數(shù)據(jù)安全法治建設(shè)研究

□文/張 巖

（中共吉林省委黨校（吉林省行政學(xué)院）吉林·長春）

［提要］數(shù)字經(jīng)濟(jì)時(shí)代，數(shù)據(jù)安全問題納入地方法治化軌道極具必要性和迫切性。本文結(jié)合地方數(shù)據(jù)安全管理的形勢需要和工作實(shí)際，從立法價(jià)值和體系化定位、安全監(jiān)管體系、責(zé)任落實(shí)和義務(wù)履行等方面進(jìn)行具體分析，并提出建議。

一、數(shù)據(jù)安全相關(guān)核心概念界定

對“數(shù)據(jù)、數(shù)據(jù)活動(dòng)、數(shù)據(jù)安全”等核心概念的科學(xué)界定是有效開展數(shù)據(jù)安全保障工作的基礎(chǔ)和前提，將決定整部法律的可操作性和可執(zhí)行性。

第一，對數(shù)據(jù)的界定。在當(dāng)前數(shù)據(jù)安全法律法規(guī)體系中對數(shù)據(jù)的界定各有側(cè)重、互相補(bǔ)充、不盡相同。廣義的界定方法，認(rèn)為數(shù)據(jù)的范疇?wèi)?yīng)既包含網(wǎng)絡(luò)數(shù)據(jù)也包含線下物理場所存在的數(shù)據(jù)，即普遍適用于所有數(shù)據(jù)。據(jù)此，建議地方數(shù)據(jù)安全立法對于數(shù)據(jù)的界定應(yīng)在保持與上位法一致的前提下，對其進(jìn)行進(jìn)一步完善和細(xì)化。同時(shí)，也應(yīng)對“數(shù)據(jù)”和“信息”進(jìn)行區(qū)分，為本地區(qū)進(jìn)一步的信息保護(hù)立法工作打下基礎(chǔ)。

第二，對數(shù)據(jù)安全的界定。對數(shù)據(jù)安全的理解和認(rèn)識是數(shù)據(jù)安全的立法之基，對其不同的理解將決定立法工作不同的定位和方向。建議地方數(shù)據(jù)安全立法對數(shù)據(jù)安全的界定應(yīng)蘊(yùn)含三個(gè)層次的含義：第一個(gè)層次是保護(hù)數(shù)據(jù)所承載的信息的安全，即實(shí)現(xiàn)數(shù)據(jù)或信息的物理安全和邏輯安全；第二個(gè)層次是如人格權(quán)、財(cái)產(chǎn)權(quán)、知識產(chǎn)權(quán)和新型民事權(quán)利等；第三個(gè)層次即數(shù)據(jù)的自主可控和數(shù)據(jù)的宏觀安全。此外，數(shù)據(jù)安全還受到技術(shù)創(chuàng)新、應(yīng)用場景、價(jià)值選擇等因素的影響。

第三，對數(shù)據(jù)產(chǎn)權(quán)的界定。產(chǎn)權(quán)歸屬與權(quán)益分配是實(shí)現(xiàn)數(shù)據(jù)保護(hù)與利用再平衡的關(guān)鍵，科學(xué)、清晰、合理的數(shù)據(jù)權(quán)分配可有利于數(shù)據(jù)安全保護(hù)工作的開展，不當(dāng)?shù)臄?shù)據(jù)權(quán)分配則無法實(shí)現(xiàn)多樣化的數(shù)據(jù)利益衡量，甚至產(chǎn)生數(shù)據(jù)法益沖突和混亂。因此，明確數(shù)據(jù)權(quán)屬并以此為基礎(chǔ)對數(shù)據(jù)權(quán)及其權(quán)利體系進(jìn)行解構(gòu)與規(guī)范就成為地方數(shù)據(jù)安全立法和實(shí)踐的核心內(nèi)容。但數(shù)據(jù)本身屬性具有相當(dāng)?shù)膹?fù)雜性，既具有公共利益屬性，關(guān)系到國家安全和社會(huì)公共利益，又具有人格利益屬性，關(guān)系到私人權(quán)益。因此，數(shù)據(jù)產(chǎn)權(quán)歸屬確定與權(quán)益分配是十分困難的，目前在立法層面尚未有明確。

