数据与电商每周监管要点 | 国务院召开常务会议，支持平台经济持续健康发展

本期目录

CONTENTS

数据板块

1. 商务部、科技部印发《关于进一步鼓励外商投资设立研发中心若干措施的通知》

2. 市场监管总局批准发布一批重要国家标准，涉及信息技术领域

3. 北京市通信管理局公示了通信网络单元定级审核结果（2022年12月）

4. 全国首个获批数据出境安全评估案例落地北京

5. 经报网络安全审查办公室同意，滴滴出行恢复新用户注册

6. 发生算法误判，平台尽到了合理注意义务并设计了相应预防措，不构成违约

7. 《失信行为纠正后的信用信息修复管理办法（试行）》将于 2023 年5月1日起施行

电商板块

1. 国务院召开常务会议，要求持续抓实当前经济社会发展工作、推动经济运行在年初稳步回升等

2. 国家网信办举报中心持续开展网络辟谣标签工作

3. 国家网信办总结2022年全国网络执法工作

4. 国家网信办开展“清朗·2023年春节网络环境整治”专项行动

5. 长三角地区联合出台市场监管免罚轻罚规定

6. 广东省深圳市市监局召开春节期间市场秩序合规指导会，涉及医药、食品、电商平台等行业

7. 广东省广州市全力创建“全国网络市场监管与服务示范区”

域外板块

1. WhatsApp因违反GDPR被DPC罚款550万欧元

2. 法国数据监管机构对视频游戏开发商VOODOO处以300万欧元的罚款

3. 荷兰数据保护机构成立新部门进行算法监督

4. 美国司法部起诉谷歌非法垄断数字广告市场

5. 纽约州议会提交涉及员工隐私保护的法案

6. 马里兰州生物识别数据隐私法法案提交至参议院

7. 美国国家标准与技术研究院发布人工智能风险管理框架

8. 加拿大隐私专员办公室发布关于改进PIA的公告

9. 世界经济论坛发布国际数据流动白皮书

10. 韩国个人信息保护委员会发布了网购账户信息防盗指南

数 据 板 块

01

商务部、科技部印发《关于进一步鼓励外商投资设立研发中心若干措施的通知》

2023年1月18日，国务院办公厅发布转发商务部、科技部《关于进一步鼓励外商投资设立研发中心若干措施》（以下简称《若干措施》）的通知。《若干措施》指出，外资研发中心是我国科技创新体系的重要组成部分，并提出了4方面共16条政策措施。

值得关注的是，《若干措施》强调要提高研发便利度，支持研发数据依法跨境流动。落实网络安全法、数据安全法、个人信息保护法等有关法律法规要求，加强数据跨境安全管理，保障国家安全和社会公众利益，保护个人信息权益。高效开展重要数据和个人信息出境安全评估，促进研发数据安全有序自由流动。

该项政策措施将由中央网信办牵头，工业和信息化部、公安部等部门和各省级人民政府按职责分工负责。

02

市场监管总局批准发布一批重要国家标准，涉及信息技术领域

近日，市场监管总局（标准委）批准发布一批重要国家标准。本批发布的国家标准与经济社会发展、生态文明建设、百姓日常生活密切相关，涉及信息技术、消费品、绿色发展、装备材料、道路车辆、安全生产、公共服务等领域。

在信息技术领域，网络安全专用产品标准，规范了网络安全专用产品及其提供者相关技术要求，将有效防范和降低网络安全专用产品安全风险，提升我国网络和关键信息基础设施安全水平，助力相关产品的认证检测。目前，该标准正式文本暂未公布，根据此前发布的《网络安全专用产品安全技术要求》（征求意见稿），该文件可能成为所有网络安全专用产品和其提供者均需满足的基线要求，建议网络安全专用产品提供者对其正式文本予以重点关注。

03

北京市通信管理局公示了通信网络单元定级审核结果（2022年12月）

近日，北京市通管局公示了2022年12月北京地区电信和互联网企业通信网络单元的定级审核结果，本次共审核了北京地区18家单位的44个网络单元，其中通过的有25个网络单元，未通过的有19个网络单位。

