个性化广告 | 简析IABEurope/TCF案

编者按：

个人信息保护方面的一个重点和难点在于个性化广告，或者西方语境中所提到的行为定向广告（behavioral targeting advertising）。本公号持续对这个问题开展跟踪和分析。此系列的文章包括：

今天和大家分享的是【比利时DPA对IAB欧洲正式做出决定】的分析文章。作者为朱悦。

基于比利时数据当局在APD/GBA (Belgium) - 21/2022一案中的决定，以下首先介绍决定所示核心要点，再在简述核心事实的基础上展开其中逻辑。核心要点包括：

1. 应从宽认定“个人数据”。特别地，只需要能够将个体从群体里区分出来、差异对待，就应当认定为个人数据，而不需要知道个体的名字或其他身份信息。

2. 应从宽认定“个人数据控制者”，并相应施加数据保护的责任和义务。只要能够决定数据处理的目的和（实质）方式，不需要访问数据，也足以构成个人数据控制者。

3. 应谨慎借助合法利益作为个人数据处理的合法性基础。在实践评估是否可以借助这一基础时，尤其需要考虑个体的合理隐私期待。

4. 即使参与广告生态的主体数量极其庞大，透明性原则和相应的告知义务依然至少要求以简单且清晰的方式告知个体：出于何种目的，何者将处理他/她的个人数据。

5. 作为广告生态的建设者和监督者，安全原则和相应的义务要求解决已经预见的安全问题，有效实施既有监督项目，并“阻遏性地，而非允纳性地”实施相应惩戒。

6. 本案决定为分析以上各问题都提供了更详细的进路。

7. TCF（和OpenRTB）的跨境传输实践不合规，这一点应和有关Google Analytics跨境传输的一系列新案件共同理解。相应不合规可能构成对其他义务（如基于设计的隐私）的违反。

8. 在高度复杂的案件中，法学评注、学术研究（包括法学和计算机领域研究）和行业实践（如谷歌的隐私沙盒）都有可能、甚至已经成为成为关键问题上的关键论据。

9. 尽管比利时数据当局最终没有一揽子地明确作出相应决定，OpenRTB（尤其是其依赖于TCF的部分）在GDPR意义下的合规性是非常可疑的。

本案核心事实

此处首先非常简单地讨论本案涉及的核心事实。相应事实围绕IAB Europe（以下一般简称IAB）为整个广告生态提供的两套框架，或者说协议有关：TCF和OpenRTB。TCF用于以标准化、自动化的形式获取和管理个人数据处理的合法性基础，特别是同意。TCF的合规性也是本案的核心。OpenRTB则用于RTB市场的标准化。来自TCF的、有关个人数据处理合法性基础的数据会通过OpenRTB协议，用于RTB市场。因此，评估TCF的合规性，自然会涉及OpenRTB的合规性。二者用户均遍及全世界。

TCF中主要包含四类主体：IAB、发布者、同意管理平台（CMP）和供应商，四者大致职能如下。因OpenRTB运作细节对简析本案用处不大，故略去。

	主要功能	主要义务	典型实例	其他备注
IAB	建设和维护TCF框架，包括制定框架所依赖的政策和技术设定（特别是包括标准化的个人数据处理目的，以及整个TCF的技术实现），并监督和实施相应政策与设定	众多与制定政策与技术设定有关的义务，例如维护参与TCF的CMP和供应商列表	略	建立了旨在监督TCF参与者合规的项目，但很少实施。对违反政策和技术设定的处罚较轻
发布者	与用户交互，选择并展现CMP	以符合TCF框架的方式，选择、管理、并相应展现CMP。选择、管理由IAB标准化的个人数据处理目的，并经由CMP建立合法性基础。TCF政策和技术设定中规定的其他许多义务	网站和应用	本案之后，很可能不再是仅有的、对相应个人数据保护负有主要责任的一方
CMP	建立合法性基础（包括获取同意），并将相应信号传输给广告生态中的其他主体（主要是供应商，也可能包括IAB）	根据TCF政策，需要对相应信号的合规性负主要责任。TCF政策和技术设定中规定的其他许多义务	OneTrust CMP	本案之后，很可能不再是仅有的、对相应信号合规性负有主要责任的一方
供应商	根据接收到的信号交易和供应广告，也可能将相应信号传输给其他供应商	只能收发、不能自主生成信号。在合理限度内注意发布者和CMP的合规性。TCF政策和技术设定中规定的其他许多义务	略	略

