數據出境中的國家安全治理探討

馬其家 劉飛虎

〔摘要〕數據出境給我國帶來的國家安全風險包括：個人數據出境使我國在政治、文化領域面臨國家安全風險，非個人數據出境使我國在國土、軍事、科技領域面臨國家安全風險。數據出境給國家安全治理帶來的新挑戰(zhàn)包括：數據的科技屬性和流動隱蔽性增加了數據出境國家安全治理的難度，現有監(jiān)管規(guī)則和防范措施不能滿足數據出境國家安全治理的需要。為應對數據出境領域國家安全治理的挑戰(zhàn)，我國可采取的措施包括：一是推動法定的數據安全技術標準落地，并鼓勵企業(yè)發(fā)展事實標準；二是建立協(xié)調統(tǒng)一的數據出境國家安全治理監(jiān)管機構與監(jiān)管規(guī)則體系，并完善數據控制者數據出境國家安全保障責任；三是構建數據被動出境的主動防御體系，包括建立網絡攻擊監(jiān)控平臺、形成政府與私營部門協(xié)同防御、加強數據安全人才的培養(yǎng)。

〔關鍵詞〕數據出境，國家安全風險，國家安全治理，主動防御

〔中圖分類號〕D90-052〔文獻標識碼〕A〔文章編號〕1004- 4175（2022）02-0105-09

〔基金項目〕國家社會科學基金項目“數字經濟時代平臺企業(yè)濫用數據優(yōu)勢的反壟斷法規(guī)制研究”（21BFX114），主持人馬其家；對外經濟貿易大學研究生科研創(chuàng)新基金資助項目“數字經濟背景下的企業(yè)數據出境監(jiān)管研究”（202111），主持人劉飛虎。

國家安全是一個多領域交叉的綜合性安全問題。我國除了重視國土安全、軍事安全等傳統(tǒng)領域的國家安全外，也同樣重視數據領域的國家安全。在立法方面，為維護數據領域的國家安全，規(guī)范數據處理活動，我國最高立法機關于2021年6月10日出臺了《數據安全法》。在執(zhí)法方面，2021年7月上旬國家互聯(lián)網信息辦公室（以下簡稱“網信辦”）接連對“滴滴出行”“運滿滿”“貨車幫”“BOSS直聘”等在美國上市的互聯(lián)網公司，實施國家安全審查。至此，數據出境對國家安全的重大影響，逐步引起社會各界的關注。數據出境是數據處理者將在國內收集、產生的重要數據和個人信息，提供給境外主體的行為①。數據特有的科技屬性與流動隱蔽性，以及數據的主動出境和被動出境，都會給國家安全治理帶來挑戰(zhàn)。如何應對這些挑戰(zhàn)，是我國目前面臨的一項重大課題。然而，當前學界的相關研究主要局限于籠統(tǒng)的數據跨境流動，或者數據國內流轉中的國家安全問題，同時涉及數據出境與國家安全問題的論文寥寥數篇。因此，為維護國家安全，研究數據出境領域的國家安全治理規(guī)則刻不容緩。本文擬從數據出境給我國帶來的國家安全風險、數據出境給國家安全治理帶來的挑戰(zhàn)、數據出境領域國家安全治理的應對三個方面展開論述，以期能為我國后續(xù)立法提供參考。

一、數據出境帶來的國家安全風險

數據種類繁多，不同種類數據的出境對國家安全的影響存在差異。一般來說，數據可以被劃分為政務數據、商業(yè)數據、個人數據，然而這三者的界限并不清晰。由于政務數據、商業(yè)數據常常以采集的個人數據為基礎，而且個人數據是否應賦予所有權及權利歸屬等問題仍存在爭議②，導致在這種分類下討論數據出境國家安全問題，會出現論述上的重復和遺漏。因此，筆者以數據是否匿名為標準，將數據分為個人數據與非個人數據，并討論這兩類數據出境涉及的國家安全問題，以避免前述分類方式的不足。依據歐盟《通用數據保護條例》中的定義，“個人數據”即與一個身份已經被識別或者身份可識別的自然人有關的任何信息；“非個人數據”則是各種匿名化的數據集，包括匿名化后的個人數據集，以及物聯(lián)網、人工智能和機器深度學習產生的匿名數據〔1〕。這兩類數據出境對國家安全的威脅具體如下：

（一）個人數據出境在政治、文化領域面臨國家安全風險

個人數據出境中的國家安全風險，主要體現在政治安全、文化安全等領域。由于未匿名的數據可以反向定位到個人，數據控制者可以運用“個人數字身份”技術，針對性地預測并影響個人的意識和行為。眾多個體的意識和行為被操縱后，匯集起的風險將給國家意識形態(tài)、政治選舉等帶來巨大安全威脅。例如，在政治選舉中，境外政治組織可以運用個人數據身份技術分析出境的個人數據，并對個人近期的需求和偏好進行預測，在此基礎上向選民投放高精準、定制化的宣傳材料，利用“信息繭房”效應引導甚至誘導個人作出特定投票。例如，劍橋分析數據公司在分析選民個人數據基礎上，為美國總統(tǒng)大選、英國公投脫歐等事件中的獲勝陣營都提供了信息精準投放策略服務，以干擾和引導投票。同時，在國家意識形態(tài)建設中，境外新媒體平臺可以依據個人數據身份技術分析出境的個人數據身份，運用算法構建針對學生或青年等特定群體暗藏意識形態(tài)的信息推送模型，潛移默化中改變數據出境國公民的意識形態(tài)。關于意識形態(tài)建設，歷史上既有蘇聯(lián)解體的沉痛教訓，近年來又有我國“新疆毒教材”事件的深刻警示③，意識形態(tài)建設對國家安全的影響不可輕視。

