網絡安全視域下我國新時代加強數據主權機制建設論析

時 達

(齊魯工業大學〈山東省科學院〉馬克思主義學院,山東 濟南 250353)

黨的二十大報告提出:“推動構建人類命運共同體,堅定維護國際公平正義,倡導踐行真正的多邊主義,旗幟鮮明反對一切霸權主義和強權政治,毫不動搖反對任何單邊主義、保護主義、霸凌行徑?！盵1]近年來,以美國為代表的數據“自由”主義和以歐盟為代表的數據國家主義深度干涉網絡空間,迫使各國接受非平等數據流通協議與高標準“數據保護”協議,踐踏國際數據流動平等性,破壞國際網絡空間安全,侵害我國網絡安全建設。2022年6月,西北工業大學遭受美國國家安全局(NSA)下屬的“特定入侵行動辦公室”入侵,致使大量數據泄露。此次攻擊事件是美國數據霸權主義的鮮明體現,它敲響了我國數據主權保護警鐘,暴露出我國數據主權機制建設不完善、算法核心技術受國外限制、跨國數據流動互信機制缺失等問題。新時代,我國網絡安全構建應以中國式現代化為方向,著力加強數據主權機制建設,建成具有中國特色的現代化網絡強國,助推網絡空間命運共同體盡快形成。

1 數據主權的治理及其與網絡安全的辯證關系

習近平提出:“安全是發展的前提,發展是安全的保障,安全和發展要同步推進?！盵2]要以“網絡安全完整性、可控性、保密性、規范性方面的進步,保障網絡安全建設水平全方位提升”[3]。網絡安全是我國網絡主權發展的前提條件。保護網絡系統的硬件、軟件及系統中的數據,避免遭受惡意更改、泄露和破壞;保障網絡主權發展不受外界干擾,是維護我國網絡環境安全的必要保證。數字時代數據作為構成關鍵信息的基礎要素,已成為至關重要的國家性戰略資源,在網絡安全、數據主權建設中占據關鍵地位。其不僅作為網絡安全建設的基本內容涵蓋政治、經濟、軍事、文化等多個領域,而且作為數據主權建設的核心載體,承載個人、企業、國家之間的信息交換。伴隨著數據全球化的加速發展,網絡安全與數據主權聯系日益緊密,相輔相成的態勢在建設數字中國的背景下日趨顯著。

1.1 數據主權的治理

數據主權(Data Sovereignty)源自于網絡主權。網絡主權作為主權國家主體主張的延續,將網絡疆域中對客體數據進行管控的唯一行為主體規定為國家和政府,“是網絡安全在主權領域的深度發展,是傳統國家主權于大數據時代中的核心表現,是國家利益在對外交流合作中的嚴格保障?！盵4]136-149大數據時代,網絡疆域中主權國家地理邊界虛化,重要核心數據和個人數據的價值持續提升,國家、社會、個人和數據的關聯性進一步發展,數據主權應運而生。

數據主權的治理方式“聚焦于主權國家的權力與義務,包括生產、管轄、傳輸、利用和保護管轄地域內的數據”[5],具體表現為國家對本國數據的管理權、控制權。數據的管理權表現為對傳入、傳出本國數據的占有、歸屬權力,是國家對數據流動的途徑、范圍和內容的掌握,最終達到利用、交易、存儲數據的目的。數據控制權聚焦數據安全保護,使數據在存儲、傳輸時免受攻擊,“規避數據受到更改、偽造、截取、外泄、毀壞的風險,保證數據真實可靠、完整無損、安全保密。”[6]

