中文字幕影视,欧美一级二级在线观看,av在线激情,亚洲国产福利视频,国产精品久久久久久亚洲影视,亚洲午夜视频在线,日本在线不卡二区

智能汽車企業(yè)的數(shù)據(jù)安全合規(guī)之路

2023年第01期    作者:文字整理： 許 倩    閱讀 1,941 次

主  持  人： 田原 上海律協(xié)律師執(zhí)業(yè)考核委員會、申請律師執(zhí)業(yè)人員實習(xí)管理考核委員會副主任，互聯(lián)網(wǎng)與信息技術(shù)業(yè)務(wù)研究委員會委員，上海譽嘉律師事務(wù)所主任

嘉       賓： 夏海波 上海律協(xié)互聯(lián)網(wǎng)與信息技術(shù)業(yè)務(wù)研究委員會副主任、上海格聯(lián)律師事務(wù)所合伙人李瑞陽 上海律協(xié)刑訴法與刑事辯護(hù)業(yè)務(wù)研究委員會秘書、上海博和漢商律師事務(wù)所合伙人

田原：大家好，歡迎各位來到《上海律師》2023年第一期法律咖吧，我是本期咖吧的主持人田原律師，兩位嘉賓分別是夏海波律師和李瑞陽律師。今天，我們要討論蔚來汽車的數(shù)據(jù)泄露事件，請李律師先介紹一下情況。

 

李瑞陽：日前，有人宣稱破解并獲取蔚來汽車大量用戶數(shù)據(jù)并在網(wǎng)絡(luò)上公開銷售，其中包括蔚來汽車內(nèi)部員工數(shù)據(jù)2.28萬條、車主用戶身份證數(shù)據(jù)39.9萬條、車主貸款數(shù)據(jù)17萬條、車主親密關(guān)系數(shù)據(jù)36萬條、用戶地址數(shù)據(jù)65萬條等。該事件可能涉及的法律風(fēng)險需要從涉事三方主體的角度分別來分析：一是蔚來汽車是否存在刑事法律方面的風(fēng)險？二是車主在其信息泄露之后可能面臨什么風(fēng)險？三是如何認(rèn)定黑客的刑事責(zé)任？

首先，關(guān)于蔚來汽車面臨的刑事法律風(fēng)險。隨著時代的發(fā)展，數(shù)據(jù)內(nèi)容現(xiàn)在已經(jīng)不僅僅作為一種客觀記錄，更多是被當(dāng)作一種可以處理、開發(fā)、挖掘的資源，從立法和社會管理角度賦予相關(guān)企業(yè)的數(shù)據(jù)安全保護(hù)義務(wù)逐漸增加。盡管目前我國還沒有從刑事立法的角度對相關(guān)企業(yè)的數(shù)據(jù)安全保護(hù)措施或者出現(xiàn)意外情況時的追責(zé)程序作出規(guī)定，但不排除后續(xù)會完善相關(guān)立法，并增加相應(yīng)的刑事處罰規(guī)定。所以，蔚來汽車在刑事法律風(fēng)險防范方面需要關(guān)注的更多是未來的立法方向。

其次，關(guān)于車主面臨的法律風(fēng)險。車主作為數(shù)據(jù)泄漏事件的受害者，所面臨的法律風(fēng)險是最直觀的。相關(guān)個人信息的泄露可能會導(dǎo)致車主面臨人身、財產(chǎn)風(fēng)險，比如遭遇電信詐騙。而在實踐中，電信詐騙犯罪追贓挽損的幾率很小。雖然蔚來汽車在其致歉聲明中提到會承擔(dān)責(zé)任，但我個人認(rèn)為這更多只是一句空話，是一種基于商業(yè)考量的說辭，而沒有實際操作意義。因為在現(xiàn)在的社會環(huán)境下，個人信息被收集的情況有很多，并且有些信息收集是超過必要限度的；所以在舉證方面，車主很難證明自身的損失與蔚來汽車數(shù)據(jù)泄漏事件之間的因果關(guān)系。對于車主來說，防范相關(guān)法律風(fēng)險最重要的措施還是要提高自身的警惕性。

