□ 梁雅丽 唐宛茁

近期，许多互联网企业平台受到网络安全审查，例如滴滴、货满满、货车帮、BOSS 直聘等知名网络平台，相关部门对其作出了“下架”“暂停新用户注册”等决定。由此，企业对收集公民个人信息的行为应当严格自查，严格规范公民个人信息收集方案，遵循最小必要原则。企业如果无法保证数据安全，就无法保证经营安全。

数据安全解读

在开展合规工作前，对于合规主体和数据性质应当明确以下基础问题。

关于关键信息基础设施运营者的认定。2016 年，《网络安全法》首次在我国法律体系内正式提出“关键信息基础设施”这一概念，并对CII 运营者的安全保护义务与措施、风控措施与应急机制以及相应的法律责任都作了规定，但对CII 的认定和保护范围尚不明确，导致相关条文长期“沉寂”。

直至今年，国务院于8 月17 日发布《关键信息基础设施安全保护条例》（以下简称“《条例》”），对CII安全保护的适用范围、监管主体、评估对象等作出界定，并为安全保护工作开展提供系统指引和工作遵循，实则是对《网络安全法》中关于CII 的16 个条文的进一步细化，从规范体系上为《网络安全法》作了有力补充。

《条例》也让企业在CII 安全保护方面的权利和责任得以合法化，企业如何在数据安全领域自我定位、自我审查，如何开展数据合规得到进一步明示。

根据《条例》第二条，CII 是指“公共通信和信息服务、能源、交通、水利、金融、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等”。……