數據安全與利用雙翼驅動

本文作者彭誠信

隨著信息技術的發展，全球數據量正迅猛增長，數據的價值被不斷挖掘。黨的十九屆四中全會決定將數據作為新的生產要素。2020年4月和5月，中共中央、國務院先后發布《關于構建更加完善的要素市場化配置體制機制的意見》《關于新時代加快完善社會主義市場經濟體制的意見》等，提出加快數據要素市場培育，加強數據資源整合和安全保護。《數據安全法（草案）》在此背景下應運而生。

《數據安全法（草案）》立法背景

近年來，全球數據泄露問題層出不窮，如美國萬豪酒店集團近兩年連續發生數據泄露問題，超過5億用戶數據被泄露;美國劍橋分析事件中，由于Facebook疏于對第三方的管理，造成數據被用于該國政治選舉，不得已以50億美元的罰款與監管機構達成和解……數據安全問題已經不僅是企業合規的重要內容，還關系到國家、社會、公民合法權益的保護。

此外，當前世界各國就國家數據主權爭奪進入白熱化階段，網絡空間立法尤其是數據安全治理成為各國的優先目標。2020年3月，歐盟公布了《歐洲數據戰略》，旨在構建統一的數據獲取和利用規則，以進一步推動歐洲統一數字市場的實現。美國在2018年3月通過《澄清域外合法使用數據法》（Cloud Act），該法賦予了執法部門依據搜查令直接調取境外數據的權利。2019年11月，歐洲數據保護委員會（EDPB）對《統一數據保護條例》（GDPR）第3條進行統一解釋，并發布了GDPR地域適用的指南，也明確了GDPR具有域外效力。由此，國外政府開始以數據保護與安全為由，打壓其域外國家技術與App應用，如美國禁止抖音海外版下載使用，英國禁止華為參與5G建設，德國也正在重新評估支付寶與微信支付的安全性。

2020年7月，我國對外公布了《數據安全法（草案）》（以下簡稱“《草案》”）的征求意見稿，其在法律位階上與《網絡安全法》《國家安全法》相一致。那么，該法作為數據安全領域的基本法律有何特殊性？其能否實現提升國家數據安全保障能力，發揮數據要素基礎作用，以促進我國數字經濟發展的立法目的呢？

數據安全治理體系初步形成

縱觀《草案》條文內容，數據安全構成了規范的核心內容，不論是數據安全制度的初步勾勒，還是對于數據活動中安全保護義務的明晰，均表明我國數據安全治理體系已初步形成。

為有效應對境內外數據安全風險，《草案》重點創設了以下制度：一是建立數據分類分級制度，確定重要數據保護目錄;二是建立數據安全風險評估、報告、信息共享、檢測預警制度;三是建立數據安全應急處理制度，有效應對和處置數據安全事件;四是確立數據安全審查和出口管制制度;五是確立外國歧視性行為的反制措施。

上述制度構建了我國數據安全治理的基本體系框架：即數據分級分類是數據安全保護的前提基礎，通過安全風險評估與應急處理制度增強了我國應對數據風險的靈活性。對于數據跨境流通監管則可以通過數據出口管制，對影響或者可能影響國家安全的數據跨境流動進行一定的限制。最為重要的是，針對國外涉數據投資、貿易方面，外國若對我國采取歧視性行動，我國可以根據實際情況采取相應的反制措施。比如，近期就國外政府以數據安全為由限制我國企業投資，包括下架抖音海外版App，我國相應的反制措施就具有了法律依據。

此外，數據活動中的安全保護義務成為《草案》另一規范的重點。當前數據活動中，存在大量的過度收集個人數據的問題，如我國人臉識別第一案“郭某訴杭州野生動物園”案就引發了人們對人臉識別技術應用的法律邊界思考。為保護數據活動中的主體利益，《草案》首次就數據活動進行了界定，包括了數據的收集、存儲、加工、使用、提供、交易、公開等行為。這一界定意義深遠，就將來數據法律規范調整對象數據活動進行了明確，其基本原則包括不得違法收集、使用數據，不得危害國家安全、公共利益，不得損害公民、組織的合法權益。

應特別注意的是，《草案》雖然并沒有采用“數據主權”或“數據本地化”的表述，但并不意味著《草案》沒有域外效力。《草案》對于境外的組織、個人開展數據活動，如果損害我國國家安全、公共利益或者公民、組織合法權益的，可以追究其法律責任。在應對美國長臂管轄與歐盟GDPR域外效力中，當境外執法機構要求調取境內數據時，我國相關方應向主管機關報告并獲批。至此，對抗域外國家的長臂管轄也具有了法律依據。

《草案》為將來數據流通與利用規則的構建預留了充分的想象空間（圖/視覺中國）

數據流通與利用規范成為亮點

《草案》作為數據法領域第一部專門立法，除了對于數據法律中核心的安全問題進行了規定，其最大的亮點還在于，為將來數據流通與利用規則的構建預留了充分的想象空間，奠定了將來數據流通與利用的基礎。

