觀察者網(wǎng)：您剛才提到了平臺(tái)型企業(yè)，這個(gè)名詞最近曝光度很高，那么平臺(tái)的概念和“關(guān)鍵基礎(chǔ)設(shè)施運(yùn)營(yíng)者”的概念，兩者之間有怎樣的關(guān)系？

李天航：平臺(tái)型企業(yè)不是一個(gè)法律概念，但是“關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者”是一個(gè)法定概念。企業(yè)搭建平臺(tái)來(lái)為供求雙方提供服務(wù)，比如滴滴、阿里、京東，都是典型的平臺(tái)型企業(yè)。

由于平臺(tái)型企業(yè)天然匯集大量數(shù)據(jù)，從某種程度上看，一個(gè)平臺(tái)往往就能反映一個(gè)社會(huì)生態(tài)圈，能夠映射一個(gè)社會(huì)的部分運(yùn)行情況，關(guān)乎社會(huì)公共利益和國(guó)家安全的一部分運(yùn)行情況，也會(huì)在平臺(tái)上得以映射。同時(shí)，基本上所有平臺(tái)型企業(yè)，都是通過(guò)互聯(lián)網(wǎng)技術(shù)來(lái)實(shí)現(xiàn)經(jīng)營(yíng)，所以他們的業(yè)務(wù)平臺(tái)網(wǎng)絡(luò)和系統(tǒng)，就有可能是“關(guān)鍵信息基礎(chǔ)設(shè)施”。

運(yùn)營(yíng)“關(guān)鍵信息基礎(chǔ)設(shè)施”當(dāng)然會(huì)產(chǎn)生很多利益，這個(gè)我們先不講，從義務(wù)上來(lái)講，我國(guó)已經(jīng)建立了網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，對(duì)于CIIO來(lái)說(shuō)，在“等?！钡幕A(chǔ)上，還要進(jìn)行重點(diǎn)保護(hù)的話，比如在網(wǎng)絡(luò)建設(shè)的過(guò)程中，就要做到“三同步”，必須保證安全技術(shù)措施同步規(guī)劃、同步建設(shè)、同步使用。在網(wǎng)絡(luò)運(yùn)營(yíng)過(guò)程中，必須設(shè)置專(zhuān)門(mén)的安全管理負(fù)責(zé)人，要對(duì)負(fù)責(zé)人和關(guān)鍵崗位人員進(jìn)行對(duì)比調(diào)查、定期培訓(xùn)、技能考核、簽訂安全和保密協(xié)議，對(duì)重要系統(tǒng)和數(shù)據(jù)庫(kù)進(jìn)行容災(zāi)備份，等等。

這在我們將來(lái)出臺(tái)的《關(guān)鍵信息技術(shù)設(shè)施保護(hù)條例》肯定會(huì)更加細(xì)化具體。

還有最關(guān)鍵一點(diǎn)，就是數(shù)據(jù)出境?！毒W(wǎng)絡(luò)安全法》第37條規(guī)定，

關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者在中華人民共和國(guó)境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù)應(yīng)當(dāng)在境內(nèi)存儲(chǔ)。因業(yè)務(wù)需要，確需向境外提供的，應(yīng)當(dāng)按照國(guó)家網(wǎng)信部門(mén)會(huì)同國(guó)務(wù)院有關(guān)部門(mén)制定的辦法進(jìn)行安全評(píng)估；法律、行政法規(guī)另有規(guī)定的，依照其規(guī)定。

也就是CIIO在中國(guó)境內(nèi)收集的個(gè)人信息和重要數(shù)據(jù)首先要做到本地存儲(chǔ)，數(shù)據(jù)要出境必須滿足因業(yè)務(wù)需要確需向境外提供，并且還要通過(guò)安全評(píng)估，如果通不過(guò)，就不能對(duì)外提供。

還有CIIO應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對(duì)它的網(wǎng)絡(luò)安全性和可能存在的風(fēng)險(xiǎn)，每年至少進(jìn)行一次評(píng)估，將評(píng)估報(bào)告報(bào)送相關(guān)部門(mén)。

