数字经济时代下数据合规与隐私保护挑战

本报告全面梳理了国内外数据安全与算法应用的合规体系，对隐私科技的概念、内涵和外延进行更新，客观了解企业数据合规的现状与隐私科技的需求。

当前，大数据正在迅速改变全球的经济面貌。在数字经济的发展过程中，企业和个人持续依赖大数据与不断更迭的数字技术，驱动数据处理活动、探索数据创新。然而，繁荣背后隐藏风险，数据的价值吸引内外部的恶意攻击与频繁掠夺，数据的流通引发个人隐私担忧与合规警惕。从漏洞攻击到数据窃取，从经济损失到合规成本，从系统安全到隐私保护，以安全与隐私为主题的风险正成为影响数字经济发展的关键因子。对此，企业正在积极采取措施，运用“数据 + 算法”、“隐私 + 合规”等技术与服务手段，制定应对安全与隐私挑战的安全战略与整体解决方案。

1. “隐私科技”概念界定

在 2021 年发布的《2021 全球数据合规与隐私科技发展报告》中，我们将隐私科技定义为：用于支撑隐私保护与合规的日常运营流程，且嵌入到 IT 架构和业务场景中的一系列技术解决方案，在保证个人信息全生命周期的增强保护和个人信息处理活动规范化的基础上，实现保护个人信息权益、提升数据流通、共享与开放、促进个人信息合理开发利用的目的。

图 1 隐私科技概念图示（2022 版）

今年，基于对国内隐私科技厂商的普遍性研究，《全球数据合规与隐私科技发展报告（2022）》对隐私科技框架进行了更新与完善，主要体现在

① 凸显应用场景的重要性，强调隐私科技在数据处理全生命周期中的应用，以及在金融、医疗、政务等重点行业的实践趋势；

② 对隐私科技解决方案与底层支撑技术进行梳理与更新。现将隐私科技定义更新为：在日常运营流程中，通过嵌入 IT 架构和业务场景支撑主体数据合规和隐私保护的一系列工具、服务及技术解决方案。通过将隐私科技应用于个人信息全生命周期或各行业个人信息处理场景中，在增强保护个人信息、规范个人信息处理活动的基础上，实现保护个人信息权益，推动数据流通、共享与开放，促进个人信息合理开发利用的目的。

2. 全球数据合规与隐私保护挑战

数字世界里，合规与隐私保护作为反复出现的话题，也是企业在经营、上市、融资、发展过程中的“必经之路”。当前企业为满足数据合规与隐私保护需要，面临诸多挑战，包括满足来自监管的迫切要求，应对围绕数据处理全生命周期的外部攻击与内生安全风险。

（1）遵守不断发展变化的法律法规

随着与数据相关的法律体系的不断完善，企业面临的首要挑战是来自国际监管环境的变化。首先是适应全球不断发展变化的法律法规，包括遵守已经生效、即将生效的数据合规要求——涵盖当地数据合规与个人信息隐私保护、跨境数据传输安全合规要求等。由于法律法规要求众多且持续更迭，企业及其内部合规团队不得不面临合规制度不完善、合规要求更新不及时、合规措施落实困难等现实挑战。

其次是适应“当地”法律法规，由于各国在数据安全方面的立法存在标准不一、条款冲突的情形，因此跨国企业需重点关注业务经营所在国家的法律合规要求，加强监测预警，规避和降低跨国经营合规风险。在不损害国家安全、公民个人信息安全的前提下，以“安全合规本土化”为原则，提升企业境外市场的综合竞争力。

（2）高昂合规成本带来的经济压力

鉴于全球监管格局的不断变化，企业为了适应日益严格的监管与处罚，面临更大的经济压力。

一是表现在不合规成本支出上，即支付因违规带来的高额罚款。截至 2022 年 11 月 30 日，《通用数据保护条例》（简称“GDPR”）执法总数 1216 起（相较去年 9 月 30 日的统计数据，增加 322 起），GDPR 罚款总额超 20 亿欧元（增加约 7 亿欧元），最高的一笔罚款暂时还未刷新，仍为 2021 年针对某国际电商巨头开出的 7.46 亿欧元罚款。不仅 GDPR 的执法强度大、频次高，其他国家的监管处罚也不容小觑。以我国为例，伴随执法常态化发展，监管措施涵盖公开通报、应用下架、罚款到实施网络安全审查、过渡性指导措施等多种手段。监管处罚对象不仅包括企业，还覆盖到高管及相关责任人，处罚方式主要体现为警告与罚款。譬如 2022 年 7 月，国家互联网信息办公室对某出行平台处人民币 80.26 亿元人民币罚款，对公司董事长、总裁各处人民币 100 万元人民币罚款。