當前我國個人數據出境后的具體用途難以預測，數據平臺的控制結構也普遍錯綜復雜。倘若境外政治勢力實際操控的數據平臺利用個人數據及相應技術，實施侵蝕我國公民意識形態(tài)、干涉我國內政等行為，這必將會影響到我國政治、文化、社會等領域的國家安全。

（二）非個人數據出境在國土、軍事、科技領域面臨國家安全風險

非個人數據出境對國家安全的影響，主要體現在國土安全、軍事安全、科技安全等領域。與個人數據相比，非個人數據是無法明確知悉數據來源者身份的數據。為了體現對數據一定程度上流動的鼓勵和促進，法律法規(guī)對不涉及個人隱私的非個人數據管控似乎更為松散。如《網絡安全法》第42條以但書形式，允許個人信息“經過處理無法識別特定個人且不能復原”后，不經過被收集者同意即可流轉。然而，海量非個人數據形成的大數據池，經數據分析技術處理后也能得到有效情報，依然會給國家?guī)砭薮蟀踩[患。

嚴格來說，非個人數據可以分為“來源于個人+匿名化處理”“不來源于個人”兩種形式。前者雖然來源于個人，但經過技術處理，設定權限和密級后形成了不可逆向的匿名數據。后者完全不來源于個人，而是采集于如地理數據、氣象數據等天然存在的數據。當前無論是行政機構或是商業(yè)主體，都能通過自身渠道和技術采集、控制這兩類非個人數據，如財稅金融、醫(yī)療健康、城建住房、地理空間、交通運輸、工業(yè)農業(yè)等數據。這些非個人數據無序出境后，他國可能利用大數據技術對其處理分析，以對我國社會狀況進行精準畫像，并有針對性地開展情報收集和研判等工作，威脅我國國家安全〔2〕。

常見威脅國家安全的非個人數據出境，包括地圖數據、不動產登記數據、生物數據的出境等。在地圖數據方面，高精度地圖是涉及國防安全的基礎資料，國外人員為獲取高精度地圖甚至不惜潛入我國境內從事非法測繪〔3〕。我國《遙感影像公開使用管理規(guī)定（試行）》對分辨率優(yōu)于10米的遙感影像設定了測繪資質要求，以及規(guī)定了公開使用前的安全審查和保密技術處理（如增添偏移量）等程序，世界大多數國家對高精度地圖的監(jiān)管也持謹慎態(tài)度〔4〕。然而，智能汽車企業(yè)采集的道路原始數據，已遠超規(guī)定的分辨率精度，同時還能獲取道路或重要橋梁限高、限寬、坡度等明確規(guī)定不能公開發(fā)布的數據。在不動產登記數據方面，這類數據中包含的大量不動產測繪成果，如土地、房屋的空間分布以及地形、地界等地理數據，完全可以構成國家地理坐標體系，也會潛在威脅我國國土、軍事安全〔5〕。在生物數據方面，生物數據出境也一直受到我國監(jiān)管的重點關注。如2018年10月華大基因在與牛津大學“中國女性單相抑郁癥的大樣本病例對照研究”的國際合作中，未經許可將部分中國人遺傳資源信息傳遞出境，受到了科技部的行政處罰④。生物數據危害國家安全的結果往往是災難性的，如基因武器攻擊、生物疫情傳播、生物品種壟斷等。相對于傳統(tǒng)醫(yī)療企業(yè)，新興科技企業(yè)對我國生物數據的收集、傳輸更加隱蔽，對其監(jiān)管也處于真空地帶，這給我國國家安全帶來的風險不容小覷。

總體而言，個人數據、非個人數據的出境都會給國家安全帶來潛在風險。這些風險散布于我國政治、軍事、經濟、文化等多個領域，對我國國家安全造成重大威脅，也給我國數據出境國家安全治理帶來挑戰(zhàn)。

二、數據出境帶來的國家安全治理新挑戰(zhàn)

（一）數據的科技屬性和流動隱蔽性增加了數據出境國家安全治理的難度

數據作為與勞動、資本等并列的第五大生產要素，其價值必須通過交換才能實現。在數據交換、流動出境時，一國法律的制定進度必然滯后于全球數據科技的發(fā)展速度，如果不能厘清數據技術層面的特性，就更不可能實現有效的數據出境國家安全治理和風險防范。與傳統(tǒng)貨物、服務出境不同，數據出境給國家安全治理帶來的挑戰(zhàn)，主要體現在以下兩方面：

一是數據技術專業(yè)性強，治理難度大。了解數據本身屬性及數據全生命周期管理等具體技術流程，是對數據出境進行國家安全治理的前提。一般而言，當前數據呈現出“數量海量化、種類多樣化、處理快速化、價值密度低”的特點〔6〕。數據產業(yè)中，海量數據來源于數據公開、網絡收集、物聯(lián)網上傳、數據泄露等各種渠道，數據格式由各類結構不同的異構數據組成，數據處理者遍布數據產業(yè)鏈的各個環(huán)節(jié)，眾多數據的價值也各有不同。監(jiān)管者對這些客觀存在的數據流轉、處理等技術流程的熟知程度，決定了相關立法的質量和可執(zhí)行性。數據治理只有結合數據技術特點，才能準確指明治理對象、劃定監(jiān)管范圍、選擇監(jiān)管方式等。

二是數據流動隱蔽性高，難于識別。準確識別數據的不合法出境是數據出境國家安全治理的基礎。數據流通利用是社會運行不可或缺的要素，只是在法律正式確認和規(guī)范之前多以非正式方式存在或以隱蔽的方式進行〔7〕，這些隱蔽的方式包括通過惡意軟件采集、SQL注入獲取數據庫權限、網絡爬蟲抓取等，來獲取他人未授權的數據并流轉使用。全球經濟一體化背景下，眾多境外商業(yè)軟件在我國運營，它們收集的數據是否以隱蔽且未授權的方式流動出境，成為我國數據出境國家安全治理亟需重點關注的問題。