觀察者網(wǎng)：既然法律法規(guī)對(duì)CIIO的要求這么高，這種嚴(yán)格的管理和義務(wù)會(huì)不會(huì)成為一道門(mén)檻，限制后來(lái)者進(jìn)入這個(gè)行業(yè)？

李天航：如果從法律意義上談到準(zhǔn)入或者門(mén)檻的話，一般是指行政許可，事前審批才能進(jìn)入，但我們剛才談的其實(shí)不是批準(zhǔn)的問(wèn)題，也不是政府設(shè)置門(mén)檻或許可，而是想進(jìn)入的企業(yè)必須做到的合規(guī)義務(wù)，做不到就要面臨處罰，可能還要面臨責(zé)令停業(yè)整頓。比如這一次，某平臺(tái)就被暫停了新用戶注冊(cè)，并且下架APP。

這不是政府審批許可，而是相關(guān)經(jīng)營(yíng)者必須要自行符合的條件。

另一方面來(lái)說(shuō)，你說(shuō)的也有一定道理，從我們實(shí)際服務(wù)企業(yè)的經(jīng)驗(yàn)來(lái)看，在新的業(yè)態(tài)和法律環(huán)境下，提前做好合規(guī)性，確實(shí)能夠?yàn)槠髽I(yè)帶來(lái)競(jìng)爭(zhēng)優(yōu)勢(shì)。

2021年6月29日，上海，實(shí)拍2021網(wǎng)絡(luò)安全博覽會(huì)。圖片來(lái)源：視覺(jué)中國(guó)

觀察者網(wǎng)：我們剛剛談了這么多對(duì)CIIO的限制，那么從互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能技術(shù)的發(fā)展角度來(lái)說(shuō)，技術(shù)的進(jìn)步帶來(lái)的社會(huì)價(jià)值是顯而易見(jiàn)的，如何在技術(shù)發(fā)展、經(jīng)濟(jì)效益和安全合規(guī)之間做好平衡？

李天航：從社會(huì)學(xué)的角度來(lái)講，技術(shù)發(fā)展是一個(gè)不可逆的過(guò)程，是一個(gè)不可阻止的方向，技術(shù)發(fā)展對(duì)社會(huì)生活帶來(lái)大量的便利。

近代以來(lái)，技術(shù)的發(fā)展更多是通過(guò)經(jīng)濟(jì)利益的驅(qū)動(dòng)來(lái)實(shí)現(xiàn)的，這個(gè)過(guò)程中確實(shí)會(huì)伴生一些負(fù)面影響，包括一些安全事件甚至技術(shù)被應(yīng)用于違法犯罪。這更多要通過(guò)法律法規(guī)中的一些禁止性規(guī)定來(lái)實(shí)現(xiàn)。我們要提前防范一些不利影響，就要通過(guò)法律規(guī)定對(duì)企業(yè)提前設(shè)定一些相關(guān)義務(wù)，來(lái)強(qiáng)化企業(yè)的社會(huì)責(zé)任。

觀察者網(wǎng)：某中國(guó)大型網(wǎng)約車(chē)平臺(tái)，到美國(guó)上市，它也把自己掌握的大量數(shù)據(jù)作為自身在資本市場(chǎng)講故事的一大優(yōu)勢(shì)，但是今天中國(guó)、歐洲和美國(guó)都非常強(qiáng)調(diào)數(shù)據(jù)治理問(wèn)題，在跨法域經(jīng)營(yíng)過(guò)程中，CIIO應(yīng)該怎樣做好合規(guī)工作？

