滴滴80.26亿天价罚款如何计算？

7月21日，国家互联网信息办公室公布对滴滴公司依法做出网络安全审查相关行政处罚的决定，对滴滴公司处人民币80.26亿元罚款，对滴滴公司董事长兼CEO程维、总裁柳青各处人民币100万元罚款。

从2021年7月开始对滴滴公司实施网络安全审查，到国家互联网信息办公室依法对滴滴公司涉嫌违法行为进行立案调查，查实滴滴公司存在共16项8个方面的违法事实。对滴滴公司作出网络安全审查相关行政处罚决定的主要依据是《网络安全法》《数据安全法》《个人信息保护法》《行政处罚法》。
那么，该80.26亿罚款是怎么得来的呢？是如何对违法行为进行定性及适用法律和罚款数额，其罚款金额背后的法律依据在何？我们就国家网信办披露的滴滴的违法行为及其性质，对该行政罚款金额的认定进行反向推理和分析。
据国家网信办的公告，滴滴公司的数据违法行为存在“八宗罪”：
一是违法收集用户手机相册中的截图信息；
二是过度收集用户剪切板信息、应用列表信息；
三是过度收集乘客人脸、年龄、职业、亲情及打车信息；
四是过度收集乘客精准位置（经纬度）信息 ；
五是过度收集司机学历信息；
六是在未明确告知乘客情况下分析乘客出行意图信息、常驻城市信息、异地商务/异地旅游信息；
七是在乘客使用顺风车服务时频繁索取无关的「电话权限」；
八是未准确、清晰说明用户设备信息等 19 项个人信息处理目的。
同时存在严重影响国家安全的数据处理活动，拒不履行监管部门的明确要求，阳奉阴违、恶意逃避监管等其他违法违规问题。
我国《网络安全法》《数据安全法》《个人信息保护法》等法律从不同角度规定了侵害个人信息行为的行政责任，并规定了不同的行政处罚幅度和金额。在不同法律规定下，滴滴公司违法违规行为可能涉及以下几种情况的处罚：
01、最高百万罚金或10倍违法所得的
《网络安全法》
滴滴公司违反网络运营者收集、使用个人信息的相关规定，可由有关主管部门责令改正并处：1、违法所得1倍以上10倍以下罚款；2、没有违法所得的，处100万元以下罚款。
02、顶格千万元处罚的
《数据安全法》
滴滴公司未按照相关法律法规规定和监管部门要求，履行网络安全、数据安全、个人信息保护义务，给国家网络安全、数据安全带来严重的风险隐患，且在监管部门责令改正情况下，仍未进行全面深入整改。依据《数据安全法》的规定，可处50万元以上200万元以下罚款。
同时，滴滴公司违法行为性质恶劣，持续时间长，危害大，存在危害国家安全和发展利益的情形，可由有关主管部门处200万元以上1000万元以下罚款。
虽然，从《网络安全法》到《数据安全法》，对违法企业的处罚金额从顶格100万元到200万元，甚至1000万元，违法成本越来越大；处罚标准也从依据违法所得计算到具体的定额标准。依据前述两部法律的规定，就算适用最高罚款金额，也难以得出80.26亿元的巨额罚款。
03、百亿罚款皆有可能的
《个人信息保护法》
依据2021年11月1日生效的《个人信息保护法》规定，一般违法情形下处100万元以下罚款，情节严重的处“5000万元以下或者上一年度营业额百分之五以下罚款”。滴滴公司本次领到的罚单高达80.26亿元，这与5000万元的顶格处罚也相距甚远。
那么，80.26亿元的巨额罚单是怎么来的呢？《个人信息保护法》关于违法处理个人信息高额罚款除5000万元的顶格处罚外，还有另一重要标准即“上一年度营业额百分之五以下罚款”。如适用5%营业额标准计算罚款，则80.26/0.05=1605.2亿，这意味着滴滴上一年度营业额不低于1605.2亿元。
由于滴滴在纽交所上市，可以较方便的查询到滴滴2021年总营收为1738.3亿元。据此，基本可推定滴滴80.26亿的天价罚款是依据其上一年度营业额5%计算。
04、为什么是80.26亿罚款？
《网络安全法》对违法行为没有区分情节，而是根据有无违法所得来明确罚款金额；而《数据安全法》及《个人信息保护法》则区分情节和后果，根据情节和后果轻重适用不同档的金额。当同一侵害个人信息的行为触犯数个法律，并应承担多种行政责任时，便有可能产生行政处罚竞合问题。此时应适用哪一部法律规定的标准进行处罚呢？
根据《行政处罚法》“一事不再罚”的原则，对于违法行为人的同一违法行为不得给予两次以上罚款的行政处罚。同一个违法行为违反多个法律规范应当给予罚款处罚的，按照罚款数额高的规定处罚。
因此，对于可能涉及多个罚款的行政处罚，除应贯彻“一事不再罚”原则外，还应遵循“就高不就低”原则。《网络安全法》《数据安全法》《个人信息保护法》三部法律中哪个条款罚款金额最高？由于不同法律对罚款金额的确定规则各不相同，认定罚款金额需结合具体案情，查明侵害个人信息行为是否有违法所得、侵害的自然人人数、是否造成严重后果、情节是否严重以及是否危害国家主权、安全和发展利益等因素，选择具体对应的罚款金额条款方可进行比较。
在本案中，违法所得金额及相关数据没有公开的情况下，依据国家互联网信息办公室公布的处罚决定分析可知，最终是依据《个人信息保护法》第66条对滴滴处以“上一年度营业额百分之五以下罚款”基本与80.26亿相对应。可以确定的是，就滴滴的同一违法行为，不会再给予其他罚款处罚。
05、对企业和法定代表人及直接责任人的双罚制
我国《网络安全法》《数据安全法》及《个人信息保护法》都对违法处理个人信息行为规定了双罚制，对企业直接负责的主管人员或其他直接责任人员处以相应处罚包括罚款。滴滴案例中，对董事长兼CEO程维、总裁柳青各处人民币100万元罚款也符合《个人信息保护法》第66条“对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款”顶格罚款的规定。