媒体法规案例

刘海明 · 发表于 2021-6-17 16:16:50

【案例】

六家自媒体排队道歉后，特斯拉法务部门开通官微：向自媒体“宣战”？

熙熙攘攘中，有关特斯拉遭遇车主维权事件尚未完全褪去，然而，一波未平一波又起。

日前，有媒体报道称，特斯拉法务部门注册了官方微博，法务部门注册微博本就不多见，正当大家感到疑惑时，消息传出：特斯拉方面注册法务微博后，开始向自媒体发去“警告”。

据财经网引述自媒体“五千年的兔子”的反映，早在5月29日，他就收到了当时还没有加V的“特斯拉法务部”的私信。私信内容是：我司注意到您仍在持续发布涉及我司的侵权内容。请知悉，我司已在北京法院提起诉讼。如希望进一步沟通，请通过上述联系方式联系。

一句话就是特斯拉把“五千年的兔子”告了，但是还给了和解的通道。特斯拉还在下面评论称，“互联网不是法外之地”。

微博认证显示，特斯拉法务部注册时间为2021年5月31日，目前该微博未更新一条内容。

也即是说，其微博的注册或为了向自媒体发私信，通知一些或已被告的自媒体。

起诉就起诉，为啥还要起诉前告知一声呢？这让人很不解。

根据上述自媒体披露的截图，特斯拉特意在“警告信”中称：如希望进一步沟通，请联系。

言下之意：不想被告，就联系我们。

不过，被警告的@五千年的兔子并未认怂，甚至置顶了被指“违法”的文章，以示不认怂。

据悉，特斯拉起诉的原因是该用户4月24日在今日头条发了一篇题为《特斯拉维权女孩没有撒谎!用刹车数据还原事故前的惊魂五秒》的文章，详尽分析了“车顶维权”事件中特斯拉公布的数据。

值得一提的是，5月28日，特斯拉官方微博@特斯拉支持发出6封自媒体的道歉公告说：非常感谢大家对特斯拉相关信息、相关帖文的关注，更多消费者也因此逐步加深了对特斯拉以及电动车的了解。

但这其中也包含了少许不实信息，这些不实信息给特斯拉以及广大车主们带来了一些困扰。

为了帮助大家了解事实，我们会定期和大家分享真实情况。任何新兴产业的发展，都离不开全社会的关注和支持，真诚感谢大家！

对于自媒体齐刷刷地道歉行为，知名自媒体人罗永浩表示惊讶，其表示：咦？神奇。这是怎么做到的？我做 Smartisan 手机的那些年，很多自媒体赤裸裸地撒谎造谣诬蔑诽谤，即使发了律师信过去，也没有一个道歉的啊，最多就是半夜没人看的时候悄悄发一个澄清，还写得好像跟自己没关系似的。

对于特斯拉法务部门的行为，不少网友表示支持，并对“互联网不是法外之地”表示赞同，更有甚者为特斯拉“造谣一张嘴，辟谣跑断腿”而叫屈。

但有大V表示担心。

如有着70万粉丝的@观茬君说：我去那边看文章了，有理有据有数据，各位感兴趣的可以去看看原文，太长了，我就不贴了，反正现在自媒体只能夸，不能说不是，你说了就是黑，就是有组织有预谋的黑，就怀疑你是团伙了，太难了，以后都改夸夸群算了。

此外，亦有汽车自媒体表示：特斯拉法务部的这句“独立思考，明辨是非”看似是吐露心声，其实更像是通过法律手段来震慑国内舆论，已达到警示公众的效果。

特斯拉对自媒体的“警告”确实起到了作用。一位拥有51万粉丝的自媒体大V@闪飞说：特斯拉法务部上线，以后特斯拉的新闻不能随便骚了。

而拥有72万粉丝、认证为IT时评家@贾敬华说：从旁观者的角度来说，特斯拉法务部这个账号确实容易引起误会。看了一下很多公司的微博账号，几乎没有法务部这个账号。在频频曝出安全事故后，特斯拉成为了媒体和公众质疑的对象。然而，特斯拉一味的推卸责任，这让舆论危机不断发酵。

现在，公众舆论对特斯拉的质疑还在持续发酵。这种情况下，特斯拉法务部账号上线，这确实有点不妥。接下来，特斯拉法务部这个账号会发布什么内容，这同样是消费者关注的热点。如果内容不当，肯定会遭来太多的非议。

对此，你怎么看？

来源：传媒江湖荟

链接：https://mp.weixin.qq.com/s/30KZDWHQS7DItZfSUPPpUQ

编辑：王奕

刘海明 · 发表于 2021-6-17 17:25:04

【案例】

北京互联网法院：《互联网社交媒体平台案件审判情况》（附典型案例）

6月1日上午，北京互联网法院召开了“互联网社交媒体平台案件审判情况”新闻发布会。北京互联网法院院长张雯介绍了相关案件的数据、特征及相关举措，六位法官讲述了其承办的相关典型案例，发布会由北京互联网法院副院长赵瑞罡主持。

据介绍，2018年9月9日至2021年5月31日，北京互联网法院共受理案件102585件，其中涉及社交媒体平台的23781件，占比23.18%。随着互联网平台经济的迅速崛起和创新发展，涉网络社交媒体平台案件逐年增长，其中2018年9月至12月收案量为458件，2019年收案量为8011件，2020年收案量为10424件，同比上升30.12%。

社交媒体平台纠纷中，著作权纠纷占比最高，为87.71%，其次为网络侵权责任纠纷，占6.81%，可以看出，侵权类纠纷占该类案件中的绝对多数。此外，社交媒体平台纠纷涉诉主体较为集中，截至2021年5月31日，数量排名前10的社交媒体平台共计涉诉20 402件，占该类案件总收案的85.79%，主要涉及社交类APP及各大门户网站。

据了解，北京互联网法院受理案件直接反映出北京作为全国科技创新中心及文化中心定位，呈现出以下特征：一是平台类型多元，诉讼主张呈现多样化趋势；二是新型商业模式频出，跨界经营、混业经营趋势明显；三是涉及新业态新模式的社交媒体平台案件包含大量前沿法律问题，对传统的避风港原则、侵权认定规则等产生了极大冲击。

北京互联网法院调研发现，社交媒体平台发展中存在以下问题：一是混业经营下，运营链上涉及平台、主播、品牌方、卖家、消费者等多方主体，可能涉及多重法律关系，且复合平台需要分业监管，易导致监管重叠或监管空白；二是平台具有市场主体和监督主体的双方身份，存在对平台内经营者准入资质、商品信息监管不严格的情况；三是个人信息保护存在短板，存在非法收集和过度收集等情况；四是基于平台“一对众”的产业模式及优势地位，平台在格式条款中为自己设立单方变更权免除自身责任，或约定“使用即同意”内容，侵害消费者权益的现象仍大量存在。

针对上述问题，北京互联网法院依托审判职能作用，积极探索诉源治理、典型案例示范调解、协同治理等创新机制、输出规则。

加强案件诉前分流引导

据介绍，针对要求社交媒体平台披露涉嫌侵权主体身份信息案件，北京互联网法院建立了信息披露类案件诉前化解机制，运行近一年来，在诉前调解阶段成功调解该类案件2350件，平均用时不足30天，高效化解了纠纷。针对社交媒体平台纠纷主体集中化、问题类型化的特点，进一步将调解延伸到在纠纷立案前，通过一个示范性判决，“一揽子”化解潜在未成讼的大批量案件。

强化新客体和新业态知识产权保护

面对数字经济下著作权保护的新挑战，张雯院长介绍了北京互联网法院采取的举措：一方面，积极探索新客体保护规则，鼓励新客体创作，比如，在某短视频平台著作权案中，认定短视频是否具备独创性与视频长短，保护正能量新类型作品著作权；另一方面，加强网络游戏、视频、教育等新业态领域知识产权保护，引导新技术、新业态规范有序发展，比如，在“共享会员”著作权及不正当竞争案中，认定提供共享会员服务的平台恶意利用他人视频资源牟利构成不正当竞争，否定社交媒体平台恶意搭便车行为。

依法规制社交媒体平台人格权侵权行为

张雯院长介绍到，北京互联网法院在某短视频平台侵害用户个人信息案中，明确了互联网平台要兼顾个人信息保护与数据合理使用的规则，依法规制平台随意收集、违法获取、过度使用个人信息的行为；在一起未成年子女被父母绑树上教育遭偷拍，并在社交媒体平台发布传播的网络侵权纠纷案中，贯彻“未成年人利益最大”原则，注重保护未成年人个人隐私信息；在某房地产平台诉杨某某网络侵权责任纠纷中，明确市场经营者利用自媒体进行宣传推广，必须在法律法规允许的范围内，不可捏造、传播虚假信息，恶意误导公众，进行商业诋毁。

合理认定平台承担与其经营利益相匹配的监管责任

张雯院长表示，为规范平台管理，北京互联网法院一是通过明确社交媒体平台涉及合同主体的权利义务，规制平台利用格式条款侵害消费者合法权益的行为，在“超前点播”服务合同案中，强调平台探索新的商业模式，不得损害用户依照法律或者约定享有的权利；二是要求平台应当尽到与其经营利益相匹配的审慎监管义务，在某直播平台著作权案中，认定直播平台未采取与其获益相匹配的预防侵权措施构成共同侵权；三是引导平台严格贯彻执行用户实名注册制，在某社交媒体平台著作权案中，认定平台未能证明涉案图片系用户上传，不适用“避风港”原则。

积极推动网络空间协同治理

网络平台已成为一个生态系统，要解决生态圈中的侵权问题，应当着眼于系统治理。张雯院长提到，北京互联网法院在推动网络空间协同治理方面的举措：一是建立版权领域“行政—司法”协同新机制，与市版权局、市版权保护中心联合发起“e版权诉源共治体系”，共建良性版权保护生态；二是通过召开发布会、开展普法活动、联合发起倡议等方式加强法治宣传，扩大裁判影响力；三是向相关监管机关、平台企业发送10余份司法建议，深挖类案问题背后的普遍性、深层次原因，倡导树立规则意识，推动网络空间协同治理。

发布会上还通报了十起涉社交媒体平台典型案例，这些典型案例认定了具有独创性的聊天表情构成美术作品，商业模式影响网络服务提供者过错认定，发表言论的注意义务可因身份不同而变化，明确了主播私下带货行为应承担经营者责任，超出引用目的和必要程度的使用作品行为不构成合理使用，自媒体不得捏造或传播虚假信息进行商业诋毁扰乱市场竞争秩序等。

下一步，北京互联网法院将聚焦互联网特性突出的新兴领域案件，比如针对不当收集、管理、利用个人信息、公共数据问题，强化网络空间人格权益保护，规范网络交易行为，维护网络信息安全；针对新兴互联网产业发展不规范、打法律擦边球问题，加强保护市场公平竞争秩序，严厉打击网络刷单炒作信用、身份盗用、“薅羊毛”等网络灰黑产业。针对网络环境下知识产权保护的新特点、新需求，明确新类型知识产权的权利属性、保护范围和追责机制，鼓励数字经济创新发展。同时，还要对网络平台治理、数据权属与交易、算法规制、区块链法治等前沿司法问题方面做出积极回应，既妥善处理纠纷、维护个案公正，又确立司法规则，明确权利义务，规范产业发展。

来源：网络法实务圈

链接：https://mp.weixin.qq.com/s/lYcpFrdFwvM3lHvRCsJuwg

编辑：王奕

刘海明 · 发表于 2021-6-17 17:58:26

【案例】

《个人信息保护法（草案）》（二次审议稿）全文

【按语】《个人信息保护法（草案）》二次审议稿汲取前沿理念和最佳实践，是个人信息保护与合规风控的重大进展。——吴沈括，网络法治国际中心执行主任、博导、中国互联网协会研究中心副主任。

《个人信息保护法（草案）》（二次审议稿）

第一章总则

第一条为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，制定本法。

第二条自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益。

第三条组织、个人在中华人民共和国境内处理自然人个人信息的活动，适用本法。

在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法:

(一)以向境内自然人提供产品或者服务为目的；

(二)分析、评估境内自然人的行为；

(三)法律、行政法规规定的其他情形。第四条个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。第五条处理个人信息应当采用合法、正当的方式，遵循诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。

第六条处理个人信息应当具有明确、合理的目的，并应当限于实现处理目的所必要的最小范围、采取对个人权益影响最小的方式，不得进行与处理目的无关的个人信息处理。第七条处理个人信息应当遵循公开、透明的原则，公开个人信息处理规则，明示处理的目的、方式和范围。第八条处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。第九条个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。第十条任何组织、个人不得违反法律、行政法规的规定处理个人信息，不得从事危害国家安全、公共利益的个人信息处理活动。

第十一条国家建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为，加强个人信息保护宣传教育，推动形成政府、企业、相关行业组织、社会公众共同参与个人信息保护的良好环境。

第十二条国家积极参与个人信息保护国际规则的制定，促进个人信息保护方面的国际交流与合作，推动与其他国家、地区、国际组织之间的个人信息保护规则、标准等的互认。

第二章个人信息处理规则

第一节一般规定

第十三条符合下列情形之一的，个人信息处理者方可处理个人信息:

