华商动态 ▎华商律师意见建议获《深圳经济特区数据条例》吸收采纳

7月6日，《深圳经济特区数据条例》（以下简称“《条例》”）在深圳市人大常委会网站公布，并将于2022年1月1日起正式实施，这是国内数据领域首部基础性、综合性立法。在《条例》的征求意见及反复修订过程中，华商区块链法律研究院、华商数字经济法律研究院深度进行研讨，并提出立法意见建议。最终，华商律师提出的多条建设性意见建议被《条例》吸收和采纳。本事项以华商高级合伙人律师文婷、华商合伙人律师蒋文文为主负责具体经办。

2020年8月，华商区块链法律研究院在组织相关专家深入研讨《条例》征求意见稿的基础上，联合相关专业机构形成了共计21页的《立法征求意见之建议书》，提出了14项意见及多项完善建议。具体见如下目录：

2020年3月，文婷律师、蒋文文律师针对条例草案修改一稿再次提出16项意见建议。

本次《条例》对华商文婷律师、蒋文文律师为主的团队提出的意见建议内容进行多处采纳吸收，系华商区块链法律研究院、华商数字经济法律研究院积极发挥律所专业优势力量，参与行业立法与监管、致力于数字经济领域合规建设，为行业良性发展提供强有力支撑的具体举措及表现。

