从《数安条例》看互联网平台监管

在信息技术高速发展的今天，平台在给用户带来福利增长的同时也暴露出许多问题。例如，平台依托自身数据优势与算法技术壁垒，有选择地限制数据接口以打压竞争者；或是借助数据优势优待自身业务，限定交易的对象和范围，损害消费者合理利益；又如，部分企业在用户不知情的情况下，超范围索取用户权限，收集处理用户个人信息。因此，近年来全球范围内围绕互联网平台的立法和执法如火如荼，各个司法辖区不约而同的规制行为似乎以一种不容置喙的态度表现出对互联网平台进行监管的决心。

总体看来，对于互联网企业主要的规制方式有两类，一是平台反垄断执法进入深水区，二是数据保护立法，监管力度增强。

在平台反垄断层面，美国联邦贸易委员会迎来了重塑互联网反垄断悖论的新任掌门Lina Khan，展开了新一轮针对互联网巨头的诉讼拉锯战，欧盟则在去年年底颁布了《数字市场法》和《数字服务法》两部重磅草案，将部分平台认定为数字市场的“守门人”（Gatekeeper），以期“确保公平和开放的数字市场”。[1]几乎与此同时，我国出台了《国务院反垄断委员会关于平台经济领域的反垄断指南》（“《平台反垄断指南》”），并向两家互联网企业开出天价罚单。

在数据保护层面， 2016年欧盟出台的《通用数据保护条例》（GDPR）将个人数据的价值提升到基本人权的高度，并引发了数据合规领域的立法潮。在过去的一年里，我国在数据领域发布了《数据安全法》和《个人信息保护法》（“《个信法》”）两部重磅法律。《个信法》第五十八条强调了对大型互联网平台的规制（请参考我们此前的文章《责无旁贷——探讨<个人信息保护法>下互联网平台处理者的特殊责任》），而国家互联网信息办公室2021年11月14日发布的《网络数据安全管理条例（征求意见稿）》（“《数安条例》”）则设置专章，规定互联网平台运营者义务。《数安条例》详细规定了利用网络开展数据处理活动需要遵守的规则，以及网络数据安全层面的监督管理要求。本文将对《数安条例》中“平台”的概念进行梳理，并在此基础上就互联网平台的数据保护、算法治理、公平竞争和公共服务方面的合规要求进行解读。

《数安条例》将“互联网平台运营者义务”作为专章单列，但其中并未就平台本身的识别进行规定，仅定义了互联网平台运营者以及大型互联网平台运营者，因此对于相关概念需要结合其他相关规定进一步厘清。

关于平台的定义，2021年2月出台的《平台反垄断指南》第二条第（一）款将平台定义为“通过网络信息技术，使相互依赖的双边或者多边主体在特定载体提供的规则下交互，以此共同创造价值的商业组织形态”。国家市场监督管理总局日前发布的《互联网平台落实主体责任指南（征求意见稿）》（“《平台主体责任指南》”）在附则中同样延用此定义。因此，对于《数安条例》中平台的识别问题仍可以此作为参考。

关于互联网平台运营者的定义，《数安条例》第七十三条第九款从功能出发，将其定义为：“为用户提供信息发布、社交、交易、支付、视听等互联网平台服务的数据处理者”。该定义与《互联网平台分级分类指南（征求意见稿）》（“《平台分级分类指南》”）中的相关概念存在一定差异，《平台分级分类指南》从平台的连接属性和主要功能出发将平台分为网络销售类、生活服务类、社交娱乐类、信息咨询类、金融服务类及计算应用类这六大类。对此，我们理解，涉及数据安全和个人信息保护的平台责任，互联网平台运营者应首先判断其所提供的服务是否落入《数安条例》所列举之功能，进而适用平台的特殊合规义务；而对于非数据安全和个人信息保护的平台责任，平台运营者可参考《平台分级分类指南》的功能分类进行识别，并适用相关法律规定的平台合规义务。

关于大型互联网平台运营者的定义，《数安条例》第七十三条第十款将其定义为“用户超过五千万、处理大量个人信息和重要数据、具有强大社会动员能力和市场支配地位的互联网平台运营者。”该定义相比于《平台分级分类指南》中的相关概念稍有差异，后者所列大型平台的条件包括上年度在中国的年活跃用户不低于5000万、具有表现突出的主营业务、上年底市值（估值）不低于1000亿人民币以及具有较强的限制商户接触消费者（用户）的能力。综合上述两条规定来看，“大量” “强大”以及“突出”“较强”等用语均显模糊，仅用户数和市值（估值）有明确的量化标准可帮助互联网企业进行自我识别。除此之外，就是否具备市场支配地位，企业亦可参考《平台反垄断指南》的相关规定进行自我评估或者委托专业律师进行评估。[2]