(一)取得个人的同意；

(二)为订立或者履行个人作为一方当事人的合同所必需；

(三)为履行法定职责或者法定义务所必需；

(四)为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

(五)依照本法规定在合理的范围内处理已公开的个人信息；

(六)为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

(七)法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但有前款第二项至第七项规定情形的，不需取得个人同意。第十四条处理个人信息的同意，应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。第十五条个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。第十六条基于个人同意而进行的个人信息处理活动，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。第十七条个人信息处理者不得以个人不同意处理其个人信息或者撤回其对个人信息处理的同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。

第十八条个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言向个人告知下列事项:

(一)个人信息处理者的身份和联系方式；

(二)个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；

(三)个人行使本法规定权利的方式和程序；(四)法律、行政法规规定应当告知的其他事项。前款规定事项发生变更的，应当将变更部分告知个人。个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。第十九条个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条规定的事项。紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。第二十条个人信息的保存期限应当为实现处理目的所必要的最短时间。法律、行政法规对个人信息的保存期限另有规定的，从其规定。

第二十一条两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。个人信息处理者共同处理个人信息，侵害个人信息权益的，应当承担连带责任。

第二十二条个人信息处理者委托处理个人信息的，应当与受托方约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托方的个人信息处理活动进行监督。

受托方应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托方应当将个人信息返还个人信息处理者或者予以删除，不得保留。

未经个人信息处理者同意，受托方不得转委托他人处理个人信息。

第二十三条个人信息处理者因合并、分立等原因需要转移个人信息的，应当向个人告知接收方的身份、联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式，应当依照本法规定重新取得个人同意。

第二十四条个人信息处理者向他人提供其处理的个人信息的，应当向个人告知接收方的身份、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。

第二十五条利用个人信息进行自动化决策，应当保证决策的透明度和结果公平合理。

通过自动化决策方式进行商业营销、信息推送，应当同时提供不针对其个人特征的选项，或者向个人提供拒绝的方式。

通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。

第二十六条个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。

第二十七条在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、个人身份特征信息只能用于维护公共安全的目的，不得公开或者向他人提供，取得个人单独同意的除外。

第二十八条个人信息处理者处理已公开的个人信息，应当符合该个人信息被公开时的用途。超出与该用途相关的合理范围的，应当依照本法规定取得个人同意。

个人信息被公开时的用途不明确的，个人信息处理者应当合理、谨慎地处理已公开的个人信息。利用已公开的个人信息从事对个人有重大影响的活动，应当依照本法规定取得个人同意。

第二节敏感个人信息的处理规则

第二十九条个人信息处理者具有特定的目的和充分的必要性，方可处理敏感个人信息。

敏感个人信息是一旦泄露或者非法使用，可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息，包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。

第三十条基于个人同意处理敏感个人信息的，个人信息处理者应当取得个人的单独同意。法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。

第三十一条个人信息处理者处理敏感个人信息的，除本法第十八条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人的影响。

第三十二条法律、行政法规对处理敏感个人信息规定应当取得相关行政许可或者作出其他限制的，从其规定。

第三节国家机关处理个人信息的特别规定

第三十三条国家机关处理个人信息的活动，适用本法；本节有特别规定的，适用本节规定。

第三十四条国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。

第三十五条国家机关为履行法定职责处理个人信息，应当依照本法规定向个人告知并取得其同意；法律、行政法规规定应当保密，或者告知、取得同意将妨碍国家机关履行法定职责的除外。

第三十六条国家机关处理的个人信息应当在中华人民共和国境内存储；确需向境外提供的，应当进行风险评估。风险评估可以要求有关部门提供支持与协助。

第三十七条法律、法规授权的具有管理公共事务职能的组织为履行法定职责处理个人信息，适用本法关于国家机关处理个人信息的规定。

第三章个人信息跨境提供的规则

第三十八条个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当至少具备下列一项条件:

(一)依照本法第四十条的规定通过国家网信部门组织的安全评估；

(二)按照国家网信部门的规定经专业机构进行个人信息保护认证；

(三)按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务，并监督其个人信息处理活动达到本法规定的个人信息保护标准；

(四)法律、行政法规或者国家网信部门规定的其他条件。

第三十九条个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的身份、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式等事项，并取得个人的单独同意。

第四十条关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。

第四十一条中华人民共和国境外的司法或者执法机构要求提供存储于中华人民共和国境内的个人信息的，非经中华人民共和国主管机关批准，不得提供；中华人民共和国缔结或者参加的国际条约、协定有规定的，可以按照其规定执行。

第四十二条境外的组织、个人从事损害中华人民共和国公民的个人信息权益，或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单，予以公告，并采取限制或者禁止向其提供个人信息等措施。

第四十三条任何国家和地区在个人信息保护方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的，中华人民共和国可以根据实际情况对该国家或者该地区对等采取措施。

第四章个人在个人信息处理活动中的权利

第四十四条个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。

第四十五条个人有权向个人信息处理者查阅、复制其个人信息；有本法第十九条第一款规定情形的除外。个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。

第四十六条个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。

个人请求更正、补充其个人信息的，个人信息处理者应当对其个人信息予以核实，并及时更正、补充。

第四十七条有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除:

(一)处理目的已实现或者为实现处理目的不再必要；

(二)个人信息处理者停止提供产品或者服务，或者保存期限已届满；

(三)个人撤回同意；

(四)个人信息处理者违反法律、行政法规或者违反约定处理个人信息；
(五)法律、行政法规规定的其他情形。法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。

第四十八条个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。

第四十九条自然人死亡的，本章规定的个人在个人信息处理活动中的权利，由其近亲属行使。

第五十条个人信息处理者应当建立个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。

第五章个人信息处理者的义务

第五十一条个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人的影响、可能存在的安全风险等，采取必要措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露或者被窃取、篡改、删除:

(一)制定内部管理制度和操作规程；

(二)对个人信息实行分类管理；

(三)采取相应的加密、去标识化等安全技术措施；

(四)合理确定个人信息处理的操作权限，并定期对从业人

员进行安全教育和培训；

(五)制定并组织实施个人信息安全事件应急预案；

(六)法律、行政法规规定的其他措施。第五十二条处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。

个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门。

第五十三条本法第三条第二款规定的中华人民共和国境外的个人信息处理者，应当在中华人民共和国境内设立专门机构或者指定代表，负责处理个人信息保护相关事务，并将有关机构的名称或者代表的姓名、联系方式等报送履行个人信息保护职责的部门。

第五十四条个人信息处理者应当定期对其个人信息处理活动遵守法律、行政法规的情况进行合规审计。

第五十五条个人信息处理者应当对下列个人信息处理活动在事前进行风险评估，并对处理情况进行记录:

(一)处理敏感个人信息；

(二)利用个人信息进行自动化决策；

(三)委托处理个人信息、向他人提供个人信息、公开个人

信息；

(四)向境外提供个人信息；

(五)其他对个人有重大影响的个人信息处理活动。

风险评估的内容应当包括:

(一)个人信息的处理目的、处理方式等是否合法、正当、

必要；

(二)对个人的影响及风险程度；

(三)所采取的安全保护措施是否合法、有效并与风险程度相适应。

风险评估报告和处理情况记录应当至少保存三年。

第五十六条个人信息处理者发现个人信息泄露的，应当立

即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项:

(一)个人信息泄露的原因；

(二)泄露的个人信息种类和可能造成的危害；

(三)已采取的补救措施；

(四)个人可以采取的减轻危害的措施；

(五)个人信息处理者的联系方式。个人信息处理者采取措施能够有效避免信息泄露造成损害的，个人信息处理者可以不通知个人；但是，履行个人信息保护职责的部门认为个人信息泄露可能对个人造成损害的，有权要求个人信息处理者通知个人。

第五十七条提供基础性互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务:

(一)成立主要由外部成员组成的独立机构，对个人信息处

理活动进行监督；

(二)对严重违反法律、行政法规处理个人信息的平台内的

产品或者服务提供者，停止提供服务；

(三)定期发布个人信息保护社会责任报告，接受社会监督。

第五十八条接受委托处理个人信息的受托方，应当履行本

章规定的相关义务，采取必要措施保障所处理的个人信息的安全。

第六章履行个人信息保护职责的部门

第五十九条国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息保护和监督管理工作。

县级以上地方人民政府有关部门的个人信息保护和监督管理职责，按照国家有关规定确定。

前两款规定的部门统称为履行个人信息保护职责的部门。

第六十条履行个人信息保护职责的部门履行下列个人信息保护职责:

(一)开展个人信息保护宣传教育，指导、监督个人信息处理者开展个人信息保护工作；

(二)接受、处理与个人信息保护有关的投诉、举报；

(三)调查、处理违法个人信息处理活动；(四)法律、行政法规规定的其他职责。第六十一条国家网信部门统筹协调有关部门依据本法推进

下列个人信息保护工作

一)制定个人信息保护具体规则、标准；(二)针对敏感个人信息以及人脸识别、人工智能等新技术、

新应用，制定专门的个人信息保护规则、标准；(三)支持研究开发安全、方便的电子身份认证技术；(四)推进个人信息保护社会化服务体系建设，支持有关机构开展个人信息保护评估、认证服务。第六十二条履行个人信息保护职责的部门履行个人信息保护职责，可以采取下列措施:

(一)询问有关当事人，调查与个人信息处理活动有关的情况

(二)查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料；

(三)实施现场检查，对涉嫌违法个人信息处理活动进行调查

(四)检查与个人信息处理活动有关的设备、物品；对有证据证明是违法个人信息处理活动的设备、物品，向本部门主要负责人书面报告并经批准，可以查封或者扣押。履行个人信息保护职责的部门依法履行职责，当事人应当予以协助、配合，不得拒绝、阻挠。

第六十三条履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈，或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。个人信息处理者应当按照要求采取措施，进行整改，消除隐患。

第六十四条任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。

履行个人信息保护职责的部门应当公布接受投诉、举报的联系方式。

第七章法律责任

第六十五条违反本法规定处理个人信息，或者处理个人信息未按照规定采取必要的安全保护措施的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

有前款规定的违法行为，情节严重的，由履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。

第六十六条有本法规定的违法行为的，依照有关法律、行政法规的规定记入信用档案，并予以公示。

第六十七条国家机关不履行本法规定的个人信息保护义务的，由其上级机关或者履行个人信息保护职责的部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。

第六十八条个人信息权益因个人信息处理活动受到侵害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。

前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。

第六十九条个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、履行个人信息保护职责的部门和国家网信部门确定的组织可以依法向人民法院提起诉讼。

第七十条违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。

第八章附则

第七十一条自然人因个人或者家庭事务处理个人信息的，不适用本法。

法律对各级人民政府及其有关部门组织实施的统计、档案管理活动中的个人信息处理有规定的，适用其规定。

第七十二条本法下列用语的含义:

(一)个人信息处理者，是指自主决定处理目的、处理方式等个人信息处理事项的组织、个人。

(二)自动化决策，是指利用个人信息对个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，通过计算机程序自动分析、评估并进行决策的活动。

(三)去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。

(四)匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。

第七十三条本法自年月日起施行。

来源：网络法治国际中心

链接：https://mp.weixin.qq.com/s/6UlQredTOkAoy-OyHuhYww

编辑：王奕

刘海明 · 发表于 2021-6-17 17:59:28

【案例】

前沿译文丨欧盟《人工智能法》提案（上）

编者按：4月21日，欧盟发布了《关于人工智能的统一规则(人工智能法)并修正某些联合立法行为》的提案，这是继2020年2月19日欧盟《人工智能白皮书》之后的又一重量级法案。该提案从“维护欧盟的技术领先地位，并确保欧洲人民可以从按照欧盟价值观、基本权利和原则人工智能中受益”的原则出发，采取基于风险的监管思路，在区分“禁止类AI”和“高风险类AI”的基础上，提出了如下具体目标：

（1）确保投放到欧盟市场并使用的AI系统是安全的，并尊重现行法律中的基本权利和欧盟价值；

（2）确保法律上的确定性，以促进对人工智能的投资和创新；

（3）加强对适用于AI系统的基本权利和安全要求的现有法律有效执行和治理；

（4）促进针对合法、安全和可信赖的AI应用的开发，促进欧盟单一数字市场的发展。

鉴于该提案对于我国人工智能和算法治理的重要价值，我们特编译提案正文，以飨读者。因原文较长，我们将分两期刊发，敬请期待。

——对外经济贸易大学数字经济与法律创新研究中心执行主任许可

布鲁塞尔21.4.2021 COM(2021)206最终版

2021/0106(COD)

提案

欧洲议会和理事会

制定关于人工智能的统一规则(人工智能法)并修正某些联合立法行为

第一编

一般规定

第1条

主旨

该法规规定：

(a) 在欧盟中投放市场，投入服务和使用人工智能系统（“ AI系统”）的统一规则；

(b) 禁止某些人工智能实践；

(c) 高风险AI系统的具体要求以及此类系统的操作员的义务；

(d) 旨在与自然人互动的AI系统、情感识别系统和生物特征分类系统以及用于生成或操纵图像、音频或视频内容的AI系统的统一透明度规则；

(e) 市场监测和监督规则。

第2条

适用范围

1. 本法规适用于：

(a) 在欧盟中投放市场或将AI系统投入服务的提供商，无论这些提供商是在欧盟内部还是在第三国建立的；

(b) 位于欧盟内的AI系统的用户；

(c) 位于第三国的AI系统的提供者和用户，该系统产生的输出在欧盟中使用；

2. 对于属于产品或系统安全组件的高风险AI系统，或者本身属于产品或系统的高风险AI系统，属于以下行为的范围内，仅适用本法规的第84条：

(a) 法规（EC）300/2008；

(b) 法规（EU）第167/2013号；

(c) 法规（EU）第168/2013号；

(d) 指令2014/90/EU；

(e) 指令（EU）2016/797；

(f) 法规（EU）2018/858;

