#欧盟 #美国 #数据传输 #安全港 #隐私盾 没有特权
【欧盟最高法院裁决 欧美的数据传输协议无效】
7月16日，欧洲法院裁定，基于对美国监听的担忧，此前达成的跨大西洋个人数据传输协定——《欧美隐私盾牌》无效。
路透社当天指出，这一裁决将美国的待遇拉到同非欧盟成员国类似，实际上结束了美国公司在获取欧盟用户个人数据上的特权。
《欧美隐私盾牌》设立于2016年，其目的在于代替此前被裁定无效的《安全港协议》，用以保护被送往美国的欧盟用户个人数据。截至目前，已有超过5000家公司签约使用了隐私盾牌，其中有65%是中小企业或初创企业，当然也不乏科技和工业巨头。
根据协定，美国被定义为“与欧盟基本等同”的国家和地区，可以不需要特别授权而直接传输数据，用于商业目的个人数据从欧盟传输到美国后，将享受与在欧盟境内同样的数据保护标准。如果欧盟用户认为某家公司或美国政府滥用了他们的数据，他们有权向美国法院提起诉讼。
但法院认为，美国的监听制度将美国国家利益置于个人利益之上，不尊重欧盟公民的权利，这不满足有关数据在美国受到“与欧盟基本等同”保护的标准，其条款也“没有赋予欧洲人在法庭上对美国政府提起诉讼的权利”。
当然，这次裁决并不意味着美欧间个人用户数据传输的终结。据英国广播公司（BBC）报道，两地官员目前正就数据传输进行谈判。另外还有一项“标准合约条款”机制仍在运行。在此协议下，欧盟可以起草一份不容谈判的法律合同，而受影响的公司必须签署它，如果不能保护好个人数据，隐私监管机构会暂停对外的数据传输。使用“标准合约条款”意味着美国将与其他国家地位等同，不再拥有传输上的特权。
2015年，马克斯·施雷姆斯（Maximilian Schrems）由于担心美国情报机构可能访问欧盟的用户数据，向法院上诉，要求判定《欧美隐私盾牌》的前身——《安全港协议》无效，并最终胜诉。(联合早报-国际)(路透社)（观察者网）
【欧盟最高法院裁决 欧美的数据传输协议无效】
7月16日，欧洲法院裁定，基于对美国监听的担忧，此前达成的跨大西洋个人数据传输协定——《欧美隐私盾牌》无效。
路透社当天指出，这一裁决将美国的待遇拉到同非欧盟成员国类似，实际上结束了美国公司在获取欧盟用户个人数据上的特权。
《欧美隐私盾牌》设立于2016年，其目的在于代替此前被裁定无效的《安全港协议》，用以保护被送往美国的欧盟用户个人数据。截至目前，已有超过5000家公司签约使用了隐私盾牌，其中有65%是中小企业或初创企业，当然也不乏科技和工业巨头。
根据协定，美国被定义为“与欧盟基本等同”的国家和地区，可以不需要特别授权而直接传输数据，用于商业目的个人数据从欧盟传输到美国后，将享受与在欧盟境内同样的数据保护标准。如果欧盟用户认为某家公司或美国政府滥用了他们的数据，他们有权向美国法院提起诉讼。
但法院认为，美国的监听制度将美国国家利益置于个人利益之上，不尊重欧盟公民的权利，这不满足有关数据在美国受到“与欧盟基本等同”保护的标准，其条款也“没有赋予欧洲人在法庭上对美国政府提起诉讼的权利”。
当然，这次裁决并不意味着美欧间个人用户数据传输的终结。据英国广播公司（BBC）报道，两地官员目前正就数据传输进行谈判。另外还有一项“标准合约条款”机制仍在运行。在此协议下，欧盟可以起草一份不容谈判的法律合同，而受影响的公司必须签署它，如果不能保护好个人数据，隐私监管机构会暂停对外的数据传输。使用“标准合约条款”意味着美国将与其他国家地位等同，不再拥有传输上的特权。
2015年，马克斯·施雷姆斯（Maximilian Schrems）由于担心美国情报机构可能访问欧盟的用户数据，向法院上诉，要求判定《欧美隐私盾牌》的前身——《安全港协议》无效，并最终胜诉。(联合早报-国际)(路透社)（观察者网）
#信息安全 #网联汽车 #个人信息 #人脸识别 #国家安全 #数据存储 #数据跨境
