早在滴滴公司被启动网络安全审查后，原因猜测便满天飞，真假难辨。一方面，是滴滴公司可能作为“关键信息基础设施的运营者”（Critical Information Infrastructure Operator，“CIIO”）的特殊身份。另一方面，则是滴滴公司因业务性质而掌握的道路交通数据问题。

1. 特殊身份之“CIIO”

网络安全审查的适用对象为关键信息基础设施的运营者。《网络安全法》第三十一条对何谓“关键信息基础设施的运营者”做了解释：

国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。

对此，国家网信办曾于2017年发布《关键信息基础设施安全保护条例（征求意见稿）》并公开征求意见。但截至目前，该条例正式稿仍未出台。

实践中，我们只能通过行业性质、行业地位、特殊事件（比如被启动网安审查），来反推企业可能被列为了本行业领域的“关键信息基础设施的运营者”。

2. 汽车数据安全之“重要数据”

《南方周末》在对中国信息安全研究院副院长左晓栋采访时，其指出，对滴滴审查的重点是重要数据的出境安全风险。数据资源除了经济属性外，还具有显著的安全属性。因而在企业数据出境问题上，不仅需要考虑到个人信息保护，还需要关注公共利益保护和国家安全。

滴滴公司基于主营业务而掌握了海量道路交通数据，比如道路上的车辆类型、车辆流量等。国家网信办于2021年5月12日发布的《汽车数据安全管理若干规定（征求意见稿）》（下称“《意见稿》”），对汽车行业的重要数据进行了明确规定。

按照《意见稿》，包括军事管理区、国防科工等涉及国家秘密的单位、县级以上党政机关等重要敏感区域的人流车流数据，高于国家公开发布地图精度的测绘数据，汽车充电网的运行数据，道路上车辆类型、车辆流量等数据，包含人脸、声音、车牌等的车外音视频数据，以及其他可能影响国家安全、公共利益的数据，均属于重要数据的范围。

在数据出境问题上，《意见稿》原则上要求上述重要数据应境内存储。需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。向境外提供数据时，不得超出安全评估时明确的目的、范围、方式和数据类型、规模等。

目前我国有关数据出境的法规和标准均未正式生效，结合《个人信息保护法（草案）》《个人信息和重要数据出境安全评估办法（征求意见稿）》和《信息安全技术数据出境安全评估指南（征求意见稿）》（以下简称“评估指南”），我国数据出境的监管方式以安全评估为主，受监管的数据类型主要包括个人信息和重要数据。

当企业的业务经营涉及数据出境时，应注意如下事项：

1. 个人信息出境应向个人告知出境细节并获得单独同意

由于个人信息关乎数据主体的所有权、自决权甚至隐私权，《个人信息保护法（草案）》规定，个人信息处理者向境外提供个人信息的，应当向个人告知境外接收方的身份、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使权利的方式等事项，并取得个人的单独同意。

因此，在向境外提供个人信息前，建议企业通过用户协议和隐私政策等路径，单独列明信息出境的细节，并取得个人的明确授权。

2. 重要数据出境前确认是否需要获得国家相关部门批准

按照《评估指南》的标准，重要数据是境内收集、产生的不涉及国家秘密，但与国家安全、经济发展、公共利益密切相关的数据。

对此，《数据安全管理办法（征求意见稿）》提出，企业应当在向境外提供重要数据前报经行业主管监管部门同意。例如，百济神州向境外提供人类遗传资源信息，就需要获得人遗办的审核批准。

鉴于上述文件均未正式生效，建议企业参考《重要数据识别指南》，先行判断出境数据是否与“国家安全、经济发展、公共利益”紧密相关，同时密切关注行业监管动态，及时咨询主管部门以保证重要数据出境的合规性。

此外，如果出境数据涉及国家秘密，除了应获得主管政府部门批准外，企业还应当与接受方签订保密协议。

3. 数据出境前应开展出境安全自评估

根据目前数据出境的各类法律规范草案，安全评估是衡量数据出境合规性的主要措施，包括主管部门评估和安全自评估。

参考《评估指南》，安全评估的要点详见下表：

上述评估要点基本覆盖了企业在数据出境全流程应当关注的安全事项。建议企业参考上述评估要点，组织业务、技术、安全、技术、法律的相关人员，建立数据出境安全自评估工作组，根据评估结果修正、整改、完善数据出境计划，尽可能降低合规风险。

App既是企业主营业务的重要载体，也是个人信息保护和数据安全涉及的关键领域。伴随着《数据安全法》9月1日起全面施行，从国家安全、网络安全到数据安全，数字经济时代下的企业即将面临系统性的数据合规监管。截至本文发布当日，网络安全审查办公室公告对“运满满”“货车帮”“BOSS直聘”启动网安审查。不难看出，滴滴并非个案。

正如滴滴面对App下架在官方微博所作的回应，“将不断提升风险防范意识和技术能力，持续保护用户隐私和数据安全，防范网络安全风险”，这或许是比业务先行更为要紧的议题。