《個(gè)人信息保護(hù)法》即將生效企業(yè)側(cè)數(shù)據(jù)安全需求有望爆發(fā)

胡雯

8月20日，第十三屆全國人大常委會(huì)第三十次會(huì)議表決通過《中華人民共和國個(gè)人信息保護(hù)法》（以下簡稱《個(gè)人信息保護(hù)法》），將自2021年11月1日起施行。自2016年《網(wǎng)絡(luò)安全法》、2021年6月《數(shù)據(jù)安全法》相繼出臺(tái)后，《個(gè)人信息保護(hù)法》進(jìn)一步明確了個(gè)人信息收集和處理應(yīng)遵循的原則，標(biāo)志著我國信息安全法律保障體系的初步完善。

近年來，我國數(shù)據(jù)及隱私保護(hù)相關(guān)立法及執(zhí)法活動(dòng)頻繁，同時(shí)暴露出諸多高風(fēng)險(xiǎn)行業(yè)及場景，并對(duì)此類場景進(jìn)行了持續(xù)性的打擊。與執(zhí)法活動(dòng)重點(diǎn)相一致，《個(gè)人信息保護(hù)法》納入了這些場景及熱點(diǎn)話題，力求從事前杜絕高風(fēng)險(xiǎn)違規(guī)事件發(fā)生。

國內(nèi)數(shù)據(jù)安全需求落地明確性強(qiáng)

《個(gè)人信息保護(hù)法》違法成本較歐盟標(biāo)準(zhǔn)更高，國內(nèi)數(shù)據(jù)安全需求落地確定性強(qiáng)。

當(dāng)前大數(shù)據(jù)、云計(jì)算等信息深度整合技術(shù)高度發(fā)展的時(shí)代背景下，我國個(gè)人信息保護(hù)立法推進(jìn)恰逢其時(shí)。據(jù)德勤統(tǒng)計(jì)，截至2021年6月，國際已有超過八成的國家已有或正在進(jìn)行個(gè)人信息保護(hù)立法。我國可以基于先有思路進(jìn)行差異化制度設(shè)計(jì)，同時(shí)就當(dāng)前普遍存在的模糊地帶，力求進(jìn)行補(bǔ)充和優(yōu)化。

國盛證券分析人士指出，這一法規(guī)的出臺(tái)其亮點(diǎn)在于明確處理個(gè)人信息應(yīng)當(dāng)在事先充分告知的前提下取得個(gè)人同意，個(gè)人信息處理的重要事項(xiàng)發(fā)生變更的應(yīng)當(dāng)重新向個(gè)人告知并取得同意。同時(shí)，針對(duì)現(xiàn)實(shí)生活中社會(huì)反映強(qiáng)烈的一攬子授權(quán)、強(qiáng)制同意等問題，《個(gè)人信息保護(hù)法》特別要求，個(gè)人信息處理者在處理敏感個(gè)人信息、向他人提供或公開個(gè)人信息、跨境轉(zhuǎn)移個(gè)人信息等環(huán)節(jié)應(yīng)取得個(gè)人的單獨(dú)同意，明確個(gè)人信息處理者不得過度收集個(gè)人信息，不得以個(gè)人不同意為由拒絕提供產(chǎn)品或者服務(wù)，并賦予個(gè)人撤回同意的權(quán)利，在個(gè)人撤回同意后，個(gè)人信息處理者應(yīng)當(dāng)停止處理或及時(shí)刪除其個(gè)人信息。

隨著越來越多的企業(yè)利用大數(shù)據(jù)分析、評(píng)估消費(fèi)者的個(gè)人特征用于商業(yè)營銷，有一些企業(yè)通過掌握消費(fèi)者的經(jīng)濟(jì)狀況、消費(fèi)習(xí)慣、對(duì)價(jià)格的敏感程度等信息，對(duì)消費(fèi)者在交易價(jià)格等方面實(shí)行歧視性的差別待遇，誤導(dǎo)、欺詐消費(fèi)者。其中，最典型的就是社會(huì)反映突出的“大數(shù)據(jù)殺熟”。對(duì)此，《個(gè)人信息保護(hù)法》明確規(guī)定：個(gè)人信息處理者利用個(gè)人信息進(jìn)行自動(dòng)化決策，應(yīng)當(dāng)保證決策的透明度和結(jié)果公平、公正，不得對(duì)個(gè)人在交易價(jià)格等交易條件上實(shí)行不合理的差別待遇。

