《网络数据安全管理条例（征求意见稿）》系列解读之网络安全审查篇

在数字经济的全球化进程中，大数据技术与算力的发展推动数据价值开发与利用的同时，网络及数据安全风险也已经随之上升到了新高度，不仅可能影响个人生活和企业运营，而且也与国家治理和社会安全息息相关。

网络安全审查并非中国所独有的制度，各国亦纷纷将网络安全与数据安全上升至国家安全高度，建立相关安全审查制度，成立安全审查专门机构。近年来，欧盟在外商投资审查方面不断出台新政策，强化大数据、通信、人工智能等敏感行业外商投资的国家安全审查力度，还发布《关于欧洲网络与信息安全局信息和通信技术的网络安全》进一步明确欧盟网络与信息安全署的职能与定位，建立欧盟统一的网络安全认证框架。美国的网络安全审查制度则以保障国家安全、防范供应链安全风险为目标，颁布了《2007年外国投资与国家安全法》《网络安全国家行动计划》以及《安全与可信通信网络法案》等法律法规为美国建立网络安全审查制度构建了完善的法制基础，设立了专门的网络安全审查机构外国投资委员会（CFIUS），通过与其他政府部门开展跨部门合作的方式，推动美国网络安全审查机制的开展与落实。[1]不难看出，围绕数据安全风险管控，全球各个国家和地区已然兴起新一轮的“数字主权化”浪潮，数据安全已成为当前国家治理能力博弈的重要战场。

我国的网络安全审查制度在创始之初就与国家安全紧密相关。早在2015年，《中华人民共和国国家安全法》（“《国家安全法》”）即确立了国家安全审查制度的法律基础，其中第二条通过“国家安全”的定义为网络安全审查制度厘清了审查边界，[2]第八条阐明了网络安全审查协同发展和利益平衡的审查理念，[3]第二十五条则进一步明确了网络安全审查“安全可控”的审查目标和“风险控制”的审查思路。[4]在此基础上，《国家安全法》第五十九条最终确立了针对网络信息技术产品和服务的国家网络安全审查制度，[5]同时将外商投资、特定物项和关键技术、网络信息技术产品和服务等审查内容并列表述，澄清了网络安全审查并非从属于外资并购国家安全审查中的网络安全部分，从而明确了网络安全审查的制度独立性。[6]

今年9月1日正式施行的《数据安全法》则在此基础上进一步确立了数据领域的国家安全审查制度，要求对于影响或者可能影响国家安全的数据处理活动进行数据安全审查。和《审查办法（征求意见稿）》一致，《条例》亦将数据处理者纳入网络安全审查的义务主体范围，对《数据安全法》此前未予明确的数据安全审查制度的适用条件予以回应，同时也在一定程度上揭示了网络安全审查的立法目的与体系定位。作为国家安全审查制度的重要组成部分，网络安全审查关注关键信息基础设施运营者采购网络产品和服务可能带来的国家安全风险的同时，[7]未来还需聚焦数据处理活动对国家安全的影响，从而健全完善国家总体安全观指引和定位下的数据安全治理水平，并有效防范数据安全问题可能引发的国家安全风险。

《审查办法（征求意见稿）》规定了主动申报以及网络安全审查办公室按程序启动两种网络安全审查的方式，《条例》对于主动申报网络安全审查义务的适用对象以及申报条件进行了调整与补充，《审查办法（征求意见稿）》与《条例》的对比请见下表：

不难发现，《条例》对于网络安全申报规则的重大调整在于以下两方面：

1.主动申报网络安全审查的义务主体范围

根据《审查办法（征求意见稿）》，即使企业不落入或者不确定是否落入关键信息基础设施运营者范围，若开展数据处理活动且达到影响或可能影响国家安全的标准，也可能需要履行网络安全审查申报义务。而《条例》将网络安全审查自行申报主体限定为数据处理者，而并未纳入关键信息基础设施运营者。但我们理解该调整在《审查办法（征求意见稿）》正式出台前并不能直接解读为关键信息基础设施运营者采购重要网络产品与服务前的网络安全审查义务被免除。

《网络安全法》第三十五条已经在法律层面规定了关键信息基础设施运营者的国家安全审查要求，考虑到《条例》立法目的在于规范网络数据处理活动，保障数据安全，不排除《条例》仅针对网络数据处理活动的网络安全审查作出规定，关于关键信息基础设施运营者在《审查办法（征求意见稿）》中予以保留的可能性。

