亚洲日本免费-啊轻点灬太粗太长了三男一女-麻豆av电影在线观看-日韩一级片毛片|www.grbbt.com

洪延青（數(shù)據(jù)保護與治理研究中心聯(lián)合創(chuàng)始人、國家《個人信息安全》標(biāo)準(zhǔn)編制組牽頭人）：

非常感謝組委會給我這個機會向大家匯報。跟前面兩位講到的稍微有點不同，個人信息保護跟每個人的生活有有密切的關(guān)系，討論的范圍也比前兩項標(biāo)準(zhǔn)參與的人的范圍要寬了很多。我們做標(biāo)準(zhǔn)的時候，一個前期的問題是要搞清楚我們的路徑是什么樣子，我們要把我們標(biāo)準(zhǔn)的基本定位搞清楚之后，才能進一步往下開展。

為什么叫做路徑選擇這個題目，其實就是把前期的基本問題要弄清楚，我們這個標(biāo)準(zhǔn)才好往下講。我今天主要跟大家做這個方面的匯報。

什么叫做個人信息保護？和我們經(jīng)常在媒體上看到的數(shù)據(jù)安全隱私有什么樣的區(qū)分？首先，數(shù)據(jù)安全我們認(rèn)為它跟傳統(tǒng)的信息安全很像，就是保密性、完整性、可用性。它主要的核心是防范信息或者信息系統(tǒng)免于遭受外界系統(tǒng)的訪問、使用、修改、銷毀等。這個手法我們在網(wǎng)安法第十條也可以看到，維護數(shù)據(jù)的完整性、保密性、可用性。

他這個安全到底有什么樣的含義？首先我們還是要區(qū)分個人保護和隱私的問題，在歐洲來看，他明確是兩個概念，《歐盟基本權(quán)利憲章》里面他明確說隱私是對私人生活、私人通信的保護。個人數(shù)據(jù)的保護更多的是關(guān)于自主信息的控制權(quán)，無論是《國家安全法》還是《網(wǎng)安法》，都有一個核心的詞叫安全可控。

個人信息保護很多時候不只是安全，個人信息保護還有一個可控的概念，自己能夠控制、能夠支配，在多大程度上使用、多大范圍內(nèi)擴散。歐洲做了一個區(qū)分，首先把隱私和個人信息保護區(qū)分開。個人信息保護和數(shù)據(jù)安全他又多了一層含義。隱私是一種讓我獨處的權(quán)利，我的私人生活、我的私人通信，你不要來管我，這是一種對立的防御機制，不要窺探我的個人生活，個人信息保護是自主支配的權(quán)利，我的信息在多大程度、多大范圍內(nèi)使用，他是一種控制擴散的機制。剛才我們都在講GDPR，它是明確區(qū)分這兩個東西的。

你跟美國人，或者在國際標(biāo)準(zhǔn)中看到隱私，他是包含歐洲兩個概念，一個是歐洲人講的隱私，和歐洲人講的個人信息保護。我們經(jīng)常在美國語境下看到兩個詞，一個是CIA的“三性”；一個是SPRITY（音），更多的是標(biāo)準(zhǔn)控制在里面。安全是一個基礎(chǔ)，但是有了安全不一定實現(xiàn)了個人信息的保護，個人信息很安全的存儲在某個系統(tǒng)里面，但是他沒有按照按照我們個人意愿處理這個信息，也沒有達(dá)到信息保護的權(quán)利。你跟外國人談信息保護，取決于你跟誰在交流，跟歐洲人，他區(qū)分的很明顯，但是美國人，可能他是混為一談的。概念的區(qū)分，大家就知道我們到底在談的是什么樣的問題。這是非常基礎(chǔ)和概念的東西。

第二，我們都知道現(xiàn)在所有人都在談數(shù)據(jù)的所有權(quán)，因為是我的數(shù)據(jù)，我就能決定怎么用，是你的數(shù)據(jù)，我管不著。我們在為標(biāo)準(zhǔn)做持續(xù)研究的時候，發(fā)現(xiàn)基本上所有的法律沒有對數(shù)據(jù)所有權(quán)做明確的規(guī)范，很可能第一個原因是沒有共識，沒有共識確實是這樣，拿國內(nèi)語境來說，大家對數(shù)據(jù)保護的權(quán)利，到底是什么樣的權(quán)利，有人認(rèn)為是人格權(quán)，有人認(rèn)為是財產(chǎn)權(quán)。

