盘点特辑丨网络安全和数据合规2022年度回顾与展望

威科先行 2023-01-04

717

作者丨吴丹君、张振君

机构丨北京观韬中茂（上海）律师事务所

* 本文为威科先行首发文章，转载请注明

万里腾飞仍有路，莫愁四海正风尘：网络安全和数据合规2022年度回顾与展望

岁月不居，时节如流。2022年已然过去，在疫情的阴霾下，网络安全和数据合规浪潮仍在持续。在2021年构建起以《网络安全法》《数据安全法》《个人信息保护法》为基础的网络安全和数据合规法律体系框架后，2022年是丰富网数合规法律体系内涵与落地合规实践的一年：《网络安全法》迎来首次修改，网络安全审查成为常态化监管措施，数据出境制度逐步落地，加强算法治理以应对技术风险，新型网络不正当竞争行为被纳入监管视野，行业立法进一步丰富网数合规法律体系……2022年被视为经济复苏的开端之年，从数据要素市场化改革试点启动到“数据二十条”正式落地，2022年亦被视为数据要素元年。仅以一篇文章盘点2022年虽难免挂一漏万，然疑今者察之古，不知来者视之往，我们作为网络安全和数据合规领域的参与者，以此文回顾2022，展望2023，通过对2022年重要立法和实践案例的梳理，总结立法趋势，理解监管边界，助力企业提升未来风险挑战应对能力。

- 目录 -

一、合规价值凸显

二、网络安全立法和执法工作持续推进

（一）网络安全审查备受关注

（二）网络安全领域立法进一步完善

（三）网络内容生态治理彰显时代特色

三、个人信息保护卓有成效

四、数据出境合规制度逐步落地

五、数据基础制度完善激发数据要素价值

六、算法治理回应技术发展

七、APP全链条治理力度加强

八、新型不正当竞争和垄断行为被纳入监管视野

九、车联网发展喜忧参半

十、行业精细化立法渐进

一、合规价值凸显

防微杜渐，而禁于未然。合规是防范企业法律风险的重要治理方式，数据合规是其中的重要组成部分，《中央企业合规管理办法》即将数据保护作为中央企业的重点领域，要求制定合规管理具体制度或者专项指南。

客观而言，数据保护没有百分之百的安全，企业只能通过建立和执行全流程数据安全管理制度尽力做到百分之百的防御。有观点认为，数据安全事件的责任承担与高空坠物事件存在相似之处。《民法典》规定，如坠物事件发生时，可能的加害者（建筑物使用人）无法证明自己并非侵权人的，则由可能的加害人予以补偿。与之相似的，《个人信息保护法》规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。当发生数据安全事件时，整个数据流转链条上接触到数据的所有组织都存在嫌疑。此时，数据处理者如能通过全流程数据安全管理制度的制定和执行来证明自身履行了法律所要求的数据安全保护义务，对该事件的发生不存在过错，将有利于降低行政机关或法院认定其应当被处以行政处罚或承担损害赔偿责任等风险。

相反，若企业未能履行数据安全保护义务，建立健全并执行全流程数据安全管理制度，即使未发生数据安全事件，行政机关仍可按照《数据安全法》和《个人信息保护法》等法律法规进行行政处罚。《数据安全法》采取双罚制，开展数据处理活动而未履行相应数据安全保护义务，导致大量数据泄露等严重后果的，不仅企业可能面临罚款、暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照等法律后果，直接负责的主管人员和其他直接责任人员亦可能面临处罚。

数据合规还有利于企业品牌价值的维护和提升，随着制度完善和权利意识的增强，数据合规和用户体验已不再是二选一的问题。相反，数据合规已成为影响用户体验的重要因素。当然，数据合规并不是限制技术发展，而是尊重技术，让技术为数据合规所用。一个有理有据的数据合规需求，需要置于技术和产品的视角下进行考量。

除防患于未然外，数据合规还可能起到“亡羊补牢”的作用。2022年5月，上海市普陀区检察院办理全国首例数据合规不起诉案。在该案中，普陀区检察院通过制发检察建议书和引入第三方监督评估机制指导某科技公司开展数据合规整改工作。最终在普陀区检察院举行的公开审查听证中，与会各方认可数据合规整改结果，一致同意对该公司及人员作出不起诉决定，揭示了数据合规“亡羊补牢”的价值。

然而，真正系统地部署落实数据合规并不是一蹴而就的，而是需要让数据合规意识深入到全企业的每一个环节和每一位员工，做好每一个合规板块的细化，数据合规工作的开展永远不会太早。

立法
10月	《合规管理体系要求及使用指南》（GB/T 35770-2022）发布。
7月	《中央企业合规管理办法》发布。
4月	《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》及其实施细则发布。
《涉案企业合规建设、评估和审查办法（试行）》发布。
1月	上海市首份《企业数据合规指引》发布。
实践
5月	全国首例数据合规不起诉案件公开听证会举行。

二、网络安全立法和执法工作持续推进

（一）网络安全审查备受关注

《网络安全审查办法》的发布和实施，拉开了我国在网络安全和数据合规法律体系相关配套制度制定和落地的帷幕。国家网信办对滴滴作出的网络安全审查相关行政处罚最终决定敲响了一记警钟，对中国知网启动的网络安全审查更是传递出网络安全审查将成为我国网络安全和数据合规治理的重要监管工具的讯息。“安全”一词贯穿《网络安全审查办法》，亦成为我国网络安全和数据合规治理的底色。然而，“安全”并不意味着完全消除风险。《网络安全审查办法》所构建的网络安全审查制度通过事前审查“关键信息基础设施安全风险”与“网络安全与数据安全风险”，事中各主体落实安全管理义务，以及网络安全审查办公室以接受举报等形式加强事前事中事后监督的方式，全流程、全方位地将“国家安全风险”限制在可控范围内，最终达到“确保关键信息基础设施供应链安全，保障网络安全和数据安全，维护国家安全”的目的。

立法
2月	《网络安全审查办法》施行。
实践
7月	国家网信办对滴滴作出网络安全审查相关行政处罚的决定，对滴滴处以人民币80.26亿元罚款，对滴滴公司董事长兼CEO程维、总裁柳青各处人民币100万元罚款。
6月	BOSS直聘、运满满、货车帮相继发布恢复新用户注册的消息。
网络安全审查办公室约谈同方知网（北京）技术有限公司负责人，宣布对知网启动网络安全审查。

