数据安全产业研究：数据安全_后互联网时代的盛宴.docx

数据安全产业研究：数据安全_后互联网时代的盛宴1互联网消费升级、强监管时代来临，数据安全已成价值主张仅满足用户能使用互联网提供的各种服务的时代已经结束，互联网消费升级时代已经来临，那就是在满足为用户提供互联网服务的同时一定要重点解决隐私保护问题，让用户放心使用互联网服务提供商所提供的服务。离开数据服务谈数据隐私是不完整的，平衡的关键点在于服务所需的数据权利让渡范围。如何看待打车平台调取用户位置信息的权利和获得的便车服务，便是典型问题。除互联网厂商外，政务大数据、医疗、金融及其他央企的场景数据安全需求同样旺盛。没有网络安全就没有国家安全，就没有经济社会稳定运行。“十四五”规划和2035年远景目标纲要明确提出，加强涉及国家利益、商业秘密、个人隐私的数据保护，加快推进数据安全、个人信息保护等领域基础性立法，强化数据资源全生命周期安全保护。“数字化时代意味着一切皆可编程，万物均要互联。整个世界将架构在软件之上，有互联网软件的地方就会存在漏洞，网络基础设施将更加复杂，攻击面将无限扩大。未来的网络安全攻击将呈现高级化、大型化特点，所有的金融战、科技战归根结底都是网络战”。不论欧盟GDPR、美国CCPA还是国内已经施行的《网络安全法》、《数据安全法》和《个人信息保护法》，这些立法条文之间至少有两点共通性：其一，它们均强调隐私保护和数字经济发展兼重、不偏颇一方的观点，也就是明确隐私权和发展权都极为重要。即便以立法严厉著称的欧盟GDPR也在开头专门提到“不得以保护与处理的个人数据相关的自然人为由，限制或禁止个人数据在欧盟内部的自由流动”；其二，它们都显示出不能让科技公司以优势地位抢占数据权利定义权的倾向，因为这无法根除“运动员兼裁判员”的隐患。具体来看，本国的行政和社会力量才是定义本土数据权利的合适人选：一方面，当数据已然成为数字经济发展的能源时，数据主权的重要性就不容忽视，无论欧美还是中国的数据权利立法都对数据跨境流通提出了严苛的审批要求，背后的目的在于确保本国对重要数据的掌握；另一方面，行政和社会力量相较于商业主体拥有更为超然的地位，它们更有动机和余地从社会整体福利的视角协调隐私保护和数据使用之间的关系，这样才能确保市场竞争的真正公平和长久发展。2顶层立法趋于完善，数据安全成为互联网监管核心此前已颁布多部法律法规，《个人信息保护法》、《关保条例》、《数据安全法》将一步完善数据安全要求。如与《网络安全法》相比，仍存在基本法缺位、“数据主权”地位尚未确立，数据经营难有效监管等问题。“网络安全法”主要是针对网络层面的安全规范，但未能从数据信息全维度进行规范，相关配套政策文件法律层级低，要求较为分散，难以系统性解决数据安全保障问题。《个人信息保护法》围绕规范个人信息处理活动、保障个人信息权益，构建了以“告知-同意”为核心的个人信息处理规则，亮点如下：1）个人信息保护法明确处理个人信息应当在事先充分告知的前提下取得个人同意，个人信息处理的重要事项发生变更的应当重新向个人告知并取得同意。同时，针对现实生活中社会反映强烈的一揽子授权、强制同意等问题，个人信息保护法特别要求，个人信息处理者在处理敏感个人信息、向他人提供或公开个人信息、跨境转移个人信息等环节应取得个人的单独同意，明确个人信息处理者不得过度收集个人信息，不得以个人不同意为由拒绝提供产品或者服务，并赋予个人撤回同意的权利，在个人撤回同意后，个人信息处理者应当停止处理或及时删除其个人信息。2）随着越来越多的企业利用大数据分析、评估消费者的个人特征用于商业营销。有一些企业通过掌握消费者的经济状况、消费习惯、对价格的敏感程度等信息，对消费者在交易价格等方面实行歧视性的差别待遇，误导、欺诈消费者。其中，最典型的就是社会反映突出的“大数据杀熟”“。对此，个人信息保护法明确规定：个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。3）个人信息保护法将生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息列为敏感个人信息。个人信息保护法要求，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息，同时应当事前进行影响评估，并向个人告知处理的必要性以及对个人权益的影响。数据作为新型生产要素，应用过程中更强调效率与监管平衡，数据安全已成为此轮互联网监管核心。1）监管序幕：自1994年《信息安全保护条例》拉开网络立法序幕，互联网作为市场化程度最高的领域，政府保持最低限度的“不干预”政策和最高程度的支持性政策（产业、税收减免等）；2）鼓励数字赋能：2015年《国务院关于积极推进“互联网+”行动的指导意见》，此后数字产业化不断升级，巨头版图涉足电商、金融、云计算、物流乃至本地生活、体育文娱，互联网几