二是表现在企业在数据合规与隐私保护工作上投入更多预算。企业通过技术、工具和组织架构的调整提升整体合规能力，具体包括组建数据安全团队，设置CDO（首席数据官）制度，配备专职隐私保护人员及合规法务人员，应用隐私计算等技术，采购第三方合规风险评估服务等。其中，在人才需求方面，由于国内法律法规对于开展相关业务的企业提出数据安全管理相关要求，《个人信息保护法》更是明确指出处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人。然而，囿于当前数据合规与隐私保护的专业人员仍然存在较大的市场缺口，导致部分企业仍然因为缺乏人才，无法满足实际的数据合规和隐私保护工作需求。

整体来看，数据安全预算的增加一定程度上给企业带来了额外的成本，尤其是对于初创企业或中小企业来说。然而，根据《2022 全球隐私基准报告》研究显示，数据监管不合规的成本是合规成本的 2.71 倍，因此仍有 42% 的公司打算在隐私计划上花费超过 100 万美元，采取更多措施促进隐私保护。此外，根据 IBV 发布的《网络经济中的繁荣》研究显示，网络安全成熟度最高的组织在五年内的收入增长率比最不成熟的组织高出 43% ，数据安全在一定程度上也可以被视为企业经济和价值增长的措施。因此承担合规成本对于企业长期发展而言是必要的。

（3）复杂的第三方风险管理挑战

企业不仅面临自身的内外部安全威胁，还需要做好第三方风险管理。第三方数据处理者因供应链攻击或数据安全合规能力不足而产生的风险，正在对企业造成直接影响。从供应链角度来看，第三方数据处理者包括了企业直接合作的公司，如材料供应商、分包商、网络托管公司、安全产品提供商、数据服务提供商等可以访问企业系统或数据的第三方主体。由于供应链攻击是网络空间攻防对抗的焦点之一，即便企业自身安全建设成熟度高，攻击者也能利用供应链上下游企业的任一脆弱环节实现入侵。伴随供应链攻击的往往还有企业核心数据、重要数据泄露，让企业防不胜防。从数据处理关系来看，企业的数据源包括内部自主收集以及与第三方产生的数据共享、委托处理、转让，后者既有企业与企业之间的数据共享，也有企业和政府之间的数据共享。在数据传输、存储、处理过程中，第三方的网络安全防护能力以及数据安全保障能力，也是企业需要重点评估的方面。当前，大多数企业都需要重新审视第三方风险管理，尤其在网络安全、数据合规、隐私保护方面。

（4）数据频繁流通引发的安全威胁

伴随数字化转型，数据的价值与日俱增，数据的流通性也成为创新发展的必然要求。在此基础上，企业采用AI 技术、自动化工具、混合云部署等多种手段，加快数据从本地向云上，从内网向外网，从境内向境外流通。借助数据流通，推动因开展业务需要而收集与产生的数据的共享与开发利用，进而为市场创造新的价值。与此同时，政府机构也与企业一起，推动发挥数据要素生产力，构建功能齐全的数据要素市场。

然而，在数据流通利用过程中，也存在诸多风险隐患。部分企业由于安全管控措施不足、数据可信流通能力建设滞后，导致企业的风险暴露面增加。例如面临联网系统、云上资产等遭受攻击所引发的数据泄露；企业与第三方机构合作共享数据时，数据因明文流通或复制滥用而导致大量隐私泄露；企业因跨境业务需要等原因启动数据出境工作，可能因涉及重要数据，或一定规模的（敏感）个人信息外传，直接危及国家安全、企业合规与个人信息安全。综上，面对复杂的数据流通场景，企业亟须探索基于隐私保护的数据流通解决方案，在安全合规的前提下，促进数据在企业内外部的流通以及拓展数据开发利用的深度和广度。