在数据保护层面，《数安条例》对平台监管的力度达到一个新的高度，除了重申既有制度外，《数安条例》还在平台规则和数据安全管理等层面进行更新。

1）平台规则

《数安条例》将其在平台数据保障方面的首个发力点聚焦在平台规则上。如今，用户协议和隐私政策已经成为互联网领域屡见不鲜的用户保障规则。本次《数安条例》在程序和实体两个维度进行了创新。

从程序上看，《数安条例》第四十三条增设“平台规则征求意见”之规定，要求互联网平台“制定或者对用户权益有重大影响的修订，应当在其官方网站、个人信息保护相关行业协会互联网平台，面向社会公开征求意见，征求意见时长不得少于三十个工作日”。该规定与《电子商务法》第三十四条要求类似，电子商务平台修改平台服务协议和交易规则，应当在其首页显著位置公开征求意见，而数据相关平台规则也可落入“平台服务协议”的范围内。我们理解，可以从两个层面解读该规定的合理性：一方面，平台规则本身具有用户与平台签订的合同属性，由平台全权掌握该等格式条款的制定权使用户在与平台的关系中处于不利地位。新增规定赋予用户参与平台规则制定的权利，有助于提升平台规则的公平性，防止平台滥用权力，保障用户基本权益。此外，互联网平台虽然并非公权力机关，但考虑到平台自身的公共属性，公众对制度构建的参与能够提升平台规则的民主性和科学性。正如政治学家弗朗西斯·福山（Francis Fukuyama）所指出的那样，平台真正的危险可能不是扭曲了市场，而是威胁到了民主，而允许用户至少部分拥有对其所阅读和浏览内容的控制权的“中间件”（middleware），或许能成为制衡平台垄断权力的破局之法。[3]而让大众参与平台规则的制定，或许能够成为用户掌握“中间件”的重要途径。

对于大型互联网平台，第四十三条还要求“日活用户超过一亿的大型互联网平台”制定或对平台规则进行重大修订时，应当“经国家网信部门认定的第三方机构评估，并报省级及以上网信部门和电信主管部门同意”。此前行业普遍认为互联网的治理属于一种“私治理”，而该规定则将公权力引入平台规则的制定程序中来。考虑到平台的公共属性，平台规则在某种程度上也可以视为平台内部的“立法”，因此公权力参与影响力较大的平台规则制定，也体现出立法机关对平台用户权益保护的关切。如该规定得以实施，将在“公权力-私权力-私权利”三角关系[4]下形成全新的平台规则制定格局。

需要注意的是，用户和公权力仅在平台规则出现“重大变更”时才会参与制定，虽然《信息安全技术 个人信息安全规范》附录D中曾对隐私政策的重大变更作出说明，但平台规则“重大变更”的具体范围仍需进一步释明。

从实体上看，《数安条例》除了响应《互联网信息服务算法推荐管理规定（征求意见稿）》（“《算法推荐管理规定》”），将算法规则纳入平台规则外，还对应用程序分发服务的平台运营者提出“建立、披露应用程序审核规则”的要求，其目的在于向用户提供安全可靠的应用程序。《数安条例》没有给出应用程序分发平台的具体定义，结合此前监管部门发布的文件，我们理解，分发平台是指通过应用商店、应用市场、网站等方式提供应用程序下载、升级服务的软件服务平台。[5]网信办、工信部等监管机构发布的《移动互联网应用程序信息服务管理规定》《移动智能终端应用软件预置和分发管理暂行规定》《移动互联网应用程序个人信息保护管理暂行规定（征求意见稿）》《应用商店App个人信息收集使用上架审核和管理规范（征求意见稿）》等多份文件均提及分发平台的职责，而《数安条例》则进一步强调审核规则的公开性和透明性。