《通信网络安全防护管理办法》第七条规定，通信网络运行单位应当对本单位已正式投入运行的通信网络进行单元划分，并按照各通信网络单元遭到破坏后可能对国家安全、经济运行、社会秩序、公众利益的危害程度，由低到高分别划分为一级、二级、三级、四级、五级。电信管理机构应当组织专家对通信网络单元的分级情况进行评审。为落实前述规定，北京市通管局根据《北京市通信管理局关于开展2022年电信和互联网行业网络与数据安全检查的通知》相关要求，对北京地区电信和互联网企业通信网络单元的定级备案情况进行了审核。

值得关注的是，通信网络单元定级备案不等同于等保备案。通信网络单元定级备案的主要法律依据为《通信网络安全防护管理办法》，备案机关为电信管理机构；而等保备案的主要法律依据包括《信息安全技术 网络安全等级保护实施指南》等国家标准，备案机关为公安部门。

04

全国首个获批数据出境安全评估案例落地北京

自2022年9月1日《数据出境安全评估办法》实施以来，数据出境安全评估在各地陆续开展，其中首都医科大学附属北京友谊医院与荷兰阿姆斯特丹大学医学中心合作研究项目成为全国首个数据合规出境案例。该项目的审批通过，标志着国家数据出境安全评估制度在北京市率先落地，为强化医疗健康数据出境安全管理，促进国际医疗研究合作提供了实践指引。

05

经报网络安全审查办公室同意，滴滴出行恢复新用户注册

2023年1月16日，滴滴出行发布消息称，经报网络安全审查办公室同意，即日起恢复“滴滴出行”的新用户注册。后续，公司将采取有效措施，切实保障平台设施安全和大数据安全，维护国家网络安全。2021年7月2日，网络安全审查办公室对“滴滴出行”启动网络安全审查，为配合网络安全审查工作，防范风险扩大，审查期间“滴滴出行”停止新用户注册，历时近一年半，滴滴出行重新恢复新用户注册。

06

发生算法误判，平台尽到了合理注意义务并设计了相应预防措，不构成违约

案情简介：原告小李在某网络交易平台注册为会员后，在该平台出售一张价值900余元的电子购物卡。交易完成后，小李发现平台冻结了该笔订单款项。小李认为，被告平台实施算法技术造成误判，此举已构成违约，请求法院判令平台公开道歉。

裁判考量要素：本案主要争议点为，被告采取涉案算法风控行为并对原告作出相应处置措施是否构成违约，法院细化认定了以下四个方面的事实：

1. 行为目的和主观意图、是否具有正当性；

2. 行为手段和性质、侵害财产权益的风险性程度、行为过程的审慎程度；

3. 行为主体身份的特点、技术能力水平及社会责任；

4. 是否采取了预防侵权的合理措施。

法院判决：被告已经尽到了与涉案算法风险相匹配的注意义务，并采取了必要的纠错机制安排，并不构成违约。

值得关注的是，随着算法监管的逐渐深入，算法应用过程中产生的算法误判等纠纷会逐渐增多，司法层面对于算法规制的裁判规则会愈发清晰，算法相关从业者应当予以重点关注。

07

《失信行为纠正后的信用信息修复管理办法（试行）》将于 2023 年5月1日起施行

近日，国家发改委出台《失信行为纠正后的信用信息修复管理办法（试行）》（以下简称《管理办法》），《管理办法》将于2023年5月1日施行。《管理办法》共33条，分为总则、信用信息修复的主要方式、严重失信主体名单信息的修复、行政处罚信息公示的修复、信用信息修复的协同联动、信用信息修复的监督管理与诚信教育、附则等7章，就信用信息修复的条件、程序、协同联动等进行了具体的规定，构建了信用信息修复管理的重要规则体系。

《管理办法》采取分级分类施策的模式，将信用信息修复的主要方式分为移出严重失信主体名单、终止公示行政处罚信息和修复其他失信信息三种，并就各自修复条件、修复程序等内容进行了规定。

《管理办法》正式生效后，将为企业开展信用修复工作（尤其是行政处罚公示信息的修复工作）提供制度支撑与操作便利，在满足修复条件时，建议企业及时提出信用修复申请。

此外，从“信用中国”网站获取失信信息的第三方信用服务机构亦应当关注信用信息更新机制的建立，确保与与“信用中国”网站保持一致，以避免因信用信息公示不准确而引发的法律风险。