通過對上述觀點(diǎn)的分析和借鑒，建議地方數(shù)據(jù)安全立法可從宏觀、中觀和微觀三個(gè)層面對數(shù)據(jù)權(quán)屬進(jìn)行劃分并構(gòu)建數(shù)據(jù)權(quán)利體系。在宏觀層面，數(shù)據(jù)權(quán)主要指國家獨(dú)立管理和利用本國數(shù)據(jù)的權(quán)利，即數(shù)據(jù)主權(quán)，公共數(shù)據(jù)應(yīng)被視為國有資產(chǎn)，歸國家所有，但由相關(guān)政府部門持有，用于創(chuàng)新公共管理服務(wù)模式；在中觀層面，在數(shù)據(jù)要素市場中流通的數(shù)據(jù)由其合法收集和產(chǎn)生者所有，用于促進(jìn)數(shù)據(jù)流通，創(chuàng)造數(shù)據(jù)價(jià)值；微觀層面，包括隱私權(quán)、知情權(quán)、刪除權(quán)、可攜權(quán)等。

二、我國數(shù)據(jù)安全法治建設(shè)現(xiàn)狀

總體上，我國數(shù)據(jù)安全法治建設(shè)尚處于初級階段，在經(jīng)歷從間接保護(hù)到直接保護(hù)、從分散立法到集中立法、從公法治理到綜合治理的演變歷程后，逐步形成了多層級多領(lǐng)域的數(shù)據(jù)安全保護(hù)規(guī)范體系。截至2021年3月，全國共有40余個(gè)省市地區(qū)出臺(tái)了數(shù)據(jù)資源管理相關(guān)政策90余部，均對數(shù)據(jù)安全保護(hù)保障工作提出要求，其中專門以數(shù)據(jù)安全為核心內(nèi)容的地方法規(guī)有10余部，為推進(jìn)本地區(qū)的數(shù)據(jù)安全工作提供了有力支撐。但大多數(shù)地方的數(shù)據(jù)安全管理政策仍處于空白狀態(tài)，嚴(yán)重影響了數(shù)據(jù)安全治理效果和數(shù)字化建設(shè)進(jìn)程。因此，從地方數(shù)據(jù)安全管理的形勢需要和工作實(shí)際出發(fā)，廣泛吸收相關(guān)政策法規(guī)的成熟規(guī)定，總結(jié)提煉數(shù)據(jù)安全管理的實(shí)踐經(jīng)驗(yàn)，并上升為地方法規(guī)，予以固化，打造數(shù)據(jù)安全管理的地方立法方案，已極具必要性和緊迫性。

