网络安全观察：如何降低全球网络安全调查期间的法律风险？

互联网法律评论·2024年01月10日 19:11

如何降低全球网络安全调查期间的法律风险？

网络事件给公司带来的挑战尤其严峻，包括业务中断、客户投诉、媒体的负面关注以及时间压力等。

同时，在全球范围内，各国的立法机构和监管机构就“网络安全”制定了多种不同且可能相互冲突的法律义务，这些义务不仅会影响有关事件的强制通知的时间和内容，还会影响网络安全调查本身的形式。这是公司面临的另外一种挑战。

为了帮助公司做好准备，将网络事件调查中出现的全球法律风险分为以下概述的类别会对公司处理相关事件有所帮助。当然，各个公司的要求可能会有所不同，具体取决于其地理分布、垂直行业、运营和其他因素等。

一、强制性事件通知义务——如何避免“不当通知”

强制性通知义务通常是公司在全球网络事件中需要面临的首要法律问题之一。

通常情况下，公司在发现事件后的最初几天内可能对事件的范围知之甚少，但它可能会因未能以足够的速度和透明度采取任何必要的通知而受到谴责甚至处罚。

与此同时，遭受网络攻击的公司面临着一个真正的风险，即“不当的通知”，其中包括，向客户或其他人发出超出需要的“过于广泛”的通知，然而该通知对客户或公司的风险状况没有帮助；或者由于未能准确识别受影响数据类别，因此发出通知的接收者比实际需要的更少，或与受到影响的群体根本不匹配。这种“不当的通知”可能会引起潜在的欺诈和失实陈述索赔。

公司还必须在复杂的全球法律环境中面临具有不同目的、范围和时间要求的通知监管要求。

1、数据保护和隐私违规通知要求

数据保护和隐私泄露通知义务在全球范围内激增。如果公司意识到影响客户、员工或其他个人的个人数据的数据泄露，这些法律通常要求通知数据保护机构、个人和其他人。例如，现在全球有超过 35 个司法管辖区要求在 72 小时内向数据保护机构发出此类通知，而许多其他法律则规定了“在合理的情况下尽快”和其他类似的时间标准。

2、上市公司通知义务

上市公司和证券法规越来越多地要求上市公司在网络事件对投资者的决策产生重大影响时通知证券监管机构和投资者。无论任何“个人数据”是否受到事件的影响，这些责任都可以附加，并且鉴于公司可能在意识到特定个人数据影响之前就意识到重要性，公司需要独立于数据隐私考虑这些标准和时间表违规通知。

例如，美国证券交易委员会采用了一项最终规则，要求在确定网络事件重大后4天内发出通知。其他司法管辖区也在采取类似的要求。

3、金融、医疗保健、电信和其他监管通知义务

金融服务、医疗保健、电信和其他受监管垂直行业的各个监管机构越来越多地为受监管实体制定通知职责。

例如，印度储备银行对银行业网络事件的报告时间有一个小时内报告的规定。中国《突发事件医疗应急工作管理办法（试行）》要求持证医疗机构应当在发现重大医疗质量信息安全事件后两小时内向卫生主管部门报告。法国电信法规要求某些电子通信服务提供商立即向国家信息系统安全局通报某些网络事件。

4、网络安全和关键基础设施报告义务

网络安全和关键基础设施机构越来越多地要求向其权限范围内的实体发出通知。

澳大利亚网络安全中心要求数据中心和其他关键基础设施资产在发现事件后 12 小时内报告。印度计算机应急响应小组要求包括服务提供商和中介机构在内的广泛定义的公司群体在 6 小时内就某些网络事件发出通知。欧盟成员国将于 2024 年 10 月之前实施的欧盟 NIS 2 指令要求某些必要且重要的实体在 24 小时内向当地计算机安全事件响应小组或其他主管机构报告重大事件。此外，根据 2022 年美国《关键基础设施网络事件报告法》，网络安全和基础设施安全局正在制定强制性规则，预计要求涵盖的实体在 72 小时内向 CISA 报告涵盖的网络事件，并在24小时内支付勒索软件。

5、合同义务

除了法规之外，公司通常有许多向客户、金融机构或其他机构报告网络事件的合同义务。

例如，通过合同协议适用于商家的支付卡行业规则通常要求将影响持卡人信息的网络事件立即通知支付卡品牌和收单方(商业银行)。公司也可能在客户协议中有较短的通知时间，特别是如果他们作为数据处理者/服务提供商/代理向公司客户提供个人数据。

综上所述各种场景要求，公司应提前计划，以确定发生网络事件时可能附加的不同类别的数据保护通知义务。事件发生时，公司应密切协调全球通知策略，以确保通知在内容和时间安排上保持一致，并考虑向某些第三方的特殊披露问题。

