汇业评论

浅析欧盟GDPR下DPIA和中国个人信息安全影响评估要点

合规和个人信息评估在数据化身为财富的同时成为热点中的热点，IT部门、码农们被放在了聚光灯下面。数据产生于各个业务场景，甚至是内部工作环境中，经过业务员，销售，公司内部支持人员；流入经IT和码农编码搭建的系统； 最后汇总到数据库成为进一步处理或者销售的信息，供决策者决定其出路和方向。以上的特点是跨部门、多领域，完全打破了部门之间的天然界限。于是天然地出现了决策者不知道什么地方可以优化，应该控制，或者第二选项的存在。法务部门不知道怎么把法律要求转化为代码要求，码农们觉得自己的工作内容怎么变了？除了要考虑构架和效能问题，还要考虑合规的第二选项构架问题。销售觉得大家都过于焦虑。本文旨在通过对中国和欧盟的个人信息评估工作中的一些要点分析，来给以上问题提供一个解决思路。

“数据二十条”：把握数据要素的治理脉络

2022年12月底，《中共中央　国务院关于构建数据基础制度更好发挥数据要素作用的意见》（“数据二十条”）正式发布，标志着我国对数据治理的顶层设计已经基本完成，数据治理工作即将迈入新的阶段。 虽然“数据二十条”并不是一份法律文件，但后续的立法、执法预期会向“数据二十条”所规划的方向靠拢。“数据二十条”会成为制定法律法规、开展执法活动的基线。对于企业来说，“数据二十条”尽管可能不会带来短期、直接的影响，但对企业长期数字化布局与数字化发展战略等长线工作具有参考价值，可以帮助企业抓住数据要素治理的脉络。

企业如何开展数据合规建设落地之实务指引

企业数据合规管理体系建设是一项系统化的工程，涉及企业高层管理人员等自上而下的全面认知和企业相关部门之间的资源协作与配合，不仅要有清晰的数据合规目标和实施计划，也要遵循事先设定的科学合理的合规目标和计划，切实有效开展实际落地执行工作，将数据合规贯穿于整个企业内部的管理和业务流程当中。

“算法亦应守法”：深度合成技术的法律风险及合规义务

深度合成技术（Deep Synthesis）是人工智能领域的一项重大突破，目前已渗透于互联网信息领域的各个方面，并充当着新一轮产业变革的核心驱动力。[1]AI换脸、NFT生成艺术、虚拟演唱会、虚拟数字人等元宇宙的重要组成部分都属于深度合成技术的具体应用。这些应用场景利用深度学习、虚拟现实等合成类算法，延伸出面部替换、表情操纵、语音合成等技术分支，并最终达到生成虚拟面容特征、人物形象等效果。

《工业和信息化领域数据安全管理办法（试行）》法律适用及主要合规义务

近日，工信部印发工信部网安〔2022〕166号通知，正式发布《工业和信息化领域数据安全管理办法（试行）》（下称“数安办法”），自2023年1月1日起施行。在此之前，工信部先后于2021年9月30日、2022年2月10日两次就《工业和信息化领域数据安全管理办法（试行）》公开征求意见。

深度合成要有深度监管：《互联网信息服务深度合成管理规定》发布

2022年1月28日，网信部门发布《互联网信息服务深度合成管理规定（征求意见稿）》，在历经近一年的征求意见后，《互联网信息服务深度合成管理规定》正式颁布并将于2023年1月10日施行，意味着中国为狂飙突进中的深度合成技术准备的深度监管措施已经就绪。

对民法典合同编司法解释意见稿“格式条款”规定的解读：网络购物管辖权纠纷实证分析（下）

实践中，由于格式条款的稳定性和重复使用性，其在节约交易成本、提高交易效率等方面具有突出优势，因而在电子商务蓬勃发展的背景下，格式条款广泛存在于交易中。但因其预先拟定、程序缔结、不可协商等固有缺陷也引起了关于部分格式条款效力的探讨和争议。虽然新司法解释的出台一定程度上细化了法律对于格式条款的相关规定，但在具体实践中，难题仍然存在。

对《民法典》合同编司法解释意见稿“格式条款”规定的解读：网络购物管辖权纠纷实证分析（上）

实践中，由于格式条款的稳定性和重复使用性，其在节约交易成本、提高交易效率等方面具有突出优势，因而在电子商务蓬勃发展的背景下，格式条款广泛存在于交易中。但因其预先拟定、程序缔结、不可协商等固有缺陷也引起了关于部分格式条款效力的探讨和争议。虽然新司法解释的出台一定程度上细化了法律对于格式条款的相关规定，但在具体实践中，难题仍然存在。本文以网络购物纠纷为视角，探讨管辖相关的格式条款实务认定难题，本篇为上篇。