(g) 法规（EU）2018/1139;

(h) 法规（EU）2019/2144。

3. 本法规不适用于专门用于军事目的而开发或使用的AI系统。

4. 本法规不适用于第三国的公共当局，也不适用于根据本条第1款属于本法规范围内的国际组织，在这些机关或组织在与执法机关进行国际执法和司法合作的国际协议框架内使用AI系统的情况欧盟或一个或多个成员国。

5. 本法规不得影响欧洲议会和理事会第2000/31 / EC号指令60 第II章第IV节中所规定的中介服务提供者责任规定的适用[将由欧盟《数字服务法》的相应条款。

第3条

定义

就本法规而言，适用以下定义：

（1）“人工智能系统”（AI system）是指使用附件I中所列的一种或多种技术和方法开发的软件，并且对于给定的一组人类定义的目标，可以生成诸如内容、预测之类的输出，影响与其互动的环境的建议或决策；

（2）“提供者”是指开发AI系统，或者拥有已开发的AI系统并将其投放市场或以自己名义（商标）投入使用的自然人、法人、公共机构或其他机构，无论是付费还是免费的；

(3) “小型提供商”是指委员会建议2003/361/EC61所指的小微企业的提供商；

(4) “用户”是指在其授权下使用AI系统的任何自然人、法人、公共机构、代理机构或其他机构，除非在个人非专业活动中使用了AI系统；

(5) “授权代表”是指在欧盟中建立的任何自然人或法人，均已从AI系统的提供者处获得书面授权，分别代表其执行和执行本法规所规定的义务和程序；

(6) “进口商”是指在欧盟中建立的任何自然人或法人，其在市场上投放或投入使用的AI系统均带有欧盟外所建立的自然人或法人的名称或商标；

(7) “发行人”是指供应商中除了供应商或进口商之外的任何自然人或法人，可以在欧盟市场上提供人工智能系统而不影响其属性；

(8) “运营商”是指提供者、用户、授权代表、进口商和分销商；

(9) “投放市场”是指在欧盟市场上首次提供AI系统；

(10) “在市场上可用”是指在商业活动过程中以联合市场的形式分发或使用的AI系统的任何供应，无论是付费还是免费；

(11) “投入使用”是指直接为用户提供的AI系统，或为其预期目的在欧盟市场上供其自己使用的AI系统；

(12) “预期目的”是指提供者针对AI系统的用途，包括提供者在使用说明，促销或销售材料和声明中提供的信息中指定的特定上下文和使用条件，如下所述：以及技术文档中的内容；

(13) “合理可预见的滥用”是指以不符合其预期目的的方式使用AI系统，但可能是由于合理可预见的人类行为或与其他系统的交互作用而导致的；

(14) “产品或系统的安全组件”是指为该产品或系统执行安全功能，或者其故障或功能失常危及人员或财产的健康和安全的产品或系统的组件；

(15) “使用说明”是指提供者提供的信息，用于告知用户特别是AI系统的预期目的和正确使用，包括打算将高风险AI系统纳入其中的特定地理，行为或功能设置用过的;

(16) “召回AI系统”是指旨在向用户提供AI系统提供商返还的任何措施；

(17) “退出AI系统”是指旨在防止AI系统的分发，显示和提供的任何措施；

(18) “AI系统的性能”是指AI系统达到其预期目的的能力；

(19) “通知机构”是指负责建立和执行必要的程序以评估，指定和通知合格评定机构并进行监督的国家机构；

(20) “合格评定”是指验证本法规第二章第三章第三节中关于人工智能系统的要求是否得到满足的过程；

(21) “合格评定机构”是指执行第三方合格评定活动（包括测试，认证和检查）的机构；

(22) “通知机构”是指根据本法规和其他相关的欧盟协调法规指定的合格评定机构；

(23) “重大修改”是指在AI系统投入市场或投入使用后对AI系统进行的更改，这会影响AI系统对本法规第2章第III节中规定的要求的遵从性，或者导致对AI系统的修改。评估AI系统的预期目的；

(24) “CE合格标记”（CE标记）是指提供者表明AI系统符合本法规第二章第III节和协调市场营销条件的其他适用的欧盟法规所规定的标记。（“统一法规”）；

(25) “上市后监控”是指由AI系统提供者进行的所有活动，以主动收集和审查从他们投放市场或投入使用的AI系统获得的经验，以识别是否需要立即应用任何必要的东西。纠正或预防措施；

(26) “市场监督机构”是指根据（EU）2019/1020法规开展活动并采取措施的国家机构；

(27) “统一标准”是指第1025/2012号法规（EU）第2（1）（c）条所定义的欧洲标准；

(28) “通用规范”是指除标准以外的包含技术解决方案的文件，该技术解决方案提供了一种手段来满足本法规规定的某些要求和义务；

(29) “训练数据”是指用于通过拟合其可学习的参数（包括神经网络的权重）来训练AI系统的数据；

(30) “验证数据”是指用于对经过训练的AI系统进行评估，调整其不可学习的参数及其学习过程等数据，以防止过拟合；验证数据集可以是单独的数据集，也可以是训练数据集的一部分，可以是固定拆分或可变拆分；

(31) “测试数据”是指用于对经过培训和经过验证的AI系统进行独立评估的数据，以便在该系统投放市场或投入使用之前确认该系统的预期性能；

(32) “输入数据”是指提供给AI系统或由AI系统直接获取的数据，并以此为基础产生输出；

(33) “生物特征数据”是指通过与自然人的身体，生理或行为特征相关的特定技术处理而得到的个人数据，这些数据允许或确认该自然人的唯一标识，例如面部图像或手指镜检查数据；

(34) “情感识别系统”是指用于根据自然人的生物特征数据识别或推断自然人的情感或意图的AI系统；

(35) “生物分类系统”是指一种AI系统，用于根据生物特征数据将自然人分为特定类别，例如性别、年龄，头发颜色，眼睛颜色，纹身，族裔或性别或政治取向；

(36) “远程生物特征识别系统”是指一种AI系统，其目的是通过将人的生物特征数据与参考数据库中包含的生物特征数据进行比较来在远处识别自然人，而无需AI系统用户的事先了解该人将在场并且可以被识别;

(37) “实时”远程生物特征识别系统是指一种远程生物特征识别系统，在此过程中，生物特征数据的捕获，比较和识别均没有明显的延迟。这不仅包括即时识别，还包括有限的短暂延迟，以避免规避。

(38) “发布远程生物特征识别系统”是指除“实时”远程生物特征识别系统之外的远程生物特征识别系统；

(39) “公众可进入的空间”是指公众可进入的任何物理场所，无论是否适用某些进入条件；

(40) “执法机关”是指：

(a) 负责预防，调查，侦查或起诉刑事犯罪或执行刑事处罚（包括防止和预防对公共安全的威胁）的任何公共当局；或者

(b) 成员国法律授权的其他任何机构或实体，为了预防，调查，侦查或起诉刑事犯罪或执行刑事处罚（包括保护和防止对公众的威胁）而行使公共权威和权力；

(41) “执法”是指执法机构为预防，调查，侦查或起诉刑事犯罪或执行刑事处罚而开展的活动，包括防范和预防对公共安全的威胁；

(42) “国家监督机构”是指成员国将实施和实施本法规，协调委托给该成员国的活动，作为委员会的单一联系点并在欧洲人工智能委员会成员国代表成员国的职责分配给的机构；

(43) “国家主管机关”是指国家监管机关，通知机关和市场监督机关；

(44) “严重事件”是指直接或间接导致，可能导致或可能导致以下任何事件的任何事件：

(a) 人的死亡或对人的健康，财产或环境的严重损害，

(b) 对关键基础架构的管理和运营的严重且不可逆转的破坏。

第4条

对附件一的修正

委员会有权根据第73条采取授权行动，以修改附件一中所列的技术和方法清单，以便根据与该技术和方法类似的特征将该清单更新为市场和技术发展在其中列出。

第二编

禁止的人工智慧实践

第5条

1. 禁止以下人工智能实践：

(a) 在市场上投放、投入使用或使用AI系统，该AI系统以个人无法认知的方式部署潜意识教化技术，以某种方式严重扭曲一个人的行为，从而导致或可能导致该人或他人的身体或心理伤害;

(b) 投放市场、投入使用或使用AI系统，该系统利用特定人群的年龄、身体或精神残疾等特定人群的任何脆弱性，实质性地扭曲与该人群有关的行为，以导致或可能造成该人或他人的身体或心理伤害的方式；

(c) 公共机构或其代表在市场上投放、投入使用或使用人工智能系统，用以根据自然人的社会行为或已知或预测的个性特征或性格，在一定时期内对自然人的信誉进行评估或分类，且该社交评分则导致以下一项或两项：

(i) 在与原始数据生成或收集的场景无关的社会场景中，对某些自然人或整个群体的有害或不利待遇；

(ii) 对某些自然人或整个群体的社会行为或其严重不合理或不相称的有害或不利待遇；

(d) 出于执法目的在公共场所使用“实时”远程生物特征识别系统，除非出于以下目的之一使用且绝对必要时：

(i) 有针对性地寻找特定的潜在犯罪受害者，包括失踪儿童；

(ii) 预防对自然人的生命或人身安全或恐怖袭击的具体、实质性和迫在眉睫的威胁；

(iii) 侦测、定位、识别或起诉理事会第2002/584 / JHA62 号决议第2（2）条所述的犯罪行为的犯罪嫌疑人或嫌疑人，并在有关成员国以监禁刑罚或根据该成员国的法律确定的最长拘留期限，至少为三年。

2. 为了第1款d）项中提到的任何目标的执法目的，在公共场所使用“实时”远程生物特征识别系统时，应考虑以下因素：

(a) 导致可能使用的情况的性质，特别是在不使用该系统的情况下造成的损害的严重性，可能性和严重程度；

(b) 使用该系统对有关所有人的权利和自由产生的后果，特别是这些后果的严重性，可能性和严重性。此外，出于执法目的，在公共场所使用“实时”远程生物特征识别系统以实现第1款d）项中提到的任何目标的目的，应符合与之相关的必要且相称的保障措施和条件，尤其是在时间，地理和个人限制方面。

3. 关于第1款第（d）项和第2款，为在公共场所使用“实时”远程生物特征识别系统的执法目的而进行的个人使用，均应事先获得司法当局或政府的批准。根据合理的要求并根据第4段所述的国家法律的详细规则发布的，将在其中进行使用的成员国的独立行政当局。但是，在有充分理由的紧急情况下，使用可能未经授权而启动系统，并且仅在使用期间或使用之后才可以请求授权。

司法或行政主管部门应仅在基于其客观证据或明确指示而感到满意的情况下，授予使用有争议的“实时”远程生物特征识别系统的必要性并与之成比例地授予该授权。请求中确定的第1款（d）项中指定的目标之一。在决定请求时，主管司法或行政当局应考虑到第2款所指的内容。

4. 为保持灵活性，成员国可以决定以完全或部分授权在公共场所使用“实时”远程生物特征识别系统，在第1段（d）点，第2和第3段中列出的限制范围内执法。该成员国应在其本国法律中制定必要的详细规则，以请求、签发和行使与上述许可有关的授权，并对其进行监督第3款。这些规则还应具体说明第1款第（d）项中列出的目标，包括第（iii）项中提到的哪些刑事犯罪，主管当局可以被授权使用这些系统出于执法目的。

第三编

高风险AI系统

第1章

将AI系统归类为高风险

第6条

高风险AI系统的分类规则

1. 无论AI系统是独立于（a）和（b）点提到的产品投放市场还是投入服务，都应同时满足以下两个条件的AI系统视为高风险：

(a) AI系统旨在用作附件II中所列的欧盟协调法规所涵盖的产品或本身就是产品的安全组件；

(b) 安全组件为AI系统的产品或AI系统本身为产品的产品，必须经过第三方合格评定，以根据欧盟统一标准将该产品投放市场或投入使用附件二中列出的立法。

2. 除第1款所指的高风险AI系统外，附件三所指的AI系统也应视为高风险。

第7条

对附件三的修正

1. 委员会有权根据第七十三条采取授权行动，通过增加满足以下两个条件的高风险人工智能系统来更新附件三中的清单：

(a) 人工智能系统旨在用于附件三第1至第8点所列的任何领域；

(b) AI系统存在危害健康和安全的风险，或对基本权利造成不利影响的风险，即就其严重性和发生的可能性而言，等于或大于由附件三中已经提到的高风险AI系统所构成的危害或不利影响风险。

2. 为第1款的目的，评估人工智能系统是否会对健康和安全造成危害的风险或对基本权利的不利影响的风险等于或大于委员会已经在附件三中提及高风险人工智能系统所造成的风险时，应考虑以下标准：

