学术 | 解读滴滴被安全审查及相关启示

引　言

6月30日，滴滴出行低调赴美上市；7月2日，国家网络安全审查办公室宣布对滴滴出行启动网络安全审查；7月4日，国家网信办发出公告通知应用商店下架滴滴出行app。本文根据该时间线和法律规定，结合滴滴业务模式以及公开渠道检索的资料基础上分析可能的原因及相关启示。

一、已有猜测及分析

滴滴被启动网络安全审查后便有很多猜测流传，概括起来以下几种：

1.将数据打包给美国？这一点滴滴副总裁李敏早前就进行了回应，滴滴也转发过，随后已删除。

这一点几乎无可能。滴滴属于我国《网络安全法》第31条的关键信息基础设施运营者范畴，其合规制度的建构和落实应该符合《网络安全法》的各项规定，否则，也很难到如此规模。按照《网络安全法》规定，关键信息基础设施运营者在境内收集的个人信息和重要数据应该在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。因此，数据应存储在境内，目前来看也应无业务需要向境外提供的情况。

2.因采购网络产品和服务触发？很多人之所以认为这个猜测属实的可能性较大，第一个依据是国家安全审查办公室公告中提到“为防范国家数据安全风险，维护国家安全，保障公共利益”，根据《国家安全法》和《网络安全法》，以《网络安全审查办法》程序对滴滴实施安全审查，作出“防范风险扩大”“停止新用户注册”决定。

第二个依据是《网络安全审查办法》规定恰好能相互印证。该办法第1条明确立法目的就是为了确保关键信息基础设施供应链安全，维护国家安全，结合第2条规定关键信息基础设施运营者采购网络产品和服务，影响或可能影响国家安全的，应当按照办法进行网络安全审查。如此看来好像能够对应上，如果仅是因为滴滴对外采购网络产品和服务影响国家安全的，根据《网络安全法》36条规定严格与提供者签订安全保密协议，明确安全和保密义务与责任即可解决。但从后面下架如此严重的行政处罚来看，这个可能即便存在，应该也并非根本原因。

3.国家反制裁手段？今年6月10日全国人大通过《反外国制裁法》，加上此前美国对华为和中兴制裁事件，以及美国前总统特朗普签署行政令禁止任何美国个人或实体与抖音海外版(TikTok)、微信（WeChat）及其中国母公司进行任何交易，虽然此禁令没有得以实施，但确实为我国相关公司的经营带来了不利影响。很多人认为政府这次因滴滴赴美上市而采取变相反制裁措施，这种猜测只是目前国际竞争与冲突视角下的一种解读。若要采取反制裁措施，公告中应该会明确依据是反制裁，如此才更具有针对性和信服力，采取这种迂回且影响本国企业经营的措施的可能性很小。

二、数据跨境与国家安全

笔者认为目前最可能的原因是数据跨境与国家安全。从公告看，网络安全审查办公室关注的重点是国家安全，而运营至今滴滴出行已经不仅是一个网约车平台，这么多年发展成一个综合性服务公司，旗下业务涵盖出租车、专车、滴滴快车、顺风车、代驾等多项出行业务，还涉及电商、金融、骑行等领域，不仅获取大量普通用户实名、银行卡、行车、录音等敏感数据，运营过程中还掌握了大量用户之外的敏感数据，如党政军部门的具体地址方位等地图地理数据、国家重要国防如能源、通讯、交通、物资储存以及各类身份的人群出行、行车录音数据等。

这些数据体量太大，且大都属于敏感数据，处理这些数据极有可能关系到国家安全。那滴滴究竟是哪方面影响到国家安全？笔者认为可能主要有两个方面：

1. 赴美上市信息披露与美国“长臂管辖”。滴滴上市是采取协议控制（VIE架构），即外国投资者通过一系列协议安排控制境内运营实体，取得境内运营实体经济利益，但无须收购境内运营实体股权的一种投资结构。但根据美国相关法律，滴滴在境内运营情况涉及美国投资者利益，美国法律对此享有管辖权链接点，依据美国公开发行证券机制，滴滴需要进行持续性的信息披露，意味着滴滴需要将公司的经营数据和资料进行提交和披露，这无疑需要滴滴持续数据跨境传输才能支撑信息披露。