新修订的《网络安全审查办法》对拟上市企业的影响备受关注。《网络安全审查办法》要求掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。2022年8月，中央网信办披露，已有20余家拟赴国外上市企业向国家网络安全审查办公室进行了申报。11月，亚朵集团成功在美国纳斯达克上市，其在招股书中即披露，在上市前已根据《网络安全审查办法》通过网络安全审查程序，网络安全审查申报的适用和运转方式逐渐明朗。同时，中国证监会与美国公众公司会计监督委员会（PCAOB）的审计监管合作取得一定成效，释放出中国企业在美上市的积极信号。

《网络安全审查办法》未对赴香港上市企业设置主动申报义务，然而，无论是否应主动申报网络安全审查，可能被认定为网络运营者、数据处理者或个人信息处理者的赴境外上市企业均不可忽视履行网络安全与数据合规义务。目前，我国对于境内企业境外发行的数据安全管理趋严，《关于依法从严打击证券违法活动的意见》要求完善有关数据安全、跨境数据流动和涉密信息管理的法律法规，建议修改关于加强境外证券发行上市保密和档案管理的规定，压实境外上市公司信息安全责任，加强跨境信息提供机制与流程的规范管理。《国务院关于境内企业境外发行证券和上市的管理规定（草案征求意见稿）》将境内企业境外直接和间接发行上市纳入统一监管，要求建立健全保密制度，境内企业境外发行上市涉及向境外提供个人信息和重要数据的，应当符合国家法律法规和有关规定。《关于加强境内企业境外发行证券和上市相关保密和档案管理工作的规定（征求意见稿）》衔接前述规定，进一步为境内企业境外发行上市活动在保密和档案管理和向境外提供方面提供更清晰明确的指引。

立法
4月	中国证监会就《关于加强境内企业境外发行证券和上市相关保密和档案管理工作的规定》公开征求意见。
实践
12月	12月16日，证监会就PCAOB的报告作出回应，指出在合作协议签署以来，中方遵守法律法规并参照国际惯例，按照合作协议的约定对检查和调查所涉底稿文件中含有的个人信息等特定数据进行了专门处理，在双方依法履行监管职责的同时，满足了相关法律法规对信息安全保护的要求。
当地时间12月15日上午，美国公众公司会计监督委员会（PCAOB）发布报告，确认2022年度可以对中国内地和香港会计师事务所完成检查和调查，撤销2021年对相关事务所作出的认定。
11月	中高端连锁酒店亚朵集团成功在美国纳斯达克上市，成为2021年6月末滴滴IPO以来第一只通过在美发行ADS上市的中概新股。亚朵在其招股书中披露，在上市前已根据《网络安全审查办法》通过网络安全审查程序。
8月	中国证监会、中国财政部于与美国公众公司会计监督委员会（PCAOB）签署审计监管合作协议以启动相关合作。
中央网信办表示，自《网络安全审查办法》自今年2月15日修订施行以来，已有20余家拟赴国外上市企业向国家网络安全审查办公室进行了申报。
5月	据报道，2022年3月8日以来，美国证监会（SEC）根据2020年底颁布的《国外公司问责法案》，先后将约150家不符合美国公众公司会计监督委员会（PCAOB）审计监管要求的中概股公司纳入“确定识别名单”，使其面临从美股退市的风险。

（二）网络安全领域立法进一步完善

已实施5年有余的《网络安全法》于2022年迎来第一次修订。2022年9月12日，国家网信办发布《关于修改〈中华人民共和国网络安全法〉的决定（征求意见稿）》，拟从违反网络运行安全一般规定的法律责任制度、违反网络运行安全一般规定的法律责任制度、网络信息安全法律责任制度和个人信息保护法律责任制度四个方面对《网络安全法》进行完善。该稿提高了网络安全等级保护和关键信息基础设施保护对应的处罚力度，进一步完善网络信息安全管理，并将违反个人信息保护规定及数据出境要求等行为的法律责任转引至《个人信息保护法》与《数据安全法》相关规定，提升网数领域三大基础法律之间的协调性。

国家网信办还就《网信部门行政执法程序规定（征求意见稿）》公开征求意见，拟规范网信部门职责的履行，调查和实施行政处罚的行为。该稿明确，行政处罚由违法行为发生地的网信部门管辖。违法行为发生地包括实施违法行为的网络运营者相关服务许可地或者备案地，主营业地、工商登记地（工商登记地与主营业地不一致的，应当按照主营业地），法人住所地，网站平台建立者、管理者、使用者所在地，网络接入地，计算机等终端设备所在地等。

此外，《未成年人网络保护条例》加快推进，《反电信网络诈骗法》公布并实施，信息网络犯罪案件办理程序进一步完善……百尺竿头，更进一步。可以预见，网络安全相关法律制度将随着时代的变化和需求日臻完善。

立法
10月	《网络产品安全漏洞收集平台备案管理办法》发布。
9月	国家网信办就《关于修改〈中华人民共和国网络安全法〉的决定（征求意见稿）》公开征求意见。
国家网信办就《网信部门行政执法程序规定（征求意见稿）》公开征求意见。
《反电信网络诈骗法》表决通过。
8月	最高人民法院、最高人民检察院、公安部联合发布《关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见》（法发〔2022〕23号）。
中央网信办表示，正在加快推动《未成年人网络保护条例》出台，完善《未成年人保护法》的配套制度，为未成年人网络保护提供更加有力的法律保障。
7月	国务院办公厅发布《国务院2022年度立法工作计划》，其中显示，《商用密码管理条例（修订）》将由密码局起草。
3月	《未成年人网络保护条例（征求意见稿）》公开征求意见。
实践
12月	因阿里云的香港机房节点发生故障，澳门金融管理局等网站、应用程序暂时无法使用。
9月	国家计算机病毒应急处理中心和360公司分别发布关于西北工业大学遭受境外网络攻击的调查报告，指出此次网络攻击源头系美国国家安全局（NSA）下属的特定入侵行动办公室（TAO）。

