二、司法解釋

由于《數據安全法》《網絡安全法》和《個人信息保護法》生效時間較短，進入司法審判程序的案件較少，因此現階段與數據安全合規相關的司法解釋主要集中于刑事與民事領域，主要涉及數據犯罪和數據、個人信息侵權問題。

（一）《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》

自2017年6月1日起正式實施的《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》聚焦于侵犯公民個人信息罪，對個人信息概念界定、情節嚴重認定、競合犯處理規則、個人信息數量計算、罰金數額確定等司法實踐中的核心問題作出了規定。在開展數據安全合規工作時，若數據中包含姓名、身份證件號碼、通信聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等個人信息，必須注意，一方面，不能違反國家有關規定，通過購買、收受、交換等方式獲取公民個人信息，或者在履行職責、提供服務過程中收集公民個人信息；另一方面，在未經被收集者同意的情況下，不得將合法收集的公民個人信息向他人提供，或通過信息網絡或者其他途徑發布公民個人信息。

（二）《最高人民法院、最高人民檢察院關于辦理非法利用信息網絡、幫助信息網絡犯罪活動等刑事案件適用法律若干問題的解釋》

自2019年11月1日起實施的《最高人民法院、最高人民檢察院關于辦理非法利用信息網絡、幫助信息網絡犯罪活動等刑事案件適用法律若干問題的解釋》對《刑法修正案（九）》新增的拒不履行信息網絡安全管理義務罪、非法利用信息網絡罪、幫助信息網絡犯罪活動罪三個罪名的適用作出了規定。在這三個罪名中，又以拒不履行信息網絡安全管理義務罪與數據安全合規的關系最為密切。根據《刑法》第二百八十六條之一與該司法解釋的規定，提供網絡接入、域名注冊解析等信息網絡接入、計算、存儲、傳輸服務；提供信息發布、搜索引擎、即時通訊、網絡支付、網絡預約、網絡購物、網絡游戲、網絡直播、網站建設、安全防護、廣告推廣、應用商店等信息網絡應用服務；以及利用信息網絡提供的電子政務、通信、能源、交通、水利、金融、教育、醫療等公共服務的，都屬于網絡服務提供者。網絡服務提供者不履行法律、行政法規規定的信息網絡安全管理義務，經監管部門責令采取改正措施而拒不改正，致使違法信息大量傳播；用戶信息泄露，造成嚴重后果；刑事案件證據滅失情節嚴重；或有其他嚴重情節的，應以拒不履行信息網絡安全管理義務罪定罪處罰。“其他嚴重情節”主要包括：對絕大多數用戶日志未留存或者未落實真實身份信息認證義務；二年內經多次責令改正拒不改正；致使信息網絡服務被主要用于違法犯罪；致使信息網絡服務、網絡設施被用于實施網絡攻擊，嚴重影響生產、生活；致使信息網絡服務被用于實施危害國家安全犯罪、恐怖活動犯罪、黑社會性質組織犯罪、貪污賄賂犯罪或者其他重大犯罪；致使國家機關或者通信、能源、交通、水利、金融、教育、醫療等領域提供公共服務的信息網絡受到破壞，嚴重影響生產、生活；以及其他嚴重違反信息網絡安全管理義務七種情形。

（三）《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》

為正確審理使用人臉識別技術處理個人信息相關民事案件，保護當事人合法權益，促進數字經濟健康發展，最高人民法院審判委員會第1841次會議通過并頒布了《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》，自2021年8月1日起施行。人臉信息作為一種生物識別信息，具有高度人身綁定性與不可更改性，可作為識別個人的“唯一標識”，生物識別技術應用一旦失控，將對個人的權利、自由，社會秩序乃至國家安全造成重大影響。^[8]因此，該司法解釋規定，信息處理者在處理人臉信息時，不得有以下八種行為：

（1）在賓館、商場、銀行、車站、機場、體育場館、娛樂場所等經營場所、公共場所違反法律、行政法規的規定使用人臉識別技術進行人臉驗證、辨識或者分析；

（2）未公開處理人臉信息的規則或者未明示處理的目的、方式、范圍；

（3）基于個人同意處理人臉信息的，未征得自然人或者其監護人的單獨同意，或者未按照法律、行政法規的規定征得自然人或者其監護人的書面同意；

（4）違反信息處理者明示或者雙方約定的處理人臉信息的目的、方式、范圍等；

（5）未采取應有的技術措施或者其他必要措施確保其收集、存儲的人臉信息安全，致使人臉信息泄露、篡改、丟失；

（6）違反法律、行政法規的規定或者雙方的約定，向他人提供人臉信息；

（7）違背公序良俗處理人臉信息；

（8）違反合法、正當、必要原則處理人臉信息的其他情形。