2）数据保护责任

《数安条例》除了要求增强互联网平台规则的透明度外，还在数据保护方面对平台提出了更高的要求，并进一步明确了管理的范围。

《数安条例》第四十四条规定了互联网平台运营者应当对接入其平台的第三方产品和服务承担数据安全管理责任。该规定不排除是对2019年网信办发布的《数据安全管理办法（征求意见稿）》第三十条的进一步修订。相较之下，《数安条例》进一步明确了数据安全管理责任的范围，包括通过合同等形式明确第三方的数据安全责任义务，督促第三方加强数据安全管理，采取必要的数据安全保护措施，以及第三方产品和服务对用户造成损害时进行先行赔付等。我们理解，平台与第三方产品和服务提供商之间往往在数据共享、数据委托处理等层面存在合作，因此需要就数据保障责任作出制度安排。而本次《数安条例》在此基础上强调了平台对第三方的监督管理义务，上述规定类似《电子商务法》中规定的平台对平台内经营者的管理要求。有学者将平台的数据安全保障责任归因于信义义务（fiduciary obligation），即基于权力不对等而对处于特殊不利地位的人而产生的关照、保密和忠诚义务。[6]而落实到个人信息保护层面，则可以理解为平台对用户的忠实义务、勤勉义务和保障义务。

需要强调的是，先行赔付的义务在“数据安全管理”层面可能存在突破《民法典》《消费者权益保护法》等法律法规规定的“避风港”规则的嫌疑。具体而言，“避风港”规则遵循过错责任原则，也即只有网络平台经营者知道或者应当知道侵权行为发生时才与侵权人承担连带责任[7]，但《数安条例》并未强调平台“知道”或“应知”。此外，在实践中，平台通常只给第三方产品或服务提供流量接口，具体的数据处理均由第三方完成，平台通常也不会参与第三方的数据处理活动，因此平台与侵权行为之间可能不存在明显关联，先行赔付要求可能向平台施加过高的合规义务。在交易成本不为零的情况下，权利界定的不同会带来不同效率的资源配置结果。[8]考虑到平台并无渠道了解第三方产品或服务的数据处理情况，因而实质上无法对第三方数据处理活动作出保证，规定超出“合理注意义务”的责任。

除针对第三方的数据安全管理责任外，《数安条例》第五十三条还在《个信法》第五十四条[9]的基础上，进一步明确大型平台应当通过委托第三方审计方式，每年对平台数据安全情况、平台规则和自身承诺的执行情况、个人信息保护情况、数据开发利用情况进行年度审计，并披露审计结果。此外，该要求也与《个信法》第五十八条“独立机构监督”和“定期发布个人信息保护社会责任报告”，以及《数安条例》第五十八条规定的“国家建立数据安全审计制度”相呼应。数据安全审计能够有效验证企业在数据保障层面的内控制度的合理性和有效性，发现企业当前数据处理制度与数据保护立法存在的差距，敦促企业进行整改。同时，公开披露审计结果也是平台保障数据处理透明度、体现企业社会责任的重要途径。虽然数据审计的审核内容与审核方式仍有待进一步细化，这方面目前已经有许多可供参考的“他山之石”，如英国信息官员办公室（ICO）列举了数据审计可能涵盖的领域[10]，包括：

• 数据保护治理，以及确保遵守数据保护立法的结构、政策和程序；

• 管理包含个人数据的电子和手动记录的流程；

• 响应任何个人数据请求的流程，包括个人请求复制其数据以及第三方提出的请求，以及共享协议；

• 为确保以手动或电子形式保存的个人数据有足够的安全性而采取的技术和组织措施；

• 提供和检查员工数据保护培训以及对数据保护要求的意识。

3）界定即时通信领域个人信息范围

本次《数安条例》将即时通信服务平台作为重点监管对象，除强调数据互联互通外，还明确了即时通信领域的个人信息范围。具体而言，《数安条例》第四十五条从功能设计入手，将即时通信涉及的信息分为“个人通信的信息”和“非个人通信的信息”，前者应当以个人信息保护要求执行，而后者则依照公共信息有关规定进行管理。《即时通信服务平台个人信息认定指南（征求意见稿）》的定义更为明确：发送者发送给特定接收者，且接收者不能进行再转发的信息可以被认定为个人信息，并明确了两类不应被认定为个人信息的通信信息，即超过 50 人的群组内的信息，以及除发送者外的其他群组成员可以向群外转发的信息。由此可见，判断是否为个人信息的标准包括是否向特定个人发送、接受者是否能够转发。这一点也在《数安条例》第七十三条对公共信息的定义中得以体现，可转发的信息和无明确接收人的信息均被视为公共信息。