（三）网络内容生态治理彰显时代特色

2022年，监管部门吸收《个人信息保护法》《网络信息内容生态治理规定》等法律法规要求，结合算法推荐、深度合成等新技术特点，陆续制定或修订了《移动互联网应用程序信息服务管理规定》《互联网用户账号信息管理规定》等法律规范，对应用程序提供者、应用程序分发平台、互联网信息服务提供者、互联网弹窗信息推送服务提供者、跟帖评论服务提供者及深度合成服务提供者等不同主体的信息内容管理义务，对算法推荐和深度合成技术的应用划定内容红线，对APP运营、弹窗设置、跟帖评论、深度合成等不同场景中的服务提供者和使用者分别设置不同的合规要求，同时强调对未成年人等特殊主体的保护，如不得利用算法针对未成年人用户进行画像，向其推送可能影响其身心健康的信息，进一步更新和细化了网络内容生态治理。

立法
12月	《互联网信息服务深度合成管理规定》发布。
11月	修订后的《互联网跟帖评论服务管理规定》发布。
9月	《互联网弹窗信息推送服务管理规定》发布。
6月	《互联网用户账号信息管理规定》发布。
修订后的《移动互联网应用程序信息服务管理规定》发布。
3月	《互联网信息服务算法推荐管理规定》正式实施。
实践
11月	中央网信办通报第三批首发谣言典型案例，5400余个账号被处置。
9月	中央网信办启动“清朗·打击网络谣言和虚假信息”专项行动。
7月	中央网信办启动“清朗·2022年暑期未成年人网络环境整治”专项行动。
4月	中央网信办部署开展“清朗·网络暴力专项治理行动”。
3月	国家网信办通报称，针对当前豆瓣网存在的严重网络乱象，国家网信办指导北京市网信办派出工作督导组，进驻豆瓣网督促整改。
“3.15 晚会”曝光捆绑下载软件、广告弹窗乱象。
1月	中央网信办启动“清朗·2022年春节网络环境整治”专项行动。

三、个人信息保护卓有成效

令之有渐，轨之有度。《个人信息保护法》的实施已一年有余，在2022年，APP治理中的个人信息保护，步态识别数据、人脸识别数据、未成年人个人信息等特殊个人信息的保护，个人信息权益侵犯中的民事责任、行政责任和刑事责任的衔接，个人信息跨境提供制度的落地，以及个人信息保护认证制度的构建，逐渐细化规则和填补空白，不断丰富我国以《个人信息保护法》为核心的个人信息保护法律框架并提升执行力。

然徒法不足以自行，法律的生命在于实施，在2022年，单独同意、个人信息跨境提供、个人信息合规审计、个人信息保护影响评估等规定在实践中逐渐落地，以个人信息保护为案由的司法案例亦不断涌现。最高法、最高检及地方法院接连发布个人信息保护相关典型案例，从民事、刑事及行政三方面探索个人信息保护边界，权衡个人信息主体权益保护和个人信息处理者使用间的利益冲突。此外，个人信息保护领域公益诉讼亦在2022年得到快速发展，最高检发布数据显示，2022年1月至9月，全国检察机关立案办理个人信息保护领域公益诉讼案件已达5188件。

疫情防控中的个人信息保护，带有时代的印记。个人信息的收集和使用在疫情防控中无可避免，但并非无所限制。在实践中，超范围收集、个人信息泄露、违法使用等问题频出，自中央网信办于2020年发布《关于做好个人信息保护利用大数据支撑联防联控工作的通知》以来，各地各部门亦不断强调个人信息保护，防范违法处理对个人信息主体带来的权益损害。2022年是疫情防控政策不断优化调整的一年，12月13日，通信行程卡正式下线，中国通信院和三大运营商先后表示，将同步删除用户行程相关数据，依法保障个人信息安全。

立法
11月	《个人信息保护法》实施一周年。
国家市监总局、国家网信办联合发布《关于实施个人信息保护认证的公告》并同时公布《个人信息保护认证实施规则》，迈出我国建立个人信息保护认证制度的关键一步。
10月	《信息安全技术步态识别数据安全要求》（GB/T 41773-2022）、《信息安全技术基因识别数据安全要求》（GB/T 41806-2022）、《信息安全技术声纹识别数据安全要求》（GB/T 41807-2022）、《信息安全技术个人信息安全工程指南》（GB/T 41817-2022）、《信息安全技术人脸识别数据安全要求》（GB/T 41819-2022）等国家标准发布。
8月	人社部和最高法发布《关于加强行政司法联动保障新冠病毒肺炎康复者等劳动者平等就业权利的通知》，要求除因疫情防控需要，不得违反个人信息保护法等有关规定，擅自非法查询新冠病毒核酸检测结果。
7月	《信息技术安全技术公有云中个人信息保护实践指南》（GB/T 41574-2022）发布。
6月	最高检印发《关于加强刑事检察与公益诉讼检察衔接协作严厉打击电信网络犯罪加强个人信息司法保护的通知》，要求各地检察机关积极推动促进个人信息保护法等法律法规的统一正确实施。
国家网信办发布《移动互联网应用程序信息服务管理规定（2022）》。
5月	最高法、最高检、公安部及司法部联系签发《关于未成年人犯罪记录封存的实施办法》，着力解决实践中未成年人犯罪记录和相关记录管理不当导致信息泄露的问题。
《上海市人民代表大会常务委员会关于进一步促进和保障城市运行“一网统管”建设的决定》施行，要求信息核验中采集、处理个人疫情防控信息应当遵守个人信息保护相关法律、法规的规定，采集的个人信息仅用于疫情防控需要，任何单位和个人不得泄露。
4月	《信息安全技术移动互联网应用程序（App）收集个人信息基本要求》（GB/T 41391-2022）发布。
3月	《人类遗传资源管理条例实施细则（征求意见稿）》公开征求意见。
实践
12月	最高法发布第35批共4件指导性案例，均为公民个人信息保护刑事案例，分别涉及人脸识别信息、居民身份证信息、微信等社交媒体账号、手机验证码等刑法保护的公民个人信息范围、性质。
最高检发布5件依法惩治侵犯公民个人信息犯罪典型案例，涵盖对公民征信信息、生物识别信息、行踪轨迹信息、健康生理信息等不同类型个人信息的全面保护。
“通信行程卡”正式下线。中国信通院及中国电信、中国联通、中国移动三大运营商先后表示，将同步删除用户行程相关数据，依法保障个人信息安全。
11月	最高检发布落实“七号检察建议”典型案例，落实侵犯公民个人信息案件中刑事、民事和行政责任三责同追。
上海市嘉定区人民法院发布上海法院数字经济司法研究及实践（嘉定）基地首批典型案例，涉及个人信息处理或利用网络侵害其他人格权、数据形态财产权益及市场竞争秩序保护、平台经营者/数据算法运用者法定义务及相关主体权益保护，以及侵害数据形态权益、利用数据技术实施网络犯罪及灰黑产业防治等典型案例。
广东省高级人民法院发布一批个人信息保护典型案例，涉及侵犯公民个人信息犯罪、防止个人信息“过度收集”、保障行使个人信息查阅复制权、规范网络平台依法使用个人信息等内容。
最高检发布数据显示，2022年1月至9月，全国检察机关以侵犯公民个人信息罪批捕1199人、立案办理个人信息保护领域公益诉讼案件5188件。
8月	杭州互联网法院发布个人信息保护十大典型案例，涉及银行征信、公共出行、电子商务、APP自动化推荐等多个个人信息处理场景，包含四例个人信息民事公益诉讼案件，其中包含一例为民法典实施后全国首例个人信息保护民事公益诉讼案（杭州互联网法院（2020）浙0192民初10605号），及一例全国首例儿童个人信息、网络安全保护民事公益诉讼（杭州互联网法院（2020）浙0192民初10993号）。
7月	浙江高院发布侵犯公民个人信息犯罪十大典型案例。
6月	河南储户被“赋红码”事件相关人员被追责。
4月	最高法发布民法典颁布后人格权司法保护典型民事案例，包含知名艺人甲某肖像权、姓名权纠纷案（具有明显可识别性的肖像剪影属于肖像权的保护范畴）、债务人诉金融机构名誉侵权案（金融机构长期怠于核查更正债务人信用记录可构成名誉侵权）、人脸识别装置侵害邻居隐私案（近距离安装可视门铃可构成侵害邻里隐私权）及非法买卖个人信息民事公益诉讼案（大规模非法买卖个人信息侵害人格权和社会公共利益）。

