莊嘉

近年來，危害數(shù)據(jù)安全的案件屢屢發(fā)生，但涉事主體的法律責(zé)任卻難以得到全面追究和落地執(zhí)行。在數(shù)據(jù)安全引起各方廣泛關(guān)注的背景下，《數(shù)據(jù)安全法（草案）》（以下簡(jiǎn)稱“《草案》”）應(yīng)運(yùn)而生。筆者認(rèn)為，該草案填實(shí)了涉及數(shù)據(jù)違法犯罪的追責(zé)漏洞，緊密銜接了行政處分、行政處罰與刑事處罰的追責(zé)鎖鏈！

明確數(shù)據(jù)泄露罰則，填實(shí)網(wǎng)絡(luò)安全立法盲區(qū)

目前，我國(guó)規(guī)制數(shù)據(jù)安全的法律主要有《刑法》和《網(wǎng)絡(luò)安全法》兩部。一方面，《刑法》中涉及數(shù)據(jù)安全的罪名主要有三個(gè)，分別是“侵犯公民個(gè)人信息罪”（第253條）、“非法侵入計(jì)算機(jī)信息系統(tǒng)罪”（第285條）以及“破壞計(jì)算機(jī)信息系統(tǒng)罪”（第286條），重點(diǎn)在于打擊懲治個(gè)人信息的買賣與交易。另一方面，《網(wǎng)絡(luò)安全法》對(duì)網(wǎng)絡(luò)數(shù)據(jù)以及數(shù)據(jù)涉及的主要環(huán)節(jié)作出了界定，由第59條規(guī)定了網(wǎng)絡(luò)運(yùn)營(yíng)者不履行網(wǎng)絡(luò)安全保護(hù)義務(wù)的罰則，并由第42條、第45條明令禁止數(shù)據(jù)泄露行為，但未明確規(guī)定數(shù)據(jù)泄露的法律責(zé)任。

這為數(shù)據(jù)安全事件的高發(fā)埋下了隱患，超范圍采集數(shù)據(jù)、超授權(quán)存儲(chǔ)數(shù)據(jù)、數(shù)據(jù)泄露、越權(quán)收集數(shù)據(jù)、數(shù)據(jù)售賣等違規(guī)違法濫用數(shù)據(jù)的行為屢見不鮮。（見圖1）在這些重大事件中，由于《刑法》《網(wǎng)絡(luò)安全法》均未對(duì)數(shù)據(jù)泄露作出明示規(guī)定，涉事企業(yè)之責(zé)便因法之不明確而難以追究，因此鮮見對(duì)數(shù)據(jù)收集方、存儲(chǔ)方之嚴(yán)懲。正如上海交通大學(xué)數(shù)據(jù)法律研究中心執(zhí)行主任何淵所言，“監(jiān)管機(jī)構(gòu)對(duì)數(shù)據(jù)泄露沒有追究企業(yè)責(zé)任的法律依據(jù)，這個(gè)問題亟須解決”。

數(shù)據(jù)安全正式立法之后，執(zhí)法機(jī)關(guān)對(duì)數(shù)據(jù)泄露擔(dān)責(zé)的企業(yè)處罰便有法可依。相較于《網(wǎng)絡(luò)安全法》第59條的規(guī)定，《草案》第42條明示了“造成大量數(shù)據(jù)泄露，處10萬元以上100萬元以下罰款”的法律責(zé)任。此舉雖然在處罰幅度上未有大的變化，但是更加明確和突出了數(shù)據(jù)泄露的法律責(zé)任，監(jiān)管機(jī)構(gòu)的執(zhí)法效果將更具針對(duì)性。今后，涉及數(shù)據(jù)管理的企業(yè)將不得不進(jìn)一步提升自身的數(shù)據(jù)安全管控能力，否則一旦發(fā)生數(shù)據(jù)泄露就要面臨明確的處罰。

當(dāng)然，值得關(guān)注的是，類似數(shù)據(jù)泄露的處罰事件中，英國(guó)航空公司僅泄露幾百萬數(shù)據(jù)就被歐盟罰款2億美元。相較于《草案》規(guī)定的100萬元罰款的上限規(guī)定，筆者建議借鑒我國(guó)《消費(fèi)者權(quán)益保護(hù)法》第55條規(guī)定的“3倍賠償條款”以及《食品安全法》第96條規(guī)定的“10倍賠償條款”，對(duì)數(shù)據(jù)泄露行為造成的直接經(jīng)濟(jì)損失設(shè)置一套損失評(píng)估和倍數(shù)賠償制度，以進(jìn)一步加大對(duì)數(shù)據(jù)泄露企業(yè)的罰則力度！

