韬安数据观察|《个人信息保护法》《关键信息基础设施安全保护条例》《汽车数据安全管理若干规定（试行）》通过

点击上方

蓝字

关注我们

2021年第16期（8.16-8.22）

本周聚焦

• 全国人大常委会《个人信息保护法》三审通过
• 国务院《关键信息基础设施安全保护条例》公布
• 网信办等五部门《汽车数据安全管理若干规定（试行）》通过
• 最高院《反不正当竞争法司法解释（征求意见稿）》公开征求意见
• 市场监管总局发布《禁止网络不正当竞争行为规定（公开征求意见稿）》
• 美国康涅狄格州通过两项关于数据隐私泄露和网络空间安全的法案
• 美国SEC主席：已暂停审批中资企业VIE架构上市申请，三年内不公开审计信息不予上市
• 美国FTC称Facebook“压制或收购”竞争对手，再度对其提起反垄断诉讼

国内热点

一、数据合规与个人信息保护

1.全国人大常委会《个人信息保护法》三审通过

8月20日，十三届全国人大常委会第三十次会议表决通过个人信息保护法，自2021年11月1日起施行。个人信息保护法明确了个人信息处理和跨境提供的规则、个人信息处理者的义务等内容。本法规定，任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

针对过度收集信息、大数据杀熟的问题，本法明确，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式；个人信息处理者利用个人信息进行自动化决策，不得对个人在交易价格等交易条件上实行不合理的差别待遇。

针对滥用人脸识别技术问题，本法要求，在公共场所安装图像采集、个人身份识别设备，应设置显著的提示标识；所收集的个人图像、身份识别信息只能用于维护公共安全的目的。

对于提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，本法特别规定了其需要履行的义务，如建立健全个人信息保护合规制度体系，定期发布个人信息保护社会责任报告，接受社会监督等。

此外，个人信息保护法进一步强化了相关部门的监管职责，从严惩治违法行为。履行个人信息保护职责的部门发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈，或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。（来源：中国新闻网）

2.国务院《关键信息基础设施安全保护条例》公布

国务院总理李克强日前签署国务院令，公布《关键信息基础设施安全保护条例》（以下简称《条例》），自2021年9月1日起施行。

一是明确关键信息基础设施范围和保护工作原则目标。《条例》明确，重点行业和领域重要网络设施、信息系统属于关键信息基础设施，国家对关键信息基础设施实行重点保护措施，监测、防御、处置来源于境内外的网络安全风险和威胁，保护关键信息基础设施免受攻击、侵入、干扰和破坏，依法惩治违法犯罪活动。

二是明确了监督管理体制。《条例》规定，在国家网信部门统筹协调下，国务院公安部门负责指导监督关键信息基础设施安全保护工作。国务院电信主管部门和其他有关部门依照《条例》和有关法律、行政法规的规定，在各自职责范围内负责关键信息基础设施安全保护和监督管理工作。省级人民政府有关部门依据各自职责对关键信息基础设施实施安全保护和监督管理。

三是完善了关键信息基础设施认定机制。《条例》明确了认定工作的组织方式和认定程序，依照行业认定规则，国家汇总并动态调整关键信息基础设施认定结果，确保重要网络设施、信息系统纳入保护范围。

四是明确运营者责任义务。《条例》对关键信息基础设施运营者落实网络安全责任、建立健全网络安全保护制度、设置专门安全管理机构、开展安全监测和风险评估、报告网络安全事件或网络安全威胁、规范网络产品和服务采购活动等作了规定。

五是明确了保障和促进措施。《条例》对制定行业安全保护规划、建立信息共享机制、建立健全监测预警制度、明确网络安全事件应急处置要求、组织安全检查检测、提供技术支持和协助等作了规定。

六是明确了法律责任。《条例》对关键信息基础设施运营者未履行安全保护主体责任、有关主管部门以及工作人员未能依法依规履行职责等情况，明确了处罚、处分、追究刑事责任等处理措施。对实施非法侵入、干扰、破坏关键信息基础设施，危害其安全活动的组织和个人，依法予以处罚。（来源：新华社）

3.网信办等五部门《汽车数据安全管理若干规定（试行）》通过

近日，国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、公安部、交通运输部联合发布《汽车数据安全管理若干规定（试行）》（以下简称《规定》），自2021年10月1日起施行。国家互联网信息办公室有关负责人表示，出台《规定》旨在规范汽车数据处理活动，保护个人、组织的合法权益，维护国家安全和社会公共利益，促进汽车数据合理开发利用。

《规定》倡导，汽车数据处理者在开展汽车数据处理活动中坚持“车内处理”、“默认不收集”、“精度范围适用”、“脱敏处理”等数据处理原则，减少对汽车数据的无序收集和违规滥用。

《规定》明确，汽车数据处理者应当履行个人信息保护责任，充分保护个人信息安全和合法权益。开展个人信息处理活动，汽车数据处理者应当通过显著方式告知个人相关信息，取得个人同意或者符合法律、行政法规规定的其他情形。处理敏感个人信息，汽车数据处理者还应当取得个人单独同意，满足限定处理目的、提示收集状态、终止收集等具体要求或者符合法律、行政法规和强制性国家标准等其他要求。汽车数据处理者具有增强行车安全的目的和充分的必要性，方可收集指纹、声纹、人脸、心律等生物识别特征信息。

