地理数据安全问题无疑是数据安全领域的风口之一，而地图作为地理数据的载体之一，则是重中之重。目前，有关地图数据的数据安全问题，主要体现在导航电子地图和互联网地图两大领域，除了受制于《数据安全法》《个人信息保护法》《网络安全法》等数据安全方面的法律法规，亦需要遵守行业领域相关的法律法规。考虑到导航电子地图和互联网地图在行业合规要求方面存在区别，本文主要探讨互联网地图服务的数据安全问题。
一、互联网地图服务的含义
互联网地图是一种特殊的地图产品[注1]，指登载在互联网上或者通过互联网发送的基于服务器地理信息数据库形成的具有实时生成、交互控制、数据搜索、属性标注等特性的电子地图。包括二维地图以及影像地图、三维虚拟现实地图、实景（街景）地图等[注2]。
互联网地图服务，包括开展互联网地图的编制、更新等活动，以及提供浏览、搜索、导航、定位、标注、复制、链接、发送、转发、引用、嵌入、下载等增值服务。
二、互联网地图服务的准入资质
论及互联网地图服务的数据合规，首先需要面对互联网地图服务业务的合规性问题，如果业务本身不具备合规性，作为业务载体的地图数据也自然成为“毒树之果”，缺乏合规性基础；只有在业务合规的前提下，考察数据合规才有意义。
通常而言，互联网地图服务的准入资质主要有以下几种：
(一) 互联网地图服务测绘资质
测绘，是指对自然地理要素或者地表人工设施的形状、大小、空间位置及其属性等进行测定、采集、表述，以及对获取的数据、信息、成果进行处理和提供的活动[注3]。国家对从事测绘活动的单位实行测绘资质管理制度，应取得测绘资质方可开展测绘活动。
在开展互联网地图服务过程中，如果涉及地理位置定位、地理信息上传标注、地图数据库开发，则会被认定为属于测绘活动，需要取得相应的测绘资质方可实施。
此外，互联网地图的编制（包括编辑加工、格式转换、质量测评）、更新等活动，必须由取得相应电子地图编制或者导航电子地图制作专业范围测绘资质的单位承担。
(二) 增值电信业务经营许可证/非经营性互联网信息服务备案
国家对经营性互联网信息服务实行许可制度；对非经营性互联网信息服务实行备案制度。未取得许可或者未履行备案手续的，不得从事互联网信息服务[注4]。
顾名思义，互联网地图服务向用户提供服务的载体/渠道就是互联网、移动互联网。因此，开展经营性互联网地图服务，应取得增值电信业务经营许可证；开展非经营性互联网地图服务，应完成备案。
移动互联时代，地图类APP是超级流量入口，众多互联网地图服务提供者通过整合第三方生活服务资源等进行流量变现，而这都必须要取得增值电信业务经营许可证。
(三) 网络出版服务许可证
网络出版服务，是指通过信息网络向公众提供网络出版物。网络出版物，是指通过信息网络向公众提供的，具有编辑、制作、加工等出版特征的数字化作品，包括地图。从事网络出版服务，必须依法经过出版行政主管部门批准，取得《网络出版服务许可证》[注5]。
如上文所述，互联网地图属于电子地图，是一种数字化作品，从事互联网地图出版活动的，应经出版行政主管部门批准，并取得网络出版服务许可证。
以国内常用的三个互联网地图服务商为例，各自的资质证照情况如下：
三、互联网地图服务中重要数据的合规要求
重要数据，即一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。
互联网地图所登载的地理信息是国家重要的基础性、战略性资源，尤其是涉密测绘地理信息，直接关系国家主权、安全和利益，一旦泄露，其危害重大而深远。因而，这部分数据很可能被认定为属于重要数据，除须遵守《关于加强互联网地图管理工作的通知》《关于进一步加强互联网地图监管工作的意见》等互联网地图服务行业相关规定外，亦须符合《数据安全法》《网络安全法》《网络安全审查办法》等数据安全相关规定的要求，下文将从这两个角度，分别阐述该等重要数据的监管要求：
互联网地图服务行业规定中有关重要数据的合规要求
1. 数据收集
互联网地图服务提供者在重要数据的收集过程中，主要的合规要求如下：
(1) 应当使用国家规定的测绘基准和测绘系统，执行国家规定的测绘技术规范和标准；
