网安法第22条规定了网络产品及服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；

网安法第41条至第43条规定了相关网络运营者收集、使用个人信息所应该遵循的原则和要求。规定了企业应该明示收集、使用信息的目的、方式和范围，并经被收集者同意，不得收集与其提供的服务无关的个人信息；不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息；不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息等要求。

网安法第64条罚则中规定网络运营者、网络产品或者服务的提供者违反第22条、第41条至第43条规定侵害个人信息的，由主管部门责令改正、处以警告、没收违法所得；情节严重的，可以责令停止相关业务、停业整顿、关闭网站、吊销相关业务许可证或营业执照。

“滴滴企业版”等APP的下架要求，在效果上等同于罚则中的“停止相关业务、关闭网站”，属于对于情节较为严重的违规收集使用个人信息面临的处罚措施。

前面提到网络安全审查办公室7月2日公告将依据国安法、网安法及审查办法对滴滴启动“网络安全审查”。此次“滴滴出行”被启动网络安全审查的公告，可能是“网络安全审查”第一次如此广泛的普罗大众所知悉，事实上，滴滴是审查办法自2020年6月1日实施以来的首次公开实施网络安全审查的著名企业。我们先来看看这些法律关于网络安全审查规定了什么：

国安法规定了国家建立国家安全审查和监管的制度和机制，对影响或者可能影响国家安全的网络信息技术产品和服务,进行国家安全审查，有效预防和化解国家安全风险^[1]。

国安法和网安法“影响国家安全”和“关键信息基础设施”这两个关键词为网络安全审查的确定了基调。也正是在此基础上，国家网信办联合十二个中央部委共同制定了审查办法，对网络安全审查的适用范围、审查原则、审查的流程进行了更为细化的规定。

自滴滴被启动网络安全审查后，网络上关于触发网络安全审查的原因层出不穷，但依据网安法，网络安全审查的触发条件分两类，一是企业因采购网络产品和服务出现影响国家安全的风险，主动报请审查^[2]，二是第十五条的兜底条款，即网络安全审查工作机制成员单位依照职权启动审查^[3]。滴滴出行此次被网络安全审查属于第二种依职权启动的审查，但很难通过网络安全审查办公室寥寥数语的通报知悉对启动审查的具体原因。

那么，安全审查都可以对什么样的企业主体实行？网安法规定关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当进行安全审查^[4]。审查办法同样规定，关键信息基础设施运营者采购网络产品和服务，影响或可能影响国家安全的，应当进行网络安全审查^[5]。

到底什么是“关键基础设施运营者”，网安法第三十一条规定，“国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。”尽管国家网信办曾出台过《关键信息基础设施安全保护条例（征求意见稿）》，但至今尚无正式的文件出台，但根据《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》中的要求，不同行业的主管、监管部门会认定该行业的关键信息基础设施运营者，公司可能会通过其行业主管部门获知其是否被纳入关键信息基础设施运营者^[6]。

而一般来说，当公司所持有的数据足够重要，且数据量足够大时，就很有可能被认定为关键信息基础设施运营者。根据滴滴的招股书披露，2021年第一季度滴滴出行月活用户1.56亿，年活跃用户3.77亿，活跃司机1300万，是中国最大的网约车平台。不难推测，滴滴属于“关键信息基础设施的运营者”，相关部门可以依网安法及审查办法规定的主体要求对其进行网络安全审查。

根据审查办法第十条至第十三条的规定，在启动网络安全审查后，最快需要45个工作日（向运营者发出书面通知之日起30个工作日内完成初步审查，网络安全审查工作机制成员单位和相关关键信息基础设施保护工作部门应当自收到审查结论建议之日起15个工作日内书面回复意见），如果情况特别复杂，可能延长15个工作日。而一旦网络安全审查工作机制成员单位、相关关键信息基础设施保护工作部门意见不一致，会进入特别审查程序，一般在45个工作日内完成，情况复杂的可以适当延长。

而安全审查不合格可能面临的后果有哪些呢？如我们通过相关法条予以预测，可能涉及网络产品或服务停用、罚款等^[7]。

滴滴出行被启动网络安全审查后的第三天，同样依据国安法、网安法和审查办法，网络安全审查办公室启动对“运满满”、“货车帮”、“BOSS直聘”三家纽交所上市企业开始实施网络安全审查。一时间，可能被认定为关键信息基础设施运营者的企业，特别是已经或即将赴国外上市的企业人人自危。这些企业应立即对自身使用或即将采购的网络服务或产品进行合规审查，对于可能存在安全隐患的，及时停用或更换，必要的情况下，及时主动申报安全检查，避免因网络安全审查办公室若启动依职权进行审查而导致企业只能被动应对。