《民法》一審和二審稿是明確不一樣的。現(xiàn)在在人大法工委，人大那幫立法者里面，個人信息偏向人格權(quán)，現(xiàn)實中我們又討論到財產(chǎn)權(quán)的問題，為了能落實，大家又對數(shù)據(jù)做了基礎(chǔ)的劃分，原始數(shù)據(jù)是直接能聯(lián)系到我們的，一旦企業(yè)在這個基礎(chǔ)上進行加工、處理，實現(xiàn)增值，他們認(rèn)為這叫隱私數(shù)據(jù)和增值數(shù)據(jù)，這個權(quán)屬應(yīng)該歸企業(yè)。

貴陽大數(shù)據(jù)交易所出臺了一個辦法：《數(shù)據(jù)確權(quán)暫行管理辦法》，他明確講我們交易的不是底層數(shù)據(jù)，而是加工之后的數(shù)據(jù)。現(xiàn)在國內(nèi)也沒有搞清楚到底用哪一個路徑來保護，是不是我們必須得把基礎(chǔ)理論問題搞清楚之后才能做標(biāo)準(zhǔn)和制訂這個法律呢？我們覺得這不是這樣。我們標(biāo)準(zhǔn)組經(jīng)過長期的討論，也跟很多占家探討過之后，我們認(rèn)為你用《民法》人格權(quán)和財產(chǎn)權(quán)保護，可能出發(fā)點不一樣，但是落腳點是一樣的。把前幾個字刪掉，它的規(guī)定和《網(wǎng)安法》的規(guī)定是一樣的，都是不讓非法收集、利用、加工、傳輸。

民事上的權(quán)利，比如說這是我的房子，事前有一個機制，我個人提出請求，我要買、我要賣。事后權(quán)利被侵犯，我要去維權(quán)。我們還多了一個事前行政監(jiān)管、事中行政監(jiān)管，事后多了刑法和處罰。回過來看剛才PPT財產(chǎn)權(quán)的概念，無論你是區(qū)分原始和衍生、基礎(chǔ)和增值，一旦能夠識別到我們個人，我們還是認(rèn)為你要額外的保護，這個東西還是不能屬于你們企業(yè)專屬的財產(chǎn)。只要你聯(lián)系到個人了。

最后我們用的標(biāo)準(zhǔn)采取的路徑是對個人信息采用的風(fēng)險控制的東西，個人系統(tǒng)防范造成的風(fēng)險。最新的《網(wǎng)安法》對個人信息保護的條款，11月7號出了這個法之后，我們進行了研究，現(xiàn)在有一個基本的判斷，它現(xiàn)在是個人信息保護方面最權(quán)威的法律規(guī)定、最綜合性的。

第二，歐洲上或者美國上的一個個人信息保護的基本原則，我們這個法都基本上涵蓋了。現(xiàn)在看一條一條的解讀，第40條，有一個應(yīng)當(dāng)對收集的用戶信息保密，并建立嚴(yán)格的用戶信息保密制度。第一次明確了誰收集，誰負(fù)責(zé)，你收集了之后，要對他保護，你是第一責(zé)任主體。將來出了事，板子要首先打到你身上。

41條，體現(xiàn)了四個原則，這四個原則無論是國家還是企業(yè)都在用到這個原則。大部分黑色的字體在別的法律都有規(guī)律，紅色的字體是《網(wǎng)安法》新的規(guī)定。這首先規(guī)定了責(zé)任主體。我們看到了《網(wǎng)安法》規(guī)定的網(wǎng)絡(luò)運營者不得收集與其提供的服務(wù)無關(guān)的個人信息，防范企業(yè)要過渡收集，比如說我是一個天氣軟件，你沒有必要去看我的通訊錄。

43條，現(xiàn)在大數(shù)據(jù)產(chǎn)業(yè)有很大的需求，信息需要扭轉(zhuǎn)起來才能交易，交易起來才會發(fā)揮更大的價值。

