出行365母公司IPO背后：出行行業(yè)收集大量司機敏感信息

　　出行365母公司IPO背后：出行行業(yè)收集大量司機敏感信息；算法合規(guī)路徑尚存模糊地帶

　　出行行業(yè)扎堆赴港IPO。11月14日，出行365、365約車的母公司盛威時代向港交所主板提交上市申請書。今年，如祺出行、嘀嗒出行已成功登陸港股，曹操出行也于10月30日晚更新了招股書。

　　與C端用戶貼近的出行行業(yè)，數(shù)據(jù)安全與個人信息保護議題是繞不開的話題，上述幾家公司的招股書中也有較大篇幅闡述自身業(yè)務中潛在的數(shù)據(jù)合規(guī)風險以及自身舉措。

　　個人信息保護、網(wǎng)絡安全審查、數(shù)據(jù)跨境、算法合規(guī)、網(wǎng)絡安全保障是出行行業(yè)招股書中必要說明的要素。

　　在個人信息保護方面，司機的個人信息保護一直未受到足夠關注，如祺、曹操等招股書中未見過多筆墨。盛威時代招股書中披露，累計注冊司機數(shù)量達150萬名，并會收集面部數(shù)據(jù)，以確保出行合規(guī)，將其視為機密資料。

　　出行平臺依賴信息技術系統(tǒng)以及第三方合作伙伴與服務供應商的技術系統(tǒng)，其中存儲著與業(yè)務相關的專有或機密數(shù)據(jù)，以及司機、乘客等的敏感個人信息。與第三方的廣泛交互性存在風險敞口。

　　出行行業(yè)依賴大數(shù)據(jù)分析，運營、派單等均需算法實現(xiàn)。目前我國已建立起較為完備的算法監(jiān)管體系，算法合規(guī)也成為業(yè)界關注重點，發(fā)行人通常會對算法進行表態(tài)及風險提示，但普遍來看，招股書中對于如何具體執(zhí)行和落地算法合規(guī)性的策略相對匱乏。盛威時代亦存在這個問題，對于算法備案、安全評估等情況，未在招股書中披露。

　　累計注冊司機150萬名，搜集司機面部信息等確保出行合規(guī)

　　盛威時代是中國領先的城際及城內(nèi)道路客運信息服務提供商。在業(yè)務方面，盛威時代構建了綜合出行服務體系，提供多元化服務。

　　面向企業(yè)端主要為聯(lián)網(wǎng)售票服務和定制客運服務，主要以客運站及客運企業(yè)為客戶，通過“云站務”系統(tǒng)賦能客運站，通過主要的在線出行預訂系統(tǒng)平臺(包括12306、航旅縱橫、同程、攜程、飛豬等)及自營平臺“出行365”連接廣大的乘客和客運站；并為客運企業(yè)定制服務方案，包括在機場、高鐵站、校園等地提供定制線路的巴士服務等。

　　根據(jù)弗若斯特沙利文的資料，盛威時代聯(lián)網(wǎng)售票業(yè)務銷售車票達6120萬張，定制客運業(yè)務銷售車票達1030萬張，這些業(yè)務使得盛威時代成為2023年中國最大的城際道路客運信息服務提供商，而這些業(yè)務均涉及收集、存儲、處理和傳輸大量與用戶相關的數(shù)據(jù)，包括但不限于身份信息、交易信息和其他敏感個人信息，這帶來了數(shù)據(jù)泄露的風險敞口。

　　“我們受到有關網(wǎng)絡安全、信息安全、隱私和數(shù)據(jù)安全的各種法律法規(guī)所約束，包括對個人信息收集、存儲和使用的限制以及采取措施防止個人信息被泄露、竊取或篡改的要求，以保護用戶隱私。 ”招股書中如此說道。

　　面向用戶端的網(wǎng)約車服務，盛威時代選擇與高德等主流聚合平臺合作，同時自營網(wǎng)約車平臺“365約車”，獲取大量客流并提供網(wǎng)約車服務。根據(jù)弗若斯特沙利文的數(shù)據(jù)，截至2024年6月30日，按《網(wǎng)絡預約出租汽車經(jīng)營許可證》數(shù)量計算，成為中國第二大的網(wǎng)約車平臺。近三年來，盛威時代業(yè)務收入高度依賴網(wǎng)約車服務，網(wǎng)約車服務收入均占80%以上，至2024年6月30日為止前六個月，網(wǎng)約車服務收入占比已近九成。