三、數(shù)據(jù)安全法治建設(shè)優(yōu)化路徑

（一）明確立法價(jià)值和體系化定位，樹立多元化的立法目標(biāo)。任何法律都不是中立的，申明立法活動(dòng)設(shè)定的動(dòng)機(jī)和目標(biāo)、明確立法價(jià)值判斷與體系定位是有效推動(dòng)本地區(qū)數(shù)據(jù)安全風(fēng)險(xiǎn)防控和體系化建設(shè)的基礎(chǔ)性問題?！凹戎匾暟l(fā)展又重視安全”是總體國家安全觀的基本要求，《網(wǎng)絡(luò)安全法》第一條和第三條分別體現(xiàn)網(wǎng)絡(luò)安全和網(wǎng)絡(luò)發(fā)展并重的立法價(jià)值取向，《數(shù)據(jù)安全法（草案）》第一條和第十二條亦明確了兼顧“維護(hù)數(shù)據(jù)安全”與“促進(jìn)數(shù)據(jù)開發(fā)利用”的雙重立法目標(biāo)。據(jù)此，作為對《國家安全法》《網(wǎng)絡(luò)安全法》等上位法的細(xì)化、完善和補(bǔ)充，建議地方數(shù)據(jù)安全立法亦秉持“安全與發(fā)展并重”的多元化立法理念，采取開放而非封閉、發(fā)展而非停滯、包容而非排他的原則，同步推進(jìn)數(shù)據(jù)開發(fā)利用和數(shù)據(jù)安全維護(hù)工作。第一，安全與發(fā)展須平衡考慮。一方面要處理好發(fā)展與安全間的沖突關(guān)系。黨的十九屆四中全會(huì)首次肯定數(shù)據(jù)作為“生產(chǎn)要素”的必要性和重要意義，數(shù)據(jù)的共享、開放、流通是培育數(shù)據(jù)要素市場、促進(jìn)數(shù)字經(jīng)濟(jì)發(fā)展的必要條件，但政府公權(quán)力出于維護(hù)安全目的的，調(diào)節(jié)作用勢必會(huì)產(chǎn)生負(fù)面影響。因此，地方數(shù)據(jù)安全立法應(yīng)符合本地區(qū)當(dāng)前數(shù)字化建設(shè)水平，避免因規(guī)則過于嚴(yán)苛導(dǎo)致在執(zhí)行中出現(xiàn)異化的現(xiàn)象；另一方面要重視數(shù)字技術(shù)發(fā)展與數(shù)據(jù)安全工作間的協(xié)同效應(yīng)關(guān)系。數(shù)據(jù)安全問題最終還是要靠數(shù)字技術(shù)解決，因此要重視數(shù)字技術(shù)的發(fā)展對數(shù)據(jù)安全工作的推動(dòng)作用，解決好實(shí)質(zhì)合法性問題，以發(fā)展促安全。總之，要協(xié)調(diào)好沖突關(guān)系和協(xié)同關(guān)系之間的矛盾，最終實(shí)現(xiàn)安全與發(fā)展并重的“平衡原則”。第二，安全與自由須平衡考慮。數(shù)據(jù)除了國家、公共屬性外，還具有人格權(quán)、財(cái)產(chǎn)權(quán)屬性，并且相比于安全，自由和權(quán)力更是法律的本質(zhì)屬性。第三，外溢性和競爭性須平衡考慮。隨著全球數(shù)字化轉(zhuǎn)型的深化，跨境數(shù)據(jù)流動(dòng)帶來的數(shù)據(jù)安全風(fēng)險(xiǎn)也與日俱增，因此數(shù)據(jù)安全管理工作不能僅考慮其域內(nèi)效力，還要考慮數(shù)據(jù)安全規(guī)則的外溢性和競爭性。一方面地方數(shù)據(jù)安全立法應(yīng)考慮越過“屬地管轄”樊籬，考慮引入“長臂管轄原則”或“保護(hù)管轄原則”，增強(qiáng)在數(shù)據(jù)治理博弈中的影響力和對重要數(shù)據(jù)的實(shí)際支配權(quán)力，避免數(shù)據(jù)安全風(fēng)險(xiǎn)對國家主權(quán)和公共利益造成的安全威脅，保障數(shù)據(jù)自主可控和數(shù)據(jù)宏觀安全；另一方面要避免陷入“以子之矛、攻子之盾”的自我抵觸窘境，防止規(guī)則制定過于嚴(yán)苛導(dǎo)致遏制本地區(qū)數(shù)字產(chǎn)業(yè)創(chuàng)新發(fā)展。

