒布的《汽車數據安全管理若干規定(試行)》,沿著上述思路第一次對重要數據做出了具備法律效力的界定。其第3條規定:“重要數據是指一旦遭到篡改、破壞、泄露或者非法獲取、非法利用,可能危害國家安全、公共利益或者個人、組織合法權益的數據”,并在汽車領域對重要數據進行了列舉。此外,由工信部發布并于2021年7月生效的《基礎電信企業重要數據識別指南》,也將重要數據界定為“企業在運營中收集、產生、控制的不涉及國家秘密,但與國家安全、經濟發展、社會穩定,以及公共利益密切相關的數據,特別是與國家基礎通信網絡安全密切相關的數據”。

    仔細分析上述在《數據安全法》文本發布之后出臺的關于重要數據的界定,可以發現重要數據并不是從組織內部出發、基于業務的數據分類,而是始終站在數據背后的重要價值的保護之上。在過去,“個人數據、企業數據、國家數據”的分類存在一定的意義,因為國家掌握的數據,往往才有可能影響到整體層面的利益。但在大數據時代,數據收集、匯聚、流轉等,大量地發生在公共部門之外,許多企業掌握著海量的數據資源。這些數據已經具備了影響國家、公共利益的可能性。

    例如,超大互聯網平臺所掌握的海量用戶信息,首先肯定是個人信息,同時也是企業擁有的數據,但是由于其規模和顆粒度均可比擬公安機關的國家人口基礎信息庫,準確性甚至更勝一籌,因此對國家來說,互聯網平臺所掌握的這樣規模的人口信息數據一旦泄露,很可能對國家安全造成嚴重危害。再如為金融、能源、交通、電信等重要行業中的大型企業提供網絡安全防護過程中產生的數據,包括系統架構、安全防護計劃、策略、實施方案、漏洞等信息。這些數據雖然掌握在安全服務提供者手中,但這些數據一旦泄露,將大幅增加這些企業的網絡安全風險。因此從國家層面來說,這些數據肯定屬于“重要數據”,哪怕這些數據掌握在企業手中。

    綜上來說,判定重要數據,應放棄從“誰掌握數據”來著手(即“自下而上”的數據分類),而是從數據可能影響的價值、利益來判斷;而全面判斷數據可能影響的各種價值和利益,顯然需要超越組織內部視角,需要國家“自上而下”地做出決斷。因此,由中央國家安全領導機構負責建立的國家數據安全工作協調機制,將來把哪些類型的數據納入重要數據目錄之中,持有或掌握這些數據的組織就需要按照國家規定,“對列入目錄的數據進行重點保護”。

    數據分類分級的國際競爭意義

    前述圍繞著“自上而下”的數據分類分級和重要數據的分析顯示,由于數據安全保護存在顯著的“外部性”效應,因此國家對數據安全保護具有獨立于組織、個人的利益,且該利益訴求在國際競爭的壓力下越來越凸顯。

    著名的《外交事務》雜志在2021年第3期發表了一篇在國內廣為傳播的文章——《數據即是權力》。兩位作者直言:“與全球經濟的其他要素相比,數據與權力更緊密地交織在一起。作為創新的一個日益必要的投入,國際貿易的一個迅速擴大的元素,企業成功的一個重要因素,以及國家安全的一個重要層面,數據為所有擁有它的人提供了難以置信的優勢。它也很容易被濫用。尋求反競爭優勢(anticompetitive

    advantages)的國家和公司試圖控制數據。那些希望破壞自由和隱私的人也是如此。”這段話非常清晰、全面地勾勒出數據安全保護對于國家間競爭至關重要的意義。

    美國占據技術先發優勢,有著強大的產業基礎和服務貿易量。全球運營的美國企業成為美國數據立法的重要關切和杠桿因素,并據此實現管轄范圍的擴張。美國數據主權戰略基本上圍繞著如何增強本國企業獲得和控制企業的能力。一直以來,歐盟互聯網產業發展相對落后于美國和我國,產業能力、基礎設施、代表性企業相對有限,歐盟企業事實上處于數據弱勢地位,歐盟在數字經濟中的份額也與其自身的經濟體量存在較大差距。

    但近年歐盟轉換了視角,以整個歐盟市場作為政策施力點,要求所有面向歐盟提供產品或服務的實體(無論是否在歐盟境內有機構存在)均應當接受歐盟的管轄,實現對掌握歐盟數據的跨國公司的有效規制。此外,歐盟高水平的數據保護規則極大地抬高了數據從歐盟流出的門檻,配合歐盟積極推動的“單一數字市場”和“歐洲數據空間”,歐盟走出了符合自身利益發展的數據戰略,事實上擴張了歐盟對全球網絡空間中數據的掌控能力。

    從目前《數據安全法》《個人信息保護法》《網絡安全法》等法律法規來看,我國并未提出系統性的符合國家主權、安全和發展利益的數據主權戰略,更多的還是應對或對抗美歐“擴張式”的數據權力為主。例如,《數據安全法》《個人信息保護法》均有阻斷外國“長臂”數據執法跨境調取的條款。為應對外國在出口管制、投資審查等領域中關于數據且針對我國的各種歧視性、限制性措施,《數據安全法》《個人信息保護法》同樣有類似的應對性條款。在激烈的國際競爭中,我國理應配備法律工具來應對來自外國的壓力,但在防守之余,我國可以在對外發展方面有所謀劃。

    “自上而下”的數據分類分級和重要數據,雖然主要服務于境內的數據安全管理工作需要,但其能在構建我國“外向型”數據主權戰略之中發揮重要作用。本節提出三個方面的設想拋磚引玉。

    其一,數據分類分級本身不是最終目的,對不同類別和級別的數據配適不同的安全保護規則,才是分類分級的落腳點。因此,對于國家主權、安全和發展利益至關重要的數據,可以通過分類分級和列入《數據安全法》提出的“重要數據目錄”中,輔以更高要求的安全保護規則,包括數據跨境流動規則,以此實現對重要的數據要素的控制。