(a) 人工智能系统的预期目的；

(b) AI系统已被使用或可能被使用的程度；

(c) 如报告所表明，使用人工智能系统已在多大程度上对健康和安全造成损害或对基本权利的不利影响，或已引起与这种损害或不利影响的实现有关的重大关切，提交给国家主管部门的书面指控；

(d) 这种损害或不利影响的潜在程度，特别是在其强度和影响多个人的能力方面；

(e) 可能受到伤害或受到不利影响的人的程度取决于人工智能系统产生的结果，特别是因为出于实际或法律原因，不可能合理地选择退出该结果；

(f) 相对于AI系统的用户而言，潜在受到伤害或受到不利影响的人员处于脆弱状态的程度，尤其是由于权力，知识，经济或社会环境或年龄的不平衡所致；

(g) 人工智能系统产生的结果易于逆转的程度，因此对人的健康或安全有影响的结果不应被视为容易逆转；

(h) 欧盟现有法规在多大程度上规定：(i) 针对人工智能系统带来的风险的有效补救措施，但不包括损害赔偿要求；(ii)采取有效措施来预防或大幅度降低这些风险。

第2章

高风险AI系统的要求

第8条

符合要求

1. 高风险的AI系统应符合本章规定的要求。

2. 确保遵守这些要求时，应考虑到第9条中提到的高风险AI系统和风险管理系统的预期目的。

第9条

风险管理系统

1. 应建立、实施、记录和维护与高风险AI系统有关的风险管理系统。

2. 风险管理系统应包括在高风险AI系统的整个生命周期中运行的连续迭代过程，需要定期进行系统更新。它应包括以下步骤：

(a) 识别和分析与每个高风险AI系统相关的已知和可预见的风险；

(b) 评估和评估高风险AI系统按照其预期目的并在合理可预见的滥用条件下使用时可能出现的风险；

(c) 根据对第61条所述的上市后监测系统收集的数据的分析，对其他可能产生的风险进行评估；

(d) 根据以下各段的规定，采取适当的风险管理措施。

3. 第2款（d）项中提到的风险管理措施应适当考虑合并应用本第2章中规定的要求所产生的影响和可能的相互作用。这些措施应考虑到公认的风险状态和条款，包括相关的协调标准或通用规范中反映的内容。

4. 第2款（d）点所指的风险管理措施应使得与每种危害相关的任何剩余风险以及高风险AI系统的总体剩余风险均被判定为可接受，但前提是高风险AI系统是根据其预期目的或在合理可预见的误用条件下使用的。这些剩余风险应传达给用户。

在确定最适当的风险管理措施时，应确保以下内容：

(a) 通过充足的设计和开发，尽可能消除或降低风险；

(b) 在适当的情况下，针对无法消除的风险，采取适当的缓解和控制措施；

(c) 根据第13条提供足够的信息，尤其是有关本条第2款（b）项中提到的风险的信息，并在适当情况下对用户进行培训。在消除或减少与使用高风险AI系统相关的风险时，应适当考虑用户的技术知识，经验，教育，培训以及打算使用该系统的环境。

5. 为了确定最适当的风险管理措施，应对高风险的AI系统进行测试。测试应确保高风险的AI系统按预期目的一致运行，并且符合本章规定的要求。

6. 测试程序应适合于实现AI系统的预期目的，并且不需要超出实现该目的所必需的范围。

7. 高风险AI系统的测试应在整个开发过程中的任何时候适当地进行，并且无论如何要在投放市场或投入使用之前进行。应针对适合高风险AI系统预期目的的预先定义的度量标准和概率阈值进行测试。

8. 在实施第1至第7段所述的风险管理系统时，应特别考虑高风险的AI系统是否可能被儿童使用或对其产生影响。

9. 对于受指令2013/36 / EU监管的信贷机构，第1至第8段中所述的方面应是这些机构根据该指令第74条建立的风险管理程序的一部分。

第10条

数据与数据治理

1. 利用涉及对数据进行模型训练的技术的高风险AI系统，应在满足第2至5段所述质量标准的训练，验证和测试数据集的基础上开发。

2. 培训、验证和测试数据集应遵守适当的数据治理和管理规范。这些实践应特别关注：

(a) 有关的设计选择；

(b) 数据采集;

(c) 相关的数据准备处理操作，例如注释，标记、清洗、充实和汇总；

(d) 制定有关假设，特别是有关数据应衡量和代表的信息的假设；

(e) 事先评估所需数据集的可用性、数量和适用性；

(f) 鉴于可能存在的偏见进行检查；

(g) 确定任何可能的数据空白或不足，以及如何解决这些空白和不足。

3. 培训、验证和测试数据集应是相关的、有代表性的、没有错误且完整的。它们应具有适当的统计属性，包括（如果适用）与打算使用高风险AI系统的人员或人群有关的属性。可以在单个数据集或其组合的级别上满足数据集的这些特性。

4. 培训、验证和测试数据集应在预期目的要求的范围内考虑到打算使用高风险AI系统的特定地理、行为或功能设置所特有的特征或要素。

5. 在一定程度上，出于确保与高风险AI系统相关的偏差监视、检测和更正的目的，此类系统的提供者可以处理第9条第1款所指的特殊类别的个人数据法规（EU）2016/679，指令（EU）2016/680的第10条和法规（EU）2018/1725的第10（1）条。但是，当匿名化可能会极大地影响所追求的目的时，要对自然人的基本权利和自由采取适当的保障措施，包括技术限制重用和使用最新的安全性和隐私保护措施，例如假名或加密。

6. 适当的数据治理和管理实践应适用于高风险AI系统的开发，而不是使用那些涉及模型训练的技术的系统，以确保这些高风险AI系统符合第2款的规定。

第11条

技术文件

1. 高风险AI系统的技术文档应在该系统投放市场或投入使用之前起草，并应保持最新状态。技术文件的编制应证明高风险AI系统符合本章规定的要求，并向国家主管部门和指定机构提供所有必要信息，以评估AI系统的合规性满足这些要求。技术文件至少应包含附件四中列出的要素。

2. 如果与产品相关的高风险AI系统（适用附件II A节中列出的法律行为）投放市场或投入使用，则应草拟一份单独的技术文件，其中应包含本文档中列出的所有信息。附件四以及这些法律法案所要求的信息。

3. 委员会有权根据第73条采取授权行动，在必要时对附件四进行修订，以确保根据技术进步，技术文件提供所有必要的信息，以评估系统是否符合这一章中规定的要求。

第12条

记录保存

1. 高风险AI系统的设计和开发应具有能够在高风险AI系统运行时自动记录事件（“日志”）的功能。这些记录功能应符合公认的标准或通用规范。

2. 记录功能应确保AI系统在其整个生命周期中的功能可追溯性水平，该水平应适合于系统的预期目的。

3. 特别是日志记录功能应能够针对可能导致AI系统呈现第65条第1款所指的风险或导致实质性损失的情况的发生进行监视，并且修改并促进第61条所指的上市后监管。

4. 对于附件三第1段（a）点所指的高风险AI系统，日志记录功能至少应提供：

(a) 记录系统每次使用的时间（每次使用的开始日期和时间以及结束日期和时间）；

(b) 系统已针对其检查输入数据的参考数据库；

(c) 搜索导致匹配的输入数据；

(d）根据第14条第5款的规定，确定参与结果验证的自然人的身份。

第13条

透明度和向用户提供信息

1. 高风险AI系统的设计和开发方式应确保其操作足够透明，以使用户能够理解系统的输出并适当地使用它。为了确保遵守本标题第3章中规定的用户和提供者的相关义务，应确保适当的类型和程度的透明性。

2. 高风险的AI系统应随附以适当的数字格式或以其他方式使用的说明，其中包括与用户相关，可访问和可理解的简明、完整、正确和清晰的信息。

3. 第2款所指的信息应具体说明：

(a) 提供者及其授权代表（如适用）的身份和联系方式；

(b) 高风险AI系统的性能特征、功能和局限性，包括：

(i) 其预期目的；

(ii) 高风险AI系统已针对之进行测试和验证且可以预期的第15条中提到的准确性、鲁棒性和网络安全级别，以及可能对该预期精度水平产生影响的任何已知和可预见的情况，健壮性和网络安全性；

(iii) 与按照预期目的或在合理可预见的滥用条件下使用高风险AI系统有关的任何已知或可预见情况，可能会导致健康，安全或基本权利的风险;

(iv) 关于拟使用该系统的个人或人群的性能；

(v) 在适当的情况下，考虑到AI系统的预期目的，在使用的训练，验证和测试数据集方面确定输入数据的规范或任何其他相关信息。

(c) 提供者在初次合格评定时已预先确定的高风险AI系统及其性能的更改；

(d) 第14条所述的人为监督措施，包括为方便用户解释AI系统的输出而采取的技术措施；

(e) 高风险AI系统的预期寿命以及确保该AI系统正常运行（包括软件更新）的任何必要维护和保养措施。

第14条

人为监督

1. 高风险的AI系统的设计和开发，包括使用适当的人机界面工具，应使其在使用AI系统期间可以由自然人有效地进行监督。

2. 人为监督的目的应是，防止或最大程度地降低高风险人工智能系统在其设计意图或在合理可预见的误用条件下可能产生的健康、安全或基本权利风险，尤其是当存在此类风险时，尽管此时本章规定的其他要求依然适用。

3. 应通过以下一项或全部措施确保人为监督：

(a) 在技术可行的情况下，识别并在提供商将其投放市场或投入使用之前，将其内置到高风险的AI系统中；

(b) 由提供商确定，然后再将高风险的AI系统投放市场或投入使用，并且应该由用户实施。

4. 第3款所指的措施应使被指派进行人工监督的人员能够根据情况进行以下操作：

(a) 充分了解高风险AI系统的功能和局限性，并能够对其运行进行适当监控，以便尽快发现并解决反常，功能异常和意外性能的迹象；

(b) 意识到自动依赖或过度依赖高风险AI系统产生的输出的可能趋势（“自动化偏差”），特别是对用于为自然人决策提供信息或建议的高风险AI系统而言；

(c) 能够特别考虑系统的特征以及可用的解释工具和方法来正确解释高风险AI系统的输出；

(d) 能够在任何特定情况下决定不使用高风险AI系统或以其他方式无视，手动控制或逆转高风险AI系统的输出；

(e) 能够干预高风险AI系统的运行或通过“停止”按钮或类似程序来中断系统。

5. 对于附件三第1点（a）所指的高风险AI系统，第3款所指的措施应确保，在此之外，用户不根据系统产生的身份验证采取任何行动或决定，除非至少有两个自然人对此系统进行了验证和确认。

第15条

准确性、鲁棒性和网络安全性

1. 高风险AI系统的设计和开发方式应使其能够根据其预期目的达到适当的准确性、鲁棒性和网络安全性，并在其整个生命周期内在这些方面保持一致。

2. 高风险AI系统的准确性等级和相关准确性度量应在随附的使用说明中声明。

3. 高风险的AI系统应具有复原性，可以应对系统或系统运行所处的环境内可能发生的错误，故障或不一致，特别是由于其与自然人或其他系统的相互作用所致。高风险AI系统的鲁棒性可以通过技术冗余解决方案来实现，其中可能包括备份或故障安全计划。在投入市场或投入使用后仍会继续学习的高风险AI系统的开发方式，应确保适当处理用作未来操作输入的输出而产生的可能有偏差的输出（“反馈循环”）并且采取适当的缓解措施。

4. 对于未经授权的第三方通过利用系统漏洞来更改其使用或性能的尝试，高风险AI系统应具有复原性。旨在确保高风险AI系统的网络安全的技术解决方案应适合于相关情况和风险。解决AI特定漏洞的技术解决方案应在适当情况下包括预防和控制试图操纵训练数据集的攻击（“数据中毒”）的措施，旨在导致模型出错的输入（“对抗性示例”）或模型缺陷。

第3章

高风险AI系统和其他方的供应商和用户的义务

第16条

高风险AI系统提供商的义务

高风险AI系统的供应商应：

(a) 确保其高风险AI系统符合本标题第2章中规定的要求；

(b) 拥有符合第17条的质量管理体系；

(c) 编制高风险AI系统的技术文档；

(d) 在他们的控制下，保留由其高风险AI系统自动生成的日志；

(e) 确保高风险的AI系统在投放市场或投入使用之前经过相关的合格评定程序；

(f) 遵守第51条所述的注册义务；

(g) 如果高风险AI系统不符合本标题第2章规定的要求，则采取必要的纠正措施；

(h) 将不遵守情况和采取的任何纠正措施告知提供或启用人工智能系统的成员国的国家主管当局，并在适用的情况下通知指定机构;

(i) 根据其第49条，在其高风险AI系统上贴上CE标志，以表明其符合本法规的规定；

(j) 应国家主管部门的要求，证明高风险AI系统符合本标题第2章中规定的要求。

第17条

质量管理体系

1. 高风险AI系统的供应商应建立质量管理体系，以确保遵守本法规。该系统应以书面政策，程序和说明的形式系统地，有条理地形成文件，并且至少应包括以下几个方面：

(a) 监管合规性策略，包括合规性评估程序和高风险AI系统修改管理程序；

(b) 用于高风险AI系统的设计，设计控制和设计验证的技术，程序和系统动作；

(c) 用于高风险AI系统的开发，质量控制和质量保证的技术，程序和系统动作；

(d) 在开发高风险AI系统之前，之中和之后要进行的检查，测试和确认程序，以及执行这些程序的频率；

(e) 要应用的技术规范，包括标准，以及在未完全应用相关的统一标准的情况下，用于确保高风险AI系统符合本标题第2章中规定的要求的方法；

(f) 数据管理的系统和程序，包括数据收集、数据分析、数据标记、数据存储、数据过滤、数据挖掘、数据聚合、数据保留以及与放置之前和出于放置目的执行的任何其他有关数据的操作高风险AI系统的市场投放或投入使用；

