（关注本公众号"炼石网络CipherGateway"，回复关键词“炼石就是数据安全018”，可打包下载《2022年国外数据安全政策研究报告》原文PDF版以及14个国家的80余项数据安全政策原文PDF版。本公众号文章由于微信后台排版5万字限制，只展示部分内容，请关注后下载完整版报告原文。）

声明：北京炼石网络技术有限公司对本文的内容及相关产品信息拥有受法律保护的著作权，未经授权许可，任何人不得将文章的全部或部分内容以转让、出售等方式用于商业目的使用。转载、摘编使用本文章的文字或者观点的应注明来源。文章中所载的材料和信息，包括但不限于文本、图片、数据、观点、建议等各种形式，不能替代律师出具的法律意见。违反上述声明者，本公司将追究其相关法律责任。文章撰写过程中，为便于要点说明和涵义解释，引用了一系列的参考文献，内容如有侵权，请联系本公司修改或删除。

在个人数据跨境流动方面，《95指令》明确，成员国向第三国转移个人数据，需以第三国对个人数据提供充分保护为前提。而判断第三国对个人数据保护是否充分，应围绕数据传输操作的情况来评估第三国提供的保护水平的充分性；应特别考虑数据的性质、拟处理操作的目的和持续时间、数据来源国和最终目的地国、第三国现行的一般和部门法律法规以及该国遵守的专业规则和安全措施。

明确法规的适用范围：该法规适用于两类主体，一类为英国能源、交通、健康和数字基础设施部门的基本服务运营商（OES）；另一类为数字服务提供商（DSP）。二者必须采取适当相称的技术和网络安全对策，以管理其基础服务或数字服务所依赖的系统风险。该条例不适用于被视为“微型或小型企业”的DSP（雇用少于50人且年营业额和/或资产负债表总额低于1000万欧元（约870万英镑）的组织）。

细化责任主体法定义务：OES和DSP必须采取措施，保障网络和信息系统安全，具体包括：评估风险，预防和尽量减少安全风险事件的影响，且及时向有关当局报告安全风险事件；开展业务连续性管理，监控和测试过程和程序是否符合国际标准。

规定“重大”事件的评判标准：该法规规定组织不得迟于72小时，向其主管当局报告“重大”事件。对于OES ，在确定事件是否为“重大”时必须考虑三个因素：受中断影响的用户数量、中断的持续时间、受事件影响的地理区域大小。对于DSP，以下情况将判定为重大事件：事件导致超过500万用户服务不可用；影响超过100000名用户的网络或信息系统访问的数据失去机密性、完整性、可用性或真实性；对公共安全或生命损失的风险；或者对至少一名用户造成的财产损失超过100万欧元（约合86万英镑）。

明确合规性评估部门：国家网络安全中心 (NCSC) 是英国的国家技术机构，负责提供网络安全方面的建议和协助，为其计算机安全事件响应团队 (CSIRT) 提供技术建议和单点联系 (SPOC)。

明确适用范围：该法规适用于英国的数据控制者或数据处理者处理的个人数据；英国 GDPR也适用于不在英国设立的数据控制者或数据处理者，处理英国的个人数据（向英国的数据主体提供商品或服务，或正在监控数据主体的行为，其中这种行为发生在英国）的情况。

衔接欧盟GDPR对于数据控制者的要求：英国GDPR延用欧盟GDPR数据保护的原则，这些数据原则包括透明度、目的限制、存储限制、数据最小化、准确性、完整性和保密性以及问责制。

规定数据主体的权利：英国GDPR下数据主体的权利与欧盟GDPR赋予数据主体的权利大致相似，包括知情权、访问权、更正权、删除权、数据可移植性、不受自动决策影响的权利以及反对或选择退出的权利。但英国GDPR对于部分内容做了更改：访问权——访问数据主体的个人数据将“影响公司金融工具的价格或相关行动决定”或“损害英格兰银行特定职能”的情况不允许数据主体访问；更正权——“损害旨在保护公众的特定功能”或“与披露个人数据的法定义务相悖”等情况不允许更正其个人数据。

英国GDPR对向第三方传输个人数据施加更多限制：根据法律，只有在出于执法目的而需要进行此类转移时，才允许转移；数据转移活动应在第三方国家/地区充分的数据保护措施的前提下开展；或在其他适当的保护措施到位的前提下；或针对特定的特殊情况；或与第三方国家的相关当局或国际组织有关，例如履行执法相关职能的国际机构。

