“滴滴”启示录

前言：
7月4日晚，国家互联网信息办公室（以下简称“网信办”）发布了“关于下架‘滴滴出行’App的通报”，很快该则新闻被各路媒体转载，并迅速在朋友圈刷屏，数据安全成为社会热点话题。对于数据合规领域的业内人士来说，对此不感觉到奇怪，但是难免还是有些惊讶，惊讶于监管部门效率之高以及力度之大。6月30日晚滴滴在纽交所挂牌上市，7月2日网信办对滴滴出行启动网络安全审查，2天之后就通报了滴滴下架整改的消息，监管部门的效率可见一斑。同样对滴滴出行的网络安全审查，也是中国网络安全审查第一案，审查结果又是直接要求滴滴下架整改，足见监管力度之大。这次网信办要求“滴滴出行”下架整改的理由是“App存在严重违法违规收集使用个人信息问题”，这句话传递出滴滴在违法违规收集用户的个人信息，如果从数据流动的全生命周期里，滴滴出行至少在收集和适用两个环节存在严重的违法违规，目前还不确定是否存在数据跨境问题。就最近关于滴滴的这三个消息，我对此有一些自己的小思考，抛砖引玉，希望可以给大家一些启发。
启示一：拒当路人甲，我们要做数据的主人
我们指的是谁？我指的是普通老百姓，即民众。我常用滴滴出行，相信绝大部分人也是。作为网约车行业的巨头，滴滴常年占据80%以上的市场份额，可以说滴滴改变了中国绝大部分城市市民出行的选择。但是当我们享受着滴滴出行带给我们的便利服务时，它也在“肆意”收集着我们的个人信息，其中包括了姓名、手机号码、性别、身份证号码、定位等等较为敏感的个人信息。除了这些基本信息外，还包括我们在行程中被录音的音频，以及车外音视频数据（人脸、声音、车牌等）等。所以当我们试着来回答“滴滴最近怎么了？”的问题时，我们需要了解企业收集我们个人信息的状况是什么样的？下面这个故事将给我们一些思绪。
易中天先生曾经讲过一个故事，民国初年，川陕大道是商旅繁忙的重要交通枢纽，但当时陷入无政府状态，广汉路段盗匪四起，杀入越货，商旅们被吓得只好绕道而行，导致土匪们没得抢了，没了经济收入。于是，从来互不往来的各股土匪召开会议，做出一个决定，组成土匪联盟，分段承包川陕大道广汉段。分段承包，统一收费。比如一袋盐收五毛，背包袱的收一元。无论商旅从哪个路段进入川陕大道广汉段，收了过路费的土匪都要开一张收据，凭这张收据，商旅可以在广汉段任何路段畅行无阻，其他土匪第一不得重复收费，第二不得改变收费价格，第三必须提供保护。如果做不到这三条，商旅可以向“土匪经济工作联席会议”投诉，然后由其他的土匪来整治这个不守规矩的土匪1。
这个故事告诉我们所谓无规矩不成方圆，文明是对野蛮的改造。目前，不仅限滴滴出行在内的汽车行业，几乎所有涉及数据的领域，在早些年都在野蛮生长—民众难以意识到自己的信息在被无情收割，企业乐于见到民众用隐私换取服务便利—这样的情形像极了故事中川陕大道上的无政府状态，盗匪四起，杀人越货，这是野蛮时代。
所以当我们知晓了数据领域的野蛮生长后，作为个体，应当意识到作为数据客体的个人信息好比货物一般，是有一定经济价值的，不是企业随随便便就可以免费收集的；意识到企业肆意地收集个人信息是违法违规的行为，我们的个人信息被收集至少应当遵循必要原则—收集的个人信息应当是企业实现其产品或服务基本业务功能所必需的—否则收集行为就是违法的；意识到如果数据大环境仍然处于野蛮，我们至少还有权利放下电子产品，选择回归自然，不过好消息是野蛮已经过去，学会数据维权是必要的……总结来说，我们应当认识并推崇数据是有价值的，拒绝在数据领域从野蛮通往文明的道路上做路人甲，我们要积极做数据的主人。
启示二：无政府状态已结束，强监管时代已来临
虚拟存在的个人信息不同于实体存在的货物，此时的民众不同于彼时的商旅，难以意识到数据的价值，任由企业“烧杀抢掠”。所以当民众尚未觉醒或未整体觉醒时，需要政府合理引导民众进入觉醒时代。而法律的出台，无疑是其中最为重要的引导方式之一。作为网络安全审查第一案，网信办对于滴滴的审查依据是《中华人民共和国国家安全法》、《中华人民共和国网络安全法》（以下简称网安法）和《网络安全审查办法》。
网络安全关乎国家安全，后两部法律与数据领域直接相关，其中网安法是2017年6月1日生效，《网络安全审查办法》是2020年4月由网信办等十二个部门联合制定发布，两部法规侧重关注网络空间或计算环境。除网络安全法及其配套法规外，立足数据本身的《数据安全法》已经于日前通过公布，并于今年9月1日正式生效实施，其配套的法规也已经在制定或征求意见中，今明两年将陆续出炉。
而这次网信办要求“滴滴出行”下架整改的理由侧重于数据中的重要分类—个人信息，该领域的重点法律《个人信息保护法》也即将进入三审稿审议阶段，预计在7、8月份会予以审议通过。到时，《网络安全法》、《数据安全法》、《个人信息保护法》，这三部基础性法律将搭配《电子商务法》（侧重电商平台），加上各自相关配套法规，形成中国数据保护的基本格局。
从数据安全领域的监管机构看，目前已经形成了“一核一轴多翼”的监管体系。一核，指的是国家安全部委作为领导核心；一轴，指的是网信办作为统筹协调监管部门；多翼包括了信管局、App专项治理工作组、公安机关等，分别负责各自领域的监管内容。
可以说川陕大道上的无政府状态已经过去，数据领域的强监管时代已经来临。
启示三：企业应当放下“屠刀”，做好数据合规
野蛮的归宿是文明。故事中的土匪们最后发现，这种野蛮的行径其实对自己是不利的。相反，通过利人来利己，才是可持续发展的。于是，他们放下屠刀，拿起算盘，变成了企业家。但是现在的企业不应当再次拿起隐形的屠刀，对民众的个人信息开刀，否则监管的铡刀可能随时会到来。
当我们的民众愿意用隐私换取服务便利时，企业是乐于看见的。但是作为企业，也应当意识到，今时不同往日，过去野蛮生长的时代已经过去，强监管时代已经来临。企业，特别是企业高管，应当早日意识到数据保护的重要性，及时有效地理解和跟进最新的监管动态，尽早建立企业的数据合规管理体系，是十分必要的。在我撰稿之时，包括BOSS直聘在内的三款App又被网信办提起网络安全审查。可见，网络安全审查绝非滴滴一家，其他企业应当高度重视，因为起风了。
参考文献：
[1]何渊：《数据法学》，北京大学出版社，第003页。