四、数据出境合规制度逐步落地

数据出境合规在2022年备受瞩目。个人信息出境安全评估和重要数据出境安全评估在历经《个人信息和重要数据出境安全评估办法（征求意见稿）》《个人信息出境安全评估办法（征求意见稿）》《数据出境安全评估办法（征求意见稿）》等多个征求意见稿的分分合合之后，终于在2022年一锤定音，不同类型的数据出境安全评估工作将统一根据《数据出境安全评估办法》的相关规定开展。国家网信办和各省市网信办陆续发布数据出境安全评估申报指南，开放评估申报通道，相关企业紧锣密鼓地部署申报工作，但数据出境安全评估的部分实施细节和尺度仍有待实践和立法的进一步厘清和细化。

在个人信息出境方面，除了安全评估，《个人信息保护法》还提供了标准合同签署和个人信息保护认证两种途径，这两项制度在2022年亦有所发展。信安标委先后发布《个人信息跨境处理活动安全认证规范》和《个人信息跨境处理活动安全认证规范V2.0》，为认证机构对个人信息跨境处理活动进行个人信息保护认证提供认证依据。同时对存在个人信息保护认证需求的个人信息处理者提供文件签署、组织管理、规则制定及个人信息保护影响评估开展等方面的参考，并明确个人信息主体在个人信息出境场景中所拥有的权利。国家市监总局、国家网信办联合发布《个人信息保护认证实施规则》，明确将前述安全认证规范作为认证依据，并制定认证实施程序。此外，《个人信息出境标准合同规定（征求意见稿）》在2022年公开征求意见。可以预见，个人信息出境三大支撑制度将持续发展，有望在2023年得到全面落地和有效实施。

12月	《网络安全标准实践指南—个人信息跨境处理活动安全认证规范V2.0》发布。
11月	国家市监总局、国家网信办联合发布《关于实施个人信息保护认证的公告》并同时公布《个人信息保护认证实施规则》，迈出我国建立个人信息保护认证制度的关键一步。
9月	《数据出境安全评估办法》实施，数据出境安全评估工作正式开启。
8月	国家网信办发布《数据出境安全评估申报指南（第一版）》发布，后各省市陆续发布地方数据出境安全评估申报指南。
7月	《数据出境安全评估办法》发布。
6月	司法部发布《国际民商事司法协助常见问题解答》，明确涉诉数据信息出境要求。
《个人信息出境标准合同规定（征求意见稿）》公开征求意见。
《网络安全标准实践指南—个人信息跨境处理活动安全认证规范》发布。
4月	《网络安全标准实践指南—个人信息跨境处理活动认证技术规范（征求意见稿）》公开征求意见。
3月	《人类遗传资源管理条例实施细则（征求意见稿）》公开征求意见。

五、数据基础制度完善激发数据要素价值

数据要素是数字经济深化发展的核心引擎。自《关于构建更加完善的要素市场化配置体制机制的意见》正式将数据作为生产要素单独列出后，数据要素在各项数字经济政策中被频频提及。从《要素市场化配置综合改革试点总体方案》到《关于加快建设全国统一大市场的意见》，再到2022年底的《关于构建数据基础制度更好发挥数据要素作用的意见》，我国朝着发挥数据要素作用，为经济社会数字化发展提供强劲动力的目标不断前进。与此同时，各地纷纷建立数据交易所，探索数据要素流通路径。

