2020年7月2日，全國(guó)人大常委會(huì)第二十次會(huì)議審議了《數(shù)據(jù)安全法(草案)》(“《數(shù)安法》”或“本法”)并公開(kāi)征求意見(jiàn)。全文7章51條，包括：總則、數(shù)據(jù)安全與發(fā)展、數(shù)據(jù)安全制度、數(shù)據(jù)安全保護(hù)義務(wù)、政務(wù)數(shù)據(jù)安全與開(kāi)放、法律責(zé)任和附則。
《數(shù)安法》與去年5月28日國(guó)家互聯(lián)網(wǎng)信息辦公室公布的《數(shù)據(jù)安全管理辦法(征求意見(jiàn)稿)》(“《辦法》”)互為補(bǔ)充和支撐，搭建了一個(gè)更為全面的數(shù)據(jù)安全保護(hù)體系。同時(shí)，在《國(guó)家安全法》的基礎(chǔ)上，本法作為在數(shù)據(jù)安全領(lǐng)域的專項(xiàng)法律，體現(xiàn)了國(guó)家立法層面對(duì)數(shù)據(jù)安全的高度重視。
下文擬從《數(shù)安法》的保護(hù)客體、監(jiān)管體系、規(guī)范行為及對(duì)象、數(shù)據(jù)跨境等主要方面作簡(jiǎn)要解讀。
一、 保護(hù)的客體
1.1《數(shù)安法》與《辦法》的保護(hù)客體比較
與去年公布的《辦法》比較，《數(shù)安法》保護(hù)的客體范圍更加廣泛。首先，《數(shù)安法》所保護(hù)的客體不僅局限在《辦法》所界定的網(wǎng)絡(luò)數(shù)據(jù)范圍，而且還包括線下物理場(chǎng)所存在的數(shù)據(jù)。其次，相對(duì)于《辦法》所專注于“個(gè)人信息”和“重要數(shù)據(jù)”，《數(shù)安法》則普遍適用于所有數(shù)據(jù)。
以上區(qū)別的背后原因，筆者認(rèn)為是因?yàn)椤掇k法》作為《網(wǎng)絡(luò)安全法》下位法，遵循了《網(wǎng)絡(luò)安全法》主要規(guī)范數(shù)據(jù)自身安全(即網(wǎng)絡(luò)數(shù)據(jù)的完整性、保密性、可用性)的思路，而《數(shù)安法》更側(cè)重于數(shù)據(jù)宏觀安全，即從維護(hù)國(guó)家主權(quán)、安全和發(fā)展利益方面對(duì)數(shù)據(jù)進(jìn)行有效保護(hù)和合法利用。
1.2“數(shù)據(jù)”與“信息”的關(guān)系
另外，《數(shù)安法》將“數(shù)據(jù)”與“信息”的區(qū)別予以明確。《數(shù)安法》將“數(shù)據(jù)”定義為任何以電子或者非電子形式對(duì)信息的記錄?？梢?jiàn)，信息是數(shù)據(jù)所外在表現(xiàn)的內(nèi)容，數(shù)據(jù)是底層載體或形式。以“個(gè)人信息”為例，《數(shù)安法》僅保護(hù)記錄這些信息載體的合法使用與客觀安全狀態(tài)，而涉及這些載體之上具體內(nèi)容的部分，即“信息”部分，則由《個(gè)人信息保護(hù)法》(正處于全國(guó)人大常委會(huì)審議階段)等其他相關(guān)專門(mén)法律所規(guī)范。
1.3 數(shù)據(jù)安全保護(hù)的意義
平衡數(shù)據(jù)“發(fā)展/開(kāi)放”與數(shù)據(jù)“安全”之間的關(guān)系是貫徹《數(shù)安法》全文的主要基調(diào)，因?yàn)閿?shù)據(jù)的開(kāi)發(fā)利用是數(shù)字經(jīng)濟(jì)發(fā)展的引擎，而數(shù)據(jù)安全事件又會(huì)給國(guó)家安全帶來(lái)威脅和挑戰(zhàn)。
a.數(shù)據(jù)是數(shù)字時(shí)代的“石油”
根據(jù)中國(guó)信通院2019年10月11日發(fā)布的《全球數(shù)字經(jīng)濟(jì)新圖景(2019年)》顯示，全球數(shù)字經(jīng)濟(jì)蓬勃發(fā)展，在國(guó)民經(jīng)濟(jì)中占據(jù)核心地位，47個(gè)國(guó)家數(shù)字經(jīng)濟(jì)總規(guī)模超過(guò)30.2萬(wàn)億美元，占GDP比重高達(dá)40.3%。