值得特别一提的，是TCF政策和技术设定所确定的、标准化的个人数据处理目的（包括所谓目的、特殊目的、功能、特殊功能和栈，在本案语境下无区别）。这也是TCF最核心的“卖点”：将在线广告生态中本来非常复杂、多样的处理目的标准化到17个，然后，就可以数字化地表达这些处理目的，以及对应的合法性基础。对每一个标准化的处理目的，TCF都规定了相应的表述、（可选的）合法性基础、告知文本和实践指引。就此，TCF生态中的其他主体通常不能更改。以下例示部分标准化的处理目的。

处理目的	合法性基础	合规文本（仅节选部分）	实践指引（仅节选部分）
选择基本广告	同意/合法利益	可能会基于您正在浏览的内容、正在使用的应用、粗略位置（粗略/精确的阈值是半径500米的范围，或经纬度数据到小数点后两位）或您的设备类型向您展示广告	不能仅基于这一目的创建用户画像；不能仅基于这一目的选择后续的广告展示；基于实时数据；不能仅基于这一目的处理精确位置
创建个性化广告画像	同意/合法利益	可能会建立关于您和您的兴趣的画像，用以展示和您相关的个性化广告	可以融合内容和设备相关的数据；如果和其他先前收集的数据融合，先前收集的相应数据需要相应的合法性基础；不包括广告测量
选择个性化广告	同意/合法利益	可能基于关于您的画像，向您展示关于您的个性化广告	需要其他目的作为前置；如果使用同一画像展示个性化广告和个性化内容，需要同时具备相应的合法性基础
测量广告效果	同意/合法利益	可能测量您观看或与之交互的广告的表现和有效性	可以用于测量广告展示、黏性、时长、去重、归因、转化率、销售量提升，等等；可以报告个体或加总层面的数据；不能仅基于这一目的导出用户的人口特征信息，需要借助其他合法性基础；如果和其他先前收集的数据融合，先前收集的相应数据需要合法性基础
通过市场研究产生受众洞察	同意/合法利益	市场研究可以用于更加深入地了解访问站点/应用和观看广告的受众	用年龄、性别、兴趣等来做用户分层；如果和其他先前收集的数据融合，先前收集的相应数据需要合法性基础；不能借助相应数据改善用户画像
开发和改进产品	同意/合法利益	您的数据可能用于提升现有的系统或软件	基于这一目的处理数据，必须有明确的、改进或开发新产品的目的；不要将相应数据用于任何其他目的，包括改进用户画像
确保安全、预防欺诈、排除故障（特殊处理目的）	合法利益	您的数据可能用于监测或预防欺诈行为，以确保系统和流程适当地、安全地工作	可以用于无效流量监测或阻断，包括自动浏览行为、流量操纵行为、错误测量事件、域名表示错误，等等；可以用于识别产品错误，但不可用于改善产品；用于确保系统/平台的运行
技术手段展示广告或内容（特殊处理目的）	合法利益	您的设备可能收到或发出使您得以观看或与之交互	同时适用于广告和内容；可以用于接收和应答广告请求、将广告文件分发至特定IP地址、接收或应答内容请求、将内容文件分发至特定IP地址、不记录任何个人数据而记录特定广告已播放的日志、不记录任何个人信息而记录特定内容已播放的日志

以上，即可讨论作为本案核心的数据：TC String（以下简称TCS，亦即前述信号）。简言之，个体访问作为发布者的网页或应用时，发布者弹出CMP，并就TCF已经标准化的处理目的，建立对应合法性基础（特别是同意）。就此，CMP生成相应TCS，以记录相应目的和合法性基础（可以想象TCS的主体部分会是一连串0和1），并在生态中传递。TCS总是存储在个体设备中，并关联到CMP的cookie。然而，少数情况下，TCS可能关联到IAB所控制域名的cookie。以下是TCS的具体组成字段：

