? ? ? ?01?個人視角：制度細化與觀念更新

? ? ? ?盡管《個人信息保護法》已經生效，但其僅是個人信息保護領域的一般法，在金融、醫療以及國家機關處理個人信息等特殊領域，其規則或者過于粗疏，或者與具體場景相互捍格。因此，如何在《個人信息保護法》的框架下，為個人金融信息、個人醫療信息和依法行政中的個人信息作出因時而異、因地而變的調整，不但能堅持個人信息保護的基本原則，而且能貼合個人信息合理利用的特殊需求，考驗著立法者的智慧。

? ? ? ?立法固然重要，但“徒法不足以自行”，無論是《個人信息保護法》，還是一系列的特別法，都有待法院司法、監管執法和企業自我合規的后續接力，才能真正落地生根。

? ? ? ?2022年，除了可預見的監管機構行政執法外，由個人發起的民事訴訟和由人民檢察院、消費者權益保護委員會提起的公益訴訟將成為重要的救濟渠道。不過，個人信息的司法保護要落到實處，仍需解決個人信息范圍、隱私政策法律性質、侵權過錯認定、賠償金額計算、隱私權和個人信息權益競合、公益訴訟賠償金向受害者轉移以及個體不當行使個人信息查閱權、復制權、刪除權等權利誘發濫訴等諸多問題。

? ? ? ?司法和執法仍舊不是法律的全貌，如果說“一個國家的法律結構是根據這個國家的人們對法律的態度所建造起來的”（弗里德曼），那么中國民眾對個人信息的態度決定了《個人信息保護法》的未來。

? ? ? ?利用百度關鍵詞的趨勢研究，我們可以發現有關社會意識的有趣事實：

? ? ? ?- 2021年，測量網民主動檢索的“關鍵詞搜索趨勢指數”在 “個人信息”的上錄得新高；

? ? ? ?-?與“個人信息”相比，網民對“隱私”明顯更為關注，并且，自2020年以來，兩者的差距日益明顯，凸顯出在疫情防控的背景下，公眾隱私權觀念的躍升。

? ? ? ?這也提醒我們，隨著《民法典》《個人信息保護法》對隱私和個人信息的區隔，公眾可能逐步意識到兩者的不同，進而日益珍視“隱私”價值，而非“一般個人信息”。就此而言，如何積極撫慰人們對“敏感個人信息”的“敏感神經”，就成為提升《個人信息保護法》可感可知的肯綮所在。

? ? ? ?就此，2022年即將出臺的《未成年人網絡保護條例》和《人臉識別技術應用安全管理暫行規定》，可稱應時之舉。我們亦期待進一步強化個人生物識別信息、即時通訊信息的特別保護，以維護私人空間的安全與自主。

? ? ? ?02?企業視角：整體治理與積極合規

? ? ? ?《經濟學人》在《2018年的世界》中首次用“科技抵制”（Techlash）一詞來描述了針對Facebook、Google和Amazon等硅谷科技巨頭嚴厲監管的政策。四年后，《經濟學人》在《2022年的世界》中再次用“新一波科技抵制”來描述世界各國試圖馴服科技業巨獸的努力。

? ? ? ?2021年，中國一系列反壟斷執法和深入到平臺內部的穿透式措施，引領了全球浪潮。正如《網絡數據安全管理條例（征求意見稿）》所展示的，從網絡安全到數據安全，從個人信息保護到反壟斷審查，從算法監管到平臺治理，我國數據治理正在從“碎片”走向“整體”，通過各個政府部門、各種監管措施、各項監管對象的協作，共同服務于規范科技企業的大目標。

? ? ? ?放眼2022年，以《關于推動平臺經濟規范健康持續發展的若干意見》為起點，以平臺、數據、算法的分類分級為基礎，超大型平臺企業的義務責任將進一步強化。值此變革之期，企業當重塑對數據治理的理解。

? ? ? ?詳言之，在深度上，企業應從最大化內部數據價值的單一導向，轉向企業數據風險管理、個人數據權益保護和國家數據資源安全的復合目標，從而提升數據治理在公司戰略的位置。

? ? ? ?在廣度上，企業應將網絡安全、數據安全、個人信息保護、平臺治理與經營模式一并考量，融匯技術、組織與生態，聯結法律、標準與倫理，形成理一分殊的制度架構。

? ? ? ?在態度上，企業應從被動地數據合規向主動地數據合規轉變，通過與用戶、專家、監管機構的積極溝通，提出符合各方期待的企業最佳實踐（best practices），在監管規范細化的過程中，實現數據安全與數據利用的多贏。

? ? ? ?03?國家視角：公共服務與數據市場

? ? ? ?自2015年國務院發布《促進大數據發展行動綱要》以來，“用數據說話、用數據決策、用數據管理、用數據創新”的“用數據治理”已成為我國治理能力現代化的重要一環。公共數據在政府之間的共享以及在政府與社會之間的開放即是其題中之意。

? ? ? ?2021年，《數據安全法》第五章專章規定“政務數據安全與開放”，要求國家制定政務數據開放目錄，構建統一規范、互聯互通、安全可控的政務數據開放平臺，推動政務數據開放利用，提升運用數據服務經濟社會發展的能力。