立法
12月	《扩大内需战略规划纲要（2022－2035年）》印发。
中共中央、国务院发布《关于构建数据基础制度更好发挥数据要素作用的意见》。
国家知识产权局发布《关于确定数据知识产权工作试点地方的通知》。
10月	二十大报告提出强化网络、数据等安全保障体系建设，加强个人信息保护。
4月	《关于加快建设全国统一大市场的意见》发布。
2月	《“十四五”数字经济发展规划》印发。
1月	《要素市场化配置综合改革试点总体方案》印发。
《数字乡村发展行动计划（2022-2025年）》印发。
实践
12月	国内首家由中央企业设立的数据产业集团——中国电子数据产业集团在广东深圳正式成立。
11月	深圳数据交易所成立，同时启动首批线上数据交易。
10月	国务院将关于数字经济发展情况的报告提请十三届全国人大常委会第三十七次会议审议。
北京银行落地全国首笔数据资产质押融资贷款
9月	广州数据交易所成立。
上海数据集团有限公司成立。
7月	国务院办公厅批复同意由国家发展改革委牵头的数字经济发展部际联席会议制度。
5月	全国首个以受理数据资源案件为核心业务的专业法庭（温州市瓯海区人民法院数据资源法庭）成立
3月	北京国际大数据交易所成立。

激发数据要素潜力离不开数据产权、流通交易、收益分配、安全治理等数据基础制度的制定和落地。2022年年初，国家发改委就开始就《数据基础制度若干观点》公开征求意见，一年以来，国家标准《信息安全技术重要数据识别指南（征求意见稿）》和《信息安全技术网络数据分类分级要求（征求意见稿）》公开征求意见，推动完善数据分级分类安全保护制度；《信息安全技术网络数据处理安全要求》（GB/T 41479-2022）发布，《网络数据安全管理条例》被纳入立法计划，进一步规范数据采集、传输、存储、处理、共享、销毁全生命周期管理，推动数据处理者落实数据安全保护责任；中国资产评估协会就《数据资产评估指导意见（征求意见稿）》征求意见，财政部就《企业数据资源相关会计处理暂行规定（征求意见稿）》征求意见，均为数据要素的价值评估标准和评估方法的明确而不断探索；国家市监总局和国家网信办联合印发《关于开展数据安全管理认证工作的公告》，建立了数据安全管理认证制度；此外，《关于构建数据基础制度更好发挥数据要素作用的意见》更是为数据基础制度的建设指明了方向。

立法
12月	财政部就《企业数据资源相关会计处理暂行规定（征求意见稿）》公开征求意见。
9月	国家标准《信息安全技术网络数据分类分级要求（征求意见稿）》公开征求意见。
7月	《国务院2022年度立法工作计划》明确《网络数据安全管理条例》将由网信办组织起草。
6月	国家市监总局和国家网信办联合印发《关于开展数据安全管理认证工作的公告》，建立起国内第二个数据安全相关的认证制度——数据安全管理认证制度。
中国资产评估协会就《数据资产评估指导意见（征求意见稿）》公开征求意见。
4月	国家标准《信息安全技术网络数据处理安全要求》（GB/T 41479-2022）发布。
国家标准《信息安全技术重要数据识别指南（征求意见稿）》公开征求意见。
3月	国家发改委就《数据基础制度若干观点》公开征求意见。
实践
12月	蔚来用户数据遭窃取，被勒索225万美元。
11月	网易发布《致暴雪游戏玩家的一封信》，其表示，针对退费、游戏数据、虚拟财产、游戏权利等相关问题，将尽最大可能和动视暴雪公司协商，以最大程度保障中国玩家利益。
10月	上海网信办依据《数据安全法》对某科技公司在处理政务类数据时违规操作，且未采取相应的技术措施和其他必要措施保障数据安全等行为作出警告及罚款5万元的行政处罚。
7月	阿里与蚂蚁集团同意终止《数据共享协议》，并称其将与蚂蚁集团按双方向各自客户提供服务的必要限度，根据个案并依照适用法律及法规协商数据共享安排的条款。
广东警方对广州某公司未履行数据安全保护义务的行为作出罚款5万元的行政处罚。
4月	国家安全机关破获一起为境外刺探、非法提供高铁数据的重要案件。

六、算法治理回应技术发展

向上向善是我国算法治理的核心，从年初生效的《互联网信息服务算法推荐管理规定》到年底发布的《互联网信息服务深度合成管理规定》，立法者从加强算法透明、明确算法推荐服务提供者、深度合成服务提供者和技术支持者的相关义务等角度防范算法应用所带来的算法歧视、传播虚假消息、侵犯公共利益或相关主体合法权益等违法违规风险。

在实践中，与《互联网信息服务算法推荐管理规定》配套的互联网信息服务算法备案系统已正式上线运行，平衡公众的知情权和算法提供者的商业秘密保护需求。中央网信办开展“清朗·2022年算法综合治理”专项行动，推动《互联网信息服务算法推荐管理规定》落地生效。2022年8月，国家网信办公布了第一批互联网信息服务算法备案信息，后续将持续更新。

2022年度，与算法应用相关的司法裁判案例亦不断增加，保障算法透明、保护人格尊严等关键词被频频提及。如在最高法于4月发布的一例人工智能软件擅自使用自然人形象创设虚拟人物构成侵权的典型案例中，法院认为，算法应用提供者的产品设计和对算法的应用实际上鼓励、组织了用户的上传行为，直接决定了涉及自然人的人格自由和人格尊严的软件核心功能的实现，被告不再只是中立的技术服务提供者，应作为内容服务提供者承担侵权责任。此外，法院还在案件审理中不断探索如何确定算法生成的数字产品的性质等一系列全新法律问题。

立法
12月	《互联网信息服务深度合成管理规定》发布。
11月	电信终端产业协会发布《APP推荐算法用户权益保护技术要求及测评规范》（TTAF 138—2022）。
3月	中办、国办印发《关于加强科技伦理治理的意见》，聚焦科技向善。
《互联网信息服务算法推荐管理规定》正式实施。
实践
12月	杭州互联网法院审理一起因“AI换脸”App利用深度合成算法侵害他人肖像权的案件，最终判决App开发者赔礼道歉并赔偿损失共5000元。
11月	北京互联网审结首例涉及算法风控系统引发人身权益侵权纠纷的案件。
广州互联网发布5个个人信息保护典型案例，涉及一例算法错误关联个人信息案。
8月	杭州互联网法院发布数据和算法十大典型案例，在实践中探索防范算法歧视、确定算法生成的数字产品的性质等一系列全新法律问题。
国家网信办发布互联网信息服务算法备案信息公告，涉及网易、美团等多个大型企业和产品的相关算法。
4月	最高法发布民法典颁布后人格权司法保护典型民事案例，包含智能算法软件侵害人格权案，人工智能软件擅自使用自然人形象创设虚拟人物构成侵权。
中央网信办启动“清朗·2022年算法综合治理”专项行动。
2月	互联网信息服务算法备案系统正式上线运行，官方网址为https://beian.cac.gov.cn。