字段	取值形式
元数据	略
基于同意的处理目的	0-1
基于合法利益的处理目的	0-1
可基于同意展开处理的供应商	0-1
可基于合法利益展开处理的供应商	0-1
处理限制	略
特殊目的	0-1
其他	略
备注	比利时数据当局注意到TCS几乎总是与IP地址一同处理

本案分析逻辑

本案逻辑非常清晰，可作为在GDPR下分析合规问题的一般路径：认定所涉数据TCS是否个人数据→认定相应处理行为→认定相应（共同）控制者→逐项分析是否履行控制者义务，并得到结论。

首先是认定个人数据的问题，这是本案核心争点之一。根据前述基本事实和具体说理时比利时数据当局补充的数据细节，可相应展示分析逻辑如下：

问题：TCS是否个人数据？
分析依据	具体事实	相关备注	结论方向
原则：个人数据应从宽认定	略	认定准则是：根据相应信息的内容、目的或效果，使用合理可用的方式，能否将相应信息关联至已识别或可识别个体。相应信息是由单一主体持有，还是由众多主体分散持有（如本案），不影响认定	倾向于认定
内容：IP地址属于个人数据，可以与之相关联的数据，因此属于（关于可识别个体）的个人数据	如前，TCS几乎总是与IP地址一同（由CMP和/或TCF生态中其他主体）一同处理	还需要考虑TCF和OpenRTB生态中主体可以访问、使用的其他各种信息	认定
目的：如果特定数据的目的是识别或区分（Singling Out）个体，这将影响到个人数据的认定	如前，TCS的目的即是记录特定个体相关的数据处理目的和合法性基础，或者说，记录特定个体有关数据处理的偏好	如果TCS的目的是区分出特定个体、并记录其偏好，不将其认定为个人数据，将是字面意义上自相矛盾的	认定
效果：相应认定对个体权益的影响将进而影响到个人数据的认定	如前，TCS决定了哪些第三方会接收到个体有关数据处理的偏好	这显然影响到个体（有关自身数据的）权益	认定
综上，TCS应当认定为个人数据

于是，比利时数据当局认定了两类针对TCS的处理行为：生成TCS，以及将其分享至基于OpenRTB协议的广告生态中。在此基础上，可以按如下分析逻辑认定（共同）控制者。这是本案又一核心争点。

问题：IAB是否构成相应的个人数据控制者？
分析依据	具体事实	相关备注	结论方向
原则：个人数据控制者应从事实出发从宽认定	略	个人数据控制者是事实上对数据处理活动的“为什么”（处理目的）和“怎么做”（实质性的处理方式）实施控制的主体，对相应数据保护负有主要责任。相应控制可以来自于组织功能、合同规定和/或事实控制，等等。此外，还有非常重要的两点：首先，无需实际访问相应数据，亦有可能构成控制者；其次，需要考虑特定处理活动对数据主体权利和自由的影响	倾向于是
处理目的	IAB制定的TCF的政策和技术设定中明确包含对TCF主要目标（TCF的主要目标是......协助GDPR和ePD合规）和TCS主要（处理）目标（TCS的主要目标是......产生和记录告知给用户的信息和用户的偏好）的表述。相关调查表明：间接推动同样由IAB建立和维护的OpenRTB的使用，也是TCF的目标之一。IAB还通过TCF和相应的TCS，对广告生态中的处理目的进行了标准化	在认定个人数据控制者时，对处理目的的分析通常优先于对处理方式的分析	是
（实质性的）处理方式，包括处理的数据类型、处理的持续时间、相应数据的权限控制、以及相应数据主体的类型，等等	IAB通过技术设定等形式决定了生成TCS的具体方式，并且标准化了用于读取TCS的API接口。尽管TCS通常存储于本地，但在少数时候（TCS全局适用时），TCS可能关联到IAB所控制域名的cookie，从而导致IAB可能访问相应个人数据（判决脚注举出了OneTrust的实例），这也意味着IAB“不仅仅是设计[TCF]框架”。通过维护参与TCF的CMP和供应商列表，IAB决定了相应个人数据的权限控制。最后，IAB制定的TCF政策包含对TCS留存期限（及其准则）的规定，这意味着IAB决定了处理的持续时间	非实质性的处理方式通常留由处理者决定，例如，选用何种安全硬件或软件	是
综上，IAB构成相应的个人数据控制者