(g) 第9条所指的风险管理系统；

(h) 根据第61条建立，实施和维护售后监测系统；

(i) 依照第62条报告严重事件和故障的程序；

(j) 处理与国家主管当局，主管部门（包括部门主管部门）的通信，以提供或支持对数据，指定机构，其他运营商，客户或其他有关方面的访问；

(k) 记录所有相关文件和信息的系统和程序；

(l) 资源管理，包括与供应有关的措施的安全性；(m) 一个问责制框架，其中规定了管理层和其他员工在本段中列出的各个方面的责任。

2. 第1款提及的方面的实施应与供应商组织的规模成正比。

3. 对于是受指令2013/36/EU监管的信贷机构的供应商，应通过遵守根据该指令第74条制定的内部治理安排，流程和机制的规则，视为已履行建立质量管理体系的义务。在这种情况下，应考虑本规章第40条提及的任何统一标准。

第18条

起草技术文件的义务

1. 高风险AI系统的供应商应按照附件IV的规定起草第11条中提到的技术文档。

2. 作为受指令2013/36/EU监管的信贷机构的供应商，应根据该指令第74条的规定，维护技术文件，作为有关内部治理，安排，流程和机制的文件的一部分。

第19条

合格评定

1. 高风险AI系统的供应商应确保其系统在投放市场或投入使用之前，已按照第43条进行了相关的合格评定程序。如果在进行合格性评估后证明AI系统符合本标题第2章中规定的要求，则供应商应根据第48条起草欧盟合格声明，并在合格性标志上粘贴CE合格标志。与第49条相同。

2. 对于投放市场或由指令2013/36/EU监管的信贷机构的供应商投入服务的附件III第5（b）点所指的高风险AI系统，应按照以下规定进行合格性评估：该指令第97至101条中提及的程序的一部分。

第20条

自动生成的日志

1. 高风险AI系统的供应商应保留其高风险AI系统自动生成的日志，只要这些日志受与用户之间的合同安排或法律的约束而受其控制。根据高风险AI系统的预期目的以及欧盟或国家法律规定的适用法律义务，应将日志保存适当的时间。

2. 作为受指令2013/36/EU监管的信贷机构的供应商，应保留其高风险AI系统自动生成的日志，作为该指令第74条下文件的一部分。

第21条

纠正措施

高风险AI系统的供应商认为或有理由认为已投放市场或投入使用的高风险AI系统不符合本法规的规定，应确保采取必要的纠正措施使该系统符合要求，在必要的时候撤回或召回该系统。在系统存在风险的情况下，分销商应将此情况告知供应商或进口商（如适用）。

第22条

信息义务

如果高风险AI系统存在第65条第（1）款所指的风险，并且该风险已被系统供应商知晓，则该供应商应立即通知建立该系统的成员国的国家主管部门，以及在适用的情况下，通知为高风险AI系统颁发证书的指定机构，尤其是有关违规行为和采取的任何纠正措施的证书。

第23条

与主管部门的合作

高风险AI系统的供应商应应国家主管部门的要求，向该机构提供证明高风险AI系统符合本标题第2章所规定要求的所有必要信息和文件，并且使用有关成员国确定的官方正式语言。根据国家主管部门的合理要求，供应商还应允许该部门访问由高风险AI系统自动生成的日志，但前提是此类日志受与用户或其他方面的合同安排或根据法律在他们的控制范围内。

第24条

产品制造商的义务

凡与附件二a节所列法律行为适用的产品相关的高风险AI系统，以产品制造商的名义与根据该法律行为生产的产品一起投放市场或投入使用时，产品制造商应对AI系统符合本条例的规定承担责任，并就AI系统而言，负与本条例下供应商所负义务相同的义务。

第25条

授权代表

1. 无法识别进口商的情况下，在将其系统投放到欧盟市场之前，欧盟以外的供应商应通过书面授权，任命在欧盟内设立的授权代表。

2. 授权代表应执行从供应商那里收到的授权命令中规定的任务。授权命令应授权受权代表执行以下任务：

(a) 保留一份欧盟合格声明和技术文件的副本，供国家主管当局和第63(7)条所指的国家主管当局使用；

(b) 应合理要求，向国家主管当局提供所有必要的信息和文件，以证明高风险AI系统符合本标题第2章的要求，包括查阅由高风险AI系统自动生成的日志，只要这些日志由供应商根据与用户的合同安排或其他法律所控制；

(c) 在合理要求下，与国家主管当局合作，针对后者对高风险AI系统采取的任何行动。

第26条

进口商的义务

1. 在将高风险的AI系统投放市场之前，该系统的进口商应确保：

(a) 该AI系统的提供者已经执行了适当的合格评定程序；

(b) 供应商已根据附件四起草了技术文件；

(c) 该系统带有要求的合格标记，并随附要求的文件和使用说明。

2. 进口商认为或有理由认为高风险AI系统不符合本条例的情况，进口商不得不得将其投放市场直到AI系统符合规定。如果高风险AI系统存在第65条第（1）款所指的风险，进口商应将此情况通知AI系统的提供者和市场监督机构。

3. 进口商应在高风险AI系统上注明其名称、注册商品名称或注册商标，以及可以联系到他们的地址，如不可能，则在其包装或随附文件上注明。

4. 进口商应确保，当高风险AI系统由其负责，在适用的情况下，储存或运输条件不会危及其符合本标题第二章规定的要求。

5. 应合理要求，进口商应向国家主管当局提供所有必要的信息和文件，以证明高风险AI系统符合本标题第2章规定的要求，所用语言应为国家主管当局易于理解，包括查阅由高风险AI系统自动生成的日志，只要这些日志在提供商根据与用户的合同安排或其他法律的控制下。进口商还应就国家主管当局就该系统采取的任何行动与当局合作。

第27条

经销商的义务

1. 在高风险AI系统上市之前，经销商应验证高风险AI系统具有要求的CE符合性标志，并附有所需的文件和使用说明，以及系统的供应商和进口商(如适用)，是否遵守本规例所订明的义务。

2. 经销商认为或有理由认为一个高风险AI系统不符合本标题下第二章的要求,其不得让高风险的AI系统在市场上可用,直到系统已经符合这些要求。此外，如果系统在第65(1)条的含义范围内存在风险，则经销商应将该系统的相关信息告知供应商或进口商。

3. 经销商应确保，若其负责高风险AI系统，在适用情况下，存储或运输条件不会危及该系统与本标题第2章规定的要求的符合性。

4. 经销商认为或有理由认为一个已在市场适用的高风险AI系统，不符合本标题第二章项下的要求，应当采取必要的纠正措施使系统符合这些要求，撤回或召回，或应确保供应商、进口商或任何相关经营者酌情采取纠正措施。当高风险的AI系统展现出了一种规定在第65条(1)中的风险,经销商应立即通知使产品生效成员国的国家主管当局，提供细节，特别是不合规处及任何纠正措施。

5. 根据国家主管部门的合理要求，高风险AI系统的发行人应向该机构提供证明高风险系统符合本标题第2章所要求的所有必要信息和文件。经销商还应还应就国家主管当局就该系统采取的任何行动与当局合作。

第28条

经销商、进口商、用户或任何其他第三方的义务

1. 就本条例而言，任何经销商，进口商，用户或其他第三方均应被视为提供者，并应在下列任何一种情况下，遵守第16条规定的提供者的义务：

(a) 他们以其名称或商标将高风险AI系统投放市场或投入使用；

(b) 他们修改了已经投放市场或投入使用的高风险AI系统的预期目的；

(c) 他们对高风险的AI系统进行了实质性的修改。

2. 如果发生第1款第（b）或（c）项所述情况，最初将高风险AI系统投放市场或投入使用的提供者，出于本条例的目的不再被视为提供者。

第29条
高风险AI系统用户的义务

1. 高风险AI系统的用户应根据系统附带的使用说明（根据第2和第5款）使用此类系统。

2. 第1款中的义务不影响欧盟或国家法律规定的其他用户义务，也不影响用户自行组织其资源和活动以实施提供者指示的人为监督措施的自由裁量权。

3. 不影响第1款的前提下，在用户对输入数据进行控制的范围内，该用户应确保输入数据是与高风险AI系统的预期目的相关的。

4. 用户应根据使用说明监视高风险AI系统的运行。当他们有理由认为按照使用说明进行使用可能导致AI系统存在第65条第（1）款所指的风险时，他们应通知提供商或经销商并中止使用该系统。当用户发现任何严重事件或第六十二条所指的任何故障并中断AI系统的使用时，他们也应通知提供商或经销商。如果用户无法联系提供者，则应比照适用第62条。对于受指令2013/36/EU规范的信贷机构的用户，根据该指令第74条的规定，通过遵守内部治理安排、流程和机制的规则，第一款规定的监督义务应被视为已履行。

5. 高风险AI系统的用户应保留该高风险AI系统自动生成的日志，只要这些日志受其控制。根据高风险AI系统的预期目的以及欧盟或国家法律规定的适用法律义务，应将日志保存适当的时间。作为受指令2013/36 / EU监管的信贷机构的用户，应根据该指令第74条的规定保存日志，作为有关内部治理安排，流程和机制的文件的一部分。

6. 高风险AI系统的用户，在适用的情况下，应使用第13条提供的信息来履行其根据条例（EU）2016/679第35条或指令（EU）2016/680第27条进行数据保护影响评估的义务。

第4章

通知当局和受通知机构

第30条

通知当局

1. 每个成员国均应指定或建立通知当局，负责建立和执行必要的程序，以进行合格性评估机构的评估，指定和通知以及对其进行监督。

2. 成员国可以指定（EC）765/2008号条例所指的国家认可机构为通知当局。

3. 通知当局的建立，组织和运行应与合格评定机构不发生利益冲突，并应确保其活动的客观性和公正性。

4. 通知当局的组织方式应使与合格评定机构通知有关的决定由不同于对这些机构进行评定的主管人员作出。

5. 通报机构不得提供合格评定机构从事的任何活动或任何商业或竞争性的咨询服务。

6. 通知机构应保护所获得信息的机密性。

7. 通知当局应配备足够的工作人员，以适当地执行其任务。

8. 通报当局应确保以相称的方式进行合格评定，避免给供应商造成不必要的负担，并确保受通知机构在开展活动时适当考虑企业规模、业务所在的行业、其结构和AI系统的复杂程度。

第31条

合格评定机构通知申请

1. 合格评定机构应向其成立的成员国的通知机构提交通知申请。

2. 通知申请应附有合格评定机构声称具有能力的合格评定活动、合格评定模块和AI技术的说明，以及由国家认可机构发出的、证明合格评定机构符合第33条规定的要求的合格评定证书(如有)。应增加与任何其他欧盟统一法规所规定的申请人指定机构的现有指定有关的有效文件。

3. 如果合规评定机构不能提供认可证书，则应向通知当局提供必要的书面证据，以验证，确认和定期监测其是否符合第33条的要求。对于任何根据其他协调法规欧盟指定的指定机构，与该指定相关的所有文件证书均可酌情用于支持其在本法规下的指定程序。

第32条

通知程序

1. 通知当局只能通知已满足第33条规定的合规评定机构。

2. 通知当局应使用委员会开发、管理的电子通讯工具通知委员会和其他成员国。

3. 该通知应包括合规评定活动，合规评定模块与有关人工智能技术的完整详细信息。

4. 只有在委员会或其他成员国通知后的一个月内未提出异议的情况下，有关合规评定机构才能执行指定机构的活动。

5. 通知当局应将通知的任何后续相关变更通知给委员会和其他成员国。

第33条

指定机构

1. 指定机构应按照第43条规定的合规评定程序对高风险AI系统的合规性进行验证。

2. 指定机构应满足完成其任务所必需的组织，质量管理，资源和程序要求。

3. 指定机构的组织结构，职责分配，报告机构和运作应确保对其实施的合规评定活动的绩效和结果充满信心。

4. 指定机构应独立于进行合规评估活动的高风险AI系统的提供者、与该系统具有经济利益的任何其他运营商，以及提供者的任何竞争对手。

5. 指定机构的组织和运作应保证其活动的独立性，客观性和公正性。指定机构应形成文件并执行结构和程序，以保证公正性，并在其整个组织，人员和评估活动中促进和应用公正性原则。

6. 指定机构应有成文的程序，以确保其人员，委员会，子公司，分包商和任何相关机构或外部机构的人员对进行合规评定活动时知悉的信息保密，但法律要求披露的除外。指定机构的工作人员必须对依据本规章执行任务时所获得的所有信息专业保密，但与成员国的通知当局进行其活动有关的除外。

