本期要点

学术前沿

高富平｜数据持有者的权利配置——数据产权结构性分置的法律实现

刘艳红｜生成式人工智能的三大安全风险及法律规制——以ChatGPT为例

新规速递

欧洲议会｜通过关于执法机关交换电子证据的新规则

美国国家标准技术研究院｜将成立生成式人工智能公共工作组

法律适用

上海市网信办、市市场监管局等｜因过度索取个人信息约谈星巴克、Shake Shack、天泰餐厅

成都互联网法庭｜广告发布者未尽到合理的审查义务应当承担赔偿责任

产业发展

新加坡政府｜与企业合作开发AI测试工具

上海市人工智能实验室｜斩获人工智能顶级国际会议最佳论文奖

学术前沿

高富平｜数据持有者的权利配置——数据产权结构性分置的法律实现

数据是社会资源，任何数据产权配置必须保持数据的开放性或可获取性。数据来源者、数据持有者与数据使用者利益的协同是基于利益而非客体界定的权利配置框架。数据持有权是对数据事实状态的承认，但对持有者配置以什么权利需要依赖其对数据加工使用形成的数据形态和价值而配置不同的权利。数据产品化（价值实现）是一个过程，因而数据权利配置是动态的。这一过程中的数据可区分为作为要素的数据资源和作为产出物的数据产品。数据要素的价值在于其可不断汇集而满足不同计算分析的目的，确认持有者的流通权即可以实现其价值；而一旦形成形态和价值相对固定的数据产品，则需要给数据持有者配置稳定的、具有一定排他性的产权。只有形态和价值相对固定的数据产品的持有权才具有产权分置的条件，即数据产品持有者授权形成分权体系，而在要素化阶段，数据产权的结构性分置体现为对其各自加工使用结果的独立分享——相互独立的数据要素持有权（流通数据使用权）。这是符合数据要素特征最大化实现数据社会价值的一种制度安排。这样的制度安排需要对数据流通行为的法律规范，以创制合规高效利用数据资源的治理框架。（全文刊《比较法研究》2023年第3期）

高富平，华东政法大学法律学院教授。

杨旭｜个人信息处理中履行合同必需规则的限制适用

我国《个人信息保护法》第13条第1款第2项前段确立的履行合同必需规则为个人信息保护与合同法的规范互动提供了重要接口。以履行合同必需作为个人信息处理的合法性基础源于私人自治，但仅限于处理行为无涉或者较少干预人之尊严的例外情形，以避免架空信息主体同意制度。考察比较法上的限制路径可知，不论是欧盟数据保护委员会倡导的客观必要性标准，还是学者提出的主观必要性标准及其修正方案，均不能妥当协调合同自由与人之尊严的紧张关系。如欲彻底消除这种顾此失彼的困境，就必须严格区分个人信息保护与合同法两个不同层次，由此确立履行合同必需规则的双层构造。在合同成立且有效的前提下，只有为履行合同义务的处理行为纯粹服务于信息主体的合同利益，并符合目的关联性和对个人权益影响最小等标准，才能适用履行合同必需规则。依此对《个人信息保护法》第13条第1款第2项前段作目的论限缩，便将个人信息商业化利用的各种场景排除在外，但其依然能满足数字经济中商业模式发展与创新的基本要求，所谓“必要个人信息”的概念也因此被重新构造。（全文刊《法学》2023年第6期）

