12月2日晚，由同济大学法学院、中国法学会网络与信息法学研究会研究基地主办的“网络与信息法”学术沙龙第一期“中国的数据保护合规与立法探究”成功举办。此次沙龙由阿里巴巴集团法律研究中心副主任顾伟博士主讲，同济大学法学院苏苗罕副教授主持。法学院徐钢副院长、王倩副教授以及研究生、本科生参加了此次沙龙。

讲座伊始，顾伟博士首先介绍了数据保护的背景。他指出，目前正在迅猛发展的第二次信息革命，其实质就是数据革命。我们每个人每天都在通过手机、手环、电脑、摄像头等各种传感器提供数据。政府治理过程中掌握大量数据。平台企业也在云计算和大数据分析的基础上在发现数据的价值。但是，对于消费者而言，很多企业包括政府对数据的收集、处理过程透明度并不高。他也引用中国互联网协会的报告证明，信息技术虽然发展了，但是信息基础设施相比过去更脆弱，社会风险更高，这就凸显了数据保护的重要性。

讲座的第二部分，顾伟博士接着介绍了国内的个人信息保护合规实践。《网络安全法》提出的“合法、正当、必要”标准为网络个人信息保护提供了制度保障，并且规定了采取保护等级措施、安全检测要求和公开收集规则等内容。个人信息保护合规还涉及众多基础性法律，例如反恐法、侵权责任法、反不正当竞争法、合同法、刑法。《互联网信息服务管理办法》等行政法规和规章中也有众多与个人信息保护相关的规定。此外，近年来也出台了一些国家标准、行业标准，例如《国家标准：信息安全技术 个人信息安全规范》。最高人民法院和最高人民检察院也出台了相应的司法解释，如《办理侵犯公民个人信息的刑事案件适用法律若干问题的解释》。

顾伟接着从网络空间相关监管机构职能入手，介绍了各相关监管机构在个人信息保护方面分别承担的监管职责，主要监管机构包括国家网信办（负责网络安全统筹协调，互联网内容监管）、公安部（打击侵害数据安全、侵犯个人信息安全的违法犯罪）、商务部（电商行业管理）、卫健委（健康数据）、中国人民银行（金融数据）、国家邮政局（物流数据）、国办+发改委（政务数据的保护与开放）、国家市场监管总局（消费者个人信息保护）、工信部（网络数据管理、电信互联网用户个人信息保护）。个人信息保护的多头管理局面，实践中也产生执法权配置不明等问题。

顾伟博士接着深入分析个人信息合规的问题。这就涉及个人信息的法律界定。按照有关国家标准所采用的定义，个人信息是指单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。实践中，我们会遇到各种各样的数字，可以说万物皆数，而个人信息或者个人数据则需要具备可识别的特征或与个人相关联。例如，IP、Mac地址、IMEI（设备码）等数据，因为可以间接识别到个人，在相关的国外判例或者监管机构的规定中也被认为构成个人信息。

紧接着，顾伟博士分析了个人信息合规的前提性问题，即对不同类型的个人信息的辨析。他分析讨论了法律上对于个人隐私、个人敏感信息、个人非敏感信息规定的不同保护要求。例如，个人隐私的保护主要借助民法的规定，而个人敏感信息的保护，按照国标的要求，必须向用户披露具体的业务场景。他也接着介绍了个人信息合规的不同维度，包括正向的合规红线以及逆向的去标识化方式。

讲座的第三部分，顾伟博士介绍了欧盟和美国的个人信息保护立法。在他看来，欧盟的个人信息保护立法偏重人权保护的视角，基于个人信息的相关权利保护不断变革合规要求，并且将欧盟范围内的数据自由流动作为建设单一数字市场战略的重要支柱。而美国的个人信息保护立法也同样强调数据流动，但是更多出于风险控制的视角，强调事前自律、事后追责，例如强调敏感类型数据的保护与泄露事件的通知要求。

最后，讲座的第四部分，顾伟博士对于中国个人信息保护立法提出了自己的若干真知灼见。他认为个人信息保护立法需要尊重市场、尊重权利。数据保护需要法律来设定基本的行为底线，更需要通过法律保障和激励行业自律，让市场形成内生的数据保护自驱力。同时法律要尊重并保护数据主体的相关权利，更要打击各类侵犯个人信息相关权利的行为，特别是数据黑灰产行为。数据主体的相关权利界定需要结合中国的国情，数据黑灰产更是中国网络空间的毒瘤。另外，现有的法律法规比较强调数据的强制留存义务，强调数据的本地化存储。但是数据存留要考虑企业成本和用户信息安全问题，数据本地化不是万能药，需要与数据流通效率、市场需求之间加以权衡。

沙龙的交流环节，在场师生就数据的产权、围绕数据的反不正当竞争诉讼、个人信息收集的告知同意规则等问题与顾伟博士进行了深入探讨。