國家在戰略層面提出將數據作為第五種新型生產要素，要求培育和健全數據要素市場，提升數據治理能力現代化。遺憾的是，我國以往所涉及數據的法律規范，如《網絡安全法》《民法典》等均未將數據作為基礎要素資源，相關的數據流通與利用的規范存在明顯供給不足的問題。而國外相關的數據流通共享規范或規則已逐步完善，如歐盟2017年制定《非個人數據自由流通條例》、2019年出臺《開放數據指令》，英國2019年制定《數據共享行為守則》等。《草案》中關于數據流通利用的條款，一定程度上彌補了我國在這一領域規范不足的問題，也為將來數據流通具體規則的制定提供了依據。

第一，數據流通實現數據要素化。《草案》鼓勵數據依法合理有效利用，保障數據有序自由流通，促進以數據為關鍵要素的數字經濟發展。在法律層面首次將數據作為數據經濟的關鍵要素，明確了促進數據自由流通的方向，為將來數據流通法律規范的制定描繪了前景。當前數據要素市場中，買賣雙方之間幾乎沒有什么透明度、信息嚴重不對稱，導致“劣幣驅逐良幣”，如何保障數據流通交易中的主體利益將成為未來立法考慮的重點。《草案》主張通過數據流通實現數據要素化，為后續一系列的地方數據立法如《深圳經濟特區數據條例》等提供規范價值的指引。

第二，健全數據交易管理制度。《草案》另一大亮點在于，主張由國家建立健全數據交易管理制度、規范數據交易行為、培育數據交易市場。長期以來，我國數據交易市場缺乏具體的管理制度，存在著各地“各自為戰”的局面，如成立了貴陽數據交易中心、上海大數據交易中心、華中數據交易所等。各地數據交易平臺的重復搭建，一定程度上造成了相關資源浪費，各地之間的數據交易呈現出地域化的隔閡，難以在全國范圍內形成數據自由流通的局面。因而，《草案》這一規定旨在建立統一的數據交易管理制度，為形成有序、合法的數據交易秩序確立了基本方向，對于抑制黑市信息交易、促進數據產業發展意義重大。

第三，將數據中介服務商納入規范范疇。發展數字經濟，促進企業數字化轉型，離不開數據中介服務商的興起。《草案》首次將數據中介服務機構納入數據法律規范范疇，并規定其具有說明數據來源、審核交易雙方的身份等義務。數據中介服務機構在收集、匯集、提供數據當中，存在很大的法律風險，是當前立法監管的重點對象。當前，我國已開始重視對于數據中介服務商的立法規范，如《貴陽市數據交易服務機構管理條例》即將出臺……將數據中介服務商納入《草案》符合完善數據要素市場的需求，是發展數字經濟的必由之路。

數據安全法完善的幾點展望

《草案》作為我國數據法律領域第一部立法，具有較強的前瞻性與指引性。宏觀上，《草案》立足于數據安全，又不僅限于數據安全，而是勾勒了將來數據流通利用的基本規則，展示了數字經濟時代，堅持數據安全與數據發展齊頭并進的價值理念。但微觀上看，《草案》具體內容與部分條款仍存在完善的空間。

1.加強重要數據保護。《數據安全法》規范重點在于安全問題，而安全問題的核心就是重要數據保護。但何為重要數據，《草案》并沒有明確界定，筆者認為可以考慮在《草案》定義條款進一步明確。《草案》第19條將重要數據保護目錄的確定權限下放至各地區、各部門，也未對地區、部門進行任何限縮。事實上，重要數據保護目錄對數據安全的實現至關重要，該目錄確定權限不宜下放到各地方，應當由國家統一確定。《草案》第39條對于政務數據開放目錄規定由國家制定，從安全性角度來看，重要數據的分類分級與保護才是《數據安全法》規范立法的“初心”，筆者建議進一步完善重要數據分類分級保護的內容。

2.完善數據主權條款。《草案》第32條并未規定中國執法機關能否調取境外數據，創設我國數據長臂管轄。即“境外數據”只要為中國數據控制者持有，中國政府應當有權要求調取數據，實現中國的“數據長臂管轄”。針對境外執法機構調取我國境內數據的情形，《草案》第33條的境外執法機構應至少擴大為“境外執法機構、司法機關”，以應對實踐中境外法院等司法機關要求境內企業提供境內數據作為證據的情形。

3.明晰主管部門機構。《草案》第22條規定的數據安全審查制度，應當進一步細化數據安全審查的主管機關、啟動條件、審查程序、審查內容以及法律責任等內容。《草案》第23條規定的數據出口管制，這一規定實質上類似于數據出境限制和本地化的要求，但并未明確出口管制的主管機構和管制物項數據，建議對上述條文進行進一步細化。

4.加大違法處罰力度。《草案》第六章法律責任的罰則明顯過輕，企業違法成本相較于歐美國家的企業非常低廉，無法對企業起到足夠的懲戒和威懾作用。對于違反安全義務的企業，建議大幅度提高罰款金額，將數據安全風險設計融入企業數據全生命周期管理。

《數據安全法》作為數據領域的基礎性法律，對于后續數據立法以及地方制定數據條例具有很大的指導與借鑒意義。數據作為新型生產要素已經上升為國家戰略，《數據安全法》在規范中融合了“安全與利用”價值，體現了該法的前瞻性與時代性。