2022年12月，北京國際數(shù)字經(jīng)濟治理研究院數(shù)據(jù)跨境專委會副主任、數(shù)據(jù)治理與跨境服務中心總經(jīng)理黃雷在智能網(wǎng)聯(lián)汽車數(shù)據(jù)治理和發(fā)展論壇上做了“智能網(wǎng)聯(lián)汽車數(shù)據(jù)跨境現(xiàn)狀和痛點以及解決路徑”主題演講。
黃雷提出，數(shù)據(jù)跨境流動的法律規(guī)則逐漸清晰，數(shù)據(jù)出境風險自評估成為企業(yè)數(shù)據(jù)跨境流動的必要合規(guī)路徑，由于數(shù)據(jù)出境風險自評估工作復雜度高、難度大、耗時長，建議企業(yè)：一是盡早開展數(shù)據(jù)出境風險自評估工作，提前識別潛在風險與隱患，通過整改切實解決或降低風險；二是制定并完善數(shù)據(jù)合規(guī)制度，建立數(shù)據(jù)安全合規(guī)體系；三是必要時可聘用專業(yè)的第三方跨境合規(guī)服務機構，保障數(shù)據(jù)出境風險自評估報告的效果和質量。
以下為演講摘錄：
一、數(shù)據(jù)跨境法律法規(guī)的背景
數(shù)據(jù)跨境是當前汽車行業(yè)或者是智能網(wǎng)聯(lián)行業(yè)安全合規(guī)的重要組成部分，這里面分為數(shù)據(jù)安全和數(shù)據(jù)出境兩個部分。就智能網(wǎng)聯(lián)行業(yè)數(shù)據(jù)安全而言，監(jiān)管部門主要有網(wǎng)信辦、工信部、自然資源部等，主管部門已經(jīng)發(fā)布了《汽車數(shù)據(jù)安全管理若干規(guī)定》《網(wǎng)絡數(shù)據(jù)安全管理條例（征求意見稿）》，還有2021年的《關于開展汽車數(shù)據(jù)安全網(wǎng)絡安全自查的工作通知》。汽車行業(yè)參與者被定義為汽車數(shù)據(jù)處理者，所以需要完成汽車數(shù)據(jù)安全自評估工作，也要依照若干規(guī)定的要求，完成每年12月15日的汽車重要數(shù)據(jù)年報。同時根據(jù)網(wǎng)信辦的要求，在《個人信息出境安全評估辦法（征求意見稿）》、《數(shù)據(jù)出境安全評估辦法》、《個人數(shù)據(jù)出境標準合同規(guī)定》的要求下，滿足條件的汽車數(shù)據(jù)處理者需要做數(shù)據(jù)出境風險自評估，要向網(wǎng)信部門提交風險自評估報告。
《數(shù)據(jù)出境安全評估辦法》出臺的背景是基于《網(wǎng)絡安全法》《數(shù)據(jù)安全法》《個人信息保護法》中對數(shù)據(jù)出境的基礎制度——安全評估制度的細化和落實。立法目的是規(guī)范整體企業(yè)的數(shù)據(jù)出境活動，保護信息權益，維護國家安全和公共安全，同時促進數(shù)據(jù)跨境的安全流動和自由流動。確立原則是堅持事前評估和持續(xù)監(jiān)督，風險自評估和安全評估相結合，防范屬于出境的安全風險，保障整體依法有序地自由流動。數(shù)據(jù)出行安全評估的流程分為兩大部分，第一部分是企業(yè)申報準備和提交申報，第二部分是網(wǎng)信部門開展安全評估及持續(xù)監(jiān)督。在自評估階段，依照辦法中的第五條企業(yè)開展風險自評估。根據(jù)第六條，我們要申請?zhí)釄蟛牧?，包括申報書、自評估報告、法律文件、其他材料等。在安全評估階段，基于第十一條、第八條、第十條，會出現(xiàn)受理和不受理的結果，同時有補充材料的機會，最后根據(jù)第十二條去完成，形成一個評估結果。實際程序中也會出現(xiàn)申請重新評估、安全監(jiān)管，投訴舉報等要求。