我们理解，仅从功能设计的角度入手区分即时通信服务领域的个人信息与非个人信息，并不一定能够充分保障用户的合理期待。具体而言，除群组人数以及信息是否可转发外，群聊性质、群组功能、聊天内容等都可能反映个人信息主体对该等信息是否能够公开的预期，仅从软件功能设计的角度判断是否应当以个人信息标准保护无法充分保障个人信息主体的隐私及信息安全。此外，我们注意到，如果从“已识别”或“可识别”的角度看，非个人通信目的的信息也可能落入个人信息的范围内，《数安条例》也并未明确称非个人通信信息不属于个人信息，直接将其以公共信息进行管理的合理性仍有待进一步论证。

1）新增算法策略披露

《数安条例》第四十三条延续算法公开性和透明性的监管要求，要求平台运营者应当建立与数据处理相关的算法策略披露制度，及时披露制定程序和裁决程序。此前的《个信法》第二十四条仅在自动化决策场景下规定了决策透明度的要求，而《关于加强互联网信息服务算法综合治理的指导意见》也仅是提到监管机构应当“督促企业及时、合理、有效地公开算法基本原理、优化目标、决策标准等信息”。相较之下，《数安条例》的该条规定就算法公开施加了更高的合规义务，即并未限定于自动化决策这一场景以及互联网信息服务提供者这一特殊主体，而是扩展到互联网平台运营者所有与数据相关的算法。

然而，作为互联网平台企业重要资产或者商业秘密，相关数据处理算法的公开限度是监管机构需要权衡的，而《数安条例》的该条规定较好地平衡了算法公开和商业秘密以及合规义务与商业考量的矛盾，即要求平台运营者披露的是“算法策略”而非“算法”本身，同时披露与之相关的制定程序和裁决程序。事实上，对以上内容的公开足以满足算法规则透明化趋势下的相关要求，亦与司法实践中的裁判意见相吻合。例如在北京互联网法院审理的某网络侵权责任纠纷案中，法院指出，“被告已经就其向原告推荐‘可能认识的人’的方式进行了告知，而‘算法’确实会涉及被告的商业秘密，告知和公开‘算法’不属于对原告的个人信息进行保护的必要措施，故对原告的该项诉讼请求，法院不予支持。”[11]

2）个性化推荐算法合规

《数安条例》第四十九条专门针对提供个性化推送服务的平台运营者规定了相应的合规义务，这一规定基本延续了对个性化推荐算法的严格监管态势，参照《平台分级分类指南》的定义，我们理解，提供新闻资讯、搜索服务以及音视频资讯内容的信息资讯类平台应当对本条内容予以特别关注。从立法目的的角度看，此举一方面希望保障信息内容真实合法，以避免误导用户，一方面为了防止用户因为路径依赖而走入“信息茧房”。

具体而言，本条主要包括信息真实性、准确性、来源合法性保证，以及个人信息保护两个层面的合规要求。一方面，相关互联网平台运营者应当对所推送信息的真实性、准确性以及来源合法性负责，如因推送不当信息造成一定损害，平台运营者可能需要承担一定的法律责任。在某网络科技公司与某金融服务集团关于商业诋毁的纠纷中，二审法院认为，该网络科技公司错误地将金融服务公司历史企业清算信息，当作新增信息定向推送至关注该企业的用户，并导致了后续一系列损害结果的发生，该侵权行为全系该网络科技公司平台在企业信息的加工和发布环节存在重大过错所致。同时二审法院亦强调，应当从确保数据来源合法、数据安全、数据质量等方面约束大数据企业的数据使用行为，以促进大数据企业通过改进算法技术、规范数据处理规则，实现良性有序发展。[12]另一方面，通过个人信息和个性化推送算法提供信息亦应当符合有关个人信息保护的相关要求，例如《个信法》《算法推荐管理规定》以及相关App监管规定中明确的单独同意、一键关闭个性化推荐选项、允许拒绝定向推送信息、允许删除定向推送服务收集产生的个人信息等要求。需要指出的是，《数安条例》第四十九条似乎针对个性化推送提出了更高的合规要求，即“允许用户重置、修改、调整针对其个人特征的定向推送参数”，而《算法推荐管理规定》第十五条第二款的相关表述为“算法推荐服务提供者应当向用户提供选择、修改或者删除用于算法推荐服务的用户标签的功能。”我们理解，允许用户直接调整定向推送参数在实际操作上似乎存在一定困难，但是从目前监管趋势来看，在个性化推荐以及自动化决策中赋予用户更多选择权、提高用户的参与感，是平台运营者需要重点考虑的问题。