脱欧后重新制定罚则：英国需要一种新的方式，惩罚2020年脱欧后发现的违规数据控制者。因此，信息专员办公室或ICO有权执行英国GDPR，罚则与欧盟GDPR类似。

该法案提出，借助英国脱欧，创建一个世界级的数据权利制度，从而建立一个新的有利于增长和值得信赖的英国数据保护框架，以减轻企业负担、促进经济发展、帮助科学创新并改进英国人民的生活；对信息专员办公室 (ICO) 进行现代化改造，确保其有能力和权力对违反数据相关立法的机构采取更有力的行动，同时要求其对议会和公众更加负责；增加行业对智能数据计划的参与度，使公民及小企业对他们的数据有更多的控制权，并通过帮助改善在健康和社会护理环境中个人数据主体对数据的适当访问来帮助需要医疗保健的人。

同时，该法案指出，通过减轻英国企业所面临的负担提高其竞争力和效率，例如建立一个注重隐私结果的数据保护框架；通过更有效地提供公共医疗保健、安全和政府服务，确保数据可用于赋予公民权利并改善他们的生活；为个人数据使用创造更清晰的监管环境，推动负责任的创新并推动科学进步；确保监管机构对违反数据权利的组织采取适当行动，并确保公民对其权利有更明确的认识；简化研究规则，以巩固英国作为科技超级大国的地位。

1978年，《信息技术与自由法案》制定，这部法律是法国保护数据安全的起源法律之一。该方案明确阐述了信息技术发展与信息安全的关系，即：“信息技术应该为每个公民服务。它的发展应在国际合作的背景下进行。它不得侵犯人的身份、人权、隐私及公共自由等。”在该法律的基础上，法国的《个人数据保护法》及《数据保护法》分别在2018年末生效和发布，根本目的在于保障法国的个人数据和重要数据的安全。

该方案提出了数据跨境的前提：如果作为数据接收方所在国家的非欧洲共同体成员国家，在实际或可能处理的个人数据方面，没有为个人隐私、自由和基本权利提供足够的保护，则数据控制者不得将个人数据传输到非欧洲共同体成员国；国家提供保护的充分性应特别考虑到该国现行规定和该国适用的安全措施，以及数据处理的具体特征，包括其目的和持续时间、数据性质、数据来源、目的地等特征。

以及不满足前提的情况下，依然可以进行数据跨境的例外条件，如：以保护数据主体的生命为目的；以保护公共利益为目的;为履行法律义务，确保法定权利的正常行使；依据法定条件，将信息录入公共登记册，并根据立法和监管规定，信息所录入的登记册本身旨在供公众参考，且公开供公众咨询或由任何证明合法利益的人使用；履行数据控制者与数据主体之间的合同，或为响应数据主体的要求而采取的合同前措施;在数据控制者与第三方之间订立或履行合同，无论是为了数据主体的利益而订立或将要订立的合同。

2003年，在意大利宪法和《数据保护法》等法律法规的基础上，国会制定通过了《意大利个人数据保护法典》。提出了“每个人都有权保护与自己有关的个人数据”的个人数据保护基本原则，以及“确保在处理个人数据时尊重数据主体的权利、基本自由和尊严，特别是在保密、个人身份和个人数据保护权方面”的法规义务。后面的《电子商务法》和《消费者法典》则是适应于不同场景的个人数据保护。

国家战略方面，2013年，意大利发布了《国家网络空间安全战略框架》（National Strategic Framework for Cyberspace Security）。战略涵盖了对国家安全、因为网络安全问题而对经济带来危害的描述，对意大利网络安全能力的评估，公共和私营部门作为利益相关方在网络安全中的责任划分。而与之相配套的《网络空间保护及ICT安全国家计划》确定了具体的战略和业务目标。这两份重量级战略文件与意大利的数字议程结合在一起，有效推动了该国的数字经济发展。

该法典提出“每个人都有权保护与自己有关的个人数据”的个人数据保护基本原则，以及“确保在处理个人数据时尊重数据主体的权利、基本自由和尊严，特别是在保密、个人身份和个人数据保护权方面”的法规基本目的。

该法案提出了最小化原则：信息系统和软件应该最小化配置个人数据的使用和识别,基于数据处理方式,如果个人数据处理需求通过使用匿名数据或合适的安排可以实现，则“允许识别数据对象”的数据处理模式只应在必要的情况下使用。

法典提出，在以下情况中个人数据可以合法的跨境传输：

1）数据主体已明确同意，如果涉及敏感数据，需以书面形式表示同意；

2）如果传输对于数据处理者而言是作为合同主体的一方履行其合同义务所必须的，或者在签订合同之前应个人数据主体之要求而采取措施，或为了签订或履行以个人数据主体的利益而签订的合同；