【关于征求《信息安全技术 网联汽车 采集数据的安全要求》标准草案意见的通知】
信安秘字[2021] 50号
4 基本要求
4.1 不得基于网联汽车所采集数据及经其处理得到的数据开展与车辆管理、行驶安全无关的数据处理活动。
4.2 国家行政管理部门对汽车处理数据另有要求的，从其要求。
5 数据传输
5.1 未经被收集者的单独同意，网联汽车不得通过网络、物理接口向车外传输包含个人信息的数据。
将清晰度转换为120万像素以下且已擦除可识别个人身份的人脸、车牌等信息的视频、图像数据除外。
5.2 网联汽车不得通过网络、物理接口向车外传输汽车座舱内采集的音频、视频、图像等数据及经其处理得到的数据。
6 数据存储
网联汽车采集的车辆位置、轨迹相关数据在车内存储设备、远程信息服务平台（TSP）中保存时间均不得超过7天。
7 数据跨境
7.1 网联汽车通过摄像头、雷达等传感器从车外环境采集的道路、建筑、地形、交通参与者等数据，以及车辆位置、轨迹相关数据，不得出境。网联汽车行驶状态参数、异常告警信息等数据如需出境，应当符合国家关于数据出境的相关规定。
7.2 网联汽车通过加密方式跨境传输数据的，当监管部门开展抽查验证时，应提供传输的数据格式、加密方式等信息，并按要求明文提供相关数据内容。
(网信办)
【关于征求《信息安全技术 网联汽车 采集数据的安全要求》标准草案意见的通知】
信安秘字[2021] 50号
4 基本要求
4.1 不得基于网联汽车所采集数据及经其处理得到的数据开展与车辆管理、行驶安全无关的数据处理活动。
4.2 国家行政管理部门对汽车处理数据另有要求的，从其要求。
5 数据传输
5.1 未经被收集者的单独同意，网联汽车不得通过网络、物理接口向车外传输包含个人信息的数据。
将清晰度转换为120万像素以下且已擦除可识别个人身份的人脸、车牌等信息的视频、图像数据除外。
5.2 网联汽车不得通过网络、物理接口向车外传输汽车座舱内采集的音频、视频、图像等数据及经其处理得到的数据。
6 数据存储
网联汽车采集的车辆位置、轨迹相关数据在车内存储设备、远程信息服务平台（TSP）中保存时间均不得超过7天。
7 数据跨境
7.1 网联汽车通过摄像头、雷达等传感器从车外环境采集的道路、建筑、地形、交通参与者等数据，以及车辆位置、轨迹相关数据，不得出境。网联汽车行驶状态参数、异常告警信息等数据如需出境，应当符合国家关于数据出境的相关规定。
7.2 网联汽车通过加密方式跨境传输数据的，当监管部门开展抽查验证时，应提供传输的数据格式、加密方式等信息，并按要求明文提供相关数据内容。
(网信办)
#个人信息 #信息安全 #长臂管辖 #数据流通 #网络安全 #黑客 #第三方 #报备 #审查 #境外 #爬虫 #披露 #胁迫 #人脸识别 #人工智能 #步态 #自由选择 #身份认证 #百分之五 #大数据杀熟 #GFW #翻墙 #穿透
【《网络数据安全管理条例（征求意见稿）》】
第二条 在中华人民共和国境内利用网络开展数据处理活动，以及网络数据安全的监督管理，适用本条例。
在中华人民共和国境外处理中华人民共和国境内个人和组织数据的活动，有下列情形之一的，适用本条例：
（一）以向境内提供产品或者服务为目的；
（二）分析、评估境内个人、组织的行为；
（三）涉及境内重要数据处理；
（四）法律、行政法规规定的其他情形。
自然人因个人或者家庭事务开展数据处理活动，不适用本条例。
第七条 国家推动公共数据开放、共享，促进数据开发利用，并依法对公共数据实施监督管理。
国家建立健全数据交易管理制度，明确数据交易机构设立、运行标准，规范数据流通交易行为，确保数据依法有序流通。
第十一条 ....安全事件对个人、组织造成危害的，数据处理者应当在三个工作日内将安全事件和风险情况、危害后果、已经采取的补救措施等以电话、短信、即时通信工具、电子邮件等方式通知利害关系人...
