关于《中华人民共和国数据安全法》相关浅析

作者：张雨晨 潘威 | 2021.06.17

2020年7月2日，《中华人民共和国数据安全法（草案）》（以下简称“《草案一》”）发布，2021年4月29日，《中华人民共和国数据安全法（草案二次审议稿）》（下称“《草案二》”）发布。2021年6月10日，在《草案一》《草案二》的基础上，第十三届全国人民代表大会常务委员会第二十九次会议通过《中华人民共和国数据安全法》（以下称“《数据安全法》”或“本法”），全文七章共五十五条，自2021年9月1日起施行。

本文结合《数据安全法》章节结构，从立法目的及适用范围、数据安全与发展的要点、数据安全相关制度、数据安全保护义务、政务数据安全与开放要点五个主要方面对本法进行浅析。

一立法目的及适用范围

（一）立法目的

随着数字经济的不断发展，数据安全的保护逐渐成为经济发展的重中之重。《数据安全法》是我国首部即将实施的数据领域基础性法律，旨在规范数据处理活动，保障数据安全，促进数据开发利用，保护个人、组织的合法权益，维护国家主权、安全和发展利益。

（二）适用范围

《数据安全法》关于适用范围的规定分为境内、境外两个方面。从境内适用的角度看，在我国境内开展的数据处理活动及其安全监管，适用本法；从境外适用的角度看，在我国境外开展数据处理活动，损害我国国家安全、公共利益或者公民、组织合法权益的，依照本法规定追究法律责任。

（三）数据的法律概念

《数据安全法》出台前，我国法律法规关于“数据”的法律概念并无全面性的规定。2017年6月施行的《网络安全法》虽然明确了“网络数据”的概念，规定通过网络收集、存储、传输、处理和产生的各种电子数据均属于网络数据，但鉴于《网络安全法》的立法目的着眼于网络安全，对于非电子相关的数据概念并无涉及。

本法的出台，是我国法律法规首次全面明确“数据”的法律概念。根据本法第三条规定，数据指任何以电子或者其他方式对信息的记录。即数据实质上指信息记录的表现形式，除了《网络安全法》规定的网络数据概念外，非电子方式记录的信息，也纳入本法规定的“数据”的概念中。同时，本法对“数据处理”及“数据安全”均作出规定，其中“数据处理”包括数据的收集、存储、使用、加工、传输、提供、公开等。“数据安全”，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。

值得一提的是，根据2021年4月29日发布的《个人信息保护法（草案二次审议稿）征求意见》中关于“个人信息”以及“个人信息处理”规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息，个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。这也与《数据安全法》中关于“数据”以及“数据处理”的规定相吻合。

二数据安全与发展的原则及要求

在数字经济飞速发展的时代下，如何在数据的开放利用和数据的安全保护之间寻求一个平衡点是实现数据行业发展与合法权益保护兼得的关键。为了实现数据安全与发展之间的平衡，本法第十三条确立了“国家统筹发展和安全”的原则，即坚持以数据开发利用和产业发展促进数据安全，以数据安全保障数据开发利用和产业发展。

基于该项发展原则，本法第十四条就数据安全与发展作出战略要求：即国家实施大数据战略，推进数据基础设施建设，鼓励和支持数据在各行业、各领域的创新应用。其中，省级以上人民政府应当将数字经济发展纳入本级国民经济和社会发展规划，并根据需要制定数字经济发展规划。

同时，为保证上述原则及战略要求的实现，本法第十五条至第二十条分别对数据在公共服务智能化的应用、开发和研究、标准化体系建设、评估与认证服务、数据交易、人才培养等方面提出要求：

三数据安全制度

为规范数据活动，保障数据安全，针对数据处理过程中的各项步骤，本法第三章提出建立数据安全制度，具体包括以下几种制度：

（一）数据分类分级保护制度

为保护数据安全，根据数据在经济社会发展中的重要程度以及数据遭到篡改、破坏、泄露或者非法获取、非法利用后对国家安全、公共利益或者个人、组织合法权益可能造成的危害程度，我国实行数据分类分级保护制度。根据本法第二十一条规定，数据分级及数据分类的标准如下：

1、针对数据分级保护：我国数据根据重要级别分为国家核心数据和部门/地方重要数据，其中国家核心数据指关系国家安全、国民经济命脉、重要民生、重大公共利益等数据，该等数据实行更加严格的管理制度；部门/地方级重要数据指各地区、各部门对应地区、部门以及相关行业、领域的重要数据。