　　在網(wǎng)約車發(fā)展早期階段，發(fā)生過乘客遇害等惡性事件，因此為了保證乘客安全、出行合規(guī)，對司機的審核是必要手段，但這也使得平臺握有大量司機的敏感個人數(shù)據(jù)。

　　招股書中提及，盛威時代除了采取多項措施對車輛資格進行核查，也要求司機在認證過程中提供其姓名及身份證號碼，采取各種資格和背景審查措施。此外，為了保證司機提交的身份資料的真實性與一致性，會應用實時的面部識別技術，要求司機完成某些指定動作，通過收集攝像頭采集司機面部信息，并且司機手機上的定位功能及行程記錄也被用來監(jiān)控司機的行為。這些均為確保司機和乘客安全的舉措。

　　截至目前，盛威時代注冊司機數(shù)量累計約150萬名。形成龐大的個人信息庫，針對如此大量的數(shù)據(jù)，招股書中給出了合規(guī)答案：“將掌握的所有司機提交的數(shù)據(jù)視為機密資料，并在必要的情況下限制本集團內(nèi)部訪問該等數(shù)據(jù)。”

　　對于個人信息保護，乘客的個人信息是公眾關注的重點，但司機的個人信息保護似乎未受到足夠的關注。這并非盛威一家企業(yè)要面臨的合規(guī)問題，不過，在曹操、如祺等幾家的招股書中未見相關筆墨。

　　值得注意的是，根據(jù)《網(wǎng)絡安全審查辦法》掌握超過100萬用戶個人信息的網(wǎng)絡平臺運營者赴國外上市，必須向網(wǎng)絡安全審查辦公室申報網(wǎng)絡安全審查。出行企業(yè)手中握有的用戶數(shù)量通常會超過100萬這個數(shù)字。不過，“港股上市并不等同于國外上市"，這也是《網(wǎng)絡安全審查辦法》留出的口子，招股書中通常會提及公司通過中國網(wǎng)絡安全審查認證等咨詢途徑獲得“赴港上市不等同國外上市”的口徑作為留痕證據(jù)。

　　此外，根據(jù)《網(wǎng)絡安全審查辦法》，關鍵信息基礎設施運營者購買網(wǎng)絡產(chǎn)品和服務或網(wǎng)絡平臺運營者從事數(shù)據(jù)處理活動影響或可能影響國家安全的，應當接受網(wǎng)絡安全審查。

　　發(fā)行人會對“關鍵信息基礎設施運營者”“可能影響國家安全”做出闡述，比如，目前為止尚未被認定“關鍵信息基礎設施運營者”；“可能影響國家安全”有待進一步詮釋，但目前未收到任何查詢、通知、警告。

　　第三方存儲與業(yè)務相關的專有或機密數(shù)據(jù) 存在不可控風險

　　出行行業(yè)對聚合平臺的依賴度逐漸加深。以盛威時代為例，九成收入借助高德地圖。招股書顯示，2021年至2024年上半年，通過高德地圖產(chǎn)生的GTV(總交易額)分別占公司網(wǎng)約車服務業(yè)務總GTV的95.3%、92.9%、89.5%及93.4%。

　　曹操出行的招股書中也提及，“與多個可促進我們平臺用戶流量的第三方聚合平臺合作。由于與聚合平臺合作使我們能夠獲得大量用戶流量及擴大業(yè)務規(guī)模，故我們亦受惠于規(guī)模效益，盈利能力得到改善�！�

　　與聚合平臺合作是出行企業(yè)第三方合作的一方面，支付、第三方服務也是出行企業(yè)乃至數(shù)字行業(yè)都無法繞開的第三方服務。與第三方合作，涉及數(shù)據(jù)流動、處理、存儲等行為，亦存在合規(guī)風險。

　　盛威時代提及，在處理付款方面，公司依賴第三方支付處理商；公司部分依賴手機操作系統(tǒng)(如安卓及iOS)及其各自的移動APP市場以及若干第三方平臺，以向平臺上的客戶、乘客及司機提供移動APP及小程序。

