理解《数据安全法》《个人信息保护法》二审稿的实质性修改内容（一）

编者按：

在2020年《数据安全法》《个人信息保护法》一审稿发布时，本公号曾发表过专门的解读、分析文章。

数据安全法系列文件：
对《数据安全法》的理解和认识 | 立法思路
对《数据安全法》的理解和认识 | 数据分级分类
对《数据安全法》的理解和认识 | 中国版的封阻法令
对《数据安全法》的理解和认识 | 重要数据如何保护

中国个人信息保护立法系列文章：
中国个人信息保护立法 | 《个人信息保护法(草案)》与GDPR的比较
中国个人信息保护立法 | 合同所必需：魔鬼在细节之中
对《常见类型移动互联网应用程序必要个人信息范围规定》的两点理解
对《常见类型移动互联网应用程序必要个人信息范围规定》的再理解

自此《数据安全法》《个人信息保护法》二审稿发布，公号君就两法二审稿主要的实质性修改内容做出分析。

《数据安全法》二审稿的修改

在公号君看来，《数据安全法》二审稿【与一审稿的对比，见《数据安全法（草案）》二审稿v.s一审稿】最重要的实质性修改出现在

在公号君看来，这一条的修改，进一步明确了站在国家角度、自上而下的数据分类制度将成为我国数据安全的基本性制度。公号君也在此前发表的的研究报告和分析性文章中，对此多有呼吁。

例如在【对《数据安全法》的理解和认识 | 数据分级分类】一文中，公号君做过如下分析：

一、国家层面开展数据分级分类工作

要特别注意到第十九条第一款中规定的数据分级分类的主体——国家。而在《数据安全法》之前，我国现有的法律法规也有数据分级分类的规定，但是分级分类的主体绝大多数是规范对象自身，而非国家。以下举例说明：

1、国务院2018年3月17日发布的《科学数据管理办法》第十条规定：

“科学数据中心是促进科学数据开放共享的重要载体，由主管部门委托有条件的法人单位建立，主要职责是：（一）承担相关领域科学数据的整合汇交工作；（二）负责科学数据的分级分类、加工整理和分析挖掘；（三）保障科学数据安全，依法依规推动科学数据开放共享；（四）加强国内外科学数据方面交流与合作”。

《科学数据管理办法》第二十条规定：“法人单位要对科学数据进行分级分类，明确科学数据的密级和保密期限、开放条件、开放对象和审核程序等，按要求公布科学数据开放目录，通过在线下载、离线共享或定制服务等方式向社会开放共享”。

2、中国证券监督管理委员会2019年6月1日实施的《证券基金经营机构信息技术管理办法》（第152号令）第三十条规定：

“证券基金经营机构应当将经营及客户数据按照重要性和敏感性进行分类分级，并根据不同类别和级别作出差异化数据管理制度安排”。

【更完整的例举和相关研究，见：数据安全管理视角下的数据分类研究：研究报告全文】

从上述规定可以看到，要求规范对象本身开展数据分类分级（本文称之为自下而上的路径），与国家自己开展数据分级分类工作（本文称之为自上而下的路径），会有这本质的区别。

二、自下而上路径的展开和根本目的

相对于法律层面（主要是行政法规和部门规章）止步于提出数据分类分级要求，近两年一些部门在其发布的工作性文件中，提出了数据分类分级的具体标准。以下举例说明：

工业和信息化部2020年2月印发的《工业数据分类分级指南(试行)》中，提出了对工业数据的分类和分级标准。

第五条规定：“工业企业结合生产制造模式、平台企业结合服务运营模式，分析梳理业务流程和系统设备，考虑行业要求、业务规模、数据复杂程度等实际情况，对工业数据进行分类梳理和标识，形成企业工业数据分类清单”。

第六条中给出了工业企业的数据分类范例：“工业企业工业数据分类维度包括但不限于研发数据域（研发设计数据、开发测试数据等）、生产数据域（控制信息、工况状态、工艺参数、系统日志等）、运维数据域（物流数据、产品售后服务数据等）、管理数据域（系统设备资产信息、客户与产品信息、产品供应链数据、业务统计数据等）、外部数据域（与其他主体共享的数据等）”。

第七条给出了平台工业企业的数据分类范例：“平台企业工业数据分类维度包括但不限于平台运营数据域（物联采集数据、知识库模型库数据、研发数据等）和企业管理数据域（客户数据、业务合作数据、人事财务数据等）”。