《规定》强调，汽车数据处理者开展重要数据处理活动，应当遵守依法在境内存储的规定，加强重要数据安全保护；落实风险评估报告制度要求，积极防范数据安全风险；落实年度报告制度要求，按时主动报送年度汽车数据安全管理情况。因业务需要确需向境外提供重要数据的，汽车数据处理者应当落实数据出境安全评估制度要求，不得超出出境安全评估结论违规向境外提供重要数据，并在年度报告中补充报告相关情况。（来源：网信办网站）

二、反垄断与竞争法

1.最高院《反不正当竞争法司法解释（征求意见稿）》公开征求意见

为正确审理不正当竞争纠纷案件，维护公平竞争秩序，最高人民法院起草了《最高人民法院关于适用〈中华人民共和国反不正当竞争法〉若干问题的解释（征求意见稿）》。现向社会公开征求意见，欢迎社会各界人士通过信件或者电子邮件方式提出意见和建议，意见反馈截止日期为2021年9月19日。（来源：最高人民法院）

2.市场监管总局发布《禁止网络不正当竞争行为规定（公开征求意见稿）》

为了制止和预防网络不正当竞争行为，维护公平竞争的市场秩序，保护经营者和消费者的合法权益，促进数字经济规范持续健康发展，市场监管总局起草了《禁止网络不正当竞争行为规定（公开征求意见稿）》。

一是细化法律规定，明晰概念内涵。《规定》重点对一些概念进行明确，对一些条款的适用予以细化，以增强法律的适用性，为经营者依法合规经营提供指引和预期。

二是针对利用技术手段引发的新型不正当竞争行为，重点进行规制。对新型网络不正当竞争行为进行了深入分析研究，结合《反不正当竞争法》等上位法规定，对新型不正当竞争行为进行总结和归纳提炼。

三是对互联网场景下不正当竞争行为新的表现形式，进行归纳列举。《规定》对不正当竞争行为新的表现形式和行为构成进行了全面梳理和归纳提炼，分类进行规制。

四是明确执法主体，强化执法手段。《规定》探索引入第三方专业机构和专家观察员辅助参与调查制度，重点解决案件办理过程中遇到的调查取证、违法行为研判等问题，增强执法的专业性，提高监管效能。（来源：国家市场监督管理总局）

海外动态

一、数据合规与个人信息保护

1.美国康涅狄格州通过两项关于数据隐私泄露和网络空间安全的法案

康涅狄格州最近颁布了两项法案，即众议院第5310号法案(HB 5310)和众议院第6607号法案(HB 6607)，分别涉及企业的数据隐私泄露和网络安全标准。上述两项法案将于2021年10月1日生效。

HB 5310号法案扩展了数据泄露后需要发出通知的个人信息的类型（包括医疗信息和生物特征信息），将数据泄露后的最长通知期限由90天缩短至60天。如果在60天期限经过后发现或有理由相信个人信息已被泄露的，应该尽快发出通知。

HB 6607号法案防止了康涅狄格州高等法院以个人信息或保密信息泄露为由，对符合网络安全规定的相应主体施加惩罚性赔偿。网络安全计划符合州或联邦法律法规的企业也适用“避风港规则”。（来源：数据法律资讯）

2.美国SEC主席：已暂停审批中资企业VIE架构上市申请，三年内不公开审计信息不予上市

随着滴滴今年早些时候在美国IPO后股价暴跌，美国证券交易委员会（SEC）主席加里·詹斯勒面临着国会的压力，要求其加强对中国公司的审查。当地时间8月16日，加里·詹斯勒就投资中国公司的风险发出了迄今为止最直接的警告。加里·詹斯勒表示，他已要求美国证券交易委员会工作人员“暂时暂停”中国公司用来在美国上市的壳公司的IPO，并希望投资者了解更多关于公司结构的信息。加里·詹斯勒就发布了《关于与中国近期发展相关的投资者保护声明》称，鉴于中国最近的事态发展与中国VIE结构的整体风险，要求SEC工作人员对那些与中国实体运营公司相关的（离岸空壳企业）境外发行人，在通过VIE赴美上市之前，提出额外的信息披露要求。（来源：国际金融报）

二、反垄断与竞争法

1.美国FTC称Facebook“压制或收购”竞争对手，再度对其提起反垄断诉讼

美国联邦贸易委员会(FTC)周四更新了针对社交媒体巨头Facebook的反垄断案，增加了更多关于该公司压制或收购竞争对手的指控细节，并再次要求法官迫使该公司出售Instagram和WhatsApp。

新的起诉状有80页，比原来的起诉状要长得多，并包括更多数据，旨在支持FTC关于Facebook构成垄断的论点。起诉状的一个扩展部分认为，自2012年以来，Facebook在美国个人社交网络市场占据了65%以上的月活跃用户，居主导地位。

FTC以3比2按党派划分的投票结果提交了修订后的诉讼，并拒绝了Facebook提出的该机构负责人Lina Khan应回避的要求。Khan参与了新起诉状的提交。

该机构还再次要求法院命令Facebook出售其在2012年以10亿美元收购的Instagram，以及在2014年以190亿美元收购的WhatsApp。（来源：路透社）

文稿整理：高成 丨

编辑：李小旭丨

声明

本栏目文章为本所为本行业及社会公众提供的公益性普法服务，不属于针对具体事项的法律意见，也不代表本所针对具体个案的意见或观点。

「 往期文章 」