由此看来，《条例》对于网络安全审查的申报义务主体的调整，可能并非当然地构成对于《审查办法（征求意见稿）》的修订，而可能仅是对于数据处理者如何自行申报网络安全审查的规则进行细化，旨在完善健全现有网络数据安全管理的法律规范体系。至于网络安全审查申报义务主体的具体范围，可能仍需留待相关法律规范出台予以澄清和明确。

2.新增申报事由

《条例》在保留“赴国外上市”的申报条件基础上，新增了以下两项申报事由：汇聚掌握大量数据资源的互联网平台运营者因实施合并、重组、分立而影响或者可能影响国家安全的，以及数据处理者因赴香港上市而影响或可能影响国家安全的，均需申报网络安全审查。

《条例》新增网络安全审查申报事由，一定程度上细化了《数据安全法》中所规定的“对影响或者可能影响国家安全的数据处理活动”的具体范围。而如何理解申报事由的调整与补充，我们认为，一方面，增加赴港上市数据处理者的相关规定侧面回应了“数据传输至香港是否属于数据出境”、“数据出境至香港是否也有可能需要出境安全评估”等问题，也进一步澄清了 “赴香港上市”是否可能适用于网络安全审查的疑问；另一方面，增加互联网平台经营者申报事由，回应了互联网平台企业汇聚巨量数据而引发数据安全风险的管控问题，同时也揭示了对于大型互联网平台企业加强数据安全管控的监管趋势。

1.“互联网平台运营者”的范围

《条例》第七十三条第（九）项以及第（十）项分别规定了互联网平台经营者以及大型互联网平台运营者的定义，其中互联网平台经营者是指“为用户提供信息发布、社交、交易、支付、视听等互联网平台服务的数据处理者”；而“大型互联网平台运营者”是指“用户超过五千万、处理大量个人信息和重要数据、具有强大社会动员能力和市场支配地位的互联网平台运营者”。

• 就“互联网平台”以及“互联网平台经营者”的定义而言，《互联网平台分类分级指南（征求意见稿）》（“《平台分类分级指南》”）将“互联网平台”定义为“通过网络信息技术，使相互依赖的双边或者多边主体在特定载体提供的规则下交互，以此共同创造价值的商业组织形态”，其中将平台服务概括为交易、生活服务、社交娱乐、信息资讯、金融服务以及计算应用六类服务。就文义解释而言，《条例》所定义的“互联网平台”基本落入《平台分类分级指南》的平台范围，我们理解，在未来法律适用的过程中，企业可以在一定程度上参考《平台分类分级指南》中对于平台的定义，以识别自身是否落入到《条例》的监管范围内。

  《互联网平台落实主体责任指南（征求意见稿）》（“《平台主体责任指南》”）在《电子商务法》以及《网络交易监督管理办法》的基础上将“平台经营者”定义为“向自然人、法人及其他市场主体提供经营场所、交易撮合、信息发布等互联网平台服务的法人及非法人组织。”对此，虽然《条例》与《平台主体责任指南》对于“互联网平台经营者”的定义在文本上存在一定差异，但我们理解这是由《条例》与《平台主体责任指南》的规范目的差异所导致的，二者之间的规制范围并无本质的差异。综合考虑立法目的的客观差异性以及“互联网平台”定义的类似性，我们理解，《平台分类分级指南》以及《平台主体责任指南》为界定平台企业是否落入《条例》的规制范围提供了重要的规范指引。

• 就大型互联网平台经营者的定义而言，尽管《条例》第十三条并未从数据量级的角度明确如何认定“汇聚掌握大量关系国家安全、经济发展、公共利益的数据资源的互联网平台运营者”，但在第七十三条第十项从社会动员能力、市场支配地位以及用户量级三个维度规定了“大型互联网平台运营者”的边界。其中“用户超过五千万”的量级标准与《平台分类分级指南》规定的“大型平台”界定标准一脉相承。此外，“关系国家安全、经济发展、公共利益的数据资源”与《数据安全法》中第二十一条中的国家核心数据以及重要数据的定义存在一定的相似性。

  对此，我们理解界定“汇聚掌握大量关系国家安全、经济发展、公共利益的数据资源的互联网平台运营者”时，在满足“互联网平台经营者”的主体要件后，仍需综合考虑数据量级以及数据类型的敏感程度。“用户超过五千万”可能构成“汇聚掌握大量数据的互联网平台经营者”以及《个人信息保护法》第五十八条中“用户数量巨大”的判断标准。同时，大型平台企业在识别和预判自身是否落入《条例》适用范围时也要关注是否汇聚和掌握重要数据与国家核心数据。

