本 文 3673 字 阅读 约 需 11 分钟
2021年 6月 10日 《 数据 安全 法 》 正式 通过 ， 并 将 于 同 年 9月 1日 正式 施行 。 我 国 数据 安全 法治 框架 的 帷幕 即将 拉开 ， 数据 安全 法治 进程 正式 挂挡 上路 。
可以 预期 ， 在 《 数据 安全 法 》 的 大 框架 下 ， 更 多 规范 与 法规 等 配套 实施 细则 将 陆续 颁布 。
1
《 数据 安全 法 》 的 法律 体系
《 数据 安全 法 》 的 立法 是 总体 国家 安全观 的 重要 组成 部分 ， 旨在 保护 数据 这 一 新型 生产 要素 的 安全 。
《 数据 安全 法 》 与 《 网络 安全 法 》 关系 尤其 密切 ， 二者 相辅相成 ， 分别 从 数据 与 安全 的 角度 为 机构 设定 了 大量 的 合 规 要求 。
值得 关注 的 是 ， 对 个人 信息 这 一 特殊 类型 数据 的 保护 ， 不仅 是 安全 的 需要 ， 也 与 人格权 保护 的 角度 息息相关 ， 即 机构 需要 考虑 用户 个人 行使 访问 、 修改 、 删除 等 权利 时 ， 如何 进行 协助 。
下面 将 《 网络 安全 法 》 与 《 数据 安全 法 》 两 部 法律 的 合 规 框架 进行 了 简单 梳理 ， 帮助 机构 更 全面 地 理解 自己 的 合 规 义务 ：
除了 与 《 网络 安全 法 》 关系 密切 ， 《 数据 安全 法 》 还 预留 了 大量 接口 与 其他 法律 相 衔接 ， 如 《 刑法 》 、 《 保守 国家 秘密 法 》 、 《 出口 管制 法 》 、 《 档案 法 》 等 ， 都 会 在 不同 情况 下 予以 交叉 。
2
《 数据 安全 法 》 的 管辖 范围
在 《 数据 安全 法 》 中 ， 管辖 覆盖 了 境内 与 境外 两 个 层面 ：
范围
管辖 内容
境 内
境外
相较 于 《 网络 安全 法 》 ， 《 数据 安全 法 》 在 境外 管辖 上 实现 了 突破 。
《 数据 安全 法 》 不 会 仅 在 中国 境内 具有 效力 ， 部分 境外 的 数据 处理 行为 同样 可以 依据 《 数据 安全 法 》 进行 规制 。
比如 境内 组织 或 个人 开展 跨境 电信 诈骗 、 网络 赌博 活动 中 在 境外 生成 的 数据 ， 就 可能 会 依据 《 数据 安全 法 》 第35 条 要求 有关 机构 配合 调取 境外 的 数据 。
但 这 可能 会 需要 《 数据 安全 法 》 承担 美国 CLOUD 法案 （ 《 澄清 境外 合法 使用 数据法 》 ） 的 相关 职责 ， 未来 少 不 了 在 国际 间 的 运用 。
在 《 网络 安全 法 》 的 未来 修订 中 ， 管辖 问题 也 可能 仿照 《 数据 安全 法 》 ， 将 危害 中国 国家 安全 、 公共 利益 或者 公民 、 组织 合法 权益 的 境外 网络 活动 列入 管辖 范围 。
3
《 数据 安全 法 》 中 的 数据 及 相关 概念
《 数据 安全 法 》 中 的 “ 数据 ” ， 不仅 包括 电子 形式 ， 也 包括 以 其他 方式 记录 的 信息 。 即 无论 是 电子 形式 ， 或是 纸质 形式 的 数据 都 需要 受到 《 数据 安全 法 》 的 管辖 ， 范围 相当 宽泛 。
此外 ， “ 重要 数据 ” 自 《 网络 安全 法 》 以来 备受 关注 ， 关于 重要 数据 定义 、 范围 、 目录 的 讨论 从未 间断 。 此 次 《 数据 安全 法 》 仍 未 明确 重要 数据 的 概念 ， 仅 明确 重要 数据 的 目录 将 由 国家 数据 安全 工作 协调 机制 统筹 协调 ， 并 由 各 地区 、 各 部门 应当 按照 数据 分类 分级 保护 制度 ， 确定 本 地区 、 本 部门 以及 相关 行业 、 领域 的 重要 数据 具体 目录 。