　　招股書中提到，“平臺的信息技術系統(tǒng)(包括自主開發(fā)的系統(tǒng)、平臺功能、支付服務及管理模塊)以及第三方合作伙伴與服務供應商的技術系統(tǒng)中存儲著與業(yè)務相關的專有或機密數(shù)據(jù)，以及司機、乘客、交通服務提供方和員工提供的敏感個人信息(如身份識別信息)�！� 就網(wǎng)約車業(yè)務而言，公司的供應商主要包括司機、運力伙伴、聚合平臺及將聚合平臺上乘客需求與其平臺上司機匹配的SaaS技術服務提供商。同時，公司依賴第三方云服務供應商存儲其乘客數(shù)據(jù)。

　　“未經(jīng)授權的第三方還可能試圖以欺詐手段誘導盛威時代員工、合作伙伴、司機、乘客或其他人披露用戶名稱、密碼、支付卡信息或其他敏感信息，或使用日益復雜的方法從事涉及個人信息的非法活動，帶來信息安全問題�！笔⑼�招股書中指出。

　　這并非盛威一家的問題，曹操出行的招股書中亦談到這個問題�！拔覀兤脚_最關鍵的特點之一是其與一系列設備、操作系統(tǒng)及第三方應用程序的廣泛交互性�！辈懿僬泄蓵�中談及，在整個運營過程中，我們高度依賴信息技術系統(tǒng)。我們的信息技術系統(tǒng)，包括移動及在線平臺、移動支付系統(tǒng)及管理功能，以及第三方業(yè)務合作伙伴及服務供應商的信息技術系統(tǒng)，均含有由司機、用戶、企業(yè)、雇員及求職者委托予我們且與業(yè)務及敏感個人數(shù)據(jù)相關的專有或機密信息(包括個人身份信息)。

　　并且，曹操出行的招股書還提到曾遭受過該類攻擊：“計算機惡意軟件、病毒、垃圾郵件及網(wǎng)絡釣魚攻擊在我們的行業(yè)中越趨普遍，我們的系統(tǒng)過往曾經(jīng)發(fā)生且于日后亦可能會發(fā)生有關事件�！�

　　盛威時代在招股書中提到，在依托信息技術系統(tǒng)及第三方支持的同時，建立了比較全面的數(shù)據(jù)管理和安全保障體系，以應對復雜的合規(guī)環(huán)境。

　　算法合規(guī)落地實操相對匱乏 未披露備案、安全評估等情況

　　出行行業(yè)是跑在數(shù)據(jù)輪子上的行業(yè)，基于較大的乘客基礎及龐大交易量，通過算法，將這些數(shù)據(jù)可以轉化為實力，提升服務及技術。

　　盛威時代表示，使用在運營過程中各種聚合算法對數(shù)據(jù)進行分類和分析；接獲訂單時，會使用標準化配對算法識別最合適的司機以履行訂單等。

　　自2023年起，“算法合規(guī)"逐漸成為企業(yè)數(shù)據(jù)合規(guī)的核心關注點。

　　出行行業(yè)的調度算法、匹配算法的爭議一直存在。2024年6月玉林市交通運輸局在約談某德平臺時，要求要合理制定和執(zhí)行平臺算法，按規(guī)定向相關部門進行算法備案，落實陽光抽成，避免過高抽成。同時要切實保障乘客合法權益，聚合平臺及其合作的網(wǎng)約車平臺要建立健全首問負責制度，及時妥善處理平臺咨詢投訴。

　　回到企業(yè)上市，可以看到一個趨勢，發(fā)行人頻繁引用《互聯(lián)網(wǎng)信息服務算法推薦管理規(guī)定》及新近頒布的《生成式人工智能服務管理暫行辦法》等關鍵法規(guī)。但是招股書中對于如何具體執(zhí)行和落地算法合規(guī)性的策略相對匱乏。

　　21世紀經(jīng)濟報道記者梳理發(fā)現(xiàn)，在嘀嗒、如祺、曹操、盛威時代的招股書中，除卻曹操提及“對算法進行安全評估，完成相關備案，公開披露算法的基本原理、目的及主要運行機制”，其余企業(yè)并未對算法的備案、評估、透明度等情況做出說明，更多是潛在風險提示以及聲明性質表態(tài)。