3）数据传输对维护法律或法规所提及的重大公共利益是必要的；

4）如果数据传输对于保护第三方的生命健康是必要的。如果此目的涉及特定个人数据主体，且该特定个人数据主体无法授权同意，则可以由能够合法代理数据主体的实体或直系亲属、家庭成员，与数据主体同住的人，或者其他相关人代为授权同意；

5）如果数据传输对辩护律师进行调查是必要的，或者是为了确立或辩护法律索赔（前提是该数据仅为上述目的而转移，并且不超过适用于商业和工业保密的现行立法所需的时间）；

6）如果数据传输是应查阅行政记录或公开提供的登记册、清单、记录或文件所载信息的请求而进行的，则按照适用于这一标的物的规定进行；

7）如果数据传输是必要的，比如完全出于科学或统计目的、或仅用于历史目的等；

8）如果数据传输涉及到法人、机构或协会相关的数据。

法令第16条免除了“信息侵权”的赔偿责任，条件是提供者：

1）“不了解活动或信息是非法的，并且，关于损害赔偿诉讼，不了解使活动或信息的非法性显而易见的事实或情况;

2）立即采取行动，在与主管当局进行适当沟通且知道此类事实后，立即删除信息，或禁止访问此类信息”。

该战略提出了加强国家网络防御能力的六大指导方针：

1）增强所有与网络安全相关的机构的技术、运营和分析能力，以利用国家能力对多维度网络威胁进行分析、预防、缓解和有效应对;

2）加强保护关键基础设施和战略资产免受网络攻击的能力，同时确保其业务连续性并完全符合国际要求、安全标准和协议；

3）促进旨在积极推动保护国家知识产权和技术创新的所有公私伙伴关系;

4）在公民和机构中推广安全文化，同时利用学术界的专业知识，提高用户对网络威胁的认识;

5）加强有效抑制网络犯罪活动的能力，符合国家和国际规范;

6）全力支持网络安全领域的国际合作，特别关注意大利作为其成员的国际组织及其盟国正在进行的举措。

俄罗斯国家数据安全制度体现在四个重要方面：信息安全贯穿俄罗斯国家数据安全始终，个人数据安全突出俄罗斯国家数据安全特点，网络数据安全凸显网络安全与国家安全的密切关系，商业数据安全凸显国家经济安全。

联邦层面上，1986年《计算机欺诈和滥用法》、2021年《关于加强国家网络安全的行政命令》是由总统签署发布，聚焦于网络安全的保护；1974年《隐私法案》、1986年《电子通信隐私法》、2018年《澄清海外合法使用数据法案》是经由国会通过，针对个人信息和隐私的保护。

1974年12月，美国国会通过《隐私法案》，该部立法是美国为保护公民隐私权和知情权出台的重要法律，旨在平衡政府保有个人信息需求和个人隐私权保护之间的利益分歧，以保障公民免受联邦机构收集、维护、使用和披露有关个人个人信息，无端侵犯其隐私的权利。

《计算机欺诈和滥用法》列举了获取国家安全信息、泄露机密、侵入政府电脑、获取欺诈和获取价值、损坏计算机或信息、贩卖密码、威胁要损坏计算机七类犯罪活动，以及“侵入计算机的局外人”、“超出其授权范围的入侵者”两种违法情形。

巴西形成以《巴西联邦宪法》为中心，合规监管双发力的立法体系。《巴西联邦宪法》提出个人隐私权不可侵犯”的要求，成为数据安全立法基石，2018年《巴西通用数据保护法》颁布，形成巴西数据安全行政法规、规章法律框架，成为巴西的主要个人数据保护法律，围绕数据安全和个人信息保护，巴西颁布《巴西信息获取法》和《巴西网络民法》对规范互联网法律框架，对巴西公共信息获取提出保护要求。

巴西于1988年10月颁布的《宪法》不仅保护包括通信、电报、电话和数据通信保密性在内的隐私权，还涉及消费者保护。此次修正中，《宪法》第 5 条涉及个人和集体权利的修正案增加了一个新部分，指出“保护个人数据的权利，包括在数字媒体中的权利，是根据法律条款得到保障的。

账号注册人拥有免费访问数据库中个人及相关信息权利，经理有责任通过电话或其他方式维护安全系统。

处理个人数据过程中，提前告知存储、数据库管理员的身份、处理个人数据的目的以及共享时数据的接收者。

在个人信息保护方面，自1988年《行政机关计算机处理的个人信息保护法》正式公布生效至今，历经多次修订，如今现行的《个人信息保护法》（2020年）搭建了日本个人信息保护的立法制度体系。