1.2 數據主權與網絡安全的辯證關系

數據主權的價值彰顯于重要核心數據和個人數據于境內治理的存儲安全性、跨境管理的流通保障性之中,對建設中國式現代化網絡安全制度具有支撐功效。習近平提出“加強維護網絡安全,就要加快構建關鍵信息基礎設施安全保障體系”[2],強調對關鍵信息基礎設施的數據流通進行保護:以自主支配數據彰顯數據主權的自主性,為網絡安全提供 “充足底氣”;以數據使用、處理免受他國的干涉彰顯數據主權的排他性,為網絡安全撐起 “堅實屏障”;以數字經濟發展彰顯數據主權的平等性,為網絡安全奠定“經濟基礎”。

網絡安全具有整體性、可控性、保密性與規范性等特點,這為數據主權提供保障作用。網絡安全的整體性有助于數據主權的“頂層設計”規劃?！皼]有網絡安全就沒有國家安全”[7],在國家總體安全觀中,網絡安全是十六個國家安全領域中的重要部分,其在宏觀上為數據主權建設和“頂層設計”指明了發展方向。網絡安全的可控性是數據主權的“堅強后盾”。網絡安全是數據流動的保障,沒有網絡安全的有力“護航”,數據越流動,危害的可能性就越大,數據主權就更難以得到保護。網絡安全的保密性鑄造了數據主權的“重要基石”。數據主權在對外行使管轄權和控制權時,需要國家對數據進行嚴密管轄、嚴格控制,切實維護國家安全。網絡安全的規范性為數據主權進行“守正錨定”。數據主權監管機構在對數據流動與本地存儲進行監管時,必須嚴格執行網絡安全有關法規和技術規定,嚴密監控和管理他國政府對數據的獲取和使用權限,確保本國數據在本地存儲與流動調取中得到有效管控。

2 美國、歐盟的數據主權保護及其對我國數據主權機制建設的啟示

2.1 美國、歐盟的數據主權保護措施

2.1.1 數據霸權主義:基于互聯網世界主義的美國主張

互聯網世界主義是指認同全世界人類思維存在于同一個意識形態共同體中,以互聯網空間的虛擬、開放、無邊界性質,將網絡空間詮釋為獨立于現實空間的“全球公域”。美國基于互聯網世界主義提出“數據自由”論,表面上促進數據在各國間自由流動,實際上推行數據霸權主義,推動數據向美國單向流動。2018年美國通過的《澄清境外數據合法使用法(“CLOUD”)》(以下簡稱《云法案》),表現出強烈的單邊主義傾向:一是明確了美國對于存儲在美國本土之外、但屬于美國的數據擁有絕對管轄權;二是外國政府若想訪問調取位于國家本土境內、但是由美國控制的數據,必須允許美國對數據存儲國自身控制的其他數據進行訪問,且美國可以隨時關閉數據交換通道;三是規定“他國政府獲取美國數據時需要滿足十一項條件,而美國獲取他國數據只有三種限制”[8]。據此,《云法案》將美國置于數據單向流動的有利位置,并造成數據流動執法協作過程中的不平等,嚴重侵犯了他國數據主權,鮮明體現了美國的數據霸權主義。

2.1.2 數據國家主義:延續傳統國家主權觀念的歐盟做法

“國家主權于國內維度表現為最高性、領土性和排他性,于國外維度則表現為不受他國的國家主權操控,突出世界各國在國際法的指引下,協調獨立平等的各主權國家間關系?！盵9]數據主權基于國家主權概念,對內表現為國家對領土范圍內數據擁有最高的、排他的控制支配和管轄權;對外則表現為各主權國家管理本國數據不受他國干涉。歐盟在數據主權方面堅持嚴格的數據監管方式,是延續傳統主權觀念的代表。2018年歐盟頒布了《通用數據保護條例(GDPR)》。作為史上最嚴格的數據保護條例,《通用數據保護條例》賦予了一般數據與個人信息數據極高的傳輸標準:一是規定數據只有滿足約束性規定和數據保護條款,才能被允許傳輸到歐盟以外的國家和地區;二是“禁止企業將歐盟成員國數據傳輸給其他國家,否則將承擔禁止進入歐盟市場的制裁及高額罰款”[4]136-149。歐盟借助自身對世界市場的影響力,提高數據傳輸標準,迫使諸多歐盟境外企業將數據傳輸標準提高至歐盟水平,形成布魯塞爾效應,“以‘歐盟化’代替‘全球化’”[10],形成歐盟數據空間,排斥數據保護標準不達標的國家的數據流動,不利于全球數據流通發展。

