數(shù)據(jù)中心已成為英國(guó)數(shù)字基礎(chǔ)設(shè)施的核心組成部分，對(duì)推動(dòng)經(jīng)濟(jì)增長(zhǎng)、技術(shù)創(chuàng)新和AI部署至關(guān)重要。它們已被正式認(rèn)定為國(guó)家關(guān)鍵資產(chǎn)，并由此進(jìn)入監(jiān)管審查日趨嚴(yán)格的新階段。

在確保符合英國(guó)數(shù)據(jù)隱私義務(wù)的同時(shí)，數(shù)據(jù)中心運(yùn)營(yíng)商還將依據(jù)英國(guó)更新的網(wǎng)絡(luò)與信息系統(tǒng)（NIS）框架被納入"基本服務(wù)"提供商范疇，這將重塑風(fēng)險(xiǎn)管理、治理結(jié)構(gòu)和執(zhí)法責(zé)任。確保在多重交叉、錯(cuò)綜復(fù)雜的監(jiān)管體系下保持合規(guī)，是避免合同違約或監(jiān)管違規(guī)、防范重大財(cái)務(wù)損失的關(guān)鍵所在。

網(wǎng)絡(luò)風(fēng)險(xiǎn)與監(jiān)管挑戰(zhàn)

數(shù)據(jù)中心是高價(jià)值攻擊目標(biāo)。對(duì)此，英國(guó)政府通過《網(wǎng)絡(luò)韌性法案》引入新的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，將數(shù)據(jù)中心納入網(wǎng)絡(luò)與信息系統(tǒng)（NIS）法規(guī)的監(jiān)管范圍。

新規(guī)要求中大型托管服務(wù)提供商必須采取適當(dāng)措施，管理其所提供服務(wù)面臨的安全風(fēng)險(xiǎn)。監(jiān)管機(jī)構(gòu)將有權(quán)對(duì)嚴(yán)重安全漏洞處以基于營(yíng)業(yè)額比例的罰款，同時(shí)要求在24小時(shí)內(nèi)上報(bào)有害事件。

此外，數(shù)據(jù)中心將作為"基本服務(wù)運(yùn)營(yíng)商"，由交通部（DFT）和能源監(jiān)管機(jī)構(gòu)Ofgem在數(shù)字基礎(chǔ)設(shè)施方案框架下實(shí)施監(jiān)管。更頻繁、更規(guī)范的事故通知要求（面向監(jiān)管機(jī)構(gòu)及客戶）不僅增加了合同索賠、過失追責(zé)和數(shù)據(jù)保護(hù)賠償?shù)娘L(fēng)險(xiǎn)，還可能面臨因違規(guī)而招致的巨額罰款。

勒索軟件事件尤其構(gòu)成真實(shí)的法律與商業(yè)風(fēng)險(xiǎn)，可能引發(fā)保險(xiǎn)理賠糾紛，并加劇集體訴訟風(fēng)險(xiǎn)。

各組織應(yīng)對(duì)照英國(guó)國(guó)家網(wǎng)絡(luò)安全中心（NCSC）最佳實(shí)踐進(jìn)行自查，在適當(dāng)情況下推行"網(wǎng)絡(luò)核心認(rèn)證"（Cyber Essentials，即NCSC認(rèn)證方案），具體措施包括：分層安全控制、事故響應(yīng)預(yù)案、威脅驅(qū)動(dòng)測(cè)試及完善的第三方風(fēng)險(xiǎn)管理。

在合同中嵌入網(wǎng)絡(luò)安全保障條款，可有效覆蓋供應(yīng)鏈安全、治理與事故管理、數(shù)據(jù)保護(hù)及業(yè)務(wù)連續(xù)性等方面的要求與最佳實(shí)踐。

數(shù)據(jù)與安全責(zé)任必須明確界定：清晰劃定設(shè)施、系統(tǒng)及共享服務(wù)的安全責(zé)任主體，將違規(guī)責(zé)任限額與保險(xiǎn)覆蓋范圍及實(shí)際風(fēng)險(xiǎn)敞口相匹配。在網(wǎng)絡(luò)安全事件發(fā)生后，明確各方協(xié)作義務(wù)正變得越來越關(guān)鍵。

數(shù)據(jù)隱私合規(guī)導(dǎo)航

絕大多數(shù)數(shù)據(jù)中心服務(wù)涉及個(gè)人數(shù)據(jù)處理，因此必須滿足適用數(shù)據(jù)保護(hù)法律的要求。

