數據合規視野下的政府責任

北京市金杜（蘇州）律師事務所 周姍姍，潘瑤

隨著數字經濟的蓬勃發展，數據作為數字經濟的核心資源，已經被公認為第五大“生產要素”。小到公民自身，大到國家治理，數據的利用與保護早就與社會各個主體的權益息息相關，如何更好地進行數據的利用與保護成為各國政府急需思考與解決的問題。目前從各國實踐可以看出，各國政府紛紛選擇通過法律層面的框架構建與細則完善來進行數據治理。自2016年《網絡安全法》正式頒布以來，我國就加緊腳步探索數據合規領域的法治建設，在近兩年接連制定并頒布《數據安全法》《個人信息保護法》等重要的數據合規領域法律。由此，企業數據合規迅速成為理論與實務中的熱點，但是數據合規視野下的政府責任卻較少有人提及。本人從該角度切入，結合我國數據合規的多維現狀，重點論述政府在數據合規中需要承擔的多種責任。

一、數據合規之法律規范體系

我國數據合規的法律規范體系已經逐漸趨于體系化，除了三部主要的法律，還包括與此相關的行政法規、規章、規范性文件及國家標準。

（一）法律

我國數據合規領域的基本法律主要包含《網絡安全法》《數據安全法》和《個人信息保護法》三部，三者既相互獨立又彼此補充，構建出我國數據保護的頂層建筑。其中，《網絡安全法》主要適用于網絡數據，《個人信息保護法》主要涉及個人信息，而《數據安全法》則包括所有類型的數據。2017年6月1日，《網絡安全法》應運而生，作為網絡空間治理的綜合性法律，該法定義了網絡數據以及個人信息的概念，對于網絡數據安全、開發與利用進行了相關規定。2021年9月1日，《數據安全法》正式實施，該法確定了適用范圍以及數據的概念，明確了政府對于數據處理與數據安全的雙重職責，同時提出了建立國家數據安全工作協調機制、數據分類分級保護、數據安全風險評估、數據安全應急處置、數據安全審查等具體的數據處理與數據保護制度。2021年11月1日，《個人信息保護法》正式實施，標志著我國在個人信息保護領域的法律框架基本確立。該法圍繞自然人的個人信息保護，嚴格限縮處理個人信息的范圍，規定未經個人同意不得公開個人信息，強化個人信息處理者的刪除義務，以及個人信息處理的合規審計制度等。

另外，我國《消費者權益保護法》《民法典》《刑法》也存在數據合規的相關規定，比如《消費者權益保護法》規定經營者收集和使用消費者個人信息的規則；《民法典》規定自然人的個人信息的保護以及個人隱私權的保護；《刑法》規定信息安全保護相應的罪名，主要包括侵犯公民個人信息罪、拒不履行信息網絡安全管理義務罪、非法控制計算機信息系統罪等。

（二）行政法規

早在2013年，為了規范相關行業的數據合規問題，國務院出臺了《征信業管理條例》和《信息網絡傳播權保護條例》，對于個人信息的采集、查詢、使用、提供提出了相關要求并明確了相應的法律責任。

2021年7月30日，國務院頒布了《關鍵信息基礎設施安全保護條例》，對2016年《網絡安全法》第三十一條“關鍵信息基礎設施的具體范圍和安全保護辦法由國務院制定”之規定進行了銜接與細化。該條例以“重要行業和領域”加“嚴重危害后果”的方式對關鍵信息基礎設施運營者進行“定性式”界定，避免了“過寬或過窄”的問題，細化了關鍵信息基礎設施認定、運營者責任義務、政府部門對此的保障和促進職責以及不同行為主體違規的法律責任等。

（三）部門規章及其他規范性文件

根據職責范圍的不同，國務院各部門分別制定了一系列部門規章，比如網信辦、工信部等部門聯合出臺《汽車數據安全管理若干規定（試行）》《常見類型移動互聯網應用程序必要個人信息范圍規定》《APP違法違規收集使用個人信息行為認定方法》，銀保監針對銀行業頒布《銀行業金融機構數據治理指引》，國家郵政局針對物流行業頒布《寄遞服務用戶個人信息安全管理規定》，網信辦針對兒童群體頒布《兒童個人信息網絡保護規定》，工信部針對工信領域頒布《電信和互聯網用戶個人信息保護規定》。除此之外，公安部制定了《公安機關互聯網安全監督檢查規定》，最高檢制定了《檢察機關辦理侵犯公民個人信息案件指引》。上述規范從不同角度規制了不同行業和領域的數據合規要求。

（四）國家標準

2016年，全國信息安全標準化技術委員會專門成立了大數據安全標準化特別工作組，連續開展了數項數據安全標準研制項目。[1]截至目前，已經發布了諸多信息安全技術要求和指南，如《信息安全技術大數據服務安全能力要求》（GB/T35274-2017）、《信息安全技術數據交易服務安全要求》（GB/T37932-2019）、《信息安全技術大數據安全管理指南》（GB/T37973-2019）、《信息安全技術數據安全能力成熟度模型》（GB/T37988-2019）。上述技術規范為數據安全和個人信息保護提供了更加具體的指引。