2.2 美國、歐盟的數據主權保護對我國數據主權機制建設的啟示

美國與歐盟的數據主權保護措施雖然侵犯了他國數據主權,但是在一定程度上對我國數據主權機制建設卻有深刻的啟示意義。一方面,歐盟的《通用數據保護條例》賦予了個人數據普遍的法律保護,對推動我國個人信息法的建立,加強我國對個人信息數據的保護具有啟發意義。另一方面,美國的《云法案》啟示我們在數據雙向流動領域建立平等的域外數據調取機制,減少與他國的數據主權沖突;在數據單向流動領域鏡鑒美國數據審核機制,保障我國數據單向流動安全性。

3 新時代我國加強數據主權機制建設的迫切性

當前,我國正處于世界百年未有之大變局,建成網絡強國、數字中國,是在大變局中實現中華民族偉大復興邁出的關鍵一步。建設網絡強國和數字中國、最終實現我們中華民族偉大復興的宏偉目標,迫切要求我們盡快加強新時代我國數據主權機制建設。

3.1 新挑戰要求我國加強數據主權機制構建

當今世界正經歷百年未有之大變局,網絡空間作為人類社會活動的新場域,數據流動滿盈其中。為爭奪數據市場主動權、數據治理話語權,以美國和歐盟為首的數據主權國家和國際組織爭相推出新政策,強國之間的數據主權博弈愈演愈烈。無論是強調私權保護的歐盟,還是通過公權力行使“長臂管轄”的美國,都憑借自身市場規模、技術優勢擴大主權管轄范圍。一方面,歐盟尤為重視公民個人數據處理的保護,無論是否位于歐盟成員國境內,只要涉及對歐盟公民的個人信息數據的處理,都會受制于《通用數據保護條例》。歐盟通過舍棄效率提升對私權的保護力度,使本屬于歐盟內部的條例成為事實上的“世界性法律”。另一方面,美國的《云法案》明確授予美國政府“可以無視數據服務商的數據存儲地是否位于美國領土內,對服務商掌握的數據進行監管、控制,并在必要情況下要求其披露”[11]的權力,將本應局限于本土內的數據管轄權通過發達的云服務網絡和遍布世界的美國公司延伸到了全球范圍。我國作為全球第二大經濟體,網絡市場規模龐大,若想于大國間數據主權博弈中立穩腳跟,就必須建立起自身的數據主權保護機制。

3.2 新機遇創造我國數據主權機制建設國際合作機會

數據主權全球性博弈給我國數據主權機制建設帶來挑戰的同時,也為我國數據主權機制建設加強國際合作、構建網絡空間命運共同體帶來了機遇。習近平提出的“構建網絡空間命運共同體”[12]在國內和國際社會都受到高度重視。近年來,“中國不斷增強國際社會規則制定中的話語權,積極推進數據流動監管跨境合作,促進網絡空間命運共同體理念落地生根?！盵13]首先,數據主權是構建網絡空間命運共同體的基礎,是國家間數據主權合作的基本前提。各國只有強化數據主權原則,于全球范圍內達成共識,發揮數據價值、維護數字場域國家主權,方能建構網絡命運共同體。其次,數據跨境流動機制建設是網絡空間命運共同體的重要保障。加強數據跨境流動管理、保障機制建設,有助于增強國際間數據流動合作,在保障各國主權的基礎上最大化實現數據流動帶來的價值,為網絡空間命運共同體構建提供安全保障。再次,合作共贏理念是網絡空間命運共同體的方向指引。習近平強調:“各國應該深化務實合作,以共進為動力、以共贏為目標,走出一條互信共治之路,讓網絡空間命運共同體更具生機活力?！盵14]面對復雜形勢下的新挑戰、新機遇,我國始終以各國人民的共同利益為根本出發點,主張世界各國人民命運休戚與共,以合作共贏理念引導網絡空間命運共同體構建,推動構建“更加公平合理、開放包容、安全穩定、富有生機活力的網絡空間”[15]。

