元达数据合规周报

● 国内动态 ●

一、最高人民检察院发布《公益诉讼检察工作白皮书（2023）》
近日，最高人民检察院发布《公益诉讼检察工作白皮书（2023）》（下称“《公益诉讼白皮书》”）。据其统计，2023年全国检察机关共办理涉及个人信息保护的公益诉讼案件6383件。

《公益诉讼白皮书》表明，在互联网时代公益诉讼将扎实开展个人信息保护和反电信网络诈骗领域公益诉讼，并对上述领域取得的突出工作成果进行了列举。在《公益诉讼白皮书》结语部分，其强调下一步全国检察机关将以推动检察公益诉讼专门立法为契机进一步做强公益诉讼检察，有重点分层次加强个人信息保护等新增领域的办案力度。

此前通过的《中华人民共和国个人信息保护法》专门设立公益诉讼条款，将个人信息保护纳入检察公益诉讼法定领域。近年来，全国各地检察机关对侵犯公民个人信息的违法行为依法提起民事、行政公益诉讼，或对负有监管职权的行政机关出具行政诉前检察建议，全方位履行了保护公民个人信息安全的检察职责。

来源：https://www.spp.gov.cn/xwfbh/wsfbh/202403/t20240309_648329.shtml

二、中国民用航空局发布《民航数据管理办法（征求意见稿）》、《民航数据共享管理办法（征求意见稿）》
3月11日，中国民航局在其官网上发布了《民航数据管理办法（征求意见稿）》（下称“《民航数据管理办法》”）、《民航数据共享管理办法（征求意见稿）》（下称“《民航数据共享办法》”）。

《民航数据管理办法》的规定主要有：（1）将民航数据分为三类，分别为公共数据、企业数据、个人信息数据。（2）规定民航数据实行统一目录管理，民航局数据统筹管理部门负责制定民航数据资源目录管理制度。（3）数据采集及治理：数据采集上，数据提供方应无条件提供数据并向行业数据共享与服务平台归集，且保证一次采集，共享适用。（4）数据共享。民航数据共享包括共享平台的行业级数据共享和基于双方协议的点对点数据共享等模式。（5）数据应用，主要规定了公共数据、企业数据、个人数据应用中需要遵守的原则和规则。（6）数据安全上，民航数据依法实行分类分级保护，制定民航领域重要数据和核心数据目录。

《民航数据共享办法》适用于依托各级数据共享与服务平台开展数据共享活动的行为。该办法对数据共享活动分为三种类型，分别为无条件共享、有条件共享以及不予共享。对于无条件共享的民航数据，无需数据提供方授权，民航各级行政部门、民航企事业单位和个人可依法申请使用；对于有条件共享的数据，经数据提供方授权，民航各级行政部门、民航企事业单位可依法申请使用并报相关业务数据管理部门备案；凡列入不予共享类的数据资源，必须有国家和行业相关法律法规等依据。

来源：https://www.caac.gov.cn/HDJL/YJZJ/202403/t20240312_223180.html

三、北京市网信办联合多部门现场指导商家提升扫码服务水平
3月11日，北京市网信办发布文章，总结了2月份以来北京市网信办联合市交通委、市商务局等13个部门开展打击整治强制扫码乱象专项行动的成果。该专项行动聚焦在点餐、停车等人民群众日常重点消费领域，突出通过治理扫描二维码方式在提供服务过程中强制关注公众号、过度收集个人信息等乱象。专项行动通过线索收集、现场指导、集体约谈、合规培训、立案处罚等形式，督导商家优化二维码功能设置，提升市民消费体验，保护消费者个人信息合法权益。

此前，北京市网信办会同市交通委、市商务局、市市场监管局赴北京市2家大型停车场、2家连锁餐饮企业现场检查指导，从检查情况看，商家按照行前下发的问题清单已完成100多个停车场缴费二维码、100多家连锁店面点餐二维码的整改升级，在消费者使用过程中不再强制收集用户微信头像、昵称等个人信息。实地检查时对授权使用后未设置注销功能、寻车功能未弹出隐私政策等新问题，及时向商家进行现场普法和政策讲解，指导商家进一步完善功能设置，推动扫码服务全流程合规。