预期 ， 随着 《 数据 安全 法 》 的 实施 ， 各 部门 、 各 地区 的 重要 数据 目录 也 会 加速 制定 。
“ 核心 数据 ” 是 《 数据 安全 法 》 三 审 中 新 增 的 内容 ， 在 此前 的 两 次 审议 中 均 未 出现 。 《 数据 安全 法 》 将 “ 关系 国家 安全 、 国民 经济 命脉 、 重要 民生 、 重大 公共 利益 等 数据 ” 列为 国家 核心 数据 。
目前 尚 不 清楚 核心 数据 与 重要 数据 会 是 何 种 关系 ， 是 核心 数据 是 重要 数据 中 的 特殊 类别 ， 或是 重要 数据 是 除 核心 数据 以外 、 需要 重点 保护 的 数据 。 可能 在 后续 法规 中 会 逐渐 予以 明确 。
4
《 数据 安全 法 》 与 生产 要素
在 2020 年 4 月 中共 中央 与 国务院 发布 的 《 关于 构建 更加 完善 的 要素 市场化 配置 体制 机制 的 意见 》 中 ， 明确 提出 通过 推进 政府 数据 开放 共享 、 提升 社会 数据 资源 价值 、 加强 数据 资源 整合 和 安全 保护 加快 培育 数据 要素 市场 ， 并 引导 培育 大数据 交易 市场 ， 依法 合 规 开展 数据 交易 ， 建立 健全 数据 产权 交易 和 行业 自律 机制 。
在 2021年 生效 的 《 民法典 》 中 ， 未 对 数据 权益 的 保护 有 更 多 关注 ， 仅 规定 “ 法律 对 数据 、 网络 虚拟 财产 的 保护 有 规定 的 ， 依照 其 规定 。 ” （ 第 127 条 ） 这样 的 规定 连 原则性 的 保护 都 算 不 上 ， 只是 提供 了 未来 立法 衔接 开放性 的 接口 。
《 数据 安全 法 》 首次 以 法律 的 形式 明确 了 对 数据 权益 的 保护 ， 第7 条 规定 ： “ 国家 保护 个人 、 组织 与 数据 有关 的 权益 ， 鼓励 数据 依法 合理 有效 利用 ， 保障 数据 依法 有序 自由 流动 ， 促进 以 数据 为 关键 要素 的 数字 经济 发展 。 ”
《 数据 安全 法 》 在 第33 条 中 关于 数据 交易 的 要求 ， 对 数据 权益 的 规则 进行 细化 ： “ 从事 数据 交易 中介 服务 的 机构 提供 服务 ， 应当 要求 数据 提供 方 说明 数据 来源 ， 审核 交易 双方 的 身份 ， 并 留存 审核 、 交易 记录 。 ”
《 数据 安全 法 》 主要 关注 的 是 安全 问题 ， 而 非 权益 问题 ， 但 仍然 会 成为 未来 数据 权益 保护 的 重要 法律 依据 。
数据 权益 保护 的 基本 规则 目前 仍然 主要 通过 司法 案例 进行 提炼 ， 判断 数据 权益 的 边界 。 大量 关于 网络 爬虫 、 API 、 账号 共享 的 司法 案例 将 会 逐渐 “ 凝固 ” 为 确定 的 规则 ， 并 在 未来 立法 工作 中 予以 体现 。 而 这 也 是 法律 工作 中 会 越来越 多 介入 数据 安全 工作 的 原因 之 一 。
5
《 数据 安全 法 》 中 的 合 规 义务
从 法律 的 角度 ， 没有 救济 就 没有 权利 ， 没有 责任 就 没有 义务 。 因此 《 数据 安全 法 》 第 六 章 法律 责任 中 配备 有 罚则 的 义务 也 可以 被 看作 合 规 的 重点 ， 主要 涉及 ：
合规 项
合规 内容
法律 责任
数据 安全 管理 制度
