觀察者網：您剛才提到了平臺型企業(yè)，這個名詞最近曝光度很高，那么平臺的概念和“關鍵基礎設施運營者”的概念，兩者之間有怎樣的關系？

李天航：平臺型企業(yè)不是一個法律概念，但是“關鍵信息基礎設施運營者”是一個法定概念。企業(yè)搭建平臺來為供求雙方提供服務，比如滴滴、阿里、京東，都是典型的平臺型企業(yè)。

由于平臺型企業(yè)天然匯集大量數(shù)據(jù)，從某種程度上看，一個平臺往往就能反映一個社會生態(tài)圈，能夠映射一個社會的部分運行情況，關乎社會公共利益和國家安全的一部分運行情況，也會在平臺上得以映射。同時，基本上所有平臺型企業(yè)，都是通過互聯(lián)網技術來實現(xiàn)經營，所以他們的業(yè)務平臺網絡和系統(tǒng)，就有可能是“關鍵信息基礎設施”。

運營“關鍵信息基礎設施”當然會產生很多利益，這個我們先不講，從義務上來講，我國已經建立了網絡安全等級保護制度，對于CIIO來說，在“等?！钡幕A上，還要進行重點保護的話，比如在網絡建設的過程中，就要做到“三同步”，必須保證安全技術措施同步規(guī)劃、同步建設、同步使用。在網絡運營過程中，必須設置專門的安全管理負責人，要對負責人和關鍵崗位人員進行對比調查、定期培訓、技能考核、簽訂安全和保密協(xié)議，對重要系統(tǒng)和數(shù)據(jù)庫進行容災備份，等等。

這在我們將來出臺的《關鍵信息技術設施保護條例》肯定會更加細化具體。

還有最關鍵一點，就是數(shù)據(jù)出境?！毒W絡安全法》第37條規(guī)定，

關鍵信息基礎設施的運營者在中華人民共和國境內運營中收集和產生的個人信息和重要數(shù)據(jù)應當在境內存儲。因業(yè)務需要，確需向境外提供的，應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估；法律、行政法規(guī)另有規(guī)定的，依照其規(guī)定。

也就是CIIO在中國境內收集的個人信息和重要數(shù)據(jù)首先要做到本地存儲，數(shù)據(jù)要出境必須滿足因業(yè)務需要確需向境外提供，并且還要通過安全評估，如果通不過，就不能對外提供。

還有CIIO應當自行或者委托網絡安全服務機構對它的網絡安全性和可能存在的風險，每年至少進行一次評估，將評估報告報送相關部門。

觀察者網：既然法律法規(guī)對CIIO的要求這么高，這種嚴格的管理和義務會不會成為一道門檻，限制后來者進入這個行業(yè)？

李天航：如果從法律意義上談到準入或者門檻的話，一般是指行政許可，事前審批才能進入，但我們剛才談的其實不是批準的問題，也不是政府設置門檻或許可，而是想進入的企業(yè)必須做到的合規(guī)義務，做不到就要面臨處罰，可能還要面臨責令停業(yè)整頓。比如這一次，某平臺就被暫停了新用戶注冊，并且下架APP。

這不是政府審批許可，而是相關經營者必須要自行符合的條件。

另一方面來說，你說的也有一定道理，從我們實際服務企業(yè)的經驗來看，在新的業(yè)態(tài)和法律環(huán)境下，提前做好合規(guī)性，確實能夠為企業(yè)帶來競爭優(yōu)勢。

2021年6月29日，上海，實拍2021網絡安全博覽會。圖片來源：視覺中國

觀察者網：我們剛剛談了這么多對CIIO的限制，那么從互聯(lián)網、大數(shù)據(jù)、人工智能技術的發(fā)展角度來說，技術的進步帶來的社會價值是顯而易見的，如何在技術發(fā)展、經濟效益和安全合規(guī)之間做好平衡？