接下来是认定IAB与发布者、CMP和供应商是否构成相应个人数据的共同控制者，如果是，则需共同对数据保护承担责任。本案对应部分的分析逻辑如下：

本案适用了认定共同控制者的共向决定（Concurrent Decision）原则：对于特定个人数据处理行为，如果每一主体的参与都不可或缺，或者更加具体地说，如果每一主体就其所从事的个人数据处理行为都不可分离且不可分割（Inseparable  and Indivisible），则相应主体构成（特定处理行为上的）共同控制者。值得特别指出的是，由此，认定共同控制者并不需要相应主体（对处理目的和行为的）共同决定（Common  Decision）
主体类型	相关事实	相关备注	是否构成共同控制者
IAB	如上，略	按本案，IAB提供TCF这个“生态系统”、并相应记录和传递个体偏好，不是出于自身的目的或自我维系，而是为了便利发布者和供应商等参与TCF的第三方主体的进一步处理行为，因此，IAB与相应参与者就相应处理行为的决定，应当视为共向决定。TCF与OpenRTB之间的紧密关系，同样值得考虑	是
发布者	通常本身即足以构成个人数据控制者。在TCF下，发布者控制处理目的，选择和管理CMP与供应商。TCF政策明确禁止发布者擅自修改处理目的，或对CMP发布违反TCF的指令。TCF政策尚有其他相关限制	本案此处分析“回马一枪”：TCS通常构成RTB竞价中有关特定访问者或用户的一部分信息，这进一步佐证了将TCS认定为个人数据的结论	是，除非发布者违反TCF中的相应规则（这有可能导致发布者单独构成控制者）
CMP	CMP受TCF政策的严格制约、受IAB的相应监督（以纳入相应名单）、同时受到发布者的管理。然而，学术研究显示存在一定数量的CMP不遵守前述规定，同时，CMP在用户界面设计方面有相当的自主	略	是，但仅包括上述发布者所选用的CMP，且存在其他附加条件
供应商	供应商受TCF政策的严格制约、受IAB的相应监督（以纳入相应名单）、同时受到发布者的管理。然而，参与TCF的供应商可以选择所欲的处理目的	略	是，但仅限纳入相应名单的供应商
以上共同控制者认定对TCF和OpenRTB下的个人数据处理行为都成立

认定（共同）控制者以后，即可从IAB相应所负担的义务出发，逐项分析控制者是否已经履行相应义务。其中最核心的义务之一，是就个人数据处理获取合法性基础。相应分析逻辑如下：