《個(gè)人信息保護(hù)法》將生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息列為敏感個(gè)人信息?！秱€(gè)人信息保護(hù)法》要求，只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，方可處理敏感個(gè)人信息，同時(shí)應(yīng)當(dāng)事前進(jìn)行影響評(píng)估，并向個(gè)人告知處理的必要性以及影響。

觸犯規(guī)定的違法行為，情節(jié)嚴(yán)重的，由省級(jí)以上履行個(gè)人信息保護(hù)職責(zé)的部門責(zé)令改正，沒收違法所得，并處5000萬元以下或者上一年度營業(yè)額5%以下罰款，并可以責(zé)令暫停相關(guān)業(yè)務(wù)或者停業(yè)整頓、通報(bào)有關(guān)主管部門吊銷相關(guān)業(yè)務(wù)許可或者吊銷營業(yè)執(zhí)照。

行業(yè)數(shù)據(jù)安全潛在空間巨大

隨著《個(gè)人信息保護(hù)法》的生效，國內(nèi)涉及個(gè)人數(shù)據(jù)的各個(gè)行業(yè)存在巨大的潛在發(fā)展空間。

金融數(shù)據(jù)天然具有商業(yè)價(jià)值，需加強(qiáng)監(jiān)管。通過分析金融交易相關(guān)“敏感個(gè)人信息”總結(jié)、歸納、演繹后得到的“衍生個(gè)人信息”，對(duì)于風(fēng)控及業(yè)務(wù)價(jià)值巨大；隨著實(shí)體醫(yī)院將診療活動(dòng)延伸至互聯(lián)網(wǎng)端，數(shù)據(jù)共享和流通成為剛性業(yè)務(wù)需求，靜態(tài)的隔離保護(hù)措施難以控制數(shù)據(jù)在流動(dòng)中的風(fēng)險(xiǎn)，關(guān)乎患者隱私、種類繁多的醫(yī)療數(shù)據(jù)也迎來愈加嚴(yán)峻的安全挑戰(zhàn)，互聯(lián)網(wǎng)醫(yī)院需要通過動(dòng)態(tài)變化的視角分析和判斷數(shù)據(jù)安全風(fēng)險(xiǎn)；隨著智能汽車產(chǎn)業(yè)、車聯(lián)網(wǎng)技術(shù)的快速發(fā)展，以自動(dòng)輔助駕駛為代表的人工智能技術(shù)日益普及，汽車數(shù)據(jù)處理能力日益增強(qiáng)，暴露出的汽車數(shù)據(jù)安全問題和風(fēng)險(xiǎn)隱患日益突出。

以自動(dòng)駕駛為代表的AI技術(shù)日益普及，汽車數(shù)據(jù)處理量級(jí)及能力日益增強(qiáng)，汽車數(shù)據(jù)依法合理有效利用同時(shí)維護(hù)了國家安全利益與個(gè)人合法權(quán)益。

汽車數(shù)據(jù)處理者應(yīng)當(dāng)履行個(gè)人信息保護(hù)責(zé)任，充分保護(hù)個(gè)人信息安全和合法權(quán)益。開展個(gè)人信息處理活動(dòng)，汽車數(shù)據(jù)處理者應(yīng)當(dāng)通過顯著方式告知個(gè)人相關(guān)信息，取得個(gè)人同意或者符合法律、行政法規(guī)規(guī)定的其他情形。處理敏感個(gè)人信息，汽車數(shù)據(jù)處理者還應(yīng)當(dāng)取得個(gè)人單獨(dú)同意，滿足限定處理目的、提示收集狀態(tài)、終止收集等具體要求或者符合法律、行政法規(guī)和強(qiáng)制性國家標(biāo)準(zhǔn)等其他要求。汽車數(shù)據(jù)處理者具有增強(qiáng)行車安全的目的和充分的必要性，方可收集指紋、聲紋、人臉、心律等生物識(shí)別特征信息。