42條寫了：未經(jīng)被收集者同意，不得向他人提供個人信息。但是經(jīng)過處理無法識別特定個人且不能復(fù)原的除外。他開了一個口子。

第二款，他還規(guī)定了發(fā)生安全事故之后，要告訴用戶，并向主管機關(guān)報告。這一條也是一個亮點，以前我們只會用到這兒，后面《網(wǎng)安法》加了一個強制，你以后有安全事件，不能蓋著了，你必須公開接受社會的監(jiān)督，讓我們被影響的人有知情權(quán)，政府機關(guān)也必須知道這個事，這一條是國際上通用的制度。美國51個州和幾個地區(qū)，47個州都有這樣的法律，現(xiàn)在我們通過《網(wǎng)安法》實現(xiàn)了跟國際的對接。43條也是一個非常大的亮點，給了我們一個主體參與的權(quán)利，參與到個人信息處理的過程中的選擇。其中他規(guī)定了在一定條件下，個人可以要求刪除個人信息的權(quán)利和更正個人信息的權(quán)利，這也是以往的發(fā)展規(guī)律沒有給的。44條，2012年全國人大頒布的一個決定，也是一個法，他規(guī)定“不能出售個人信息”。這次他開了一個口子，“不能非法出售個人信息”。什么是合法情況下我們也要后續(xù)的規(guī)定。

《網(wǎng)安法》通過五個條文對個人信息保護做出了一個姿態(tài)。這五條大多多少原則性的宣示，后續(xù)需要大量非常多細(xì)化的工作，保護工作才能落到實處。

在考慮標(biāo)準(zhǔn)工作之前，來看一個例子，這是我們?nèi)粘Ｕ{(diào)研中一個做的不錯的企業(yè)，他對個人信息保護是怎么做的。他在隱私條款和用戶協(xié)議的時候，未提供服務(wù)，并提升用戶體驗，將收集與之相關(guān)的個人信息。經(jīng)過簡單處理和審批之后，個人信息可以在各個業(yè)務(wù)線間用，他對個人信息的使用沒有限制。但是他對個人信息的安全非常重視、投資特別大。

為了風(fēng)險上的管控，現(xiàn)在為止沒有對外交易個人信息。這樣一個企業(yè)，他做這五項措施，某種意義上你跟條文去對應(yīng)，他很可能都是合規(guī)的，他明確了一個目的，而且用戶也點了同意，我就可以用。因為我的目的是提供服務(wù)和提升體驗，我有必要在各個業(yè)務(wù)線上共享。我為了提供服務(wù)和提升體驗，對用戶形成畫像，這五個東西看起來我們感覺他難道在使用中就沒有一些東西可以制約他？我們點了同意之后，我們就對自己的個人信息失去了管控的權(quán)利。

我們總覺得錯在哪里。但是如果你把這五條直接對應(yīng)《網(wǎng)安法》，很可能形式上你可以認(rèn)為他是合規(guī)的。下一步就是給我們做后續(xù)的標(biāo)準(zhǔn)提出一個問題，對這樣的行為我們怎么進行一個基本的管控措施，有沒有一個基本的路徑。我們給自己個人的標(biāo)準(zhǔn)定位叫：風(fēng)險歸置為核心的。

我們不討論是什么樣的人格權(quán)，我們討論的是個人信息處理對個人權(quán)益帶來的不利影響，生活上的侵?jǐn)_、危害到我們的人身和財產(chǎn)安全，危害我們名譽和遭到的歧視性的待遇。你收集到這些信息的時候，你可能對個人造成影響，我們就需要管控這些風(fēng)險，從這個角度出發(fā)，我們對個人信息定義有這樣一個考慮，他是兩個路徑：一個是識別加關(guān)聯(lián)，識別，從信息本身的特殊性回溯到特定個人，能夠單獨或者與其他信息結(jié)合，識別個人身份的信息。

比如說在座的這么多人我能從中很準(zhǔn)確的定位到陳老師、高院長在哪。哪怕我不知道高院長的職務(wù)和身份，但是我通過他衣著、身份不同，我能夠把他挑出來，我們認(rèn)為能達(dá)到識別這個目的的都叫個人信息。