杨旭，北京师范大学法学院讲师。

刘艳红｜生成式人工智能的三大安全风险及法律规制——以ChatGPT为例

ChatGPT的横空出世意味着人工智能的发展获得全新动能，根据生成式人工智能从准备、运算到生成阶段的运行机理，可以发现其中存在三大安全风险。针对生成式人工智能在准备阶段的数据风险，应基于总体国家安全观统筹使用国家数据，对政务数据进行合规监管，在个人数据的收集广度上保持合规并以最小比例原则确定处理深度，以确保生成结论的真实性。针对生成式人工智能在运算阶段的算法模型特点及算法偏见风险，应通过技管结合进行修正，完善技术标准并予以实质审查，建立自动化、生态化、全流程的动态监管体系。针对生成式人工智能在生成阶段的知识产权风险，鉴于其生成物的独特属性，应基于可解释性重塑其保护模式，明确保护的对象是ChatGPT中的可解释算法及其生成物，并构建全流程知产合规保护体系。对于生成式人工智能在未来可能造成的其他安全风险，宜基于风险预防主义加以防范，争取在最大程度上发挥生成式人工智能的技术效能，并减少新兴技术对社会发展造成的负面冲击。（全文刊《东方法学》2023年第4期）

刘艳红，中国政法大学刑事司法学院教授。

徐伟｜论生成式人工智能服务提供者的法律地位及其责任——以ChatGPT为例

生成式人工智能行为在技术上的特殊性，对侵权责任带来了一系列影响，包括行为主体的复杂化、加害行为的智能化、损害后果的不确定、因果关系的多元化和过错认定的新颖化。生成式人工智能服务提供者并非搜索链接服务提供者，也不宜被认定为网络内容服务提供者，而应是一种新型网络服务提供者。生成式人工智能服务提供者过错的认定需从生成维度的过错和移除维度的过错来分别加以判断。在生成维度，生成式人工智能服务提供者对自动生成的内容原则上不负有事前审查义务；在移除维度，应基于事实层面生成式人工智能服务提供者是否能以合理的成本和较高的准确度来避免侵权内容的再次生成来决定其是否负有移除义务。鉴于技术仍处于快速发展中，生成式人工智能服务提供者侵权责任的判断标准也需基于技术的发展而适时作出调整。（全文刊《法律科学》2023年第4期）

徐伟，上海政法学院佘山特聘岗位教授。

李逸竹｜NFT数字作品的法律属性与交易关系研究

NFT数字作品本质上是交易服务平台的持续性网络技术服务给付行为后果。平台与持有者之间是网络技术服务合同关系，持有者享有请求平台持续提供技术服务之债权，但不享有任何绝对性财产权。一宗NFT数字作品交易，涉及平台、铸造者、转售者与购买者四种角色之间的多重相对关系，并不仅是“转让对铸造者的债权”。NFT数字作品的首次交易是铸造者向购买者转让其对平台的技术服务债权，以及为购买者设定保值承诺债权。后续交易均是对这两项债权的转让。NFT数字作品的“铸造”与“上架发布”行为涉及对作品的复制与信息网络传播，但出售与转售行为皆是债权行为，并未移转作品的物质载体的所有权，不侵害著作权人的发行权，无需适用“发行权用尽”。（全文刊《清华法学》2023年第3期）

李逸竹，杭州师范大学沈钧儒法学院讲师。

贺彤｜私密信息的概念构成与规则体系

私密信息是隐私和个人信息二分的产物，是两者的交集，对其概念的界定具有区分隐私和（无涉隐私的）个人信息，并明确各自规则适用范围的重要功能。基于对隐私条款中“不愿为他人知晓”的考察，私密信息生成于高度信赖的具体亲密环境，是反映“自我描述”不受妨碍的自主意愿的个人信息，与生成于社会交流、描述“他我”的无涉隐私的个人信息相区别。违法处理私密信息同时触犯隐私规则与个人信息保护规则，引发侵权和行政双重责任。《民法典》中私密信息侵权规则是《个人信息保护法》中个人信息侵权规则的特别规定。《个人信息保护法》中处理者侵权的举证规则、违法处理的行政责任，以及对违法处理的事前预防机制，均为隐私权“没有规定的”内容，应当予以适用。个人信息保护与侵权规则共同建构起贯穿私密信息处理全周期的保护体系。（全文刊《华东政法大学学报》2023年第3期）

