從《數據安全法》看我國數據安全治理制度與走向

□ 文 于曉洋 何 波

0 引言

進入數字化時代，數據正在成為基礎性戰略資源和新的生產要素，并且在諸多生產要素中的重要性不斷提升。與此同時，因為數據所具有的巨大潛力價值，隨著數據海量增長和廣泛應用，也帶來了嚴峻的數據安全問題。

近年來，我國高度重視數據安全治理問題，黨中央國務院多次作出重要指示，提出要切實保障國家數據安全，以數據安全保護為核心，正在加速推進數據治理相關工作。2021年6月10日，我國數據安全治理領域的基礎性法律和首部專門立法《中華人民共和國數據安全法》（以下簡稱《數據安全法》）經第十三屆全國人民代表大會常務委員會審議通過，自2021年9月1日起施行。《數據安全法》立足我國數據治理實踐，圍繞數據安全保護制度，界定了數據及數據安全的內涵，明確了數據安全治理重點制度規則，進一步補充和完善了我國數據安全治理基本制度框架，為我國數據安全治理工作明確了方向。

1 數據安全治理頂層設計基本形成

數據安全是國家安全特別是國家網絡安全不可分割的一部分，習近平總書記多次強調“沒有網絡安全就沒有國家安全”。我國是數字經濟發展大國，也是全球最大的數據生產國。近年來，尤其是黨的十八大以來，我國有關部門意識到，在將數據作為推進經濟發展新引擎的同時，也應當把數據安全監管作為國家網絡安全管理和國家綜合治理體系的重要內容。按照黨中央和國務院有關決策部署，貫徹落實總體國家安全觀要求，我國立法機關和有關部門在整個網絡安全保護的體系下不斷強化數據安全監管工作，持續開展數據安全治理，取得積極進展。

隨著《數據安全法》的出臺，我國初步形成了以《數據安全法》為核心，以《網絡安全法》為基礎，以《國際刑事司法協助法》、《密碼法》、《關鍵信息基礎設施安全保護條例》、《汽車數據安全管理若干規定（試行）》等為補充，涵蓋法律、行政法規、部門規章以及規范性文件的數據安全治理法律體系。2016年，我國《網絡安全法》出臺，首次明確界定了“網絡數據”的概念，強化了網絡數據安全管理要求。2018年，《國際刑事司法協助法》通過，明確了我國對境內相關數據的主權控制，要求非經主管機關同意，不得向外國提供證據材料。2019年審議通過的《密碼法》根據不同信息等級和使用對象采用分類管理的方式對密碼實行科學管理，有效保障了數據的安全性。2021年《數據安全法》的出臺填補了我國數據安全治理領域一塊至關重要的空白，不僅是我國數據安全的基礎性法律，也是首部聚焦數據監管的專門立法，統籌發展、安全和治理，為我國數據安全治理工作提供了重要的法律依據，進一步從法律層面完善了我國數據安全治理的頂層設計。

2 數據安全治理監管體制初步明確

數據安全治理以及相關制度規定需要具體監管部門來貫徹落實，因此，如何設置監管體制是數據安全治理中一項至關重要的工作。從國際社會來看，隨著各國數據保護監管法律體系基本框架和制度要求逐漸明確，越來越多的國家和地區建立了數據保護專門機構，以加強對數據治理工作的統籌協調和監督管理。例如，歐盟層面設立了數據專門的監管機構歐盟數據保護委員會（EDPB），各成員國也根據歐盟《通用數據保護條例》的要求分別設立了國內個人數據保護專門機構，像德國的聯邦數據保護委員會、法國國家信息與自由委員會，英國在脫歐前也設立了專門負責數據保護的信息專員辦公室。

從我國來看，在互聯網發展初期，數據安全治理工作主要是按照數據所涉及的行業領域來劃分，互聯網治理中的“九龍治水”管理體制也延伸到數據治理領域，由各行業主管部門負責本領域數據安全保護和監管工作，呈現出明顯的分散化和部門區隔特征。隨著經濟社會數字化轉型加速，數據安全治理不再是電信、互聯網等某幾個行業領域的問題，正在變成各行各業都亟需解決的命題，亟需更加協調統一的管理機制，加強統籌協調，在橫向上打通行業主管壁壘，進一步提升治理效能和效果。2014年中央網絡和信息安全領導小組成立，統籌協調包括數據安全在內的各領域網絡安全和信息化重大問題。2016年通過的《網絡安全法》規定“國家網信部門負責統籌協調網絡安全工作和相關監督管理工作”，同時授權“國務院電信主管部門、公安部門和其他有關機關在各自職責范圍內承擔安全保護和監督管理職責”，基本構建了以國家網信部門統籌協調，行業主管部門各司其職的網絡安全監管體制。2021年通過的《數據安全法》則進一步明確規定了中央國家安全領導機構對國家數據安全工作的領導地位，提出建立國家數據安全工作協調機制。與此同時，《數據安全法》也規定了相關行業主管部門承擔各自行業、領域的數據安全監管職責，延續《網絡安全法》的相關規定，明確網絡數據安全和相關監管工作仍然由國家網信部門負責統籌協調。

