许可｜2022年展望：数据治理的乌卡时代

       01 个人视角：制度细化与观念更新

       尽管《个人信息保护法》已经生效，但其仅是个人信息保护领域的一般法，在金融、医疗以及国家机关处理个人信息等特殊领域，其规则或者过于粗疏，或者与具体场景相互扞格。因此，如何在《个人信息保护法》的框架下，为个人金融信息、个人医疗信息和依法行政中的个人信息作出因时而异、因地而变的调整，不但能坚持个人信息保护的基本原则，而且能贴合个人信息合理利用的特殊需求，考验着立法者的智慧。

       立法固然重要，但“徒法不足以自行”，无论是《个人信息保护法》，还是一系列的特别法，都有待法院司法、监管执法和企业自我合规的后续接力，才能真正落地生根。

       2022年，除了可预见的监管机构行政执法外，由个人发起的民事诉讼和由人民检察院、消费者权益保护委员会提起的公益诉讼将成为重要的救济渠道。不过，个人信息的司法保护要落到实处，仍需解决个人信息范围、隐私政策法律性质、侵权过错认定、赔偿金额计算、隐私权和个人信息权益竞合、公益诉讼赔偿金向受害者转移以及个体不当行使个人信息查阅权、复制权、删除权等权利诱发滥诉等诸多问题。

       司法和执法仍旧不是法律的全貌，如果说“一个国家的法律结构是根据这个国家的人们对法律的态度所建造起来的”（弗里德曼），那么中国民众对个人信息的态度决定了《个人信息保护法》的未来。

       利用百度关键词的趋势研究，我们可以发现有关社会意识的有趣事实：

       - 2021年，测量网民主动检索的“关键词搜索趋势指数”在 “个人信息”的上录得新高；

       - 与“个人信息”相比，网民对“隐私”明显更为关注，并且，自2020年以来，两者的差距日益明显，凸显出在疫情防控的背景下，公众隐私权观念的跃升。

       这也提醒我们，随着《民法典》《个人信息保护法》对隐私和个人信息的区隔，公众可能逐步意识到两者的不同，进而日益珍视“隐私”价值，而非“一般个人信息”。就此而言，如何积极抚慰人们对“敏感个人信息”的“敏感神经”，就成为提升《个人信息保护法》可感可知的肯綮所在。

       就此，2022年即将出台的《未成年人网络保护条例》和《人脸识别技术应用安全管理暂行规定》，可称应时之举。我们亦期待进一步强化个人生物识别信息、即时通讯信息的特别保护，以维护私人空间的安全与自主。

       02 企业视角：整体治理与积极合规

       《经济学人》在《2018年的世界》中首次用“科技抵制”（Techlash）一词来描述了针对Facebook、Google和Amazon等硅谷科技巨头严厉监管的政策。四年后，《经济学人》在《2022年的世界》中再次用“新一波科技抵制”来描述世界各国试图驯服科技业巨兽的努力。

       2021年，中国一系列反垄断执法和深入到平台内部的穿透式措施，引领了全球浪潮。正如《网络数据安全管理条例（征求意见稿）》所展示的，从网络安全到数据安全，从个人信息保护到反垄断审查，从算法监管到平台治理，我国数据治理正在从“碎片”走向“整体”，通过各个政府部门、各种监管措施、各项监管对象的协作，共同服务于规范科技企业的大目标。

       放眼2022年，以《关于推动平台经济规范健康持续发展的若干意见》为起点，以平台、数据、算法的分类分级为基础，超大型平台企业的义务责任将进一步强化。值此变革之期，企业当重塑对数据治理的理解。

       详言之，在深度上，企业应从最大化内部数据价值的单一导向，转向企业数据风险管理、个人数据权益保护和国家数据资源安全的复合目标，从而提升数据治理在公司战略的位置。

       在广度上，企业应将网络安全、数据安全、个人信息保护、平台治理与经营模式一并考量，融汇技术、组织与生态，联结法律、标准与伦理，形成理一分殊的制度架构。

       在态度上，企业应从被动地数据合规向主动地数据合规转变，通过与用户、专家、监管机构的积极沟通，提出符合各方期待的企业最佳实践（best practices），在监管规范细化的过程中，实现数据安全与数据利用的多赢。

       03 国家视角：公共服务与数据市场

       自2015年国务院发布《促进大数据发展行动纲要》以来，“用数据说话、用数据决策、用数据管理、用数据创新”的“用数据治理”已成为我国治理能力现代化的重要一环。公共数据在政府之间的共享以及在政府与社会之间的开放即是其题中之意。