最后，關(guān)于黑客所面臨的刑事責(zé)任。就該事件來說，根據(jù)作案手段及后續(xù)數(shù)據(jù)處理方式的不同，黑客可能面臨的刑事責(zé)任也不同。根據(jù)《刑法》規(guī)定，黑客以網(wǎng)絡(luò)攻擊的方式入侵蔚來汽車數(shù)據(jù)系統(tǒng)的行為涉嫌非法獲取計算機(jī)信息系統(tǒng)數(shù)據(jù)罪，并且其獲取的信息量級巨大，在量刑方面適用該罪名最高一檔的法定刑。而若結(jié)合對所獲取數(shù)據(jù)的不同處理方式來分析，則黑客可能涉嫌其他罪名。比如，黑客若選擇敲詐蔚來汽車，則涉嫌敲詐勒索罪；若直接對外出售這些數(shù)據(jù)，發(fā)生危害社會的結(jié)果，則涉嫌侵犯公民個人信息罪和幫助信息網(wǎng)絡(luò)犯罪活動罪。目前，我們還沒有看到蔚來汽車就此事進(jìn)行刑事報案的相關(guān)信息，但真心希望他們能夠通過刑事手段追究黑客的責(zé)任；車主群體也要督促蔚來汽車依法保護(hù)他們的合法權(quán)益。

田原：我覺得車輛數(shù)據(jù)的所有權(quán)問題可能比較復(fù)雜，但是從蔚來汽車是數(shù)據(jù)的管理者或者占有者的角度來說，其選擇報案或者不報案分別會面臨怎樣的法律風(fēng)險？

 

夏海波：在該事件中，蔚來汽車既是受害者，同時也是責(zé)任承擔(dān)方。作為受害者，蔚來汽車可以自主選擇報案或者不報案；但作為責(zé)任承擔(dān)方，蔚來汽車?yán)響?yīng)承擔(dān)一定的責(zé)任。除了前面李律師分析的刑事法律風(fēng)險外，從行政責(zé)任的角度分析，根據(jù)《個人信息保護(hù)法》的相關(guān)規(guī)定，蔚來汽車作為個人信息處理者，必須履行個人信息保護(hù)義務(wù)。違反該規(guī)定的，有關(guān)主管部門有權(quán)責(zé)令改正，給予警告，沒收違法所得，責(zé)令蔚來APP暫停或者終止提供服務(wù)；若拒不改正，有關(guān)主管部門有權(quán)給予罰款。除公司外，對該事件直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員也將面臨相應(yīng)的處罰風(fēng)險。在民事賠償方面，蔚來汽車在其致歉聲明中稱愿意承擔(dān)相應(yīng)的用戶損失賠償責(zé)任，但未涉及具體的賠償金額。然而，用戶其實很難證明因數(shù)據(jù)泄露造成的自身損失，所以如果提起訴訟，應(yīng)適用過錯推定原則。即蔚來汽車要舉證證明自身在整個數(shù)據(jù)泄露事件中已經(jīng)履行法律規(guī)定的安保義務(wù)，不存在相應(yīng)的過錯，否則就會推定其有相應(yīng)的過錯。此外，如果車主不提起訴訟，檢察院及有關(guān)部門也可以組織提起公益訴訟，維護(hù)大多數(shù)消費者的權(quán)益。

 

田原：從數(shù)據(jù)安全的角度來說，如果蔚來汽車最終不報案，可能說明其目前的數(shù)據(jù)管理方式面臨的風(fēng)險仍然可控。剛才兩位律師談了很多蔚來汽車面臨的法律責(zé)任和風(fēng)險，那么如果不報案，蔚來汽車面臨的訴訟或監(jiān)管風(fēng)險是否會小一點？

 