【更完整的例举和相关研究，见：数据安全管理视角下的数据分类研究：研究报告全文】

可以看出，《工业数据分类分级指南(试行)》遵循了前面所说的“自下而上的路径”，但其更进一步，提出了“自下而上的路径”可资采取的方法。

从第五、六、七条来看，这是一种所谓的“实然路径”——此种路径的基本思路是不改变企业实际如何组织生产的方式和流程（用大白话说就是：“是什么就是什么”），且客观描述在这个方式和流程中所收集、产生出的数据类型。

此种“实然路径”的另一例证是证监会于2018年9月27日正式公布实施《证券期货业数据分类分级指引》（JR/T0158—2018）。在这个标准中，数据分类的方法是：

《证券期货业数据分类分级指引》6.4要求：“本标准推荐的分类分级方法，从业务条线出发，首先对业务细分，其次对数据细分，形成从总到分的树形逻辑体系结构，最后，对分类后的数据确定级别；同时，推荐考虑确定数据形态”。

从上面的研究可以看出，无论是法律还是部门规章，往往仅仅止步于提出数据分类分级的要求，并没有对如何分类分级提出进一步的方案。近年来，特别是2019年以来，在国家部委发布的指引性文件，或者国家和行业标准层面，可以看到一些尝试或方案。

在这些尝试或方案中，数据分类采取的路径主要是一种所谓的“实然路径”。此种路径的基本思路是不改变企业实际如何组织生产的方式和流程（用大白话说就是：“是什么就是什么”），且客观描述在这个方式和流程中所收集、产生出的数据类型。

在完成数据分类的前提下，根据“后果”路径，来对数据进行分级。此种路径的基本思路是根据某类数据的安全属性（完整性、保密性、可用性）遭到破坏后的影响对象、影响范围、影响程度，对数据进行定级。一般来说，有分为三级的，也有分为四级的。【笔者注：此部分从略，感兴趣的读者见：数据安全管理视角下的数据分类研究：研究报告全文】

观察目前部委指导性文件和标准所提出的数据分类分级路径，给规范对象内部开展数据治理提供了很好的思路。规范对象如果能按照上述路径开展分类分级工作，能够对其所掌握的数据建立管理目录，并对目录里面的数据进行“差序有致”的管理。

总的来说，“实然路径”的数据分类，和“后果”路径的数据分级，是站在规范对象的视角来看。但是，如果由规范对象自主开展数据分类分级工作，其第一诉求往往是防止自身权益因为数据安全事件而导致损害。

三、自下而上路径不足以支撑国家监管

目前，数据的重要程度越来越高，掌握在企业手中的数据，其对国家、社会、个人的价值，要比对企业来说，价值更高或者说一旦出现安全事件，对国家、社会、个人造成的危害，可能比对企业利益的危害更大。例如剑桥分析事件中，Facebook疏于对第三方的管理，导致大量个人数据被用于政治目的，包括影响脱欧公投和美国总统大选等。

这就出现了一个所谓的“外部性”问题。外部性又称为溢出效应、外部影响、外差效应或外部效应、外部经济，指一个人或一群人的行动和决策使另一个人或一群人受损或受益的情况。然而，目前的“实然”路径的数据分类，和“后果”路径的数据分级，并不能很好地解决数据安全管理中的“外部性问题”。

因此为了督促或监督企业切实负起数据安全责任，同时对某些“外部性”很强的数据给与更高水平的安全保护，就需要国家站在企业外部，要求企业对具体的、特定的数据类别，提供更高水平的保护。为了达到这个目的，目前的“实然”路径的数据分类，和“后果”路径的数据分级难以达成。

另一方面的原因是，目前的部委指导性文件和标准所提出的数据分类分级路径，在单个组织内部可以适用，但是对面对众多组织的监管部门来说，不具备互操作性，即一个组织的数据分类或数据分级，很可能与另外一组织的数据分类和数据分级截然不同。这种情况下，数据安全监管机关无法开展统一的管理和监督工作，更无法判断其所维护的国家和公共利益、个人合法权益是否得到充分的保护。

换句话说，完全依赖规范对象的自我管理的“自下而上”的路径，难以服务于监管层面的工作开展。从国家层面，或者站在国家角度，组织或开展数据安全管理工作来说，在“自下而上”路径的基础上，还需要“自上而下”的路径。