切斷數(shù)據(jù)非法交易之橋梁，規(guī)制數(shù)據(jù)交易之中介機(jī)構(gòu)

在辦案實(shí)踐中，數(shù)據(jù)安全中極易發(fā)生的問題便是“數(shù)據(jù)的非法交易”。從公安執(zhí)法角度而言，在日常檢查層面網(wǎng)安部門主要依據(jù)《網(wǎng)絡(luò)安全法》《公安機(jī)關(guān)互聯(lián)網(wǎng)安全監(jiān)督檢查規(guī)定》來發(fā)現(xiàn)違法事實(shí)與追查犯罪線索。如圖1所示，在數(shù)據(jù)售賣事件中，中介機(jī)構(gòu)往往會(huì)成為數(shù)據(jù)非法交易的媒介和橋梁。此類情況多見于電信、郵政、計(jì)生、保險(xiǎn)、物流、酒店、銀行、快遞、鐵路、航空、互聯(lián)網(wǎng)金融等集中收集和存儲(chǔ)數(shù)據(jù)的行業(yè)。

數(shù)據(jù)安全正式立法之前，無論是《刑法》還是《網(wǎng)絡(luò)安全法》，都沒有明確規(guī)定對(duì)數(shù)據(jù)交易的中介機(jī)構(gòu)進(jìn)行處罰。因此，如果中介機(jī)構(gòu)未達(dá)刑事追責(zé)標(biāo)準(zhǔn)，無法被認(rèn)定為共犯，那么對(duì)數(shù)據(jù)交易的中介機(jī)構(gòu)在行政處罰層面就難以追究。比如，在江蘇南通、如東兩級(jí)公安機(jī)關(guān)破獲的特大“暗網(wǎng)”侵犯?jìng)€(gè)人信息案中，公安機(jī)關(guān)共計(jì)抓獲犯罪嫌疑人27名，查獲被售賣的信息數(shù)據(jù)5000萬余條，執(zhí)法成效可謂顯著。然而，據(jù)犯罪嫌疑人王某的供述，其通過多種途徑收集大量商家信息和數(shù)據(jù)，并非法購買了包括期貨、外匯投資人等公民的信息數(shù)據(jù)。之后，王某等人就在“暗網(wǎng)”交易平臺(tái)上進(jìn)行兜售。其中，很可能存在數(shù)據(jù)交易的中介機(jī)構(gòu)進(jìn)行居間搭橋。若中介機(jī)構(gòu)的行為不夠刑事追責(zé)條件，根據(jù)現(xiàn)行法律法規(guī)的規(guī)定，對(duì)其追究法律責(zé)任或許存在依據(jù)真空地帶。

鑒于此，《草案》第43條明確了數(shù)據(jù)交易的中介機(jī)構(gòu)的罰則，令中介機(jī)構(gòu)在數(shù)據(jù)交易中的掮客作用進(jìn)一步弱化，有機(jī)銜接了《網(wǎng)絡(luò)安全法》第64條的規(guī)定，提高了數(shù)據(jù)非法交易的違法成本，擴(kuò)大了數(shù)據(jù)非法交易的涉及面，更加有利于打擊團(tuán)伙犯罪。

嚴(yán)懲數(shù)據(jù)內(nèi)鬼，堵住違法犯罪源頭

根據(jù)公安部對(duì)外披露的數(shù)據(jù)，截至2020年4月，在“凈網(wǎng)2018”“凈網(wǎng)2019”“凈網(wǎng)2020”專項(xiàng)行動(dòng)中，全國(guó)公安機(jī)關(guān)共偵破侵犯公民個(gè)人信息案件1.7萬余起，抓獲各行業(yè)“內(nèi)鬼”3000余名。其中不乏員工監(jiān)守自盜甚至是與國(guó)家工作人員進(jìn)行內(nèi)外勾結(jié)的行為。一言以蔽之，“內(nèi)鬼”堪稱數(shù)據(jù)安全隱患的源頭！

如前文所述，我國(guó)對(duì)于公民個(gè)人信息、計(jì)算機(jī)信息系統(tǒng)的非法獲取、非法提供、非法出售進(jìn)行了刑法規(guī)制。同時(shí)，若數(shù)據(jù)安全涉及國(guó)家秘密，對(duì)于泄露國(guó)家秘密的行為，《刑法》設(shè)置了故意泄露國(guó)家秘密罪、過失泄露國(guó)家秘密罪等進(jìn)行規(guī)制。比如，根據(jù)中國(guó)裁判文書網(wǎng)披露，在何某某受賄、貪污、故意泄露國(guó)家秘密罪一審刑事判決書中，何某某身為國(guó)家工作人員，違反《保守國(guó)家秘密法》的規(guī)定，明知是保密工程文件資料，故意向他人泄露機(jī)密級(jí)國(guó)家秘密兩件，情節(jié)嚴(yán)重，構(gòu)成故意泄露國(guó)家秘密罪。