數(shù)字經(jīng)濟(jì)發(fā)展的關(guān)鍵要素是數(shù)據(jù)。今年3月30日《中共中央、國(guó)務(wù)院關(guān)于構(gòu)建更加完善的要素市場(chǎng)優(yōu)化配置體制機(jī)制的意見(jiàn)》中明確提出了數(shù)據(jù)成為土地、資本、勞動(dòng)力及技術(shù)之外的第五大基本市場(chǎng)要素。今年5月28日全國(guó)人大通過(guò)的《民法典》就首次將數(shù)據(jù)和網(wǎng)絡(luò)虛擬財(cái)產(chǎn)納入保護(hù)范圍，賦予數(shù)據(jù)一定的財(cái)產(chǎn)屬性。因此，確保數(shù)據(jù)安全對(duì)我國(guó)的經(jīng)濟(jì)發(fā)展至關(guān)重要。
b.數(shù)據(jù)安全是國(guó)家安全的新領(lǐng)域
大數(shù)據(jù)帶來(lái)了萬(wàn)物互聯(lián)，但頻頻引發(fā)的各類數(shù)據(jù)安全事件也隨之而來(lái)。其導(dǎo)致的后果既有對(duì)個(gè)人隱私的侵害，更有對(duì)國(guó)家安全的威脅。例如，2018年臉書(shū)公司(Facebook)5000萬(wàn)用戶信息泄露，被“劍橋分析”盜取用于大數(shù)據(jù)分析，影響了美國(guó)總統(tǒng)大選。所以，數(shù)據(jù)安全是國(guó)家安全治理的一個(gè)重要組成部分。
二、監(jiān)管體系
在數(shù)據(jù)安全的監(jiān)管方面，《數(shù)安法》構(gòu)建了“一個(gè)頂點(diǎn)、多維度配合”的體系。
“一個(gè)頂點(diǎn)”即中央國(guó)家安全領(lǐng)導(dǎo)機(jī)構(gòu)。該機(jī)構(gòu)將針對(duì)全國(guó)的數(shù)據(jù)安全情況進(jìn)行整體指導(dǎo)和戰(zhàn)略規(guī)劃，對(duì)具體涉及數(shù)據(jù)安全的主體進(jìn)行間接管理。在具體的執(zhí)行層面，直接監(jiān)管機(jī)構(gòu)將接受中央國(guó)家安全領(lǐng)導(dǎo)機(jī)構(gòu)的領(lǐng)導(dǎo)或指導(dǎo)。
“多維度配合”則指各地區(qū)、各部門(mén)、各行業(yè)、線上與線下的全方位、交叉監(jiān)管：
1、工業(yè)、電信、自然資源、衛(wèi)生健康、教育、國(guó)防科技工業(yè)、金融業(yè)等行業(yè)主管部門(mén)將在本專業(yè)領(lǐng)域內(nèi)針對(duì)特定事項(xiàng)進(jìn)行監(jiān)管;
2、公安機(jī)關(guān)、國(guó)家安全機(jī)關(guān)等在職責(zé)范圍內(nèi)進(jìn)行監(jiān)管;
3、國(guó)家網(wǎng)信部門(mén)將直接負(fù)責(zé)網(wǎng)絡(luò)數(shù)據(jù)安全方面的監(jiān)管，包括具體的日常監(jiān)督、專項(xiàng)整改、管理細(xì)則的制定等等。
此外，筆者注意到雖然《網(wǎng)絡(luò)安全法》與《數(shù)安法》同為《國(guó)家安全法》的下位法，但只有《數(shù)安法》強(qiáng)調(diào)其與《國(guó)家安全法》一樣，均由中央國(guó)家安全領(lǐng)導(dǎo)機(jī)構(gòu)間接管理。這可能也印證了《數(shù)安法》與《網(wǎng)絡(luò)安全法》在規(guī)范客體和重心上的差異。
為了方便讀者理解，筆者整理了如下結(jié)構(gòu)圖以說(shuō)明監(jiān)管體系之間的關(guān)系：
三、規(guī)范的行為及對(duì)象
3.1 規(guī)范的行為
《數(shù)安法》規(guī)范的“數(shù)據(jù)活動(dòng)”包括：數(shù)據(jù)的收集、存儲(chǔ)、加工、使用、提供、交易、公開(kāi)等行為。與《辦法》作比較，本法增加了加工、提供、交易、公開(kāi)等四個(gè)環(huán)節(jié)，同時(shí)刪除了《辦法》中“純粹家庭和個(gè)人事務(wù)除外”的規(guī)定。可見(jiàn)，《數(shù)安法》不僅將“數(shù)據(jù)活動(dòng)”范圍擴(kuò)大，亦將單純個(gè)人用途使用數(shù)據(jù)的行為納入監(jiān)管。