通常，數(shù)據(jù)中心運(yùn)營(yíng)商須履行英國(guó)《通用數(shù)據(jù)保護(hù)條例》（UK GDPR）下的以下義務(wù)：采取"適當(dāng)?shù)募夹g(shù)與組織措施"保護(hù)個(gè)人數(shù)據(jù)；維護(hù)合規(guī)的數(shù)據(jù)處理協(xié)議；確保對(duì)次級(jí)處理商的管控及審計(jì)權(quán)；配合數(shù)據(jù)控制方在72小時(shí)內(nèi)向信息專員辦公室（ICO）完成個(gè)人數(shù)據(jù)泄露通報(bào)；以及在數(shù)據(jù)被訪問或傳輸至英國(guó)境外時(shí)確保合法保障措施到位。

《2018年數(shù)據(jù)保護(hù)法》（DPA 2018）就特殊類別數(shù)據(jù)的保障措施新增了具體規(guī)定，并對(duì)執(zhí)法及公共部門數(shù)據(jù)作出專項(xiàng)規(guī)范。

《隱私與電子通信條例》（PECR）適用于以下情形：數(shù)據(jù)中心為用戶設(shè)備上的信息存儲(chǔ)或訪問提供支撐、承載電子通信服務(wù)，或托管客戶的營(yíng)銷與通信平臺(tái)。

盡管PECR的適用往往較為間接，但其風(fēng)險(xiǎn)不容忽視——ICO的執(zhí)法權(quán)限現(xiàn)已與UK GDPR的處罰標(biāo)準(zhǔn)接軌（最高罰款為1750萬英鎊或全球年?duì)I業(yè)額的4%，以較高者為準(zhǔn)）。

數(shù)據(jù)中心運(yùn)營(yíng)商應(yīng)審查并強(qiáng)化現(xiàn)有的處理商條款（如適用，還需完善次級(jí)處理商審批及審計(jì)機(jī)制），并就責(zé)任劃分和監(jiān)管合作保存完整文檔。此外，詳細(xì)說明安全架構(gòu)與監(jiān)管合規(guī)狀態(tài)的透明度文件同樣不可或缺。

數(shù)據(jù)主權(quán)與數(shù)據(jù)跨境傳輸

英國(guó)目前沒有統(tǒng)一的數(shù)據(jù)主權(quán)法律或普遍適用的數(shù)據(jù)本地化要求，數(shù)據(jù)主權(quán)問題通常由UK GDPR跨境傳輸規(guī)則、網(wǎng)絡(luò)韌性法規(guī)與國(guó)家安全法律共同交織作用而產(chǎn)生。

英國(guó)政府在促進(jìn)跨境數(shù)據(jù)流動(dòng)、鼓勵(lì)云服務(wù)商擴(kuò)張與投資的同時(shí)，也充分認(rèn)識(shí)到數(shù)據(jù)中心運(yùn)營(yíng)中斷所帶來的國(guó)家風(fēng)險(xiǎn)，以及對(duì)高價(jià)值數(shù)據(jù)實(shí)施管控的必要性。

跨司法管轄區(qū)法律義務(wù)相互沖突的風(fēng)險(xiǎn)確實(shí)存在。然而，《網(wǎng)絡(luò)安全法案》表明，強(qiáng)制性數(shù)據(jù)本地化并非當(dāng)前的政策方向，相關(guān)風(fēng)險(xiǎn)將通過監(jiān)管手段和更嚴(yán)格的政府管控加以化解。

在多個(gè)司法管轄區(qū)之間實(shí)現(xiàn)數(shù)據(jù)流動(dòng)的同時(shí)保持UK GDPR合規(guī)，應(yīng)是數(shù)據(jù)中心運(yùn)營(yíng)商的核心關(guān)注點(diǎn)之一。數(shù)據(jù)保護(hù)法通常禁止將個(gè)人數(shù)據(jù)傳輸至英國(guó)境外。近期，英國(guó)《數(shù)據(jù)（使用與訪問）法》對(duì)數(shù)據(jù)跨境傳輸法律進(jìn)行了更新，引入了新的"數(shù)據(jù)保護(hù)測(cè)試"標(biāo)準(zhǔn)，適用于國(guó)際數(shù)據(jù)傳輸。

在將個(gè)人數(shù)據(jù)傳輸至英國(guó)境外時(shí)，組織通常依賴以下機(jī)制：接收方國(guó)家獲得英國(guó)充分性認(rèn)定，或采用其他保障措施（如國(guó)際數(shù)據(jù)傳輸協(xié)議或英國(guó)附錄）。例如，英美"數(shù)據(jù)橋"協(xié)議允許將數(shù)據(jù)傳輸至經(jīng)認(rèn)證的美國(guó)接收方，無需額外保障措施，從而簡(jiǎn)化了跨大西洋數(shù)據(jù)流動(dòng)。

