【合规资讯】关于滴滴被实施网络安全审查，您可能想了解的几件事儿

本文共5624字，建议阅读时长11分钟

近日，滴滴被实施网络审查一事引发多方讨论，星来律师特别就此事件以法律视角加以解读，带您了解了解关于网络安全审查的“那些事儿”。

目

录

一、什么是网络安全审查？

1. 网络安全审查立法背景

2. 网络安全审查工作如何启动？

3. 关键信息基础设施的判断方法

二、滴滴为何被进行网络安全审查？

1. 滴滴具有庞大的用户量级

2. 滴滴控制的数据包含大量敏感信息
   

3. 复杂境内外环境下数据传输话题的“敏感性”
   

4. 滴滴披露的数据合规方面的风险

三、如遇网络安全审查，企业可如何应对？四、结语

一、什么是网络安全审查？

1.网络安全审查立法背景

近年来，数据安全关乎社会公众利益乃至国家安全的观念深入人心，而作为重点行业和领域内控制重要数据的关键信息设施则对国家安全、经济安全、社会稳定、公众健康和安全更为重要。我们可以理解，保障关键信息设施安全、稳定运行即是保障国计民生、公共利益和国家安全不受破坏。
早在2015年，《国家安全法》中便有规定“国家建立国家安全审查和监管的制度和机制，对影响或者可能影响国家安全的外商投资、特定物项和关键技术、网络信息技术产品和服务、涉及国家安全事项的建设项目，以及其他重大事项和活动，进行国家安全审查，有效预防和化解国家安全风险。”2017年6月1日生效的《网络安全法》则特别指出关键信息基础设施运营者负有网络安全审查义务，采购网络产品和服务，应当按照规定与提供者签订安全保密协议，明确安全和保密义务与责任。
为进一步细化前述两部上位法中的要求，2020年4月13日，国家网信办、工信部、公安部、国家安全部、国家保密局、国家密码管理局等12个部门联合发布《网络安全审查办法》，并于2020年6月1日试运行，旨在专项保障关键信息技术基础设施供应链安全。

2.网络安全审查工作如何启动？

基于《网络安全审查办法》第三条之规定，网络安全审查坚持事前审查与持续监管相结合，且从该办法的具体规定中不难发现，网络安全审查工作分事前主动申报及事中被动调查两种启动方式：

注1：网络安全审查办公室设在国家互联网信息办公室，负责制定网络安全审查相关制度规范，组织网络安全审查，是网络安全审查工作的具体实施单位。

注2：网络安全审查工作机制成员单位包括国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、公安部、国家安全部、财政部、商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局。

网络安全审查部门确定实施网络安全审查后的工作流程：

3.关键信息基础设施的判断方法

《网络安全审查办法》是一部专项针对关键信息基础设施创设的部门规章，从网络安全审查办公室对滴滴出行启动网络安全审查一事来看，滴滴出行似有落入关键信息基础设施运营者之嫌。此事一出，不少企业不免担心自己是否也会落入关键信息基础设施运营者之列，进而面临网络安全审查事项。
从2017年《网络安全法》公布后，关键信息基础设施的具体界定方法一直悬而未决，过去虽公布过《关键信息基础设施安全保护条例》、《信息安全技术 关键信息基础设施边界确定方法》的征求意见稿，但正式的生效文件仍未出台。2020年9月22日，公安部发文《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》，就组织认定关键信息基础设施事宜展开说明，要求重点行业及领域的主管、监管部门制定本行业、本领域关键信息基础设施认定规则并报公安部备案；同时，主管、监管部门应根据认定规则负责组织认定本行业、本领域关键信息基础设施，及时将认定结果通知相关设施运营者并报公安部。从这一指导意见来看，或许最终关键信息基础设施的清单并不会对公众公布，仅以通知具体相关单位及公安部备案的方式执行，这或许也是对关键信息基础设施的另一种保护。
尽管如此，企业未收到关键信息基础设施认定的通知前，仍可积极展开自查工作，未雨绸缪，如自查认为属于关键基础信息设施，及时筹划网络安全审查工作的申报、或提前留存审查所需的材料，对企业的合规管理乃至企业形象建设皆有裨益。2017-2018年间，笔者检索到多省曾开展关键信息基础设施自查工作，以新疆为例，2018年4月新疆维吾尔自治区林业厅曾发布《自治区关键信息基础设施普查工作指南》，其中就关键信息基础设施的分类以及界定关键信息基础设施的步骤方法（一是梳理关键核心业务的运营单位；二是梳理识别关键业务；三是确定支撑关键业务的网络设施、信息系统、工控系统等，列出候选清单；四是根据关键业务对网络设施、信息系统、工控系统等的依赖程度，以及发生网络安全事件后可能造成的损失）以文字结合图表的形式予以详细说明，对企业开展自查工作具有指导价值，笔者特将此文件作为本文附件以飨读者参考（附件较长，请联系文末作者获取）。

