强化数据安全“红线”，委员建言《上海市数据条例（草案）》

日前，市司法局就《上海市数据条例（草案）》（以下简称《条例（草案）》）在上海市政协征求委员意见建议。8月13日，市政协教科文卫体委和社法委组织部分在沪全国政协委员和市政协委员，召开《条例（草案）》征求意见座谈会。

会上，市司法局介绍了《条例（草案）》有关立法工作情况，与会委员围绕所关注的相关方面展开讨论。除参加征求意见座谈会外，不少政协委员通过“政协直通车”等线上履职平台参与《条例（草案）》立法协商，提出建言。

委员们认为，为了保护自然人、法人和非法人组织与数据有关的权益，规范数据处理活动，促进数据依法有序自由流动，保障数据安全，加快数据要素市场培育和数字经济发展，根据《中华人民共和国民法典》《中华人民共和国数据安全法》等上位法律、行政法规，结合本市实际制定相关条例势在必行，以更好统筹推进数据权益保护、数据流通利用、数据安全管理，充分发挥数据在城市治理、优化营商环境和推动经济社会发展中的作用。

“数据安全”，是委员们建言的重点。数据，是指任何以电子或者其他方式对信息的记录。委员们认为，对数据的收集、存储、使用、加工、传输、共享、开放、流通等处理过程中，必须通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。比如，“对公共场合或者公共区域使用图像采集、个人身份识别技术等收集数据，应制定严格限制性条件，该类数据只能允许由特定部门安装、管理、存储和使用获得”“不得以下载使用软件之名强制收集自然人、法人或组织的相关数据”“加强对数据处理者的道德伦理教育、数据安全技术培训，提高从事该行业的准入门槛”等。

在围绕“数据收集权益”的讨论中，针对《条例（草案）》所规定的“自然人、法人和非法人组织可以收集已公开的数据”以及“依法通过约定或者其他合法、正当的方式收集其他数据”条款，不少委员认为，除明确“不得违反法律、行政法规的规定或者侵犯他人的合法权益”外，应明确“相关采集数据仅限于协议内容范畴使用，不可以此获利”。对《条例（草案）》所规定的相关违法行为处置，委员们普遍认为“太轻了”，应有更严格的“红线”加以规范。

“知情权和同意权”，是数据收集、使用、加工、交易等活动涉及自然人个人信息时的重要环节。《条例（草案）》明确，除法律、行政法规另有规定的以外，“收集自然人非公开数据的，应当以有效方式告知，并取得同意。处理涉及自然人生物特征信息的数据，应当具有特定的目的和充分的必要性，并取得自然人的单独同意”。如何真正依法保障自然人的知情权？是委员们特别关注的。大家认为，相关立法应规定“在收集个人信息时必须明确告知使用场景”，并明确“敏感信息非特定主体不得采集”，例如个人财产、生理、隐私信息等，除非公权力机关出于公共利益所必需，任何市场主体均不得采集，应遵循“最小必要”原则。委员们建议，添加针对未成年人的权利许可条款，或“可禁止在公共场所或者公共区域采集未成年人个人信息”，以及“将未满十四周岁未成年人的个人数据视作敏感个人数据，明确除为了维护未满十四周岁未成年人的合法权益且征得其监护人明示同意外，不得向其进行个性化推荐”。

委员们认为，《条例（草案）》应明确数据处理者的“及时删除义务”，即数据处理者在以下情况下应当及时删除个人数据：存储期限届满，自然人撤回同意且要求删除个人数据，数据处理者违反法律、法规规定或者双方约定处理数据，自然人要求删除等。

《条例（草案）》明确，市场主体对数据的使用应当遵循公平竞争的原则，“不得利用数据垄断地位从事操纵市场、设置排他性合作条款等活动；不得滥用大数据分析等技术手段，基于个人消费数据和消费偏好设置不公平交易条件，侵犯消费者合法权益”。对此，有委员建议，针对数据要素市场“大数据杀熟”等竞争乱象作出专门惩处规定。

《条例（草案）》提出，通过标准制定、政策支持等方式，促进数字经济发展。委员们建议，进一步明确“数据驱动”理念，充分发挥数据要素的引领带动作用，围绕数据治理、价值评估、能力提升，突出资源共享、价值共创，创新发展数据要素相关新业态，支撑数据高效有序的流动，鼓励示范性应用场景建设。

委员们普遍认为，针对数据相关实务操作中的复杂性，还应结合其他涉数据法律，在《条例（草案）》审议通过施行后，制定相应细则，形成行业自律和社会监管合力，切实严格规范数据采集、使用、管理全流程。