关键技术和敏感个人数据被纳入欧美外资审查范围

10月15日，由全国信息安全标准化技术委员会秘书处主办,中国电子技术标准化研究院承办的“新基建数据安全与个人信息保护论坛”在北京举行。

北京理工大学法学院教授洪延青在论坛上表示，个人信息保护和国家安全本应该是两件事，因为个人信息保护主要是关涉个人的合法权益，国家安全是整个社会集体的利益。“但近几年的一些（事件）发展，让我觉得（这么）区分不那么准确。”他强调，越来越多的国家和地区将个人信息保护纳入国家安全范畴。

今年2月，美国财政部正式发布并实施《外国投资风险审查现代化法案》（Foreign Investment Risk Review Modernization Act，FIRRMA），扩大了美国外国投资委员会(Committee on Foreign Investment in the United States, CFIUS)的审查范围，将外国对涉及关键基础设施、关键技术和敏感个人数据的美国企业的投资纳入其中。

在FIRRMA中，敏感个人数据定义为可用于分析或确定个人财务压力或困境的数据，消费者信用报告数据，申请保险时填写的信息，与个人身体、心理或者心理健康状况有关的数据，非公开的电子通讯数据、地理位置数据，包括从手机信号塔、WIFI接入点和可穿戴电子设备获得的地理位置数据，生物识别信息如指纹、面部扫描等。

多个案例表明，美国将个人信息保护提升到国家安全的高度。

3月，美国白宫网站发布一项行政命令称，因可能威胁国家安全，要求北京中长石基信息技术股份有限公司（简称石基信息）出售美国公司StayNTouch的所有权益。

据了解，StayNTouch公司是一家提供基于云的酒店管理解决方案的移动应用服务商，在为酒店提供技术服务时，可接触宾客的姓名、联系方式、信用卡号、位置等信息。

石基信息从2016年开始投资StayNTouch。历时三年，在2018年9月，石基信息完成对StayNTouch的收购。收购完成后引发美国对国家安全的担忧，包括担心宾客信息被中方公司获取。此外，CFIUS对该投资展开例行检查。

最终，美国发布的行政命令认为，石基信息可能通过StayNTouch实施威胁美国国家安全的行动，要求它放弃StayNTouch的资产、知识产权、技术、数据（包括由 StayNTouch 管理和存储的客户数据）、人员和客户合同，以及StayNTouch 在收购时或收购后直接或间接开发、持有或控制的任何业务等。

不止美国，欧盟也是如此。

洪延青介绍，于10月11日正式实施的欧盟《关于建立欧盟外国直接投资审查框架的条例》规定，在确定某项外国投资是否可能影响安全或公共秩序时，成员国和欧盟委员会可重点考虑投资对以下五方面的潜在影响，包括关键信息基础设施，如能源、交通、水、卫生、通讯、媒体、国防等，关键技术及军民两用物品，如人工智能、机器人、半导体、网络安全等，关键输入品的供应，如能源、原材料和食品，获取或控制包括个人数据在内的敏感信息的能力以及媒体的自由和多元。

文|尤一炜 孙朝
编辑|石莹