（二）現有監(jiān)管規(guī)則和防范措施不能滿足數據出境國家安全治理的需要

數據出境可分為主動出境與被動出境，兩者對國家安全治理帶來的挑戰(zhàn)是不一樣的。數據主動出境，是指數據控制者明知或應知其實施的行為會產生數據出境效果情形下的數據出境。如果數據控制者主觀上追求數據出境的目的，則為故意的數據主動出境，出境前應當履行數據控制者安全保障義務；如果數據控制者由于疏忽大意或過于自信，應知悉行為將產生數據出境的后果而未意識到，導致了數據出境的結果，則為過失的數據主動出境。換言之，無論數據控制者主觀上為故意或過失，只要認識到或應當認識到該行為將產生數據出境的效果，即為數據的主動出境。數據的被動出境，是指由不能預見、不能避免并不能克服的客觀情況導致的數據出境。例如數據控制者已經嚴格遵守法律法規(guī)并履行了數據安全保障義務，由不能預見或不可抗拒的網絡攻擊、數據爬蟲或技術故障等導致的數據被動出境。

1.監(jiān)管規(guī)則欠缺，不能完全應對數據主動出境的國家安全治理。數據治理要堅持以釋放數據價值為目標，以安全作為底線要求〔8〕4。為保障數據有序流動和價值釋放，我國初步形成了“1+3+N”格局的數據監(jiān)管法律法規(guī)體系，其中“1”是指《國家安全法》，“3”是指《數據安全法》《網絡安全法》《個人信息保護法》，“N”是其他涉及數據安全的法律法規(guī)及立法草案，如《生物安全法》《數據出境安全評估辦法（征求意見稿）》（2021年）及《網絡安全審查辦法》等。我國目前采用“二分法”監(jiān)管數據的主動出境，對于重要數據，如電信、金融、交通、能源等領域的數據，一般需要通過正當程序，經過個人同意、數據安全評估、數據安全審查等流程后，在監(jiān)管許可下出境。但總體來說，我國數據主動出境國家安全治理規(guī)則仍存在以下不足：

（1）數據主動出境規(guī)則的協(xié)調機制欠缺?！稊祿踩ā返?1條及《網絡安全法》第37條都規(guī)定，個人信息及重要數據的出境安全管理辦法，由網信部門會同國務院有關部門制定。在此規(guī)則下，國家網信辦公布了《數據出境安全評估辦法（征求意見稿）》（2021年），其中要求信息出境前需要向所在地省級網信部門申報安全評估。然而，中國人民銀行發(fā)布的《反洗錢法（修訂草案公開征求意見稿）》（2021年），則要求境內金融機構向境外當局提供可能涉及國家安全的信息時，應當事先獲得國務院有關金融監(jiān)督管理機構批準。

這樣，數據主動出境事實上形成了“雙線多頭監(jiān)管”的態(tài)勢。在全國人大及其常委會制定的法律層面未統(tǒng)一數據出境程序，而將具體的數據合法出境規(guī)則制定權下放到省部級單位，難免導致各部門、省市制定的法規(guī)之間存在管轄范圍、執(zhí)法權力、行政程序等方面的重疊、遺漏甚至沖突。這也給市場主體數據出境是否合規(guī)帶來極大不確定性，降低了數據出境安全管理規(guī)則的權威性。盡管交由各行業(yè)主管部門制定法規(guī)能提高規(guī)則的行業(yè)針對性，但在后續(xù)立法完善中仍亟需形成法律層面統(tǒng)一、協(xié)調的數據出境監(jiān)管規(guī)則體系。

（2）數據主動出境規(guī)則的可操作性有限。一方面，數據出境規(guī)則中某些基礎概念不明確。例如，重要數據的概念與數據分類分級保護制度是緊密相連的，只有先明確重要數據的范圍，才能確認數據安全法的保護對象和責任主體，才能落實數據分類分級保護制度。《數據安全法》第21條規(guī)定了“國家建立數據分類分級保護制度”和“加強對重要數據的保護”，且第27條、第30條、第31條、第46條均涉及重要數據，然而，該法中卻并未明確界定“重要數據”涵蓋的范圍，僅僅規(guī)定在國家數據安全工作協(xié)調機制統(tǒng)籌協(xié)調下，由“有關部門制定重要數據目錄”。2017年公布的《個人信息和重要數據出境安全評估辦法（征求意見稿）》第17條將重要數據定義為“與國家安全、經濟發(fā)展，以及社會公共利益密切相關的數據”，也并未能提供確切可執(zhí)行的重要數據劃分標準。2021年公布的《數據出境安全評估辦法（征求意見稿）》甚至直接回避了對重要數據定義的解釋。這使得重要數據的基本概念內涵不明晰，導致各部門、各地區(qū)在實際管理中的標準必然存在差異。

另一方面，數據主動出境的配套規(guī)則不完善。對于數據出境，2017年《網絡安全法》首次確立數據境內儲存原則，2021年的《數據安全法》又增加了數據風險評估報告制度、數據安全審查制度、數據出口管制原則、非經批準禁止向境外當局提供境內數據等規(guī)定。然而，這些制度和規(guī)則均過于原則化，在配套細則尚未完善的情形下，導致實踐中難以操作。例如，《數據安全法》第11條規(guī)定要積極開展數據領域的國際交流合作，但是對于國際規(guī)則、標準與我國法律的協(xié)調、銜接機制并未具體說明。又如，《數據安全法》第18條提出國家支持和促進數據安全檢測評估、認證等服務的發(fā)展，雖然目前已有《數據安全能力成熟度模型》（GB/T 37988-2019）、《數據安全治理能力評估方法》（T/ISC-0011-2021）等多個數據安全檢測評估、認證國家技術標準和團體標準，但是行政法層面并無配套細則出臺，對這些服務主體的業(yè)務資質、從業(yè)人員資格、安全保障義務等具體事項進行規(guī)定。