二、數據合規之多維現狀

（一）缺乏全面、完善、明確的法律依據

雖然自2016年《網絡安全法》正式頒布以來，我國就加緊腳步探索數據合規領域的法治建設，但是這還遠遠不夠，我國需要加速數據合規領域的更加全面詳盡的法律規則制度構建。作為數據領域基礎性法律，《數據安全法》主要規定了數據領域的頂層設計和基本制度安排，而眾多規則和制度的落地，還有待于國務院、網信辦、各部委和各地方出臺配套的規范性文件。另外，由于原則性規范具有較大的自由裁量空間，對于某些重要數據或者核心數據安全的保護，如果僅有原則性規范進行保護，可能會構成相應數據安全的巨大漏洞，為實質上的不合規行為留下隱患。

此外，因為《個人信息保護法》將大量決策型功能通過立法方式授權給監管部門，包括規則和標準制定，評估和服務體系建立等，但多數授權條款本身沒有特別明確授權的目的、事項、范圍、以及被授權機關實施授權決定應當遵循的原則。這雖然在一定程度體現出對“激勵相容”的個人數據治理模式的探索，但同時也要看到，近乎“空白授權”的法律機制也容易面臨合規風險。[2]

（二）企業內部監管不足與政府外部監管無力的雙重困境

近年來，由于數據帶來巨大商業價值，大部分企業為了背后隱藏的巨大利益而鋌而走險，導致數據安全事件頻發，主要表現為App違法違規收集個人信息、未經許可抓取人臉信息、大數據殺熟、個人信息買賣、數據泄露等違法行為，例如網信辦在某網約車平臺的通報中說明存在“嚴重違法違規收集和使用個人信息問題”；央視“3.15”晚會曝光某衛浴品牌門店安裝了帶有人臉識別功能的攝像頭，未經同意抓取人臉數據等。

在數據保護與安全方面，我國不斷加大執法力度并呈現出常態化的趨勢，但從執法活動的主體看，目前沒有統一的數據監管部門，而是由各部門單獨執法或者多個監管部門聯動執法。雖然對數據領域的監管力度不斷加強，但政府在開展數據合規的行政執法過程中，也存在權責不清、效率低下的困境。一些地方網絡信息安全多頭管理問題比較突出，但在發生信息泄露等信息安全事件后，用戶又經常遇到投訴無門、部門之間推諉扯皮的問題。[3]另外，從具體措施角度分析，大多數執法主體通過約談、警告、責令整改、罰款等手段監管各類違法行為，并未將數據合規作為一種激勵的手段。

（三）政務數據開放中的個人信息保護欠缺

目前，我國政府數據開放的制度建構采用“中央政策引導、地方立法先行先試的立法路徑”，中央政策包括《促進大數據發展行動綱要》和《公共信息資源開放試點工作方案》，地方立法包括《上海市公共數據開放暫行辦法》《浙江省公共數據開放與安全管理暫行辦法》等。從具體內容上看，我國地方政府數據開放立法傾向于將個人信息權益保護置于較促進個人信息合理利用更優先的地位，對涉及個人信息的公共數據開放實行嚴格管控。實踐中，政府數據安全管理主體分散，法律問責機制缺失，一旦發生數據泄露，對相關責任人的懲處力度不足，往往導致當事人對數據合規問題不重視。

《個人信息保護法》在第二章中用專節的方式設置了“國家機關處理個人信息的特別規定”，區分了國家機關作為個人信息處理者時的特別規范。但是《個人信息保護法》的立法定位是以個人權益保護為中心，通過賦予個人知情權、決定權等個人控制權，經由知情同意規則等私法保護路徑規范私主體的信息處理活動。《個人信息保護法》現有的規范框架未考慮到個人信息的公共面向，沒有為處于實踐探索階段的政府數據開放制度中個人信息的合理利用預留相應空間。[4]

三、政府責任之多面解析

（一）完善現有法律規范，提供制度支撐

現有的法律體系中原則性、框架性規范太多，而實踐性、操縱性規范太少，需要更加詳細明確的規則或者標準指引數據合規實踐。

1.國家數據安全層面

首先，上級政府需要完善數據分類分級保護制度，并統籌協調有關部門制定全面的重要數據目錄，各地方政府需要按照數據分類分級保護制度，確定更小切口的重要數據具體目錄；其次，政府需要對國家核心數據制定特殊的、更加嚴格的管理制度；最后，政府需要同步建立數據安全審查制度，數據安全風險評估、報告、信息共享、監測預警機制以及數據安全應急處置機制。