附：部分被吸收采纳的意见建议

对条例草案稿/草案修改一稿提出的意见及建议	《深圳经济特区数据条例》采纳吸收情况
1	对条例草案稿的修改意见： 数据的定义可能与即将出台的上位法冲突，且数据定义有待进一步完善：该条对数据的定义可能与上位法冲突，《中华人民共和国数据安全法(草案)》将数据定义为“是指任何以电子或者非电子形式对信息的记录。”，依据本条例征求意见稿的说明，“该定义对数据的表现形式进行描述，从中可体现出数据与信息的差异，即数据是一种数字化记录，其所承载的内容除信息外，还包括非信息。”，但《中华人民共和国数据安全法(草案)》仅将数据承载的内容定义为信息，但本条例征求意见稿将数据承载的内容定义不仅包含信息，还包括非信息，  二者存在冲突。	被采纳，《条例》第二条将数据定义为“数据，是指任何以电子或者其他方式对信息的记录。”
2	对条例草案修改一稿的修订意见： 默示同意应当为例外情形，明示同意应为常规要求。但本条款后文列举了必须明示同意的情形，容易使人推定默示同意为常规，明示同意为例外。此外，达到什么样的标准可以认定为“默示同意”需要明确，否则是否已默示同意无法认定。建议对可以默示同意的情形进行列举；建议对“默示同意”设定认定标准或参数。	吸收采纳，《条例》第十六条相比草案修改一稿，删除了必须明示同意的情形。
3	对条例草稿稿的修改意见： 收集、处理年满14周岁未成年人的个人数据之保护机制设置不完善：1、条例征求意见稿第十三条第二款“收集、处理年满14周岁未成年人的个人数据应征得未成年人或其监护人的明示同意；不满14周岁的应征得其监护人的明示同意。”第十六条第一款“除法律另有规定外，收集、处理隐私数据应征得自然人的明示同意。”2、在前述规定下，若收集年满14周岁未成年人的隐私数据（指与自然人私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息密切相关的数据及其衍生数据），仅获得了该未成年人本人的明示同意亦是符合规定的。这就为一些诸如色情网站、恋童癖患者诱导未成年人拍摄、上传裸照、私密部位照片等隐私数据并收集、处理的行为提供了可为的空间。年满14周岁的未成年人对行为的认知能力并不成熟，容易受诱导诓骗，收集、处理其“隐私数据”仅经过其本人明示同意，实不足以保护年满14周岁的未成年人的人身权益。 对条例草案修改一稿的修订意见： 【原文】第十八条【收集、处理个人数据同意规则】 收集、处理未满14周岁未成年人、不能辨认自己行为的成年人的个人数据的，应当在收集、处理前征得其监护人的明示同意。 【修订意见及建议】什么样的标准可以认定为“不能辨认自己行为的成年人”？建议对此进行情形列举。否则，无法认定“不能辨认自己行为的成年人”。《民法典》中“不能辨认自己行为的成年人”是为无民事行为能力人，“不能完全辨认自己行为的成年人”为限制民事行为能力人。	完全采纳。见条例第二十条  处理未满十四周岁的未成年人个人数据的，按照处理敏感个人数据的有关规定执行，并应当在处理前征得其监护人的明示同意。 处理无民事行为能力或者限制民事行为能力的成年人个人数据的，应当在处理前征得其监护人的明示同意。
4	对条例草稿稿的修改意见建议： 【意见】“撤回同意规则”未区分撤回同意的内容及范围：1、条例征求意见稿第十四条第三款“自然人撤回同意后，数据收集、处理者应当对存储的数据及时有效删除，法律、法规另有规定的除外。”2、自然人撤回同意的内容不一定是撤回同意收集其个人数据，有可能是同意收集其个人数据，但不同意对个人数据进行某项使用或某项处理，在此种情况下，一概要求数据收集、处理者删除存储的数据可能与撤回同意的内容及意思表示不符。 【建议】建议第二款调整为“数据收集、处理者应设置撤回或者部分撤回同意的功能，且不得利用服务协议以及技术等手段，对自然人撤回同意进行不合理限制或者附加不合理条件，不得向该自然人收取费用。” 第三款建议调整为“自然人撤回同意后，数据收集、处理者应当根据撤回同意的内容及范围，停止相应的收集或处理行为，自然人撤回同意收集其个人数据的，数据收集、处理者应当对存储的数据及时有效删除，法律、法规另有规定的除外。”	采纳。见《条例》第二十二条  自然人有权撤回部分或者全部其处理个人数据的同意。自然人撤回同意的，数据处理者不得继续处理该自然人撤回同意范围内的个人数据。但是，不影响数据处理者在自然人撤回同意前基于同意进行的合法数据处理。法律、法规另有规定的，从其规定。第二十三条  处理个人数据应当采用易获取的方式提供自然人撤回其同意的途径，不得利用服务协议或者技术等手段对自然人撤回同意进行不合理限制或者附加不合理条件。
5	对条例草案修改一稿的修订意见： 【建议】增加删除权的适用情形： 自然人因重大误解、操作失误同意他人收集、处理其数据信息。 自然人撤回收集、处理其个人数据的同意，但数据收集、处理者并未及时有效的删除其个人数据的。	采纳，在《条例》第二十五条，将“自然人撤回同意且要求删除个人数据”增加为删除个人数据的情形。
6	对条例草案修改一稿的修订意见： 【原文】第七十一条【可交易的数据】依法获取的各类数据经处理无法识别特定数据主体且不能复原的，可以交易。 【建议】非匿名的数据交易是存在客观需求的，建议增加非匿名数据交易的情形（如交易方需向数据主体明确数据交易的目的、方式、范围、风险、影响等；数据主体明示同意等）。	采纳吸收，《条例》删除了草案修改一稿第七十一条的内容，修订为第六十七条， 市场主体合法处理数据形成的数据产品和服务，可以依法交易。但是，有下列情形之一的除外： （一）交易的数据产品和服务包含个人数据未依法获得授权的； （二）交易的数据产品和服务包含未经依法开放的公共数据的； （三）法律、法规规定禁止交易的其他情形。
7	对条例草案修改一稿的修订意见： 【原文】第七十九条【继受数据收集、处理者的数据安全责任】数据收集、处理者因合并、收购等方式变更的，由新的数据收集、处理者继续承担数据安全保护责任。 【建议】增加“分立”的方式变更，修订为“数据收集、处理者因合并、分立、收购等方式变更的，由新的数据收集、处理者继续承担数据安全保护责任。”	采纳，见条例第第七十二条第二款，数据处理者因合并、分立、收购等变更的，由变更后的数据处理者继续落实数据安全管理责任。
8	对条例草案修改一稿的修订意见： 【原文】第八十九条【数据存储安全】数据收集、处理者应当对数据存储进行分域分级管理，选择安全性能、防护级别与其安全等级相匹配的存储载体，对重要数据进行加密存储或者采取其他安全保护措。 【修改意见建议】建议修订为对“对重要数据与敏感个人数据进行加密存储或者采取其他安全保护措。” 【修改依据】1、《信息安全技术 个人信息安全规范》规定“传输和存储个人敏感信息时，应采用加密等安全措施”2、《移动金融客户端应用软件安全管理规范 》规定“客户端应用软件应在数据输入、使用、传输以及存储过程中，采用加密、完整性校验、屏蔽掩盖等技术措施，对敏感数据进行安全防护，保护其机密性、完整性及可用性。”	吸收采纳，见《条例》第七十七条  数据处理者应当对数据存储进行分域分级管理，选择安全性能、防护级别与安全等级相匹配的存储载体；对敏感个人数据和国家规定的重要数据还应当采取加密存储、授权访问或者其他更加严格的安全保护措施。
9	对条例草案修改一稿的修订意见： 【原文】第九十三条【数据跨境安全】 关键信息基础设施运营者和处理个人数据达到国家网信部门规定数量的数据处理者，因业务需要，向境外提供重要数据或者个人数据的，应当按照本条例规定申请数据出境安全评估，并经国家安全部门备案审查。法律、行政法规另有规定的从其规定。 【建议】建议删除“因业务需要”的限定。	采纳，见第八十二条  数据处理者向境外提供个人数据或者国家规定的重要数据，应当按照有关规定申请数据出境安全评估，进行国家安全审查。

文婷

华商律师事务所

高级合伙人

主要执业领域为金融监管与合规、金融科技（区块链、大数据等科技赋能金融业务）、投融资并购业务等

蒋文文

华商律师事务所

合伙人

主要执业领域为公司上市、投融资、兼并收购、区块链、数据合规等

华商往期精彩推荐