垦丁律师事务所：全球数据合规2023图鉴（237页）.pdf

1、垦丁 W&W 国际法律团队 全球数据合规|出海合规|互联网产品合规|物联网 IOT|AIGC 2023 年 1-12 月 未经许可 不得转载 不得做任何商业用途 25 唯有合规，方能致远 垦丁 W&W 国际法律团队 全球数据合规|出海合规|互联网产品合规|物联网 IOT|AIGC 2023 年 1-12 月 未经许可 不得转载 不得做任何商业用途 28 唯有合规，方能致远 欧盟解读 立法情况 欧盟：CER 和 NIS 2 指令开始生效 2023年 1月 18日 欧盟委员会于 2023年 1月 16日宣布，关于恢复关键基础设施复原力指令（“CER指令”）关于在欧盟全境实现高度统一网络安全措施的指

2、令（“NIS 2指令”）正式生效，同时废除网络和信息系统安全规则（“NIS指令”）。CER指令取代了 2008年 12月 8日2008/114/EC，加强关键基础设施对一系列风险的复原力，包括自然灾害、恐怖袭击、内部威胁或破坏。此外，CER指令适用于 11个部门，包括能源、运输、银行、金融市场基础设施、卫生、饮用水、废水、数字基础设施、公共管理、空间和食品，并要求成员国采取国家战略，定期进行风险评估，以确定被认为对社会和经济至关重要的实体。NIS 2指令通过大幅扩大属于其范围的关键实体的部门和类型，以提升欧洲的整体网络安全水平。同时，委员会更新了 NIS 2指令的问答（Q&A）。成员国有 21

3、个月的时间将CER指令和 NIS 2指令转化为国家法律。欧盟：数字运营弹性法案开始生效 2023年 1月 25日 数字运营弹性法案2022年 12月 27日在欧盟官方公报（OJ）公布后，于 2023年 1月 16日生效。由于金融业愈加赖于软件和数字技术，因此 DORA将确保欧盟的金融业对严重的业务中断和网络攻击具备更强的适应力。DORA引入欧盟金融服务部门的数字运营弹性要求，要求相关公司采取措施确保他们能够承受、应对和恢复所有类型的信息以及 ICT的中断和威胁。此外，DORA将适用于所有提供金融服务的公司，如银行、支付提供商、电子货币提供商、投资公司和加密资产服务提供商等。根据DORA第 64

4、条，该法从 2025年 1月 17日起适用，并对所有成员国具有完全的约束力和直接适用。欧盟：欧盟委员会发布数字服务法案（DSA）中有关“公布用户数量”的指南 2023年 2月 3日 欧盟委员会于 2023年 2月 1日发布了不具强制约束力的指导意见，以帮助在线平台和搜索引擎遵循欧盟数字服务法的规定，在2023年 2月 17日前报告欧盟用户数量，并在之后至少每六个月更新一次报告。如果平台公布的用户数量达到了欧盟人口的 10%以上（约垦丁 W&W 国际法律团队 全球数据合规|出海合规|互联网产品合规|物联网 IOT|AIGC 2023 年 1-12 月 未经许可 不得转载 不得做任何商业用途 29

5、 唯有合规，方能致远 4500万用户），欧盟委员会可能会认定该平台为规模较大的在线平台或搜索引擎。这意味着他们将承担额外的合规义务，如进行风险评估和采取相应的风险措施。垦丁垦丁 W&W 简评：简评：1、企业需要明确了解“用户数量报告”的程序及义务要求。2、企业需明确制定内部合规制度，将“用户数量报告”作为公司内部关注事项的之一。3、企业需制定并执行具体的数据保密政策和流程，确保信息安全。欧盟：委员会向公众征求 DSA 实施条例意见 2023年 2月 20日 欧盟委员会于 2023 年 2 月 17 日发布了一份新闻稿，征求公众对数字服务法（“DSA”）实施条例的意见。DSA 实施条例概述了委员

6、会可以要求超大型在线平台(“VLOP”)或超大型在线搜索引擎(“VLOSE”)的提供商向委员会以及时、有效的方式提供数据库和相关算法的访问权并解释数据库和相关算法。同时，DSA 实施条例规定委员会可能要求 VLOP 或 VLOSE 识别包含商业机密或机密信息的信息。此外，欧盟委员会指出，2023 年 2 月 17 日是所有在线平台和在线搜索引擎（DSA 下的微型和小型企业除外）首次公布其用户数量的最后期限。上述平台必须从 2023 年 2 月 17 日起每六个月公布一次用户数量。公布用户数量是为了确定上述平台是否被视为 DSA 下的 VLOP 或 VLOSE。垦丁垦丁 W&W 简评：简评：DS