2.设置互联网平台经营者网络安全审查申报义务的必要性

在互联网平台经济迅速发展的当下，互联网平台通过其网络效应与算法机制的优势，吸引和汇聚大量用户，平台企业在提升用户黏性、扩展业务生态方面不断强化。值得注意的是，平台企业运营充分释放和利用数据价值的同时，也带来了不容小觑的数据安全风险。实践中，企业掌握和控制着我国的数据资源，其中还可能涉及大量个人信息、重要数据以及国家核心数据等对国家安全产生重大影响的数据。即便原始数据通常被认为与国家秘密无关，但在量级达到一定规模后，通过与其他数据进行汇聚、整合、分析，基于海量数据形成的统计数据或衍生数据很可能构成重要数据，一旦泄露将可能造成危害国家安全和社会公共利益的严重后果。甚至，头部平台企业在行业中发挥着业务生态规则制定的作用，直接决定了数据开发利用的模式。可见，数字经济高速发展、平台企业掌握的技术能力优势以及用户数据体量，使得政府难以通过事后监管模式完全实现对于平台数据安全的有效管控。

考虑到互联网平台运营者实施合并、分立与重组过程中可能涉及大量关系到国家安全、经济发展以及公共利益的数据资源的转移，可能因此影响到国家安全。为此，《条例》进一步扩展了数据处理者主动申报网络安全审查的申报事由，从而通过互联网平台经营者主动报送数据处理情况的方式对于互联网平台经营者数据处理活动的合规性进行排查评估，从而实现对企业数据安全风险的有效监管。

此外，值得注意的是，若汇聚掌握大量关系国家安全、经济发展、公共利益的数据资源的互联网平台运营者实施合并、重组、分立，影响或者可能影响国家安全的同时，还导致了重要数据或超一百万人以上个人信息发生转移的，在这种情况下，平台企业除需评估合并、分立、重组后是否需要向网络安全审查办公室进行网络安全审查申报外，还可能需根据《条例》第十四条履行向市级主管部门报告的义务。

1.如何理解“处理”个人信息

对于赴国外上市的场景下，《条例》将义务主体的描述从《审查办法（征求意见稿）》中使用的“掌握超过一百万用户个人信息的运营者”，更改为“处理一百万人以上个人信息的数据处理者”，一定程度上回应了此前市场上对于“掌握”不作为一项法律概念而可能带来的规则理解的不确定性。鉴于现行法律法规对于“掌握”以及“数据控制者”的定义并不明确，出于审慎合规的角度，我们曾建议将“掌握”理解为物理上的数据的控制以及法律上对数据的处理。然而，现行有效的《数据安全法》以及《个人信息保护法》均从法律层面对“处理”进行定义，明确规定处理包括“收集、存储、使用、加工、传输、提供、公开”等各种形式的数据处理行为，但仍无法直接明确排除此处“处理”是否包含“受托处理”的情形。综合考虑网络安全审查申报义务的规范目的以及《条例》对于数据处理者的定义，[8]我们倾向于认为，此处的“处理”行为所对应的一百万以上个人信息仅限于自主决定数据处理目的、方式的数据处理情形。因为，对于能够自主决定数据处理目的、方式的赴海外上市主体而言，其作为“数据处理者”情形下的数据处理活动，自然相比于其作为受托人在委托处理者约束下开展数据处理活动时产生的影响国家安全的潜在风险更大，因此也将成为网络安全审查制度所优先或者重点考虑的义务主体。

2.如何理解“100万用户个人信息”与“一百万人以上个人信息”之间的差异

《审查办法》（征求意见稿）为赴海外上市运营者设置网络安全审查申报义务适用门槛时，要求运营者符合“掌握100万用户个人信息”的标准。对此，我们曾参考《国家网络安全检查操作指南》“认定关键信息基础设施”部分的相关规定，将“100万用户个人信息”理解为“100万自然人个人信息”。目前，《条例》将表述调整为“处理一百万人以上个人信息”，进一步澄清了个人信息量级的判断标准为个人信息主体的数量。此外，《条例》的表述调整还在一定程度上将个人信息的类型从用户个人信息进一步拓宽至广义的个人信息范畴，有效应对了数据处理者通过车载记录仪所收集的路人个人信息等非用户个人信息是否需要纳入数据处理者所处理的个人信息范围的疑问，从而进一步明晰了赴国外上市数据处理者自行申报网络安全审查的边界。