发生重要数据或者十万人以上个人信息泄露、毁损、丢失等数据安全事件时，数据处理者还应当履行以下义务：
（一）在发生安全事件的八小时内向设区的市级网信部门和有关主管部门报告事件基本信息，包括涉及的数据数量、类型、可能的影响、已经或拟采取的处置措施等；
第十三条 数据处理者开展以下活动，应当按照国家有关规定，申报网络安全审查：
（二）处理一百万人以上个人信息的数据处理者赴国外上市的；
（三）数据处理者赴香港上市，影响或者可能影响国家安全的；
大型互联网平台运营者在境外设立总部或者运营中心、研发中心，应当向国家网信部门和主管部门报告。
第十四条 数据处理者发生合并、重组、分立等情况的，数据接收方应当继续履行数据安全保护义务，涉及重要数据和一百万人以上个人信息的，应当向设区的市级主管部门报告；...
第十七条 数据处理者在采用自动化工具访问、收集数据时，应当评估对网络服务的性能、功能带来的影响，不得干扰网络服务的正常功能。...
第二十条 数据处理者处理个人信息，应当制定个人信息处理规则并严格遵守。个人信息处理规则应当集中公开展示、易于访问并置于醒目位置，内容明确具体、简明通俗，系统全面地向个人说明个人信息处理情况。
（四）以集中展示等便利用户访问的方式说明产品服务中嵌入的所有收集个人信息的第三方代码、插件的名称，以及每个第三方代码、插件收集个人信息的目的、方式、种类、频次或者时机及其个人信息处理规则；
第二十一条 处理个人信息应当取得个人同意的，数据处理者应当遵守以下规定：
（一）按照服务类型分别向个人申请处理个人信息的同意，不得使用概括性条款取得同意；
（五）不得通过误导、欺诈、胁迫等方式获得个人的同意；
（六）不得通过捆绑不同类型服务、批量申请同意等方式诱导、强迫个人进行批量个人信息同意；
第二十五条 数据处理者利用生物特征进行个人身份认证的，应当对必要性、安全性进行风险评估，不得将人脸、步态、指纹、虹膜、声纹等生物特征作为唯一的个人身份认证方式，以强制个人同意收集其个人生物特征信息。...