然而，針對(duì)違規(guī)違法事件動(dòng)輒適用刑事打擊能夠解決一時(shí)之痛，卻絕非長(zhǎng)久之策！一方面，在數(shù)據(jù)賦能引領(lǐng)城市治理的背景下，越來越多的數(shù)據(jù)將通過國(guó)家機(jī)關(guān)進(jìn)行生產(chǎn)、使用、共享。因此，部分省市已經(jīng)專門對(duì)公共數(shù)據(jù)進(jìn)行了地方性立法規(guī)制，在刑事追責(zé)程序啟動(dòng)之前專門設(shè)置了行政處罰的門檻，比如《上海市公共數(shù)據(jù)和一網(wǎng)通辦管理辦法》（滬府令9號(hào)）。另一方面，從預(yù)防違法犯罪的角度，國(guó)家公職人員生產(chǎn)數(shù)據(jù)、傳輸數(shù)據(jù)、處理數(shù)據(jù)的情況將日益成為常態(tài)，如何從源頭上阻滯與阻止數(shù)據(jù)被非法利用是當(dāng)前的一項(xiàng)重大課題。根據(jù)《華西都市報(bào)》報(bào)道，在成都衛(wèi)生系統(tǒng)“內(nèi)鬼”泄密事件中，外部人員勾結(jié)的就是衛(wèi)生系統(tǒng)中有職務(wù)便利的國(guó)家工作人員。其多次將成都市新生嬰兒信息及預(yù)產(chǎn)信息導(dǎo)出后，通過線下交易方式，將信息出售。另據(jù)云南省人民檢察院通報(bào)，其在2019年10月告破的“8·11”公安部督辦特大侵犯公民個(gè)人信息案中，國(guó)家機(jī)關(guān)工作人員與通信公司經(jīng)理、街道計(jì)生人員等互相勾結(jié)，做起了盜取販賣公民個(gè)人信息的行當(dāng)，涉案信息達(dá)到2000萬余條，涉案金額高達(dá)400萬余元。此案中，源頭也是國(guó)家機(jī)關(guān)工作人員！

雖然目前多數(shù)涉密材料均通過涉密設(shè)備或者內(nèi)部書面機(jī)要進(jìn)行傳輸，但是隨著大數(shù)據(jù)應(yīng)用和數(shù)據(jù)共享的進(jìn)一步深化，今后以數(shù)據(jù)形式處理涉密材料將步入常態(tài)。顯然，立法機(jī)關(guān)已經(jīng)注意到了相關(guān)問題，前瞻性地通過法條形式進(jìn)行規(guī)制，比如《草案》第45條規(guī)定了“國(guó)家機(jī)關(guān)”不履行數(shù)據(jù)安全保護(hù)義務(wù)的法律責(zé)任，第46條規(guī)定了“國(guó)家工作人員”不履責(zé)的法律責(zé)任。相較于《網(wǎng)絡(luò)安全法》第72條規(guī)定的“國(guó)家機(jī)關(guān)政務(wù)網(wǎng)絡(luò)的運(yùn)營(yíng)者”的行政處分、第73條規(guī)定的“網(wǎng)信部門和有關(guān)部門”的行政處分，《草案》第45條、第46條提檔升級(jí)了處罰措施，違法成本將大大提升。

在數(shù)據(jù)立法之后，在國(guó)家機(jī)關(guān)和公職人員涉及的數(shù)據(jù)安全領(lǐng)域，我國(guó)將形成《網(wǎng)絡(luò)安全法》的“行政處分”、《數(shù)據(jù)安全法》的“行政處罰”以及《刑法》的“刑事處罰”的三級(jí)法律責(zé)任體系，更加擰緊了政務(wù)數(shù)據(jù)的安全閥門，并有望進(jìn)一步遏制公職人員違規(guī)違法濫用內(nèi)部數(shù)據(jù)！

習(xí)近平總書記高度重視網(wǎng)絡(luò)安全問題，著重提出，“沒有網(wǎng)絡(luò)安全就沒有國(guó)家安全”。數(shù)據(jù)安全作為網(wǎng)絡(luò)安全的重要組成部分，理應(yīng)受到格外重視和法制保障。此次數(shù)據(jù)安全的立法再次為數(shù)據(jù)企業(yè)和監(jiān)管部門敲響警鐘，以法為屏倒逼多方協(xié)作形成合力、建立數(shù)據(jù)安全的疊加保護(hù)管理制度。箭已在弦上！

編輯：黃靈? yeshzhwu@foxmail.com