（3）數據主動出境中企業(yè)責任的承擔形式單一。企業(yè)作為海量數據的控制者，在保障數據安全方面的責任不可小覷?！稊祿踩ā返?條規(guī)定數據處理者負有保護數據安全義務，第28條要求重要數據處理者明確數據安全負責人和管理機構，第29條及第30條為數據處理者分配了數據風險監(jiān)測、評估和上報責任。依據第六章的規(guī)定，若數據處理者不履行義務或違反規(guī)定，主管部門可以對其作出約談、責令整改、給予警告、行政罰款以及停業(yè)整頓、吊銷營業(yè)執(zhí)照等行政處罰，構成犯罪的追究刑事責任。雖然《數據安全法》規(guī)定了企業(yè)的上述責任，但由于數據行業(yè)的特殊性，企業(yè)責任的承擔形式依然有所欠缺。相比之下，同為特殊行業(yè)的金融市場規(guī)則卻更為完備。例如，《證券公司監(jiān)督管理條例》第83條規(guī)定了證券行業(yè)從業(yè)資格制度，證券從業(yè)人員需要考試取得執(zhí)業(yè)資格，對于從業(yè)中有違法違規(guī)情節(jié)嚴重的，可以撤銷任職資格或證券從業(yè)資格等。又如《證券法》第221條設置了證券從業(yè)者市場禁入措施，對于嚴重違反金融法律、法規(guī)的人員，禁止其在一定期限內直至終身不得從事金融業(yè)務，包括擔任金融企業(yè)董事、監(jiān)事、高級管理人員，以及在金融交易市場從事交易等。鑒于數據行業(yè)的特殊治理需求，后續(xù)立法中，數據出境企業(yè)的安全保障責任承擔形式仍有進一步豐富和完善的空間。

2.防范措施不足，無法保障實現數據被動出境的國家安全治理。數據被動出境類似于意外事件⑤?？陀^上數據出境事件的發(fā)生具有偶然性和不可避免性，主觀上行為人不可預見或遭受不可抗拒的強制力。這既包括環(huán)境因素導致的數據被動出境，如數據存儲國的戰(zhàn)爭或軍事行動引起的數據泄露，也包括技術因素導致的數據被動出境，如在數據控制者嚴格履行安全保障義務的前提下，由于技術鴻溝的客觀存在，無法避免境外網絡攻擊情形下的數據被動出境。兩種致因下，雖然數據控制者都應免于法律責任，但產生的危害后果，事實上已造成國家安全的重大風險。因此，數據被動出境風險，也必須納入國家安全治理范圍，尤其是技術差異導致的數據被動出境。

來自境外的網絡攻擊當前在全球范圍內已普遍存在，國家和地區(qū)的數據安全已普遍受到威脅。即使是保持互聯(lián)網技術遙遙領先的美國，也不斷遭受來自境內外的網絡攻擊〔9〕。防范網絡攻擊引起的數據被動出境風險，是維護我國數據主權的具體體現。境外主體借助信息科技優(yōu)勢，通過網絡攻擊方式竊取我國數據，危害我國國家安全，正是對我國數據主權的侵犯?？傮w來說，當前我國數據被動出境防范措施的不足，體現在以下三方面：

（1）缺乏國家層面的境外網絡攻擊監(jiān)控技術平臺。一方面，針對我國重要領域數據的網絡攻擊愈發(fā)頻繁。對于主權國家，一般來說，工業(yè)、電信、交通、金融、教育、科技等涉及國家安全和國民生計領域中的數據較為重要，它們在境外網絡攻擊中也首當其沖。作為我國高新技術企業(yè)代表的華為集團，從2013年平均每月受到五六十萬次網絡攻擊，到2019年每天受到全球約百萬次網絡攻擊⑥?？梢哉f，意在竊取我國科技行業(yè)數據的境外網絡攻擊，不僅頻率驚人，還呈現出愈演愈烈的趨勢。另一方面，我國所依賴的國外信息技術產品可能存在數據被動出境漏洞。我國許多領域使用的軟硬件仍需依賴國外產品，然而這些信息技術產品可能存在陷門，允許境外訪問者通過特定指令，不經過通常的安全檢查訪問過程而進行非授權訪問。例如，在中國幾乎所有重大信息網絡和系統(tǒng)項目建設中均有使用的美國思科（Cisco）路由器產品，經檢測卻顯示其多款主流產品的VPN隧道通訊和加密模塊存在預置式“后門”，攻擊者可還原VPN加密信息內容實現數據監(jiān)測⑦。因此，我國亟需在國家層面建設覆蓋各個領域的數據被動泄露風險監(jiān)測、預警、安全信息共享調度平臺。

（2）多方參與防范數據被動出境的機制欠缺。當前對數據被動出境的防范，主要依靠制定法律法規(guī)來指導行政部門實施監(jiān)管，未能發(fā)揮其他市場主體的主觀能動性。對于網絡攻擊，雖然《國家安全法》《網絡安全法》《數據安全法》等規(guī)定了網絡安全等級保護制度、安全風險監(jiān)測預警機制、數據安全應急處置機制等防范措施，但是專門針對境外網絡攻擊的數據保護規(guī)則有所欠缺。通過梳理，僅有《網絡安全法》第5條和第75條的規(guī)定與境外網絡攻擊直接相關，但也僅僅是原則性地宣示了我國對此類行為擁有保護性管轄權。與此同時，負有數據安全保障義務的數據控制者，作為被境外網絡攻擊的主體，除了向主管部門匯報和發(fā)布白皮書分享自身數據安全保障措施外，并沒有其他明確途徑可以參與防范數據被動出境規(guī)則和技術標準的制定。作為境外網絡攻擊的直接承受者，數據控制者難以主動為防范數據被動出境規(guī)則的完善提供助力。