电 商 板 块

01

国务院召开常务会议，要求持续抓实当前经济社会发展工作、推动经济运行在年初稳步回升等

1月28日，国务院召开的常务会议对经济社会发展工作、春耕备耕工作、推动消费工作等进行部署。

国务院部署平台经济、跨境电商工作内容如下：

• 当前经济持续恢复、呈回升态势，要坚持“两个毫不动摇”，依法保护民营企业权益，持续打造市场化法治化国际化营商环境；支持平台经济持续健康发展。上下共同努力，巩固和拓展经济运行回升势头。

• 针对需求不足的突出矛盾，乘势推动消费加快恢复成为经济主拉动力，坚定不移扩大对外开放、促进外贸外资保稳提质。落实出口退税、信贷、信保等政策，保持人民币汇率在合理均衡水平上的基本稳定。支持企业用好区域全面经济伙伴关系协定拓市场。促进跨境电商、海外仓等进一步发展。提高外贸竞争力。合理扩大进口。

02

国家网信办举报中心持续开展网络辟谣标签工作

1月25日，国家网信办举报中心总结2022年8月以来的网络辟谣标签工作成果。截至目前，中国互联网联合辟谣平台发布425条辟谣标签，各大网站平台依据辟谣标签对25万余条谣言进行标记。

网络辟谣标签工作启动以来，重点网站平台积极落实主体责任，依据权威发布对本平台数据进行深入摸排，清查本平台谣言并标记标签；及时更新辟谣专栏或专门辟谣账号，发布权威辟谣信息。春节期间，举报中心指导重点网站平台做好涉及春运、交通安全、食药健康等谣言的监测和查证辟谣工作，为广大网民欢度喜庆祥和的春节持续营造良好网络环境。

举报中心负责人介绍，网络谣言标签工作是整治网络谣言乱象、清朗网络空间的重要举措。2023年，将持续推进网络辟谣标签工作，不断健全网络辟谣联动机制，组织更多重点网站平台加大对网络谣言的辟除、曝光力度。

03

国家网信办总结2022年全国网络执法工作

1月19日，国家网信办总结2022年全国网络执法情况，其中，严厉打击网上平台各类违法违规行为，整治平台违法违规乱象的主要工作如下：

• 针对网络谣言、MCN机构信息内容乱象、网络直播和短视频领域乱象、未成年人网络环境、算法滥用、应用程序信息服务乱象等问题，各级网信部门结合网络生态综合治理及“清朗”系列专项行动，及时查处相关平台和账号。

• 针对平台直播间及店铺存在法律、法规禁止发布或者传输信息的问题，国家网信办指导地方网信办依法约谈相关平台及相关直播间、店铺运营主体主要负责人，并进行行政处罚。

• 针对违规从事互联网新闻信息服务的网站和账号、违法违规开展互联网宗教信息服务活动的移动应用程序、假冒和侵权网站以及侵权平台和账号，对其依法查处。

• 针对网站平台存在色情引流、诱导打赏、暴力谩骂、低俗庸俗等信息，存在涉网络占卜迷信等信息，存在用户账号发布炫富拜金等信息，存在涉流量造假、网络水军，存在侵害未成年人合法权益等违法违规问题，依法对多家网站平台进行行政处罚。

• 国家网信办加强对地方网信部门工作指导。针对个别互联网企业怠于履行网络安全和数据安全保护义务，依法对其采取罚款、处理责任人等措施。依法查处人民群众反映强烈的、存在以强制、诱导、欺诈等恶意方式违法违规处理个人信息行为的294款APP。针对具有舆论属性或社会动员能力的44款APP存在未按要求开展安全评估等违法违规行为，依法对其予以下架处置。

