飞向低空世界的法律引擎：民用无人机产业的数据合规

1. 哪些参与方？——无人机产业链中的主要参与主体

       无人机产业链上、中、下游主要包括无人机研发、无人机制造、无人机应用等环节：

图：无人机产业链概况

       而其中，承担无人机研发、制造的无人机制造商及应用无人机的无人机用户可能在开展与无人机相关的业务中收集、处理数据，该等数据可能来源于无人机本身，也可能来源于无人机服务的终端消费者，具体而言，各主体之间的关系及可能涉及的系统如下：

图：无人机产业链各参与方

2. 涉及哪些数据？——无人机产业链中的具体数据

数说低空：无人机运行中的数据合规要点

       由于无人机对个人信息等数据收集的能力远胜于传统互联网环境，其数据传输、采集、备份、存储的便捷程度也更高，因此，如何确保无人机、无人机制造商、无人机用户等系统及主体合规处理相关数据，严格遵守网络安全与数据安全合规要求，是无人机制造商、无人机用户应当格外重视的问题。

1. 无人机制造商数据合规要点

       如前所述，在无人机产业链相关的数据处理活动中，数据处理的重要载体之一就是无人机，无人机相关系统承载了数据收集、数据存储、数据报送等重要功能。而无人机制造商作为研发、生产无人机的主体，除就其自身的数据处理活动遵守相应合规义务外，还应特别关注无人机系统建设相关的数据合规要求，确保系统建设满足基本技术及安全要求并实现接入UTMISS、搭建电子围栏等功能。

       根据强制性国家标准GB 42590-2023《民用无人驾驶航空器系统安全要求》及相关标准（如《民用无人驾驶航空器系统分级及分类》《无人驾驶航空器系统术语》等），“无人机系统”包括从事飞行活动的航空器（即无人机本身）、控制单元、数据链、作业载荷、运行支持单元等组成的系统。而该等系统包含与数据和信息安全相关的系统，《民用无人驾驶航空器系统安全要求》称其为“数据链”，即用于无人机遥控、遥测、定位跟踪和任务载荷信息传输的数据终端和数据通信规程所建立的数据通信网络，兼具信息传递、数据发送、数据压缩、数据清洗、数据记录、数据回放等多种功能。

       风险报告：发现产品及应用系统、软件存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知无人机用户并报主管部门。

2. 无人机用户数据合规要点

       而当企业作为无人机用户利用无人机提供服务和产品时，更应结合服务特点，关注无人机相关的个人信息保护、数据安全及网络安全问题，切实保障终端消费者个人信息及数据安全。本文以无人机物流及无人机测绘为例，尝试分析相关行业的具体数据合规要点。

（1）无人机物流

       无人机物流是低空经济众多行业之一的典型代表。各大物流配送行业巨头自早期就开始研究无人物流配送技术，研发无人物流配送设备，现如今，快递、外卖甚至医疗资源等都可以实现通过无人机配送。根据某物流服务商统计的信息，2021年1月至2023年5月，由该企业通过无人机完成的配送订单总数已达16.7万单，飞行总时长已达3.4万余小时。

       由国家邮政局发布的，于2021年1月1日起正式实施的行业标准《无人机快递投递服务规范》（YZ/T 0172-2020）第8.4条专门对用户个人信息安全进行规定，指出“快递无人机运营组织应遵守国家相关规定，对快件寄递用户及快件信息安全负责，不应泄露用户信息，或利用用户信息牟利。”而2022年12月13日，中华人民共和国交通运输部发布的行业标准《无人机物流配送运行要求》（JT/T 1440-2022）正式实施，对“无人机物流”作出定义，即“以无人机作为载运工具，依托航线网络及航空运输优势，借助现代信息技术，将货物从始发站运输并交付至目的站的过程”，该标准同时对物流过程中的信息交互、信息安全提出了要求。

       一系列标准的出台说明无人机物流的数据合规问题已备受关注，无人机用户在利用无人机创新快递物流服务方式的同时，更应结合服务特点，关注无人机相关的个人信息保护、数据安全及网络安全问题，切实保障用户个人信息及数据安全。

       具体而言，在向终端消费者提供无人机物流服务的主要环节，可能涉及的个人信息如下：

       根据《信息安全技术 快递物流服务数据安全要求》，无人机在快递物流服务中属于智能服务终端的一类，在利用无人机等智能服务终端的场景下，数据安全风险之一就是因设备丢失或设备保护措施不足等导致数据泄露的风险。因此，利用无人机提供快递物流服务的无人机用户除了依据所适用的个人信息保护法律法规保护终端消费者个人信息外，还应格外关注如下与无人机相关的数据合规要点：

       敏感个人信息：由于无人机物流通常会涉及到精确位置、行踪轨迹等敏感个人信息，无人机物流企业应当遵循敏感个人信息的特殊处理规则，包括但不限于获取处理敏感个人信息的单独同意、事先开展个人信息保护影响评估等；

       个人信息存储：应对无人机及智能空投柜等智能服务终端采集的个人信息进行离线存储，保存期限宜小于30天，对该等智能服务终端中离线存储的个人信息及取件验证码进行加密。应针对无人机及智能空投柜建立自有的失效资产列表，并对失效无人机等设备存储的业务数据进行删除。同时，还应采取端口管控、物理设备锁等防撬起措施，防止攻击者通过设备端口（包括USB端口、蓝牙等）或拆除无人机后访问存储模块，提取无人机上的数据。用于提供物流服务的无人机还应支持远程锁屏、远程数据擦除、后台强制退出登录等功能，并确保相关功能在无人机丢失时能够激活；

