全球網絡安全政策法律發展情況如何？

全球網絡安全政策法律依舊高度繁榮，“沖突與合作”仍然是主旋律。各國對于新興網絡安全議題的反應更加迅速，在重點領域取得諸多進展。

一、局部區域沖突延宕，競爭與合作交織并存

2024 年國際秩序重塑與利益格局調整仍處于深刻而復雜的蛻變期。全球網絡空間中，一方面各國在經濟、政治等多個安全層面和維度的角逐依然激烈，俄烏沖突延宕、巴以沖突擴大蔓延背景下的外溢風險加劇，網絡空間“升格”為主要戰場，為全球安全格局增添諸多不確定性，安全風險的應對機制面臨嚴峻挑戰；另一方面，全球主要經濟體在既有的地緣政治經緯上加強合作，探索網絡空間中的數字經濟貿易、智能科技創新等方面的新型合作路徑。

二、關基安全保護規則持續細化，實踐應用日益深化

面對變亂交織的國際形勢和日趨嚴峻的網絡安全態勢，保障關鍵信息基礎設施（以下簡稱“關基”）的安全彈性依舊是各國網絡安全保障的重中之重，外國勢力、勒索攻擊、人工智能等新技術在安全威脅中的應用、物理破壞等都成為各國關鍵信息基礎設施安全保護的考量因素。美國國家網絡主任辦公室發布的首份《2024 年美國網絡安全態勢報告》表示，“美國關鍵基礎設施面臨著不斷演變和不可接受的網絡風險。民族國家的對手正在發展網絡能力并獲得訪問權限，以破壞或摧毀美國及其盟國的關鍵基礎設施。”CISA表示“涉及關鍵基礎設施的網絡事件會迅速蔓延至相互依賴的基礎設施，甚至影響公眾”。

同時，多國網絡安全機構均指出諸多關鍵基礎設施并未為未來的網絡安全風險做好準備。如五眼聯盟網絡安全機構發布的《關鍵五國適應不斷變化的威脅：關鍵五國保障關鍵基礎設施安全彈性的方法概要》報告中表示“許多關鍵基礎設施對未來沒有做好準備”。CISA的網絡安全咨詢委員會（CSAC）發布的《構建關鍵基礎設施彈性》報告草案指出“除少數例外情況，關鍵基礎設施和政府機構尚未為國家沖突造成的競爭環境做好準備。”澳大利亞網絡和基礎設施安全中心發布的第二版《關鍵基礎設施年度風險評估》報告也認為“大部分行業仍未達到網絡素養和意識的基本水平。”2024 年，以美國、歐盟、中國在內的主要國家和地區在關基安全保護的政策立法及安全實踐方面持續推進，延續、更新、細化保護規則，深化關鍵基礎設施內涵，強調風險發現和安全評估，并進一步加強行業、國家間協調配合。

三、數據安全政策立法蓬勃發展，安全與發展導向深度調整

2024 年，數據安全依然是全球網絡安全法治重點，數據安全制度、規則建設持續推進。包括數據安全在內的數據法治成為深度影響新一輪數字科技革命和產業變革乃至全球數字競爭的重要因素，各國數據政策立法安全與發展取向深度調整，數據法治體系在數據安全保護的基礎上愈加充盈，作為數字經濟立法的數據立法進一步發展，以促進技術進步與法治變革的良性互動。數字競爭、地緣政治等因素持續深度影響全球數據安全法治態勢，隨著對數字貿易需求的認知增加和經濟增長的迫切需求，數據跨境的便利性和安全性如何協調，仍是各國數據安全政策立法的重中之重。以人工智能技術為代表的新一輪信息技術變革帶來數據安全風險持續引發關注并導致部分既有政策法律的失效，各國開始積極探索、建立人工智能中的數據安全監管規則。

四、個人信息保護立法不斷完善，執法力度持續強化

個人信息政策立法在國際環境的復雜性與不確定性中不斷演進、持續完善，執法力度不斷強化。同時，地緣政治影響個人信息跨境流動規則，人工智能等新技術持續沖擊個人信息保護的傳統規則。