2、针对数据分类保护：国家数据安全工作协调机制统筹协调有关部门制定重要数据目录；各地区、各部门应当按照该目录确定本地区、本部门以及相关行业、领域的重要数据具体目录。

鉴于国家核心数据关系国家主权、安全和发展利益，本法第四十五条第二款对违反国家核心数据管理制度，危害国家主权、安全和发展利益的法律责任作出明确规定，即由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。

（二）数据安全风险预警制度

为了保护数据安全、防范数据安全风险，我国实行数据安全风险预警机制。根据本法第二十二条规定，数据安全风险预警机制应当包括数据安全风险评估、报告、信息共享、监测预警等方面，为保证该制度的集中统一、高效权威，该项制度由国家建立；有关部门应当在国家数据安全工作协调机制统筹协调下，加强数据安全风险信息的获取、分析、研判、预警工作。

（三）数据安全应急处置制度

面对数据处理活动中潜在的安全风险，为避免发生数据安全风险时的危害进一步扩大，消除安全隐患，国家建立数据安全应急处置机制。本法第二十三条规定，发生数据安全事件时，有关主管部门应当根据数据安全应急处置机制启动应急预案，采取相应的应急处置措施，并及时向社会发布与公众有关的警示信息，避免上述危害情形的发生。

（四）数据安全审查制度

为避免数据处理活动中发生影响或者可能影响国家安全的事件，本法第二十四条规定，国家建立数据安全审查制度，依照该机制作出的安全审查决定为最终决定。

（五）出口管制制度

鉴于当前我国错综复杂的外部环境，对于维护国家安全和利益、履行国际义务相关的属于管制物项的数据，国家建立数据出口管制制度，根据本法第二十五条规定，上述属于管制物项的数据应当依照该制度实施出口管制。

（六）对等反制制度

随着中美贸易战的加剧，面对愈演愈烈的外交局势，为了保护我国在数据和数据开发利用技术等有关的投资、贸易，本法第二十六条规定，我国可以根据实际情况对在上述数据处理活动过程中采取歧视性的禁止、限制或者其他类似措施的任何国家或者地区采取对等反制措施。

综合来看，以数据分类分级保护制度为基础，通过制定相应的风险预警、应急处置、审查、出口管制、反制制度，实质上系对数据处理全流程的规范，从而实现保护数据安全的目的。鉴于目前《数据安全法》尚未正式实施，相关配套制度尚未落地，数据处理活动主体应当密切关注相关规定更新动态，及时将各项要求纳入到日常数据风险治理工作中，以更好地适应新法颁布所带来的行业变化。

四数据安全保护义务

除前述制度要求外，为了规范数据活动，保障数据安全，《数据安全法》对开展数据处理活动主体的数据安全保护义务及违反该等义务的法律责任进行了明确规定，具体情况如下：

参照上述规定，开展数据处理活动的主体应当结合自身情况，提高风险意识，对数据合规风险进行梳理，避免发生违反安全保护义务的情形。

五政务数据安全与开放要点

随着数字时代的来临，电子政务发展是政府工作的重心之一。本法第三十七条规定，国家大力推进电子政务建设，提高政务数据的科学性、准确性、时效性，提升运用数据服务经济社会发展的能力。基于该项要求，政府应通过开放政务数据更好的履行政府职责。但受制于中美贸易战等影响，我国目前所处的外交环境较为复杂，因此，政务数据开放的同时保护政务数据的安全也是政府在数据处理活动中的重要义务，针对政务数据的安全保护义务以及政务数据的合理公开，本法第三十八条至第四十二条作出了如下规定：

六小结

随着近年来《网络安全法》、《数据安全法》的陆续出台，以及《个人信息保护法（草案）》的征求意见，信息化时代下相关配套法规正在逐步完善细化，《数据安全法》作为我国首部数据安全领域的基础性法律，虽然通过数据安全与发展、数据安全制度、数据安全保护义务以及政务数据安全与开放等各章节对数据处理活动提出了规范性要求，但本法作为纲领性法规，其相关配套制度及具体实施细则尚需进一步完善。因此，在本法正式实施前这一过渡期内，数据活动从业者应当参照本法规定，强化数据活动合规意识，梳理自身合规风险，关注行业规则动态，以更好地适应新法颁布所带来的行业变化。