七、APP全链条治理力度加强

APP治理是网络安全和数据合规领域每年都绕不开的重点。APP相关法律规范在2022年得到进一步完善：《移动互联网应用程序（App）收集个人信息基本要求》规定APP收集个人信息的基本要求，并提出常见服务类型APP必要个人信息范围和使用要求；《移动互联网应用程序信息服务管理规定》完善应用程序提供者和应用程序分发平台在内容治理、数据安全、个人信息保护等方面的法律义务；《关于进一步提升移动互联网应用服务能力的通知（征求意见稿）》拟从安装卸载、服务体验、个人信息保护和响应用户诉求等方面提升全流程服务感知，保护用户合法权益，并通过落实APP开发运营者主体责任、强化平台分发管理、规范SDK应用服务及筑牢终端安全防线等方式提升全链条管理能力，营造健康服务生态。

工信部、网信部门、公安部门、国家计算机病毒应急处理中心等监管部门在2022年继续对APP开展执法监管活动。中央网信办在2022年12月部署开展“清朗·移动互联网应用程序领域乱象整治”专项行动，加强移动互联网应用程序全链条管理，全面整治搜索查找、下载安装及运行使用环节不当行为，深入治理APP、小程序、快应用等应用程序乱象。

APP的运营和使用与当前大数据时代息息相关，APP治理是一个经久不衰的话题，随着APP治理相关要求的不断明确和细化，相关监管力度亦将愈发严格。除常规APP外，小程序、快应用等应用程序也逐渐受到监管重视，监管范围覆盖APP开发者和运营者、内嵌第三方软件开发工具包（SDK）提供者、应用商店、技术服务提供者等多个主体，未来监管部门将发力应用程序全链条治理工作。

立法
12月	工信部就《关于进一步提升移动互联网应用服务能力的通知（征求意见稿）》公开征求意见。
《关于进一步规范移动智能终端应用软件预置行为的通告》发布。
11月	电信终端产业协会发布《软件开发包（SDK）个人信息处理规范》（TTAF 123—2022）等9项团体标准。
8月	修订后的《移动互联网应用程序信息服务管理规定》实施。
6月	国家标准《信息安全技术移动智能终端的移动互联网应用程序（App）个人信息处理活动管理指南》公开征求意见。
4月	《信息安全技术移动互联网应用程序（App）收集个人信息基本要求》（GB/T 41391-2022）发布。
实践
12月	中央网信办部署开展“清朗·移动互联网应用程序领域乱象整治”专项行动。
1-12月	工信部、网信部门、公安部门、国家计算机病毒应急处理中心等监管部门在2022年继续对APP开展执法监管活动。

八、新型不正当竞争和垄断行为被纳入监管视野

数字经济是继农业经济、工业经济之后的主要经济形态，其离不开数据和技术，而对于数据和技术的不当使用将引发网络黑灰产业链层出不穷、数字鸿沟加深等诸多问题。“信息茧房”与“技术黑箱”的存在更是将问题隐藏在技术屏障之后，加剧对社会公共利益和公民合法权益的侵害风险。同时，数字经济在反不正当竞争和反垄断等方面呈现出新的特点，亦冲击了原有的线下立法和监管思路。

2022年，新型网络不正当竞争行为得到进一步关注和规制。《关于适用〈中华人民共和国反不正当竞争法〉若干问题的解释》明确“强制进行目标跳转”的内涵和判断标准，并将恶意干扰或者破坏其他经营者合法提供的网络产品或者服务认定为不正当竞争行为。11月，国家市场监管总局就《反不正当竞争法（修订草案征求意见稿）》公开征求意见。该稿新增“国家健全数字经济公平竞争规则。经营者不得利用数据和算法、技术、资本优势以及平台规则等从事不正当竞争行为”，并将该条置于总则部分，充分显示了国家对于治理新型网络不正当竞争行为，健全数字经济公平竞争规则的决心。同时，该稿在第十五条至第二十二条以及第三十六条至四十条中，明确了网络新型不正当竞争行为的判断标准和法律责任，为网络新型不正当竞争行为的规制提供有力法律抓手。其中，征求意见稿第十五条至第十九条新增5项网络新型不正当竞争行为。第二十条作为兜底条款，将其与第二十一条的不正当竞争行为判断考虑因素相结合，为目前尚不能准确认定的或未来可能出现的网络不正当竞争行为的规制留下空间，使得平衡立法的刚性和弹性。

在反垄断领域，2022年6月发布的新《反垄断法》亦对数字经济中的反垄断行为作出回应。该法明确提出，具有市场支配地位的经营者不得利用数据和算法、技术以及平台规则等从事滥用市场支配地位的行为。12月，市场监管总局适用新《反垄断法》对中国知网作出行政处罚。

数字经济既带来了新的发展机遇，也提升了损害公平竞争秩序和社会公共利益的风险，结合数字经济新特点对其进行规制，以法律引导发展方向，是防范和化解风险的必经之路。

立法
11月	最高法就《关于审理垄断民事纠纷案件适用法律若干问题的规定（公开征求意见稿）》公开征求意见。
国家市场监管总局就《反不正当竞争法（修订草案征求意见稿）》公开征求意见。
6月	新修订的《反垄断法》发布。
4月	最高法发布民法典颁布后人格权司法保护典型民事案例，包含网络竞价排名侵害名称权案，用竞争对手名称设置搜索关键词进行商业推广构成侵害名称权。
3月	《关于适用〈中华人民共和国反不正当竞争法〉若干问题的解释》发布。
实践
12月	市场监管总局就中国知网滥用其在中国境内中文学术文献网络数据库服务市场所具有的支配地位实施的垄断行为处以其2021年中国境内销售额17.52亿元5%的罚款，计8760万元。
11月	最高法发布10件反不正当竞争典型案例，多起案例涉及数字经济等新兴领域。