二、滴滴为何被进行网络安全审查？

滴滴出行6月30日正式在美国纽交所上市，网络安全审查办公室7月2日发布对滴滴实施网络安全审查的公告，时间微妙，难免一时众说纷纭。但笔者建议在最终审查结果公布前，不就尚未公布的事实进行无端揣测或推论。本文仅结合前述对网络安全审查制度的介绍，从滴滴发布的公开信息中来说明对其实施网络安全审查工作的合理性。

1.滴滴具有庞大的用户量级

滴滴在美上市的招股说明书中就其活跃用户、活跃司机、日均交易量等信息提供了具体数字，其虽就国家和地区进行具体的数量区分，但作为境内发展起来的企业，中国境内的用户想必会是滴滴最大的用户群体。滴滴公开的招股说明书中提到，在2021年4月前12个月中其年度活跃用户达493MM（约五亿）、年度活跃司机人数达15MM（约一千五百万）、日均交易量达41MM（四千一百万）。此外，招股说明书中还披露“过去三年……我们已经改善中国以外超过6000万人的生活（Over the past three years,… we are already improving the lives of more than 60 million people outside of China.）”，从这两组数字中我们也不难窥见滴滴在中国拥有庞大的用户量级。

2.滴滴控制的数据包含大量敏感信息

笔者分别检索了滴滴的官方网站及滴滴出行App中公布的隐私政策，其官网显示的《个人信息保护及隐私政策》于2021年6月14日更新、2021年6月21日生效，其App中显示的《个人信息保护及隐私政策》则于2021年6月29日更新、2021年7月7日生效。App端的隐私政策虽较网站端进行了小幅更新（App端隐私政策的显示做了调整、取消了代驾司机绕车检查并拍照的说明、取消了关于取送车过程中信息收集的说明等），这可能与滴滴的业务调整有关，也可能是出于满足信息收集最小必要原则的考虑，但除此之外，两份隐私政策就数据的收集使用说明及处理活动介绍并无不同。
从隐私政策中披露的信息收集的类型来看，滴滴控制了大量的个人敏感信息，例如：作为拥有庞大用户量级、且收集大量用户敏感信息的“国民级”App，滴滴系统的稳定与否、对数据安全的保护程度直接影响社会公众利益，且其收集的大量行程信息、行驶过程的录像信息、道路信息等，难免不会涉及国家地理测绘类信息，因此，滴滴所控制的信息也与国家安全挂钩。
新出台的《数据安全法》将于2021年9月1日才生效，当前适用已生效的《网络安全审查办法》，对滴滴启用网络安全审查并无不妥。

3.复杂境内外环境下数据传输话题的“敏感性”

数据出境问题一直是国家立法、执法的监管重点。2021年7月3日，滴滴副总裁李敏辟谣滴滴将国内数据（包括道路数据）打包交给美国的消息，声明“滴滴和众多在海外上市的中国企业一样，国内用户的数据都存放在国内服务器，绝无可能将数据交给美国。”
滴滴的隐私政策中也就数据出境问题做了说明“如涉及向境外传输个人信息，我们将明确向您告知个人信息出境的目的、接收方、安全保障措施等情况，并另行征得您的同意。”
在审查结果作出前，就网络中传闻的滴滴事件，笔者不予置评。根据《网络安全审查办法》，网络安全审查办公室通过接受举报等形式加强事前事中事后监督。从这一规定来看，网络安全审查办公室是否收到类似传闻信息的举报后启动对滴滴的审查，我们不得而知。

4.滴滴披露的数据合规方面的风险

滴滴在其招股说明书中披露了其业务受有关隐私、数据保护和信息安全的各种法律、法规、规则、政策和其他义务的约束的法律风险，其中披露的部分风险在当前面临安全审查阶段已发生。
“我们在我们的平台上接收、传输和存储大量个人身份信息和其他数据。我们受许多法律和法规的约束，这些法律和法规涉及不同司法管辖区的隐私、数据保护以及某些类型数据的收集、存储、共享、使用、披露和保护。……为了遵守法律、法规、行业标准或合同义务规定的隐私、数据保护和信息安全标准和协议，我们已经产生并将继续产生大量费用。与隐私、数据保护和信息安全相关的现有法律或法规的变化或采用新的法律和法规，特别是任何新的或修改的法律或法规要求加强对某些类型的数据的保护或在数据保留、传输方面的新义务或披露要求，可能会大大增加我们提供服务的成本，需要对我们的运营进行重大改变，甚至阻止我们在我们目前经营或未来可能经营的司法管辖区提供某些服务。
尽管我们努力遵守与隐私、数据保护和信息安全相关的适用法律、法规和其他义务，但我们的实践、产品或平台可能无法满足此类法律、法规或义务。如我们未能遵守与隐私、数据保护或信息安全相关且对我们适用的法律或法规或任何其他义务，或发生未经授权访问、使用或发布个人身份信息事件或其他数据的任何安全事件，或被认为或被指控发生前述任何类型的故障或事件，皆可能会损害我们的声誉，禁止新老司机和骑手使用我们的平台，或导致调查、罚款、暂停我们的一个或多个应用程序，或其他政府当局的处罚和私人索赔或诉讼，其中任何一项都可能对我们的业务、财务状况和经营业绩产生重大不利影响。即使我们的实践不受法律约束，但就隐私问题的讨论和各方意见，无论是否有效，都可能损害我们的声誉和品牌，并对我们的业务、财务状况和经营业绩产生不利影响。”