北京市网信办表示，将密切关注市民关切，结合消费场景过度收集个人信息的相关投诉线索，进一步扩大现场检查和督导整改范围，坚决维护消费领域个人信息安全。

来源：https://mp.weixin.qq.com/s/ddwNDNbX0-wvv0S5pSloQw

四、上海462家商场停车场全面推出停车缴费“纯净码”
3月14日，上海市人民政府办公厅发布文章，公布到目前上海市共462家设有停车场的商场，全部推出了停车缴费“纯净码”（不收集任何个人信息），实现了主要商场停车场景下个人信息保护的全覆盖。“纯净版”停车缴费码要求商家必须遵循个人信息收集最小必要原则，为停车消费者提供最为便捷的扫码方式快速缴费离场，不得出现诱导或强制收集消费者个人信息等违规行为。相较于整改前消费者停车扫码，“纯净码”的推出不但使缴费速度大幅跃升，而且有效落实了个人信息保护相关要求。

上海市网信办相关负责人表示，停车场运营者过度收集个人信息的行为，已违反《个人信息保护法》。下一步网信、市场监管部门将会同有关行业主管部门，全面推动公共停车场地经营者开展自查整改，力争实现全市主要停车场地缴费“纯净码”全覆盖。

来源：https://mp.weixin.qq.com/s/Rmpi5U5pIJ9BV5-OorfHOw

● 国际动态 ●

一、美国通过法案要求字节跳动剥离对TikTok控制权
3月13日，美国众议院以352票支持65票反对通过法案，要求TikTok在180天内从其总部位于中国的母公司字节跳动中剥离。否则，苹果、谷歌等应用商店将不再发布、维护或更新TikTok应用程序或提供网络托管服务。该法案授权美国司法部监管并调查违规行为并依照法案进行处罚。

在此前的3月8日，美国众议院能源和商务委员会以50比0的投票结果一致通过了这项剥离法案。为应对这项法案，TikTok给超1.7亿美国用户发送弹窗予以反击，呼吁用户致电国会议员，给这项法案投反对票。然而，反击并未奏效，截至发稿前，该法案已在美国众议院获得通过。

根据该法案，TikTok有权在法案生效后的165天内对法案本身提起质疑，而针对法案采取的举措、认定或决定的质疑应在上述行为做出之后的90天内提出。在该法案正式生效之前，该法案仍需经过众议院的投票通过和总统的签字生效。若法案最终生效，TikTok或将以该法案是否符合美国宪法第一修正案保护的言论自由权向法院申请合宪性审查。

来源：https://www.congress.gov/bill/118th-congress/house-bill/7521

二、美国FTC宣布加大防范电信营销欺诈力度
3月7日，FTC宣布了两项新规，旨在保护商家免受电信营销欺诈及通过技术手段实施的欺诈行为。两项新规均基于1995年《电信营销销售规则》（Telemarketing Sales Rule“TSR”）并新增适应新时代背景的规则。FTC消费者保护局局长塞缪尔·莱文（Samuel Levine）表示：“今天发布的新规为小型企业提供全新的重要保护措施，并将有助于确保FTC能够对使用AI自动来电和其他新兴技术进行欺诈的营销商采取行动。”新规具体内容如下：

首先，扩大了对可能受到电信营销欺诈的主体保护范围，首次将保护措施适用对象延伸到企业。其次，FTC提出一项拟议规则，旨在提供应对通过技术手段实施的欺诈行为更强有力的措施。这项提议将TSR的范围扩展到涉及技术支持服务的入站电信销售。这意味着FTC将能够更有效地打击涉及技术协助诈骗的行为，并更容易对这类欺诈行为进行民事处罚和实现对消费者的赔偿。

来源：https://www.ftc.gov/news-events/news/press-releases/2024/03/ftc-implements-new-protections-businesses-against-telemarketing-fraud-affirms-protections-against-ai

三、欧盟委员会使用Microsoft 365违反多项数据保护法规定
3月11日，欧洲数据保护监督官员（“EDPS”）表示，欧盟委员会在使用Microsoft 365时违反了几项关键的数据保护规定，并要求欧盟委员会对其违规行为进行整改。

EDPS发现，欧盟委员会违反了《2018/1725号欧盟法规》，其中包括关于个人数据向欧盟/欧洲经济区（EEA）境外转移的规定。首先是当个人数据转移到欧盟/欧洲经济区境外时，欧盟委员会未能提供必要的保障措施，以确保这些数据得到与欧盟/欧洲经济区保障水平相当的保护。此外，在欧盟委员会与Microsoft的合同中，欧盟委员会未能充分说明在使用Microsoft 365时将出于何种目的收集哪些类型的个人数据。同时，欧盟委员会的侵权行为还涉及以欧盟委员会名义进行的数据处理，其中也包括个人数据的转移。

EDPS决定于2024年12月9日起命令欧盟委员会暂停因其使用Microsoft 365导致的所有数据流动，包括流向Microsoft公司以及位于欧盟/欧洲经济区之外的其他国家子公司和子处理器。同时，要求欧盟委员会在其使用Microsoft 365中的所有数据处理必须符合《2018/1725号欧盟法规》。