九、车联网发展喜忧参半

2022年以来，智能网联汽车发展的政策热度仍然高涨。《关于开展智能网联汽车准入和上路通行试点工作的通知（征求意见稿）》拟在全国智能网联汽车道路测试与示范应用工作基础上，遴选符合条件的道路机动车辆生产企业和具备量产条件的搭载自动驾驶功能的智能网联汽车产品，开展准入试点。对通过准入试点的智能网联汽车产品，在试点城市的限定公共道路区域内开展上路通行试点。智能网联汽车的测试区域和准入范围不断扩大。在这一年，智能网联汽车在商业化运营方面的探索也取得一定突破。同时，监管部门持续推进汽车软件在线升级备案（OTA）、车联网卡实名登记及车联网网络安全防护定级备案等工作，根据《汽车数据安全管理若干规定（试行）》开展的汽车数据安全管理情况报送工作亦在2022年底有序推进之中。

智能网联汽车的发展离不开高精度地图的应用，智能网联汽车在运营过程中收集沿路数据是否属于测绘行为亦常常引发讨论。《关于促进智能网联汽车发展维护测绘地理信息安全的通知》明确将安装或集成了卫星导航定位接收模块、惯性测量单元、摄像头、激光雷达等传感器的智能网联汽车在运行、服务和道路测试过程中对车辆及周边道路设施空间坐标、影像、点云及其属性信息等测绘地理信息数据进行采集、存储、传输和处理的行为认定为测绘行为。

在政策热度高涨的同时，智能网联汽车的发展亦面对着网络攻击、数据泄露、技术瓶颈难以突破、人才供给不足、法律仍存在较大空白等诸多问题。在未来如何应对和解决这些问题，将成为智能网联汽车真正进入人们日常生活的关键，让我们拭目以待。

立法
12月	《网络预约出租汽车经营服务管理暂行办法》修改。
11月	工信部就《关于开展智能网联汽车准入和上路通行试点工作的通知（征求意见稿）》公开征求意见。
10月	《信息安全技术网络预约汽车服务数据安全要求》（GB/T 42017-2022）发布。
工信部就《道路机动车辆生产准入许可管理条例（征求意见稿）》公开征求意见。
9月	工信部就《国家车联网产业标准体系建设指南（智能网联汽车）（2022年版）》（征求意见稿）公开征求意见。
8月	武汉、重庆两地政府部门率先发布自动驾驶全无人商业化试点政策《武汉市智能网联汽车道路测试和示范应用管理实施细则（试行）》及《重庆市永川区智能网联汽车政策先行区道路测试与应用管理试行办法》。
交通运输部就《自动驾驶汽车运输安全服务指南（试行）》（征求意见稿）公开征求意见。
6月	深圳出台国内首部智能网联汽车管理法规——《深圳经济特区智能网联汽车管理条例》。
4月	工信部发布《关于开展汽车软件在线升级备案的通知》。
高精地图立法
10月	上海市规划和自然资源局就《上海市智能网联汽车高精度地图管理试点规定（草案）》公开征求意见。
9月	自然资源部联合国家安全机关对使用境外“问题地图”服务的相关企业组织开展联合执法行动。
8月	自然资源部公布《关于促进智能网联汽车发展维护测绘地理信息安全的通知》。
自然资源部印发《关于做好智能网联汽车高精度地图应用试点有关工作的通知》，在北京、上海、广州、深圳、杭州、重庆六个城市开展智能网联汽车高精度地图应用试点。
实践
12月	上海发布车联网网络安全防护定级备案审核结果。
11月	2022年度汽车数据安全管理情况报送工作陆续启动。
10月	上海推进落实车联网卡实名登记工作。
8月	武汉、重庆两地政府部门向百度Apollo旗下自动驾驶出行服务平台“萝卜快跑”发放全国首批无人化示范运营资格，允许车内无安全员的自动驾驶车辆在社会道路上开展商业化服务。
4月	小马智行中标广州市南沙区2022年出租车运力指标，成为国内首个获得正式出租车经营牌照的自动驾驶公司。
3月	上海市通信管理局组织公布2021年度汽车数据处理企业数据安全年报评审工作结果。
2月	《车联网网络安全和数据安全标准体系建设指南》印发。

十、行业精细化立法渐进

在“三驾马车”的基础上，各行业有关部门陆续结合行业特点出台相关细则以落地网络安全和数据合规要求。以金融行业为例，当前金融业正处于科技赋能的数字化浪潮之中，5G技术的普及也为金融行业移动场景下的云计算、大数据、人工智能和区块链等新技术的应用落地提供了基础网络环境，随着金融服务深度和广度的不断拓展以及金融科技蓬勃发展，展业过程中产生的各类客户身份识别、交易、资产等敏感信息正逐步转化为数据，存储于服务器之中，穿梭在信息网络之间，极度考验金融机构的数据安全管理能力。

证监会机构部在2022年5月下发的《机构监管情况通报》中，对近期发生的多起信息系统安全事件案例作为重点进行专门通报。通报指出，这些安全事件主要反映出五方面问题，包括合规内控不到位；未清晰、准确、完整掌握外部供应商提供软件的系统架构；移动APP开发管理存在短板；安全管理存在漏洞等。这些问题也为金融机构的网络安全和数据合规主要发力点指明方向。同时，梳理2022年以来的多起金融机构行政处罚案例，双罚制的普遍适用是特点之一。如在2022年11月通报的中国平安人寿保险股份有限公司六盘水中心支公司因存在案防管理不到位，原职工利用职务便利泄露在业务活动中知悉的投保人、被保险人的个人信息等违法违规行为而被行政处罚的案例中，4位直接责任人分别被处以警告、罚款或被禁止进入保险业数年。