（3）忽視數據安全人才培養(yǎng)和技術研發(fā)資金投入。建立有效的數據被動出境安全防范體系，需要以大量高素質數據安全人才和數據安全技術成果為支撐。數據安全治理需要計算機科學、管理學、法學、政治學等多學科知識，數據安全人才需要系統(tǒng)、全面的培訓。2021年4月我國“國家安全學”一級學科設立，以培養(yǎng)國家安全與應急管理交叉領域人才，這表明我國數據安全人才的培養(yǎng)才剛剛起步。此外，數據安全技術的研發(fā)和成果的轉化落地，也需要政策和資金上支持，然而目前相關的政策支持嚴重不足。

三、完善數據安全技術治理標準，著力構建國家安全治理體系

（一）完善數據安全技術標準，防治數據出境因技術問題引發(fā)的國家安全風險

如上文所述，數據的科技屬性及流動的隱蔽性，使數據出境及其風險難于識別，加大了國家對數據出境國家安全治理的難度。因此，我國有必要制定和完善有關數據安全的技術標準，以便有效治理數據出境因技術問題而引發(fā)的國家安全風險。

1.推動法定的數據安全標準落地。法定標準是政府標準化組織或政府授權的標準化組織設置的標準。我國由全國信息安全標準化技術委員會（以下簡稱“信標委”）承擔信息安全技術專業(yè)領域內的標準化技術工作。到目前，與數據相關的技術標準中，已發(fā)布的國家標準包括《數據庫管理系統(tǒng)安全評估準則》（GB/T 20009—2019）、《政務信息共享數據安全技術要求》（GB/T 39477—2020）、《健康醫(yī)療數據安全指南》（GB/T 39725—2020）等14項，涉及數據存儲、傳輸、流轉以及數據分類分級、監(jiān)測預警、應急處置等標準，對《數據安全法》等法律法規(guī)中的“推進數據安全標準體系建設”要求作出了回應，也為數據產業(yè)安全發(fā)展提供了明確技術指引。還在研制修訂中的國家標準包括《電信領域大數據安全防護實現指南》《基因識別數據安全要求》《汽車采集數據的安全要求》以及與數據出境國家安全直接相關的《數據出境安全評估指南》等11項，基本上涵蓋了政治、經濟、科技、網絡、生物等領域數據的安全標準。

為了進一步完善數據出境的國家安全治理，一方面，需要盡快推動研制中的數據安全法定標準的修訂和落地，尤其是2017年8月信標委已公布、至今仍未通過的《數據出境安全評估指南（征求意見稿）》，以期為我國數據出境提供明確、具體、可執(zhí)行的數據安全國家標準，更好地維護數據出境中的國家安全。另一方面，鑒于教育數據、生態(tài)數據等領域目前并沒有發(fā)布或在研制中的專項數據安全技術標準，建議將教育、生態(tài)等領域的數據安全技術標準納入專項國家標準制定計劃中，以應對在數據技術發(fā)展日新月異現狀下國家安全外延的快速擴展，防范這些領域數據出境中潛在的國家安全風險。

2.鼓勵企業(yè)發(fā)展事實標準。事實標準是單個企業(yè)或少數企業(yè)聯(lián)盟通過技術許可等方式，不斷擴大自有技術的市場滲透力和影響力而形成的行業(yè)技術標準〔10〕。數據控制者在處理數據業(yè)務時，對于數據安全問題能有更直接、及時、全面的接觸，其在實踐中形成的業(yè)務處理標準，對于完善數據出境國家安全治理有重要參考價值。鼓勵企業(yè)發(fā)展事實標準，既是對《數據安全法》第17條“國家支持企業(yè)、社會團體和教育、科研機構等參與標準制定”要求的落實，也是增強法律法規(guī)可執(zhí)行性和實現立法民主化的必然要求。例如，2017年12月騰訊發(fā)布的《騰訊云數據安全白皮書》，從數據保護原則、保護職責劃分、保障技術措施等方面論述了對數據安全的保障，并著重介紹了數盾一站式數據安全解決方案、KMS加密技術、“六把鑰匙”鑒權體系等數據安全保障技術。又如2021年5月中國互聯(lián)網協(xié)會組織編寫并發(fā)布的《數據安全治理能力評估方法》團體標準，綜合企業(yè)貫標實踐經驗，提出數據安全治理能力評估框架，促進了全行業(yè)積極提升數據安全治理能力的良好氛圍。無論是企業(yè)標準還是團體標準，經過市場檢驗認可后，就形成了數據安全的事實標準，都在一定程度上推動了數據安全的發(fā)展。

對于數據出境國家安全來說，需要盡快發(fā)展的事實標準有兩個。一是明確異構數據處理標準，在非結構化數據的增長速度遠超結構化數據〔11〕的現狀下，只有能從海量異構數據中分辨出涉及國家安全的重要數據，才能實現將數據安全要求嵌入對異構數據的處理流程中，防范重要數據夾帶出境，給國家安全帶來潛在風險。二是完善企業(yè)的數據泄露防護標準，明確數據控制者的內部技術手段，防止特定數據以違反安全策略規(guī)定的形式流出，以應對愈演愈烈的境外網絡攻擊導致的數據被動出境國家安全風險。

（二）完善數據主動出境的國家安全治理體系

完善有關數據主動出境的國家安全治理規(guī)則，是維護國家安全、促進數據有序開發(fā)利用和實現數據價值釋放的保障。雖然目前我國基本形成了以《國家安全法》《網絡安全法》《數據安全法》《個人信息保護法》為統(tǒng)領的“1+3+N”數據法律體系，但是，如上文所述，針對數據主動出境中的國家安全治理，仍存在規(guī)則協(xié)調機制欠缺、規(guī)則可操作性有限、企業(yè)責任承擔形式單一等問題。為保障數據主動出境中的國家安全，我國后續(xù)立法中仍需針對這些方面進行調整或完善，具體來說：