    其二,在目前已經開展的自貿區試驗中,出于實現更高水平的開放和融合的目標,賦予部分自貿試驗區根據自身的產業結構、主要的商貿目的地、技術合作對象等因素,動態調整國家層面出臺的“重要數據目錄”的權力。通過便利的數據跨境規則,再發揮人才、資金等方面的優勢因素,取得特色產業集中落地的效果。例如,北京和海南政治經濟特點不同,北京的“兩區建設”24和海南“自貿島”建設完全可以因地制宜地實施不同的“重要數據目錄”。

    其三,為服務我國“一帶一路”戰略的實施,我國可以基于“一帶一路”國家的實際情況,根據政治外交、商貿合作、人文交流等因素,制定面向不同國家的“重要數據目錄”,有針對性地調適數據出境的范圍寬窄和出境規則的松緊,以此取得對外合作的戰略目標。

    結語

    《數據安全法》改變了我國數據分類分級工作的基本范式。“自下而上”的數據安全治理已不能完全滿足數據種類數據量、分析技術、商業模式等爆炸性發展所衍生的新安全風險。“自上而下”的數據分類分級能夠使組織有效地吸收其數據處理行為所產生的負面外部性。在法律層面,我國已經確立了個人信息和重要數據的基本分類。任何處理數據的組織應當高度關注國家制定的“重要數據目錄”,相應地調整組織內部對數據分類分級的實踐,并根據國家制定的個人信息和重要數據安全保護規則,更新組織所采用的安全保護措施。

    從統籌安全和發展的角度來看,一方面,我國在開展數據分類分級工作和制定重要數據目錄,應當秉持科學、客觀、動態的原則,避免將過多的數據納入重要數據的保護范圍之中。另一方面,為更好地參與到數據資源的國際競爭之中,我國還可以靈活地使用數據分類分級和重要數據目的等政策工具,實施因地制宜的數據流動策略,使我國的主權、安全和發展利益最大化。

    數據保護官(DPO)社群主要成員是個人信息保護和數據安全一線工作者。他們主要來自于國內頭部的互聯網公司、安全公司、律所、會計師事務所、高校、研究機構等。在從事本職工作的同時,DPO社群成員還放眼全球思考數據安全和隱私保護的最新動態、進展、趨勢。2018年5月,DPO社群舉行了第一次線下沙龍。沙龍每月一期,集中討論不同的議題。目前DPO社群已超過300人。關于DPO社群和沙龍更多的情況如下:

    域外數據安全和個人信息保護領域的權威文件,DPO社群的全文翻譯:

    1. 印度《2018個人數據保護法(草案)》全文翻譯(中英對照版)(DPO沙龍出品)
    2. 巴西《通用數據保護法》全文中文翻譯(DPO沙龍出品)
    3. “美國華盛頓哥倫比亞特區訴Facebook“起訴書全文翻譯(DPO沙龍出品)
    4. 法國數據保護局發布針對與商業伙伴或數據代理共享數據的指南
    5. 德國聯邦反壟斷局對Facebook數據收集和融合行為提出嚴格限制(DPO沙龍出品)
    6. 德國聯邦反壟斷局審查Facebook數據收集融合行為的背景情況(DPO沙龍出品)
    7. “108號公約”全文翻譯(DPO沙龍出品)
    8. 美國司法部“云法案”白皮書全文翻譯(DPO社群出品)
    9. 新加坡《防止網絡虛假信息和網絡操縱法案》中文翻譯(DPO沙龍出品)
    10. 英國ICO《廣告技術和實時競價的更新報告》中譯文(DPO社群出品)
    11. “FTC與Facebook達成和解令的新聞通告”全文翻譯(DPO社群出品)
    12. CJEU認定網站和嵌入的第三方代碼成為共同數據控制者(DPO沙龍出品)
    13. FTC與Facebook“2019和解令”全文翻譯(DPO社群出品)
    14. 英國ICO《數據共享行為守則》中譯文(DPO社群出品)
    15. “hiQ Labs訴LinkedIn案上訴判決”中譯文(DPO社群出品)
    16. 法國數據保護監管機構(CNIL)有關cookies和其他追蹤方式的指引(全文翻譯)
    17. 美加州消費者隱私法案(CCPA) 修正案匯總中譯文(DPO沙龍出品)
    18. FTC“首次針對追蹤類App提起訴訟”的官方聲明中文翻譯(DPO社群出品)
    19. ICDPPC關于隱私和消費者保護、競爭維護交叉問題決議的中文翻譯(DPO社群出品)
    20. 德國關于確定企業GDPR相關罰款數額官方指南的中文翻譯(DPO社群出品)
    21. 亞洲十四個國家和地區數據跨境制度報告中譯本(DPO社群出品)
    22. 印度《個人數據保護法》(2019年草案)全文翻譯(DPO社群出品)
    23. 法國數據保護局(CNIL)關于人臉識別報告的中譯文(DPO社群出品)
    24. AEPD和EDPS | “哈希函數簡介——用于個人數據假名化技術”中譯文(DPO社群出品)
    25. 歐盟基本權利局“人臉識別技術”報告中文翻譯(DPO社群出品)
    26. 聯合發布 |《2020數字醫療:疫情防控新技術安全應用分析報告》
    27. 技術主權視野下的歐盟數字化轉型戰略探析(DPO社群出品)
    28. 意大利數據保護機關就新冠疫情聯防聯控中個人信息問題的意見(DPO社群出品)
    29. 新版《個人信息安全規范》(35273-2020)正式發布
    30. 英國ICO | 《兒童適齡設計準則:在線服務實業準則》全文翻譯之一
    31. 英國ICO | 《兒童適齡設計準則:在線服務實業準則》全文翻譯之二
    32. 《個人信息安全影響評估指南》(GB/T 39335-2020)正式發布
    33. 《英國ICO人工智能與數據保護指引》選譯 | 如何保護人工智能系統中的個人權利?
    34. 《英國ICO人工智能與數據保護指引》選譯 | 如何評估AI的安全性和數據最小化?
    35. 西班牙數據保護局《默認數據保護指南》全文翻譯(DPO社群出品)