3）新兴技术的安全评估

《数安条例》第五十四条规定，平台运营者利用人工智能、虚拟现实以及深度合成等技术进行数据处理活动需要进行安全评估，该项针对新技术、新应用的强制评估应属于数据处理者基于业务需求发起的业务评估。[13]然而，就该项安全评估的具体操作流程，仍有待后续出台规则予以进一步明确。与此同时，境外司法辖区同样在寻求新兴技术的风险控制规则。例如，欧盟四月发布的《人工智能法（草案）》便将人工智能依照风险等级提出了不同的监管标准，并要求对风险较高的人工智能技术进行上市前的合规性评估。[14]

事实上，针对新技术新应用的安全评估并非个案。今年年初，网信办和公安部就对语音社交软件和涉“深度伪造”技术的互联网新技术新应用安全评估，提出了相关要求。[15]此外，目前的《算法推荐管理规定》以及早前网信办发布的《互联网新闻信息服务新技术新应用安全评估管理规定》[16]，及《具有舆论属性或社会动员能力的互联网信息服务安全评估规定》[17]，分别针对具有舆论属性或社会动员能力的算法推荐服务提供者和互联网信息服务提供者，规定了相关的安全评估义务，我们理解上述规定可以作为目前平台运营者履行合规义务、设计合规流程的重要参考。

除对数据、算法等新兴技术进行规制外，《数安条例》互联网平台章节还就公平竞争问题作出相关规定。前文已提及，数据保护和平台反垄断是如今平台治理的重要手段。但为何要在《数安条例》这一专门针对数据保护的文件中就公平竞争问题进行规定？应当如何看待数据安全、平台治理和反垄断三者的关系？

我们理解，平台经济和数字服务的蓬勃发展在丰富消费者选择、提高产业效率以及增强公众社会参与度的同时，也可能因其自身的网络效应及锁定效应形成“守门人”地位，进而对数字市场的准入产生重大影响并具有实质性控制权。欧盟委员会指出，高度集中的多边平台通常由一个或极少数大型数字平台相当自主地设定商业条件，甚至滥用守门人的权利，对依赖其的企业和用户实施不公平行为。[18]因此，我们理解，在数据保护法规中加入市场规制条款，一方面旨在从数据角度对市场规制法进行补强；另一方面有助于多部门就平台竞争问题进行协同治理。在“防止资本无序扩张”的背景之下，针对平台运营者利用数据、算法等损害公平竞争的行为，在立法模式上有必要在传统的竞争法框架之外采取独立的规制路径。例如，欧盟《数字市场法（草案）》的提出，即意在以特别化、前置化和动态化的路径对欧盟及其成员国的竞争法和数据保护法起到有效的补充作用。[19]

我国的《数据安全法》第五十二条也提到，开展数据处理活动排除、限制竞争，依照有关法律、行政法规的规定处罚。因此，我们理解对《数安条例》涉及公平竞争的相关条款的解读亦应结合《反垄断法》《反不正当竞争法》等市场规制法规进行解读和适用。值得说明的是，目前我国《个信法》第五十八条以及欧盟的《数字市场法》均针对大型平台，而《平台反垄断指南》也仅适用于具有市场支配地位的平台，相较之下，《数安条例》之规定则针对所有互联网平台运营者，如此是否会给中小平台运营者施加过高的合规义务，的确值得认真思考。

1）反垄断及反不正当竞争

《数安条例》第四十六条第一项继续保持对“大数据杀熟”的强监管态势，由此，对于此类违法行为的法律规制将呈现全方位、多层次的特点。目前，除《电子商务法》《消费者权益保护法》《价格法》《价格违法行为行政处罚规定》以及《算法推荐管理规定》有相关规则外，平台反垄断和数据/个人信息保护层面的法律法规对此亦有约束，但两个层面的构成要件有一定差异。如《平台反垄断指南》第二十七条明确差别待遇应当同时满足“具有市场支配地位”“无正当理由对交易条件相同的交易相对人实施差别待遇”且“排除、限制市场竞争”，但包括《数安条例》在内的数据/个人信息保护层面的相关规定并无“市场支配地位”和“排除、限制市场竞争”的要求，足见监管机构对于平台运营者的数据合规义务设置了更高门槛。如《个信法》第二十四条针对自动化决策明确规定，个人信息处理者“应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇”。《上海市数据条例》第二十四条[20]与《深圳经济特区数据条例》第六十九条[21]也基本保持与《个信法》相一致的规制态度，但是后者在规定不得实施差别待遇的同时，也规定了四类豁免情形。此系《平台反垄断指南》所规定的正当理由，我们理解，这些亦可以作为平台运营者在应对合规监管时的重要抗辩理由。例如在某消费者与外卖平台的侵权责任纠纷中，法院就指出“外卖配送费是动态调整的，订单量大时配送费上涨，而原告与其同事下单时间并不一致，两者的配送费不具有可比性。综上，现有证据不足以公司对原告多收1元的配送费是利用大数据区别定价，侵犯了其公平交易权等。”[22]