（二）構(gòu)建數(shù)據(jù)安全監(jiān)管體系，落實(shí)數(shù)據(jù)安全工作管理職責(zé)。構(gòu)建完善的數(shù)據(jù)安全監(jiān)管體系是保證數(shù)據(jù)安全監(jiān)管效果的關(guān)鍵。對于數(shù)據(jù)安全監(jiān)管體系的建設(shè)，《數(shù)據(jù)安全法（草案）》《網(wǎng)絡(luò)安全法》采取了相同的思路，《數(shù)據(jù)安全法（草案）》第七條、《網(wǎng)絡(luò)安全法》第八條均規(guī)定由中央國家安全領(lǐng)導(dǎo)機(jī)構(gòu)或中央網(wǎng)絡(luò)安全和信息化委員會(huì)決策和統(tǒng)籌，各地區(qū)、各部門對各自工作中涉及的數(shù)據(jù)及數(shù)據(jù)安全承擔(dān)主體責(zé)任，網(wǎng)信部門負(fù)責(zé)統(tǒng)籌協(xié)調(diào)和監(jiān)管，行業(yè)主管部門負(fù)責(zé)本行業(yè)的數(shù)據(jù)安全監(jiān)管職責(zé)，公安機(jī)關(guān)、國家安全機(jī)關(guān)負(fù)責(zé)各自職責(zé)范圍內(nèi)的數(shù)據(jù)安全監(jiān)管工作。據(jù)此，建議地方數(shù)據(jù)安全監(jiān)管體系框架與上述兩部法律保持一致，即采取“一個(gè)頂點(diǎn)、多維度配合、分級管理，分工負(fù)責(zé)”的架構(gòu)模式?！耙粋€(gè)頂點(diǎn)”指由地方人民政府總體負(fù)責(zé)數(shù)據(jù)安全工作，根據(jù)數(shù)據(jù)安全情況進(jìn)行整體決策和戰(zhàn)略規(guī)劃；“多維度配合”是指網(wǎng)信部門、公安部門、國安部門及工業(yè)、電信、金融等行業(yè)主管部門共同構(gòu)成全覆蓋、全方位的監(jiān)管體系；“分級管理”是指除地方人民政府總體負(fù)責(zé)數(shù)據(jù)安全保障工作外，市、州和縣級人民政府也要分別負(fù)責(zé)本行政區(qū)域內(nèi)數(shù)據(jù)安全監(jiān)管工作；“分工負(fù)責(zé)”是指各地區(qū)、各部門、各行業(yè)要分工明確、各司其職地負(fù)責(zé)本領(lǐng)域和本行業(yè)的數(shù)據(jù)安全監(jiān)管工作。最終形成由地方人民政府統(tǒng)領(lǐng)，各行政部門各自依職權(quán)負(fù)責(zé)，行業(yè)監(jiān)管單位輔助的數(shù)據(jù)安全監(jiān)管體系。此外，由于數(shù)據(jù)活動(dòng)中的地域性、行業(yè)性愈發(fā)模糊，跨行業(yè)、跨領(lǐng)域的數(shù)據(jù)安全事件頻發(fā)，須建立健全數(shù)據(jù)安全監(jiān)管不同主體間的協(xié)同治理機(jī)制，或設(shè)置統(tǒng)一的數(shù)據(jù)活動(dòng)監(jiān)管機(jī)構(gòu)、建立統(tǒng)一的數(shù)據(jù)安全監(jiān)管平臺(tái)統(tǒng)籌協(xié)調(diào)數(shù)據(jù)安全事件處置，杜絕數(shù)據(jù)安全監(jiān)管過程出現(xiàn)職能交叉、模糊與空白地帶等問題。

（三）強(qiáng)化責(zé)任落實(shí)和義務(wù)履行，提升數(shù)據(jù)活動(dòng)主體自我規(guī)制的內(nèi)生動(dòng)力。通過對責(zé)任和義務(wù)的創(chuàng)設(shè)來規(guī)范相應(yīng)主體的數(shù)據(jù)活動(dòng)，使之符合維護(hù)數(shù)據(jù)安全的目的，正是地方數(shù)據(jù)安全管理立法的首要價(jià)值。因此，對可能導(dǎo)致數(shù)據(jù)安全事件發(fā)生的數(shù)據(jù)活動(dòng)進(jìn)行梳理、予以規(guī)范并設(shè)定相應(yīng)的追責(zé)條款，強(qiáng)化相應(yīng)的法律責(zé)任，增加數(shù)據(jù)活動(dòng)的違法成本，以提升相關(guān)主體履行數(shù)據(jù)安全保護(hù)責(zé)任的內(nèi)生動(dòng)力，更好地實(shí)現(xiàn)數(shù)據(jù)安全立法的規(guī)范和引導(dǎo)作用，亦是地方數(shù)據(jù)安全管理立法重要內(nèi)容之一。