跨入数字时代的静水深流——律师眼里的元宇宙

元宇宙是什么呢? 我将元宇宙看作是刘慈欣笔下的《三体》游戏。男主汪淼戴上地球三体组织送给他的头显设备，进入三体世界，他能见到活的秦始皇，感得到严寒酷暑，闻到油锅里炸肉的香味，甚至听到三体人大喊“脱水脱水”。所以第一个特征就是沉浸的拟真体验。在2021年12月21日，出现了第一例元宇宙性侵案，一位女性在Horizon遭遇了侵犯，你可以想象这种拟真性达到了怎样的程度。

Web3.0：挑战法律与法律挑战

在不同的时期，Web3.0会有不同的含义，而近期Web3.0最大的特点是允许用户“拥有”网络的一部分，真正成为自己数字资产的主人。

自动驾驶合规系列之二：汽车数据的难题

数据对自动驾驶技术的发展至关重要，自动驾驶技术算法的迭代与发展有赖于环境与驾驶数据的积累，是消减自动驾驶风险不可或缺的一环。自动驾驶不仅涉及车外环境数据，也涉及车辆行驶数据与驾驶舱数据的收集。在《智能网联汽车道路测试与示范应用管理规范（试行）》《工业和信息化部关于加强智能网联汽车生产企业及产品准入管理的意见》等法规文件中，也都对数据处理提出了要求。

GDPR浅析

欧盟GDPR规范的只是个人数据问题，对于非自然人的数据、市场主体对此类数据的再次使用范围，欧盟在2022年2月23日颁布了 DATA ACT《数据法案》。自此，欧盟的数据市场主要策略已经成型。

《网络安全法》修订的六大立法与执法趋势

《网络安全法》2017年6月1日实施后时隔五年，2022年09月14日，国家网信办会同相关部门起草了《关于修改〈中华人民共和国网络安全法〉的决定（征求意见稿）》（下称“修订稿”）并公开征求意见。据悉，本次修订主要意在加强与新实施的法律之间的衔接协调，完善法律责任制度，进一步增强法律的严肃性和威慑力。

《个人信息保护法》第四十条的理解与适用：本地化与数据出境的关系

“关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。 确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。”

自动驾驶合规系列之一：绘制高精地图的法律挑战

自动驾驶技术的“自动”高度依赖于车辆传感器对周边道路、环境、车况的感知，在此过程中不可避免需要对周边数据信息进行收集、存储、分析等处理活动。尤其是当前自动驾驶技术仍处于高速发展阶段，仍然依赖于海量的数据以提升自动化程度，因此自动驾驶技术的研发企业也会更加依赖外部环境数据作为第一手的素材。

《关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见》解读

8月30日，“两高一部”发布《关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见》（以下称《意见》），对信息网络犯罪案件适用刑事诉讼程序作出规定。《意见》在2014年“两高一部”《关于办理网络犯罪案件适用刑事诉讼程序若干问题的意见》（以下称14年《意见》）实施8年的司法实践基础上，进一步明确了实践中办理信息网络犯罪案件的程序性事项。《意见》重点对适用范围、并案与分案处理、重大案件/境外案件指定管辖、采取电子签名与数据电文方式取证、技侦证据和涉众型案件取证、追赃挽损等方面做了重大修改，修改后的《意见》共23条。本文笔者结合执业经验和司法实践，对《意见》的相关修改进行解读，供参考。

数据出境安全评估及申报实践的最新20问答

云服务商数据合规考虑要点

有了技术的支持，数据迅速化身为资源和财富代表。市场模式发生变化，共享模式深入人心，云服务是一种特殊的共享模式，物理服务器可以不再是客户自己购买的资产，租用分享（其实各自都是独立的）服务器使得各国的云服务商迅速增长。

余波未央：企业如何应对大额个人信息罚单的后续链式反应

《个人信息保护法》自2021年11月1日正式施行以来，有着广泛与深入的适用。对于企业来说，收到监管部门的大额罚单并不是终点，更不是“利空出尽”，而是新的合规起点，并且会新产生专属于大额罚单的合规科目。

《数据出境安全评估办法》八个实务问题解读

结合立法沿革、监管意见及近期项目经验，汇业律师事务所黄春林律师团队简要解读11号令如下，仅供参考。