在適用相關(guān)保障措施時(shí)，數(shù)據(jù)出口方須開展傳輸風(fēng)險(xiǎn)評(píng)估。各組織應(yīng)全面遵守英國(guó)數(shù)據(jù)傳輸法律及相關(guān)指引（例如ICO國(guó)際傳輸指南），及時(shí)更新國(guó)際數(shù)據(jù)傳輸?shù)膬?nèi)部政策、流程與文檔，并審查合同中的數(shù)據(jù)傳輸條款。

英國(guó)數(shù)據(jù)中心的前路

英國(guó)數(shù)據(jù)中心正處于數(shù)據(jù)隱私、網(wǎng)絡(luò)安全與數(shù)據(jù)主權(quán)政策的交匯中心。即將落地的NIS監(jiān)管認(rèn)定將正式確立其國(guó)家關(guān)鍵角色，隨之而來的是Ofcom的監(jiān)管介入、規(guī)范化的事故報(bào)告要求以及更嚴(yán)厲的處罰機(jī)制。在監(jiān)管范圍內(nèi)的組織應(yīng)將理解并落實(shí)法律要求列為首要任務(wù)。

英國(guó)隱私法律持續(xù)要求建立有據(jù)可查、完備健全的安全與治理體系。政府監(jiān)管力度不斷加強(qiáng)，數(shù)據(jù)中心面臨的合規(guī)壓力日益上升，尤其是在數(shù)據(jù)隱私與網(wǎng)絡(luò)安全領(lǐng)域。

英國(guó)數(shù)據(jù)中心行業(yè)具有顯著的增長(zhǎng)潛力，但也面臨錯(cuò)綜復(fù)雜的監(jiān)管格局與法律風(fēng)險(xiǎn)。

清晰的操作流程、嚴(yán)謹(jǐn)?shù)奈臋n管理以及周密的合同安排，是保護(hù)法律權(quán)益與商業(yè)利益的根本所在。

Q&A

Q1：英國(guó)NIS法規(guī)更新后，數(shù)據(jù)中心運(yùn)營(yíng)商需要滿足哪些新要求？

A：根據(jù)更新后的NIS法規(guī)，中大型托管服務(wù)提供商須采取適當(dāng)措施管理服務(wù)風(fēng)險(xiǎn)，并在24小時(shí)內(nèi)上報(bào)有害事件。數(shù)據(jù)中心將被納入"基本服務(wù)運(yùn)營(yíng)商"范疇，受交通部和Ofgem監(jiān)管。違規(guī)處罰將采用基于營(yíng)業(yè)額比例的罰款機(jī)制，同時(shí)還需向監(jiān)管機(jī)構(gòu)及客戶進(jìn)行更頻繁的正式事故通知。

Q2：英國(guó)數(shù)據(jù)中心在跨境數(shù)據(jù)傳輸方面需要遵守哪些規(guī)定？

A：英國(guó)數(shù)據(jù)保護(hù)法通常禁止將個(gè)人數(shù)據(jù)傳輸至英國(guó)境外。組織可依據(jù)以下機(jī)制進(jìn)行合規(guī)傳輸：接收方國(guó)家獲得英國(guó)充分性認(rèn)定，或采用國(guó)際數(shù)據(jù)傳輸協(xié)議、英國(guó)附錄等保障措施?！稊?shù)據(jù)（使用與訪問）法》還引入了新的"數(shù)據(jù)保護(hù)測(cè)試"。此外，英美"數(shù)據(jù)橋"協(xié)議允許向經(jīng)認(rèn)證的美國(guó)接收方傳輸數(shù)據(jù)，無需額外保障措施。在使用相關(guān)保障措施時(shí)，還須開展傳輸風(fēng)險(xiǎn)評(píng)估。

Q3：數(shù)據(jù)中心如何通過合同條款加強(qiáng)網(wǎng)絡(luò)安全保障？

A：數(shù)據(jù)中心可在合同中嵌入多類網(wǎng)絡(luò)安全保障條款，涵蓋供應(yīng)鏈安全、治理與事故管理、數(shù)據(jù)保護(hù)及業(yè)務(wù)連續(xù)性等方面。合同中需明確數(shù)據(jù)與安全責(zé)任歸屬，清晰劃定設(shè)施、系統(tǒng)及共享服務(wù)的安全責(zé)任主體，同時(shí)將違規(guī)責(zé)任限額與保險(xiǎn)覆蓋范圍相匹配，并明確網(wǎng)絡(luò)安全事件發(fā)生后各方的協(xié)作義務(wù)。