在公号君看来，“自下而上”的数据分类分级路径有助于企业自我开展数据安全工作，但不足以支撑国家开展数据安全管理和监督工作的需要。例如，国家对劳动人口的身份管理，国家就“自上而下”划分为公务员、事业单位人员、企业员工、务农人员等。这样一种相对整齐划一的分类，有助于统一管理，这实际上就是本文所谓的“自上而下的路径”。

此次，《数据安全法》一审稿第十九条中“国家对数据实行分类分级保护”的含义，上升为第二十条中的“国家建立数据分类分级保护制度”，其重要意义可以与《网络安全法》第二十一条的“国家实行网络安全等级保护制度”做类比。

另一方面是对重要数据保护义务的具体设计，相关内容可参考：【对《数据安全法》的理解和认识 | 重要数据如何保护】

《个人信息保护法》二审稿的修改

在公号君看来，《个人信息保护法》二审稿【与一审稿的对比，见《个人信息保护法（草案）》二审稿v.s.一审稿对比】最重要的实质性修改出现在

如何理解新增的第五十七条？在公号君看来，张新宝教授在今年3月底召开一次研讨会上的发言总结，可以作为非常恰当的分析说明。【个人信息保护法提速 | 张新宝教授建议头部平台承担“守门人”责任】张新宝教授提出：

345万款，这是工信部截至2020年底在我国国内市场上监测到的App数量。海量的App，在给我们生活带来便利的同时，过度收集个人信息、强制索权等问题也层出不穷。

如何对这些App有效监管，保护我们的个人信息？人民大学法学院教授张新宝认为，对海量的App一对一监管难免力不从心，应对实际上控制技术资源、技术环境和运营环境的信息处理者，比如应用程序的分发平台、操作系统、大型平台APP等，设置“守门人”个人信息处理的特别义务。

海量APP难以监管 可将部分监管职责前移至关键环节“守门人”

去年10月，个人信息保护法草案提请十三届全国人大常委会第二十二次会议审议。近日，国家互联网信息办副主任杨小伟答记者问表示，目前正在加紧制定出台《个人信息保护法》。个人信息保护法提速。

3月22日，中国人民大学民商事法律科学研究中心主办“个人信息保护法中英研讨会”，与会专家对《个人信息保护法（草案）》提出立法建议。

对个人信息的保护绕不开对信息处理者的约束规范。上述提到，截至2020年底在我国国内市场上监测到的App数量为345万款。“这些个人信息处理者有一些是淘宝、微信等巨无霸，有一些是特别小众的，活跃度很低。”张新宝称。 

他分析，App无法独立于技术环境或运营环境单独存在，需要调用移动终端提供的各种系统权限来获取运营所需的技术资源，例如，通过调用移动终端的储存权，获得对储存空间的读写能力。因此如果不通过应用程序分发平台，App很难得到最终的用户并获得大量的下载。

“技术环境和运营环境构成了APP运行中的关键环节。”张新宝说。

他引入“守门人”的概念，即控制关键环节，有资源赋予其他个人信息处理者处理个人信息能力的互联网运营者。

他指出，这样的“守门人”包括三类。

一是应用程序的分发平台。这些平台面向用户搜索，并向用户推荐App，提供App下载，比如苹果、谷歌、华为、腾讯、百度等。

二是操作系统。操作系统为每个App提供运行所需的技术资源，特别是移动终端的操作系统，提供了为数众多的系统权限供App调度，比如网络访问、通讯录、摄像头、麦克风。常见的操作系统有苹果的iOS、谷歌、安卓，以及华为最近推出的鸿蒙系统。

三是大型平台App。这些平台利用从操作系统获得的技术资源和自身的流量资源，搭载大量第三方小程序，省略了用户下载、安装、注册、卸载App的过程，实现了即点即用，平台App向小程序提供部分个人信息同时小程序能够调用平台的App已经获得的系统权限进行个人信息的收集。

张新宝认为，出于监管的实践要求，对数以百万计的App分别监管是困难的，应对实际上控制技术资源、技术环境和运营环境的信息处理者，设置“守门人”个人信息处理的特别义务。

“目前国内常用的应用平台分发系统不超过80个，移动终端操作系统不超过10组，搭载小程序的大型App平台不超过5个，与其面对海量的APP一对一进行监督管理，为提高效率，更好的做法是将部分监管职责前移到关键环节守门人。”他说。

头部平台应为个人信息保护树立起一道闸门

张新宝认为，对于互联网头部企业的监管，在全世界几乎取得了共识。“他们有技术能力、人力资源来审核，可以为个人信息保护树立起一道闸门。”