3.3 新要求強化我國加強數據主權機制建設的使命感

黨的二十大報告提出中國式現代化“在前進道路上,要必須牢牢把握以下重大原則:堅持和加強黨的全面領導,堅持中國特色社會主義道路,堅持以人民為中心的發展思想,堅持深化改革開放,堅持發揚斗爭精神”[1],這為新時代我國數據主權機制建設提出了新要求。第一,堅持和加強黨對數據主權建設的全面領導,發揮“元治理”作用。黨作為“元治理者”協調政府、市場、人民之間的關系,通過對數據主權治理網絡的引導控制,為網絡安全治理模式提供規則。第二,堅持以人民為中心的發展思想為導向,構建全民網絡安全制度。人民是網絡安全建設的基礎,新時代建設網絡安全制度,要以人民合法權益為出發點,將人民群眾在網絡空間中獲得安全感作為評價標準,確保網絡安全制度惠及全民。第三,以斗爭精神推動數據主權發展,增強我國網絡安全技術自主創新能力。習近平提出“加快推進網絡信息技術自主創新”[16],“加速推動信息領域核心技術突破”[7]等新要求,我們應以斗爭精神不斷提高原創性數據安全防范技術供給能力,奮力躋身數據主權強國行列。

4 新時代我國加強數據主權機制建設的有效路徑

4.1 以數據分類分級機制建構數據主權整體性

構建完善的數據分類分級機制,增強數據主權完整性。數據主權的完整性是指數據在未經授權的情況下無法更改的特性,其依托于數據來源的正確性和可信性,離不開科學精準的數據分類分級制度。面對急速膨脹的數據總量,我們無法保護到每一個數據,因此,要對數據進行分類分級,對不同程度重要的數據針對性建立數據主權保護機制。《中華人民共和國數據安全法》將數據分為核心數據、重要數據和屬于管制物項數據。其中:核心數據占據最重要的地位,直接關系著我國國家安全,應建立嚴格的本地化存儲機制,定時定期進行維護與排查,杜絕泄露風險。重要數據的保密程度僅次于核心數據,應建立嚴格的流動管理制度,構建重要數據流動追溯系統。屬于管制物項的數據要注重流通性,通過建立開放流動的管理制度來弱化本地存儲的限制,充分實現數據價值。

4.2 以數據跨境流動管理機制保障數據主權可控性

構建數據跨境流動管理機制,保障數據主權可控性。數據主權的可控性指人們對數據的傳播途徑、傳輸范圍及傳播內容所具有的控制能力。在全球化發展不可逆的今天,為保障數據健康流動,增強經濟效益,推動國家發展,我國亟須建立一套以黨的“元治理”牽頭、“原則+靈活”并行的數據跨境流動管理機制。這種管理機制的主要特點:一是以發揮黨的領導作用為根本,以加強數據跨境流動管理的規則構建為基礎,以數據跨境流動全球市場管理為依托,以政府監督管理機制為保障,突出黨對數據跨境流動“治理的治理”,以“元治理”的多元主體力量開拓中國數據出境的多元路徑,構建元治理下數據跨境流動管理機制;二是構建“原則+靈活”的數據跨境流動管理機制,其在原則上彰顯靈活,將原則性與靈活性結合起來,既堅持數據本地化政策,又在此基礎上提升數據在跨境流動過程中相關協議的靈活性,允許數據在經過相關部門安全評估后向境外輸出,助力數據主權可控性建設。