3.2 規(guī)范的對(duì)象
a.規(guī)范對(duì)象的范圍
針對(duì)企業(yè)而言，目前蓬勃發(fā)展的大數(shù)據(jù)、云計(jì)算、人工智能、數(shù)據(jù)處理軟件開(kāi)發(fā)機(jī)構(gòu)等將最直接地適用《數(shù)安法》。然而，從事數(shù)據(jù)活動(dòng)的主體遠(yuǎn)不止上述這類企業(yè)，還有例如：電商平臺(tái)、數(shù)據(jù)交易中介這類企業(yè)會(huì)從事數(shù)據(jù)的收集、儲(chǔ)存、提供等環(huán)節(jié);社交軟件類企業(yè)會(huì)從事數(shù)據(jù)的收集、儲(chǔ)存、加工等環(huán)節(jié);甚至企業(yè)APP或公眾號(hào)，在運(yùn)營(yíng)中也會(huì)收集、儲(chǔ)存用戶的數(shù)據(jù)等。
整體上，《數(shù)安法》規(guī)范對(duì)象所涵蓋范圍很廣，不僅企業(yè)，也包括涉及數(shù)據(jù)活動(dòng)的機(jī)構(gòu)、社會(huì)團(tuán)體、政府部門(mén)，甚至個(gè)人。需要注意的是，《數(shù)安法》第2條采用了具有域外適用效力的條款，將違反或損害中國(guó)數(shù)據(jù)安全的境外機(jī)構(gòu)也一并納入管轄對(duì)象的范圍。
b.規(guī)范對(duì)象的義務(wù)
為了方便讀者理解，筆者匯總整理了各規(guī)范對(duì)象所對(duì)應(yīng)的合規(guī)義務(wù)如下：
四、數(shù)據(jù)跨境的“矛”與“盾”
由于經(jīng)濟(jì)全球化和互聯(lián)網(wǎng)的天然屬性，數(shù)據(jù)在不同國(guó)家和地區(qū)之間大規(guī)模、高頻率的流動(dòng)，數(shù)據(jù)全球化成為推動(dòng)全球經(jīng)濟(jì)發(fā)展的重要力量。在地緣政治方面，美國(guó)“棱鏡門(mén)”事件推動(dòng)了各國(guó)政府將數(shù)據(jù)跨境流動(dòng)與國(guó)家安全、國(guó)家主權(quán)等政策逐漸掛鉤，加劇了世界各國(guó)在網(wǎng)絡(luò)空間的戰(zhàn)略博弈和數(shù)據(jù)資源爭(zhēng)奪。在這方面，《數(shù)安法》構(gòu)建了我國(guó)數(shù)據(jù)跨境流動(dòng)的“矛”與“盾”。
4.1 域外追責(zé)及反制威懾——跨境數(shù)據(jù)安全之“矛”
如前文所述，《數(shù)安法》在總則第2條中依據(jù)保護(hù)管轄原則，規(guī)定數(shù)據(jù)活動(dòng)無(wú)論在境內(nèi)還是境外，只要損害我國(guó)國(guó)家安全、他人合法權(quán)益的，就要依法追究法律責(zé)任。該規(guī)定賦予了《數(shù)安法》域外適用效力，與歐盟的《通用數(shù)據(jù)保護(hù)條例》(“GDPR”)有異曲同工之處。
依據(jù)國(guó)際法的對(duì)等原則，《數(shù)安法》第24條就國(guó)外采取與數(shù)據(jù)投資、貿(mào)易相關(guān)的歧視性措施時(shí)，賦予我國(guó)采取反制措施的權(quán)利?？梢哉f(shuō)是在數(shù)據(jù)安全“守”勢(shì)的基礎(chǔ)上保留了反擊的主動(dòng)權(quán)。
4.2 規(guī)范數(shù)據(jù)跨境流動(dòng)——跨境數(shù)據(jù)安全之“盾”