贺彤，东南大学法学院博士研究生。

新规速递

欧洲议会丨通过关于执法机关交换电子证据的新规则

2023年6月13日，欧洲议会通过关于执法机关交换电子证据的新规则，旨在加快跨境刑事调查的证据收集过程。新规则允许国家机关直接要求其他成员国的服务提供者提供数据（即提供令），或要求服务提供者将数据最高保持60天，防止数据损坏或丢失（即保存令）。新规则规定服务提供者应当在10日内对提供令作出回应，紧急情况下强制期限缩短至8小时。如果涉及敏感数据，证据请求方应当通知目标国家的政府机构以保证透明度。（欧洲议会）

中国人民银行 国家外汇管理局丨《关于提升银行办理资本项目跨境资金结算业务数字化服务水平的通知（征求意见稿）》

2023年6月16日，中国人民银行、国家外汇管理局发布《关于提升银行办理资本项目跨境资金结算业务数字化服务水平的通知（征求意见稿）》。通知将银行办理数字化业务范围从资本项目外汇业务扩展到资本项目跨境资金结算业务，对相关业务实行本外币一体化管理。通知明确资本项目数字化业务和电子单证相关概念，最大化扩展明确数字化业务办理类型，分别对银行、市场主体提出基本要求。（中国人民银行）

英国政府｜组建人工智能工作组

2023年6月18日，英国政府宣布，科技投资人和人工智能（AI）专家伊恩·霍加斯（Ian Hogarth）将领导英国人工智能基础模型工作组（AI Foundation Model Taskforce），以研究人工智能带来的安全风险。霍加斯将直接向英国首相里希·苏纳克（Rishi Sunak）和科学、创新和技术内阁大臣克洛伊·史密斯（Chloe Smith）报告。工作组在未来几个月将重点推进人工智能安全研究，并为今年晚些时候在英国举办的首届全球人工智能安全峰会作准备。（英国政府）

中国民航局丨《智慧民航建设评价指标体系（试行）》

2023年6月20日消息，中国民航局印发《智慧民航建设评价指标体系（试行）》，旨在科学评估行业整体和千万级机场的智慧民航建设进展和成效。指标体系包括9个一级指标，每个一级指标围绕对应的场景视点，划分若干评价要素，每个评价要素设置若干评价指标。一级指标突出理念创新、机制创新、流程创新、技术创新带来的综合成效，分别为智慧出行、智慧空管、智慧机场、智慧监管、产业协同、改革创新、科技创新、基础保障和综合成效。（中国民航局）

美国蒙大拿州参议院丨《政府使用面部识别法》移交至州长最终签署

2023年6月20日，美国蒙大拿州参议院将《政府使用面部识别法》（the Facial Recognition for Government Use Act）移交至州长进行最终签署。该法案旨在指导州和地方政府机构使用面部验证技术。该法案禁止州和地方政府机构以及其他公共机构使用连续面部监控，限制在特定情况下使用面部监控技术，并规定合法使用此类技术的条件。法案明确与州或地方政府机构签订合同以提供面部识别服务的第三方供应商的义务，包括一般情况下第三方供应商不得在提供服务过程中收集、捕获、购买、通过贸易接收或以其他方式获取个人的面部生物特征数据。（蒙大拿州参议院）

美国众议院丨《国家人工智能委员会法》

2023年6月20日，美国众议员Ted Lieu等人提出《国家人工智能委员会法案》（the National AI Commission Act），旨在成立专门解决人工智能规制问题的国家委员会。根据法案，国家委员会的任务包括：审查目前美国人工智能规制的方案，在必要时建议成立新的办公室或政府结构，构建基于风险的人工智能框架，将适用人工智能的风险分为不可接受的风险、高风险、最小风险。（美国国会）

美国国家标准与技术研究院丨将成立生成式人工智能公共工作组

2023年6月22日，美国商务部长宣布美国国家标准与技术研究院（NIST）将成立一个新的生成式人工智能公共工作组，工作组将以《AI风险管理框架》（AI RMF）为基础，应对与生成式人工智能相关的机遇与挑战。NIST为工作组制定了短期、中期、长期目标：从短期看，工作组主要负责收集关于实际运用AI RMF的建议；从中期看，工作组将支持NIST在检测、评估、测量生成式人工智能等方面的工作；从长期看，工作组将探寻利用生成式人工智能技术解决人类的重大挑战，如健康、环境和气候变化。（美国国家标准与技术研究院）