    DPO線下沙龍的實錄見:

    1. 數據保護官(DPO)沙龍第一期紀實
    2. 第二期數據保護官沙龍紀實:個人信息安全影響評估指南 
    3. 第三期數據保護官沙龍紀實:數據出境安全評估
    4. 第四期數據保護官沙龍紀實:網絡爬蟲的法律規制
    5. 第四期數據保護官沙龍紀實之二:當爬蟲遇上法律會有什么風險
    6. 第五期數據保護官沙龍紀實:美國聯邦隱私立法重要文件討論
    7. 數據保護官(DPO)沙龍走進燕園系列活動第一期
    8. 第六期數據保護官沙龍紀實:2018年隱私條款評審工作
    9. 第八期數據保護官沙龍紀實:重點行業數據、隱私及網絡安全
    10. 第九期數據保護官沙龍紀實:《個人信息安全規范》修訂研討
    11. 第十期數據保護官沙龍紀實:數據融合可給企業賦能,但不能不問西東
    12. 第十一期數據保護官沙龍紀實:企業如何看住自家的數據資產?這里有份權威的安全指南
    13. 第十二期數據保護官紀實:金融數據保護,須平衡個人隱私與公共利益
    14. 第十三期DPO沙龍紀實:厘清《數據安全管理辦法》中的重點條款
    15. 第十四期DPO沙龍紀實:梳理《個人信息出境安全評估辦法(征求意見稿)》的評估流程
    16. 第十五期DPO沙龍紀實:SDK非洪水猛獸,但如果“作惡”亂收集信息,誰來管?
    17. 第十六期DPO沙龍紀實:查詢App收集個人信息類型、禁止收集IMEI號是未來監管趨勢
    18. 與歐美一流數據保護專家面對面(DPO沙龍特別活動)
    19. 第十七期DPO沙龍紀實:數據統一確權恐難實現 部門立法或是有效途徑
    20. 第十八期DPO沙龍紀實:生物識別信息的安全保護
    21. 第十九期DPO沙龍紀實:《個人信息保護法(草案)》專題研討會之一
    22. 第二十期DPO沙龍紀實:《個人信息保護法(草案)》專題研討會之二

    個人數據與域外國家安全審查系列文章

    1. 個人數據與域外國家安全審查初探(一):美歐概覽
    2. 個人數據與域外國家安全審查初探(二):CFIUS實施條例詳解
    3. 個人數據與域外國家安全審查初探(三):從美國《確保ICT技術與服務供應鏈安全》   
    4. 個人數據與域外國家安全審查初探(四):從美國《2019年安全與可信通信網絡法案》看
    5. 個人數據與域外國家安全審查初探(五):禁止中國公司對StayNTouch的收購
    6. 個人數據與域外國家安全審查初探(六):《2019國家安全和個人數據保護法案》
    7. 個人數據與域外國家安全審查初探(七):美國眾議院荒唐的決議草案
    8. 個人數據與域外國家安全審查初探(八):《2020安全的5G和未來通信》法案
    9. 個人數據與域外國家安全審查初探(九):澳大利亞《協助和訪問法》
    10. 美國司法部狙擊中國內幕(Inside DOJ's nationwide effort to take on China)
    11. 美國司法部“中國計劃”的概況介紹
    12. 突發 | 特朗普簽署關于TIKTOK和WECHAT的行政令
    13. 理解特朗普禁令中的Transactions
    14. 白宮決策內幕 | TIKTOK的命運是由一場"擊倒、拖出"的橢圓形辦公室爭斗所形塑
    15. 《國際緊急經濟權力法》(IEEPA)的起源、演變和應用
    16. 個人數據與域外國家安全審查 | 美國安局對地理位置信息的建議(全文翻譯)
    17. 外媒編譯 | 詭秘的美國外國投資委員會如何成為貿易戰的有力武器?

    圍繞著TIKTOK和WECHAT的總統令,本公號發表了以下文章:

    1. 突發 | 特朗普簽署關于TIKTOK和WECHAT的行政令
    2. 理解特朗普禁令中的Transactions
    3. 白宮決策內幕 | TIKTOK的命運是由一場"擊倒、拖出"的橢圓形辦公室爭斗所形塑
    4. TikTok和甲骨文合作中的“可信技術提供商” | 微軟和德國電信合作的模式
    5. TikTok和甲骨文合作中的“可信技術提供商” | 蘋果和云上貴州合作模式
    6. 外媒編譯 | TikTok 零點時間:最后一刻的交易
    7. TikTok和甲骨文合作中的“可信技術提供商” | 來自EPIC的質疑和兩家公司的回復

    第29條工作組/EDPB關于GDPR的指導意見的翻譯:

    1. 第29條工作組《對第2016/679號條例(GDPR)下同意的解釋指南》中文翻譯(DPO沙龍出品)
    2. 第29條工作組“關于減輕對處理活動進行記錄義務的立場文件”(DPO沙龍出品)
    3. 第29條工作組《第2/2017號關于工作中數據處理的意見》(DPO沙龍出品)
    4. 第29條工作組《關于自動化個人決策目的和識別分析目的準則》(DPO沙龍出品)
    5. 第29條工作組《數據可攜權指南》全文翻譯(DPO沙龍出品)
    6. 第29條工作組關于GDPR《透明度準則的指引》全文翻譯(DPO沙龍出品)
    7. EDPB《關于GDPR適用地域范圍(第3條)的解釋指南》全文翻譯(DPO沙龍出品)
    8. EDPB“關于《臨床試驗條例》與GDPR間相互關系”意見的全文翻譯(DPO沙龍出品)
    9. EDPB《車聯網個人數據保護指南》全文翻譯(DPO社群出品)
    10. EDPB關于GDPR中合同必要性指引的中文翻譯(DPO沙龍出品)
    11. EDPB關于“疫情場景中使用位置數據和接觸追蹤工具”指南:全文翻譯(DPO沙龍出品)
    12. EDPB | 《對第2016/679號條例(GDPR)下同意的解釋指南v1》中文翻譯(DPO社群出品)
    13. 第29條工作組 | 《關于匿名化技術的意見》中文全文翻譯(DPO社群出品)
    14. 歐盟委員會關于GDPR實施兩周年評估報告中文翻譯(DPO社群出品)
    15. EDPB | 《GDPR下數據控制者及數據處理者概念的指南(07/2020)》全文翻譯
    16. EDPB | 《針對向社交媒體用戶定向服務的指南(第8/2020號)》全文翻譯
    17. 數據安全的法律要求 | DPB關于數據泄露通知示例的01/2021號指引

    關于美國出口管制制度,本公號發表過系列文章:

    1. 美國出口管制制度系列文章之一:對“外國生產的產品”的相關規則
    2. 美國出口管制制度系列文章之二:適用EAR的步驟
    3. 美國出口管制制度系列文章之三:蘇聯油氣管道的“華為”事件
    4. 美國出口管制制度 | 允許華為和美國公司共同制定5G標準
    5. 美國出口管制 | BIS發布針對“基礎性技術”出口管制的“擬議制定規則預先通知”
    6. 《華盛頓郵報》披露《美國對中國的戰略路徑》背后的決策博弈
    7. 美國出口管制 | ARM+美國公司收購=更強的出口管制?

    供應鏈安全文章:

    1. 供應鏈安全 | 白宮發布關于降低依賴外國對手的重要礦產的行政令
    2. 供應鏈安全 | 美國從科技供應鏈中剔除中國行動的內幕(外媒編譯)
    3. 供應鏈安全 | 英國政府推進《電信(安全)法案》以確保供應鏈安全

    數據跨境流動政策、法律、實踐的系列文章:

    1. 構建數據跨境流動安全評估框架:實現發展與安全的平衡
    2. 構建數據跨境流動安全評估框架:實現發展與安全的平衡(二)
    3. 構建數據跨境流動安全評估框架:實現發展與安全的平衡(三)
    4. 構建數據跨境流動安全評估框架:實現發展與安全的平衡(四)
    5. TPP對跨境金融數據“另眼相看”?
    6. 馬來西亞擬將我國認定為個人數據跨境流動“白名單”地區
    7. 美國ITIF關于數據跨境流動的研究報告簡介
    8. Chatham House舉辦Cyber 2017大會,關注中國數據跨境流動
    9. 俄羅斯個人信息保護機構對隱私政策和數據跨境流動的新舉措
    10. 看清APEC“跨境隱私保護規則”體系背后的政治和經濟
    11. 敬請關注“閉門會-數據跨境流通”
    12. “閉門會:數據跨境流動政策分析” 總結
    13. 歐盟個人數據跨境流動機制進展更新(截止201810)
    14. 俄羅斯數據本地化和跨境流動條款解析
    15. 亞洲十四個國家和地區數據跨境制度報告中譯本(DPO社群出品)
    16. 《個人信息和重要數據出境安全評估辦法》實現了安全與發展的平衡
    17. 數據出境安全評估:保護我國基礎性戰略資源的重要一環
    18. 個人信息和重要數據出境安全評估之“境內運營”
    19. 《數據出境安全評估:保護我國基礎性戰略資源的重要一環》英文版
    20. 個人信息和重要數據出境安全評估之“向境外提供”
    21. 數據出境安全評估基本框架的構建
    22. 銀行業金融數據出境的監管框架與脈絡(DPO社群成員觀點)
    23. 《網絡安全法》中數據出境安全評估真的那么“另類”嗎
    24. 解析《個人信息出境安全評估辦法(征求意見稿)》實體保護規則背后的主要思路
    25. 《個人信息出境安全評估辦法(征求意見稿)》解讀:從中外比較的角度
    26. 數據跨境流動 | 澳大利亞政府提出新的數據本地化要求
    27. 數據跨境流動 | 美歐“隱私盾協議”被判無效背后的邏輯
    28. 數據跨境流動 | 歐盟EDPB對歐盟隱私盾協議被判無效的相關問答(全文翻譯)
    29. “清潔網絡計劃”下的APEC跨境隱私保護(CBPR)體系
    30. 數據跨境流動 | 愛爾蘭DPA即將禁止FACEBOOK的數據跨境傳輸
    31. 數據跨境流動 | 最新判決將顯著影響英國與歐洲大陸之間的數據自由流動
    32. 數據跨境流動 | 愛爾蘭高等法院暫時允許Facebook繼續個人數據跨大西洋傳輸
    33. 數據跨境流動 | 中國公司基于SCCs開展數據跨境流動的基本策略
    34. 數據跨境流動 | 美國三位高官就Schrems II判決公開向歐盟喊話
    35. 數據跨境流動 | 歐盟EDPS官員敦促美國強化個人救濟以達到“實質等同”
    36. 數據跨境流動 | 美國政府白皮書正式回應歐盟Schrems II判決
    37. 數據跨境流動 | EDPB關于標準合同條款之外的“補充措施”的指南終于問世
    38. 數據跨境流動 | EDPB提出“評估目的國法律環境”的指南(全文翻譯)
    39. 數據跨境流動 | 微軟率先提出對歐盟數據的專屬“保護措施”
    40. 數據跨境流動 | 歐盟新版標準合同條款全文翻譯
    41. 數據跨境流動 | EDPB和EDPS通過了關于新的SCCs的聯合意見
    42. 數據跨境流動 | 東盟跨境數據流動示范合同條款(全文翻譯)
    43. 數據跨境流動 | 東盟數據管理框架(全文翻譯)
    44. 數據跨境流動 | 推進“一帶一路”數據跨境流動的中國方案(專論)
    45. 數據跨境流動 | 歐盟新版標準合同條款(最終版)全文翻譯
    46. 數據跨境流動 | 歐盟關于歐盟境內的控制者和處理者間標準合同條款(全文翻譯 )
    47. 數據跨境流動 | EDPB關于標準合同條款之外的“補充措施”指南2.0版(全文翻譯)
    48. 數據跨境流動 | 兩張圖解讀EDBP“數據跨境轉移補充措施的最終建議”
    49. 數據跨境流動 | 推進“一帶一路”數據跨境流動的中國方案(英文本)
    50. 數據出境安全保障的中國路徑

