12月2日晚，由bevictor伟德官网、中國法學會網絡與信息法學研究會研究基地主辦的“網絡與信息法”學術沙龍第一期“中國的數據保護合規與立法探究”成功舉辦。此次沙龍由阿裡巴巴集團法律研究中心副主任顧偉博士主講，bevictor伟德官网蘇苗罕副教授主持。bevictor伟德官网徐鋼副院長、王倩副教授以及研究生、本科生參加了此次沙龍。

講座伊始，顧偉博士首先介紹了數據保護的背景。他指出，目前正在迅猛發展的第二次信息革命，其實質就是數據革命。我們每個人每天都在通過手機、手環、電腦、攝像頭等各種傳感器提供數據。政府治理過程中掌握大量數據。平台企業也在雲計算和大數據分析的基礎上在發現數據的價值。但是，對于消費者而言，很多企業包括政府對數據的收集、處理過程透明度并不高。他也引用中國互聯網協會的報告證明，信息技術雖然發展了，但是信息基礎設施相比過去更脆弱，社會風險更高，這就凸顯了數據保護的重要性。

講座的第二部分，顧偉博士接着介紹了國内的個人信息保護合規實踐。《網絡安全法》提出的“合法、正當、必要”标準為網絡個人信息保護提供了制度保障，并且規定了采取保護等級措施、安全檢測要求和公開收集規則等内容。個人信息保護合規還涉及衆多基礎性法律，例如反恐法、侵權責任法、反不正當競争法、合同法、刑法。《互聯網信息服務管理辦法》等行政法規和規章中也有衆多與個人信息保護相關的規定。此外，近年來也出台了一些國家标準、行業标準，例如《國家标準：信息安全技術 個人信息安全規範》。最高人民法院和最高人民檢察院也出台了相應的司法解釋，如《辦理侵犯公民個人信息的刑事案件适用法律若幹問題的解釋》。

顧偉接着從網絡空間相關監管機構職能入手，介紹了各相關監管機構在個人信息保護方面分别承擔的監管職責，主要監管機構包括國家網信辦（負責網絡安全統籌協調，互聯網内容監管）、公安部（打擊侵害數據安全、侵犯個人信息安全的違法犯罪）、商務部（電商行業管理）、衛健委（健康數據）、中國人民銀行（金融數據）、國家郵政局（物流數據）、國辦+發改委（政務數據的保護與開放）、國家市場監管總局（消費者個人信息保護）、工信部（網絡數據管理、電信互聯網用戶個人信息保護）。個人信息保護的多頭管理局面，實踐中也産生執法權配置不明等問題。

顧偉博士接着深入分析個人信息合規的問題。這就涉及個人信息的法律界定。按照有關國家标準所采用的定義，個人信息是指單獨或者與其他信息結合識别特定自然人身份或者反映特定自然人活動情況的各種信息。實踐中，我們會遇到各種各樣的數字，可以說萬物皆數，而個人信息或者個人數據則需要具備可識别的特征或與個人相關聯。例如，IP、Mac地址、IMEI（設備碼）等數據，因為可以間接識别到個人，在相關的國外判例或者監管機構的規定中也被認為構成個人信息。

緊接着，顧偉博士分析了個人信息合規的前提性問題，即對不同類型的個人信息的辨析。他分析讨論了法律上對于個人隐私、個人敏感信息、個人非敏感信息規定的不同保護要求。例如，個人隐私的保護主要借助民法的規定，而個人敏感信息的保護，按照國标的要求，必須向用戶披露具體的業務場景。他也接着介紹了個人信息合規的不同維度，包括正向的合規紅線以及逆向的去标識化方式。

講座的第三部分，顧偉博士介紹了歐盟和美國的個人信息保護立法。在他看來，歐盟的個人信息保護立法偏重人權保護的視角，基于個人信息的相關權利保護不斷變革合規要求，并且将歐盟範圍内的數據自由流動作為建設單一數字市場戰略的重要支柱。而美國的個人信息保護立法也同樣強調數據流動，但是更多出于風險控制的視角，強調事前自律、事後追責，例如強調敏感類型數據的保護與洩露事件的通知要求。

最後，講座的第四部分，顧偉博士對于中國個人信息保護立法提出了自己的若幹真知灼見。他認為個人信息保護立法需要尊重市場、尊重權利。數據保護需要法律來設定基本的行為底線，更需要通過法律保障和激勵行業自律，讓市場形成内生的數據保護自驅力。同時法律要尊重并保護數據主體的相關權利，更要打擊各類侵犯個人信息相關權利的行為，特别是數據黑灰産行為。數據主體的相關權利界定需要結合中國的國情，數據黑灰産更是中國網絡空間的毒瘤。另外，現有的法律法規比較強調數據的強制留存義務，強調數據的本地化存儲。但是數據存留要考慮企業成本和用戶信息安全問題，數據本地化不是萬能藥，需要與數據流通效率、市場需求之間加以權衡。

沙龍的交流環節，在場師生就數據的産權、圍繞數據的反不正當競争訴訟、個人信息收集的告知同意規則等問題與顧偉博士進行了深入探讨。