《数安条例》第四十六条第二项涉及对最低价销售等损害公平竞争行为的规制，这一行为的具体表现可能多种多样。我们理解，最惠国待遇条款（MFN, most favored nation clauses）就是其中之一。在互联网平台交易的场景下，MFN条款具体指平台经营者要求平台内经营者在其平台上提供的商品价格不高于其在其他销售渠道所提供的商品价格。MFN条款的效率影响或反竞争影响系反垄断法中的经典且复杂的议题，《数安条例》通过该条规定提示相关平台运营者，在商业安排中设置最低价销售条款应当充分评估该类行为的反竞争影响。从立法目的的角度讲，本项还可以解读为平台利用数据和算法实施的协同行为——如果经营者都效仿利用数据算法的平台经营者，采用最低价销售的模式，使得市场价格趋于统一，则可能起到封锁市场的效果。同时，此处的“最低价销售”还存在被认定为掠夺性定价或低价倾销的可能。为迅速抢占市场，平台企业可能利用算法监测其他经营者定价，并通过补贴等多种方式打价格战，以驱逐竞争对手。然而，根据《价格法》第十四条，只有“低于成本的价格倾销”才可能被认定为“不正当价格行为”。那么，对于不具市场支配地位的企业实施的高于成本价的最低价格销售是否有规制的必要性？我们认为这也是一个值得进一步讨论的方向。

此外，《数安条例》第四十六条第三项规定，互联网平台运营者不得利用数据误导、欺诈、胁迫用户，该条规定呼应了《电子商务法》第十七条[23]、《网络交易监督管理办法》第十四条以及《禁止网络不正当竞争行为规定（征求意见稿）》（“《网络不正当竞争规定》”）第九条[24]的相关内容，其分别针对电子商务经营者、网络交易经营者以及通过网络从事生产经营的经营者利用数据进行虚假或者引人误解的商业宣传进而欺骗、误导消费者的行为进行了较为具体的规制，特别是《网络不正当竞争规定》明确指出，经营者不得对自身或其商品的销售状况、交易信息、经营数据、用户评价等作虚假或者引人误解的商业宣传，并且详细列举了可具体适用的诸多情形，足资互联网平台企业梳理合规风险时参考。另外，该项规定同时明确，平台运营者不得损害用户对其数据被处理的决定权，违背用户意愿处理用户数据，此系对《个信法》中个人信息处理规则的进一步重申，即《个信法》第七条“处理个人信息应当遵循公开、透明原则”以及第十四条“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出”等相关规定。涉及自动化决策亦应符合《个信法》第二十四条“应当保证决策的透明度”的要求，同时也可参考《数安条例》第四十三条的算法披露要求一并理解该项合规义务。

《数安条例》第四十六条第四项通过限制性规定允许平台内中小企业获取平台产生的行业、市场等数据，这一规定一反以往立法中一贯强调规制数据不正当抓取行为的态度。如《网络不正当竞争规定》第二十条[25]和《反不正当竞争法司法解释（征求意见稿）》第二十六条[26]都对非法抓取、使用其他经营者数据并构成实质性替代的行为进行了规制。《数安条例》的该项规定意在反对大型平台滥用其在数据上的优势地位而对中小经营者进行打压，以期达到促进良序竞争与消除创新阻碍的目的，但是实践中如何划定“行业、市场数据”和“中小企业”的边界以及“公平获取”的内涵，仍是立法有待进一步厘清的地方。特别需要指出的，如果行业和市场数据的产生依赖于互联网平台经营者的系统整合以及一定的智力劳动成果投入，按照以往司法裁判中的观点，对其所创造独立的且可以为其实际控制和使用的衍生数据网络运营者亦应享有独立的财产性权益[27]。如此，尽管《数安条例》对中小企业获取平台内行业和市场数据的行为从反向予以肯认，但此类行为仍需要面临一定的限制和约束。