在网络安全方面，2000年《保护信息系统免受网络攻击行动计划》是日本在该领域首个政策文件，2013年《网络安全战略》、2014年《网络安全基本法》、2015年《网络安全战略（第二版）》、2018年《网络安全战略（第三版）》、2022年最新版《网络安全战略》，构建了网络空间相关的法律框架，致力于构建“自由、公平、安全的网络空间”。

2013年6月10日，日本国家信息安全中心发布《网络安全战略——构建世界领先的坚强而充满活力的网络空间》。这一战略明确提出构建“世界领先的”、“坚强的”、“充满活力的”网络空间，标志着网络安全政策从信息安全政策中独立出来。

实体法与程序法并举：该法不仅规定电子合同、电子签名等实体法律内容，而且对电子证据、管辖权、上诉法庭等程序问题进行了规定。

注重效率与安全：该法出于交易安全的考虑，规定“确认回执”。随着电子商务的快速发展，2008年《信息技术法案》删除了“回执”的要求，有利于加快电子商务流通。同时，印度政府试图改革国家加密政策，以方便电子商务的发展，以及对于网络恐怖主义和网络洗钱行为的监控。此外，该法2008年加强网络犯罪的惩罚，2011年细化网络服务提供商的责任，既保障了安全，又实现了效率。

政府主导，兼顾当事人自主：印度采用政府主导模式，对于电子认证机构均实施强制许可制度，任何未获得官方许可的机构不得从事电子认证服务。

立法目的具有多重性：该法案强调“隐私权” 是一项基本权利，法律有必要将个人数据作为隐私信息的重要方面予以保护。法案也提出保护公民利益、贸易和工业利益、国家利益，希望以公民利益为重点，但也同时强调“为了国家安全，政府机构有权访问个人数据并进行调查”。可见，该法案目的虽以保护个人自由和基本权利为核心，终极目的仍是“国家利益至上”，并兼顾其他不同目标。

采用统一立法模式：印度各邦可以制定各自的法律，但若该法案的条款与现行有效的任何其他法律不一致时，本法案具有优先效力。

立法内容具有印度特色：从数据保护立法内容上看，印度制定的个人数据保护法在许多方面与欧盟《通用数据保护条例》趋同，体现了国际数据保护立法的大趋势。在域外管辖方面，效仿欧盟规定了宽泛的涉外管辖范围，只要涉及收集和处理本国居民的个人数据，则不论企业是否在境内有实体均受管辖。

该《政策》提出拟实现的14项目标和拟采取的若干战略：包括创建一个安全的网络生态系统，使IT系统和在网络空间中发生的交易得到足够的信任，并强化IT在印度所有经济部门中的利用；创建一个可信框架，以实现安全策略的设计，并通过产品、过程、技术和人员的一致性评估，促进其与全球安全标准和最佳实践的兼容；加强监管框架以确保安全的网络空间生态系统；创建和加强全国性的、部门性的全天候无间断的网络安全机制等。

明确拟采取的战略：包括创建稳固的网络生态系统以及保险框架、鼓励开放标准、加强监管框架、创建安全威胁早期预警、漏洞管理和应对安全威胁的机制、保障电子政务服务安全、关键信息基础设施的保护与弹性、推动网络安全的研究与开发、降低供应链风险以及人力资源开发等。

澳大利亚隐私权的相关立法体现在联邦、省和地区的法案中。1988年制定的澳大利亚《隐私权法》( the Privacy Act 1988)是关于个人信息保护的一项法律，该隐私权法最大的特色即为制定隐私权保护原则，该原则是对于有关个人信息的操作管理设定概括性的标准，它所适用的情形包括：个人信息的收集(例如，填写表格) ; 个人信息的使用和透露；个人信息的准确性:个人信息持有的安全性；个人取阅个人信息的权利等等。

《隐私权法》的规范范围甚广，包含税务、医疗、信用资料等范畴，其就隐私权问题处理模式的规定也相当完整，各类别信息的处理方式均深受信息隐私权的限制。《隐私权法》中规定的原则不是规范性的原则，也就是说该法并没有规定组织机构在每种情形下应该做什么。相反，该法提供了如何操作个人信息的原则，每个组织或机构需要根据各自情况遵守这些原则。如果组织或机构违反了隐私原则，隐私权专员办公室可以进行调查，如果个人的隐私权益受到了侵犯，个人主体也可以向办公室投诉实施侵权行为的组织或机构。

数据公开要注意保护公民的隐私。政府要求各部门各机构在开放数据之前首先要考虑到数据隐私和安全问题，尤其是在跨部门使用的时候更要认真检查。从各类数据的产生，到聚集成各类数据集，直至数据流向目的地，数据应用分析的整个过程每个环节都要设立有效的控制手段。