    傳染病疫情防控與個人信息保護系列文章

    1. 傳染病疫情防控與個人信息保護初探之一:個人信息的性質
    2. 傳染病疫情防控與個人信息保護初探之二:同意的例外
    3. 傳染病疫情防控與個人信息保護初探之三:數據技術的應用路徑
    4. 傳染病疫情防控與個人信息保護初探之四:接觸追蹤的數據共享安全規范
    5. 傳染病疫情防控與個人信息保護初探之五:電信數據的安全規范
    6. 傳染病疫情防控與個人信息保護初探之六:GDPR框架下的公共衛生數據共享
    7. 傳染病疫情防控與個人信息保護初探之七:美國公共衛生機構的數據調取權力
    8. 傳染病疫情防控與個人信息保護初探之完結篇:解讀中央網信辦通知
    9. 歐盟國家和英國的數據保護部門對疫情防控的官方意見匯總(DPO社群出品)
    10. 美國疫情防控中的關鍵基礎設施的識別和認定(DPO社群出品)
    11. 意大利數據保護機關就新冠疫情聯防聯控中個人信息問題的意見(DPO社群出品)
    12. 歐委會關于新冠疫情中利用移動數據和應用官方建議的全文翻譯(DPO沙龍出品) 
    13. 漫畫圖解蘋果和谷歌聯手開發的接觸追蹤應用的基本原理 
    14. 澳門關于疫情防控中進出場所人員個人資料保護的通告
    15. 疫情防控常態化中的接觸追蹤:中國方案
    16. 歐委會“支持抗擊新冠疫情的APP的數據保護指引”全文翻譯(DPO社群出品)
    17. 來自歐洲的接觸追蹤協議(ROBERT Protocol)的基本原理:漫畫圖解
    18. 英國信息專員對蘋果谷歌接觸追蹤項目的官方意見:全文翻譯(DPO社群出品)
    19. 三百名學者關于接觸追蹤APP的聯合聲明
    20. EDPB關于“疫情場景中使用位置數據和接觸追蹤工具”指南:全文翻譯(DPO沙龍出品)
    21. 新冠疫情防控常態化下的個人信息保護工作的思考和建議 
    22. 韓國利用ICT抗疫經驗總結:接觸追蹤部分(中文翻譯)
    23. 全文翻譯 | 歐盟新冠肺炎“接觸追蹤”APP 共同工具箱(DPO沙龍出品)
    24. EDPB | 關于在COVID-19疫情背景下為科研目的處理健康數據指南(全文翻譯)

    關于數據與競爭政策的翻譯和分析:

    1. "法國競爭管理局對蘋果iOS限制APP追蹤措施的初步決定"全文翻譯(上篇)
    2. "法國競爭管理局對蘋果iOS限制APP追蹤措施的初步決定"全文翻譯(下篇)
    3. 歐盟與谷歌在反壟斷方面的大事記(競爭法研究筆記一)
    4. Facebook時代的合并政策(競爭法研究筆記二)
    5. “在隱私辯論中關注競爭水平的維護”(競爭法研究筆記三)
    6. 歐盟委員會針對亞馬遜開展調查(競爭法研究筆記四)
    7. 德國聯邦反壟斷局對Facebook數據收集和融合行為提出嚴格限制(DPO沙龍出品)
    8. 德國聯邦反壟斷局審查Facebook數據收集融合行為的背景情況(DPO沙龍出品)
    9. 案件摘要:德國反壟斷監管機構對Facebook數據收集融合行為裁決
    10. 日本擬效仿德國:對IT巨頭非法收集個人信息適用“反壟斷法”

    健康醫療大數據系列文章:

    1. 健康醫療大數據系列文章之一:英國健康醫療大數據平臺care.data之殤
    2. 健康醫療大數據系列文章之二:安全是健康醫療大數據應用的核心基礎
    3. 健康醫療大數據系列文章之三:棘手的健康醫療大數據共享、開放、利用
    4. 英美健康醫療大數據安全現狀和合規研究
    5. 健康醫療數據 | NHS計劃與第三方共享病人記錄
    6. 健康醫療數據 | NHS數據共享計劃的“隱私政策”
    7. 健康醫療數據 | NHS數據共享計劃所引發的公眾擔憂

    網聯汽車數據和自動駕駛的系列文章:

    1. 自動駕駛數據共享:效用與障礙
    2. 自動駕駛數據共享:效用與障礙(附文字實錄)
    3. 北京市關于自動駕駛車輛道路測試的立法綜述及動態(DPO社群成員觀點)
    4. 自動駕駛的基建工程 — 高精地圖產業促進與國家管控的平衡(DPO社群成員觀點)
    5. 《汽車數據安全管理若干規定(征求意見稿)》 | 規范對象和基本原則
    6. 《汽車數據安全管理若干規定(征求意見稿)》 | 個人信息和重要數據的細化規范
    7. 《汽車數據安全管理若干規定(征求意見稿)》 | 數據出境和監管手段
    8. 《汽車數據安全管理若干規定(征求意見稿)》 | 配套制度
    9. 《汽車數據安全管理若干規定(征求意見稿)》 | “汽車數據”與EDPB指南中的聯網車輛
    10. 《汽車數據安全管理若干規定(征求意見稿)》 | “車內處理”與EDPB指南中“終端設備”
    11. 《汽車數據安全管理若干規定(征求意見稿)》 | 個人信息的分類分級規則
    12. 《汽車數據安全管理若干規定(征求意見稿)》 | 向車外提供數據的規則
    13. EDPB《車聯網個人數據保護指南》全文翻譯(DPO社群出品)
    14. EDPB《車聯網個人數據保護指南2.0》比較翻譯(DPO社群出品)
    15. 網聯車輛 | 網聯車輛采集和產生的數據類型概覽
    16. 網聯車輛 | 美國聯邦貿易委員會(FTC)對數據隱私的原則性觀點
    17. 網聯車輛 | 德國官方和行業協會在數據保護方面的聯合聲明
    18. 網聯車輛 | 英國信息專員辦公室(ICO)就個人數據保護的立場和意見
    19. 網聯車輛 | 法國數據保護局(CNIL)的一攬子合規方案
    20. 網聯車輛 | 電信領域國際數據保護工作組的工作文件(全文翻譯)
    21. 《汽車數據安全管理若干規定(征求意見稿)》 | 運營者概念

    關于中美與國家安全相關的審查機制的系列文章:

    美國電信行業涉及外國參與的安全審查(一):基本制度介紹

    美國電信行業涉及外國參與的安全審查(二):國際性的第214節授權

    美國電信行業涉及外國參與的安全審查(三):建立外國參與安全審查的行政令

    美國電信行業涉及外國參與的安全審查(四):FCC對中國企業的陳述理由令

    1. 網絡安全審查制度利刃出鞘
    2. 對《網絡安全審查辦法(征求意見稿)》的幾點觀察
    3. 網絡安全審查制度吹響了向網絡安全強國邁進的號角
    4. 我國網絡安全審查制度走向前臺
    5. 網絡安全審查的中歐比較:以5G為例
    6. 網絡安全審查 | 中國《網絡安全審查辦法》的邏輯和要旨:以5G安全為例
    7. ICTS安全審查 | 美國針對“信息和通信技術及服務”和“聯網應用”安全審查的兩個行政令
    8. ICTS安全審查 | 美國智庫學者的分析和呼吁
    9. ICTS安全審查 | 美國商務部確保ICTS供應鏈安全實施規則(全文翻譯)

    網絡空間的國際法適用問題系列文章:

    1. 塔林手冊2.0是如何看待數據的?
    2. 國際法適用網絡空間 | 德國立場文件如何看待具有國家背景的網絡攻擊

    赴美上市網絡、數據安全風險系列文章如下:

    1. 赴美上市與網絡、數據安全 | 美國SEC對赴美上市公司披露義務的指導意見
    2. 赴美上市與網絡、數據安全 | 時任美國SEC的領導層對上市公司網絡安全披露的觀點
    3. 赴美上市與網絡、數據安全 | 美國SEC強制或自愿性要求信息提供的權力
    4. 赴美上市與網絡、數據安全 | 美國SEC針對會計師事務所從域外調取信息的權力和實踐
    5. 赴美上市與網絡、數據安全 | 美國SEC關于網絡安全事項披露的2018指南(全文翻譯)
    6. 赴美上市與網絡、數據安全 | 美國《外國公司問責法案》(全文翻譯)
    7. 赴美上市與網絡、數據安全 | 美國SEC關于非財務報告要求的概覽
    8. 赴美上市與網絡、數據安全 | 美國SEC關于“重大合同”的披露要求
    9. 赴美上市與網絡、數據安全 | PCAOB落實《外國公司問責法案》的規則草案
    10. 赴美上市與網絡、數據安全 | 美國政客推動加速《外國公司問責法案》的執行
    11. 赴美上市與網絡、數據安全 | 美國法下獲取我國赴美上市企業數據的可能性(上)
    12. 赴美上市與網絡、數據安全 | SEC主席對中國監管措施的最新表態

    人臉識別系列文章:

    1. 歐盟基本權利局“人臉識別技術”報告中文翻譯(DPO社群出品)
    2. 法國數據保護局(CNIL)關于人臉識別報告的中譯文(DPO社群出品)
    3. 零售門店使用人臉識別技術的主要法律問題(DPO社群成員觀點)
    4. 人臉識別技術的規制框架(PPT+講稿)
    5. 人臉識別技術運用的六大場景及法律規制框架的適配(DPO社群成員觀點)
    6. 人臉識別技術的法律規制研究初探(DPO社群成員觀點)
    7. 美國聯邦隱私保護立法草案研究(四):“生物識別信息”
    8. 美國華盛頓州人臉識別服務法案中文翻譯(DPO社群出品)
    9. PAI | 《理解人臉識別系統》全文翻譯(DPO社群出品)
    10. 解讀世界首例警方使用人臉識別技術合法性判決二審判決(DPO社群成員觀點)
    11. 人臉識別技術研究綜述(一):應用場景
    12. 人臉識別技術研究綜述(二):技術缺陷和潛在的偏見
    13. 美國人臉識別技術的法律規范研究綜述 | 拼湊式(Patchwork)的范式
    14. 美國《2020年國家生物識別信息隱私法案》中譯文
    15. 人臉識別技術是潘多拉盒子還是阿拉丁神燈?
    16. 人臉識別 | “第108號公約+”咨詢委員會發布《關于人臉識別的指南》(全文翻譯)
    17. 人臉識別 | EDPB“關于通過視頻設備處理個人數據的指南”(全文翻譯)
    18. 人臉識別 | EDPS關于面部情緒識別的觀點
    19. 人臉識別 | 保護人臉信息 規范行業健康發展的有效司法路徑
    20. 人臉識別 | 對我國“人臉識別技術民事案件司法解釋”中“單獨同意”的理解