1.如何理解赴港上市数据处理者的网络安全审查申报条件

《审查办法（征求意见稿）》中所使用的表述为“国外上市”而非“境外上市”，对此，我们此前结合《中华人民共和国出境入境管理办法》中对于“出境”与“入境”的定义，评估认为港股上市被认定为“国外上市”的可能性相对较低。目前，《条例》新增了赴港上市数据处理者自行申报网络安全审查的适用条件，明确了《审查办法（征求意见稿）》中“赴国外上市”的确不包含“赴港上市”的同时，也进一步确认了，赴港上市的数据处理者也可能需要自行申报网络安全审查。首先需要明确的是，并不是所有赴港上市的数据处理者均需要通过网络安全审查。对于赴港上市数据处理者而言，在其他条件均相当的情况下，我们理解《条例》针对赴港上市所引发的数据安全风险相较于赴国外上市的风险可能相对可控，因此并未采用相同的适用门槛。具体而言，《条例》没有对于数据处理者处理数据的量级与类型进行明确的限制，而仅是采取“风险管控”的审查思路，只要存在影响或者可能影响国家安全的风险，就需要触发网络安全审查申报。

2.如何界定“影响或者可能影响国家安全”

尽管现行有效的立法中并未明确 “影响或者可能影响国家安全”的判断因素，但《审查办法（征求意见稿）》第十条对于评估数据处理活动以及国外上市可能带来的国家安全风险时，要求考虑核心数据、重要数据或大量个人信息被窃取、泄露、毁损以及非法利用或出境的，以及国外上市后关键信息基础设施，核心数据、重要数据或大量个人信息被国外政府影响、控制、恶意利用等风险。同时，《数据安全法》在定义和界定核心数据、重要数据时，均肯定了国家核心数据与重要数据对于国家安全的影响，前述数据一旦遭到泄露、篡改、破坏或者非法获取、非法利用，均可能危害国家安全。据此，我们理解，拟赴港上市的数据处理者，在进行国家安全分析时需综合考虑数据量级、数据敏感程度（是否涉及国家核心数据、重要数据）、企业所在领域、是否在日常经营或者上市前后涉及向境外提供数据等因素。

此外，数据处理者除了依据已发布的法律规范或其征求意见稿，经过内部自身或者聘请专业第三方机构通过网络和数据安全自评估等方式，提前进行风险判断，评估数据处理活动可能引发的国家安全风险外，还可以与相关主管部门充分沟通，并在必要时与国家网信办进行主动沟通并请求提供相应的行政指导，以确保相关企业在上市合规过程中一并落实与履行网络数据安全保护义务，保障数据的安全有序流动，从而尽可能事前管控数据处理活动或上市活动可能引发的国家安全风险。

值得注意的是，《条例》除就数据处理者的网络安全审查适用条件进行规定外，还就一系列不同场景设立了向不同层级监管部门报告的义务。下文将就如何执行该等报告义务，以及网络安全审查申报与各项报告义务间的关联与衔接作简要分析与解读：

我们理解针对重要数据处理的安全评估要求是对于《数据安全法》第三十条规定重要数据处理定期风险评估要求的进一步细化，但《条例》将定期开展风险评估的要求进一步扩大至“赴境外上市”的数据处理者，进一步反映监管部门对于赴境外上市企业所涉及数据安全问题的关注，尤其考虑到企业境外上市后，可能受制于当地监管部门管辖从而需要向境外传输中国境内相关数据。

• 从受监管企业的上市地区而言：我们理解相较于《审查办法（征求意见稿）》中所使用的赴国外上市的概念，《条例》中所规定的境外上市无疑将在香港上市与在美国等其他国家上市的企业全部纳入监管范围；

• 从受监管企业所处于的境外上市阶段而言：由于安全评估定期开展的时间要求，我们理解《条例》所规定的赴境外上市企业可能包括已经在境外上市的企业，但就“赴境外上市企业”是否包括处于境外上市准备阶段或有境外上市计划的企业可能尚存一定争议。如参考《审查办法（征求意见稿）》的规定与后续解读，即掌握超过100万用户个人信息的运营者“赴国外上市”必须申报网络安全审查的要求在现阶段通常被解读为企业在国外上市前的申报要求，不排除“赴境外上市”的数据处理者每年开展一次数据安全评估的要求可能也将同样适用于处于境外上市准备阶段或有境外上市计划的企业；

• 年度数据安全评估报告内容与网安审查申报材料内容的异同：根据《条例》第三十二条，年度数据安全评估报告内容应包括企业重要数据处理情况，发现的数据安全风险及处置措施、所采取的数据安全管理制度及措施、落实国家数据安全法律、行政法规和标准情况、发生的数据安全事件及其处置情况、共享、交易、委托处理、向境外提供重要数据的安全评估情况、数据安全相关的投诉及处理情况等。我们理解相较于网络安全审查申报阶段需要准备的申报书、关于影响或可能影响国家安全的分析报告、拟提交的IPO材料等申报材料，以便监管部门对于企业国外上市后造成的关键信息基础设施，核心数据、重要数据或大量个人信息被国外政府影响、控制、恶意利用的风险进行全面评估，年度数据安全评估则更侧重于企业对于内部数据安全管理情况的事实梳理与评估。

