从滴滴被罚看企业如何应对网络数据安全及个人信息保护严监管时代的到来

吴月琴团队陈嘉龙

2022年7月21日，国家网信办发文称，根据网络安全审查结论及发现的问题和线索，国家网信办依法对滴滴全球股份有限公司（以下简称“滴滴”）涉嫌违法行为进行立案调查。经查实，滴滴违反《网络安全法》《数据安全法》《个人信息保护法》的违法违规行为事实清楚、证据确凿、情节严重、性质恶劣。依据《网络安全法》《数据安全法》《个人信息保护法》等法律法规，对滴滴处人民币80.26亿元罚款，对滴滴董事长兼CEO程维、总裁柳青各处人民币100万元罚款。消息一出，舆论哗然。事实上，自2017年《网络安全法》生效以来，尤其自2021年《数据安全法》、《个人信息保护法》相继生效以来，我国对于网络数据安全及个人信息保护的监管、执法力度日益加大。从本次滴滴处罚事件，可看出我国的网络数据安全及个人信息保护严监管时代已经到来。

一、滴滴的违法行为是监管执法的重点

根据国家网信办发布的信息，本次滴滴违法事实共有16项，涉及8方面。具体来看，包括如下：

综合来看，国家网信办公布的滴滴8方面违法违规事项主要和个人信息保护相关。其中，例如“过度收集个人信息（尤其是敏感个人信息）”、“未经同意收集、处理个人信息”、“过度索取设备权限”等行为，也是去年以来监管机关的查处重点。对于其他涉及个人信息处理活动的企业而言，需要格外关注这些监管执法的聚焦点。

二、巨额罚款的原因与CIIO和重要数据密切相关

国家网信办认定滴滴存在严重影响国家安全的数据处理活动，以及其违法违规运营给国家关键信息基础设施(CII)安全和数据安全带来严重安全风险隐患，直接对滴滴的主体和所处理的数据作了定性。根据国务院《关键信息基础设施安全保护条例》，关键信息基础设施是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。另根据国家网信办发布的《网络数据安全管理条例（征求意见稿）》，重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。其中包括，交通运行数据、关键信息基础设施建设运行及其安全数据、重要敏感区域（国防设施、军事管理区、国防科研生产单位等）的地理位置、达到国家有关部门规定的规模或者精度的地理基础数据等。按照《个人信息保护法》和最近颁布的《数据出境安全评估办法》，CIIO跨境传输数据、或非CIIO跨境传输重要数据，都需要通过网信部门的安全评估。滴滴之所以此次受到如此大额处罚，关键原因还是在于其本身业务规模庞大，与国家关键信息基础设施安全息息相关，并且所收集、处理的数据（包括交通流量图、热力图等）有相当一部分涉及重要数据范畴，一旦泄露、公开，很可能对国家重要工业甚至军事设施造成威胁。

三、处罚对象不限于境内主体

我们注意到，本次受处罚主体是滴滴全球股份有限公司。根据公开信息显示，该公司于2013年1月11日在开曼群岛注册成立，并通过VIE架构，实际控制了中国境内的一系列运营主体。国家网信办也明确提到，该公司对境内各业务线（滴滴出行App、滴滴车主App、滴滴顺风车App、滴滴企业版App等41款App）重大事项具有最高决策权，制定的企业内部制度规范对境内各业务线全部适用，且对落实情况负监督管理责任。各业务线违法行为是在该公司统一决策和部署下的具体落实。因此，认定滴滴全球股份有限公司为本案违法行为主体。从这一点上看，中国网信部门实际上采用了域外执法方式。此次滴滴受处罚事件，将会对采用VIE架构赴境外上市的企业产生深远影响。中国企业通过VIE架构规避中国境内的网络数据安全、个人信息保护监管，也愈发困难。