1.建立協(xié)調統(tǒng)一的數據出境國家安全治理監(jiān)管機構與監(jiān)管規(guī)則體系。《數據安全法》第31條及《網絡安全法》第37條確立的數據出境“雙線多頭監(jiān)管”格局，雖然賦予各行業(yè)領域主管部門更多的規(guī)則制定權，有利于各行業(yè)結合自身特點制定規(guī)則，但是同時也給整個數據領域的統(tǒng)一規(guī)范帶來困境。如前文提及的金融數據出境存在的監(jiān)管競爭問題，數據控制者既要依據《數據出境安全評估辦法（征求意見稿）》要求向所在地省級網信辦申報安全評估，又要依據《反洗錢法（修訂草案公開征求意見稿）》要求向國務院有關金融監(jiān)督管理機構申請批準。然而這兩類管理機構的數據安全評估標準并不完全一致，如《反洗錢法（修訂草案公開征求意見稿）》僅在第49條第2款中規(guī)定了國務院有關金融監(jiān)督管理機構擁有決定涉及“國家主權、安全和利益等”的金融數據能否出境的審批權，但并沒有具體、公開的審批標準。而《數據出境安全評估辦法（征求意見稿）》中的數據出境審核標準則明確很多，如明確規(guī)定了重點評估事項、提交材料、評估機構、評估結果有效期等。因此，在國家立法層面，仍需要統(tǒng)一協(xié)調數據出境安全審查的頂層設計，以避免監(jiān)管競爭及監(jiān)管套利。

調整當前雙線多頭監(jiān)管的格局，應當加強國家層面的統(tǒng)籌立法，避免不同部門、不同地區(qū)因標準不同導致的數據出境安全監(jiān)管混亂。在《數據安全法》后續(xù)修訂中，可以在第31條“其他數據處理者在中華人民共和國境內運營中收集和產生的重要數據的出境安全管理辦法，由國家網信部門會同國務院有關部門制定”之后，增加“由中央國家安全領導機構及其授權的機構予以確定后實施”的規(guī)定，將部門規(guī)章、地方性規(guī)范文件的審核、確認權賦予國家安全委員會統(tǒng)一行使，以保障各部門、各地區(qū)制定的數據出境規(guī)則協(xié)調統(tǒng)一。同時，對《數據安全法》及其他法律法規(guī)中的相關條款進行同步修訂，以在國家層面統(tǒng)籌協(xié)調部門、地區(qū)差異導致的監(jiān)管規(guī)則沖突及遺漏。

2.細化數據出境規(guī)則，增強數據主動出境國家安全治理規(guī)則的可操作性。一是明確重要數據的概念。清晰界定重要數據的內涵與外延是落實數據分級分類保護原則的關鍵，也是監(jiān)管數據主動出境以維護國家安全的前提。雖然《數據安全法》《個人信息和重要數據出境安全評估辦法（征求意見稿）》及《數據出境安全評估辦法（征求意見稿）》中均未能明確重要數據的范圍，但是也有個別立法草案中涉及了重要數據的定義，如2019年網信辦公布的《數據安全管理辦法（征求意見稿）》中將重要數據定義為“一旦泄露可能直接影響國家安全、經濟安全、社會穩(wěn)定、公共健康和安全的數據，如未公開的政府信息，大面積人口、基因健康、地理、礦產資源等”，以及2017年信標委公布的《信息安全技術數據出境安全評估指南（征求意見稿）》之附錄A《重要數據識別指南》列舉了27個行業(yè)的重要數據標準。為了便利監(jiān)管，立法中應當以法律的形式明確重要數據的范圍。在后續(xù)完善立法時，不妨采用“解釋+列舉”的形式對重要數據進行定義，并指定《重要數據識別指南》為各部門、各地區(qū)確定重要數據具體范圍的依據。此外，《重要數據識別指南》中的重要數據范圍，也應因數據技術發(fā)展和社會環(huán)境變化等，及時由對應行業(yè)主管部門參與刪減和修訂，以保障法律的時效性和實效性。

二是盡快出臺《數據安全法》等法律法規(guī)中原則、制度、機制的配套實施細則。在國內配套制度方面，要及時頒布行政許可細則并明確從業(yè)資質、主體責任、安全保障義務等，以落實“國家支持和促進數據安全檢測評估、認證”等服務的要求；同時，要進一步完善包括數據出口管制原則、數據出境風險評估報告制度等其他國內數據管理配套細則。在與國際規(guī)則銜接方面，需要制定協(xié)調國內與國際數據技術標準、安全管理規(guī)則的配套細則，明確國內協(xié)調機構的職責及權限，授權協(xié)調機構代表國家參與國際數據規(guī)則的研討和制定，以落實“積極開展數據領域的國際交流合作”的原則。

3.加強數據控制者數據出境國家安全保障責任。數據控制者的數據出境國家安全保障責任，可以劃分為內部、外部兩個層面，內部責任為數據控制者在處理數據出境業(yè)務時應盡的自我管理責任，外部責任為法律法規(guī)及技術標準等對數據出境處理者的明確要求。外部安全保障責任往往是針對同一行業(yè)整體的規(guī)范和要求，是數據控制者安全保障責任的最低標準，而內部安全保障責任則可以結合自身具體業(yè)務靈活調整，是數據控制者為了獲取競爭優(yōu)勢主動設立的標準。對于數據控制者內部安全保障責任的落實，除了在立法中普遍被關注的安全管理水平或技術流程控制，數據控制者治理結構的影響常常被忽視。所謂數據控制者的治理結構，是指將數據安全保障義務全面融合于數據控制者職能部門的權力分配與運行之中〔12〕。恰當的治理結構可以將外部責任有效嵌入數據控制者的內部管理、技術流程等業(yè)務處理過程中，而非成為數據控制者運營中的累贅。因此，立法中除了關注數據控制者的管理水平和技術流程，也應適當引導和鼓勵數據控制者建立妥當的治理結構，將數據出境國家安全保障責任合理分配到適合的部門。