企業(yè)自評估，首先要明確向境外提供數(shù)據(jù)的時候，是否包含個人信息和重要數(shù)據(jù)。是否滿足法規(guī)中定性和定量的申報條件，如滿足需要準備開展安全自評估工作并向網(wǎng)信部門提交安全評估報告。除了提供數(shù)據(jù)出境安全評估外，個人信息的保護認證、標準合同和網(wǎng)信部門的其他要求，都可以作為我們數(shù)據(jù)出境的路徑，這需要企業(yè)根據(jù)自身實際情況結合法律法規(guī)要求去決定出境路徑。
在自評估的過程中，企業(yè)開展評估中要注意以下幾個要點，第一，整體數(shù)據(jù)出境情況的風險和整體的數(shù)據(jù)盤點。企業(yè)要從企業(yè)業(yè)務的角度，從數(shù)據(jù)的出境和境外接收方去論述它的目的、范圍、方式，數(shù)據(jù)出境的合法性、正當性和必要性、規(guī)模、種類、敏感程度等。境外接收方面，我們主要關注境外接收方承擔的一些責任和義務，包括境外接收方的安全保障能力。同時，個人信息權益的維護渠道是否通暢。在法律文件與約定情況上，主要是看與境外接收方擬定的數(shù)據(jù)出境相關合同，或者其他的這些法律文件是否充分約定了數(shù)據(jù)安全保護的責任和義務。此外，還有一些企業(yè)認為有必要的其他事項，也需要作為評估的重點，放到自評估報告里面來。
違反相關規(guī)定的企業(yè)，根據(jù)《數(shù)據(jù)出境評估的安全辦法》18條，可能會受到相應處罰，如果情節(jié)嚴重，還要追究刑事責任，同時企業(yè)需要停止未經(jīng)許可的數(shù)據(jù)出境行為和線路通道。
二、汽車數(shù)據(jù)跨境評估痛點和解決路徑
汽車數(shù)據(jù)跨境評估有六大痛點。
第一，數(shù)據(jù)出境的行為是具備隱蔽性的，例如因供應商導致的數(shù)據(jù)出境、遠程運維導致的數(shù)據(jù)出境等。
第二，跨國企業(yè)全球統(tǒng)一部署的系統(tǒng)占比高。
第三，個人信息和重要數(shù)據(jù)難以識別。在很多場景下，個人信息的范圍也不是很清晰，所以需要進一步識別。
第四，企業(yè)自身開展數(shù)據(jù)出境自評估耗時較長。企業(yè)整體運營情況和的數(shù)據(jù)流轉情況都要進行比較完整、比較精細的盤點，才能把整個的數(shù)據(jù)梳理出來，時間跨度大。
第五，數(shù)據(jù)出境的自評估需要大量的內外部協(xié)調工作。
第六，風險緩釋計劃和合規(guī)體系建設亟需指導。
《數(shù)據(jù)出境安全評估辦法》所稱的數(shù)據(jù)出境活動主要包括：一是，數(shù)據(jù)處理者將在境內運營中收集和產(chǎn)生的數(shù)據(jù)傳輸、存儲至境外。二是，數(shù)據(jù)處理者收集和產(chǎn)生的數(shù)據(jù)存儲在境內，境外的機構、組織或者個人可以訪問或者調用。數(shù)據(jù)的分級分類，其實是為了有序的跨境流動。這里面可能分一般數(shù)據(jù)，個人信息和個人敏感信息。個人信息是用電子或者其他方式去識別或者可識別的自然人有關的信息，其實不包括匿名化和處理過的信息。敏感信息是一旦泄露或者非法使用，會容易導致自然人的人格尊嚴受到侵害或者是危害人身財產(chǎn)安全的信息。重要數(shù)據(jù)里面包括一些未公開的政府信息、大面積人口基因的數(shù)據(jù)、地理位置信息等。
我們認為企業(yè)應該做的第一件事情是做判定自身屬于哪種數(shù)據(jù)處理者，跨境傳輸?shù)臄?shù)據(jù)類型是什么，企業(yè)性質是什么，是否達到了其他申報評估的觸發(fā)條件。第二件事情是識別風險，根據(jù)數(shù)據(jù)盤點、制度排查去識別出潛在的風險。第三件事情是解決或者降低數(shù)據(jù)處理中的風險和隱患，提高數(shù)據(jù)安全保護能力，進行合規(guī)整改、合規(guī)體系建設和完善，最終制定整體的風險緩釋計劃，確保整體數(shù)據(jù)安全流轉可控。
