安全狗解讀資料出境處罰第一案

10 月 24 日,科技部官網更新了 6 條處罰資訊,華大基因、藥明康德、復旦大學附屬華山醫院、昆皓睿誠、廈門艾德生物、阿斯利康等 6 家單位涉及其中。值得注意的是,根據安全狗核實的資料,這是科技部首度公開涉及人類遺傳資源的行政處罰。

根據公開新聞的報道

經查明,存在以下違法違規行為:華大科技與華山醫院未經許可與英國牛津大學開展中國人類遺傳資源國際合作研究,華大科技未經許可將部分人類遺傳資源資訊從網上傳遞出境。上述行程式設計客棧為違反了《人類遺傳資源管理暫行辦法》第四條、第十一條、第十六條規定。

《人類遺傳資源管理暫行辦法》第四條規定,國家對重要遺傳家系和特定地區遺傳資源實行申報登記制度;未經許可,任何單位和個人不得擅自採集、收集、買賣、出口、出境或以其他形式對外提供。

新聞的詳細內容安全狗就不在這裡引用了,感興趣的小夥伴可以自行搜尋了解,總之,就華大科技這一案例而言,這是涉及了 14 萬孕婦基因資訊、公開可查的第一例資料出境處罰的案例。

從網路安全的角度來說,資料的儲存和傳輸是受到《網路安全法》的約束的

第 37 條:關鍵資訊基礎設施的運營者在中華人民共和國境內運營中收集和產生的個人資訊和重要資料應當在境內儲存。因業務需要,確需向境外提供的,應當進行安全評估。

這裡有兩個關鍵詞:

關鍵資訊基礎設施和安全評估。

首先是關鍵資訊基礎設施的問題

雖然沒有明確的直接說明,但這樣乙個滿足了等保**標準、儲存了至少 14 萬人重要資訊的資訊系統,重要性是不言而喻的,而在實際操作過程中,關鍵資訊基礎設施的等www.cppcns.com級保護定級標準一般不會小於**。

至於安全評估的標準,我們可以參考這份檔案:《資訊科技資料出境安全評估指南》,狗哥把相關的條目截了個圖。

很顯然,按照附錄a.18 的規定,此次華大基因的 14 萬中國孕育dna資料是資料重要資料,在出境前是需要進行安全評估的。

根據法律的規定,向境外提供重要資料的需要啟動自評估流程,同時制定資料出境計畫,包括但不限於:

數www.cppcns.com據出境目的、範圍、型別、規模

涉及的資訊系統

中轉國家和地區及安全控制措施等

如果資料出境活動不具有合法性和正當性,那麼不得出境;在此基礎上再評估資料出境計畫是否風險可控,避免資料出境後被洩露、濫用等風險。最終,網路運營者需要形成乙份資料出境計畫評估報告,至少儲存 5 年。

同樣來自於《資訊科技資料出境安全評估指南》的原文規定,合法正當評估中應包括以下要點

我們還要注意一點,如果出境程式設計客棧的資料涉及到了個人資訊,那麼被採集資訊的個人是必須授權同意的,這一點在這個新聞案例裡存疑,這 14 萬孕婦不見得每人都同意出境,或者被用於其他的用途,這也是這個案例值得深思的另一面。

守信、守法、合規是企業應盡的義務,本次案例說明,網路安全的建設不僅僅是技術和裝置方面的更新迭代,也需要企業的高度自律,更重要的是更有效的監管。資料主權是事關國家的核心利益的問題,是網路安全的重要組成部分,安全狗將會和安全行業一道守好國家網路安全的藩籬。

本文標題: 安全狗解讀資料出境處罰第一案

本文位址: /news/media/158889.html