第四十一条 国家建立 #数据跨境安全网关，对来源于中华人民共和国境外、法律和行政法规禁止发布或者传输的信息予以阻断传播。
任何个人和组织不得提供用于穿透、绕过数据跨境安全网关的程序、工具、线路等，不得为穿透、绕过数据跨境安全网关提供互联网接入、服务器托管、技术支持、传播推广、支付结算、应用下载等服务。
境内用户访问境内网络的，其流量不得被路由至境外。
第四十三条 ...日活用户超过一亿的大型互联网平台运营者平台规则、隐私政策制定或者对用户权益有重大影响的修订的，应当经国家网信部门认定的第三方机构评估，并报省级及以上网信部门和电信主管部门同意。
第四十五条 国家鼓励提供即时通信服务的互联网平台运营者从功能设计上为用户提供个人通信和非个人通信选择。个人通信的信息按照个人信息保护要求严格保护，非个人通信的信息按照公共信息有关规定进行管理。
第四十六条 互联网平台运营者不得利用数据以及平台规则等从事以下活动：
（二）利用平台收集掌握的经营者数据，在产品推广中实行最低价销售等损害公平竞争的行为；
（四）在平台规则、算法、技术、流量分配等方面设置不合理的限制和障碍，限制平台上的中小企业公平获取平台产生的行业、市场数据等，阻碍市场创新。
第四十八条 互联网平台运营者面向公众提供即时通信服务的，应当按照国务院电信主管部门的规定，为其他互联网平台运营者的即时通信服务提供数据接口，支持不同即时通信服务之间用户 #数据互通，无正当理由不得限制用户访问其他互联网平台以及向其他互联网平台传输文件。
第五十条 国家建设网络身份认证公共服务基础设施，按照政府引导、网民自愿原则，提供个人身份认证公共服务。
互联网平台运营者应当支持并优先使用国家网络身份认证公共服务基础设施提供的个人身份认证服务。
第六十一条 数据处理者不履行....规定的数据安全保护义务的，....有前款规定的违法行为，情节严重的，由有关部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款....(乌鸦观察注：具体条款详见原文)
第六十六条 个人和组织违反第四十一条（#数据跨境安全网关）的规定，由有关主管部门责令改正，给予警告、没收违法所得；拒不改正的，处违法所得一倍以上十倍以下的罚款，没有违法所得的，对直接负责的主管人员和其他直接负责人员，处五万元以上五十万元以下罚款；...
第六十八条 互联网平台运营者违反第四十六条、第四十八条、第五十一条的规定，由有关主管部门责令改正，给予警告；拒不改正的，处上一年度销售额百分之一以上百分之五以下的罚款；....
第七十三条 本条例下列用语的含义：
（十一）#数据跨境安全网关 是指阻断访问境外反动网站和有害信息、防止来自境外的网络攻击、管控跨境网络数据传输、防范侦查打击跨境网络犯罪的重要安全基础设施。
内详👉(网信中国)
【《网络数据安全管理条例（征求意见稿）》】
第二条 在中华人民共和国境内利用网络开展数据处理活动，以及网络数据安全的监督管理，适用本条例。
在中华人民共和国境外处理中华人民共和国境内个人和组织数据的活动，有下列情形之一的，适用本条例：
（一）以向境内提供产品或者服务为目的；
（二）分析、评估境内个人、组织的行为；
（三）涉及境内重要数据处理；
（四）法律、行政法规规定的其他情形。
自然人因个人或者家庭事务开展数据处理活动，不适用本条例。
第七条 国家推动公共数据开放、共享，促进数据开发利用，并依法对公共数据实施监督管理。
国家建立健全数据交易管理制度，明确数据交易机构设立、运行标准，规范数据流通交易行为，确保数据依法有序流通。
第十一条 ....安全事件对个人、组织造成危害的，数据处理者应当在三个工作日内将安全事件和风险情况、危害后果、已经采取的补救措施等以电话、短信、即时通信工具、电子邮件等方式通知利害关系人...
发生重要数据或者十万人以上个人信息泄露、毁损、丢失等数据安全事件时，数据处理者还应当履行以下义务：
（一）在发生安全事件的八小时内向设区的市级网信部门和有关主管部门报告事件基本信息，包括涉及的数据数量、类型、可能的影响、已经或拟采取的处置措施等；
第十三条 数据处理者开展以下活动，应当按照国家有关规定，申报网络安全审查：
（二）处理一百万人以上个人信息的数据处理者赴国外上市的；
（三）数据处理者赴香港上市，影响或者可能影响国家安全的；
大型互联网平台运营者在境外设立总部或者运营中心、研发中心，应当向国家网信部门和主管部门报告。
第十四条 数据处理者发生合并、重组、分立等情况的，数据接收方应当继续履行数据安全保护义务，涉及重要数据和一百万人以上个人信息的，应当向设区的市级主管部门报告；...
第十七条 数据处理者在采用自动化工具访问、收集数据时，应当评估对网络服务的性能、功能带来的影响，不得干扰网络服务的正常功能。...