二、数据收集、使用和传输的——如何应对调查中的法律限制

全球网络事件的调查通常涉及数据的收集、使用和传输，例如服务器和其他设备图像中包含的数据、从电子邮件系统和应用程序收集的数据，以及以妥协的指标（Indicators of Compromise，被定义为法医数据,包括在系统日志条目或文件中找到的数据,用于识别系统或网络上的潜在恶意活动）收集的种类广泛的数据泄露和其他证据，包括 IP 地址、域名、文件哈希值或有关行为模式的其他信息。

数据可能是从母公司所在国家以外的系统或网络收集的，公司可能需要聘请第三方取证、电子取证或其他提供商来协助数据收集、使用、分析和传输。根据具体情况，包括地理足迹、数据类别和其他因素，公司可能需要解决对这些活动的各种当地法律限制。

1、数据保护和隐私

公司应确认，已向在网络事件中被收集、使用和转移个人数据的员工、客户或其他数据主体提供了适当的隐私通知，并且公司有充分的法律依据进行处理，包括在涉及健康/医疗或其他敏感个人数据的情况下的特殊考虑。

公司还应考虑比例性和数据最小化要求，并考虑根据情况记录数据保护影响评估。

此外，公司可能需要解决跨境数据传输限制，包括与第三方服务提供商实施适当的数据保护合同义务，例如取证或电子取证。

2、窃听和电子通信

如果调查涉及收集和审查电子邮件或其他通信，公司应确认其解决了禁止或限制截取、审查或记录通信的任何适用的本地窃听和电子通信要求，此外还应确保数据受试者已被适当通知和/或同意此类潜在监测。

例如，除非公司有效禁止员工个人使用公司电子邮件系统，否则德国电信法通常规定审查电子邮件通信需要两方同意的要求。同样，巴西联邦宪法、通信拦截法和其他条款规定了电子和其他通信的隐私权和不可侵犯性，这些通信需要征得同意或有其他法律依据才能收集。

3、劳动就业法

如果公司设有劳资委员会或其他员工代表机构，则根据劳动法和劳动协议，公司可能有义务向此类员工代表机构进行通知或事先协商。例如，《德国工厂宪法法案》是德国的一部联邦法律，规定了员工组建工厂委员会的权利。根据该法案，许多公司就员工监控和其他与网络调查相关的活动的通知、咨询和共同决定程序的具体内容达成了协议。

在实际的网络事件中，公司可能没有能力对这些类型的数据限制进行有意义的合规工作，而是必须参与基于风险的决策，以实用的方式管理最重大的风险，同时促进有效的网络安全调查。

三、向执法部门披露信息——不同辖区可能存在法律冲突

在特定情况下，公司的调查可能与当地反调查、“阻断”立法（blocking statutes）或其他当地考虑因素发生冲突，从而造成刑事或其他重大当地法律风险。

1、反调查或“阻断”法

通过这些法规的具体目的是干扰外国（即非本地）政府的调查。

法国1980 年 7 月 16 日颁布的第 80-538 号法律一般禁止通信/传输可能导致在外国司法或其他程序中建立证据的文件或信息。同样，瑞士《刑法》第 271 条一般禁止收集位于瑞士并用于瑞士境外诉讼的证据。如果公司在任何这些当地地区收集数据，并与美国联邦调查局（FBI）或其所在司法管辖区的其他执法或监管机构交换此类信息，上述法国、瑞士这类规定，就会与公司网络安全的合规变得切实相关。

2、银行保密和职业保密

当地银行保密或其他特定行业的保密义务可能适用于银行、医疗保健和其他受监管的数据。

希腊《银行业立法令》（1059/1971）一般禁止当地银行业务与第三方和附属公司（包括母公司）共享客户存款账户信息，且此类限制不能在客户同意的情况下豁免。同样，新加坡《银行法》第 47 条一般禁止本地银行业务披露或将客户信息转移到新加坡以外的地点。

3、“国家机密”和其他限制

其他要求可能适用，具体取决于相关司法管辖区。

中国通过了《保守国家秘密法》，该法可能适用于与敏感部门或政府高级官员有关的任何数据或文件。无论任何所谓的个人同意如何，将此类数据传输到外部都可能导致潜在的刑事责任。

在某种程度上，任何特定的调查都会引起上述这些类型的潜在法律冲突，它们可能会带来一些严峻的挑战。虽然在大多数情况下，公司会评估配合调查是压倒一切的迫切需要，但公司可能会做出某些战略决策，例如是否或如何在数据所在的当地司法管辖区执行某些部分的调查，或者如何以有助于减少这些当地法律风险的方式与母国的执法部门合作。