这个白皮书参编单位有：
里面包括有3家法律机构哦
。
整个白皮书有137页，涵盖面蛮广的。就挑我熟悉的几个地方排雷。
第14页：
“充分性认定”是允许欧盟数据流出欧盟，到经过“充分性认定”的国家和地区。流出，而不是流入。整个方向写反了！低级错误。
第18页：
对比下欧盟官网截止到12月的描述：
https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en (看正版域名)
在“充分性认定”的国家/地区清单里，灯塔国只有几百家签订了EU-US Data Privacy Framework的企业，才允许接受欧盟数据（而不需要签订SCC）。也就是说，按照白皮书的说法，把欧盟数据丢给灯塔国（的任意公司/机构），这个是违法的！
如果14页的问题可能是笔误，18页的问题就是极其不专业了。灯塔国几个互联网大厂，被欧盟GDPR虐的死去活来的，几个判例（SchremsⅡ）都是经典学习素材。法律界专业做隐私这块，都持续性的关注双方的太极打法。灯塔国有没有获批“充分性认定”，属于非常非常基础的隐私法律常识了。这个白皮书里的3家律所，是不用心审核呢，还是隐私方面不专业呢？你们自己判断。
第22页：
先说这个影像数据里有什么敏感信息：
行人脸
车牌号
高精度GPS坐标
途经的政府机构影像（以及地理位置）
从技术角度讲，不落地不等于安全。
历史上发生过黑客攻击主机，导致系统崩溃，将内存中解密了的银行卡号写入磁盘dump，然后再从dump里扒出敏感信息。你觉得不落地……不等于没可能不落地。
就算是审计的时候证明了不落地，但是不保证哪个开发手贱不小心改落地了，比如写个log。安全流程和审核不能保证100%发现这种安全漏洞。
所以，从安全常识来说，数据交给第三方前（出安全控制边界），都需要脱敏。敏感信息可以有个人信息，业务敏感信息等。加密和受信和不落地帮不上忙（只是不会更差）。
从法律角度来看，从来没给“不落地”豁免，甚至要求更加严格。正儿八经做过境外安全合规（比如FedRAMP），就知道哪怕远程共享屏幕（任何信息显式在灯塔境外显示器上）都是出境违规，和是不是落地无关。微创就是因为这事儿被祭天了。另外，别忘了EO 14117这个恶意针对东大的大杀器，人脸，GPS，政府相关……可以直接长臂管辖射一发洲际导弹过来满门抄斩。
白皮书里自己也提到了“把“远程访问”视同出口”（第16页），但是没几页转头又降级为可以“加密传输”+“原始数据不落地”+“封闭环境”=处理OK，不到6页就换观点，是不是双标有点太急了？还是欺负读者记忆力堪比鱼类？
还有其他有争议的观点，尤其是技术相关的，暂且不议。缺少上下文以及更多的信息细节，或是属于没涉及的技术领域，没法实锤。但是最起码上面3点属于法律层面原则性的bug，堪比核弹。
我不反对白皮书有注水，有带货，有贩卖焦虑。毕竟都是要恰饭的（或是恰KPI）。但是最起码不能有原则性的雷把人坑了。这好比你搞健康直播间卖保健品，可以是收割智商税，但是东西不能是假货把人给吃死啊。
不管是粗心，还是不专业，还是……反正这个白皮书在我看来可信度不高，顶多提供些线索。里面觉得有用的信息，需要拿AI校验一下，或是找专业人士咨询下才能安全服用……也许会过量，但是不会致死。
题外话：刚刚报名了某个《XXXXXXX数据跨境合规指南》标准起草，想参与下，给企业出海做点贡献。嗯，参编人员，个人收费6K……好吧，人家不收爱心，我又没莆田系有钱……所以还是老老实实写公众号卖点爱心吧。