李天航：第一，該網(wǎng)約車(chē)平臺(tái)目前還沒(méi)有跨法域經(jīng)營(yíng)，它作為一家主要在中國(guó)經(jīng)營(yíng)的企業(yè)，所有數(shù)據(jù)首先是存儲(chǔ)在本地的，但是它在美國(guó)上市，也不可避免地會(huì)涉及到一些數(shù)據(jù)出境問(wèn)題。因?yàn)槊绹?guó)證券市場(chǎng)對(duì)于上市公司有很高的信息披露要求，包括必須根據(jù)美國(guó)公認(rèn)會(huì)計(jì)原則編報(bào)其財(cái)務(wù)報(bào)表、必需根據(jù)美國(guó)證券法律規(guī)定，對(duì)公司重大信息及時(shí)披露等，這勢(shì)必涉及到一些該公司在中國(guó)境內(nèi)的經(jīng)營(yíng)情況數(shù)據(jù)，是否能夠出境的問(wèn)題。這涉及《數(shù)據(jù)安全法》以及金融領(lǐng)域有關(guān)數(shù)據(jù)出境的交叉管理制度，企業(yè)必須要高度重視，并聘請(qǐng)專(zhuān)業(yè)的機(jī)構(gòu)協(xié)助處理。

第二，對(duì)于一些已經(jīng)“走出去”，實(shí)現(xiàn)跨法域經(jīng)營(yíng)的中國(guó)公司來(lái)說(shuō)，國(guó)際數(shù)據(jù)治理的大環(huán)境正在迅速變化，各個(gè)國(guó)家都在通過(guò)制定本國(guó)法律保護(hù)本國(guó)國(guó)民的個(gè)人信息、重要的數(shù)據(jù)等，尤其是在個(gè)人信息保護(hù)領(lǐng)域，類(lèi)似歐盟制定的GDPR之類(lèi)的法律法規(guī)正成為一種常態(tài)。如果這些企業(yè)采取的是一體化的網(wǎng)絡(luò)架構(gòu)和數(shù)據(jù)治理模式，如統(tǒng)一的數(shù)據(jù)中心，這就必然會(huì)面臨數(shù)據(jù)/個(gè)人信息所在國(guó)法律有關(guān)數(shù)據(jù)出境的約束，同時(shí)，在中國(guó)取得的數(shù)據(jù)如果存儲(chǔ)于中國(guó)以外的其他國(guó)家的數(shù)據(jù)中心，也必須符合中國(guó)《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》等等關(guān)于數(shù)據(jù)出境的合規(guī)要求。

觀察者網(wǎng)：全球化時(shí)代，數(shù)據(jù)流動(dòng)和治理也是一個(gè)全球性的課題，中國(guó)目前在這方面處于怎樣的水平，前景怎樣？

李天航：首先，在國(guó)際數(shù)據(jù)治理層面上，目前還沒(méi)有做通過(guò)國(guó)際公法、國(guó)際公約、雙邊/多邊條約的方式，或者這個(gè)領(lǐng)域的全球組織或者國(guó)際化組織。更多都是通過(guò)各國(guó)國(guó)內(nèi)法的形式治理，在本國(guó)法律之下做出相應(yīng)的規(guī)定和約束。

在此基礎(chǔ)上，我們國(guó)家的立法起步時(shí)間上可能會(huì)晚于某些國(guó)家，但是一定程度上也具有后發(fā)優(yōu)勢(shì)。同時(shí)，我們也可以通過(guò)比較研究的方法，歐美國(guó)家怎么立法，我們可以根據(jù)自己的研究和實(shí)際情況借鑒。

在這方面，雖然中國(guó)立法起步比較晚，但是從一些規(guī)制性措施來(lái)看，我們國(guó)家的法律經(jīng)常有一個(gè)關(guān)鍵性的原則，就是對(duì)等原則，包括《數(shù)據(jù)安全法》也遵循這個(gè)原則，別的國(guó)家對(duì)我們采取什么限制性約束性的措施，中國(guó)也會(huì)做一個(gè)相應(yīng)對(duì)等的設(shè)置。另外，出于國(guó)家安全和個(gè)人信息保護(hù)的角度，我們也做了相應(yīng)的法律規(guī)定和約束。

所以，中國(guó)的相關(guān)立法水平其實(shí)并不會(huì)落后于其他國(guó)家。