? ? ? ?盡管上海、天津、浙江、深圳等地公共數據共享和開放的地方性立法如火如荼，受限于部門職權、經費支持、責任承擔、收益分配等種種痼疾，全國層面的數據開放與共享依然步履維艱。

? ? ? ?2022年，在國務院的大力推動下，更大范圍、更高層次的政務數據共享與開放有望破局。

? ? ? ?“構建以數據為關鍵要素的數字經濟，推動實體經濟和數字經濟融合發展”是頂層長期以來的宏觀判斷。然而，數據要素市場并非自發形成，其始終有賴“市場執行性制度”的建立健全。在頂層立法付之闕如的情形下，2021年《深圳經濟特區數據條例》《上海市數據條例》以及北京、上海等地的數據交易所不斷涌現，試圖從下自上推動數據要素市場成型。

? ? ? ?不過，考慮到“數據”本身是跨地域的“全國性事務”，通過地方立法來處理，不過是權宜之計，甚或導致分割市場的不良后果。因此，在地方上“子彈飛一會”之后，2022年，《數字經濟促進法》《大數據管理法》有可能納入中央立法的視野，聚焦數據采集、開放、流通、使用、開發、保護等全生命周期的制度建設，分級分類、分步推動部分領域數據流通應用。

? ? ? ?04?國際視角：泛在安全與數據流動

? ? ? ?《數據安全法》第11條確立了“數據跨境安全、自由流動”原則，這既彰顯出在逆全球化和民粹主義興起的潮流下，中國堅持對外開放與國際合作的基本立場（“自由流動”），又彰顯出對國家安全的高度關切（“數據安全”）。

? ? ? ?不過，作為頂層設計，《數據安全法》并未就“數據安全跨境流動”和“數據自由跨境流動”的平衡作出充分展開。容易理解，隨著風險社會興起和國際博弈日趨熾烈，在“安全”和“自由”之間，人們往往不自覺地重視前者。

? ? ? ?正如“馬賽克理論”（mosaic theory）所揭示的，大規模、多樣化和高速性的數據經由堆疊、組合、分析之后，很可能由“不敏感的數據”變成危及國家的“重要數據”。 2021年，《汽車數據安全管理若干規定（試行）》《數據出境安全評估辦法》（征求意見稿）均從“安全端”入手，通過明確“重要數據類型”和“個人信息規模”，增設數據本地化和出境安全評估的監管要求。

? ? ? ?去年年中，網信辦等部委對赴美上市企業所開展的網絡安全審查和《網絡安全審查辦法》修改，進一步體現出“數據安全泛在化”趨勢。

? ? ? ?不過，“安全”絕非數據跨境流動的唯一訴求。正如聯合國在《跨境數據流動與發展：數據為誰流動》年度報告所指出的：“對跨境數據流動采取極端立場是徒勞無益的，因為不論是嚴格的本地化，抑或是完全自由的數據流動，都不可能滿足國家實現各種發展目標的需求”。

? ? ? ?隨著我國企業全球化布局和一路一帶的深入，數據跨境也面臨著“攻守易型”。2022年1月1日，我國參與的首個涉及數據跨境流動規則的雙多邊貿易投資協議——《區域全面經濟伙伴關系協定》（RCEP）正式生效，該協議第12章第15條要求締約方不得阻止通過電子方式跨境傳輸信息，明確倡導數據跨境自由流動。

? ? ? ?其實，我國數據自由流動的道路才剛剛開始。與側重于貨物貿易關稅協定的RCEP相比，《全面與進步跨太平洋伙伴關系協定》（CPTPP）將為數據跨境確立更高的標準。《個人信息保護法》第38條第2款“中華人民共和國締結或者參加的國際條約、協定對向中華人民共和國境外提供個人信息的條件等有規定的，可以按照其規定執行”亦為此預留了充分的空間。我們期待著2022年正式發布的《個人信息出境標準合同規定》《數據出境安全評估辦法》，能夠實現數據安全流動與自由流動的再平衡，推動各國互信的數據跨境流動方案，促進數據利用的開放、合作與共贏。

? ? ? ?2022年是全球新冠疫情的第三個年頭，我們依然身處一個“烏卡(VUCA)時代”。在數據治理領域，監管者則因復雜(complexity)、混沌(ambiguity)的未來而難以作出有效決策，被監管者因動蕩(volatility)、不定(uncertainty)的局面而難以作出有效應對。

? ? ? ?面對這一窘境，我們亟待引入“敏態治理”（Agile governance）的邏輯：既要“相時而動、隨勢而變”，又要堅持“寧小勿大、寧淺勿深”的策略，在發生意料之外的影響后及時回調，因為保持彈性或者說“反脆弱”是在不確定性中獲益的唯一方式。

? ? ? ?如OCED《邁向數字化》報告所言，在2022這個與病毒斗爭和經濟復蘇的關鍵一年，設計更好的數據治理機制比以往任何時候都更加重要，因為它是通向經濟增長和人類福祉的未來之路。