风险 监测 与 安全 事件 响应
重要 数据 保护
核心 数据 保护
数据 出境
数据 交易 中介
数据 调取
境外 执法 机构 配合
6
向 境外 司法 、 执法 机构 提供 数据 的 限制
关于 禁止 向 境外 提供 数据 的 规定 ， 虽然 在 此前 《 国际 刑事 司法 协助 法 》 等 法律 中 也 有 规定 ， 但 缺少 对 法律 责任 的 设定 ， 这 也 就 意味 着 违反 了 也 很 难 有 什么 直接 的 法律 后果 。 《 数据 安全法 》 中 设定 的 最 高 500万 元 罚款 让 该 法律 义务 具有 了 “ 獠牙 ” ， 威慑力 显著 提升 。
数据 出境 的 相关 规定 主要 是 从 数据 类型 的 角度 对 数据 的 跨境 传输 进行 了 限制 。 不 得 向 境 外 执法 机构 提供 数据 主要 是 从 用途 的 角度 对 数据 跨境 进行 了 限制 。 “ 非 经 中华 人民 共和国 主管 机关 批准 ， 境内 的 组织 、 个人 不 得 向 外国 司法 或者 执法 机构 提供 存储 于 中华 人民 共和国 境内 的 数据 。 ”
从 该 法条 的 表述 来 看 ， 仅 关注 境内 的 组织 、 个人 ， 以及 存储 于 境内 的 数据 ， 如果 是 存储 于 境外 的 数据 或 境外 的 组织 和 个人 ， 则 不 在 管辖 范围 之内 。
换言之 ， 如果 境内 机构 自 收集 伊始 就 将 数据 存储 在 中国 境外 ， 或是 境外 机构 所 控制 的 境内 数据 ， 向 境外 提供 也 无妨 。 《 数据 安全法 》 第36 条 无疑 会 推动 部分 跨国 企业 将 没有 本地化 留存 义务 的 数据 直接 存储 在 中国 境外 ， 以 规避 第36 条 的 义务 。
该 法条 的 另 一 个 问题 是 如何 界定 境外 执法 机构 ， 司法 机构 相对 清晰 ， 就 是 各 国 的 法院 ， 而 执法 机构 每 个 地区 都 千差万别 。 比如 当地 的 税务 部门 是否 算是 执法 机构 、 因为 仲裁 能否 向 海外 仲裁 机构 提供 数据 ， 此 类 问题 现 阶段 可能 都 没有 答案 ， 有赖于 与 主管 机关 的 沟通 与 交流 。
7
数据 安全 法律 框架 的 后续
《 数据 安全法 》 的 条文 很多 是 原则性 的 规定 ， 但 仍 通过 提纲挈领 的 方式 ， 描绘 了 未来 一 段 时间 数据 安全 领域 细化 规则 与 执法 重点 的 路线图 ： 从 核心 数据 的 提出 ， 到 境外 执法 的 阻却 ， 从 跨境 责任 到 数据 权益 ， 均 是 会 一一 细化 的 内容 。
在 2021年 5月 的 国家 网信办 征求 意见 的 《 汽车 数据 安全 管理 若干 规定 （ 征求 意见 稿 ） 》 就 是 未来 各 行业 与 领域 数据 安全 立法 的 一 种 可能 的 尝试 ： 细化 重要 数据 目录 、 明确 报告 内容 、 对 跨境 提出 更为 清晰 的 要求 。
对于 中外 跨国 企业 来说 ， 数据 安全 已 不 再 是 关系 自身 信息 安全 的 “ 小事 ” ， 而 是 会 直接 关系 到 国家 安全 与 国家 间 的 对抗 。 当 各 国 执法 部门 给出 相左 的 意见 ， 网络 与 数据库 的 架构 、 对 不同 国家 （ 地区 ） 政府 命令 的 遵从 与 挑战 都 会 造成 深远 的 影响 ， 进而 塑造 国际 间 的 数据 规则 。
关于 作者
史宇航 ， 法学 博士 ， 虎符 智库 专家 ， 注册 信息 安全 专业 人员 （ CISP ） ， 注册 信息 隐私 管理 人员 （ CIPM ） 。