四、监管认定“情节严重”的考虑因素

对于违法违规处理个人信息和跨境提供重要数据的行为，《个人信息保护法》和《数据安全法》对法律责任已有明确规定。具体如下：

本次国家网信办对滴滴处以人民币80.26亿元罚款，对滴滴董事长兼CEO程维、总裁柳青各处人民币100万元罚款。采用了双罚制和从严从重处罚。国家网信办在认定“违法违规行为情节严重”时，考虑了如下因素：（1）违法行为性质的恶劣程度。例如，当事方是否按照法律法规要求履行网络安全、数据安全、个人信息保护义务，在监管部门已经责令改正的情况下，是否及时进行全面深入整改；（2）违法行为的持续时间。例如，当事方的违法行为是否贯穿《网络安全法》、《数据安全法》、《个人信息保护法》颁布及生效前后；（3）违法行为的危害程度。例如，违法收集个人信息的方式是否非常隐秘（包括收集用户剪切板信息、相册截图等）；（4）违法处理的个人信息数量。即数量是否特别巨大、是否涉及敏感个人信息等；（5）违法处理个人信息的情形。例如，是否通过多个App、小程序等多渠道收集个人信息，是否包含频繁、过度调用设备敏感权限等方式。

五、本次处罚金额与GDPR执法案例相比如何

根据公开信息显示，滴滴2021年全年总营收为1738.3亿元。本次滴滴的罚款金额多达80.26亿元，占其上一年度（2021年）营业额的4.617%，接近《个人信息保护法》违法行为的顶格处罚，可见影响之大。横向对比来看，GDPR对于违反数据安全和个人数据保护的行为也设置了两档罚金，分别是：（1）最高1000万欧元或相当于其上一年全球总营业额2%的金额罚款（两者取其高者）；（2）最高2000万欧元或相当于其上一年全球总营业额4%的金额罚款（两者取其高者）。其中第二档处罚适用于违反“告知-同意”等个人数据处理基本规则、违反数据主体权利、违规跨境传输个人数据等行为。自GDPR生效至今，也出现了许多大额罚款案例，包括如下：

从横向比较而言，本次滴滴处罚结果，不管是金额还是占营收的比重，在全球范围内的网络数据安全、个人信息保护执法案例中，都相当高。还有一点需要提及的是，根据GDPR第83条规定，2%或4%为上限的罚款适用于“经济实体”（undertaking）。按照欧盟竞争法的通常理解，“经济实体”指“所有从事同一经济活动的主体，无论其法律地位或资金来源”，当一个企业对另一个施加决定性影响，它们便形成同一个经济实体，即使子公司具有独立的法人地位，但当子公司不能独立决定自己的市场行为，而实际上依照母公司发出的指令行事，其行为可归责于母公司。因此，当以“上一年度营业额”的2%或4%为上限进行罚款时，其计算基础并不一定局限于子公司的营收金额，而是将全部关联公司的营收都计算在内。此次，国家网信办将滴滴全球股份有限公司认定为违法主体，并以该主体的上一年度营收作为计算基础，与GDPR有异曲同工之处。这也同时意味着，许多集团公司通过设立子公司开展数据处理业务，并希望以此隔离风险的难度会越来越大。

六、网络数据安全及个人信息保护执法案例数量可能快速攀升

需要引起企业注意的是，在数据安全、个人信息保护相关立法颁布后2至3年内，监管执法案件数量将大概率呈现快速上升趋势。根据公开信息显示，自从2018年GDPR生效以来，欧盟及欧洲经济区DPA依据GDPR行使了诸如行政罚款、警告和谴责、命令等执法手段。其中在2018年5月25日至2019年11月30日期间，22个欧盟或欧洲经济区的DPA共开出超过700张罚单。其中大多数罚单都与违反GDPR的合法性原则、有效同意、敏感数据保护和数据泄露有关。另据统计，2018年7月至2020年6月期间，可以公开查到的GDPR罚款共有超过250笔，罚款的数量和规模呈指数型增长。我国《数据安全法》、《个人信息保护法》在去年相继生效，截至目前，有一批相配套的法律规范也陆续出台（例如《数据出境安全评估办法》）。结合当前仍然存在的各种网络数据安全、个人信息处理乱象，可以预计在未来几年内，中国境内相关执法活动也会趋于频繁。