立法
12月	《银行保险机构消费者权益保护管理办法》发布，于2023年3月1日施行。
《非法证券活动网上信息内容治理工作方案》发布。
11月	《证券期货业数据安全管理与保护指引》（JR/T 0250-2022）发布。
7月	中国证监会就招商证券股份有限公司内部管理存在漏洞、权责分配机制不完善等网络安全问题，决定采取出具警示函的行政监管措施。
5月	《证券期货业网络安全管理办法》公开征求意见。
2月	原定2022年3月1日起施行的《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》（中国人民银行银保监会证监会令〔2022〕第1号）因技术原因暂缓施行。
1月	《银行保险机构信息科技外包风险监管办法》发布，强调银保机构在实施信息科技外包时应加强重要数据和个人信息保护。
实践
12月	宁波通商银行因存在互联网贷款异地客户识别机制不完善、数据治理存在欠缺等主要违法违规事实被罚360万元。
11月	盘锦银行因存在监管要求落实严重不到位、敏感数据信息存在泄露风险、外包管理职责存在缺失、瞒报信息系统突发事件等违法违规行为，被罚140万元。
中国平安人寿保险股份有限公司六盘水中心支公司因存在案防管理不到位，原职工利用职务便利泄露在业务活动中知悉的投保人、被保险人的个人信息等违法违规行为，被罚10万元。相关直接责任人被处以警告、罚款或被禁止进入保险业数年。
8月	中国银保监会下发《关于开展银行保险机构侵害个人信息权益乱象专项整治工作的通知》，要求全面摸排本机构自2021年以来与消费者个人信息处理活动相关的经营行为和管理情况，深入查找本机构个人信息保护方面存在的问题，列出问题清单。
7月	中国农业银行股份有限公司宁化县支行因客户信息安全管理不到位被罚30万元。相关负责人夏红香被禁止从事银行业工作3年。
招商证券因在2022年5月16日的网络安全事件中，存在系统设计与升级变更未经充分论证和测试，升级回退方案不完备等问题，被证监会采取出具警示函的行政监管措施。
5月	证监会机构部下发《机构监管情况通报》，对近期发生的多起信息系统安全事件案例作为重点进行专门通报。
3月	因监管标准化数据（EAST）数据质量存在问题，中国银保监会查处21家银行机构。

此外，工业和信息化、电力、邮政等行业亦在2022年发布相关法律规范以回应行业需求，这意味着相关企业需对立法动态保持关注，及时在内部网络安全和数据合规体系构建中回应相应监管要求。如下为主要行业在2022年出台的相关法律规范整理：

工业和信息化	12月	《工业和信息化领域数据安全管理办法（试行）》发布。
2月	《关于做好工业领域数据安全管理试点工作的通知》发布。
电力	12月	《电力行业网络安全等级保护管理办法》已印发并施行。
4月	《电力可靠性管理办法（暂行）》发布，新增“第七章网络安全”专章，并重点提出电力行业网络安全相关要求。
邮政	12月	《寄递服务用户个人信息保护要求》经国家邮政局局长办公会议审议并原则通过。
11月	《关于切实加强邮件快件隐私面单推广应用工作的通知》发布。
10月	国家邮政局就《寄递用户个人信息安全管理规定》公开征求意见。
气象	9月	《气象数据开放共享实施细则（试行）》发布。
医药	9月	《药品网络销售监督管理办法》发布。
8月	《医疗卫生机构网络安全管理办法》发布。
电商	12月	最高法发布《关于为促进消费提供司法服务和保障的意见》，提出妥善审理直播电商、平台纠纷案件，加强新业态下消费者权益保护和消费者个人信息保护。
10月	《信息安全技术快递物流服务数据安全要求》（GB/T 42013-2022）、《信息安全技术网上购物服务数据安全要求》（GB/T 42014-2022）、《信息安全技术网络支付服务数据要求》（GB/T 42015-2022）发布。
3月	《关于进一步规范网络直播营利行为促进行业健康发展的意见》发布
《最高人民法院关于审理网络消费纠纷案件适用法律若干问题的规定（一）》发布。
关键信息基础设施	10月	《信息安全技术关键信息基础设施安全保护要求》（GB/T 39204-2022）发布，于2023年5月1日生效。
8月	交通运输部就《公路水路关键信息基础设施安全保护管理办法（征求意见稿）》公开征求意见。

结语

我们相信，“万里腾飞仍有路，莫愁四海正风尘”，2023年已经到来，经过2022年的规则持续完善和实践的不断探索，2023年将是网络安全和数据合规法律体系走向成熟的一年。仰望星空，步履不停，让我们把握立法和实践的当下，瞻念数字经济蓬勃发展的未来。

作者简介

吴丹君

北京观韬中茂（上海）律师事务所

观韬中茂上海办公室合伙人，首席数据官联盟专家组成员及法律顾问、深圳市大数据研究与应用协会法律专家、律商联讯法律专家、上海律师协会互联网业务研究委员会委员。

吴丹君律师的主要执业领域互联网数据信息、兼并收购、外商直接投资、酒店等。曾为众多跨国公司和外国公司在华投资、并购以及日常运营提供法律服务。近年来，吴律师专注于互联网、数据信息合规领域，就网络安全和数据合规事项为客户提供具有前瞻性的咨询服务。她服务的行业众多，包括地产、快消、酒店、OTA、金融、科技、教育、大数据产品、精准营销、在线支付、互联网医疗等。

吴丹君律师的工作语言为中文和英文。

张振君

北京观韬中茂（上海）律师事务所

法律硕士，现就职于北京观韬中茂（上海）律师事务所，专注于公司法、网络安全和数据合规领域，致力为客户提供咨询、全流程合规整改及争议解决服务。曾为客户提供内部网络安全制度梳理与完善，个人信息保护制度构建、移动互联网应用合规性审核、隐私政策撰写与修改、网络安全法律尽职调查、云计算服务企业法律尽职调查、劳动纠纷处理等多项法律服务。

推荐阅读

盘点特辑丨2022年度全国广告处罚年终盘点及数据分析(附十大典型案例)

特别声明

以上所刊登的文章仅代表作者本人观点，不代表威科中国出具的任何形式之法律意见或建议。

如需转载或引用该等文章的任何内容，请私信沟通授权事宜，并于转载时在文章开头处注明来源于公众号“威科先行”及作者姓名。未经书面授权，不得转载或使用该等文章中的任何内容，含图片、影像等视听资料。如您有意就相关议题进一步交流或探讨，欢迎与我们联系。

威科先行丨网络安全合规模块

集合法规案例查询、更新信息接收、实务问题解决，为您提供全方位实务资源支持，助力您洞悉网络安全精髓，自信决策，合规经营。