       信息系统保护：利用无人机提供快递物流服务的企业应当保证建设与终端消费者个人信息相关的信息系统时，在网络传输、访问控制、终端防护、恶意代码防护、监控审计等方面采取有效措施，确保同步规划、同步建设和同步使用。

（2）无人机测绘

       在无人机测绘的场景中，根据某无人机制造商公开网站所载的宣传信息，无人机已经可以实现地籍测量、土地利用覆盖、地形测量、实景三维等基础测绘功能，相较于传统人工测绘方式，可以利用无人机系统及无线电技术实现测绘当场即回传数据，大幅提升了数据采集效率、缩短项目周期。如前所述，由于测绘行业多涉及精密的科研工作及大量地理信息数据（无人机用户在测绘工作中采集的数据下文统称“测绘数据”），利用无人机开展测绘工作的无人机用户可能面临较为严格的数据合规要求，主要包括如下：

1）对测绘数据分级分类管理，切实保障测绘数据安全

       由于无人机用户收集的测绘数据可能包括大量的地理信息、资源信息等数据，这些数据可能是关乎国计民生的重要数据、核心数据，甚至可能涉及国家秘密。因此，无人机用户开展测绘工作时应关注是否涉及处理重要数据、核心数据、国家秘密，并履行相应的数据合规义务。

       综上所述，我们理解无人机用户在开展测绘工作时应格外关注如下合规要点：

       数据分级分类：详细盘点收集的测绘数据类型，梳理是否涉及收集重要秘密、核心数据、涉密测绘成果数据或非密测绘成果数据，并形成数据分级分类清单，对应不同的数据类型按照前述主要合规义务严格执行；

       关注数据收集资质：与各行业数据处理活动应遵守的合规要求相同，无人机用户在测绘工作中收集数据时同样需要满足处理目的合法、必要的要求。同时，由于《测绘资质管理办法》对测绘资质及专业类别作出了明确规定，因此，我们理解无人机用户应在其测绘资质等级许可的专业类别和作业限制范围内收集测绘数据，避免超范围、超资质收集数据；

       保障数据安全，实现数据处理全流程合规：按照《中华人民共和国数据安全法》严格履行数据安全合规义务，实现测绘数据收集、加工、使用、传输、共享、出境、公开、删除等全流程合规；

       履行关键信息基础设施运营者相关义务：鉴于测绘数据与国家秘密、国防科技事业紧密相关，涉密测绘成果甚至关切到国家安全、公共利益，因此建议开展测绘工作的无人机用户关注其是否被认定为关键信息基础设施运营者，如经认定，应积极落实相关义务。

2）保障航拍数据影像质量

       利用无人机开展测绘工作应满足一定的影像质量及成果质量要求，中华人民共和国自然资源部（“自然资源部”）等主体发布一系列国家标准及测绘行业标准对无人机测绘涉及的数据质量要求做出规定，例如：

       以2022年11月实施的测绘行业标准《无人机航空摄影成果质量检查与验收》为例，该标准从飞行质量、影像质量、数据质量和资料质量四个方面规范无人机测绘航空摄影的成果。具体而言，影像质量方面应着重关注影像外观、影像完整性、地面分辨率及有效影像覆盖度，数据质量方面应着重关注影像数据（如影像数据的压缩倍率、格式、文件命名等）、无人机测姿定位数据、GNSS或IMU/GNSS相关数据、验校场相关数据，资料质量方面则应着重关注资料的齐全性、正确性和完整性。

3. 其他数据合规要点

       除上述与具体行业相关的数据合规要点外，无人机产业链中的各主体还应关注如下数据合规要点，避免违规飞行。

（1）及时报备及依法进行实名登记、报送飞行动态等数据

       无人机制造商及无人机用户如不依法进行实名登记、报送飞行动态等数据，可能面临行政处罚（包括通航飞行管制处罚及治安管理处罚等）乃至刑事责任，因此，应依法进行实名登记、报送飞行动态等数据。

（2）向“黑飞”说不，在适飞区域合规飞行

       一般而言，未经报备审批在非适飞区域飞行、适飞区域高度超过120米或未联网飞行无人机的行为都可能被认定为“黑飞”。部分无人机拥有者可能自行通过断网等方式“黑”入禁飞区域或禁飞高度，还有部分经营者可能研发破解软件，为“飞手”提供解禁途径。但该等行为均被禁止，甚至可能引发刑事责任。

       在智慧执法的背景下，入侵计算机系统的“黑飞”违法行为往往无处遁形。以深圳地区为例，为精准管控“黑飞”的无人机，深圳警方利用线上智慧系统，可自动识别未依规行驶的无人机。未提前申请飞行计划和飞行空域的无人机进入“预警区域”，将触发系统的“自动报警”系统，并可实时显示无人机飞行的高度及位置。[14]

       无人机制造商及无人机用户应避免侵入、破坏无人机系统，也不应使用他人提供的“破解”软件，根据实际飞行需要进行申报，才能飞得安全、飞得放心。

（3）避免利用无人机侵犯他人隐私及个人信息

       根据《中华人民共和国民法典》《中华人民共和国个人信息保护法》等法律法规，自然人的个人信息受法律保护，处理个人信息应当遵循合法、正当、必要原则，一般应获得个人同意。因此，无人机用户在运行无人机时，应尤其注意尊重他人隐私及个人信息权益。

       如在杭上公（凯）行罚决字〔2022〕01213号案件中，某无人机用户于2022年3月至4月期间在某楼顶多次操纵无人机设备对楼内住户进行拍摄，侵犯他人隐私，于4月10日被公安机关查获。