就企业合并、重组、分立、解散及宣告破产时需满足的数据方面的合规要求，此前仅《个人信息保护法》要求处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式，接收方应当继续履行个人信息处理者的义务，而《条例》第十四条在《个人信息保护法》的基础上进一步为数据处理者在合并、重组、分立、解散及宣告破产过程设立报告义务。

• 合并、重组、分立时的报告要求：基于《条例》第十四条要求，并非任何企业的合并、重组、分立都需满足报告要求，而仅在满足“涉及重要数据和一百万人以上个人信息的”这一特定条件的情况下需履行报告义务。但就“涉及重要数据和一百万人以上个人信息”的主体，我们理解可能尚存在一定不确定性。如将这一条件的适用对象限定为“数据处理者”，则涉及重要数据和一百万人以上个人信息的数据处理者所进行的每一次合并、重组、分立都需要履行报告义务，即便合并、重组、分离过程中未发生大量个人信息或重要数据的跨主体转移；但参考《个人信息保护法》中的规制要求并回溯立法目的，我们倾向于将这一条件所修饰的对象解释为“合并、重组、分立过程中需要向数据接收方转移数据”，我们理解该条要求所期望规制的主要对象可能还是在合并、重组、分立过程中涉及重要数据或一百万人以上个人信息的控制权发生转移的情况。

• 解散、被宣告破产时的报告要求：相较于企业合并、重组、分立等情况时的报告要求，《条例》并未就解散及被宣告破产时需要报告设区的市级主管部门的企业设定任何其他限制条件，因此如此条要求未来正式生效，该等报告义务将成为一般企业解散或宣告破产时的前置程序，即便企业日常业务基本不涉及数据处理情况，企业可能仍需履行该等报告义务。

此外，值得注意的是，企业在境外上市准备阶段可能基于不同的考虑对现有集团架构进行重组，例如将某些业务从上市体系剥离，从而导致重要数据或超一百万人以上个人信息发生转移，在这种情况下，企业除需评估重组后是否需要履行网络安全审查申报外，还需履行向市级主管部门报告重组情况的义务。

《条例》第十三条在第一款就数据处理者的网络安全审查适用条件进行规定外，进一步创设性地在第二款就大型互联网平台海外设立总部或运营中心、研发中心等业务拓展行为提出报告要求。从体例设计上，将针对境外业务拓展的报告义务与网络安全审查要求相并列，我们理解一定程度反映了监管部门对于企业在开展海外业务过程中可能涉及的数据跨境、算法出境、境外长臂管辖等问题的关注，要求企业报告海外业务开展情况能够帮助监管部门准确了解掌握大量用户个人信息、重要数据的大型互联网平台的境外业务开展情况以及可能面临的潜在风险，并就企业海外业务拓展过程中可能涉及的数据跨境、算法出境以及长臂管辖问题进行及时有效的管理与干预。而基于上述对于监管意图的解读，我们理解上述报告要求可能将不仅适用于《条例》生效后在境外设立总部或运营中心、研发中心的大型互联网平台运营者，也适用于此前已在境外完成上述业务拓展的大型互联网平台运营者。

*本文对任何提及“香港”或“香港特别行政区”的表述应解释为“中华人民共和国香港特别行政区”。

人工智能：

数据合规：

• ‍《网络数据安全管理条例（征求意见稿）》系列解读之框架篇 2021-11‍

• 迎接个人信息保护法的正式生效：《数据出境安全评估办法（征求意见稿）》规则解读 2021-10

• 责无旁贷——探讨《个人信息保护法》下互联网平台处理者的特殊责任 2021-09

• 知我者，当谓我心忧：个人信息自动化决策的法律规制与合规要求 2021-09
  

• 斯人已逝，生者如斯—浅析死者个人信息权利 2021-09

• “不畏浮云遮望眼，风物长宜放眼量”——全球视域下的中国数据跨境流动规则探析 2021-09

• 新起点、新征程：《数据安全法》时代下的数据安全与发展 2021-09

• 道路千万条，数说十九条：《汽车数据安全管理若干规定（试行）》重点解读 2021-08

• 横看成岭侧成峰——从《个信法》和《数安法》等看网络空间治理的中国方案 2021-08

网络安全：