3 數據安全治理主要制度基本明確

從具體內容來看，《數據安全法》共計五十五條，立足當前我國數據安全治理面臨的問題挑戰，堅持繼承與創新并重，在《國家安全法》、《密碼法》、《網絡安全法》等現有立法的基礎上，針對社會各界廣泛關注的數據安全領域重點問題建章立制，進一步建立健全了我國數據安全治理領域的重要制度和基本原則。

3.1 界定了數據及相關概念內涵

無論是在日常工作實踐還是在理論研究中，明確概念都是人們認識研究對象和進行問題思考的重要前提，但長期以來，各方對于數據的概念沒有形成統一的界定。雖然《網絡安全法》中對“個人信息”和“網絡數據”作了相關定義，但實踐中如何理解數據的概念以及數據與信息之間的關系，都是亟待解決的重要命題?！稊祿踩ā肥状螐姆山嵌葘Α皵祿钡母拍钭鞒隽嗣鞔_界定，將其定義為“任何以電子或者其他方式對信息的記錄”。在此基礎上，《數據安全法》進一步明確了“數據處理”和“數據安全”的含義，前者包括“數據的收集、存儲、使用、加工、傳輸、提供、公開等”；后者是指“通過采取必要措施，確保數據處于有效保護和合法利用的狀態，以及具備保障持續安全狀態的能力”。通過明確數據及其相關概念，為后續開展數據安全治理工作提供了清晰的內涵和邊界。

3.2 強化了數據安全治理基本原則

相比于《國家安全法》、《網絡安全法》的相關規定，《數據安全法》進一步強化了數據安全治理中“堅持安全與發展并重”原則。近年來，我國數字經濟持續快速發展，成為推動高質量發展的新動能新引擎，數字安全產業和技術能力也得到了顯著提升，國家更加注重發展和安全的平衡兼顧。從《數據安全法》的立法目的來看，包含了規范數據處理活動，保障數據安全，促進數據開發利用等多個維度。尤其是《數據安全法》第二章，圍繞“數據安全與發展”作了專章規定，提出“國家統籌發展和安全，堅持以數據開發利用和產業發展促進數據安全，以數據安全保障數據開發利用和產業發展”，并從數據基礎設施建設、數據創新應用、利用數據提升公共服務、培育數據交易市場、培育、發展數據開發利用和數據安全產品、產業體系等多方面作出了具體規定。此外，《數據安全法》第十四條更是以法律形式明確“數字經濟發展”的重要地位，確保在維護數據安全的前提下，數字經濟能夠得到應有的重視和發展，突出反映了《數據安全法》在維護數據安全與促進數字經濟發展之間尋求平衡的努力。

3.3 建立數據分類分級保護制度

分級分類是數據安全監管的一個重要手段，實踐中，鑒于政府、企業等不同主體收集使用的數據在類型、數量、敏感程度、應用場景等方面差異較大，保護要求和保護手段存在較大的不同。我國高度關注數據分級分類問題，《中共中央國務院關于構建更加完善的要素市場化配置體制機制的意見》就曾提出“推動完善適用于大數據環境下的數據分類分級安全保護制度”。《數據安全法》首次在立法中明確了“國家建立數據分類分級保護制度……對數據實行分類分級保護”。與此同時，《數據安全法》提出了“重要數據”和“國家核心數據”的概念，對于“重要數據”，由國家有關部門統籌協調，通過制定重要數據目錄的方式，對重要數據進行強化保護；對于“關系國家安全、國民經濟命脈、重要民生、重大公共利益等的國家核心數據”，國家在相關重點保護的基礎上進一步嚴格管理。