04

国家网信办开展“清朗·2023年春节网络环境整治”专项行动

1月18日，国家网信办决定即日起开展为期1个月的“清朗·2023年春节网络环境整治”专项行动。本次专项行动包含以下六个方面的工作任务：

1. 持续巩固“饭圈”治理成果，切实维护良好网络文娱生态。

2. 严肃查处网络炫富、宣扬暴饮暴食等问题，避免不良风气反弹回潮。

3. 集中查处组织实施网络赌博、网络诈骗等违法违规行为。

4. 加大封建迷信和不良现象整治力度。

5. 严管网络欺凌、网络沉迷等问题，加大未成年人保护力度。

6. 深入整治虚假信息等问题，防止渲染灰暗情绪。

针对上述工作任务，国家网信办要求：

• 各地网信部门和网站平台要加大对重点环节巡查力度，确保首页首屏、热搜榜单、信息流、评论等环节版块生态良好。

• 督促重点网站平台成立工作专班，加强春节期间值班值守，深入排查问题漏洞，切实加强内容审核管理，狠抓工作任务落实。

• 严肃查处一批违法违规网站平台、账号以及相关MCN机构，查办一批典型案例，认真总结专项行动工作成效，适时进行宣传曝光，形成震慑效应。

05

长三角地区联合出台市场监管免罚轻罚规定

1月13日，安徽省市监局、上海市市监局、江苏省市监局、浙江省市监局以《江苏省市场监管领域轻微违法行为不予处罚和从轻减轻处罚规定》为蓝本，联合出台规范性文件《长三角地区市场监管领域轻微违法行为不予处罚和从轻减轻处罚规定》（简称《规定》），该规定将自2023年3月1日起施行，有效期5年。《规定》对“不予行政处罚”“从轻或减轻行政处罚”“及时改正”的情形进行了列举，细化“违法行为轻微”“危害后果轻微”“当事人的主观过错”的认定因素，同时明确了初次违法的定义及相关法律适用。

长三角《规定》的出台，将有力推动长三角市场监管部门统一执法尺度和裁量标准，是长三角市场监管一体化的重要制度成果，对优化长三角法治化营商环境、推动长三角一体化发展具有积极意义。

06

广东省深圳市市监局召开春节期间市场秩序合规指导会，涉及医药、食品、电商平台等行业

1月16日，广东省深圳市市监局召开春节期间市场秩序合规指导会，全市重点互联网平台代表参会。会议制定了四份合规指导书，涉及节日期间价格行为规范、餐饮消费、防疫药品及互联网平台经济等多个民生热点领域。其中，明确平台企业合规要求的主要内容如下：

第一，药品、医疗器械行业合规指导书

• 各药品、医疗器械经营企业要依法合规经营、维护价格稳定。

• 第三方平台应当遵守网售新规、及时化解纠纷。

第二，食品经营行业合规指导书

• 禁止以食用为目的出售、购买、加工野生动物及其制品，或以此为噱头进行宣传。餐饮服务经营者严禁采购、销售和加工来自长江流域的非法渔获物。

• 餐饮服务经营中不得使用不可降解塑料袋等一次性塑料制品，不得免费提供一次性筷子、叉子、汤匙等餐具。

第三，平台企业经营合规指导书

• 要加强对促销活动的审核把关，特别是要加强标价规则和促销规则的合规审核。

• 维护公平竞争秩序，尊重平台内经营者的自主选择权。

• 加强网络集中促销活动管理。

第四，市场价格合规指导书

• 严格落实明码标价规定，依法明码标价。

• 维护价格公平。

• 规范促销行为。

• 餐饮、住宿、停车洗车、娱乐等服务行业，在节日期间不得随意涨价，价格如有变化的，必须及时更换标价签、标价牌，严禁事后收取未标明的费用。

07

广东省广州市全力创建“全国网络市场监管与服务示范区”

1月13日，广东省广州市政府新闻办公室召开新闻发布会，相关负责人介绍了广州市开展创建“全国网络市场监管与服务示范区”工作开展情况。广州将主要围绕“形成更具特色的全市网络经济产业规模，构建更加完善的网络市场监管与服务体系，探索更加先进的网络经济新业态服务治理模式”三大目标，全力推进示范区创建工作。

在市场监管方面，广州市将进行如下探索：

• 探索平台分级分类管理。

• 督促构建平台合规管理体系。督促指导电商平台企业围绕竞争行为、价格行为、广告行为、产品质量、食品安全、消费者权益保护、知识产权、合规管理等方面建立合规经营长效机制，探索建立平台实施合规管理、第三方评价合规效果、政府部门监督合规落实的平台合规管理体系。