7. 指定机构应制定执行活动的程序，并适当考虑到企业的规模，其经营的部门，结构，所涉AI系统的复杂程度。

8. 指定机构应为其合规评定活动购买适当的责任保险，但是依据国内法应由有关成员国承担责任或者成员国直接对合规评定负责的除外。

9. 指定机构应能够以最高的职业操守和特定领域的必要能力来执行本法规规定的应由其实施的所有任务，无论这些任务是由指定机构本身执行，还是由其代表或在其责任下执行。

10. 指定机构应具有足够的能力，以便能够有效地评估外部机构代表其执行的任务。为此，对于任何合规评定程序以及与之相关的每种类型的高风险AI系统，指定机构应始终有足够的行政、技术和科学人员，他们应该具有相关AI技术、数据和数据计算、本法规第二章规定的条件相关的经验和知识。

11. 指定机构应参加第38条所述的协调活动。它们还应直接或被代表参加欧洲标准化组织，或确保它们了解相关标准的最新动态。

12. 指定机构应提供所有相关文件，并应要求将所有相关文件（包括提供者的文件）提交给第30条规定的通知机构，以使其能够进行评估，指定，通知，监督活动，并促进本章概述的评估。

第34条

指定机构的附属机构和分包机构

1. 指定机构分包与合规评定有关的特定任务或求助于附属机构时，应确保附属机构或分包机构符合第33条规定的要求，并相应地告知通知机构。

2. 无论建立在何处，指定机构均应对附属机构或分包机构执行的任务承担全部责任。

3. 仅在提供者同意的情况下，任务可以分包或由附属机构进行。

4. 指定机构应将有关附属机构或分包机构的资格评估及其根据本规章开展工作的有关文件交由通知机构处理。

第35条

本法规指定的指定机构的标识号和清单

1. 委员会应为指定机构分配一个标识号。即使在根据若干欧盟法案通知了机构的情况下，也应分配一个号码。

2. 委员会应公开提供根据本规章通知的机构的清单，包括已分配给它们的标识号和已通知的活动。委员会应保持更新该清单。

第36条

通知变更

1. 通知机构怀疑或被告知指定机构不再符合第33条规定的要求，或未能履行其义务时，应立即尽最大努力调查此事。在这种情况下，它应将提出的反对意见通知有关的指定机构，并使其有机会发表意见。如果通知当局得出结论，指定机构的调查不再满足第33条的要求或未能履行其义务，则应视情况的严重性，酌情限制，中止或撤回通知。它还应立即通知委员会和其他成员国。

2. 在限制，中止或撤回通知时，或在指定机构停止其活动的情况下，通知当局应采取适当措施，以确保该指定机构的档案被另一指定机构接管或应负责的通知当局请求供他们使用。

第37条

对指定机构能力的挑战

1. 在必要时，委员会应对有理由怀疑指定机构是否符合第33条规定条件的案子，进行调查。

2. 应请求，通知机构应向委员会提供与有关指定机构的通知相关的所有信息。

3. 委员会应确保对根据本条进行调查期间获得的所有机密信息进行保密。

4. 如果委员会确定指定机构不符合或不再符合第33条的要求，则应通过合理的决定，要求通知成员国采取必要的纠正措施，包括在必要时撤回通知。该实施法案应根据第74条第2款所述的审查程序通过。

第38条

指定机构的协调

1. 委员会应确保就本法规所涵盖的领域，按照本法规开展AI系统合规评定程序的活跃的指定机构之间进行适当的协调与合作，并以指定机构部门小组的形式进行适当的运作。

2. 成员国应确保其指定机构直接或通过指定代表参加该小组的工作。

第39条

第三国合规评定机构

根据与欧盟达成协议的第三国法律建立的合规评定机构，可以被授权从事根据本法规进行的指定机构的活动。

来源：数字经济与社会

链接：https://mp.weixin.qq.com/s/7Twi98_h_7D-5Ajd3COkkw

编辑：王奕

刘海明 · 发表于 2021-6-17 18:00:44

【案例】

死者微信的个人信息拟由近亲属处理

个人信息保护法草案　二审稿

提供基础性互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务：成立主要由外部成员组成的独立机构，对个人信息处理活动进行监督；对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务；定期发布个人信息保护社会责任报告，接受社会监督。

自然人死亡的，个人在个人信息处理活动中的权利由其近亲属行使。

4月26日，个人信息保护法草案二审稿(下称“草案二审稿”)提请十三届全国人大常委会第二十八次会议审议。

草案二审稿拟强化对超大互联网平台的个人信息保护义务，引入由外部成员组成的独立机构对个人信息活动进行监督。

专家表示，此举可让企业切实地负起保护个人信息的责任，并确保企业处理个人信息的透明性。

设独立机构监督超大平台处理个人信息

目前，互联网服务已深入人们的日常生活，涉及餐饮、购物、出行、理财等等。这些服务平台在为海量用户提供便捷服务的同时，也收集、存储了大量的个人信息，给个人信息安全带来诸多隐患。

草案二审稿规定，提供基础性互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务：成立主要由外部成员组成的独立机构，对个人信息处理活动进行监督；对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务；定期发布个人信息保护社会责任报告，接受社会监督。

对外经济贸易大学数字经济与法律创新研究中心执行主任许可介绍，“外部成员”可类比上市公司的独立监事、外部董事等“和公司无关的人”；“基础性服务”则可能在欧盟定义的基础网络服务上，把社交等类别的网络服务平台纳入进来。

中国信息安全研究院副院长左晓栋强调，独立机构的人员和个人信息处理者不能有隶属关系，独立机构不对个人信息处理者负责。

平台不能证明自己无过错应担侵权责任

当个人信息权益被侵犯时，如何维权一直是公众关注的焦点和难点。对于被侵害个人信息权益的个人而言，维权成本高且举证责任大。

草案二审稿修改为，个人信息权益因个人信息处理活动受到侵害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。

天达共和律师事务所合伙人、数据合规团队负责人申晓雨告诉南都记者，草案二审稿的此条改动减轻了个人的举证责任，更有利于个人维权。举证责任倒置可能会“倒逼”企业去做更细致的合规工作，比如合规工作本身的证明记录等。

“这是从现实情况出发作出的规定，因为用户处于弱势一方。”左晓栋强调，此举体现了草案二审稿“加大企业责任”的立法价值取向。同时，如果事后个人信息泄露的责任进一步澄清了，个人信息处理者还可以主张自己的权益，找真正的泄露者索赔。

建议让用户可以在生前安排个人信息

值得注意的是，此次草稿二审稿新增要求：自然人死亡的，个人在个人信息处理活动中的权利由其近亲属行使。

如果一个人去世了，亲属想通知死者的微信好友，此时就需要掌握死者的微信号。“类似的情况越来越多”，左晓栋表示，草案二审稿增加的这条规定充分体现了人文关怀。

在申晓雨看来，这条新增规定具有进步意义。“如果死者希望个人信息处理者删除其个人信息、账号，或者匿名化，除非涉及国家社会安全等例外情形，我觉得应该尊重他的个人选择，这跟遗嘱是相似的。”她说。

对此，她建议个人信息处理平台设置相关功能，让用户可以在生前对死后的个人信息进行处理安排。

来源：南方都市报

链接：https://www.sohu.com/a/463409397_161795?g=0&spm=smpc.news-home.pol-news.4.1619570089008o0Q3P4u&_f=index_chan08polnews_3

编辑：王奕

刘海明 · 发表于 2021-6-18 22:26:36

【案例】

淘客大牛利用“爬虫”非法获取近12亿公民个人信息，

被判有期徒刑三年多！附判决书原文

近期，在淘客圈中沸沸扬扬传了好久的一则消息，某淘客大牛利用“爬虫”技术非法获取某头部电商平台近12亿用户个人信息的刑事案件，终被实锤，受害者为淘宝（中国）软件有限公司。

萌蛋接下来将结合判决书内容，揭秘该起目前公开查询到的最大量级侵犯公民个人信息罪的案件细节，对圈内人咨询较多的4个问题，作简要解答。后附判决原文

基本案情简介与法院认定

基本案情简介：

被告人逯某因涉嫌非法获取计算机信息系统数据、非法控制计算机信息系统罪，被告人黎某因涉嫌侵犯公民个人信息罪，两被告分别被商丘市公安局新城分局刑事拘留，均于2020年9月22日被逮捕。商丘市睢阳区人民检察院指控被告人逯某、黎某涉嫌侵犯公民个人信息罪，于2021年1月14日向河南省商丘市睢阳区人民法院提起公诉。被告人黎某成立浏阳市泰创网络科技有限公司，从事淘宝客推广业务。被告人逯某受雇于该淘客公司技术人员，其利用自行开发的“爬虫”软件“淘评评”，通过淘宝网页接口爬取淘宝用户的数字ID、昵称、手机号码等个人信息共计1180738048条，2019年8月-2020年7月非法获利39余万元。逯某在爬取数据后将手机号码发送黎某，由黎某用微信机器人加为好友并拉入微信群中，组建千余个微信社群进行“淘宝联盟”优惠券推广分发，并获得返利佣金30余万。

法院判决认定：

经法院审理，认定被告人逯某受雇于被告人黎某，二人违反国家规定，非法获取公民个人信息，情节特别严重，均构成侵犯公民个人信息罪，且系共同犯罪，被告人逯某、黎某有坦白情节，且认罪认罚，对其均可从轻处罚，判决被告人黎某犯侵犯公民个人信息罪，判处有期徒刑三年六个月，并处罚金人民币35万元；被告人逯某犯侵犯公民个人信息罪，判处有期徒刑三年三个月，并处罚金10万元。被告人黎某、逯某违法所得依法上缴国库。

Q:

未获利，或者未泄露，不构成侵犯公民个人信息罪？

“侵犯公民个人信息罪”并不以是否非法获利，或者是否造成公民个人信息泄漏为犯罪构成要件。对信息数量、违法所得数额标准，以及信息用途引发的严重后果，主要是用于认定是否构成“情节特别严重”的标准。

行为人一旦违反相关法律规定，向他人出售或提供公民个人信息，非法窃取公民个人信息，或者以其他方法非法获取，包括通过互换、交换、共享、购买、收受等方式，或者在履职、提供服务过程中收集个人信息的方式，则可能涉嫌构成侵犯公民个人信息罪。

如果网络服务提供者拒不履行网络安全义务，导致个人信息泄露的，则可能构成拒不履行信息网络安全管理义务罪。

相关法律依据：

《刑法》第二百八十五条“非法获取计算机信息系统数据、非法控制计算机信息系统罪”规定，违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

《刑法》第二百八十六条“破坏计算机信息系统罪”规定，违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照第一款的规定处罚。

Q:

近12亿个人信息，真有12亿用户吗？

如前所述，侵犯公民个人信息罪有关“情节特别严重”的认定标准，其中之一是判断信息数量、违法所得数额标准。

依据《最高人民检察院关于印发《检察机关办理侵犯公民个人信息案件指引》的通知（高检发侦监字〔2018〕13号）》规定，“对批量出售、提供公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外”。从判决书中的本案司法鉴定意见可知，从被告人逯某台式主机MYsq1数据库中提取出1180738048条有关公民个人信息的记录。一条可以只是手机号码，或者一条数字ID加昵称，或者昵称加手机号码，从数据库中提取到记录公民个人信息的条数，而非指用户数量。

且从判决书中来看，并无其他证据证明存在重复计算或累计计算了公民个人信息的条数，本案以电脑中查获的数量直接认定信息条数。

Q:

明明395万余，为何只认定30多万为非法所得？

被告人称395万余是公司全部的经营额，而利用非法获取的公民个人信息，拉人加微信群，并通过该部分用户导购所产生的返利佣金为34万余元，其余收入并非通过非法手段而取得的违法所得。此点从被告人提交的2019年11月至2020年7月提现明细可知。故法院仅对其通过非法手段取得的违法所得予以追缴。

附判决书原文：

来源：网络法实务圈

链接：https://mp.weixin.qq.com/s/lG1uLWkEifIgF4nk9ujQmg

编辑：马皖雪

刘海明 · 发表于 2021-6-18 23:01:18

【案例】

数据权属大讨论中的共识凝聚

作者

王融、易泓清

【摘要】

“数据权属”是仁者见仁、智者见智的开放话题，但经过近年来的大讨论，“数据权属”逐步凝聚更多共识：

1.数据和信息语义内涵不同，但是在特定语境下，两者的互换使用并不会产生误解。

2.数据的多重属性和复杂权利义务关系使得难以笼统地对“数据”作出权属上的单一安排。

3.分类型看，个人数据保护法律关系较为明确，政务数据开放共享业已成为共识。对于企业数据，近年来司法领域通过适用竞争法，保护企业数据权属利益，形成数据领域的正向市场激励。

4.为弥补竞争法作为事后救济机制的缺陷，使得数据经济置身于一种高效稳定的财产权驱动力之中，近年来，学界对企业的数据权属展开探讨，核心是明确企业数据权属利益，鼓励数据领域的持续投资。

5.个人数据是基础元素。在很多场景下，个人数据是企业数据、政务数据的组成颗粒，数据权属问题的界定并不排斥对个人数据保护的合规遵从。

“数据权属”话题——横看成岭侧成峰

“数据权属”是一个热议话题，但讨论往往容易陷入发散状态，因为各方对“数据权属”概念的理解本身具有多元性，包括：

什么是“数据”？“数据”和“信息”两个概念之间有何区分和联系？

讨论的是什么类型的“数据”的权属问题？个人数据、政府数据、企业数据、原生数据，还是经加工处理后的衍生数据？

“权”是指是传统法律体系中的物权（特别是物权中的所有权），还是知识产权上的权利类型？是个人信息保护法中个人权益，还是竞争法上对企业竞争利益的保护？抑或是一种全新的数据权利？