第二十条 数据处理者处理个人信息，应当制定个人信息处理规则并严格遵守。个人信息处理规则应当集中公开展示、易于访问并置于醒目位置，内容明确具体、简明通俗，系统全面地向个人说明个人信息处理情况。
（四）以集中展示等便利用户访问的方式说明产品服务中嵌入的所有收集个人信息的第三方代码、插件的名称，以及每个第三方代码、插件收集个人信息的目的、方式、种类、频次或者时机及其个人信息处理规则；
第二十一条 处理个人信息应当取得个人同意的，数据处理者应当遵守以下规定：
（一）按照服务类型分别向个人申请处理个人信息的同意，不得使用概括性条款取得同意；
（五）不得通过误导、欺诈、胁迫等方式获得个人的同意；
（六）不得通过捆绑不同类型服务、批量申请同意等方式诱导、强迫个人进行批量个人信息同意；
第二十五条 数据处理者利用生物特征进行个人身份认证的，应当对必要性、安全性进行风险评估，不得将人脸、步态、指纹、虹膜、声纹等生物特征作为唯一的个人身份认证方式，以强制个人同意收集其个人生物特征信息。...
第四十一条 国家建立 #数据跨境安全网关，对来源于中华人民共和国境外、法律和行政法规禁止发布或者传输的信息予以阻断传播。
任何个人和组织不得提供用于穿透、绕过数据跨境安全网关的程序、工具、线路等，不得为穿透、绕过数据跨境安全网关提供互联网接入、服务器托管、技术支持、传播推广、支付结算、应用下载等服务。
境内用户访问境内网络的，其流量不得被路由至境外。
第四十三条 ...日活用户超过一亿的大型互联网平台运营者平台规则、隐私政策制定或者对用户权益有重大影响的修订的，应当经国家网信部门认定的第三方机构评估，并报省级及以上网信部门和电信主管部门同意。
第四十五条 国家鼓励提供即时通信服务的互联网平台运营者从功能设计上为用户提供个人通信和非个人通信选择。个人通信的信息按照个人信息保护要求严格保护，非个人通信的信息按照公共信息有关规定进行管理。
第四十六条 互联网平台运营者不得利用数据以及平台规则等从事以下活动：
（二）利用平台收集掌握的经营者数据，在产品推广中实行最低价销售等损害公平竞争的行为；
（四）在平台规则、算法、技术、流量分配等方面设置不合理的限制和障碍，限制平台上的中小企业公平获取平台产生的行业、市场数据等，阻碍市场创新。
第四十八条 互联网平台运营者面向公众提供即时通信服务的，应当按照国务院电信主管部门的规定，为其他互联网平台运营者的即时通信服务提供数据接口，支持不同即时通信服务之间用户 #数据互通，无正当理由不得限制用户访问其他互联网平台以及向其他互联网平台传输文件。
第五十条 国家建设网络身份认证公共服务基础设施，按照政府引导、网民自愿原则，提供个人身份认证公共服务。
互联网平台运营者应当支持并优先使用国家网络身份认证公共服务基础设施提供的个人身份认证服务。
第六十一条 数据处理者不履行....规定的数据安全保护义务的，....有前款规定的违法行为，情节严重的，由有关部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款....(乌鸦观察注：具体条款详见原文)
第六十六条 个人和组织违反第四十一条（#数据跨境安全网关）的规定，由有关主管部门责令改正，给予警告、没收违法所得；拒不改正的，处违法所得一倍以上十倍以下的罚款，没有违法所得的，对直接负责的主管人员和其他直接负责人员，处五万元以上五十万元以下罚款；...
第六十八条 互联网平台运营者违反第四十六条、第四十八条、第五十一条的规定，由有关主管部门责令改正，给予警告；拒不改正的，处上一年度销售额百分之一以上百分之五以下的罚款；....
第七十三条 本条例下列用语的含义：
（十一）#数据跨境安全网关 是指阻断访问境外反动网站和有害信息、防止来自境外的网络攻击、管控跨境网络数据传输、防范侦查打击跨境网络犯罪的重要安全基础设施。
内详👉(网信中国)