• 加强平台信用风险管理。优化“信用风险分类+双随机”监管机制，推动信用风险分类管理与重点领域监管深度融合，全面提升“信用+智慧”监管水平。

• 探索新经济领域创新监管。围绕网络直播、网络社交、跨境电商、社区团购等网络经济新业态，对新经济形态领域实施包容审慎触发式监管，探索新经济领域企业“包容期”管理，设置“审慎监管企业”标签，建立互联网平台企业白名单管理制度，探索建立新业态企业容错机制。

• 构建多元共治新模式。充分发挥行业协会商会作用，鼓励行业协会商会、新闻媒体、消费者和公众共同开展监督评议，鼓励行业协会牵头制定团体标准、行业管理公约，推动与平台企业建立政企信息共享协同共治合作，探索社会公众和第三方专业机构共同参与的监督机制，形成政府监管、平台自律、行业自治、社会监督的多元治理新模式。

域 外 板 块

01

WhatsApp因违反GDPR被DPC罚款550万欧元

1月19日，爱尔兰数据保护委员会（Data Protection Commission —DPC）宣布对Meta 旗下应用程序WhatsApp处以550万欧元的罚款，原因是其违反了GDPR第 5(1) (a) 条和 6(1)条。除罚款外，DPC还要求WhatsApp重新评估如何使用个人数据来改善服务。

DPC对WhatsApp的调查源于一名德国数据主体就WhatsApp 服务提出的投诉。2018年5月25日（GDPR生效之日），WhatsApp Ireland对服务条款进行了更新并要求用户点击同意。如果用户拒绝，则无法使用WhatsApp的服务。WhatsApp认为，用户接受更新后的服务条款意味着已经与WhatsApp签订了合同，而包括提供服务和改进安全功能在内的用户数据处理行为对于履行合同是必要的，WhatsApp此类操作的法律依据是GDPR第6(1)(b) 条。但投诉主体认为，WhatsApp以用户接受更新后的服务条款为继续提供服务的条件，实际是在“强迫”用户同意处理自己的个人数据，违反了GDPR。

通过EDPB争议解决机制后，DPC发布了对WhatsApp调查的最终决定，内容包括：

• WhatsApp无权依赖合同作为法律依据为WhatsApp用户提供服务和改进安全功能；并且

• WhatsApp声称依赖于合同作为法律基础的数据处理行为，违反了GDPR第6（1）条。

WhatsApp表示，公司即将对这一决定提出上诉，并坚信其服务的运营方式在技术上和法律上都是合规的。

值得注意的是，本月初，DPC曾以类似理由对Meta公司开出两笔总额为3.9亿欧元的罚单，称Meta旗下Facebook与 Instagram所提供的的服务存在违规行为，要求这两款App必须重新评估在欧盟境内基于个人数据进行广告投放的法律依据。

02

法国数据监管机构对视频游戏开发商VOODOO处以300万欧元的罚款

1月17日，法国数据保护局（Commission Nationale de l'Informatique et des Libertés — CNIL）宣布，对视频游戏开发商VOODOO SAS处以300万欧元的罚款，原因是其违反了1978年1月6日关于数据处理、数据文件和个人自由的第78-17号法案（Act No.78-17 of 6 January 1978 on Data Processing, Data Files and Individual Liberties）（法案）的第82条。根据第82条，对用户终端设备存储信息的获取需经过用户的同意。

当发行者在App Store上架一个应用程序时，苹果公司会对每一个用户分配发行者识别符 “IDentifier For Vendors”（IDFV）。通过IDFV，该发行者能够跟踪用户对其应用程序的使用情况，并根据其具体使用行为完成个性化广告定制。

在2021年8月至2022年7月调查期间，CNIL发现，当用户表示拒绝为广告目的被追踪时，VOODOO仍然读取与该用户相关的IDFV，并且仍然为广告目的处理与用户浏览习惯相关的信息。