李天航：從社會學的角度來講，技術發(fā)展是一個不可逆的過程，是一個不可阻止的方向，技術發(fā)展對社會生活帶來大量的便利。

近代以來，技術的發(fā)展更多是通過經濟利益的驅動來實現(xiàn)的，這個過程中確實會伴生一些負面影響，包括一些安全事件甚至技術被應用于違法犯罪。這更多要通過法律法規(guī)中的一些禁止性規(guī)定來實現(xiàn)。我們要提前防范一些不利影響，就要通過法律規(guī)定對企業(yè)提前設定一些相關義務，來強化企業(yè)的社會責任。

觀察者網：某中國大型網約車平臺，到美國上市，它也把自己掌握的大量數(shù)據(jù)作為自身在資本市場講故事的一大優(yōu)勢，但是今天中國、歐洲和美國都非常強調數(shù)據(jù)治理問題，在跨法域經營過程中，CIIO應該怎樣做好合規(guī)工作？

李天航：第一，該網約車平臺目前還沒有跨法域經營，它作為一家主要在中國經營的企業(yè)，所有數(shù)據(jù)首先是存儲在本地的，但是它在美國上市，也不可避免地會涉及到一些數(shù)據(jù)出境問題。因為美國證券市場對于上市公司有很高的信息披露要求，包括必須根據(jù)美國公認會計原則編報其財務報表、必需根據(jù)美國證券法律規(guī)定，對公司重大信息及時披露等，這勢必涉及到一些該公司在中國境內的經營情況數(shù)據(jù)，是否能夠出境的問題。這涉及《數(shù)據(jù)安全法》以及金融領域有關數(shù)據(jù)出境的交叉管理制度，企業(yè)必須要高度重視，并聘請專業(yè)的機構協(xié)助處理。

第二，對于一些已經“走出去”，實現(xiàn)跨法域經營的中國公司來說，國際數(shù)據(jù)治理的大環(huán)境正在迅速變化，各個國家都在通過制定本國法律保護本國國民的個人信息、重要的數(shù)據(jù)等，尤其是在個人信息保護領域，類似歐盟制定的GDPR之類的法律法規(guī)正成為一種常態(tài)。如果這些企業(yè)采取的是一體化的網絡架構和數(shù)據(jù)治理模式，如統(tǒng)一的數(shù)據(jù)中心，這就必然會面臨數(shù)據(jù)/個人信息所在國法律有關數(shù)據(jù)出境的約束，同時，在中國取得的數(shù)據(jù)如果存儲于中國以外的其他國家的數(shù)據(jù)中心，也必須符合中國《網絡安全法》、《數(shù)據(jù)安全法》等等關于數(shù)據(jù)出境的合規(guī)要求。

觀察者網：全球化時代，數(shù)據(jù)流動和治理也是一個全球性的課題，中國目前在這方面處于怎樣的水平，前景怎樣？

李天航：首先，在國際數(shù)據(jù)治理層面上，目前還沒有做通過國際公法、國際公約、雙邊/多邊條約的方式，或者這個領域的全球組織或者國際化組織。更多都是通過各國國內法的形式治理，在本國法律之下做出相應的規(guī)定和約束。

在此基礎上，我們國家的立法起步時間上可能會晚于某些國家，但是一定程度上也具有后發(fā)優(yōu)勢。同時，我們也可以通過比較研究的方法，歐美國家怎么立法，我們可以根據(jù)自己的研究和實際情況借鑒。

在這方面，雖然中國立法起步比較晚，但是從一些規(guī)制性措施來看，我們國家的法律經常有一個關鍵性的原則，就是對等原則，包括《數(shù)據(jù)安全法》也遵循這個原則，別的國家對我們采取什么限制性約束性的措施，中國也會做一個相應對等的設置。另外，出于國家安全和個人信息保護的角度，我們也做了相應的法律規(guī)定和約束。

所以，中國的相關立法水平其實并不會落后于其他國家。