域外数据立法动态（10.15—10.27）

指导审核：庞琳

文案作者：郝恩熙郑心谣樊乐谢伟杰梁志豪韩若清

编辑排版：郝恩熙韩若清

未言数据法团队简介

未言律师事务所数据法团队是国内此领域业务的开拓者和领先团队，在网络安全、隐私与数据保护等多项业务上具有丰富的实务经验。团队合伙人长期参与本领域的立法和学术活动，参与了《数据安全法（草案）》《个人信息保护法（草案）》《关键信息基础设施保护条例（征求意见稿）》等法律法规的研讨工作。未言与国内外数据合规专家建立了深入合作，具有为客户提供全球数据合规一站式服务的能力。未言数据法团队具有丰富的项目处理实战经验，形成了独特的数据合规方法论，在实践中，对于人脸识别、互联网支付、云计算、大数据、人工智能、区块链等领域积累了丰富的经验，可以协助客户在复杂的法律和监管框架下有效应对法律挑战。未言数据法团队涉及的行业包括金融、IT与互联网、科技企业、智能网联汽车、大数据、生命科学与大健康等多个领域。

10.15——

10.27

资讯介绍

+ + + + +

美国

1.美国新闻集团起诉人工智能搜索引擎Perplexity抄袭

2.美国拜登政府发布关于人工智能的国家安全战略

3.万豪与美国联邦贸易委员会的和解：数据最小化的新时代

欧盟及英国

1.欧盟关于GDPR"合法利益"法律依据的最新进展的五大要点

2.欧盟加强关键实体和网络安全的新规则

其他地区

1.阿根廷个人数据保护局发布《负责任使用人工智能指南》

2.肯尼亚通信管理局向销售平板电脑、智能手机和其他IT设备的供应商和制造商发布型式要求指令

3.新加坡发布保护人工智能系统的准则和配套指南

4.新加坡网络安全局发布SafeAppStandard 2.0版

5.加拿大广播电视和电信委员会发布战略计划,通过技术和文化连接加拿大人

美国

+ + + + +

NO.1

美国新闻集团起诉人工智能搜索引擎Perplexity抄袭

10月21日，《华尔街日报》和《纽约邮报》等媒体的母公司新闻集团起诉人工智能搜索引擎 Perplexity 侵犯其著作权。

新闻公司的主要诉讼主张如下：

(1) Perplexity“大规模”复制其文章、分析和观点；

Perplexity 使用来自网络上的内容来训练其 AI 搜索模型，允许用户“跳过链接”到在线文章的平台，新闻集团声称这会导致其客户和关键收入流失。

(2) Perplexity 有时引用不正确的来源，有时捏造新闻并归咎于新闻公司；

(3) 新闻集团要求法院强制 Perpelxity 停止在未经许可的情况下使用其内容，并销毁任何包含其作品的数据库。

Perplexity 的回应如下：

(1) 没有任何人和公司拥有事实；

(2) 新闻闻集团的行为反映了其对抗新技术的短视姿态；

(3) 愿意与新闻公司合作推出收入分享计划。

NO.2

美国拜登政府发布关于人工智能的国家安全战略

10月24日，拜登政府发布了一份国家安全备忘录（National Security Memorandum, NSM），这是美国历史上第一份关于人工智能（AI）的国家安全备忘录。该备忘录强调了人工智能技术对国家安全和外交政策的重要性，并提出了具体的行动指导。

这份备忘录体现了拜登政府对AI技术在国家安全中作用的重视，以及在推动负责任的AI创新和使用方面的全面战略。通过这份备忘录，美国政府希望确保AI的发展和管理能够符合美国的价值观和利益。

NO.3

万豪与美国联邦贸易委员会的和解：数据最小化的新时代

万豪国际集团（Marriott）与美国联邦贸易委员会（FTC）之间就大型数据泄露的和解草案中强调了数据最小化的重要性，并讨论了万豪在数据保护方面的新责任。和解草案的主要内容如下：