此外，需要進一步完善數據控制者外部安全保障責任。除了現有的行政處罰和刑事處罰責任外，可以增加數據控制者的責任，具體來說：一是建立數據企業(yè)信用檔案制度，對于在數據出境中造成重大國家安全危害或風險的數據控制者，將責任單位和人員的不良行為記入企業(yè)信用檔案并向社會公布，在企業(yè)后續(xù)商業(yè)貸款、政府補貼中不予批準。二是設立數據從業(yè)人員資格認證制度。數據控制者的特定職務必須由擁有從業(yè)資格的員工擔任，并且數量符合要求，如工信部已于2021年10月18日發(fā)布了《大數據從業(yè)人員能力要求》（SJ/T 11788-2021）。三是增加市場禁入措施。對于嚴重違反數據出境法律法規(guī)的人員，禁止其在一定期限內直至終身不得從事數據出境業(yè)務，包括擔任數據出境企業(yè)董事、監(jiān)事、高級管理人員或從事數據交易等，以及撤銷任職資格或數據從業(yè)資格等。

（三）構建數據被動出境的國家安全治理體系

大國數據競爭背景下的數據被動出境問題頻發(fā)，數據已成為各國重要的情報來源，開展應對網絡攻擊的主動防御，在當下具有重要戰(zhàn)略意義和現實意義。不同于受到網絡攻擊后才采取安全措施的被動防御，主動防御能夠在入侵行為造成嚴重后果前，提前預警，掌握防御主動權，以避免、轉移或降低數據控制者面臨的安全風險。這也是貫徹落實數據安全風險評估、報告、信息共享、監(jiān)測預警機制以及數據安全應急處置機制要求的具體表現。針對我國重要數據成為境外網絡攻擊主要目標、依賴國外存在數據出境漏洞信息技術產品、數據被動出境防范措施不足且被動的現狀，實現數據被動出境的主動防御可以有效防范、減少我國國家安全風險。具體來說，構建主動防御體系需要：

1.建立境外網絡攻擊監(jiān)控調度平臺。若要實現對境外網絡攻擊的主動防御，防范境內數據的被動出境風險，建立系統(tǒng)實時的國家級網絡攻擊和數據安全監(jiān)測平臺必不可少。平臺的建設可以實現三個安全治理目標：一是統(tǒng)一管理監(jiān)測重要數據。在情報領域，如欲最大限度發(fā)揮大數據優(yōu)勢，對數據的整合利用是關鍵〔13〕。將各領域重要數據匯集于同一個高安全級別系統(tǒng)中進行整合管理，既可以更有效地實現數據共享、協(xié)同合作和安全防范，又可以從全方位對數據網絡攻擊進行監(jiān)測和分析，優(yōu)化情報流程，為數據安全預警、應急處置提供充足的信息。二是準確快速判斷網絡攻擊風險。通過預設數據出境安全威脅庫、網絡漏洞庫、防御策略庫等網絡安全知識數據庫，結合人工智能、大數據等信息技術平臺可以實現海量數據快速處理、多源異構數據高效關聯(lián)處理、動態(tài)數據實時在線處理〔14〕，從而精準快速地識別網絡爬蟲、撞庫、SQL注入獲取數據庫權限等網絡攻擊，為啟動防御措施爭取時間。三是提供數據安全預警及安全決策參考。平臺監(jiān)測到國家數據安全威脅信息并作出判斷后，可以及時發(fā)布預警信息，其他相關數據安全部門、數據控制者等能夠及時采取安全補救措施，同時數據安全主管部門也能作出更科學準確的防御決策。

2.形成政府與私營部門協(xié)同防御體系。私營部門與國家是命運共同體、利益共同體，國家安全是私營部門長期穩(wěn)定發(fā)展的基礎。數據出境流動中政府與私營部門合作，已是各國常態(tài)。相對于僅由政府進行數據出境規(guī)則制定和數據出境國家安全監(jiān)測，私營部門作為規(guī)則承受者和數據業(yè)務直接參與者，既可以深刻體會到規(guī)則層面的缺漏和不足，又能夠更及時地察覺實踐層面網絡攻擊等數據被動出境風險。私營部門參與數據出境安全規(guī)則制定和安全風險監(jiān)測，對于推動數據出境國家安全治理意義重大。我國有必要形成“以政府為主導，以私營部門為輔助”的數據被動出境協(xié)同防御體系，實現政府與私營部門的數據出境國家安全聯(lián)動監(jiān)管。

具體來說，要實現協(xié)同防御，可以這些方面為政策導向。一是要強化數據泄露出境的溯源能力。私營部門在提供數據服務過程中獲取了眾多可能涉及國家安全的數據資源，又往往是海量數據的匯集點和泄露源，因此，可以適當借鑒美國“受控非密信息”的數據標識制度，以電子標注方式實現數據泄露后的可溯源性〔15〕，確保數據安全的可管可控。二是要鼓勵私營部門數據安全威脅信息共享。我國數據安全監(jiān)測仍停留在單主體監(jiān)控層面，應當以法律法規(guī)為導向，鼓勵私營部門參與到數據出境國家安全監(jiān)測預警中。美國2015年通過的《網絡安全信息共享法案》規(guī)定，企業(yè)自愿共享網絡安全威脅信息的，可以豁免受司法追究該共享行為，這值得我國參考借鑒。