       2021年，《数据安全法》第五章专章规定“政务数据安全与开放”，要求国家制定政务数据开放目录，构建统一规范、互联互通、安全可控的政务数据开放平台，推动政务数据开放利用，提升运用数据服务经济社会发展的能力。

       尽管上海、天津、浙江、深圳等地公共数据共享和开放的地方性立法如火如荼，受限于部门职权、经费支持、责任承担、收益分配等种种痼疾，全国层面的数据开放与共享依然步履维艰。

       2022年，在国务院的大力推动下，更大范围、更高层次的政务数据共享与开放有望破局。

       “构建以数据为关键要素的数字经济，推动实体经济和数字经济融合发展”是顶层长期以来的宏观判断。然而，数据要素市场并非自发形成，其始终有赖“市场执行性制度”的建立健全。在顶层立法付之阙如的情形下，2021年《深圳经济特区数据条例》《上海市数据条例》以及北京、上海等地的数据交易所不断涌现，试图从下自上推动数据要素市场成型。

       不过，考虑到“数据”本身是跨地域的“全国性事务”，通过地方立法来处理，不过是权宜之计，甚或导致分割市场的不良后果。因此，在地方上“子弹飞一会”之后，2022年，《数字经济促进法》《大数据管理法》有可能纳入中央立法的视野，聚焦数据采集、开放、流通、使用、开发、保护等全生命周期的制度建设，分级分类、分步推动部分领域数据流通应用。

       04 国际视角：泛在安全与数据流动

       《数据安全法》第11条确立了“数据跨境安全、自由流动”原则，这既彰显出在逆全球化和民粹主义兴起的潮流下，中国坚持对外开放与国际合作的基本立场（“自由流动”），又彰显出对国家安全的高度关切（“数据安全”）。

       不过，作为顶层设计，《数据安全法》并未就“数据安全跨境流动”和“数据自由跨境流动”的平衡作出充分展开。容易理解，随着风险社会兴起和国际博弈日趋炽烈，在“安全”和“自由”之间，人们往往不自觉地重视前者。

       正如“马赛克理论”（mosaic theory）所揭示的，大规模、多样化和高速性的数据经由堆叠、组合、分析之后，很可能由“不敏感的数据”变成危及国家的“重要数据”。 2021年，《汽车数据安全管理若干规定（试行）》《数据出境安全评估办法》（征求意见稿）均从“安全端”入手，通过明确“重要数据类型”和“个人信息规模”，增设数据本地化和出境安全评估的监管要求。

       去年年中，网信办等部委对赴美上市企业所开展的网络安全审查和《网络安全审查办法》修改，进一步体现出“数据安全泛在化”趋势。

       不过，“安全”绝非数据跨境流动的唯一诉求。正如联合国在《跨境数据流动与发展：数据为谁流动》年度报告所指出的：“对跨境数据流动采取极端立场是徒劳无益的，因为不论是严格的本地化，抑或是完全自由的数据流动，都不可能满足国家实现各种发展目标的需求”。

       随着我国企业全球化布局和一路一带的深入，数据跨境也面临着“攻守易型”。2022年1月1日，我国参与的首个涉及数据跨境流动规则的双多边贸易投资协议——《区域全面经济伙伴关系协定》（RCEP）正式生效，该协议第12章第15条要求缔约方不得阻止通过电子方式跨境传输信息，明确倡导数据跨境自由流动。

       其实，我国数据自由流动的道路才刚刚开始。与侧重于货物贸易关税协定的RCEP相比，《全面与进步跨太平洋伙伴关系协定》（CPTPP）将为数据跨境确立更高的标准。《个人信息保护法》第38条第2款“中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行”亦为此预留了充分的空间。我们期待着2022年正式发布的《个人信息出境标准合同规定》《数据出境安全评估办法》，能够实现数据安全流动与自由流动的再平衡，推动各国互信的数据跨境流动方案，促进数据利用的开放、合作与共赢。

       2022年是全球新冠疫情的第三个年头，我们依然身处一个“乌卡(VUCA)时代”。在数据治理领域，监管者则因复杂(complexity)、混沌(ambiguity)的未来而难以作出有效决策，被监管者因动荡(volatility)、不定(uncertainty)的局面而难以作出有效应对。

       面对这一窘境，我们亟待引入“敏态治理”（Agile governance）的逻辑：既要“相时而动、随势而变”，又要坚持“宁小勿大、宁浅勿深”的策略，在发生意料之外的影响后及时回调，因为保持弹性或者说“反脆弱”是在不确定性中获益的唯一方式。

       如OCED《迈向数字化》报告所言，在2022这个与病毒斗争和经济复苏的关键一年，设计更好的数据治理机制比以往任何时候都更加重要，因为它是通向经济增长和人类福祉的未来之路。