因此，CNIL认定，VOODOO在未经用户同意的情况下为广告目的使用IDFV标识符的行为，违反了法案第82条的规定。最终，CNIL对VOODOO的行为处以300万欧元的罚款。此外，CNIL还对VOODOO发布了一项禁令，要求其在三个月内获得用户对追踪IDFV的同意，否则将对其处以每天20,000欧元的罚款。

03

荷兰数据保护机构成立新部门进行算法监督

1月16日，荷兰数据保护机构（Dutch data protection authority — AP）宣布批准对算法的使用进行监督。AP即将成立协调算法部门（Coordination Algorithms Directorate）来进行算法监督。

AP强调，其对算法和人工智能（AI）的现有监督体系将保持不变，而新的协调算法部门将对算法带来的特定风险和影响进行监督。此外，AP计划在2023年通过该部门加强对算法的整体监督，包括收集、分析和分享有关算法使用的风险及影响的知识，加强部门之间对算法监督方面的现有合作，并促进对算法标准和指南的跨部门解释。

04

美国司法部起诉谷歌非法垄断数字广告市场

1月24日，美国司法部（DOJ）联合纽约州、加利福利亚州、科罗拉多州、康涅狄格州、新泽西州、罗德岛州、田纳西州和弗吉尼亚州共同对谷歌公司发起反垄断诉讼，指控其非法垄断数字广告市场，违反了《谢尔曼法案》（the Sherman Act）第1条和第2条。

司法部在公布的起诉状中称，谷歌在过去的15年中，一直“通过对网络发布商、广告商和经纪商用于推广数字广告的大量高科技工具进行系统性控制，破坏了广告技术行业的合法竞争”。该公司“使用了反竞争、排他性和非法的手段消除或显著削弱任何对其在数字广告技术领域统治地位的威胁”。

具体而言，谷歌的反竞争行为包括：

• 收购竞争对手：通过收购清除广告技术领域的实际或潜在竞争对手，并获得关键数字广告工具的控制权；

• 强迫网络发布商和广告商使用其产品，破坏网络发布商和广告商有效使用竞争对手产品的能力；

• 操纵产品的拍卖机制，使谷歌避开竞争的影响，削弱竞争对手的规模，阻止竞争对手的技术发展。

司法部请求弗吉尼亚州东区联邦地方法院强制谷歌出售大部分广告技术产品，以拆分其数字广告业务，并阻止其垄断行为。 这是拜登政府执政以来首次起诉谷歌。2020年10月，美国司法部也曾对谷歌发起诉讼，指控其利用反竞争策略保持或扩大在网络搜索服务领域的垄断地位。

05

纽约州议会提交涉及员工隐私保护的法案

1月17日，纽约州议会提交了关于修订劳动法的法案（Assembly Bill—AB 1360），并在当天将该法案提交给劳动委员会。该法案涉及到保护员工的网络隐私， AB 1360具体规定了雇主不得：

第一，请求、要求或胁迫员工：

• 披露受保护的个人网络账户的登录信息；

• 披露员工账户的内容，但雇主可以要求员工将雇主添加或保留到“允许访问自己账户信息”的人群中；

• 改变网络账户的设置，导致他人更易访问员工账户的登录信息或内容；

• 授权雇主访问员工账户，导致雇主能够看到员工账户的登录信息。

第二，在员工不遵守雇主要求，或者不同意将雇主添加或保留到“允许访问自己账户信息”的人群中的情况下，对员工采取或威胁采取对其不利的行为。

AB 1360同时强调，雇主访问员工账户信息时，只有具有特定的目的以及必要性，才能对访问的具体内容作出修改。此外，AB 1360详细规定，获得受保护的个人网络账户登录信息的雇主必须保证第三人不得访问该信息，并作出合理努力保证登录信息的安全。

06

马里兰州生物识别数据隐私法法案提交至参议院

1月20日，马里兰州第169号法案（Senate Bill — SB 169）（涉及商业法、消费者保护及生物识别数据隐私）提交至参议院，随后于同日提交至财政委员会。SB 169旨在规范私人企业对生物识别数据的使用。具体而言，SB 169将要求拥有生物识别数据的每个私企制定书面政策，并需要向公众公布：