夏海波：因為該事件涉及大多數(shù)消費者的權(quán)益和數(shù)據(jù)安全，屬于公共事件，即不僅僅是蔚來汽車公司內(nèi)部的事情。即使蔚來汽車不報案，但如果有消費者舉報或者考慮到數(shù)據(jù)安全問題，行政監(jiān)管部門也有可能主動介入調(diào)查，并有可能依據(jù)調(diào)查結(jié)果對蔚來汽車作出嚴(yán)厲處罰，類似之前的滴滴事件。如果調(diào)查發(fā)現(xiàn)導(dǎo)致數(shù)據(jù)泄露的原因不完全是黑客攻擊，蔚來汽車的員工也參與了此次事件，則還可能面臨刑事風(fēng)險。

 

李瑞陽：我補充一下。在遇到類似情況時，如果公民認(rèn)為某項侵犯其合法權(quán)益的行為構(gòu)成刑事犯罪，但是相關(guān)責(zé)任單位沒有報案，公安機(jī)關(guān)亦沒有主動啟動刑事偵查程序，則公民可以前往檢察機(jī)關(guān)，要求檢察機(jī)關(guān)對公安機(jī)關(guān)的履職行為進(jìn)行監(jiān)督。對于被害人認(rèn)為公安機(jī)關(guān)應(yīng)當(dāng)立案偵查的案件而公安機(jī)關(guān)不立案偵查的，檢察機(jī)關(guān)應(yīng)當(dāng)要求公安機(jī)關(guān)說明不立案的理由。本次事件中，若相關(guān)方怠于履行自身職責(zé)，合法權(quán)益受到侵害的個人可以要求有關(guān)部門追究相關(guān)行為人的刑事責(zé)任。

 

田原：關(guān)于是否報案，因為目前蔚來汽車對該事件披露的信息非常有限，社會公眾不知道后續(xù)進(jìn)展，大家感覺一切皆有可能。而政府監(jiān)管部門也沒有過多回應(yīng)此事，可能是因為案件的保密需要，不便披露這些信息。但從司法為民、執(zhí)法為民的角度，相關(guān)部門還是應(yīng)當(dāng)保障公眾的知情權(quán)。

剛才夏律師提到了之前的滴滴事件。當(dāng)時，滴滴公司美股上市僅兩天，就被國家網(wǎng)信辦通報其APP存在嚴(yán)重違法違規(guī)收集使用個人信息問題，該事件也引起了我國對數(shù)據(jù)出境立法的重視。所以是否能夠預(yù)測一下，蔚來汽車數(shù)據(jù)泄露事件對未來智能化汽車或智能化交通系統(tǒng)方面的立法將有怎樣的推動作用？

 

夏海波：目前，我國在汽車數(shù)據(jù)安全方面除了有《網(wǎng)絡(luò)安全法》《個人信息保護(hù)法》《數(shù)據(jù)安全法》等法律外，還有一些規(guī)定，如《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》。我認(rèn)為，蔚來汽車數(shù)據(jù)泄露事件會推動國家和企業(yè)更重視數(shù)據(jù)安全，更規(guī)范、合法、安全地收集和使用數(shù)據(jù)。接下來，智能汽車行業(yè)應(yīng)加大對數(shù)據(jù)安全領(lǐng)域的資源投入，從三個層面采取相應(yīng)措施來保障數(shù)據(jù)安全。

一是法律層面。上述法律法規(guī)已經(jīng)明確規(guī)定了數(shù)據(jù)收集者的義務(wù)，智能汽車企業(yè)首先要了解并遵守現(xiàn)有規(guī)定，履行相應(yīng)的義務(wù)。比如，制定內(nèi)部安全管理制度、操作規(guī)程，對個人信息實行分類管理，采取相應(yīng)的加密、去標(biāo)識化等安全技術(shù)措施，合理確定個人信息處理的操作權(quán)限，定期對從業(yè)人員進(jìn)行安全教育和培訓(xùn)，制定并組織實施個人信息安全事件應(yīng)急預(yù)案等。

