11月14日，國家互聯網信息辦公布了《網絡數據安全管理條例（征求意見稿）》（以下簡稱《條例》）。
受訪專家指出，《條例》明確了中國數據監管“三法合一”思路，執行、細化、補充了《網絡安全法》、《數據安全法》和《個人信息保護法》三部上位法的規定，進一步增強了數據安全法律體系的完備性和可操作性。
《條例》對數據分類分級、個人信息保護、個人行權、互聯網平臺運營者義務做出了較為細致的規定。
其中對日活用戶超過一億的大型互聯網平臺運營者課以更多義務：平臺規則、隱私政策制定或者對用戶權益有重大影響的修訂的，應當經國家網信部門認定的第三方機構評估，并報省級及以上網信部門和電信主管部門同意。這也意味著大型平臺規則等的變更不再是平臺自己的事情，而具備一定的公共屬性，需要經過評估以及主管部門同意。
對于近期討論熱度極高的互聯互通、算法策略披露、個性化推薦等，《條例》也都有了回應。
數據分類分級：制訂重要數據目錄并報備
該《條例》級別高，被列入國務院2021年立法計劃。今年數據、網絡安全等相關政策密集，但是中國信息安全研究院副院長左曉棟指出，和今年其他文件比，《條例》規格更高，相當于航空母艦。尤其是伴隨著《數據安全法》和《個人信息保護法》的落地，《條例》將作為數據管理的重要實施規則。
《條例》明確了數據分類分級保護制度，將數據分為一般數據、重要數據和核心數據三級。
重要數據是指一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能危害國家安全、公共利益的數據。包括：未公開的政務數據、工作秘密、情報數據和執法司法數據；出口管制物項涉及的核心技術、設計方案、生產工藝等相關的數據，密碼、生物、電子信息、人工智能等領域對國家安全、經濟競爭實力有直接影響的科學技術成果數據；達到國家有關部門規定的規模或者精度的基因、地理、礦產、氣象等人口與健康、自然資源與環境國家基礎數據等。
核心數據則是指關系國家安全、國民經濟命脈、重要民生和重大公共利益等的數據。
《條例》規定各地區、各部門對本地區、本部門以及相關行業、領域的數據進行分類分級管理，并制訂重要數據和核心數據目錄，并報國家網信部門。
重要數據與核心數據處理的要求也更為細化。處理重要數據的系統原則上應當滿足三級以上網絡安全等級保護和關鍵信息基礎設施安全保護要求，處理核心數據的系統依照有關規定從嚴保護。
此外，重要數據的處理者應當明確數據安全負責人，成立數據安全管理機構；向網信部門備案；制定數據安全培訓計劃以及向網信部門提供年度數據安全評估報告。
個人信息處理：以最短周期、最低頻次方式
“合法、正當、必要”是處理個人信息的基本原則，《條例》對此進行了細化，包括要求“限于實現處理目的最短周期、最低頻次，采取對個人權益影響最小的方式”。
清律律師事務所首席合伙人熊定中告訴21世紀經濟報道記者，周期多短算短、頻次多低算低等的落地仍存在很大的彈性。
大成律師事務所高級合伙人鄧志松告訴記者，“最短周期”是對“必要”存儲時間的解釋。例如，國標GB/T 35283-2020《個人信息安全規范》中“個人信息存儲時間最小化”的要求包括“個人信息存儲期限應為實現個人信息主體授權使用的目的所必需的最短時間”及“超出上述個人信息存儲期限后，應對個人信息進行刪除或匿名化處理”。
互聯網隱私專家王磊認為，對APP隱私合規實際執法的時候，會根據具體的場景判斷是否為最低頻次，比如每次點擊某個圖標都收集一IMEI，會被判定為違規，但如果只第一次收集，則不算是違規。
《個人信息保護法》賦予了個人查閱、復制、更正、刪除等權利，《條例》中規定了個人信息處理者應當對個人行權提供支持。
