监管路径与发展趋势有哪些？

聚焦数据、算法层面的立法现状与监管动向， 各国明显加快数据保护及算法治理相关工作，优化 法律基础，构建强监管环境。

第一，大型跨国科技公司成为重点监管对象。 一方面，大型跨国科技公司基于业务需要所收集、 存储与处理的数据，在数据量和数据重要程度上一 般会高于普通公司，具有更高的数据价值与潜在风险。例如，近年来国内外的大型跨国科技公司侵犯 个人隐私、滥用数据、数据泄露等问题层出不穷， 使得更加严格的监管势在必行；另一方面，数据安 全不仅要以监管机构为主导，还需要社会、企业、 群众等主体共同发挥作用，而大型跨国科技公司具 备一定的社会影响力，由其开展的最佳实践或倡议 行动都有助于建设更好的数据安全环境。因此，将跨国互联网巨头作为数据保护监管的重点对象，不 仅有利于海量数据保护，而且在执法层面也更具有 示范和预警效果。

第二，数据出境活动成为重点监管情形。数据 本地化趋势在全球范围内尤其是发展中国家愈发凸 显。关键信息基础设施的运营者、大型跨国企业或 开展海外业务的企业需要重点关注围绕“跨境数据传 输”“数据本地化存储”“数据隐私保护”的当地法律规 定。目前跨境数据流动治理及监管暂未形成全球性 规制体系，但包含中国在内的部分国家已经出台相 应法律法规。以我国 9 月 1 日起施行的《数据出境 安全评估办法》为例，明确了数据出境的具体流程。 一是事前评估，数据处理者在向境外提供数据前， 应首先开展数据出境风险自评估。二是申报评估， 符合申报数据出境安全评估情形的，数据处理者应 通过所在地省级网信部门向国家网信部门申报数据 出境安全评估。三是开展评估，由国家网信部门收 到申报材料之日进行评估。围绕数据出境的监管， 重点在于出境这一活动是否对国家安全、公共利益、 个人或者组织合法权益带来风险。

第三，安全审查成为关键领域数据安全强监管 的重要举措。网络安全审查一般是针对关系国家安 全和社会稳定的信息系统中所使用的信息技术产品 与服务开展审查与监督。当前美国、中国等多个国 家已设置审查制度，并且随着安全态势变化，审查 范围也在进一步拓展。以美国为例，其网络安全审 查涵盖外国投资、关键基础设施保护、供应链安全 管理等。目前，全球网络安全审查更聚焦于关键领 域及信息科技行业。值得注意的是，国家将安全审 查作为重要监管手段之一，以实现数据安全这一最 终目的，但考虑到不同国家的网络安全审查制度和体系可能存在法条竞合或法条冲突，需要企业进行 预先自审自查。

第四，合规性评估与安全检查成为数据安全日 常监督的举措。在日常监管工作中，除了网信办、 工信部、各地通管局等部门围绕违法违规收集使用 个人信息等情形定期对 App 开展技术检测，开展通 报、批评、下架处理等执法活动。数据安全检查专 项活动也取得了阶段性成效，成为主要监管举措。 2022 年，浙江省、广东省、北京市、上海市等多省 市已经开展电信和互联网行业或车联网行业的网络 与数据安全检查工作，重点聚焦企业的数据安全保 护落实情况、个人信息和用户权益保护工作情况。 数据安全合规评估作为检查的一部分，对于企业自 查自改具有全面指导意义，同时既可以作为数据安 全符合性成果报告，也可以作为直接向监管部门提 供的企业履行数据安全合规评估工作的证明。

第五，算法监管的未来趋势将从个人信息保护 基本原则出发不断提高其数据的可溯源性和规则的 可解释性。从各国的算法监管思路来看，个人信息 保护要求下的个人信息处理规则公开透明和个人信 息自主决定权与算法黑箱模式形成冲突，虽然技术 中立，但是算法的设计和数据的筛选都掺杂的人为 因素，如果没有中立的第三方进行算法治理和监管， 容易导致算法歧视和舆论引导，对部分群体的权益 造成影响。其中，数据的可溯源性，指数据的来源 无瑕疵，对于个人信息的处理，需要取得个人信息 主体的授权，这就要求，算法的数据提供方需要在 数据收集时充分告知个人信息主体关于数据收集的 种类和应用目的，如果需要向第三方共享，还必须 向其告知共享的第三方主体基本信息。根据我国《个 人信息保护法》对个人信息的定义，将匿名化后的信息排除在外，这为隐私计算的发展提供了发展窗口，即通过“数据可用不可见”的方式实现数据的流通和利用 将成为算法合规路径之一。

规则的可解释性同样映射出个人信息主体权利的要求，由于法律对个人信息人格性权益的认可，个人信息 主体参与到数据的权益配置链路中，算法的使用主体应当承担相应的披露义务，明确告知公众关于算法使用的 基本逻辑，接受公众的监督，保障个人信息主体对算法使用的知情权。