IAB（及其他共同控制者）是否已经就对TCS的两类处理行为获取相应合法性基础，从而得以遵从GDPR第5条（合法原则和公平原则）和第6条（获取合法性基础）
	分析依据	对生成TCS的相关分析	对（向OpenRTB生态）共享TCS的相关分析
同意	以同意作为处理行为的合法性基础，需要相应同意自主作出、确切、知情且不含糊（Sufficiently free, specific, informed, and not  ambiguous）	完全没有尝试获得同意（因IAB主张TCS不应认定为个人数据）。因此，不存在相应合法性基础	因以下五方面原因，相应同意不能认为有效：首先，如前展示的、由IAB标准化的处理目的不够清晰，甚至可能有误导性。特别地，这些目的并未说明相应的处理范围、数据性质和留存期限。其次，CMP界面上没有清晰说明处理个人数据的类别。再次，CMP没有告知相应主体每一供应商所施行的处理行为。又次，就供应商等广告生态主体已经处理的、非常丰富的数据，没有告知主体。最后，对CMP给予和撤回同意，并非同样简单。特别地，TCF目前的运行机制，无法保证在主体撤回同意后，实时地停止生态中各主体的相应处理行为。因此，不存在相应合法性基础。
为合同所必需	略	IAB和相应个体间不存在合同关系。即使假定存在合同关系，出于内容和广告个性化目的使用TCS也无法通过借助这一合法性基础需要通过的客观必要性测试。因此，不存在相应合法性基础	通常而言，这一合法性基础不能用于行为广告。此外，IAB并未借助这一合法性基础。因此，不存在相应合法性基础
合法利益	以合法利益作为处理行为的合法性基础，需要通过以下三阶段测试：一，相应处理目的需要（特别是在欧盟及其成员国法的视角下）合法，且需要足够确切、现实存在、当前存在和并非假设（Sufficiently specific, existent, current, and not hypothetical）；二，相应处理行为需要为相应处理目的所（严格）必要，亦即，不处理相应数据，或者不以特别困扰相应主体的方式处理数据，是否依然足以实现相应目的。这一点与最小化原则有密切联系；三，平衡控制者的（合法）利益与数据主体的基本权利和自由，此处必须（从相应场景的角度出发）考虑相应主体的合理隐私期待，亦即，主体能否“合理地期待到进一步的处理”	记录、阐明数据主体的同意（并相应存储TCS）属于合法利益，可以通过第一阶段测试。TCS确属为上述目的所严格必要，且TCS不会无限期留存，故可以通过第二阶段测试。然而，由于以下两方面原因，不能通过第三阶段测试：首先，对相应主体权利和自由的侵害非常严重——得以访问TCS的主体数量非常庞大，主体的相应控制非常有限；其次，没有尊重主体的合理隐私期待——一方面，没有让用户得以反对TCS相应处理的选项；另一方面，也缺乏相应的告知。因此，没有通过第三阶段测试，从而不存在相应合法性基础	TCF政策中提及的有关利益不够确切。由于TCF政策限制CMP对利益作出解释（对应于前述的、处理目的和合规文本的标准化），因此，难以向主体清晰解释有关合法利益为何、以及为何相应合法利益可以优先于主体的权利和自由。综上，没有通过第一阶段测试。本案中，考虑到部分学术研究和行业实践（特别是谷歌隐私沙盒中的FLoC），难以信服相应数据为对应利益所严格必要，故没有通过第二阶段测试。最后，从对主体权利和自由的侵害的严重程度出发，本案中所涉（可能侵害主体权利自由的）主体数量庞大、数据众多。此外，欧盟和成员国层面均显示出不认可合法利益作为行为广告或RTB之合法性基础的趋势。故也没有通过第三阶段测试。因三阶段测试尽数未能通过，故不存在相应合法性基础
综上，两类处理行为都缺乏相应的合法性基础，从而导致对第5、6条的违反

对IAB所违反的其他GDPR条款的分析逻辑和结论，则如下表所示：

GDPR条款	具体义务	事实与简析	结论
第12、13、14条（透明性/告知义务）	以透明、可理解且易于访问的形式，向数据主体提供相应条款所要求的、与个人数据处理（特别是相应处理的范围与性质）相关的各项信息	IAB可能访问CMP处的同意记录，但没有告知这一处理行为； 对部分IAB的标准化处理目的，特别是对部分可能依赖于同意的目的，告知太过宽泛；以及， 存在大量潜在的、可能访问（及相应地处理）个人数据的第三方主体这一事实，与透明性（和相关的同意）不相容	违反
第5条（完整原则和保密原则）、第24条（可问责）、第25条（基于设计的隐私和基于默认的隐私）、第32条（数据处理的安全）	控制者需要以透明且可追溯的方式，阐明对第32条“采取合适的技术和组织[数据保护]措施”的合规情况； 控制者需要在其行动的前端环节（或时间点）采取为GDPR合规所必要的（措施）；此外， 完整、保密和可得性原则与合法、透明等其他GDPR基本原则有相同的重要性	学术研究显示：CMP可能伪造或不当修改所传出信号，引致“虚假的同意”。并且，IAB预见了这一可能性（在TCF政策中明确禁止相应行为）。然而，尽管相应问题可谓严重，IAB依旧没有展开系统性的监督。尽管IAB设立了TCF合规项目，但是很少实施、且处罚很轻。对相应合规项目的前3次违反不会被处罚，即使是3次违反后继续违反，也仍然有28天的宽限期。即使在28天后受到惩戒、被移出TCF相应列表，依然可以重新申请加入。按本案意见，这样的惩罚更多是“允纳性的、而非惩戒性的”；以及， TCS会在不符合44-49条的情况下被传输到欧盟以外，TCF也预见到了这一可能性（在TCF政策中明确提及跨境传输）。尽管相应跨境传输主要应由发布者负责，然而，IAB未能促进发布者和CMP就此勤勉尽责（例如，IAB本可以让双方更明确地披露自身位置），也未能为潜在的跨境传视设置数据保护机制，这些共同违反了在前端环节采取合规措施的要求。	违反，且认定违反了第44-49条
第15-22条（数据主体权利）	各控制者（特别是数量庞大的供应商）需要合作以保障（一般意义上，而不区分类型的）用户权利的有效行使	未见便利用户行使权利的尝试	一般意义上的、而非针对具体权利的违反
第30条（ROPA）	除少数例外，制作ROPA	略	违反
第35条（DPIA）	在特定条件下开展DPIA	略	违反
第37条（DPO）	在特定条件下任命DPO	略	违反
第44-49条（跨境传输）	跨境传输个人数据时遵循相应条款，以确保个人数据保护的充分性原则	TCS确实会被传输到欧盟以外	违反，但不直接惩戒（但似可认为已经通过第24-25条的对应纠正措施而间接惩戒）