• 数据的存储时间，以及

• 永久销毁生物识别数据的具体方针，以及例外情况（如有）。

SB 169号法案主要旨在规范私企进行生物识别数据的存储、转移及披露的行为。并且，该法案将禁止私企开展某些业务，例如：

• 出售、租赁或交易任何个人的生物识别数据；以及

• 以收集、使用、披露、转让、出售或处理生物识别数据作为提供服务的条件，除非生物识别数据对于提供服务而言具有绝对的必要性。

07

美国国家标准与技术研究院发布人工智能风险管理框架

1月26日，美国国家标准与技术研究院（National Institute of Standards and Technology — NIST）发布了人工智能风险管理框架（AI RMF 1.0）（Artificial Intelligence Risk Management Framework — AI RMF），这是一份指导性文件，旨在帮助那些设计、开发、部署或使用人工智能（AI）系统的公司管理人工智能技术带来的风险。随着技术的不断发展，AI RMF能够让社会从人工智能技术中受益，同时也被保护其免受技术的潜在危害。

值得注意的是， AI RMF为人工智能公司提供了一个灵活和结构化的流程指南，总体分为两部分：

• 第一部分讨论了公司在运营过程中是如何产生与人工智能相关的风险的，并概括了具有可信赖的人工智能系统的特征；以及

• 第二部分描述了四个具体功能（即治理、绘制、估量和管理），以帮助公司在运营中解决人工智能系统的风险。

同天，NIST发布了一个配套的AI RMF手册，手册内容主要是关于如何阅读和使用AI RMF。此外，NIST强调将定期更新AI RMF，并鼓励公众随时对AI RMF Playbook提出补充和改进建议。

08

加拿大隐私专员办公室发布关于改进PIA的公告

1月25日，加拿大隐私专员办公室（Privacy Commissioner of Canada — OPC）发布了一份针对联邦公共部门的公告，内容是关于改进隐私影响评估（Privacy Impact Assessments — PIAs）的五种方式。该公告旨在强调PIA报告中经常被忽视或处理不当的五点，包括法定权限、PIA范围、实施日期、风险缓解措施以及帮助完成审查的补充文件。此外，OPC认为，虽然有些点超出了PIA的核心要求，但在报告中涵盖它们能够让PIA的要求更加严格，从而为内部利益相关者和签署者增加可读性，并且有助于OPC对PIA报告提供反馈。

09

世界经济论坛发布国际数据流动白皮书

1 月 16 日，世界经济论坛（World Economic Forum）发布了一份题为“基于信任的数据自由流动体系：克服跨境数据流动的障碍”的白皮书。 该文件强调了国家间数据流动对经济的重要性，并敦促全球公共和私营部门的领导者集体采取行动，努力达成实施“基于信任的数据自由流动体系（Data Free Flow with Trust — DFFT)”的共识。该白皮书的目的并不是提供详尽的政策建议和工具的清单来应对目前和未来的挑战，而是要回顾 DFFT 当前所面临的挑战，总结迄今为止所取得的进展，为商业发展的政策机制及方法提供方向，促进全球对如何从政策和商业的角度实现数据自由流动的讨论。

10

韩国个人信息保护委员会发布了网购账户信息防盗指南

1月19日，韩国个人信息保护委员会（Personal Information Protection Commission — PIPC）发布了网购账户信息防盗指南，指导个人如何在网购时防止账户信息被盗。PIPC详细介绍了一种常见的网络攻击，即凭证填充攻击（credential stuffing），这种攻击在用户帐户ID 和密码已经被其他网站的攻击者泄露或获取时经常发生。具体而言，许多互联网用户经常在多个网站使用相同的账号和密码，如果其中一个账号和密码被获取，其他账号也可能被盗用。最后，PIPC要求电商经营者彻底分析和检查用户的访问记录和使用状况，排查可疑的账户信息盗窃案件，并建议用户采取以下措施，防止账号信息被盗用造成的损失：

• 更改在不同网站使用的密码； 以及

• 启用手机信息验证、电子邮件验证或生物识别验证。

本文首发自公众号：数据与电商研究室

如需转发，请注明信息来自数据与电商研究室，如有意见建议或合作，请邮件[e-mail].

往 期 精 彩

解读文章

案例分享

★

长按二维码一键关注