3. 监管路径与发展趋势

聚焦数据、算法层面的立法现状与监管动向，各国明显加快数据保护及算法治理相关工作，优化法律基础，构建强监管环境。

第一，大型跨国科技公司成为重点监管对象。一方面，大型跨国科技公司基于业务需要所收集、存储与处理的数据，在数据量和数据重要程度上一般会高于普通公司，具有更高的数据价值与潜在风险。例如，近年来国内外的大型跨国科技公司侵犯个人隐私、滥用数据、数据泄露等问题层出不穷，使得更加严格的监管势在必行；另一方面，数据安全不仅要以监管机构为主导，还需要社会、企业、群众等主体共同发挥作用，而大型跨国科技公司具备一定的社会影响力，由其开展的最佳实践或倡议行动都有助于建设更好的数据安全环境。因此，将跨国互联网巨头作为数据保护监管的重点对象，不仅有利于海量数据保护，而且在执法层面也更具有示范和预警效果。

第二，数据出境活动成为重点监管情形。数据本地化趋势在全球范围内尤其是发展中国家愈发凸显。关键信息基础设施的运营者、大型跨国企业或开展海外业务的企业需要重点关注围绕“跨境数据传输”“数据本地化存储”“数据隐私保护”的当地法律规定。目前跨境数据流动治理及监管暂未形成全球性规制体系，但包含中国在内的部分国家已经出台相应法律法规。

以我国 9 月 1 日起施行的《数据出境安全评估办法》为例，明确了数据出境的具体流程。

一是事前评估，数据处理者在向境外提供数据前，应首先开展数据出境风险自评估。
二是申报评估，符合申报数据出境安全评估情形的，数据处理者应通过所在地省级网信部门向国家网信部门申报数据出境安全评估。
三是开展评估，由国家网信部门收到申报材料之日进行评估。围绕数据出境的监管，重点在于出境这一活动是否对国家安全、公共利益、个人或者组织合法权益带来风险。

第三，安全审查成为关键领域数据安全强监管的重要举措。网络安全审查一般是针对关系国家安全和社会稳定的信息系统中所使用的信息技术产品与服务开展审查与监督。当前美国、中国等多个国家已设置审查制度，并且随着安全态势变化，审查范围也在进一步拓展。以美国为例，其网络安全审查涵盖外国投资、关键基础设施保护、供应链安全管理等。目前，全球网络安全审查更聚焦于关键领域及信息科技行业。值得注意的是，国家将安全审查作为重要监管手段之一，以实现数据安全这一最终目的，但考虑到不同国家的网络安全审查制度和体系可能存在法条竞合或法条冲突，需要企业进行预先自审自查。

第四，合规性评估与安全检查成为数据安全日常监督的举措。在日常监管工作中，除了网信办、工信部、各地通管局等部门围绕违法违规收集使用个人信息等情形定期对 App 开展技术检测，开展通报、批评、下架处理等执法活动。数据安全检查专项活动也取得了阶段性成效，成为主要监管举措。2022 年，浙江省、广东省、北京市、上海市等多省市已经开展电信和互联网行业或车联网行业的网络与数据安全检查工作，重点聚焦企业的数据安全保护落实情况、个人信息和用户权益保护工作情况。数据安全合规评估作为检查的一部分，对于企业自查自改具有全面指导意义，同时既可以作为数据安全符合性成果报告，也可以作为直接向监管部门提供的企业履行数据安全合规评估工作的证明。

第五，算法监管的未来趋势将从个人信息保护基本原则出发不断提高其数据的可溯源性和规则的可解释性。从各国的算法监管思路来看，个人信息保护要求下的个人信息处理规则公开透明和个人信息自主决定权与算法黑箱模式形成冲突，虽然技术中立，但是算法的设计和数据的筛选都掺杂的人为因素，如果没有中立的第三方进行算法治理和监管，容易导致算法歧视和舆论引导，对部分群体的权益造成影响。其中，数据的可溯源性，指数据的来源无瑕疵，对于个人信息的处理，需要取得个人信息主体的授权，这就要求，算法的数据提供方需要在数据收集时充分告知个人信息主体关于数据收集的种类和应用目的，如果需要向第三方共享，还必须向其告知共享的第三方主体基本信息。根据我国《个人信息保护法》对个人信息的定义，将匿名化后的信息排除在外，这为隐私计算的发展提供了发展窗口，即通过“数据可用不可见”的方式实现数据的流通和利用将成为算法合规路径之一。