目前，有不少平台企业，出于竞争的考量，推动个人信息保护时“小心翼翼”。张新宝认为，全行业的义务设置不影响”守门人”之间的共性竞争，通过对所有“守门人”设定统一的个人信息保护义务，有利于树立行业取向，拉平合规的底线。

目前公布的个人信息保护法草案中，第五章是关于各类信息处理者义务的规定，其中第五十一条规定，处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人,负责对个人信息处理活动以及采取的保护措施等进行监督。

张新宝建议，在第五十一条的后面增加对“守门人“的特别义务。对控制个人信息处理的关键环节，为其他个人信息处理者提供个人信息的处理通道、空间、技术等资源的互联网营运者，除遵守本法和其他法律的相关规定，特别是本法第五十条条和五十一条的规定之外，对个人信息保护承担以下特别义务：

一、制定符合国家法律法规等规定要求的个人信息保护标准的准入规范，拒绝不达标的个人信息处理者使用其所管控的通道空间和其所提供的服务；

二、利用必要的技术手段，对使用其所管控的通道、空间和使用其所提供的技术服务的个人信息处理者的日常个人信息处理行为进行监管，有必要时提出警示和整改意见；

三、建立相关的投诉机制和受投诉受理和处置机制；

四、配合国家对信息保护机构对违反个人信息保护法的个人信息处理的调查处理；

五、下架违法违规处理个人信息的互联网应用程序。

张新宝教授的上述观点和思路，其实已经体现在日前公开征求意见的《移动互联网应用程序个人信息保护管理暂行规定》的部分条款中。《移动互联网应用程序个人信息保护管理暂行规定》：

第九条  App分发平台应当履行以下个人信息保护义务：

（一）登记并核验App开发运营者、提供者的真实身份、联系方式等信息；

（二）在显著位置标明App运行所需获取的用户终端权限列表和个人信息收集的类型、内容、目的、范围、方式、用途及处理规则等相关信息；

（三）不得欺骗误导用户下载App；

（四）对新上架App实行上架前个人信息处理活动规范性审核，对已上架App在本规定实施后1个月内完成补充审核，并根据审核结果进行更新或者清理；

（五）建立App开发运营者信用积分、风险App名单、平台信息共享及签名验证等管理机制；

（六）按照监督管理部门的要求，完善报送机制，及时配合监督管理部门开展问题App上报、响应和处置工作；

（七）设置便捷的投诉举报入口，及时处理公众对本平台所分发App的投诉举报；

（八）国家规定的其他个人信息保护义务。

以及

第十一条 移动智能终端生产企业应当履行以下个人信息保护义务：

（一）完善终端权限管控机制，及时弥补权限管理漏洞，持续优化和规范敏感行为的记录能力，主动为用户权限申请和告知提供便利；

（二）建立终端启动和关联启动App管理机制，为用户提供关闭自启动和关联启动的功能选项；

（三）持续优化个人信息权限在用状态，特别是录音、拍照、视频等敏感权限在用状态的显著提示机制，帮助用户及时准确了解个人信息权限的使用状态；

（四）建立重点App关注名单管理机制，完善移动智能终端App管理措施；

（五）对预置App进行审核，持续监测预置App的个人信息安全风险；

（六）在安装过程中以显著方式告知用户App申请的个人信息权限列表；

（七）完善终端设备标识管理机制；

（八）国家规定的其他个人信息保护义务。

张新宝教授的建议实际上是为《移动互联网应用程序个人信息保护管理暂行规定》中的部分条款寻求了上位法的依据。此次《个人信息保护法》第五十七条针对头部平台的新增义务，还同时参考了FTC与Facebook50亿美元天价和解中提出的独立的隐私委员会的要求。详见【FTC与Facebook“2019和解令”全文翻译（DPO社群出品）,以及“FTC与Facebook达成和解令的新闻通告”全文翻译（DPO社群出品）】

关于两法其他重要修改内容的分析和理解，公号君日后再与大家分享。谢谢大家关注。（完）

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

美国电信行业涉及外国参与的安全审查系列文

中国的网络安全审查系列文章：

自动驾驶系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

中国个人信息保护立法系列文章

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

数据跨境流动政策、法律、实践的系列文章：

传染病疫情防控与个人信息保护系列文章

人脸识别系列文章：

关于欧盟技术主权相关举措的翻译和分析：

关于数据与竞争政策的翻译和分析：

关于人工智能监管指导文件的翻译：