三、如遇网络安全审查，企业可如何应对？

网络安全审查办公室发布公告后，滴滴第一时间响应，表明积极、全力协助网络安全审查工作。诚然，当企业面临监管部门的被动调查时，与主管部门的良好沟通与积极配合是应对调查工作的首要原则。但除积极响应监管部门的要求提供材料，积极“自救”也是助力顺利通过审查工作、扭转企业形象的重要途径。
归结到底，网络安全审查工作是专项针对关键信息基础设施安全检查的管理制度，如果企业可以自证切实履行关键信息基础设施运营者的义务，则顺利审查工作将是水到渠成。而这项工作绝非朝夕间“临时抱佛脚”，唯有长期、规范的管理工作方可奏效。

企业证明落实前述义务时，可从以下三个方面着手：

（1）留存企业在履行前述义务中制定、遵守的各项内控制度文件、员工培训记录等（关于企业如何开展数据安全合规工作，可参考新法解读：《数据安全法》下，企业合规之待办清单）；（2）提供公司就上线/采购新产品或服务由公司内部及外部专业机构（例如律师事务所、技术检测机构）联合确认的信息安全影响评估，以证明公司曾开展内部审核；（3）就当前普遍关注的数据本地化及出境问题，提供数据中心设置在境内的证据，留存数据传输记录和网络日志，以备审查数据流动情况之需。

结语

随着《数据安全法》的落地，网络安全-数据安全-国家安全的架构已初步完成，今后类似滴滴的案例将会愈发频繁。滴滴事件也给众多企业敲响了警钟，网络安全与数据合规案例具有突发性，这对企业持续落实合规义务提出了的更高的要求。
滴滴后续如何应对本次网络安全审查事件、消弭已产生的社会影响，我们将持续关注并输出观点。面对当前复杂的境内外环境及当前严格的监管态势，我们不禁思索，第一案已经来了，第二案还会远吗？

注释：

1.来自于滴滴官网个人信息保护及隐私政策

2.个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。通常情况下，14岁以下（含）儿童的个人信息和涉及自然人隐私的信息属于个人敏感信息

本文作者

史倩君

北京星来律师事务所实习律师

电话：[phone]

微信：sqj1220

邮箱：[e-mail]

毕业于上海外国语大学和上海对外经贸大学，先后取得法学学士学位和法律硕士学位。主攻专业方向为合规实务，专长于网络犯罪与数据合规，曾参与多个合规法律服务项目，涉及的行业包括医疗、互联网、教育、车企、金融科技等。在加入星来律师事务所之前，曾在某知名外企负责合规工作。
现任北京星来律师事务所合规中心实习律师，致力于为客户提供全方位的合规法律服务，包括网络安全与数据合规、广告合规、白领犯罪和政府监管等

星来律所介绍

北京星来律师事务所成立于2020年底，以“助力企业构建规范合规体系”为使命，专注于创新的企业合规业务，并辅之以高端的刑事、民商事诉讼及非诉法律服务，不断为客户提供高品质、综合性问题解决方案。星来与北京法意科技有限公司一起，联合星来合作网络中的资深律师打造出国内第一款以企业合规为内容的数字产品——“星来智引-企业刑事合规指数”。

星来律所特聘顾问

发展战略顾问
王忠德	欧盟中国委员会理事会副主席

特聘顾问
樊崇义	中国政法大学教授
赵旭东	中国政法大学教授 中国法学会商法学研究会会长
陈卫东	中国人民大学法学院教授
白建军	北京大学法学院教授
汪建成	北京大学法学院教授
黎宏	清华大学法学院教授
邓峰	北京大学法学院教授 中国商业法学会副会长
刘品新	中国人民大学法学院教授

相关推荐

【星来资讯】“七年级”律师日记：从律师到创始合伙人，深耕企业合规管理

2021年6月17日

【星来资讯】北京大公廉政管理顾问有限公司董事长欧燊平、副总裁庄家夫莅临星来洽谈合作

2021年6月16日

【星来合规】新法解读：《数据安全法》下，企业合规之待办清单

2021年6月15日

【星来合规】新一代企业竞标利器——企业如何建设合规管理体系|ISO 37301系列文章（下）

2021年5月19日

【星来合规】新一代企业竞标利器——可认证的国际合规管理标准ISO 37301（上）

2021年5月18日

声  明

《星来法律智引》所刊登的文章仅代表作者本人观点，不得视为星来律师事务所或其律师出具的正式法律意见或建议。本文仅供个人学习、探讨企业合规管理所用，不涉及其他商业用途。如任何单位或个人认为本文涉及侵犯其合法权益的，请及时与我们联系，我们将立即采取措施予以解决。