综上，可知IAB及TCF违反了GDPR的下列条款。比利时数据当局相应要求IAB在6个月内采取下列纠正措施，并处以25万欧元罚款。

违反条款	6个月内需要采取的纠正措施（概述）
第5条（合法原则和公平原则）和第6条（获取合法性基础）	就TCF框架中的处理行为，以合规方式建立对应于TCS（和相应cookie的）合法性基础。现有条件不变的情况下，不得再用合法利益作为合法性基础
第12、13、14条（透明性/告知义务）	迫使CMP遵守相应告知义务
第5条（完整原则和保密原则）、第24条（可问责）、第25条（基于设计的隐私和基于默认的隐私）、第32条（数据处理的安全）	采取合适的技术和组织监督措施，保障TCS的完整与保密； 对加入TCF的主体开展严格审计，以确保其合规； 采取技术和组织措施，防范CMP的“虚假同意”问题，并防范CMP以自动化方式授权供应商依赖合法利益处理数据；以及， 迫使CMP遵守相应告知义务
第15-22条（数据主体权利）	无
第30条（ROPA）	更新ROPA
第35条（DPIA）	就TCF及OpenRTB框架下开展的数据活动展开DPIA
第37条（DPO）	任命DPO
第44-49条（跨境传输）	略。见前述第24、25条对应的纠正措施

其他相关要点

1. IAB尚提出了大量程序性的抗辩，但均未获采纳。IAB后续已经提出上诉。

2. 本案不是IAB正面临的、仅有的调查。据本案，IAB尚在马耳他、罗马尼亚、克罗地亚、希腊、葡萄牙、塞浦路斯、意大利等国面临与本案核心要点不同的调查。

3. 本案中，IAB尚有其他自相矛盾的实践。例如，先辩称自身属于ROPA条款的例外，随后，提交了一份非常简单、且如前所述并不合规的ROPA。

4. 本案中，许多关键论证的关键论据都来自法学或计算机领域的学术研究。这一现象值得关注。

5. 本案在关键论证部分数次援引了以下法学评注，值得关注：Kuner, Christopher, Lee Bygrave, Christopher Docksey, and Laura Drechsler. The EU General Data Protection Regulation: A Commentary. Oxford University Press, 2020.
   

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

关于欧盟技术主权相关举措的翻译和分析：

关于保护网络和信息系统安全的相关文章包括：

中国个人信息保护立法的相关文章包括：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

关于健康医疗数据方面的文章有：

关于人工智能安全和监管，本公号发布过以下文章：

关于中美与国家安全相关的审查机制，本公号发布过以下文章：

数据的安全、个人信息保护、不正当竞争等方面的重大案例：

关于数据执法跨境调取的相关文章：

业务场景中的数据跨境流动的文章如下：

数字贸易专题的系列文章有：

关于数据要素治理的相关文章包括：

人脸识别系列文章：

地缘政治与跨国科技公司运营之间的互动影响：

赴美上市的网络、数据安全方面的两国监管乃至冲突方：