4.3 以數據風險防范機制增強數據主權保密性

構建數據風險防范機制,預防境外惡意攻擊,增強數據主權保密性。數據主權保密性指流通于網絡中的信息不被非授權主體獲取和使用。其不僅包括國家機密,而且也包括企業和社會團體的商業秘密,還包括個人信息。數據風險防范機制主要包括對內數據存儲安全防范機制、對外數據惡意入侵防范機制和意外數據泄漏防范機制。一是應當建立對內數據存儲安全防范機制。內部網絡安全威脅主要來自用戶越權操作。這種數據存儲安全防范機制規定用戶在操作過程中應當嚴格按照權限大小進行數據處理,并有效防止用戶錯誤操作和惡意破壞行為對數據主權帶來損害。二是應當建立對外數據惡意入侵防范機制,其核心在于身份識別和限定。因外部網絡用戶身份存在不確定性,行為性質存在不可預測性,其在申請訪問時應當對用戶身份進行識別,對用戶行為進行預測與備案;對于用戶多次嘗試破解數據風險防范機制的行為,管理者應以虛擬IP追查用戶IP真實地址,封禁源IP地址的一切訪問活動,從根本上維護我國數據主權。三是應當建立意外信息泄露防范機制。其依托數據分級分類制度,以獨立于服務器運行的加密算法為不同等級的數據進行加密處理。四是要嚴格規范日志管理。日志是計算機在操作過程當中自動生成的操作痕跡。美國在針對我國網絡進行的攻擊中運用了許多隱蔽消痕類網絡攻擊武器,原理就是在數據劫持過程中抹除操作日志,以此來隱匿自身的行蹤,使我們即便察覺到被攻擊了也很難找到證據。因此,管理者應當對日志進行嚴格排查管理,在日志與用戶操作之間加上一個時間戳,防止日志的替換與偽造,并定期對日志進行匯總分析,發現異常立即排查。

4.4 以數據跨境流動協同機制強化數據主權規范性

構建數據跨境流動協同機制,以強化數據主權規范性。數據主權規范性指對信息或資源的合法使用能力。數據跨境流動涉及不同國家之間數據的相互調取,規范各國政府的數據獲取途徑、使用規范至關重要。數據跨境流動協同機制的建立主要是針對國與國之間的數據跨境流動,我國應當在借鑒歐美數據主權立法的基礎上,舍棄“長臂管轄”的糟粕部分,建立平等互信的數據跨境流動協作機制。一是建立平等的數據域外調取機制。我國應極力避免美國的單邊數據霸權主義,建立雙邊、多邊的數據調取協同機制,在雙向數據獲取中賦予各國平等權利,保障數據健康、安全流動。二是針對不同國家添加的例外條款,謀求與更多數據主權國家在數據流動過程方面達成一致,展現我國對網絡安全平等性、開放性的追求。三是依托聯合國大會、國際電信聯盟、“一帶一路”等平臺,構建一個以我國為主的“數據跨境流動朋友圈”。我們通過建立數據主權弱勢國家戰略合作伙伴關系,打破美國和歐盟全球范圍內的數據霸權主義,在全球范圍內爭取更強的數據話語權、主動權和管轄權,保障我國數據主權規范性建設。

5 結束語

在數據博弈白熱化的當今時代,我國數據主權保護在立法層面日臻完善,《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》等法律法規相繼落地,后續的有關實踐措施逐步落實。但我們需要清醒地認識到,我國仍未和其他國家建立起數據互信機制,我國提出的一些數據主權建設措施的可實施性、可操作性亦有待驗證。這些都必然會影響我國數據跨境流動的交換效率,進而制約我國在全球數據治理體系中的話語權和主動權,為我國數據主權機制建設帶來不確定性因素。因此,我國加強數據主權機制建設應當以黨的國家總體安全觀為根本指引,以中國式現代化建設目標為導向,以主權獨立、自主、平等為原則,積極借鑒域內外科學經驗,進一步構建和完善具有中國特色的數據主權機制。