在明確細(xì)化法律責(zé)任方面，可秉持“誰所有誰負(fù)責(zé)、誰持有誰負(fù)責(zé)、誰管理誰負(fù)責(zé)、誰使用誰負(fù)責(zé)、誰采集誰負(fù)責(zé)”原則，實(shí)行數(shù)據(jù)安全管理主體責(zé)任制。原則上，任何在數(shù)據(jù)生命周期中對數(shù)據(jù)安全產(chǎn)生影響的社會(huì)團(tuán)體、政府部門、個(gè)人均應(yīng)屬于數(shù)據(jù)安全責(zé)任人范疇，都是地方數(shù)據(jù)安全立法的監(jiān)管對象。并且，若在法規(guī)中添加了具有域外適用效力的條款，那么所有可能會(huì)危害數(shù)據(jù)安全的境外機(jī)構(gòu)和個(gè)人也應(yīng)納入數(shù)據(jù)安全責(zé)任人范疇，接受監(jiān)管。所有數(shù)據(jù)安全責(zé)任人在收集、存儲(chǔ)、傳輸、處理、交換、開放、使用、銷毀數(shù)據(jù)的過程中，都應(yīng)嚴(yán)格落實(shí)數(shù)據(jù)分類分級保護(hù)制度、安全監(jiān)測預(yù)警制度、安全應(yīng)急處置制度、數(shù)據(jù)交易管理制度等，履行安全管理責(zé)任，保證數(shù)據(jù)全生命周期安全。并且，針對衍生數(shù)據(jù)可能會(huì)出現(xiàn)的危害性，亦應(yīng)增設(shè)免責(zé)條款。

在強(qiáng)化法律執(zhí)行問責(zé)追責(zé)方面，建議罰則加大處罰力度、豐富處罰種類，提升數(shù)據(jù)活動(dòng)的違法成本，實(shí)現(xiàn)震懾違法行為的目的。還可增設(shè)行政處罰手段，使一些尚不構(gòu)成犯罪的輕微違法行為及時(shí)得到糾正，避免以往通過民事責(zé)任追究無法起到震懾的作用，或直接上升到刑法犯罪造成嚴(yán)重后果。并且可采取包容審慎的監(jiān)管原則，與《網(wǎng)絡(luò)安全法（草案）》《網(wǎng)絡(luò)安全法》保持一致，設(shè)置專門條款，鼓勵(lì)對違法數(shù)據(jù)活動(dòng)進(jìn)行監(jiān)督、投訴。但需注意的是，根據(jù)相關(guān)調(diào)查顯示，當(dāng)前出現(xiàn)輕微犯罪行為的主體多以中小企業(yè)和創(chuàng)新型企業(yè)為主，多為對合規(guī)條件認(rèn)識不清導(dǎo)致的無心之失，因此有必要增設(shè)一定的投訴門檻，避免職業(yè)舉報(bào)、虛假舉報(bào)的現(xiàn)象出現(xiàn)。

此外，除了完善數(shù)據(jù)安全管理責(zé)任體系，還要明確各數(shù)據(jù)安全責(zé)任主體的數(shù)據(jù)安全保護(hù)義務(wù)，以此對責(zé)權(quán)管理可能遺漏的內(nèi)容進(jìn)行兜底補(bǔ)充?？煽紤]根據(jù)數(shù)據(jù)活動(dòng)主體的不同，對應(yīng)履行的合規(guī)義務(wù)進(jìn)行劃分。對職能部門/機(jī)關(guān)/單位、企業(yè)、社會(huì)團(tuán)體而言，應(yīng)履行建立內(nèi)部數(shù)據(jù)管理機(jī)制的義務(wù)、員工培訓(xùn)的義務(wù)、合法義務(wù)、配合義務(wù)、報(bào)告義務(wù)、政務(wù)公開義務(wù)（針對國家機(jī)關(guān)）等；對個(gè)人而言，應(yīng)履行合規(guī)義務(wù)、配合義務(wù)、報(bào)告義務(wù)等；對境外機(jī)構(gòu)而言，應(yīng)履行合法義務(wù)。亦可按照功能模塊，對應(yīng)履行的合規(guī)義務(wù)進(jìn)行劃分。在內(nèi)控體系方面，各主體有制定數(shù)據(jù)安全管理制度的義務(wù)、數(shù)據(jù)安全教育培訓(xùn)的義務(wù)等；在風(fēng)險(xiǎn)監(jiān)測方面，各主體有及時(shí)報(bào)告的義務(wù)、采取補(bǔ)救措施的義務(wù)等；在風(fēng)險(xiǎn)評估方面，各主體有定期評估與報(bào)送評估報(bào)告的義務(wù)、面臨風(fēng)險(xiǎn)采取應(yīng)對措施的義務(wù)等。