值得注意的是，《條例》細化了刪除權的場景，對于“因使用自動化采集技術等，無法避免采集到的非必要個人信息或者未經個人同意的個人信息”，數據處理者應當在十五個工作日內刪除個人信息或者進行匿名化處理。
熊定中解釋道，比如做數字營銷的企業去抓取淘寶平臺特定商品的購買者評論，里面可能帶有買家的個人信息。這種企業或許沒打算利用收集的個人信息識別到特定自然人，只是做群體畫像用以研判市場趨勢，但按照這條規定，應當限期刪除。“這在實踐中會增加非常高的運營成本，極難落地。”他強調。
此外，智能網聯汽車在行駛中收集的車外人員信息也屬于該條規定的情形。
平臺義務：應建立算法策略披露制度
“互聯網平臺治理涉及到很多方面的問題，各國也都在從不同角度進行探索。《條例》聚焦于互聯網平臺治理領域影響數據安全或與數據收集、使用有關的問題。”左曉棟指出。
《條例》設專章規定了互聯網平臺運營者應當履行的數據安全相關義務，包括披露數據相關的平臺規則、隱私政策和算法策略制度，不得利用數據以及平臺規則實施不正當競爭或限制，即時通信平臺間數據互通，履行個性化推薦安全義務等。
平臺規則、隱私政策等的制訂、變更不再是平臺自己的事情，而需面向社會征求意見，大型平臺還需經第三方評估取得行政同意。
而對于日活用戶超過一億的大型互聯網平臺運營者，其平臺規則、隱私政策制定或者對用戶權益有重大影響的修訂的，應當經國家網信部門認定的第三方機構評估，并報省級及以上網信部門和電信主管部門同意。
21世紀經濟報道記者整理各公司財報數據發現，日活用戶超一億的平臺包括微信、淘寶、支付寶、抖音、今日頭條、百度App、快手、拼多多、微博、愛奇藝等。這也意味著這些大型平臺的運營者以后要變更平臺規則等，或許將更為慎重。
但是何為“第三方”，不少專家表示《條例》規定得仍模糊。熊定中認為，個人信息保護法中規定的是網信部門“支持有關機構開展個人信息保護評估、認證服務”。從“支持”變成“認定”，是否有超出個保法授權范圍之外的嫌疑，值得探討。
不僅對個人信息處理、數據處理做出規定，《條例》還對算法推薦、互聯互通等深層問題提出要求。
大數據殺熟、差異定價等行為被禁止。《條例》要求：不得利用平臺收集掌握的用戶數據，無正當理由對交易條件相同的用戶實施產品和服務差異化定價等損害用戶合法利益的行為；不得在平臺規則、算法、技術、流量分配等方面設置不合理的限制和障礙，限制平臺上的中小企業公平獲取平臺產生的行業、市場數據等，阻礙市場創新等。
鄧志松認為，這體現了競爭法與數據相關法律的銜接。如此設置，一方面是因為，促進數據開發利用、保障數據依法有序自由流動是《數據安全法》的立法目的之一，而前述行為阻礙了這一目的的實現，有必要予以規制；另一方面，也是因為《數安法》中出現了競爭法與數據法的銜接條款，而平臺經濟領域數據相關的反競爭行為數量越來越多，關注度也越來越高，有必要在數據相關法律中予以強調。
對于近期討論熱度極高的“互聯互通”，《條例》也有回應：互聯網平臺運營者面向公眾提供即時通信服務的，應當按照國務院電信主管部門的規定，為其他互聯網平臺運營者的即時通信服務提供數據接口，支持不同即時通信服務之間用戶數據互通，無正當理由不得限制用戶訪問其他互聯網平臺以及向其他互聯網平臺傳輸文件。
如若該條保留至《條例》正式通過，則意味著對即時通信平臺運營者數據互通的要求更為剛性。
此外，對于個性化推薦，《條例》要求保證推送信息的真實、準確和來源合法，且需獲得個人單獨同意，需支持一鍵關閉推薦或刪除信息。
（作者：王俊,楊景宜 編輯：林虹）