我們對企業(yè)數(shù)據(jù)跨境安全合規(guī)有三部分建議。
第一，希望企業(yè)可以盡早地開展數(shù)據(jù)跨境的咨詢工作。
第二，是希望企業(yè)可以積極參與我國數(shù)據(jù)分級分類的政策制定，貢獻企業(yè)智慧，完善整體數(shù)據(jù)合規(guī)制度，建立整體數(shù)據(jù)內部的合規(guī)體系。
第三，在自評估的過程中，要確保數(shù)據(jù)評估質量，要聘用專業(yè)的第三方機構去完成企業(yè)的自評估。
一個典型的數(shù)據(jù)處理者評估的流程，需要分為兩部分:
第一部分是數(shù)據(jù)處理者進行數(shù)據(jù)出境的風險自評估;
第二部分是從監(jiān)管一事一議的角度去做數(shù)據(jù)出境的安全評估。
如果整體流程都沒有問題，最終會完成評估，有效期是兩年。如果在兩年之內發(fā)生特定變化，企業(yè)需要重新提交評估材料。如果企業(yè)還有新業(yè)務，新目的，新跨境傳輸方式產(chǎn)生，也需要提前向網(wǎng)信部門提交數(shù)據(jù)安全評估資料，以獲批準。數(shù)據(jù)處理者針對已開展或將要開展的數(shù)據(jù)出境活動進行數(shù)據(jù)出境安全風險自評估時，應當遵循五大原則，分別是全面性原則、客觀性原則、匹配性原則、及時性原則和持續(xù)性原則。
《數(shù)據(jù)出境安全評估辦法》第六條規(guī)定了申報數(shù)據(jù)出境安全評估應當提交的材料：首先要包含申報書，申報書實際上是有統(tǒng)一模板。第二，自評估報告，要提前實施、提前準備。第三，數(shù)據(jù)處理者與境外接收方簽訂的法律文件。第四，其他材料，包括網(wǎng)信部門的一些管理材料、工程文檔或其他佐證。
北京國際數(shù)字經(jīng)濟研究院數(shù)據(jù)治理與跨境服務中心針對企業(yè)數(shù)據(jù)跨境的六個痛點，提出了一些解決方案。
第一，針對數(shù)據(jù)出境行為的隱蔽性，中心已經(jīng)總結出一些標準化的問卷模板，并且服務中心也有產(chǎn)品級的工具，可以幫助企業(yè)做相對全面細致的資產(chǎn)盤點工作。
第二，針對個人信息、重要數(shù)據(jù)難以識別，中心充分吸收了數(shù)據(jù)技術和法律安全等各行業(yè)的優(yōu)勢專家資源，并且針對不同行業(yè)，尤其是智能網(wǎng)聯(lián)行業(yè)的一些典型的業(yè)務場景的知識庫，做相應的檢索，去識別個人信息和重要數(shù)據(jù)。
第三，針對內外部所需的大量協(xié)調工作，中心現(xiàn)在可以協(xié)助各方實現(xiàn)可知可控可溯的數(shù)據(jù)盤點的管理要求，有相關的工具系統(tǒng)支撐。同時我們的系統(tǒng)也支持多部門協(xié)同工作。
第四，針對全球企業(yè)統(tǒng)一部署的系統(tǒng)占比高的情況，中心在系統(tǒng)上也針對不同場景的系統(tǒng)，形成了快速應對、快速識別的整體合規(guī)整理方案。
第五，針對企業(yè)耗時長的問題，中心針對不同的行業(yè)對不同的業(yè)務場景進行分析。通過我們之前的積累、模板以及技術手段，可以支持報告的半自動化生成。這種方式可以整體提升報告生成的效率。
第六，針對風險緩釋計劃和合規(guī)體系的指導，中心有很多行業(yè)資深專家，還有很多過往案例支撐，可以為企業(yè)提供有效的咨詢方案。
轉自焉知智能汽車