二是技術(shù)層面。智能汽車企業(yè)要從數(shù)據(jù)全生命周期，包括數(shù)據(jù)采集、傳輸、存儲、處理、合作／共享、銷毀等環(huán)節(jié)，從技術(shù)上落實法律法規(guī)的要求。比如，在數(shù)據(jù)采集過程中應(yīng)遵循最小必要原則。我們注意到，蔚來汽車會為車主提供體驗式服務(wù)，需要和車主進(jìn)行強互動，此時收集的車主信息范圍相對較廣。然而，是否所有的信息都有必要收集？是否能在技術(shù)上給予車主選擇提供或者不提供相關(guān)信息的權(quán)利？除了告知外，是否真正在技術(shù)上實現(xiàn)了最小必要原則？這些都是相關(guān)企業(yè)需要關(guān)注的問題。再比如，未脫敏或加密的數(shù)據(jù)不得用于數(shù)據(jù)匹配或測試。數(shù)據(jù)匹配應(yīng)在集團(tuán)安全環(huán)境下進(jìn)行，確需在外部環(huán)境中進(jìn)行的，應(yīng)事先進(jìn)行評估，確保外部環(huán)境安全可控。

三是數(shù)據(jù)合規(guī)意識培養(yǎng)及數(shù)據(jù)合規(guī)體系建設(shè)層面。智能汽車企業(yè)建設(shè)和完善數(shù)據(jù)合規(guī)體系有助于全方位防范數(shù)據(jù)泄露，確保數(shù)據(jù)安全。

 

田原：我們不知道蔚來汽車究竟被泄露了多大范圍的數(shù)據(jù)，但從目前披露的信息來看，被泄露的車主身份證號和貸款數(shù)據(jù)、企業(yè)員工數(shù)據(jù)等，都是日常商業(yè)管理方面的數(shù)據(jù)，應(yīng)該不涉及車輛交通行駛數(shù)據(jù)。

從合規(guī)的角度來看，如果被泄露的是行駛安全數(shù)據(jù)或者智能車輛交通數(shù)據(jù)等技術(shù)數(shù)據(jù)，應(yīng)該算作對關(guān)鍵信息基礎(chǔ)設(shè)施的攻擊。而蔚來汽車的日常商業(yè)管理數(shù)據(jù)庫即使不涉及車輛交通行駛數(shù)據(jù)，但如果涉及的客戶量級足夠大，是否也應(yīng)該算作關(guān)鍵信息基礎(chǔ)設(shè)施？對此，我個人認(rèn)為是可以的。而且對個人信息采取加密脫敏措施后，理論上應(yīng)該無法再形成客戶畫像，但是網(wǎng)傳目前蔚來汽車被泄漏的數(shù)據(jù)似乎可以形成畫像。我們能否推測其中的原因：是企業(yè)對其關(guān)鍵信息基礎(chǔ)設(shè)施的保護(hù)不到位，還是對其財務(wù)信息和商業(yè)信息的保護(hù)不到位？

 

夏海波：按照蔚來汽車的服務(wù)模式，一般的銷售、服務(wù)人員也有可能獲取車主的數(shù)據(jù)。這些員工是否有保密協(xié)議、如何履行保密義務(wù)、數(shù)據(jù)獲取權(quán)限如何？車主在蔚來APP中上傳的數(shù)據(jù)存儲在哪里？相關(guān)數(shù)據(jù)具體是在哪個環(huán)節(jié)被泄露的？這些都需要看到進(jìn)一步的調(diào)查結(jié)果才能了解。

 

田原：2020年，國務(wù)院發(fā)布了《關(guān)于構(gòu)建更加完善的要素市場化配置體制機(jī)制的意見》，首次明確數(shù)據(jù)成為第五大生產(chǎn)要素。對于智能汽車企業(yè)的數(shù)據(jù)安全保護(hù)及社會責(zé)任承擔(dān)，李律師有什么建議或想法？