3.4 確立數據安全審查制度

數據安全審查是我國國家安全審查和網絡安全審查制度的重要內容。《國家安全法》第五十九條規定“國家建立國家安全審查和監管的制度和機制，對影響或者可能影響國家安全的……網絡信息技術產品和服務，以及其他重大事項和活動，進行國家安全審查……”《網絡安全法》也規定了關鍵信息基礎設施運營者采購網絡產品和服務應當通過網絡安全審查的要求。貫徹國家總體安全觀的要求，落實國家安全審查和網絡安全審查相關規定，《數據安全法》規定了數據安全領域的安全審查制度，要求對“影響或者可能影響國家安全的數據處理活動進行國家安全審查”。值得注意的是，為強化數據安全管理在內的網絡審查活動，在中央網絡安全和信息化委員會的領導下，國家網信部門會同國家發改委、工信部等有關部門建立“國家網絡安全審查工作機制”，并設立了網絡安全審查辦公室，組織網絡安全審查。其中，數據安全問題是網絡安全審查的重要內容。例如，2021年7月2日，網絡安全審查辦公室發布公告，為防范國家數據安全風險，維護國家安全，保障公共利益，對“滴滴出行”實施網絡安全審查；7月5日，網絡安全審查辦公室再次發布關于對“運滿滿”、“貨車幫”、“BOSS直聘”啟動網絡安全審查的公告。

3.5 明確數據安全保護義務

強化數據治理，保障數據安全，關鍵是要落實開展數據處理及相關活動的主體責任。為此，《數據安全法》第四章對數據安全保護義務作了專章規定，主要包括五個方面的內容：其一，明確了數據安全保護總體要求，即“任何組織、個人收集數據，應當采取合法、正當的方式，不得竊取或者以其他非法方式獲取數據”；同時規定開展數據處理活動“應當建立健全全流程數據安全管理制度，采取相應的技術措施和其他必要措施，保障數據安全”。其二，規定了數據處理活動以及數據領域新技術新應用研發的要求，明確“應當有利于促進經濟社會發展，增進人民福祉，符合社會公德和倫理”。其三，要求建立安全預警和應急處置機制，落實《國家安全法》相關要求，《數據安全法》也規定開展數據活動應當加強數據安全風險監測，重要數據的處理者應當定期開展風險評估，并履行相應的報告義務。其四，首次在法律層面對數據交易中介服務和在線數據處理服務等作出規范，規定“應當要求數據提供方說明數據來源，審核交易雙方的身份，并留存審核、交易記錄”。其五，配合數據執法義務，為進一步明確公安機關和國家安全機關在履行相關職責進行執法過程中調取數據的權限，《數據安全法》規定了有關組織和個人的配合義務。

3.6 完善跨境數據流動管理制度

數據跨境流動是數據安全治理尤其是數據安全保護面臨的最主要難題之一。我國高度重視數據跨境流動問題，黨的十八大尤其是十九大以來，從維護國家數據安全角度出發，圍繞數據安全監管不斷構建相關制度。2016年通過的《網絡安全法》從關鍵信息基礎設施運營者（CIIO）的角度明確了我國數據跨境流動的一般原則，即CIIO在我國境內運營中收集和產生的個人信息和重要數據，原則上應當在境內存儲；與此同時，考慮到出于商業運營需要等目的，《網絡安全法》也對確需向境外提供數據的情形做了安全評估的例外規定?！稊祿踩ā吩凇毒W絡安全法》關于關鍵信息基礎設施領域數據出境管理的基礎上，針對重要數據的跨境流動管理進行了補充和完善，進一步規定其他重要數據的出境安全管理辦法由國家網信部門會同有關部門制定。此外，《數據安全法》也在《出口管制法》的基礎上對與維護國家安全和利益、履行國際義務相關的屬于管制物項的數據依法實施出口管制，并規定針對我國采取歧視性的禁止、限制或者其他類似措施的國家和地區，我國可對等采取措施。

4 結束語

《“十四五”規劃綱要》明確提出“保障國家數字安全，建立數據資源產權、交易流通、跨境傳輸和安全保護等基礎制度和標準規范”。數據安全治理工作是數字經濟時代各方主體共同面臨的全新課題，《數據安全法》的出臺，既是對各方關切的積極回應，也為未來的數據安全治理工作構建了總體框架，與《網絡安全法》、《個人信息保護法》等法律法規中數據治理相關制度保持銜接，有效豐富和完善了我國數據安全治理體系?！稊祿踩ā返闹贫ǔ雠_推動我國數據安全治理工作進入一個新的發展階段。雖然目前我國數據安全治理頂層設計基本形成，但數據分類分級、重要數據目錄管理、數據交易共享等具體制度的配套規定仍有待制定完善。

隨著我國數字經濟的持續發展和相關法律的生效施行，未來也將面臨更多需要解決的新問題。下一步，數據安全治理工作需要堅持系統謀劃，立足長遠，按照國家有關安排部署和《數據安全法》等相關法律法規要求，有序推進數據安全治理工作，在確保安全的前提下，推動數據為經濟高質量發展和高品質生活服務。