(2) 涉及获取属于国家秘密的地理信息，应当遵守保密法律、行政法规和国家有关规定；
(3) 利用涉及国家秘密的测绘成果编制地图的，应当依法使用经国务院测绘地理信息行政主管部门或者省、自治区、直辖市人民政府测绘地理信息行政主管部门进行保密技术处理的测绘成果；
(4) 测绘项目完成后，应当向国务院测绘地理信息主管部门或者省、自治区、直辖市人民政府测绘地理信息主管部门汇交测绘成果资料；
(5) 引进的境外地图必须按相关进口地图的规定管理。
2. 数据存储
互联网地图服务提供者在重要数据的存储过程中，主要的合规要求如下：
(1) 存放地图数据的服务器不得设在境外（含港澳台地区）；
(2) 涉及持有属于国家秘密的地理信息，应当遵守保密法律、行政法规和国家有关规定；
(3) 用于提供服务的地图数据库及其他数据库不得存储、记录含有按照国家有关规定在地图上不得表示的内容。
3. 数据使用
互联网地图服务提供者在重要数据的使用过程中，主要的合规要求如下：
(1) 在地图上表示重要地理信息数据，应当使用依法公布的重要地理信息数据；
(2) 涉及利用属于国家秘密的地理信息，应当遵守保密法律、行政法规和国家有关规定；
(3) 利用涉及国家秘密的测绘成果开发生产的产品，未经国务院测绘行政主管部门或者省、自治区、直辖市人民政府测绘行政主管部门进行保密技术处理的，其秘密等级不得低于所用测绘成果的秘密等级；
(4) 利用涉及国家秘密的测绘成果提供地理信息服务，必须先经国务院测绘行政主管部门或者省、自治区、直辖市测绘行政主管部门进行保密技术处理；
(5) 互联网地图必须由相应互联网地图编制单位按照地图审核有关管理规定送审。未经依法审核批准的互联网地图，一律不得公开登载、传输。互联网地图审图号有效期为2年。审图号有效期内地图表示内容发生变化或审图号到期前，应重新送审，取得新的审图号；
(6) 对用户上传标注的兴趣点和其他新增兴趣点进行审查，确保所有信息符合国家公开地图内容表示等有关规定，且每6个月应将新增兴趣点送交审核批准互联网地图的测绘行政主管部门备案；
(7) 在互联网上登载、复制、发送、转发、引用、嵌入互联网地图，必须在相应页面显著位置标明地图审图号和著作权信息，并应经互联网地图著作权人的同意；
(8) 在互联网上登载实景影像地图，应当按照地图审核相关规定送审。未经审核批准的实景影像地图，一律不得在互联网上公开登载；
(9) 提供增值服务（包括浏览、搜索、导航、定位、标注、复制、链接、发送、转发、引用、嵌入、下载等）必须使用经测绘行政主管部门审核批准的互联网地图；
(10) 不得提供境外互联网地图服务的链接。
4. 数据传输/提供
互联网地图服务提供者在重要数据的传输/提供过程中，主要的合规要求如下：
(1) 涉及提供属于国家秘密的地理信息，应当遵守保密法律、行政法规和国家有关规定；
(2) 互联网地图服务单位发现其网站传输的地图信息含有不得表示的内容的，应当立即停止传输，保存有关记录，并向县级以上人民政府测绘地理信息行政主管部门、出版行政主管部门、网络安全和信息化主管部门等有关部门报告；
(3) 对外提供属于国家秘密的测绘成果，应当按照国务院和中央军事委员会规定的审批程序，报国务院测绘行政主管部门或者省、自治区、直辖市人民政府测绘行政主管部门审批。
除以上各环节的要求外，《地图管理条例》亦明确规定互联网地图服务单位应当制定互联网地图数据安全管理制度和保障措施。
(二) 数据安全相关规定中有关重要数据的合规要求
在数据安全领域关于重要数据处理的生效法规中，已经明确的要求包括：
1. 重要数据备份（《网络安全法》第二十一条）；
2. 重要数据应当在境内存储（《网络安全法》第三十七条）；
3. 因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估（《网络安全法》第三十七条）；
4. 重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任（《数据安全法》第二十七条）；