规则的可解释性同样映射出个人信息主体权利的要求，由于法律对个人信息人格性权益的认可，个人信息主体参与到数据的权益配置链路中，算法的使用主体应当承担相应的披露义务，明确告知公众关于算法使用的基本逻辑，接受公众的监督，保障个人信息主体对算法使用的知情权。

4. 从算法监管看隐私科技的破局思路

在算法监管规则日渐明晰的背景下，隐私科技的市场需求与日俱增，但是市场应用还难以推广。除了因为技术本身不成熟、缺乏可靠的技术标准以及多方数据融合处理需求不明晰等技术和应用层面的原因外。更重要的原因在于，在当前个人信息保护规则下，个人信息的概念外延不断扩大，法律除保护可用于直接识别自然人的信息外，算法应用中被加工的数据也受到同等法律保护，这类数据被称为与个人信息主体相关联的信息。无形中增加了数据应用的合规难度和算法的透明度要求。

隐私计算作为隐私科技中的核心技术能力体现，为了实现在安全的前提下促进数据的可持续流通，其破局思路具体要从法律规则层面进行先行引导和规划：

（1）提高数据的匿名化程度

我国《个人信息保护法》中将匿名化定义为“个人信息经过处理无法识别特定自然人且不能复原的过程”，并将匿名化处理后的信息排除在个人信息之外，这为算法类应用的发展提供了合规思路，即通过隐私计算实现数据的匿名化处理效果，在匿名化的前提下实现数据的“可用不可见”。但是随着大数据技术的发展和数据的泛在化，完全做到匿名化可能是个伪命题，典型的例子是搜索记录的重新识别，美国在线网站曾经公布 2000 多万条匿名化处理的用户搜索记录，有研究人员通过把其中多条记录联合分析后，很容易就识别出特定个人的姓名和身份。在当前法律和行业标准尚未界定匿名化实现方式和验证标准的前提下，隐私科技技术需要对匿名化数据的重识别行为做出约束，通过规则设计避免算法运行过程中的中间态数据被重新识别到特定个人。

（2）增强算法规则可解释性

数据作为新型生产要素，打破了“一物一权”式的传统物权体系下的主客体对应关系，这就导致算法的开发方和利用方需要向个人信息主体披露数据处理的逻辑，以达到合规的要求。隐私科技技术在实现匿名化信息处理的前提下无疑也增加了算法可解释性的难度。例如在多方安全计算中，由于数据供给方互相并不知道对方的数据特征和群体特征，用于算法训练的数据仅限于中间态计算结果，数据黑箱导致算法计算最终结果的可解释性变差，因此，即便是“心怀善意”的技术提供方，也会因为数据的不完全透明导致数据的虚假乃至错误应用。隐私科技如何实现算法的可解释性，降低算法偏差将成为合规必须攻破的难题。

（3）遵循应用伦理先行原则

由于算法与决策直接相关，从本质上来讲，算法是客观规律的数学表达和理性预测，但是算法的运算逻辑和数据输入都是由人来完成的。在隐私科技加持下的算法虽然一定程度提高了数据匿名化的程度，但是增加多个数据处理环节和应用主体，包括数据提供方、技术提供方和数据应用方，其中数据提供方可能涉及跨行业多个主体，这多方主体彼此之间难以对算法开发过程中的信息做到完全披露和理解，信息的不对称同样也会影响技术的中立性，从而导致计算偏差和算法歧视，算法不仅会将代码中固有的决策保存下来，还会在预测过程中不断固化歧视而创造出新的现实。因此隐私科技的推广必不可缺少中立第三方对数据源、算法模型的伦理审查，通过降低信息不对称性和融入社会学分析，加强算法的伦理审查，以促进隐私科技的向善发展。

本文摘编自安永、赛博研究院发布的《2022年金球数据合规与隐私科技发展报告》，全文下载：