數(shù)據(jù)安全服務(wù)有望達(dá)百億元

隨著《數(shù)據(jù)安全法》《關(guān)保條例》《個(gè)人信息保護(hù)法》等法律法規(guī)密集發(fā)布并實(shí)施，僅從數(shù)據(jù)安全的組成部分隱私計(jì)算來看，據(jù)Gartner預(yù)測，2023年，全球80%以上的公司將面臨至少一項(xiàng)以隱私為重點(diǎn)的數(shù)據(jù)保護(hù)法規(guī)，2024年隱私驅(qū)動(dòng)的數(shù)據(jù)保護(hù)和合規(guī)技術(shù)支出將在全球突破150億美元。

數(shù)據(jù)安全計(jì)算模塊常見于大數(shù)據(jù)服務(wù)場景，添加至AI計(jì)算平臺(tái)，并且與AI應(yīng)用同樣以數(shù)據(jù)為基礎(chǔ)，進(jìn)行安全、存儲(chǔ)以及計(jì)算等服務(wù)，故以AI平臺(tái)收入為隱私計(jì)算產(chǎn)值上限，根據(jù)IDC預(yù)測，2020年我國大數(shù)據(jù)市場規(guī)模約104.2億美元，其中軟件市場規(guī)模為26.5億美元，AI平臺(tái)收入約4億美元，IDC預(yù)測，2018—2024年AI產(chǎn)業(yè)年均復(fù)合增長39%，則AI平臺(tái)收入2024年有望達(dá)15億美元，而數(shù)據(jù)安全方案上限近百億元人民幣。

隱私計(jì)算技術(shù)解決了數(shù)據(jù)流通過程中的“可用不可見”難題，有助于破解數(shù)據(jù)保護(hù)與利用之間的矛盾，已在金融、醫(yī)療、政務(wù)等領(lǐng)域開始推廣應(yīng)用。

業(yè)內(nèi)專家強(qiáng)調(diào)，數(shù)據(jù)深度價(jià)值挖掘過程中需要兼顧數(shù)據(jù)應(yīng)用和安全，平衡效率和風(fēng)險(xiǎn)，在保障安全的前提下發(fā)揮數(shù)據(jù)價(jià)值。

KPMG預(yù)計(jì)2023年國內(nèi)數(shù)據(jù)安全技術(shù)服務(wù)市場有望達(dá)百億元，隨IT架構(gòu)走向云化，長期將撬動(dòng)千億元級(jí)的數(shù)據(jù)安全SaaS運(yùn)營收入。

以消費(fèi)貸款場景為例，假設(shè)2030年金融機(jī)構(gòu)信用風(fēng)險(xiǎn)建模使用聯(lián)邦學(xué)習(xí)滲透率達(dá)60%，服務(wù)費(fèi)率為1%，國內(nèi)短期消費(fèi)信貸市場2019年已達(dá)9.92萬億元，假設(shè)直到2030年年化復(fù)合增速為8%，則2030年市場有望達(dá)21.42萬億元，數(shù)據(jù)安全收入有望達(dá)1285千億元，考慮互聯(lián)網(wǎng)、醫(yī)療及政務(wù)大數(shù)據(jù)等場景，空間巨大。

國盛證券指出，典型的數(shù)據(jù)安全應(yīng)用場景通常包含三類參與方，互聯(lián)網(wǎng)作為使用方，未來國內(nèi)或由網(wǎng)信辦等監(jiān)管單位牽頭平臺(tái)建設(shè)，具備國資股東背景、技術(shù)儲(chǔ)備的第三方企業(yè)提供技術(shù)及運(yùn)營。如作為數(shù)據(jù)的使用方，需考慮業(yè)務(wù)特征與支付能力，互聯(lián)網(wǎng)廠商合規(guī)需求迫切，包括數(shù)據(jù)“最小化采集、避免濫用”，此外如聯(lián)合建模下的銀行業(yè)、醫(yī)療機(jī)構(gòu)；作為數(shù)據(jù)的提供方，做到原始數(shù)據(jù)不出本地，將加密后的信息發(fā)送至中間方；此外，作為隱私計(jì)算技術(shù)服務(wù)商，為客戶搭建計(jì)算系統(tǒng)，包括在業(yè)務(wù)方、數(shù)據(jù)方以及可信第三方部署服務(wù)節(jié)點(diǎn)。