3.加強數據安全人才培養(yǎng)與財政支持力度。實現我國的數據被動出境主動防御，需要進一步完善數據安全人才培養(yǎng)制度和配套財政資金支持政策。一方面，數據出境國家安全需要數據安全專業(yè)人才提供技術支持，我國應當及時落地相應的數據安全人才培養(yǎng)政策，推進數據安全人才培訓機構建設，積極培養(yǎng)多種層次、復合知識背景的數據安全專業(yè)人才，為我國主動應對數據出境國家安全風險儲備高技術人才梯隊。為保障數據安全培訓的有效性，可以參照美國肯塔基州的做法，將培訓考核結果和從業(yè)人員的數據訪問權限掛鉤〔16〕。另一方面，配套財政資金支持政策適當向數據安全領域傾斜，形成從數據安全基礎防護設施建設、數據安全科技研發(fā)、數據安全人才創(chuàng)業(yè)到數據安全成果獎勵及保護等多領域、全面性的財政政策支持，促使我國在數據出境國家安全領域有更多成果，以保障我國數字經濟能更快、更好、更持續(xù)地健康發(fā)展。

注釋：

①參見2021年10月29日發(fā)布的《數據出境安全評估辦法（征求意見稿）》第二條規(guī)定：數據處理者向境外提供在中華人民共和國境內運營中收集和產生的重要數據和依法應當進行安全評估的個人信息，應當按照本辦法的規(guī)定進行安全評估。

②對于數據權益保護，目前法律學界形成了兩種差異較大的思路。一類是不將數據獨立視作財產，而是以維護數據的控制為基礎對數據權益進行保護；另一類提出要設立數據新型財產權，對數據進行復雜的財產權設計。兩種思路的論證，參見梅夏英：《企業(yè)數據權益原論：從財產到控制》，《中外法學》2021年第5期；龍衛(wèi)球：《再論企業(yè)數據保護的財產權化路徑》，《東方法學》2018年第3期。

③參見中國新聞網：《教育部：新疆“毒教材”造成極為嚴重影響教訓極其深刻》，http：//www.chinanews.com/gn/2021/ 04-20/9459176.shtml。

④參見中華人民共和國科學技術部：《行政處罰決定書國科罰〔2015〕2號》，https：//fuwu.most.gov.cn/html/rlycxzcf/ 20150907/123123231.html。

⑤當前也有學者以“個人控制論”為基礎，提出了以信息是否經由“權利人”主動性流出為標準，劃分為有意識的故意流出、無意識的過失流出、被侵權流出以及無侵權的授權流出四種分類。然而，如前文所述，對于數據的權屬目前學術界和實踐領域并未形成共識，甚至存在較大爭議。在這種情形下，以數據權屬歸于個人作為大前提，來討論數據出境安全問題，難免導致研究的結論建議與我國現有法律法規(guī)體系難以銜接，無法實踐。而以主動出境與被動出境來區(qū)分，則主動出境下的數據控制者故意或過失責任，可以納入我國現有數據出境法律規(guī)則進行監(jiān)管；意外事件導致的被動出境，在明確數據控制者已完全履行責任并不可控制、不可預見損害結果的情況下，則可以避免對數據控制者進行“一刀切”式的處理和懲罰。

⑥參見騰訊科技網：《周良軍：華為每個月受到五六十萬次網絡攻擊》，https：//tech.qq.com/a/20130711/012139.htm；IT之家網：《華為高管：我們每天受到全球約100萬次網絡攻擊》，https：//www.ithome.com/0/451/519.htm。

⑦參見新華網：《美國思科路由器預置“后門”意欲何為》，http：//www.xinhuanet.com/world/2014-05/26/c_11108670 64.htm。

參考文獻：

〔1〕European Commission. Free Flow of Non-personal Dat〔EB/OL〕.https：//digital-strategy.ec.europa.eu/en/policies/nonpersonal-data.

〔2〕馬其家，李曉楠.論我國數據跨境流動監(jiān)管規(guī)則的構建〔J〕.法治研究，2021（01）：91-101.

〔3〕張鳳.地理空間情報與國防安全：從非法測繪談起〔J〕.國防，2015（08）：78-79.

〔4〕賈宗仁.自動駕駛汽車里的地圖〔J〕.中國測繪，2019（04）：27-31.

〔5〕王偉英，朱蘭蘭.不動產登記檔案信息安全風險探析〔J〕.檔案管理，2020（03）：57-58.

〔6〕董克，邱均平.論大數據環(huán)境對情報學發(fā)展的影響〔J〕.情報學報，2017（09）：886-893.

〔7〕高富平.數據流通理論數據資源權利配置的基礎〔J〕.中外法學，2019（06）：1405-1424.

〔8〕梅宏.數據治理之論〔M〕.北京：中國人民大學出版社，2020.

〔9〕盛祥，宋凱.大數據時代美國網絡空間戰(zhàn)略體系研究〔J〕.信息資源管理學報，2019（02）：46-57.

〔10〕鄭倫幸.技術標準與專利權融合的制度挑戰(zhàn)及應對〔J〕.科技進步與對策，2018（12）：139-144.

〔11〕王秉，朱媛媛.大數據環(huán)境下國家生物安全情報工作體系構建〔J〕.情報雜志，2021（06）：82-88+155.

〔12〕張敏，馬民虎.國家安全視域下網絡服務提供者之網絡安全義務的“保障”轉型〔J〕.情報雜志，2020（06）：45-53.

〔13〕吳承義，唐笑虹.大數據時代國家安全情報面臨的變革與挑戰(zhàn)〔J〕.情報雜志，2020（06）：1-6.

〔14〕賈焰，方濱興，李愛平，等.基于人工智能的網絡空間安全防御戰(zhàn)略研究〔J〕.中國工程科學，2021（03）：98-105.

〔15〕周亞超，左曉棟.美國受控非密信息分類與安全控制解析〔J〕.網絡空間安全，2020（03）：12-17.

〔16〕王正青，但金鳳.如何構建教育數據治理體系：美國肯塔基州的成功經驗〔J〕.現代遠程教育研究，2021（01）：77-86.

責任編輯楊在平