美国参议院丨《数据删除及限制广泛跟踪和交换法案》

2023年6月23日，美国参议员Bill Cassidy等人提出《数据删除及限制广泛跟踪和交换法案》（Data Elimination and Limiting Extensive Tracking and Exchange (DELETE) Act）。法案规定，个人有权请求出于商业目的收集个人数据的数据服务商（data brokers）删除其收集的所有个人数据，并要求其未来不再收集。法案将指导联邦贸易委员会创建在线申请平台，美国人提交一次性数据删除申请后，平台将该请求发送至所有注册的数据服务商。（美国国会）

法律适用

上海市网信办、市市场监管局等｜因过度索取个人信息约谈星巴克、Shake Shack、天泰餐厅

2023年6月19日下午，“亮剑浦江·消费领域个人信息权益保护专项执法行动”启动后，针对三家餐饮企业存在频繁诱导索取用户手机号、诱导消费者提供精准位置信息、频繁弹窗诱导注册会员、诱导消费者关注公众号等问题，上海市网信办、市市场监管局会同徐汇网信办、黄浦网信办依法约谈三家企业，要求星巴克、Shake Shack、天泰餐厅针对过度收集个人信息行为进行全面整改，切实履行个人信息保护义务，维护消费者的合法权益。（网信上海）

中国消费者协会｜将在全国范围内开展“反对强制关注公众号”消费监督工作

2023年6月21日，北京市消费者协会、上海市消费者权益保护委员会、江苏省消费者权益保护委员会、深圳市消费者委员会等地方消协组织已经就“扫码强制关注使用”发声，通过发布倡议、组织经营者进行自律承诺、开展专项消费监督等维权工作，呼吁商场、餐厅、停车场等商家在扫码缴费过程中不强制消费者关注商家公众号、不过度索取消费者个人信息。为保护消费者的自主选择权、公平交易权和个人信息等权益，针对扫码消费中存在的问题，中国消费者协会将在全国范围内开展“反对强制关注公众号”消费监督工作。（中国消费者协会）

G7数据保护和隐私机构｜关注可信数据自由流动（DFFT）、新兴技术和执法行动

2023年6月21日消息，G7数据保护和隐私机构（Data Protection and Privacy Agencies，DPAs)圆桌会议于6月20日-6月21日召开。随后发布了公报、关于生成人工智能的声明和行动计划。会议围绕数据和隐私保护，关注可信数据自由流动（Data Free Flow with Trust，DFFT），新兴技术，以及加强执法合作，这是其行动计划的三大支柱。就个人数据而言，该行动计划将努力就DFFT的概念和关键组成部分达成共识，并评估共同目标，以确保高水平的数据保护和隐私。（日本个人信息保护委员会）

成都互联网法庭｜广告发布者未尽到合理的审查义务应当承担赔偿责任

2023年6月22日，《人民法院报》刊载成都互联网法庭典型案例。2021年某日，韩某在某公司运营的微信公众号上浏览到一则兼职广告，随即被骗3万余元。随后，韩某将发布该兼职广告的某微信公众号运营公司诉至法院，要求其承担自己被骗的全部损失。成都互联网法庭审理后认为，被告作为广告发布者，在其运营的微信公众号上发布广告时，未按照广告法的规定与广告主签订书面合同，亦无法提供广告主的真实名称、地址和有效联系方式，应认定其在发布广告时未尽到合理的审查义务，对损害后果的发生存在一定过错，应当承担赔偿责任。（人民法院报）