2.個人數據安全層面

首先，國家機關收集個人信息的范圍應當被更嚴格具體地限制。政府及相關主管部門需要制定不同部門、不同層級、不同情況下收集個人信息的具體范圍、具體規則；其次，國家機關對于已經收集到的個人信息、個人隱私應當依法保密。政府及相關主管部門需要制定內部處理、嚴格保護個人信息、個人隱私的具體流程、具體制度；最后，政府及相關主管部門需要統籌協調有關部門繼續推進完善個人信息保護投訴、舉報工作機制以及違法責任的細化。

（二）加強行政監管，構建激勵機制

由于數據合規管理費用高昂、覆蓋面廣、專業化程度高，僅靠企業的自身監管是無法完全保障數據安全與數據利用，需要政府作為外界力量進行外部監管。[5]政府需要構建數據合規激勵機制，具體包括行政監管激勵與刑事激勵機制。

1.增加行政許可范圍與加強行政處罰力度

其一，增加行政許可的范圍。《數據安全法》第三十四條和《個人信息保護法》第三十二條分別規定法律、行政法規規定對于提供數據處理相關服務者和對敏感個人信息規定應當取得行政許可的，應當依法取得許可。隨著個別強監管的行業領域數據服務樣態與形式的日趨豐富，政府可以考慮將傳統經營領域內專門針對數據處理服務模塊納入監管范疇并新設許可事項，例如在個人征信領域內提供相關數據服務需取得許可證或與具有許可證的實體通過協議合作的方式展開。其二，加強行政處罰的力度。首先，鑒于目前數據監管存在多頭執法和執法真空的現象，為了有效推進執法工作，應當加強網信辦的統籌職能或者設立一個專門的數據監管部門；其次，由于目前我國對于數據違法違規行為的行政處罰力度較低，過低的違法成本無法有效防范企業的數據違規行為，因此可以加大行政處罰力度并將有效的數據合規作為自由裁量的考量因素；最后，對數據安全的執法應有重點、有區分，重點稽查、懲治涉及人民生命健康、財產安全的行業，盡可能做到執法環節的松緊有度。

2.構建合理的激勵機制

其一，行政合規激勵機制通常包含實體激勵和程序激勵兩個部分。實體激勵包含合規免責和合規從寬，具體是指對于違法時已經建立合規體系的企業，行政監管部門對其免于或從輕、減輕處罰。程序激勵是指行政監管部門與企業簽訂行政和解協議，對承諾建立和完善合規體系的企業給予合規考察并暫緩實施處罰。[6]目前，我國僅在《反不正當競爭法》和《證券法》中確定實體激勵機制，建議在數據合規領域的相關法律規定中將已經建立合規體系的企業納入應當從輕和減輕的情形。另外，嘗試引入行政和解制度，其中要注意明確以企業具備有效的數據合規制度作為適用條件之一。[7]其二，目前我國的刑事合規業務還處于探索階段，自2020年以來，在最高人民檢察院的推動下，一些地方檢察院開始試行刑事合規不起訴的試點工作，對合規不起訴制度的探索能更大程度激勵企業進行數據合規。曾在2019年，最高人民檢察院發布全國檢察機關社會治理類優秀檢察建議，其中上海市人民檢察院就互聯網應用商店對收錄軟件個人信息保護未履行管理責任問題向某網絡科技有限公司制發檢察建議，督促企業根據檢察建議落實整改。因此，建議檢察機關在依法不捕、不訴、減輕量刑等方面積極探索與完善數據合規領域的激勵方式。

（三）提高政務數據治理水平，保護個人信息

良好的數據治理可以幫助政府實現更多的數據外部訪問與內部共享，但是，在推動政務數據開放共享的過程中，需要同步關注數據合規問題。

1.設立專業的數據管理部門和人員

數據治理涉及技術、管理、法律等多門學科，因此建議從國家層面成立專門的數據治理委員會，地方政府以數據開放平臺為中心任命首席數據治理官以及數據開放聯絡員等專業的機構和人員，專門負責政府數據開放、利用、數據安全風險評估、個人數據保護等[8]。同時，加強數據安全組織文化建設，提高專業人員數據素養，追究相關責任人的法律責任。

2.設置個人信息差異化保護體系

政府數據開放包括多種開放類型,不同開放類型下個人信息的種類、個人信息保護的重點、相應的個人信息處理者保護義務均不同。政府數據開放中個人信息保護的核心原則為根據個人信息的不同識別能力設置相應的信息處理活動規制手段,具體可以參考《信息安全技術個人信息去標識化效果分級評估規范》（征求意見稿）的分級，將聚合數據、重標識風險可接受數據兩類重標識風險較低的個人信息納入完全開放范圍，將能直接識別主體的數據和消除直接標識符的數據這兩類重新識別風險較高的個人信息通過有限開放予以保護利用。[9]除此之外，應盡快出臺法律或行政法規級別的政府數據開放的相關立法，從而為政府數據開放中的個人信息處理行為提供合法依據。