数据处理

所谓的数据处理，根据《数据安全法》第三条第二款的规定，应当指的是“包括数据的收集、存储、使用、加工、传输、提供、公开等”。而此处的数据处理则相对狭义，仅仅指向数据收集后的存储、使用、加工、公开等行为，而不包括数据的收集，以及数据的传输、提供等流转行为。44AIGC法律风险研究报告数据处理是AIGC服务的核心环节之一，只有对所收集的数据加以利用，才能实现AI的升级迭代，完整实现AIGC的生命力，进而为企业乃至社会创造价值。该环节仍然属于广义上的数据处理行为，因而受到《数据安全法》的规制，同时由于该行为仍然可能涉及个人信息的处理，因而又受到《个人信息保护法》的规制，加之该行为主要发生地在互联网，故而需要遵守《网络安全法》的相关规定。在该环节由于存在大量的法定义务，因而AIGC服务提供者的法律风险主要以行政法风险为主，常见风险如下：序号12345678910事项开展数据处理活动未依照法律、法规的规定，建立健全全流程数据安全管理制度开展数据处理活动未依照法律、法规的规定，组织开展数据安全教育培训开展数据处理活动未依照法律、法规的规定，采取相应的技术措施和其他必要措施，保障数据安全数据处理者利用互联网等信息网络开展数据处理活动，未在网络安全等级保

1.对揭示种族或民族出身，政治观点、宗教或哲学信仰，工会成员的个人数据，以及以唯一识别自然人为目的的基因数据、生物特征数据，健康、自然人的性生活或性取向的数据的处理应当被禁止。2.如果符合以下情形，则第1款不适用：(a)数据主体对以一个或数个特定目的对上述个人数据的处理给予了明确同意，但依照欧盟或者成员国的法律规定，第1款规定的禁止情形不能被数据主体援引的除外。(b)数据处理为实现控制者或数据主体在工作、社会保障以及社会保障法的范畴内履行义务、行使权利之目的，则是必要。应当在欧盟或成员国的法律认可下，或者依据成员国对数据主体的基本权利和利益提供适当的保障的法律规定订立的集体协议的范围内实施。(c)数据处理是对于保护数据主体或另一个自然人的切身利益之必要，但数据主体物理上或法律上无法给予同意时；(d)数据处理是由政治、哲学、宗教、工会性质的协会、组织或其他非营利组织在有适当安全保障的合法活动中实施的，处理应当仅仅与该组织的成员或前成员或与该组织依组织宗旨为联系的定期联系人相关，并且相关个人数据未经数据主体同意不得向组织外的人披露。(e)处理被数据主体明显地公开的个人数据；(f)数据处理为合法诉求的成立、行使或辩护或者法庭司法权的行使之必要；(g)为了实质的公共利益，数据处理是必要的。依据欧盟或者成员国的法律，追求该目的是适当的，应当尊重数据保护的基本权利，应当提供适当、特定的措施来保障数据主体的基本权利和利益；

第一条为了规范数据处理活动，保障数据安全，促进数据开发利用，保护个人、组织的合法权益，维护国家主权、安全和发展利益，制定本法。第二条在中华人民共和国境内开展数据处理活动及其安全监管，适用本法。在中华人民共和国境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。第三条本法所称数据，是指任何以电子或者其他方式对信息的记录。数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。第四条维护数据安全，应当坚持总体国家安全观，建立健全数据安全治理体系，提高数据安全保障能力。第五条中央国家安全领导机构负责国家数据安全工作的决策和议事协调，研究制定、指导实施国家数据安全战略和有关重大方针政策，统筹协调国家数据安全的重大事项和重要工作，建立国家数据安全工作协调机制。第六条各地区、各部门对本地区、本部门工作中收集和产生的数据及数据安全负责。工业、电信、交通、金融、自然资源、卫生健康、教育、科技等主管部门承担本行业、本领域数据安全监管职责。公安机关、国家安全机关等依照本法和有关法律、行政法规的规定，在各自职责范围内承担数据安全监管职责。国家网信部门依照本法和有关法律、行政法规的规定，负责统筹协调网络数据安全和相关监管工作。第七条国家保护个人、组织与数据有关的权益，鼓励数据依法合理有效利用，保障数据依法有序自由流动，促进以数据为关键要素的数字经济发展。第八条开展数据处理活动，应当遵守法律、法规，尊重社会公德和伦理，遵守商业道德和职业道德，诚实守信，履行数据安全保护义务，承担社会责任，不得危害国家安全、公共利益，不得损害个人、组织的合法权益。