2）数据互联互通

推动互联网平台互联互通是当前平台治理的重点之一。例如，《平台反垄断指南》在评估平台经济领域经营者集中的竞争影响时将经营者对数据接口的控制能力，以及用户转移数据的成本，分别作为经营者对市场的控制力以及经营者集中对市场进入影响的考量因素[28]。《个信法》在个人信息权利响应中引入了个人信息转移权[29]，特别是工信部于9月9日下午专门召开的“屏蔽网址链接问题行政指导会”，对即时通信领域软件领域的屏蔽问题进行重点整治，以此约束平台无正当理由限制识别、解析、正常访问等严重影响用户体验的行为。

《数安条例》第四十八条的规定同样呼应数据互联互通的监管趋势，规定“互联网平台运营者面向公众提供即时通信服务的，应当按照国务院电信主管部门的规定，为其他互联网平台运营者的即时通信服务提供数据接口，支持不同即时通信服务之间用户数据互通”，以此清除用户跨平台分享与使用相关服务的屏障，从而捍卫用户权益、维护互联网的有序竞争。该条规定特别适用于提供即时通信服务的互联网平台运营者，可能有如下考量：首先，与工信部行政指导会的监管范围保持一致，该会上提出有关即时通信软件的合规标准；其次，考虑到即时通信服务的相关数据多数属于个人信息，该条规定意在呼应《个信法》对个人信息转移权的规定；最后，即时通信服务本身对于在用户生活和工作中都起到非常重要的作用，从性质上更倾向于被认定为“必要基础设施”，进而应当对其施以更高的合规义务。但是，数据互联互通并非是全然的硬性要求，就《数安条例》第四十八条的内容来看，立法层面仍然从“按照国务院电信主管部门”和“正当理由”两个设置为数据互联互通留有一定余地，因此平台运营者应当密切关注相关监管细则，并结合自身特点进行灵活动态的调整。

1）个人身份认证体系建设

数字身份是互联网安全的基石，当前我国普遍使用身份证号码、手机号码对用户进行验证，导致个人信息泄露、电信网络诈骗等事件频发。因此，在保障信息安全的基础上开展网络活动，是发展互联网健康生态的基础。本次《数安条例》第五十条还提出“建设网络身份认证公共服务基础设施，按照政府引导、网民自愿原则，提供个人身份认证服务”。

从《数安条例》提出的建设身份认证领域基础设施的要求来看，建设能够充分保障公民生活安宁和财产安全，促进网络经济发展的eID体系势在必行。所谓eID数字身份，是指以公民身份号码为根，由“公民网络身份识别系统”基于密码算法统一为公民生成的数字标记，在确保签发给每个公民的数字身份唯一性的同时，可以减少公民身份明文信息在网上的传播。[30] 事实上，2015年发布的《互联网用户账号名称管理规定》提出了“后台实名、前台自愿”的基本原则，要求互联网信息服务使用者通过真实身份信息进行认证；央行发布的《非银行支付机构网络支付业务管理办法》等文件也要求一些金融机构等基于KYC（了解你的客户）原则，建立健全客户身份识别机制。《电子签名法》《网络安全法》等法规也为建立统一数字身份体系打下了制度基础。

而对于平台而言，《数安条例》还要求互联网平台运营者支持并优先使用国家网络身份认证公共服务基础设施提供的个人身份认证服务。由此可见，平台将成为国家试水eID体系，建立公民互联网电子身份标识的一块试金石。

2）公共数据使用范围

《国务院关于积极推进“互联网+”行动的指导意见》曾提出“加快互联网与政府公共服务体系的深度融合”的目标，《数据安全法》也提出“国家支持开发利用数据提升公共服务的智能化水平”。然而，运营者获得授权提供公共服务平台建设和运维的过程中可能收集大量个人信息及重要数据，对该等数据的处理目的、处理方式和处理范围应当进行严格限定。《数安条例》第五十一条明确了互联网平台运营者为国家机关提供服务，参与公共基础设施、公共服务系统建设运维管理，利用公共资源提供服务过程中收集、产生的数据的使用范围，要求该等数据仅能用于上述公共基础设施建设运维目的，而不得用于其他用途。我们理解，《数安条例》提及的“公共基础设施”及“公共服务系统”是指互联网平台经具有管理公共事务职能的组织（如国家机关、事业单位等）依法授权建设并维护的具有公共管理和服务类系统，如提供供水供电缴费、公共交通等服务的系统。