《數(shù)安法》第10條表明我國(guó)對(duì)數(shù)據(jù)跨境流動(dòng)的基本態(tài)度，即在確保數(shù)據(jù)安全的前提下，促進(jìn)跨境自由流動(dòng)，同時(shí)積極開(kāi)展該領(lǐng)域的國(guó)際交流與合作、參與國(guó)際規(guī)則和標(biāo)準(zhǔn)的制定。在數(shù)據(jù)出境方面，無(wú)論是《網(wǎng)絡(luò)安全法》還是去年6月13日國(guó)家網(wǎng)信辦《個(gè)人信息出境安全評(píng)估辦法(征求意見(jiàn)稿)》都采用安全評(píng)估制度作為“安全閥”。而在數(shù)據(jù)入境方面，很多國(guó)家為了爭(zhēng)奪數(shù)據(jù)資源也已經(jīng)開(kāi)展了積極的多邊或雙邊談判，謀求建立符合其利益的全球數(shù)據(jù)流動(dòng)圈，例如歐盟GDPR項(xiàng)下的“充分性”認(rèn)定名單、美國(guó)推動(dòng)的《美墨加三國(guó)協(xié)議》(USMCA)、亞太經(jīng)合作組織(APEC)的“跨境隱私規(guī)則”(CBPR)等。下一步如何打造好我國(guó)自己的數(shù)據(jù)跨境流動(dòng)“朋友圈”是擺在我們面前的一個(gè)重要課題。
《數(shù)安法》第23條首次提出數(shù)據(jù)出口管制概念，即國(guó)家對(duì)與履行國(guó)際義務(wù)和維護(hù)國(guó)家安全相關(guān)的屬于管制物項(xiàng)的數(shù)據(jù)依法實(shí)施出口管制。這實(shí)際上將去年12月28日《出口管制法(草案)》中的管制物項(xiàng)從“貨物、技術(shù)、服務(wù)”擴(kuò)大到“數(shù)據(jù)”，其目的類似美國(guó)的《2018年出口管制法》和《出口管制條例》(EAR)項(xiàng)下對(duì)科技數(shù)據(jù)的出境限制。
《數(shù)安法》第33條提出了境外執(zhí)法機(jī)構(gòu)調(diào)取數(shù)據(jù)的報(bào)告批準(zhǔn)制度。該制度實(shí)際上是回應(yīng)了近年來(lái)很多國(guó)家，包括美國(guó)《澄清境外數(shù)據(jù)合法使用法案》(the Cloud Act)在內(nèi)，不斷擴(kuò)大跨境數(shù)據(jù)調(diào)取權(quán)利的立法趨勢(shì)，為我國(guó)數(shù)據(jù)安全提供了一定保障。需要注意本條款雖然在字面上均可歸入數(shù)據(jù)出境范圍，但是與上文中《網(wǎng)絡(luò)安全法》和《個(gè)人信息出境安全評(píng)估辦法(征求意見(jiàn)稿)》中的數(shù)據(jù)出境活動(dòng)不同。因?yàn)楸痉ǖ?3條涉及的境外數(shù)據(jù)接收者是境外執(zhí)法機(jī)構(gòu)，而其活動(dòng)涉及中國(guó)國(guó)家主權(quán)，理應(yīng)適用更為嚴(yán)格的出境限制。
五、結(jié)語(yǔ)
當(dāng)前國(guó)際形勢(shì)復(fù)雜多變，特別是新冠疫情給世界主要經(jīng)濟(jì)體造成巨大沖擊，全球面臨經(jīng)濟(jì)大衰退。然而，數(shù)字經(jīng)濟(jì)以其高融合、高技術(shù)、高增長(zhǎng)等特性，將成為我國(guó)經(jīng)濟(jì)發(fā)展的新引擎。數(shù)字經(jīng)濟(jì)的要素是數(shù)據(jù)，數(shù)據(jù)也是國(guó)家基礎(chǔ)性戰(zhàn)略資源，沒(méi)有數(shù)據(jù)安全就沒(méi)有國(guó)家安全。為了應(yīng)對(duì)數(shù)據(jù)這一非傳統(tǒng)領(lǐng)域的國(guó)家安全風(fēng)險(xiǎn)與挑戰(zhàn)，《數(shù)安法》應(yīng)運(yùn)而生，旨在通過(guò)立法提升國(guó)家數(shù)據(jù)安全保障能力，維護(hù)國(guó)家主權(quán)、安全和發(fā)展利益。
綜上，《數(shù)安法》項(xiàng)下的數(shù)據(jù)安全不僅擔(dān)當(dāng)了數(shù)字經(jīng)濟(jì)壓艙石這一重任，還賦予了國(guó)家安全一個(gè)全新的監(jiān)管維度。
文章來(lái)源：關(guān)鍵基礎(chǔ)設(shè)施安全應(yīng)急響應(yīng)中心 作者：北京德恒律師事務(wù)所 王一楠、陳繼鑫 國(guó)家互聯(lián)網(wǎng)應(yīng)急中心 張奕欣、呂欣潤(rùn)
