【小贝说安全】数安条例百问99、100：关于个人信息保护行业组织和附则

对应条款

《条例》的“附则”有3条，这里重点分析第七十三条给出的定义。

（一）关于网络数据（简称数据）

《条例》定义的“网络数据”来自《数据安全法》。后者规定了“数据”的定义：任何以电子或者其他方式对信息的记录。故《条例》将“网络数据”解释为“数据”的子集，即任何以电子方式对信息的记录。

需要指出，《网络安全法》第七十六条也曾对“网络数据”作了定义：通过网络收集、存储、传输、处理和产生的各种电子数据。

一些人认为，《条例》与《网络安全法》对“网络数据”所作定义不一致，因为后者还强调了“通过网络”。实际上，刻意放大两个定义的区别是没有意义的。不能从狭义角度理解《网络安全法》中的“网络”，而应当从网络空间的层面去认识。故而，网络空间中的数据本来就是以“电子”形式存在的，当然可以不突出“网络”。

（二）关于数据处理活动

《数据安全法》和《个人信息保护法》均定义了“处理”，区别是后者增加了“删除”环节。经综合考虑，《条例》采纳了《个人信息保护法》的方式，故“数据处理活动”的各环节与“个人信息处理”一致。

（三）关于重要数据

《条例》不但定义了“重要数据”，还给出了列举，一共7个方面。为什么除定义外还要进行列举呢？主要是为了尽可能为各类组织识别重要数据提供指导。但即使如此，这些列举也依然是示意性的，仍属定性。目前，全国信息安全标准化技术委员会正在组织制定国家标准《重要数据识别指南》，实际工作中可重点参考。

（四）关于核心数据

《条例》定义的“核心数据”与《数据安全法》完全一致。总的看，《条例》本身没有提出核心数据保护制度，这不是《条例》要解决的问题，故其随后在第七十四条指出，“核心数据”的保护另行规定。

（五）关于数据处理者

《条例》定义的“数据处理者”是对“个人信息处理者”的自然展开。即，将后者定义中的“个人信息处理活动”修改为“数据处理活动”。两者对处理活动的基本特征的描述是一致的：自主决定处理目的和方式。

（六）关于公共数据

《条例》第七条首次出现了“公共数据”，但相关的具体要求则是在第五十二条提出的，目的是对国家机关调用互联网平台运营者掌握的公共数据作出规范。

有必要指出，《条例》定义的“公共数据”范围较广，既包括国家机关和法律、行政法规授权的具有管理公共事务职能的组织履行公共管理职责或者提供公共服务过程中收集、产生的各类数据，也包括其他组织在提供公共服务中收集、产生的涉及公共利益的各类数据。在目前多个地方的立法实践中，对“公共数据”的定义一般都不涉及“其他组织”。《条例》为什么要扩大定义呢？主要原因是，“公共数据”体现的是公共利益，至少在某些场合，不宜仅从收集、产生的主体对其进行定义。

（七）关于委托处理

《个人信息保护法》定义了“个人信息处理者”，但没有定义“委托处理者”。考虑到实践中一些人对“委托处理”行为的理解有歧义，例如向第三方转移个人信息也被人称作“委托处理”，故《条例》专门对“委托处理”作了定义。该定义明确指出，这是指数据处理者委托第三方按照约定的目的和方式开展的数据处理活动。即，受委托处理数据者不能自主决定处理目的和处理方式。

（八）关于单独同意

“单独同意”是《个人信息保护法》提出的重要要求。这对个人信息处理者而言是一项重大义务，故引起了各方的高度关注。但《个人信息保护法》本身并未明确“单独同意”的具体形式，故只能由《条例》来解决。《条例》在给出该定义时，强调了“单独同意”的两个特点。一是在事发时刻（开展具体数据处理活动时）；二是针对每项信息。

一些人疑问，针对“每项信息”取得同意，是否意味着只能逐次弹出对每一项信息的同意窗口？这倒不必，完全可以在一个界面上同时展现对各项信息的同意按键。

考虑到个性化推荐等需要收集大量个人信息，且收集行为持续进行，难以确定收集个人信息的“事发时刻”，故可以在实施个性化等推荐行为时进行同意。亦即，“单独同意”也可以针对单次数据处理活动，不一定只针对单项信息。

（九）关于互联网平台运营者

之说以提出“互联网平台运营者”的定义，主要是为了将其与小型数据处理者相区别。由于互联网平台运营者要为用户提供信息发布、社交、交易、支付、视听等互联网平台服务，法律关系比较复杂，且其相对用户和平台上经营者处于强势地位，特别是其服务可能影响较大范围用户，有必要对其提出更严格的数据安全要求。

（十）关于大型互联网平台运营者

《条例》有两个条款涉及到“大型互联网平台运营者”。一个是第四十三条的规定：日活用户超过一亿的大型互联网平台运营者平台规则、隐私政策制定或者对用户权益有重大影响的修订的，应当经国家网信部门认定的第三方机构评估，并报省级及以上网信部门和电信主管部门同意。另一个是第五十三条的规定：大型互联网平台运营者应当通过委托第三方审计方式，每年对平台数据安全情况、平台规则和自身承诺的执行情况、个人信息保护情况、数据开发利用情况等进行年度审计，并披露审计结果。

之所以会对大型互联网平台运营者提出上述要求，主要是考虑到了有些平台的社会影响力大，如果出现安全事件会损害批量个人信息或重要数据，以及数据处理算法可能影响政治安全。为此，《条例》梳理了大型互联网平台的三个特点：用户超过五千万、处理大量个人信息和重要数据、具有强大社会动员能力和市场支配地位。这三个特点是“或”的关系。

（十一）关于数据跨境安全网关

《条例》规定“数据跨境安全网关”是为了第四十一条的需要。但实际上，该条属于互联网信息内容安全方面的要求，不直接涉及数据安全保护。

（十二）关于公共信息

为什么在定义了“公共数据”后，《条例》还要再定义“公共信息”呢？后者的提出有特殊背景，主要强调其公共传播特性，如公开发布信息、可转发信息、无明确接收人信息等。例如，点对点个人通信场景下的通信自由、通信秘密受《宪法》保护。但通信过程完毕后，留存的信息经常不再被视为通信自由、通信秘密，而被人任意转发。故有必要对一些场景下信息的公共传播特性进行规定，以更好地保护通信自由、通信秘密。