同时，《数安条例》第五十二条则着重强调国务院有关部门访问、调取互联网平台掌握的公共数据的要求。具体而言，对数据的调取和访问应当明确其“范围、类型、用途、依据”，并“严格限定在履行法定职责范围内，不得将调取或者访问的公共数据、公共信息用于履行法定职责之外的目的”。当前，各个地方政府都在不断探索利用互联网平台建立“智慧城市”服务体系，平台和监管机构对的数据处理权限范围也越辩越明。例如，《上海市数据条例》第十六条规定：“要求自然人、法人和非法人组织提供数据的，应当在其履行法定职责的范围内依照法定的条件和程序进行，并明确数据使用的目的、范围、方式、期限。收集的数据不得用于与突发事件处置工作无关的事项。”结合《数安条例》之要求，我们理解，对公共数据的处理应当严格遵循合法、必要、正当的原则，不得超出公共管理和服务之需要。

需要注意的是，第五十一条和第五十二条将适用主体明确限定在“互联网平台运营者”和“国务院有关部门”，但公共数据处理的必要性与合目的性的适用范围应当更广。考虑到相关规定载于“互联网平台运营者义务”章节，可以理解为立法者旨在强调互联网平台领域的公共数据处理要求。但第五十二条第一款之规定主体并非“互联网平台”，因此为避免歧义，可能还要进一步协调上下文关系。

总体而言，从监管对象上看，《数安条例》针对互联网平台运营者的规定呈现出一个以平台为中心的泛平台生态圈的监管态势，涵盖接入平台的第三方产品和服务（如SDK）、应用程序分发平台（即应用商店）、软件开发者等互联网平台生态的各类玩家，以期打造健康有序的互联网平台生态。从监管态度上看，《数安条例》之规定给平台施加了更多审核、管理，以及开放互联的业务。我们理解，该等规定体现了监管者对平台的关注焦点从“私有性”逐渐转向“公共性”。因此，对于平台运营者，尤其是《个信法》第五十八条所强调的大型平台运营者而言，应当尤其关注《数安条例》的制定，正视自身网络空间影响力，履行相应社会责任，切实保障用户权利。

首先，平台应当落实数据合规保障机制，保障用户个人信息权益。平台一方面需要保障隐私政策、用户协议、算法规则内容的合理性、公正性和透明度，另一方面也需要保障社会公众切实参与到该等政策制定过程中。此外，考虑到“先行赔付”等规定对平台施加了较高合规义务，为进一步控制合规风险，平台企业应当明确规定与第三方之间的数据保障责任，对相关第三方产品或服务提供方进行更严格的审核与筛选。同时，伴随着数据安全审计制度的建立，互联网平台落实企业社会责任的路径更加明确。

其次，平台应当提升算法透明度，落实算法安全主体责任 。算法治理是科技向善的应有之义，平台运营者在利用算法等新技术新应用开展相关业务活动时，应当充分确保算法应用的公平和公正，避免歧视性对待等行为对用户权益造成不利影响，亦应通过披露算法策略、算法制定程序以及算法裁决程序等方式实现算法的公开性和透明度要求。此外，平台运营者应当格外关注个性化推荐以及自动化决策的合规性问题，在相关技术中提高用户的参与度和选择权。

再次，平台应当合规开展公平竞争，切实保障用户权益。近日，《反垄断法（修正草案）》公开向社会征求意见，国家反垄断局也于随后不久正式挂牌成立，两个重要动作标志着我国反垄断执法进入了一个新的高度，而平台经济领域是反垄断监管的重中之重。对此，互联网平台运营者应在防范传统的不当行为如大数据杀熟、最低价销售、虚假商业宣传等之外，也要积极响应新的监管态势，特别是提供即时通信服务的平台运营者应当积极配合平台互联互通，为用户个人信息转移权的实现提供相应的保障。

最后，平台应当管控公共数据用途，积极配合政府工作。根据《数安条例》第五十一条和五十二条，互联网平台企业应当在提供公共基础设施建设运维管理严格管控数据用途，防止数据滥用，同时应当积极配合有关部门的公共数据访问调取要求，做到“快速响应，有力支援”。

感谢实习生马骁对本文做出的贡献。

责任编辑：单珊

编辑：赵天园

我知道你  在看  哦