江苏省苏州市虎丘区人民检察院｜代“人脸识别”侵犯公民个人信息担刑责

2023年6月25日消息，近日，经江苏省苏州市虎丘区人民检察院提起刑事附带民事公益诉讼，法院以侵犯公民个人信息罪判处陈某有期徒刑七个月，缓刑一年，同时支持检察机关提出的公益诉讼诉求。经查，这起案件并非常见的行业“内鬼”泄露、App过度收集个人信息等类型的侵犯公民个人信息案件，而是犯罪分子批量购买未成年人信息，通过绑定游戏账号等操作，再将游戏账号出租给未成年人牟利。其中，不法分子会通过代操作人脸识别，为未成年人规避“防沉迷”保护机制。（法治日报）

产业发展

美国｜黑客攻击致使数百万人信息泄露

当地时间6月16日，在一场全球性的网络黑客攻击中，美国数百万人的信息遭到泄露。据悉，黑客攻击影响了350万持有驾照或州身份证的俄勒冈州居民，路易斯安那州所有持有上述文件的居民信息也遭到泄露。这场大规模的黑客攻击可能已经暴露了全球数百个组织的数据，危及了包括美国能源部在内的多个美国联邦机构。（CNN）

清华大学｜发布《2022中国数字政府发展指数报告》

6月17日，清华大学教授孟天广在“加强数字政府建设 培育数字治理生态”为主题的2023第一届数字政府40人论坛上，发布《2022中国数字政府发展指数报告》。《报告》中的市级数字政府发展指数评估结果显示，深圳、杭州、广州总得分位列全国前三名；引领型城市以副省级和省会城市为主；东部城市的排名整体靠前，中西部城市虽然总体上仍处于落后地位，但追赶态势明显，部分城市与东部领先城市的差距已在缩小（清华大学）

迪拜国际金融中心｜宣布推出“迪拜人工智能和Web3.0园区”

6月19日，迪拜国际金融中心（DIFC）宣布推出“迪拜人工智能和Web3.0园区”。该园区将成为中东和北非地区最大的人工智能和Web3.0生态系统，并将专注于人工智能和Web 3.0在金融服务行业的应用。迪拜国际金融中心将通过该园区实现DIFC2030年战略，即通过尖端技术、创新和合作推动经济发展。（迪拜国际金融中心）

日本神户｜验证市政AI化效果

6月19日，据《神户新闻 NEXT》报道，日本神户市正在验证将AI引入市政工作的可行性。神户当地政府为志愿者提供了由AI规划巡逻路线的手机App，该应用由一家东京的软件开发公司提供，基于预设的犯罪高发地点和距离等信息，AI会自动为用户生成一条巡逻路线。同时，这款应用也可以根据警方公布的犯罪发生信息，显示犯罪预测地图。神户市政府表示将通过志愿者的验证效果来决定是否在未来全面引进该技术，以帮助他们高效完成巡逻、减少犯罪行为的发生。（神户新闻 NEXT）

新加坡政府｜与企业合作开发AI测试工具

当地时间6月19日，新加坡信息通信媒体发展局（IMDA）可信人工智能和数据主管李婉诗（Lee Wan Sie）在接受采访时表示，新加坡政府目前尚未考虑监管人工智能，不过，新加坡政府也在努力促进负责任地使用人工智能，并与企业合作开发“世界上第一个AI测试工具包”AI Verify。AI Verify可以对AI模型进行技术测试并记录使用过程以便检查。该项目于2022年启动，科技巨头IBM和新加坡航空公司已参与测试。（澎湃新闻）

上海人工智能实验室｜斩获人工智能顶级国际会议最佳论文

6月21日，全球人工智能和计算机视觉领域顶级国际会议CVPR2023（IEEE Conference on Computer Vision and Pattern Recognition）正式公布奖项。上海人工智能实验室、武汉大学及商汤科技联合论文《以路径规划为导向的自动驾驶》（Planning-oriented Autonomous Driving，UniAD）获最佳论文奖。该论文提出了首个感知决策一体化的端到端自动驾驶大模型，开创了以全局任务为目标的自动驾驶大模型架构先河，标志着自动驾驶技术的重要突破。（澎湃新闻）