然而，对于数据量并不大，或并非处于关键领域的APP运营者，是否就可以“高枕无忧”了呢？2021年7月10日，国家互联网信息办公室下发关于《网络安全审查办法（修订草案征求意见稿）》（简称“《审查办法草案》”）公开征求意见的通知。在第二条适用主体中，《审查办法草案》相比于《网络安全审查办法》新增“数据处理者开展数据处理活动”纳入网络安全审查的情形，极大地扩大了网络安全审查的适用范围。未来，不仅仅是关键信息基础设施运营者，其他企业在进行数据处理时，也应对其合作的供应商、采购的产品、对数据的处理等进行合规梳理。

此外，《审查办法草案》新增第六条规定“掌握超过100万用户个人信息的运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查”。结合几天前“滴滴出行”、“运满满”、“货车帮”、“BOSS直聘”四个APP被实施网络安全审查，我国监管部门似乎真的要对已经处于灰色地带多年的“小红筹”^[8]实施监管了。考虑到100万用户量对于拟上市企业属于较小的体量，对于未来计划在国外上市的企业进行网络安全审查可能成为必经环节。

如果说网络安全审查是数据合规领域的“后起之秀”，那个人信息保护就是数据合规领域的“常青树”，自2019年起，对于个人信息保护的整改整顿从未停歇。滴滴系的APP均因“严重违法违规收集个人信息”被直接下架，也给其他APP运营商敲醒了警钟，对个人信息保护的重视不能再有一丝懈怠。

根据对以往违规APP通报的总结，APP违反个人信息保护，大多集中在个人信息收集使用、个人信息主体权利保障、个人信息收集适用规则公示等相关，如未公示收集使用规则、超范围收集个人信息、收集个人信息未经用户明示同意等。就个人信息的收集与使用，所有的规则都涵盖在《隐私政策》中，APP的个人信息违规，大多也是因为《隐私政策》不合规或实际业务与《隐私政策》约定的不符，因此，不断地完善《隐私政策》是个人信息保护合规的第一步。

不同公司提供的产品和服务不同，隐私政策的内容也不尽相同，好的隐私政策应当结合企业自身的业务，达到企业的商业目的，因此，建议公司结合自身的业务模式、流程起草相应的隐私政策。并且，个人信息保护领域的法律法规更新很快，现在《中华人民共和国数据安全法》已经出台，将于今年9月1日实施。《个人信息保护法》《数据安全管理办法》等多部法律法规、国家标准处于征求意见稿阶段，公司未来应关注行业最新发展，调整隐私政策以适应新的合规要求。

[1]《国家安全法》第五十九条规定：“国家建立国家安全审查和监管的制度和机制，对影响或者可能影响国家安全的外商投资、特定物项和关键技术、网络信息技术产品和服务、涉及国家安全事项的建设项目，以及其他重大事项和活动，进行国家安全审查，有效预防和化解国家安全风险。”

[2]网安法第五条规定，“运营者采购网络产品和服务的，应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的，应当向网络安全审查办公室申报网络安全审查。”

[3]网安法第十五条规定，“网络安全审查工作机制成员单位认为影响或可能影响国家安全的网络产品和服务，由网络安全审查办公室按程序报中央网络安全和信息化委员会批准后，依照本办法的规定进行审查。”

[4]网安法第三十五条规定：“关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。”

[5]审查办法第二条规定，“关键信息基础设施运营者（以下简称运营者）采购网络产品和服务，影响或可能影响国家安全的，应当按照本办法进行网络安全审查。”

[6]《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》第三条（一）规定，组织认定关键信息基础设施。根据党中央和公安部有关规定，公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的主管、监管部门（以下统称保护工作部门）应制定本行业、本领域关键信息基础设施认定规则并报公安部备案。保护工作部门根据认定规则负责组织认定本行业、本领域关键信息基础设施，及时将认定结果通知相关设施运营者并报公安部。

[7]审查办法第十九条的罚则引用了网安法第六十五条的规定：“关键信息基础设施的运营者违反本法第三十五条规定，使用未经安全审查或者安全审查未通过的网络产品或者服务的，由有关主管部门责令停止使用，处采购金额一倍以上十倍以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。”

[8]“小红筹”是指通过采取股权并购或资产并购等方式，将境内企业权益注入到境外资本运作实体中，以实现境外资本运作实体在境外进行私募股权融资或公开发行上市的目的。