2.严重违法收集个人信息引发泄露风险。从下架滴滴出行APP的通报来看，根据检测认定“滴滴出行存在严重违法违规收集使用个人信息问题”。

行政部门作出决定下架APP是严厉的行政处罚，滴滴存在严重违法违规收集使用个人信息必然有相应证据证实，而这些违法违规收集的个人信息亦属于可能影响国家安全的数据范畴，同时也意味着这些数据不在合规处理范围内，那这些数据缺乏安全保障措施，因滴滴赴美上市可能存在潜在数据跨境或者较大泄露的风险。结合以上分析，我们不妨从事实角度来大胆假设，滴滴被审查乃至下架的这一严重后果的根本原因是潜在数据跨境和国家安全，而这点滴滴并未在上市前向有关部门报告。综上所述，滴滴6月30日低调赴美上市触发了国家安全审查办公室急忙依职权启动网络安全审查机制。

三、对核心数据实施国家安全审查

前述滴滴因涉及数据跨境触发审查，很多人可能会反驳说滴滴从合规上没有问题。根据目前我国法律规定，滴滴用户数据并不符合《网络安全法》第37条规定因业务需要而向境外提供的情形，并且普通数据跨境并不受限制。问题关键在于何为“重要数据”、何为“普通数据”、及对数据跨境有何规定？实际上，今年6月10日我国出台《数据安全法》这一数据安全领域基本法，拟构建数据分级分类保护、数据跨境及安全审查等一系列基本制度，该法第21条规定首次对关系国家安全、国民经济命脉、重要民生、重大公共利益等数据认定为国家核心数据，实行更加严格的管理制度，具体实施机制是第24条国家建立数据安全审查制度，即对影响或者可能影响国家安全的数据处理活动进行国家安全审查，而依法作出的安全审查决定为最终决定。

因滴滴掌握数据都是敏感数据，本应根据《数据安全法》规定进行审查，即便普通数据，依照该法也要实施数据分级分类管理制度，逐步进行筛选和分类，落实安全保障措施。然而在国家数据安全审查系列制度尚未完善和细化的情况下，滴滴却赶在《数据安全法》出台后将要生效实施前赴美上市，从这个角度来看，也不难理解国家网信办为何紧急启动网络安全审查机制，其实质效果与数据安全审查时基本一致。

四、启　示

除滴滴外，近日网信办又宣布对“运满满”“货车帮”“BOSS直聘”实施网络安全审查。

这三家公司同样是在《数据安全法》出台后实施前在美股上市和融资的企业，而滴滴掌握数据量比这三家企业数据要大、数据类型更多、更加敏感，所以滴滴被首先启动安全审查，这给所有已在美国上市的互联网公司或拟在美国上市的企业敲响警钟——企业经营是否对中国的网络安全构成威胁。此外，数据经济迅猛发展，企业掌握海量数据不仅是行业发展赖以生存的生产要素，更是构成国家安全组成部分，国家实施网络安全审查和数据安全审查制度将更加常态化和制度化，这也成为企业在构建和完善商业模式中需要考量的重要因素之一。

作者简介

曾恺　专职律师专注领域：互联网、新经济领域的商业顶层设计、商业模式/业务产品合规性论证、数据合规管理、网络犯罪辩护等

苏耀云　专职律师专注领域：涉互联网纠纷争议解决、隐私和个人信息保护、数据安全与合规、政府监管合规等

往期回顾

*声明：本微信订阅号对所有原创、转载、分享的内容、陈述、观点判断均保持中立，推送文章仅供读者参考。本订阅号发布的文章、图片等版权归作者享有，如需转载原创文章，或因部分转载作品、图片的作者来源标记有误或涉及侵权，请通过留言方式联系本订阅号运营者。谢谢！

作者 | 曾恺、苏耀云

初审 | 品牌部

排版 | 李诗欣

审定 | 钟智芬

来源 | 忘形网络法