5. 重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等（《数据安全法》第三十条）；
6. 在网络安全审查中将重要数据作为国家安全风险因素予以重点评估（《网络安全审查办法》第十条）。
除此之外，在《数据安全管理办法（征求意见稿）》《网络数据安全管理条例（征求意见稿）》等众多涉及重要数据的监管规则征求意见稿中，设置了更为详细的监管要求，包括但不限于：
1. 网络运营者以经营为目的收集重要数据的，应向所在地网信部门备案。备案内容包括收集使用规则，收集使用的目的、规模、方式、范围、类型、期限等，不包括数据内容本身；
2. 网络运营者以经营为目的收集重要数据或个人敏感信息的，应向所在地网信部门备案。备案内容包括收集使用规则，收集使用的目的、规模、方式、范围、类型、期限等，不包括数据内容本身；
3. 数据处理者处理重要数据的系统原则上应当满足三级以上网络安全等级保护和关键信息基础设施安全保护要求，且应当使用密码对重要数据进行保护；
4. 重要数据的处理者，应当在识别其重要数据后的十五个工作日内向设区的市级网信部门备案；
5. 重要数据的处理者，应当制定数据安全培训计划，每年组织开展全员数据安全教育培训，数据安全相关的技术和管理人员每年教育培训时间不得少于二十小时；
6. 重要数据的处理者，应当优先采购安全可信的网络产品和服务；
7. 处理重要数据或者赴境外上市的数据处理者，应当自行或者委托数据安全服务机构每年开展一次数据安全评估，并将数据安全评估报告报设区的市级网信部门；
8. 数据处理者共享、交易、委托处理重要数据的，应当征得设区的市级及以上主管部门同意，主管部门不明确的，应当征得设区的市级及以上网信部门同意；
9. 出境数据中包含重要数据的，应当通过国家网信部门组织的数据出境安全评估；
10. 向境外提供重要数据的数据处理者，应当每年编制数据出境安全报告，向设区的市级网信部门报告上一年度数据出境情况。
四、互联网地图服务中个人信息的合规要求
目前，随着网络技术特别是移动互联网技术的快速发展和地理信息应用的不断深入，手机地图、实景地图、静态地图等在众多导航、网约车、短视频、外卖、购物、社交等APP、网站中大量使用，个人信息收集、使用是互联网地图服务业务正常运行所需，因而，个人信息的合规是互联网地图服务数据合规的重要组成部分。
互联网地图服务提供者在直接向用户提供服务时，我国对用户个人信息的合规要求贯穿于互联网地图服务提供者所实施的从用户个人信息收集、存储、使用、加工、传输、提供、公开的全过程，笔者已在《个人信息处理全流程合规——兼评<个人信息保护法>》一文中探讨了个人信息处理全流程中的合规问题，故本文不再赘述。
考虑到大量的App和服务需要借助互联网地图服务实现功能，因此，互联网地图服务提供者除直接向终端用户提供服务外，也向众多的各类型服务者以SDK、API等形式提供服务。互联网地图服务提供者为应对合规要求，也为了减少自身不必要的法律风险，可以主动为开发者提供各种合规服务，包括但不限于：
(一) 主动公开SDK的官方名称、功能及服务、收集的个人信息、权限授权方式及内容、隐私链接，以便开发者可以正确、合规、直接地引用
例1：B地图
例2：T地图
(二) 为开发者提供合规指南，一方面列明开发者应当遵守的法律，及使用其地图服务的必要前提条件，另一方面给予部分自查问题列表
例1：B地图合规指引
例2：T地图合规指引
五、结 语
互联网地图是地理信息的重要载体，也是国家版图的重要表现形式，事关国家主权、安全和利益，同时，也承载了用户日益增长的地理信息和地图数据应用需求，深深嵌入日常生活的方方面面。高度重视数据安全的法律规制，做好重要数据和个人信息的合规工作，是互联网地图服务行业健康长远发展的重要基础和有力保障。
注释及参考文献:
[1]《关于加强互联网地图和地理信息服务网站监管的意见》
[2]《关于加强互联网地图管理工作的通知》
[3]《测绘法》
[4]《互联网信息服务管理办法》
[5]《网络出版服务管理规定》