李瑞陽：首先，相關(guān)企業(yè)應(yīng)當(dāng)提高數(shù)據(jù)安全保護(hù)意識。從目前的立法來看，《數(shù)據(jù)安全法》《個人信息保護(hù)法》《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》等都在立法目的上將數(shù)據(jù)安全提高到了關(guān)系國家安全、社會公共利益的高度。所以相關(guān)企業(yè)不能僅把數(shù)據(jù)信息作為經(jīng)營過程中為了提供更好的服務(wù)而獲取的一些商業(yè)信息，而應(yīng)該從更高的層面對數(shù)據(jù)安全予以重視。

其次，現(xiàn)有的法律規(guī)定對信息數(shù)據(jù)進(jìn)行了分類，如個人信息、個人敏感信息等。汽車行業(yè)更是將一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能危害國家安全、公共利益或者個人、組織合法權(quán)益的數(shù)據(jù)界定為重要數(shù)據(jù)；如軍事管理區(qū)、國防科工單位和縣級以上黨政機(jī)關(guān)等重要敏感區(qū)域的地理信息、人員流量、車輛流量等數(shù)據(jù)，以及物流等反映經(jīng)濟(jì)運行情況的數(shù)據(jù)等。因此，相關(guān)企業(yè)一旦涉及重要數(shù)據(jù)，更要加強對其的重視和分類保護(hù)。

最后，根據(jù)種類的不同，數(shù)據(jù)的重要性和敏感程度也不同；因此，相關(guān)企業(yè)要對不同類型數(shù)據(jù)的收集、存儲、傳輸、使用甚至開發(fā)過程作出詳細(xì)、嚴(yán)格的規(guī)定。目前來看，我國數(shù)據(jù)安全保護(hù)的相關(guān)法律規(guī)定還是線條化、原則性的，實踐中對于一些具體規(guī)定的落實可能會因為理解的不同而出現(xiàn)差異。但是隨著立法的不斷完善，國家對相關(guān)企業(yè)的合規(guī)要求必然是全流程的，所施加的安全保障義務(wù)也會越來越高。因此，希望相關(guān)企業(yè)在數(shù)據(jù)安全方面投入更多的精力和資源，提高數(shù)據(jù)安全保護(hù)能力。

 

田原：我覺得蔚來汽車數(shù)據(jù)泄漏事件暴露了三個問題。一是蔚來汽車對數(shù)據(jù)泄漏具體情況的信息披露不到位；二是無法判斷蔚來汽車履行了多少個人信息保護(hù)義務(wù)；三是缺乏監(jiān)管部門的反饋。對此，夏律師有什么建議？

 

夏海波：我建議不同的主體應(yīng)該采取不同的措施。車主應(yīng)該主動維護(hù)自身的個人信息相關(guān)權(quán)益，首先要有知情權(quán)，然后再決定是否采取其他的維權(quán)措施。蔚來汽車在事件發(fā)生后僅發(fā)布致歉聲明是不夠的，還應(yīng)該主動披露后續(xù)處理過程中的相關(guān)情況。比如，是否已經(jīng)報案？是否開展了調(diào)查以及調(diào)查結(jié)果是什么？數(shù)據(jù)泄露事件發(fā)生的主要原因是什么？企業(yè)后續(xù)會采取哪些措施保障數(shù)據(jù)安全？有關(guān)監(jiān)管部門則應(yīng)該主動介入調(diào)查，確保車主的人身、財產(chǎn)安全和重要數(shù)據(jù)的安全。最后，各方主體都應(yīng)該盡全力保護(hù)數(shù)據(jù)市場，推進(jìn)數(shù)據(jù)安全建設(shè)，從而促進(jìn)整個行業(yè)的健康發(fā)展。

田原：算法一直都是智能汽車企業(yè)的核心技術(shù)，大家都是基于算法來收集相關(guān)的數(shù)據(jù)，但是少有企業(yè)會對外界公示其算法原理及數(shù)據(jù)收集邊界。那么在數(shù)據(jù)泄露的情況下，相關(guān)企業(yè)是否有必要對其算法作一些披露？我國法律對于算法披露是否有相關(guān)規(guī)定？