1. 保護規則精細化趨勢明顯，法律貫徹實施力度加強全球個人信息或者隱私保護專項立法制定修訂頻繁。智利、埃塞俄比亞等國家頒布首部個人數據保護基本法，填補本國在該領域的立法空白，全球擁有統一個人數據保護制度的國家群體進一步壯大。部分國家緊密貼合個人信息保護新形勢和新需求，及時調整、優化已有立法，典型如，澳大利亞皇室批準《2024 年隱私和其他立法修正案》，修訂《1988 年隱私法》以落實政府在回應《1988 年隱私法》審查報告時所承諾的首批改革措施。馬來西亞通過《個人數據保護法（修正案）》，修訂 2010 年《個人數據保護法》，增加強制數據泄露通知義務，將生物識別數據納入敏感個人數據，加大處罰力度等。以色列通過《隱私保護法（修正案）》，強化隱私保護機構的監督執法權力，減少數字信息數據庫的注冊義務降低監管負擔等。土耳其通過《個人信息保護法（修正案）》，對敏感個人數據處理以及個人數據跨境傳輸等方面進行修訂。智利官方公報公布《個人數據保護法》，以使其個人數據保護水平接近歐盟 GDPR 以及其他拉美個人數據保護先進國家的標準和水平。

同時，歐盟、英國、美國等個人數據保護或隱私保護立法先行地區或者國家持續細化、完善個人信息保護規則。歐盟持續推進GDPR適用和執法一致性工作。歐盟數據保護委員會發布《2024—2025年工作計劃》，圍繞四大支柱提出關鍵行動，包括針對GDPR的關鍵問題和概念制定進一步指導方針，支持制定和實施針對控制者和處理者的合規措施，針對歐盟個人數據保護方面的重要問題向歐盟立法機構提供建議等。歐盟網絡安全局發布《歐盟數據空間中個人數據保護工程》報告，強調歐洲數據空間中個人數據保護的設計原則。美國猶他州通過有關特殊領域、特殊主體個人信息保護的立法。其中，《機動車消費者數據保護法》對聯網或“智能”車輛供應商管理作出要求和限制，《社交媒體監管修正案》要求社交媒體平臺對未成年人賬戶實施年齡驗證和家長控制，《訪問受保護健康信息》澄清第三方請求提供醫療記錄或付款和余額信息所涉及的個人權利和義務。加利福尼亞州發布首份針對《加州消費者隱私法》的執法建議《將數據最小化應用于消費者請求》，將數據最小化作為CCPA的一項基本原則，防范未經授權的數據訪問活動。

韓國持續發布相關指南，強化個人信息保護合規指引，包括《假名信息處理指南（修訂）》《個人信息處理政策評估通知》《公共機關提供假名信息實務指南（21.1）》《海外企業個人信息保護法適用指南》《處理人工智能（AI）開發和服務中使用“公開數據”標準指南》《數據主體自動化決策指南》《移動型影像信息處理設備個人信息保護指南》等。 中國《網絡數據安全管理條例》進一步完善細化個人信息保護要求。國務院發布《消費者權益保護法實施條例》，對經營者的個人信息保護義務作出規定。國家郵政局發布《寄遞服務用戶個人信息安全管理辦法（征求意見稿）》，規范寄遞企業用戶個人信息處理活動。公安部、國家互聯網信息辦公室等發布《國家網絡身份認證公共服務管理辦法（征求意見稿）》，旨在實施網絡可信身份戰略，強化公民個人信息保護。國家標準層面，《數據安全技術基于個人請求的個人信息轉移要求（征求意見稿）》《數據安全技術個人信息保護合規審計要求（征求意見稿）》《網絡安全標準實踐指南——敏感個人信息識別指南》等相繼發布。

執法方面，歐盟及其成員國圍繞 GDPR 的執法持續活躍。其中，愛爾蘭數據保護委員會因職業社交平臺LinkedIn 違反GDPR規定，將用戶個人數據用于行為分析和定向廣告，對其處以3.1 億歐元罰款，是 2024 年度 GDPR 執法中最高的一筆罰款。美國個人信息與隱私保護相關執法力度進一步強化。州層面，得克薩斯州檢察長與Meta達成 14 億美元的和解，原因是 Meta 在未經用戶授權的情況下使用個人生物識別數據。該和解結束了得克薩斯州總檢察長在2022 年向州法院提起的訴訟指控，即 Meta 在未經德克薩斯民眾同意的情況下對上傳到 Facebook 的照片使用面部識別軟件。韓國大力推進《個人信息保護法》實施，個人信息保護委員會因未經許可處理個人敏感信息對Meta 處以 216 億多韓元（約合人民幣 1.12 億多元）的行政罰款。