(1) 隐私和网络安全事务中的核心原则：数据最小化，包括限制数据收集、明确数据使用目的、制定保留策略和强有力的删除机制。

(2) 万豪在数据保护方面的新责任：

a. 尊重美国消费者提出的某些删除请求；

b. 建立和维护一个健全的信息安全程序；

c. 制定书面政策和程序以合理地收集、使用、共享和保留个人数据，以满足合法业务需求或法律要求；

d. 在60天内尊重与电子邮件或奖励号码相关的删除请求。

(3) 多州和解：除与FTC的和解外，万豪还与50个美国州的检察长达成了多州和解。

欧盟及英国

+ + + + +

NO.1

欧盟关于CDPR“合法利益”法律依据的最新进展的五大要点

在过去的几周里，与GDPR第6(1)(f)条规定的"合法利益"法律依据有关的重大进展如下：

(1) 商业利益可以是"合法"利益；

(2) 控制者必须仔细考虑处理是否是满足其追求的每项利益所"必需"的；

(3) 与WP29的2014年意见相比，EDPB对平衡测试第三部分的评估似乎使合法权益更具挑战；

(4) EDPB重申，根据GDPR第21条的规定，建立令人信服的合法理由和驳回对处理的反对意见的门槛很高；

(5) 欧洲数据保护局指出，（在欧盟）可以依靠合法利益与公共机构共享数据。

NO.2

欧盟加强关键实体和网络安全的新规则

10月17日，欧盟委员会通过了第一份关于关键实体和网络的网络安全的实施细则，该实施细则是根据《关于在欧盟范围内采取高水平共同网络安全措施的指令》（NIS2指令）制定的。该实施细则详细规定了网络安全风险管理措施，以及在哪些情况下事件应被视为重大事件，提供数字基础设施和服务的公司应向国家当局报告。

该实施细则将适用于提供数字服务的特定类别公司，如云计算服务提供商、数据中心服务提供商、在线市场、在线搜索引擎和社交网络平台等。对于每一类服务提供商，实施法案还规定了何时事件被视为重大事件。

其他地区

+ + + + +

NO.1

阿根廷个人数据保护局发布《负责任使用人工智能指南》

10月8日消息，《个人数据保护法》的执行机构公共信息访问局（AAIP）发布了《负责任的人工智能个人数据透明度和保护指南》（以下简称“指南”）。

该计划的主要目标是提高公共和私营实体对人工智能的分析能力、加强国家监管能力，确保公民在透明度和个人数据保护方面有效行使权利，并确定了 AI 中关键问题和挑战，提供在国际规则制定的道德框架内应对挑战的工具。

AI 中的关键问题和挑战如下：偏见和歧视、缺乏数据质量、侵犯隐私的风险、安全风险、个人数据的不当使用、身份欺诈、未经同意进行监视、缺乏透明度、人工智能系统的生命周期、人工智能系统的生命周期（国际），并提出了适用于 AI 在系统设计、验证和确认、实施和维护整个生命周期的建议。

NO.2

肯尼亚通信管理局向销售平板电脑、智能手机和其他IT设备的供应商和制造商发布型式要求指令

10月15日，肯尼亚通信管理局（CA）发布了一项关于未经授权的信息和通信技术（ICT）终端设备的指令，提醒所有供应商和制造商，任何打算连接到肯尼亚境内公共交换电信网络（PSTN）的设备，在该国销售、分销或使用之前应当符合型式核准程序（Type Approval process）。不遵守型式核准要求可能会引致 ICT 行业法律中规定的法律处罚。

型式检验是为了证明产品质量符合产品标准的全部要求而对产品进行的检验，它是构成许多种类型认证的基础。

型式认可类别中列出的设备包括智能手机、路由器、调制解调器、平板电脑和车辆跟踪器。

NO.3

新加坡发布保护人工智能系统的准则和配套指南

10月15日消息，新加坡网络安全局（CSA）在 2024 年新加坡国际网络周（SICW）上推出了《保护 AI 系统的准则和配套指南》。

制定该指南的目的是帮助以安全的方式采用 AI。由于仅强化 AI 模型不足以降低安全风险，CSA 建议系统所有者采用生命周期方法，从整体角度识别和缓解安全风险。AI 生命周期有五个关键阶段，即规划和设计、开发、部署、运维和生命周期结束。这些阶段将涵盖以下几点：

(1) 规划和设计–提高对 AI 安全威胁的认识并开展风险评估；

(2) 开发–供应链安全和人工智能资产保护；

(3) 部署–保护基础设施，建立事件管理流程以及 AI 基准测试；

(4) 运营和维护–监控安全异常并建立漏洞披露流程；

(5) 生命周期结束–确保安全和适当地处置数据和模型。

NO.4