 

夏海波：首先看數(shù)據(jù)的權(quán)屬，敏感個人信息／隱私類數(shù)據(jù)為個人所有，只能在個人授權(quán)范圍內(nèi)使用；因交易／服務(wù)必要所提供／產(chǎn)生的數(shù)據(jù)，如行駛數(shù)據(jù)，基于公共安全、事故分析、車輛性能監(jiān)測等因素考慮，按照相關(guān)行業(yè)或質(zhì)量標(biāo)準(zhǔn)，智能汽車應(yīng)當(dāng)收集此類數(shù)據(jù)，個人不能拒絕，目前對于這類數(shù)據(jù)的權(quán)屬沒有明確定論；從公共環(huán)境中收集的一般數(shù)據(jù)，如路況、車道、交通信號燈等，因汽車廠商在收集過程中付出了較大的經(jīng)濟(jì)和技術(shù)成本，所以此類數(shù)據(jù)原則上應(yīng)當(dāng)歸屬于汽車廠商。智能汽車企業(yè)將這些不同類型、不同權(quán)屬的數(shù)據(jù)放在一起，利用算法模型進(jìn)行畫像，是否需要披露其算法？《互聯(lián)網(wǎng)信息服務(wù)算法推薦管理規(guī)定》第十六條規(guī)定：“算法推薦服務(wù)提供者應(yīng)當(dāng)以顯著方式告知用戶其提供算法推薦服務(wù)的情況，并以適當(dāng)方式公示算法推薦服務(wù)的基本原理、目的意圖和主要運行機(jī)制等?！?/span>

 

李瑞陽：由于智能汽車企業(yè)在車輛中嵌入了一些先進(jìn)技術(shù)，如遠(yuǎn)程訪問技術(shù)，所以車主對于車內(nèi)的某些數(shù)據(jù)收集行為可能并不知情。在這種情況下，如果相關(guān)企業(yè)能夠嚴(yán)格按照規(guī)范性要求操作，則不會存在問題。但實際情況究竟如何，我們不得而知。同時，智能汽車企業(yè)在收集信息的過程中能否完全做到獲得用戶的同意，也是一個值得商榷的問題。甚至在部分企業(yè)的車輛中，可能仍然存在若車主不同意授權(quán)使用某些信息，則無法使用車內(nèi)某些功能的情況。因此，為避免相關(guān)企業(yè)濫用自身的技術(shù)優(yōu)勢過度收集車主的信息，應(yīng)當(dāng)在立法方面對其賦予更重的責(zé)任，包括民事、行政甚至刑事責(zé)任，以此來規(guī)避相關(guān)法律風(fēng)險。只有讓違法成本大于違法所得的收益，才能從根本上杜絕違法現(xiàn)象的發(fā)生。

 

田原：我來總結(jié)一下，蔚來汽車數(shù)據(jù)泄漏事件涉及消費者保護(hù)、公民個人信息保護(hù)、汽車工業(yè)和交通運輸行業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施的數(shù)據(jù)安全和行業(yè)監(jiān)管等內(nèi)容。另外，需要加強對社會公眾基本數(shù)據(jù)安全意識、法律意識的培訓(xùn)和培育。大家都知道數(shù)據(jù)安全很重要，但是應(yīng)該如何做或者怎樣維護(hù)自己的權(quán)益，目前社會上仍缺少相關(guān)幫助和指引。未來，一是要加重、壓實數(shù)據(jù)收集者和管理者的責(zé)任，全面完善立法；二是監(jiān)管層面的制度也要更加完善，類似事件發(fā)生后，要有相關(guān)信息披露機(jī)制來保障社會公眾的知情權(quán)，讓個人信息權(quán)益受到損害的當(dāng)事人主動采取維權(quán)行動，充分發(fā)揮社會公眾監(jiān)督的作用。最后，感謝夏律師和李律師參與本期法律咖吧。

（本文內(nèi)容根據(jù)錄音整理，系嘉賓個人觀點，整理時間：2023年3月1日）