第二個是關(guān)聯(lián)，我雖然定位到高院長，另外，我從各個渠道找到了一些其他的信息。這兩類的信息很可能都會對我們帶來不利的影響。第一類信息識別，我們能從一堆人中認(rèn)出這個人，我把這個人挑出來，等于我跟他建立了一個直接的管道。而關(guān)聯(lián)是說既然我知道這個人，他后續(xù)的信息我不斷的累積，我能越來越豐富對他的認(rèn)識和了解，這兩種行為都很有可能對個人信息造成一個可能上的風(fēng)險和不利影響。從管控風(fēng)險的角度來說，我們有必要把這兩類東西都認(rèn)為是個人信息。

明確風(fēng)險管理的責(zé)任主體，我們也認(rèn)為誰收集、誰使用，誰就是風(fēng)險管控的第一責(zé)任主體。我們做了一個規(guī)定，個人信息保護必須有一個專門的責(zé)任部門，因為他要管控風(fēng)險，很多企業(yè)里面都有一個風(fēng)控部，或者是安全部門，他是管控各種各樣的風(fēng)險，我們認(rèn)為對個人信息安全他也必須有這樣一個做風(fēng)控的部門或者個人。其中，我們強制他以部門或者個人信息保護負(fù)責(zé)人的名義，對外公開他的評估報告以及采取的措施。同時，他還有做內(nèi)部的培訓(xùn)、做內(nèi)部的保護制度的職責(zé)。我們把內(nèi)部的風(fēng)控責(zé)任壓到了內(nèi)部的一個部門。

個人信息安全風(fēng)險評估，我們回想剛才的企業(yè)的例子，我們希望通過這個風(fēng)險評估能貫穿企業(yè)收集使用信息的全過程，剛才那個實例，企業(yè)獲得個人信息以后，我們就管不著了。我們希望貫穿信息使用全生命周期。

所以我們評估的內(nèi)容也挺多的，收集的目的、個人信息管控的有效性，目的變更造成的影響，一旦交易的時候，對方的措施，包括企業(yè)很多都在做匿名化的信息處理，你還要評估他還能不能再恢復(fù)過來，重新建立對我們個人的聯(lián)系。我們還要求，你自己做完一個風(fēng)險評估，當(dāng)然要根據(jù)這個風(fēng)險評估的結(jié)果進行一個整改。但是如果你發(fā)現(xiàn)你無法降低這個風(fēng)險的話，你可能就應(yīng)該先停止處理這個個人信息。最后還是以個人的名義，我們要非常明確信息保護的主體是誰，責(zé)任明確到人或者部門。

個人信息交易、共享時的風(fēng)險控制和公開披露時的風(fēng)險控制。對交易合共享我們還做了一個額外的規(guī)定，比如說受讓方的級別不能低于出讓方的安全級別。你在轉(zhuǎn)讓之后，可能對后一方的信息處理對個人權(quán)造成損害的時候，你也要承擔(dān)責(zé)任。

現(xiàn)在是一個產(chǎn)業(yè)鏈，很多數(shù)據(jù)都是一個鏈條，通過好幾方才轉(zhuǎn)到我手里，我們把責(zé)任壓在了第一方，他轉(zhuǎn)讓數(shù)據(jù)的時候還是有附帶責(zé)任，不是我們轉(zhuǎn)讓出去了就跟我沒有關(guān)系了。我們認(rèn)為不是這樣的。公開披露，很多時候我們的信息會被公開，放到網(wǎng)上去。披露之前首先要做風(fēng)險評估，要征得明示同意，因公開披露對個人權(quán)益造成損害，披露方應(yīng)該承擔(dān)責(zé)任。

我為什么挑這六點跟大家分享呢？主要是這六點更加突出了我們從風(fēng)險管控的核心做的特殊的規(guī)定，跟以往的標(biāo)準(zhǔn)不太一樣的地方，我們想把風(fēng)險評估貫穿到評估生命周期中去，但是該有的一些目的明確、告知、同意，這些我們標(biāo)準(zhǔn)都有規(guī)定，這六項算是一個比較特殊的規(guī)定。對于我們對大數(shù)據(jù)、云計算時代，我們對個人信息保護有什么路徑上的更新、思路上的更新。

以上就是我跟大家匯報的全部。謝謝大家！在新時代，個人信息保護面臨很多挑戰(zhàn)，它的很多做法需要進一步的更新，我們希望我們做的被用戶接受、被主管機構(gòu)接受。謝謝大家！