“属”意味着归属，权利/权益归属于谁？这一设问是否意味着答案本身就必须具有排斥性，如归属于甲，则乙无法享有？数据权属是否可以有多元权利并存的路径？

正是这些多元化的理解，让“数据权属”的讨论呈现“横看成岭侧成峰”的景象。

数据权属大讨论的两个阶段

国内围绕“数据权属”的大讨论经历了两个阶段：

第一阶段（2015年~2019年）：大数据应用与产业蓬勃兴起，各地纷纷成立大数据交易所。从当时的认识看，数据交易的前提是清晰的产权归属[1]。例如：贵州大数据交易所制定的交易规则就明确：“数据买卖双方要保证数据所有权、合法、可信、不被滥用。”数据交易市场的发展，迫切需要数据权属理论支撑[2]。这一阶段涌现的观点，主要围绕数据的法律属性，以及不同权利之间的关系。学者尝试借助传统法律理论，如物权法、知识产权法来确立企业对其数据享有的权益。

第二阶段（2019年~当下）：在将数据作为与土地、劳动力、资本、技术并列的生产要素的大背景下[3]，为进一步促进数据开发利用，迫切需要进一步理清数据权属问题，发挥市场激励机制，释放数据价值效应。且伴随着《民法典》《个人信息保护法》《数据安全法》等基本大法的推进，法律对个人信息、数据的明确定义，让“数据权属”讨论在法律层面有了更多的确定性。

虽然囿于问题本身的复杂性，数据权属距离清晰的解决方案尚远，但在近年来的大讨论中，日益凝聚更多共识[4]。

数据权属大讨论形成的共识

（一）“数据”是形式/载体, “信息”是语义内涵

从中文语义看，数据与信息是两个不同的概念，是形式与内容的关系。

数据是信息的存在形式或记录本身。近期颁布的《数据安全法》也采纳了这一理解——“本法所称数据，是指任何以电子或者其他方式对信息的记录”；在信息通信技术下，数据以“0”或“1”的二进制字符串存储，能够被机器访问和处理，是当前更为日常和主流的信息存在形式。《网络安全法》（2016）年也强调了“网络数据”的这一属性，网络数据是指：通过网络收集、存储、传输、处理和产生的各种电子数据。

与之对应，信息是被赋以特定内涵的内容，比如在网络治理语境下，经常使用的“违法有害信息”，以及在个人信息保护语境下的“个人信息”，都是指向内容意义本身。

但值得注意的是，尽管数据和信息两个概念的语义是有所区分的，但在特定的讨论语境下，“数据”和“信息”两个概念可以互换，如个人信息和个人数据、政府信息和政府数据等表述互换一般不会使人产生误解。[5]

（二）数据本身的复杂属性得到普遍认可，很难借助单一的权属理论一刀切解决

作为数字经济时代涌现的新型生产要素，数据的利用流通涉及生产关系各个环节。一切信息皆通过数字化技术，以数据的形式实时传输与处理。数据承载了多种权利义务关系，是个人、企业和组织之间复杂社会关系的映射。

从适用法律看，数据打破了公域与私域、公法和私法的二元划分，牵涉国际、国内不同场景，很难通过单一的权属理论一刀切处理。尝试用单一理论绝对化处理“数据权属”问题，会引发许多争议。

例如：2016年6月公布的《民法总则（草案）》曾将数据信息作为知识产权的客体，与作品、专利、商标并列，引发广泛争议。因此在正式通过的《民法总则》文本中，数据从知识产权客体中移除并独立成条（第127条）：“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”最终的条文围绕数据做出了一种更具有宣示意义的敞口规定，为未来继续探索数据的权利属性留有了空间。

（三）分类型看，个人数据和政务数据的权属问题相对清晰

个人数据

个人数据处理过程中，相关基本权利归属于个人。

在个人数据保护法律体系下，尽管围绕“识别说”和“关联说”[6]仍有部分分歧，但个人数据仍旧是一个较为明确的法律概念。近期公布的《个人信息保护法（二审稿草案）》明确：“个人享有对个人数据的处分权。”在个人数据被处理的过程中，信息主体行使知情同意权、复制权、删除权等工具性权利[7]。

此外，结合《民法典 ——人格权编》对个人数据的保护性规定，个人数据的权益理论上包括精神利益和财产利益。当然，基于特定个人数据的财产利益的实现，还有赖于基于供需关系的市场机制，例如明星基于个人肖像、声纹等获得财产收益[8]。

政务数据，具有公共产品属性

政务数据是政府部门在履职过程中（如审批、备案、核准等）所采集到的数据，例如各部门采集的户籍管理、市场监管、自然资源、环境保护、金融、医疗监管、社会治理等各类数据。政务数据主要利用国家财政资金采集，具有公共产品属性[9]，且政府数据蕴含着难以估量的经济和社会价值，因此，政务数据的政策主旨是促进开放利用。

从2007年“政府数据开放运动”以来，包括默认开放、机器可读，及时和可互操作等成为政务数据开放的基本原则，近年来，各国政府加快了政务数据开放的步伐。2020年4月我国《要素市场化配置体制机制的意见》亦明确，推进政府数据开放共享，通过制度规范促进政府数据供给。

（四）对于企业数据，权属问题的核心是如何形成市场激励，鼓励市场主体对数据领域的持续投资

1.司法实践中主要适用竞争法来保护企业数据权属利益

相比个人数据和政府数据具有相对明晰的法律规范体系，企业数据并不是一个法律概念，其权属问题也更为模糊。近年来，企业之间的竞争纠纷中，法院尝试通过竞争法路径来认可和保护企业对其商业数据的权益，逐步明确了：

（1）企业对其投入劳动，收集、加工、整理的数据享有财产性权益，在依法获取的各类数据基础上开发的数据衍生产品及数据平台等财产权益受到法律保护。（淘宝vs.美景，2018）[10]

（2）企业提供的数据服务满足了社会公众的相关需求，增加了消费者福利，本质上是一种竞争性权益。其他市场主体如果不正当地采取搭便车行为，截取其他企业通过大量投入而获得的数据，并产生实质性的替代后果，被认为侵犯了原企业的正当商业利益。（大众点评vs.爱帮网2010[11]，大众点评vs.百度地图 2016 [12]）

（3）企业间的数据共享利用，应当在保护用户个人权利的基础上，遵循自主契约精神，遵从企业间约定。开放平台方直接收集、使用用户数据需获得用户授权，第三方开发者通过开放平台Open API接口间接获得用户数据，需分别获得平台方和用户授权，此即三重授权原则（“用户授权”+“平台授权”+“用户授权”）。（新浪vs.脉脉2014[13]）

司法采取如此立场，其实质是秉承公序良俗原则，尊重市场规律，其背后也反映了经济学规律。根据“科斯定理”，如果将数据产权赋予每个数据的个体，则市场中会出现众多权利主体，导致数据交易难以达成均衡价格，交易成本过高，进而造成数据资源无法得到充分的开发和利用。[14]从“社会福利最大化标准”出发，承认和保护企业数据权益，帮助市场主体对数据投资形成稳定预期，才能激励其更好地收集、使用数据，促进数据利用。

2.法学界对企业数据权属的探讨——构建新型的民事权利

尽管司法实践中适用竞争法，来承认和保护企业数据权益，但这种数据权益的法律认可，仍是在发生纠纷之后的一种个案救济，在建立数据权益的稳定预期方面作用有限。正如龙卫球教授指出：数据从业者对于经营中的数据利益，仅仅具有依据用户授权合同而取得的债的地位，是一种微弱而不具有绝对保护的财产地位，显然难以支持和保障数据开发和数据资产化经营的需求; 相反，绝对财产地位的构建，则可以使得数据从业者获得一种有关数据开发利益的安全性市场法权基础的刺激和保障，使得数据经济得以置身于一种高效稳定的财产权结构性的驱动力和交易安全的保障之中。[15]

因此，近年来，民法、知识产权学者陆续探索关于企业数据的民事权利，明确数据权属问题。其中比较有代表性的观点有：

龙卫球教授提出的数据资产权。其认为：一方面，可以为初始数据的主体配置基于个人数据的人格权和财产权；另一方面应当赋予数据从业者具有排他性和绝对性的数据经营权和数据资产权。其中数据经营权是关于数据的经营地位或经营资格，而数据资产权是指对其数据集合或加工产品的归属财产权。这些权利应当采取近似于物权的设计：数据经营者可据数据经营权以经营为目的对他人数据进行收集、分析、加工，这种经营权具有专项性和排他性；而根据数据资产权，数据经营者可以对自己合法数据活动形成的数据集合或其他产品占有、使用、收益和处分，是对数据资产化经营利益的一种绝对化赋权。[16]

申卫星教授提出“所有权+用益权”二元权利结构模式[17]。他认为：可以借鉴自物权-他物权的权利分割模式，根据不同主体对数据形成的贡献来源和程度的不同，设定数据原发者拥有数据所有权和数据处理者拥有数据用益权的二元权利结构，形成“所有权+用益权”的协同格局，实现用户与企业之间财产权益的均衡设置。就企业数据权利而言，数据企业可以通过法定方式或者约定方式取得数据用益权，而该权利包括数据控制权、数据开发权、数据许可权、数据转让权等多种权能。

此外，纪海龙教授提出的数据文件所有权[18]，崔国斌教授从知识产权视角提出的公开传播权[19]，其核心都在于通过在法律上构建一种具体权利，来承认和保护对数据创造有实质投入的市场主体的正当利益。

以上学者虽然对于企业数据权属的具体制度设计路径有比较大的差异，但至少在以下方面达成了共识：

第一，对于企业数据权利的确认并不代表否认原始数据主体的权利。相对于企业数据、政府数据，个人数据是更为基础性的概念。对应地，在很多场景下，个人数据是企业数据、政府数据的组成颗粒，数据权属问题的界定并不排斥对个人数据保护的合规遵从。政务数据、企业数据中如果包含个人数据，其处理和使用需要符合个人信息保护法律法规的要求。

第二，相比于竞争法事后的个案救济，探索建立企业数据权利，更加有利于解决市场激励问题。正如若不在创新之上设定知识产权，而是将其作为公共品，任何人都可以享用，那么就会导致人们不愿意投入资源进行创新和创造，数据领域亦如此。学者们正是从这一共同的起点出发，沿着民法、知识产权法的不同路径，构造企业的数据权利。

结语

今天，对于数据权属的探讨仍在进行，但背后共通的是对个人权利、意思自治、契约精神等基本原则的遵循。作为一种新型的生产要素，数据价值是在动态的流动和开发利用过程中实现的，附着着多元主体的正当利益。因此，数据权属要解决的不是单一所有权的归属，而是确定哪些利益需要保护，构建科学的数据权利体系，形成不同利益主体之间的激励相容[20]。图片

引用及注释：

[1]王融：《关于大数据交易核心法律问题——数据所有权的探讨》，载《大数据》2015年第2期，第49页。

[2]数据交易市场发展到今天，正从传统的数据交易过渡为以数据服务为重点，正如北京国际大数据交易所宣传，区分数据所有权和使用权，推进“数据可用可不见”。

[3] 2020年4月9日，《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》发布。

[4]本文中的“共识”是指主流观点，并不代表着各方对权属问题的认知、看法完全一致。

[5]梅夏英：《信息和数据概念区分的法律意义》，载《比较法研究》2020年第6期，第153页。

[6] “识别说”是指以“是否可以识别个人身份”作为界定个人信息和非个人信息的标准；“关联说”认为个人信息必须要与信息主体存在某种程度上的相关性，这种相关性有助于准确判断个人与信息之间存在何种联系以及如何辨别个人的身份。参见何波:《试论个人信息概念之界定》，载《信息通信技术与政策》2018年6月第6期，第38-39页。

[7]王锡锌：《个人信息保护的国家义务及其展开》，载《中国法学》2021年第1期，第159页。

[8]参见引注1，第51页。

[9]曾娜：《政务信息资源的权属界定研究》，载《时代法学》2018年第4期，第32-33页。

[10]参见杭州市中级人民法院(2018)浙01民终7312号判决书，法宝引证码CLI.C.72296499

[11]参见北京市第一中级人民法院（2011）一中民终字第7512号判决书，法宝引证码：CLI.C.81445961 .

[12]参见上海知识产权法院（2016）沪73民终242号判决书，法宝引证码：CLI.C.10989220 .

[13]参见北京知识产权法院(2016)京73民终588号判决书，法宝引证码：CLI.C.8908738 .

