2021年11月14日，为落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律关于数据安全管理的规定，根据国务院2021年立法计划，国家互联网信息办公室会同相关部门研究起草《网络数据安全管理条例（征求意见稿）》（下简称《意见稿》），并向社会公开征求意见，迅速在国内外各界获得了强烈的反响。

三大上位法中，《网络安全法》聚焦网络空间安全整体治理和数据保护；《数据安全法》针对数据处理活动的安全与开发利用，《个人信息保护法》负责网络环境下的信息或隐私，三者并行，成为网络治理和数据保护的“三驾马车”。而《意见稿》以规范网络数据处理活动，保障数据安全，保护个人、组织在网络空间的合法权益，维护国家安全、公共利益方面为目的，是对“三驾马车”的执行、细化和补充。

早在2019年，笔者就曾写过与人脸识别相关的热点二则，分别是以ZAO非法存储利用个人面部信息为主题的《ZAO出戏剧人生？怕是脸都不再是自己的》，以及浙江理工大学法政学院特聘副教授郭兵状告杭州野生动物世界将指纹识别强制变更为人脸识别的“人脸识别第一案”《有个人主动要求上法庭，我们还感觉挺高兴》。

两年后的今天，我们拥有了更明确的可参考法规：《意见稿》第二十五条提出，数据处理者利用生物特征进行个人身份认证的，应当对必要性、安全性进行风险评估，不得将人脸、步态、指纹、虹膜、声纹等生物特征作为唯一的个人身份认证方式，以强制个人同意收集其个人生物特征信息。

同样让民众反映强烈的，还有不给App授权就不能用的霸王条款问题，安在也在2019年写过名为《数十款App被官方点名，原因竟然是同一个？》的热点文章，当时因强制授权而被“点名”的App，竟然高达三分之二。针对这一现象，《意见稿》在第十九条提出，数据处理者不得因个人拒绝提供服务必需的个人信息以外的信息，拒绝提供服务或者干扰个人正常使用服务。

此外还有互联网账号注销难，且注销后也不无从自己的个人信息存储在何处，是否会被删除的问题。《意见稿》第二十二条明确，用户提出终止服务或者个人注销账号，数据处理者应当在15个工作日内删除个人信息或者进行匿名化处理。删除个人信息从技术上难以实现，或者因业务复杂等原因，在15个工作日内删除个人信息确有困难的，数据处理者不得开展除存储和采取必要的安全保护措施之外的处理，并应当向个人作出合理解释。

中国互联网协会法工委副秘书长胡钢表示，《意见稿》提供了更加细致可操作的法律依据。其对我国网络数据安全管理进行了全面、缜密的规范，更加具象和具体，也更多体现在那些操作性、执行性和实质性的规定中，更加贴近纷繁复杂的现实需求，同时也考虑到如今强化反垄断和防止资本无序扩张的时代要求。

《意见稿》中有不少首创性的具体规定。譬如第十七条就规定了诸如爬虫这样的自动化工具不得干扰网络服务义务：数据处理者在采用自动化工具访问、收集数据时，应当评估对网络服务的性能、功能带来的影响，不得干扰网络服务的正常功能。

针对第三方代码和插件，第二十条也明确表示要以集中展示等便利用户访问的方式说明产品服务中嵌入的所有收集个人信息的第三方代码、插件的名称，以及每个第三方代码、插件收集个人信息的目的、方式、种类、频次或者时机及其个人信息处理规则。

而对于暗含大量“不平等条约”的隐私政策，《意见稿》更是在第四十三条以大篇幅详细说明，直指互联网平台运营者应当建立与数据相关的平台规则、隐私政策和算法策略披露制度，及时披露制定程序、裁决程序，保障平台规则、隐私政策、算法公平公正，还对不同日活的平台给出了不同的判别标准。

对于全社会关注的焦点“大数据杀熟”，第四十六条给出了十分详尽的规定，提出互联网平台运营者不得利用数据以及平台规则等进行差异化定价、以最低价恶意竞争、违背用户意愿处理用户数据以及限制中小企业公平发展、阻碍创新等行为。

网络法治国际中心执行主任、中国互联网协会研究中心副主任吴沈括认为：《意见稿》的制度思路已不是网络安全合规、数据安全合规或者个人信息保护合规的单维方案，其可以广泛重塑数字经济下的数据处理与流转利用规则，在技术基础、组织管理、价值生态等诸多层面深度改造产业发展模式和企业治理架构，全面催生企业数据大合规的崭新需求。

《意见稿》所喻示的重要讯息是，企业欲求面向未来的数据合规之道，需要全面搭建一体适用于各种数据类型、融汇技术治理、组织治理与生态治理的多维体系，进而迈上数据大合规的战略风控新高度。

推荐阅读

人民日报评价人工智能，AI骚扰电话何时才能杜绝？

齐心抗疫 与你同在