數據安全進入強監管時代

吳鳴

7月2日，網絡安全審查辦公室發布公告稱，為防范國家數據安全風險，維護國家安全，保障公共利益，依據《國家安全法》《網絡安全法》，網絡安全審查辦公室按照《網絡安全審查辦法》，對“滴滴出行”實施網絡安全審查。為配合網絡安全審查工作，防范風險擴大，審查期間“滴滴出行”停止新用戶注冊。

之后，網絡安全審查辦公室又宣布對“運滿滿”“貨車幫”“BOSS直聘”進行網絡安全審查。

這是自《網絡安全審查辦法》發布以來的首次公開審查行動。

網絡安全審查辦公室首次公開審查

網絡安全審查是《國家安全法》規定的“國家安全審查”制度在網絡領域的落實和細化，《網絡安全法》明確了應對關鍵信息基礎設施運營者采購的網絡產品和服務進行安全審查。

2020年6月，為了落實《國家安全法》和《網絡安全法》的要求，國家互聯網信息辦公室等12部門聯合制定的《網絡安全審查辦法》（《辦法》）正式生效實施，主要目標是實現關鍵信息基礎設施的供應鏈安全，維護我國國家安全。《辦法》確立了網絡安全審查的工作機制，即在中央網絡安全和信息化委員會領導下，國家互聯網信息辦公室會同國家發展和改革委員會、工業和信息化部、公安部、國家安全部、財政部、商務部、中國人民銀行、國家市場監督管理總局、國家廣播電視總局、國家保密局、國家密碼管理局共同建立。

《辦法》生效之后，網絡安全審查辦公室首次公開審查的對象是近期赴美上市公司，主要審查關鍵點聚焦于“數據安全”問題。

開展網絡安全審查主要源于滴滴、BOSS直聘以及擁有“運滿滿”和“貨車幫”的滿幫集團等赴美上市公司潛在的數據安全風險較大。7月6日，中辦、國辦公布《關于依法從嚴打擊證券違法活動的意見》，其中明確“加強跨境監管合作”和“加強中概股監管”，可視為對此次審查行動表明了態度。《意見》要求“完善數據安全、跨境數據流動、涉密信息管理等相關法律法規……壓實境外上市公司信息安全主體責任”，體現出對境外上市公司數據安全風險的高度重視。

企業為了順利完成在美國上市的目的，會不會通過跨境數據流動的方式向境外的上市監管部門提供有關企業運營的數據，這是公眾關注的焦點問題。我國《網絡安全法》中已經明確了跨境數據流動的基本管理原則，即關鍵信息基礎設施運營者在境內收集的個人信息和重要數據應當遵守“本地化存儲+出境安全評估”的要求。

以滴滴為例，作為一家主要提供出行服務的公司，滴滴擁有近5億用戶，日訂單達到4000多萬，收集和掌握了大量的用戶個人信息（如姓名、住址、手機號、銀行卡號等）以及地圖數據等重要數據。依據《網絡安全法》第三十七條，如果沒有開展安全評估或另有其他規定，這些數據就不得傳輸到境外。

各國爭奪數據資源，美國實施數據霸權主義

長期以來，美國的低水平個人數據保護和“數據霸權主義”人盡皆知，不僅因為頻頻調取企業數據而多次被微軟、谷歌、蘋果等發起訴訟和抗議，而且通過出臺《澄清境外數據合法使用法》（以下稱為《云法》），賦予美國政府機構直接調取本國企業存儲在境外數據的權力，對企業的安全發展、數據所在國的國家安全和數據主權均構成侵犯。企業在美上市之后，受美國資本和美國政府控制的可能性更大，運營數據存在被美國政府調取的可能性提高，在美國境外運營中收集和產生的數據可能因為受到《云法》的規制而被調取。

當今時代，數據是數字經濟發展的關鍵，是主要國家和地區競相爭奪的資源。數字經濟時代，數據已經成為經濟發展的重要驅動力和關鍵生產要素，主要國家和地區在傳統領域的博弈已經逐步過渡到了數據主權的博弈，均在采取多種多樣的方式確保數據被吸引到境內被本國所用，同時限制本國境內的數據非法流到其他國家。

歐盟在2020年2月出臺了《數據戰略》，明確提出要重振歐盟的技術主權地位，同時要通過投資、政策支持等多種方式吸引更多的數據到歐盟，以實現數據方面的主導地位。

美國在匯集數據方面實現了“里應外合”的態勢。首先，互聯網產業發展的巨大優勢天然就具有將全球的數據匯集到美國的優勢，據統計，美國境內存儲的數據占據了全球數據量的90%左右。其次，美國不斷通過出口管制、外資安全審查、重要數據管理等方式限制美國境內數據流到其他國家。另外，美國《云法》等確立的長臂管轄機制從另一個角度實現了最大限度將境外數據存到境內的目標。

《數據安全法》生效在即，提前合規是關鍵

開展互聯網業務的大型平臺成為數據安全的重點監管對象。大型互聯網平臺在發展過程中不斷進行業務拓展，吸引大量用戶使用平臺產品和服務，同時也收集和產生了海量的個人信息和多種類型數據。這些個人信息和數據中涉及個人隱私利益、社會公共利益、國家安全利益等重點方面，一旦泄露，后果不堪設想。

在此背景下，數據安全被置于關乎國家安全的關鍵地位，“確保數據安全”出現在多個中央文件和多個重要場合，被重點強調。當前，我們正在逐步完善數據安全相關立法，通過《國家安全法》《網絡安全法》《數據安全法》《個人信息保護法》等多部法律構建我國整體網絡安全立法體系，同時也設置了我國數據安全的基本底線。

而在主要立法出臺之后，相關要求的切實落實還有待有關部門和企業的共同努力。

一方面，有關部門可以針對法律的基本要求和原則進一步細化和落實。如，待《數據安全法》于9月1日正式生效之后，加強對平臺數據安全的定期和不定期審查力度，實時關注大型平臺可能產生的數據安全風險問題;同時針對企業的跨境數據傳輸行為盡早出臺更加細化的管理辦法，明確企業將數據傳輸到境外應當遵守的規則，為企業跨境傳輸數據提供安全有保障的可行路徑。

另一方面，相關企業應當從各個方面做到合法合規，《數據安全法》生效之后，我國的數據安全工作將步入新階段，日常安全保障、數據安全審查、跨境數據流動、境外機構調取數據等問題將有更加明確的要求，企業應當根據《數據安全法》的要求提前做好合規，從人員培訓、組織完善、系統升級、技術提升等方面做到切實履行相關義務，全力維護我國整體數據安全體系。

責編：郭芳guofang@ceweekly.cn

美編：孫珍蘭