    關于歐盟技術主權相關舉措的翻譯和分析:

    1. 技術主權視野下的歐盟數字化轉型戰略探析(DPO社群出品)
    2. 歐盟委員會主席首提“技術主權”概念
    3. 推進歐洲可持續和數字化轉型:《歐洲新工業戰略》解讀(DPO社群成員觀點)
    4. 歐盟“技術主權”進展 | 德國和法國推出歐盟自主可控的Gaia-X云平臺計劃
    5. 歐盟“技術主權”進展 | 歐盟如何在科技領域能主導下一個十年
    6. 歐盟“技術主權”進展 | 關于數字平臺監管的建議
    7. 歐盟“技術主權”進展 | 歐洲共同數據空間治理立法框架
    8. 歐盟《數字市場法》選譯之一:解釋性備忘錄
    9. 歐盟《數字市場法》選譯之二:序言和條文
    10. 歐盟《數字服務法》選譯之一:解釋性備忘錄
    11. 歐盟《數字服務法》選譯之二:序言
    12. 歐盟《數字服務法》選譯之三:(實體規則方面的)條文
    13. 歐盟《數字服務法》《數字市場法》簡評
    14. 歐洲法院:歐盟成員國的數據保護機構都可對Facebook提出隱私方面的訴訟
    15. 歐盟技術主權 | 《電子隱私條例》(e-Privacy Regulation)全文翻譯
    16. 歐盟技術主權 | “歐盟在全球數據爭奪戰中的位置”:歐盟副主席采訪實錄
    17. 歐盟技術主權 | “技術的地緣政治”:歐盟內部市場委員的演講

    數據要素治理的相關文章包括:

    1. 《非個人數據在歐盟境內自由流動框架條例》全文中文翻譯(DPO沙龍出品)
    2. 簡析歐盟《數字市場法》關于數據方面的規定
    3. 數據流通障礙初探——以四個場景為例
    4. 對“數據共享合法化”的分析與思考系列之一:以《關于歐洲企業間數據共享的研究》為起點
    5. 對“數據共享合法化”的分析與思考 系列之二 ——歐盟B2B數據共享的案例研究
    6. 對“數據共享合法化”的分析與思考 系列之三 ——更好的保護才能更好的共享
    7. 用戶授權第三方獲取自己在平臺的數據,可以嗎?不可以嗎?(DPO沙龍線上討論第三期)
    8. 數據爬取的法律風險綜述(DPO社群成員觀點)
    9. 第29條工作組《數據可攜權指南》全文翻譯(DPO沙龍出品)
    10. 澳《消費者數據權利法案》對數據共享與數據可攜權的探索(DPO社群成員觀點)
    11. 歐盟“技術主權”進展 | 歐洲共同數據空間治理立法框架
    12. 數據要素治理 | 歐盟《數據法》初始影響評估(全文翻譯)

    關于保護網絡和信息系統安全的相關文章包括:

    1. 以風險治理的思想統籌設計關鍵信息基礎設施保護工作
    2. 中德兩國在識別關鍵信息基礎設施方面的一點比較
    3. 美國疫情防控中的關鍵基礎設施的識別和認定(DPO社群出品)
    4. 美國《關于改善國家網絡安全的行政命令》分析之一
    5. 美國《關于改善國家網絡安全的行政命令》之五大“看點”
    6. 網絡和信息系統安全 | 網絡安全信息共享:為什么和怎么做
    7. 網絡和信息系統安全 | 主體責任與綜合共治 關鍵信息基礎設施保護的新格局

    數據執法跨境調取的相關文章:

    1. 微軟起訴美國司法部:封口令違法!
    2. 網絡主權的勝利?再評微軟與FBI關于域外數據索取的爭議
    3. 微軟與FBI關于域外數據索取的爭議暫告一段落
    4. 美國Cloud Act法案到底說了什么
    5. Cloud Act可能本周就得以通過!
    6. 修改版的Cloud Act終成為法律
    7. 歐盟推出自己的“Cloud Act”
    8. 美國快速通過Cloud法案 清晰明確數據主權戰略
    9. 德國最高數據保護官員就美國“云法案”提出警告
    10. 美國司法部“云法案”白皮書全文翻譯(DPO社群出品)
    11. TikTok和甲骨文合作中的“可信技術提供商” | 微軟和德國電信合作的模式
    12. TikTok和甲骨文合作中的“可信技術提供商” | 蘋果和云上貴州合作模式
    13. 歐洲將立法允許執法跨境直接調取數據
    14. 數據跨境流動 | “法律戰”漩渦中的執法跨境調取數據:以美歐中為例
    15. 赴美上市與網絡、數據安全 | 美國SEC針對會計師事務所從域外調取信息的權力和實踐
    16. 跨境數據調取 | 針對中資銀行的數據調取行為概覽
    17. 跨境數據調取 | 中美歐的模式沖突(耶魯大學翻譯版)

    關于人工智能安全和監管,本公號發布過以下文章:

    1. 《英國ICO人工智能與數據保護指引》選譯 | 如何評估AI的安全性和數據最小化?
    2. 英國ICO人工智能指導 | 數據分析工具包(全文翻譯)
    3. 《英國ICO人工智能與數據保護指引》選譯 | 如何保護人工智能系統中的個人權利?
    4. 人工智能 vs. 個人信息保護之“個人同意”
    5. 《以倫理為基礎的設計:人工智能及自主系統以人類福祉為先的愿景(第一版)》
    6. AI監管 | EDPB和EDPS對歐盟AI條例的聯合意見書(全文翻譯)
    7. AI監管 | 對歐盟AI統一規則條例的詳細分析
    8. AI監管 | 歐盟《AI統一規則條例(提案)》(全文翻譯)
    9. AI監管 | 意大利因騎手算法歧視問題對兩個食物配送公司處于高額罰款
    10. AI監管 | 用戶數據用于AI模型訓練場景的合規要點初探
    11. 我國信息服務算法推薦管理 | 與個人信息保護的耦合和差異
    12. 我國信息服務算法推薦管理 | 條文背后的技術邏輯“想象”
    13. 我國信息服務算法推薦管理 | 分類分級管理
    14. 我國信息服務算法推薦管理 | 合規的基礎性工作:技術說明