来源：
https://www.edps.europa.eu/press-publications/press-news/press-releases/2024/european-commissions-use-microsoft-365-infringes-data-protection-law-eu-institutions-and-bodies_en
 https://www.edps.europa.eu/system/files/2024-03/EDPS-2024-05-European-Commission_s-use-of-M365-infringes-data-protection-rules-for-EU-institutions-and-bodies_EN.pdf


四、EDPB公布一案件裁决：未告知数据主体已删除个人数据的行为违反GDPR透明化原则
3月12日，EDPB公布了一起由匈牙利数据保护监管部门（“DPA”）审理的违反GDPR规定的案件，认定涉事航空公司在处理数据主体的个人信息时违反多项GDPR规定。该案件的起因是该数据主体于2018年10月23日，要求作为数据控制者的航空公司删除所有在线交互界面上的个人数据。根据航空公司的申明和其在用于处理删除请求的IT系统相关截图显示，航空公司于2018年11月23日删除了数据主体的账户，但未能在2019年3月6日之前通知数据主体。

匈牙利DPA审理认为，由于航空公司未在规定时间内将其就数据主体的请求所采取的行动通知该数据主体，因此违反GDPR第12（3）条中的规定。此外，由于数据主体在提出删除账号和相关个人数据的申请后，无法预见航空公司依据该申请进行的信息处理行为所的合法性依据以及具体花费的时间。因此，航空公司对该数据主体申请范围外的个人数据处理行为违反GDPR第5（1）条第（a）项中的规定。

由此，匈牙利DPA要求航空公司必须依照GDPR第58（12）条第（g）项中的规定删除个人数据，以符合其中对数据主体进行数据保护权利主张等活动时的记录要求。另外，对于以上违反GDPR的行为，对航空公司处以约合欧元13,244元的罚款。

来源：https://www.edpb.europa.eu/news/news/2024/failure-airline-company-inform-data-subject-completion-erasure-request-failure_en


五、意大利数据保护监管部门Garante对OpenAI Sora发起调查
近日，意大利数据保护监管部门Garante对美国公司OpenAI发起调查。OpenAI于近期发布了新AI视频生成模型Sora。根据OpenAI声明，Sora可以根据简短的文字指令创造动态、写实且富有想象力的场景。

鉴于Sora存在对位于欧盟和意大利境内的个人数据进行处理的可能性，Garante在此次调查中要求OpenAI给出相关解释。对此，OpenAI应在20天内向Garante阐述Sora是否已向公众公开，以及是否或即将提供给向欧盟尤其是意大利用户使用。具体而言，OpenAI需要向Garante说明以下问题：（1）Sora的算法是如何训练的；（2）Sora如何收集和处理用来训练算法的数据，特别是个人数据；（3）Sora是否可能收集特殊类别的数据（如宗教信仰、政治观点、基因数据、健康等）；（4）Sora使用的数据来源。

Garante补充说明，如Sora将作为一项服务提供给欧盟的用户，OpenAI需要说明采取何种措施，向用户和非用户告知其信息处理程序以及该程序运行所依据的规则符合欧洲相关法律规定。

来源：https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9991867


六、新加坡个人数据保护委员会PDPC发布在AI系统中使用个人数据的指南
新加坡个人数据保护委员会（Personal Data Protection Commission, “PDPC”）发布《关于在AI推荐和决策系统中使用个人数据的咨询指南》（下称“《指南》”）。《指南》宗旨在于：
（1）
明确
AI
使用者如何符合当地个人数据保护法规（即
The Personal Data Protection Act
）要求使用个人数据训练或开发
AI
系统。
（2）
提供基本指南和最佳实践，指导
AI
使用者如何将其
AI
系统使用个人数据的操作透明化，从而使用户明确数据处理的过程。

《指南》在内容上以AI系统的实施周期作为划分标准，分为三部分：其一，阐述在AI系统开发、测试及监控中如何使用个人数据；其二，说明如何在AI系统中收集和使用个人数据，告知相关组织应履行同意、通知以及合规等义务；其三，给出了AI服务供应商应如何支持AI使用者实施AI系统的最佳方案。

来源：https://www.pdpc.gov.sg/-/media/files/pdpc/pdf-files/advisory-guidelines/advisory-guidelines-on-use-of-personal-data-in-ai-recommendation-and-decision-systems_1mar2024.pdf

撰稿人

潘尤迪
权益合伙人
+86 21 6105 0917 
Apan@yuandawinston.com

宋如静律师+86 21 6105 0912csong@yuandawinston.com

黄凯莉国际法律助理+86 21 6105 0545
khuang@yuandawinston.com