[14]唐要家：《数据产权的经济分析》，载《社会科学辑刊》，载2021年第1期，第101页。

[15]龙卫球：《数据新型财产权构建及其体系研究》，载《政法论坛》2017年第4期，第63-78页。

[16]参见引注14，第75页。

[17]申卫星：《论数据用益权》，载《中国社会科学》2020年第11期，第110-133页。

[18]纪海龙：《数据的私法定位与保护》，载《法学研究》2018年第6期，第72页及以下。

[19]崔国斌：《大数据有限排他权的基础理论》，载《法学研究》2019年第5期，第3页及以下。

[20]参见引注13，第103页。

来源：腾讯研究院

链接：https://mp.weixin.qq.com/s/GqAKvbz8ZgkJIU7NqCQclQ

编辑：马皖雪

刘海明 · 发表于 2021-6-25 18:04:00

【案例】

美最高法院在Snapchat网络言论自由案中对拉拉队队员表示支持

据外媒报道，美国最高法院于当地时间周三裁定，宾夕法尼亚州一所公立学校的官员因一名高中拉拉队队长在Snapchat上发表粗俗的校外言论而将其停掉啦啦队队员的身份，这侵犯了《第一修正案》赋予她的权利。这一里程碑式的案件将影响学生使用社交媒体的方式。

在Mahanoy诉B.L.一案中，法院以8比1的结果裁定，该学生在Snapchat上发布的帖子应受到美国宪法《第一修正案》的保护。

佛罗里达大学布雷什纳信息自由中心主任Frank LoMonte表示：“这当然是一个警示性的裁决，学校不能假定他们对网络言论拥有跟在校期间同样的权力。很明显，绝大多数法官都对给学校一张不加限制的惩罚权力的支票持怀疑态度，这种权力无时无刻不在跟着学生。”

该案件源于宾夕法尼亚州高中拉拉队队长Brandi Levy，其于2017年在未入选校队后在Snapchat上分享了一条充满猥亵内容的信息。当时，Levy是一名新生，也是Mahanoy地区高中初级校队拉拉队的成员。周六，她在马哈诺伊市的一家便利店发布了这条Snapchat信息。

“去他的学校，去他的垒球，去他的欢呼，去他的一切，”Levy在Snapchat上发的一条信息中写道，这条信息还包括一张她和一名同学竖中指的照片。Levy在这款应用上跟约250名好友分享了这条消息。一名学生截屏并跟她的母亲分享后，学校官员得知了Levy的信息。Levy因违反球队的“脏话和不恰当姿势”规定并在网上发布“任何跟啦啦队、啦啦队或教练有关的负面信息”而被学校停赛一年。

在美国公民自由联盟(ACLU)的支持下，Levy通过父母起诉了学区，她被允许回到啦啦队。然而该学区向美国第三巡回上诉法院提出了上诉。法院也站在了那名学生一边并称校方对她的停职违反了宪法第一修正案。

美最高法院在周三的裁决中指出，其目的不是要就什么是“校外”言论以及何时这种言论必须屈服于学校的特殊需要以防止校园霸凌活动受到实质性干扰或在霸凌发生时进行干预而制定一项宽泛的第一修正案规则。

LoMonte说道：“这对学生来说可能是一个灾难性的错误决定。”最高法院“曾有机会说，社交媒体是需要重写第一修正案规则的游戏规则改变者，但他们拒绝了。”

法院指出，限制学校在这件事上的权威的因素之一是，Levy通过个人手机向她在Snapchat上的私人朋友圈的听众传递了她的言论。另外，Levy也没有在她的社交媒体帖子中指明是哪所学校或具体的人，最高法院表示，没有任何证据表明她的Snapchat信息严重扰乱了学校。

Clarence Thomas法官在他唯一的异议中表示，大多数人没有考虑到学校是否经常对社交媒体上的言论拥有更大的权力。他写道，由于在社交媒体上分享的校外演讲可以迅速接触到“无数”人，“它往往比校外的面对面谈话更容易损害校园环境。”

这一备受关注的案件源于1969年最高法院的一项历史性裁决，该裁决称，学生们在进入学校财产时并不会失去《第一修正案》赋予他们的权利。然而，Tinker v. Des Moines那起案件发现，如果学生的校内言论对学校造成重大干扰，那么教育工作者可以压制学生的言论。

据悉，Levy的案例关注的是Tinker裁决是否适用于校外演讲。第三巡回上诉法院早些时候曾裁定，半个多世纪前在越南战争期间设立的这一先例不适用于校外演讲。

撰写多数意见书的大法官斯蒂芬·布雷耶Stephen Breyer表示，虽然法院同意学区因Levy在Snapchat上发布的帖子而错误地惩罚她，但不同意上诉法院提供的理由。

Breyer写道：“我们不认为，当学校监管校外的言论时，学校监管学生言论的额外许可就会消失。在一些校外情况下，学院的监管利益仍非常重要。”

宾夕法尼亚学区要求最高法院审理此案。学校官员在一份简报中表示，智能手机、社交媒体的普及以及新冠肺炎大流行期间远程学习的兴起模糊了校内和校外演讲之间的界限。长期以来，学校一直在规范校外言论，而第三巡回上诉法院的决定将削弱它们处理校外发生的骚扰、虐待和其他破坏性言论的能力。

ACLU律师David Cole曾在今年4月告诉最高法院法官，将Tinker的决定扩大到包括校外演讲在内，将“要求学生无论走到哪里，实际上都要承担起学校的言论权利”。Cole还称，这也会影响家庭教育。他对法官们说道：“对年轻人来说，能在不用担心学校审查的情况下向朋友表达自己的情感可能是最重要的自由。”

来源：业界资讯

链接：https://m.chinaz.com/2021/0624/1269652.shtml?ivk_sa=1024320u

编辑：李佳怿

刘海明 · 发表于 2021-7-2 13:29:05

【案例】

重磅！《深圳经济特区数据条例》通过！自2022年1月1日起实施！

6月29日，《深圳经济特区数据条例》（下称《条例》）获市七届人大常委会第二次会议通过，自2022年1月1日起实施。针对上述现象，《条例》规定数据处理者不得以自然人不同意处理其个人数据为由，拒绝向其提供相关核心功能或者服务。

率先提出“数据权益”

大数据作为新的生产要素，已经上升到基础战略资源地位。数据在赋能行业发展的同时，也引发了人们对个人隐私泄漏、数据安全问题的担忧，亟需通过立法对数据确权、数据保护等予以规范。

据了解，《条例》内容涵盖了个人数据、公共数据、数据要素市场、数据安全等方面，是国内数据领域首部基础性、综合性立法。

其中，数据确权问题一直颇受争议。虽然目前公众对数据权属问题的认识还不统一，难以通过地方性法规创设“数据权”这一新的权利类型，但是“个人数据具有人格权属性”已经取得普遍共识，过往的一些司法判例也认可了“企业对其投入大量智力劳动成果形成的数据产品和服务具有财产性权益”。

基于这一认识，《条例》率先在立法中提出“数据权益”，明确自然人对个人数据依法享有人格权益，包括知情同意、补充更正、删除、查阅复制等权益；自然人、法人和非法人组织对其合法处理数据形成的数据产品和服务享有法律、行政法规及本条例规定的财产权益，可以依法自主使用。

确立处理个人数据“最小必要”原则

如何平衡发展数字经济与保护个人信息、数据开发利用与数据安全之间的关系，是此次立法最大的难点。对此，《条例》多项制度设计强化了个人数据的保护。例如，明确处理个人数据的基本原则，即目的明确合理、方式合法正当、最小必要、知情同意、准确完整和确保安全。

针对公众普遍关注的“最小必要”原则的具体内涵，《条例》进一步明确，即限于实现处理目的所必要的最小范围、采取对个人权益影响最小的方式处理个人数据，并列举了五种符合“最小必要”原则的具体情形。

《条例》还规定，处理个人数据具有告知义务，应当在处理前向自然人告知数据处理者的基本信息。同时，处理个人数据应当征得自然人的同意，在其同意的范围内处理其个人数据，不得通过误导、欺骗、胁迫等违背自然人真实意愿的方式获取同意。

APP不得“任性”拒绝向用户提供服务

当在手机上下载安装APP时，一般需要先阅读《用户服务协议》和《隐私政策》，并选择“同意”和“已阅读全部条款”，才能使用该APP及其服务；如果选择“不同意”，将无法使用。

“一些APP通过‘一揽子协议’将收集个人数据与其功能或服务进行捆绑，用户不同意其收集个人数据，就无法使用该APP。为了使用该APP，用户往往被迫接受‘一揽子协议’，这严重损害了用户作为个人数据主体的决定权。”有市人大常委会组成人员提出。

对此，《条例》规定，“数据处理者不得以自然人不同意处理其个人数据为由，拒绝向其提供相关核心功能或者服务。但是，该个人数据为提供相关核心功能或者服务所必需的除外。”

大数据“杀熟”最高可罚5000万元

同样的送餐时间、送餐地点，平台会员所需的配送费却比非会员还要高；同样叫车，起始点和距离一样，不同用户价格却显示不一样……这种被大数据“算计”的“大数据杀熟”现象在交通、餐饮行业时有发生。

据了解，“大数据杀熟”就是利用大数据技术，在行为数据和消费者身份信息分析基础上，通过人工智能、个性化展示和消费能力预测，对最终末端市场进行价格差异化对待，在经济学语境下，又被形象地称为价格歧视。

对此，《条例》创新性规定市场主体不得以非法手段获取其他市场主体的数据，或者利用非法收集的其他市场主体数据提供替代性产品或者服务，侵害其他市场主体的合法权益；不得通过数据分析，无正当理由对交易条件相同的交易相对人实施差别待遇。违法者情节严重的，处上一年度营业额5%以下罚款，最高不超过5000万元。

自然人有权拒绝个性化推荐

“前不久刚和朋友聊天说要买粉底液，转眼就有APP推荐各种品牌的粉底液和彩妆了。”市民黄女士告诉记者，身边不少朋友都有过类似经历，有时自己在网上搜索一款商品，很快会在一些APP上收到相关广告推送，仿佛被“偷听”和“围观”了。

用户画像和个性化推荐的应用，为人们提供了更加精准、个性化的商品和服务，同时也带来了“信息茧房”、个人隐私泄漏等负面影响。

对此，《条例》规定，数据处理者可以进行用户画像和个性化推荐，但是应当明示用户画像的主要规则和用途；自然人有权拒绝对其进行的用户画像和个性化推荐，数据处理者应当为其提供拒绝的途径。

《条例》还首次明确，除为了维护未满十四周岁未成年人的合法权益且征得其监护人明示同意外，不得向其进行个性化推荐。

“人脸识别”数据不可滥用

“人脸识别”“指纹验证”“声音解锁”“虹膜识别”等生物识别技术，在改变人们生产生活方式的同时，易引起个人数据的泄漏或被滥用。

为了在拓展生物识别技术应用的同时，避免生物识别数据滥用，《条例》对处理生物识别数据作出了较处理其他数据更加严格的规定，要求处理生物识别数据时，除该生物识别数据为处理个人数据目的所必需，且不能为其他非生物识别数据所替代的情形外，应当同时提供处理其他非生物识别数据的替代方案。

来源：数据法盟

链接：重磅！《深圳经济特区数据条例》通过！自2022年1月1日起实施！ (qq.com)

编辑：古凤

刘海明 · 发表于 2021-7-10 15:55:35

【案例】

美国前总统特朗普宣布对三家网络公司发起集体诉讼

中新社纽约7月7日电美国前总统特朗普7日宣布，他已对脸谱(Facebook)、推特和谷歌母公司字母表三家公司及其CEO发起集体诉讼，要求恢复他在相应网络社交平台的账号使用权限。

今年1月6日美国国会大厦骚乱事件后，脸谱、推特以及谷歌旗下的优兔(YouTube)平台先后封停了特朗普的账号。特朗普的团队7日在迈阿密向法庭递交起诉书，称上述三家公司“屏蔽他的账号，侵犯了美国宪法第一修正案保护的言论自由。

美联社说，特朗普当天在自己位于新泽西州的一家高尔夫俱乐部举行记者会。特朗普本人是此次集体诉讼的首席原告，诉讼要求包括：被告赔偿原告损失、法庭宣布《通讯规范法案》第230条违宪、恢复特朗普和其他原告被封停或注销的网络社交平台账号。

美国《通讯规范法案》第230条规定，互联网服务商无需为第三方使用者的言行负法律责任，同时允许服务商出于善意考虑，自愿对冒犯性的内容进行限制，或者赋予他人技术手段限制冒犯性内容。特朗普担任总统时曾试图废除这一规定。

《纽约时报》指出，美国宪法第一修正案旨在保护公民的言论自由不被政府限制，脸谱等网络社交平台不属于政府范畴。报道援引美国圣克拉拉大学法学院教授埃里克·戈德曼(Eric Goldman)的评论称，将科技公司视为政府的延申显然不合逻辑，特朗普发起此次诉讼的想法“异想天开”。

《华尔街日报》也援引第一修正案律师弗洛伊德·艾布拉姆斯(Floyd Abrams)的观点，指出《通讯规范法案》第230条为网络社交平台提供了比第一修正案更周密的保护，没有理由认为国会提供这些保护是违宪的。他说，在这个案例中，第一修正案保护的对象是网络社交平台，而不是特朗普，他选择诉讼“极为轻率”。

美国有线电视新闻网(CNN)说，特朗普宣布发起诉讼后，他的团队立即开始募捐，同时征集更多的人捐款并成为原告。但以往关于网络社交平台封禁用户账号的诉讼，法院大多不予受理。报道说，特朗普在总统任上时曾打压那些对他政治形象不利的企业，此次诉讼是这种做法的延续。

来源；中国新闻网

链接：https://www.sohu.com/a/476154726 ... index_chan08news_13

编辑：王奕

帐号		自动登录	找回密码
密码			实名注册