七、企业合规启示

本次滴滴受处罚案件社会影响巨大，对于企业开展网络数据安全、个人信息保护合规工作有着重要意义。

首先，企业需要真正开始重视并切实履行网络数据安全及个人信息保护义务。从本次滴滴受巨额处罚事件，可直接看出监管机构日益严格的执法、查处力度，也可看出国家对于违反网络数据安全、个人信息保护的行为采取零容忍态度，尤其是处理重要数据及大量个人信息的企业。从某种意义上讲，本次滴滴事件意味着网络数据安全、个人信息保护严监管时代已经到来。不管是通过设立子公司、外包隔离风险，还是采用VIE架构等方式，都将很难规避监管。从企业角度出发，需要立即重视起来并认真履行网络数据安全、个人信息保护义务。

其次，企业需要搭建真实有效的网络数据安全和个人信息保护架构。不管是《网络安全法》、《数据安全法》还是《个人信息保护法》，都采用了法律责任双罚制。被处罚主体除了企业以外，还可能包括直接负责的主管人员和其他直接责任人员。本次滴滴事件中，因存在违规跨境传输重要数据、违规处理大量个人信息等行为，国家网信办直接对滴滴董事长兼CEO、总裁各处人民币100万元罚款。由此我们可以预判，对其他涉及违法处理重要数据或大量个人信息的类似事件，网信部门将很可能采用双罚制，直接对涉事企业违法法规行为的主要决策人员追究责任。部分企业通过在形式上设立个人信息保护负责人或个人信息保护部门等方式，将无法免除企业核心决策人员被追责的风险。不管从企业风险角度，还是决策层个人风险角度，都十分有必要落实网络数据安全和个人信息保护义务，寻求专业机构为企业搭建有效的网络数据安全和个人信息保护架构，来降低违法风险。

第三，企业需要建立健全数据安全管理制度和用户个人信息保护制度。企业应定期组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施。发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。如处理重要数据的，应定期开展风险评估，并向有关主管部门报送风险评估报告。处理大量用户个人信息的企业，还应当对用户个人信息严格保密，并建立健全用户信息保护制度，采取切实有效的技术措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。

第四，企业应落实网络等级保护的要求，对于构成关键信息基础设施运营者或网络平台运营者的企业，同时需符合网络安全审查要求。并非只有赴国外上市才可能触发网络安全审查要求，根据《网络安全法》规定，关键信息基础设施运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。《网络安全审查办法》也要求关键信息基础设施运营者采购网络产品和服务,以及网络平台运营者开展数据处理活动,影响或者可能影响国家安全的,应当进行网络安全审查。对于可能构成关键信息基础设施运营者的企业，在采购网络产品和服务时,应当通过一系列严格的评估标准、流程来选取符合标准的供应商、产品及服务，并应充分预判相关产品和服务投入使用后可能带来的国家安全风险。

此外，企业应构建完善的个人信息处理活动影响评估机制。凡事预则立，不预则废。企业个人信息处理活动的合规工作应主要落实在平时业务开展过程中，而并非将注意力放在应对监管调查所临时采取的措施。本次滴滴事件，也为广大企业（尤其是涉及大量个人信息处理活动、以及存在数据跨境活动的企业）敲响了警钟，随着《个人信息保护法》等相关配套文本的不断完善，监管执法力度也将越来越频繁、严格、细化。采用临时公关等方式将越来越难以奏效。按照《个人信息保护法》的要求，企业在平时的个人信息处理活动中，应建立有效、稳定的影响评估机制，包括对处理敏感个人信息、利用个人信息进行自动化决策、向第三方共享个人信息、跨境提供个人信息等活动，及时完成影响评估，并在此基础上做出商业决策，尽可能避免违规行为。