    數據的安全、個人信息保護、不正當競爭等方面的重大案例:

    1. 因隱私政策不合規,西班牙對Facebook開出巨額罰單
    2. 英法兩國對 AdTech和廣告類SDK的監管案例分析
    3. Facebook事件多層次影響 及中美歐三地監管展望
    4. FTC vs Facebook:50億美元和解令的來龍去脈
    5. FTC與Facebook“2019和解令”全文翻譯
    6. 案件摘要:德國反壟斷監管機構對Facebook數據收集融合行為裁決
    7. 德國聯邦反壟斷局審查Facebook數據收集融合行為的背景情況
    8. 德國聯邦反壟斷局對Facebook數據收集和融合行為提出嚴格限制
    9. GDPR與相關數據保護法律處罰案例調研
    10. 他山之石:美國20年間33個兒童信息保護違法案例分析
    11. 重大案件 | 分析WhatsApp的2.25億歐元罰款決定:合法利益事項
    12. “臉書文件” | 爆料人的美國會聽證會開場白、歐盟“數字服務法”推動人的表態

    數字貿易協定的相關文章有:

    1. TPP對跨境金融數據“另眼相看”?
    2. 數字貿易協定 | 歐盟GDPR與WTO的必要性測試
    3. 數字貿易協定 | GATS/GATT中“一般性例外條款”的援引實踐
    4. 數字貿易協定 | 貿易談判中的中美歐數據跨境流動博弈概覽
    5. 數字貿易協定 | DEPA和CPTPP給國內數據本地化和跨境流動管控預留的“自由度”

    中國個人信息保護立法的相關文章包括:

    1. 中國個人信息保護立法 | 《個人信息保護法(草案)》與GDPR的比較
    2. 中國個人信息保護立法 | 合同所必需:魔鬼在細節之中
    3. 對《常見類型移動互聯網應用程序必要個人信息范圍規定》的兩點理解
    4. 對《常見類型移動互聯網應用程序必要個人信息范圍規定》的再理解
    5. 理解《數據安全法》《個人信息保護法》二審稿的實質性修改內容(一)
    6. 個保法解讀之數據可攜帶權(DPO社群成員觀點)
    7. 《個人信息保護法》與《個人信息安全規范》對照比較表
    8. 過度收集個人信息如何破解
    9. 中國個人信息保護立法 | 解析GDPR中的風險路徑
    10. 中國個人信息保護立法 | 善用個人信息保護影響評估 靈活實現創新和個人保護的平衡
    11. 中國個人信息保護立法 | 《個人信息保護法》與GDPR 條文對比
    12. 中國個人信息保護立法 | 合規審計:英國ICO的指南(全文翻譯)
    13. 個人信息保護 | 歐盟第29條工作組《關于網絡行為廣告的2/2010號意見》(全文翻譯)
    14. 關于個人信息處理者用戶規模的量級
    信息安全個人管理
    本作品采用《CC 協議》,轉載必須注明作者和本文鏈接
    從近期國際動態來看,歐盟持續強化數據治理領域的規則引領。一方面,歐洲議會通過《數據治理法案》,落實《歐盟數據戰略》,打造單一數據市場;另一方面,歐盟持續推進個人隱私嚴格保護,通過了一項關于宣布新的跨大西洋數據隱私框架的聲明。同時,為持續強化監管,歐盟擬向大型在線平臺收取年收入0.1%合規監管費。
    近日,國家郵政局、公安部、國家網信辦三部門聯合開展郵政快遞領域個人信息安全治理專項行動。在各部門和郵政快遞業的共同努力下,專項行動成效顯著。
    全國首例未成年人網絡保護民事公益訴訟案辦結
    2月6日,國家郵政局召開局長辦公會,審議并原則通過國家郵政局2023年重點工作和2023年郵政快遞業更貼近民生七件實事(送審稿)、《寄遞服務用戶個人信息安全管理規定(送審稿)》等。
    保護寄遞用戶個人信息,不能流于形式,需要各個環節同步用力。要下力氣找準病根、對癥下藥,在寄遞服務的全鏈條、各環節嚴防死守,真正將保護個人信息落在實處。
    《個人信息保護法》將于2021年11月1日施行,作為個人信息保護領域的基本法,其全面規定了企業等個人信息處理者的義務及責任,并在三處明確提出合規要求。隨著《個人信息保護法》的出臺與實施,其與《數據安全法》《網絡安全法》《刑法》中相關條款共同形成公法視角下的個人信息保護法律體系。一方面,面對強制合規義務及責任,企業應當建立合規管理體系,以踐行處理個人信息的法定義務,避免因違法處理個人信息而受到處罰。
    企業違法處理個人信息拒不改正的,由履行個人信息保護職責的部門對企業及責任人員處以罰款,并沒收企業違法所得。違法處理個人信息情節嚴重的,吊銷相關業務許可或者吊銷營業執照。《刑法》第二百五十三條之一為“侵犯公民個人信息罪”,根據此條規定,違反國家有關規定,向他人出售或者提供公民個人信息情節嚴重的,竊取或者以其他方法非法獲取公民個人信息的,處有期徒刑或者拘役,并處或者單處罰金。
    有消息稱,2月12日晚間,Telegram某機器人泄露國內45億條快遞信息,數據包大小達435GB!
    VSole
    網絡安全專家
      亚洲 欧美 自拍 唯美 另类