韓旭至

（華東政法大學(xué)法律學(xué)院 上海 200042）

2020 年第十三屆全國(guó)人大常委會(huì)第二十次會(huì)議對(duì)《中華人民共和國(guó)數(shù)據(jù)安全法（草案）》（以下簡(jiǎn)稱《數(shù)據(jù)安全法（草案）》）進(jìn)行了審議，隨后公開(kāi)發(fā)布了《數(shù)據(jù)安全法（草案）》及《關(guān)于＜中華人民共和國(guó)數(shù)據(jù)安全法（草案）>的說(shuō)明》（以下簡(jiǎn)稱《草案說(shuō)明》）全文，公開(kāi)征求意見(jiàn)。目前來(lái)看，《數(shù)據(jù)安全法（草案）》在基本定位、體例結(jié)構(gòu)、基本范疇、管理模式、制度設(shè)計(jì)等方面均存在一定爭(zhēng)議。

一、以國(guó)家安全為基本定位

目前，《數(shù)據(jù)安全法（草案）》存在定位不清、目標(biāo)過(guò)多的問(wèn)題?！恫莅刚f(shuō)明》指出，維護(hù)國(guó)家安全、維護(hù)公民和組織的合法權(quán)益、引領(lǐng)和支撐數(shù)字經(jīng)濟(jì)、發(fā)展電子政務(wù)均是《數(shù)據(jù)安全法（草案）》的目標(biāo)。然而，如此多元的目標(biāo)恐怕難以在數(shù)據(jù)安全立法中實(shí)現(xiàn)?！稊?shù)據(jù)安全法》雖然是我國(guó)數(shù)據(jù)領(lǐng)域的第一部單行立法，但難以充當(dāng)數(shù)據(jù)領(lǐng)域的基本法角色，而應(yīng)回歸到維護(hù)國(guó)家安全的基本定位。實(shí)際上《數(shù)據(jù)安全法（草案）》諸多條文均圍繞國(guó)家安全進(jìn)行展開(kāi)，如第一條“維護(hù)國(guó)家主權(quán)、安全和發(fā)展利益”、第四條“總體國(guó)家安全觀”、第六條“中央國(guó)家安全領(lǐng)導(dǎo)機(jī)構(gòu)負(fù)責(zé)數(shù)據(jù)安全工作的決策和統(tǒng)籌協(xié)調(diào)”等。

雖然，有學(xué)者認(rèn)為國(guó)家安全立法存在復(fù)合目標(biāo)是由于安全的定位已“從‘單一安全’轉(zhuǎn)向‘總體安全’”[1]。但習(xí)近平同志所提出的“總體安全觀”，并不能簡(jiǎn)單等于以國(guó)家安全立法輻射社會(huì)生活的各個(gè)領(lǐng)域?！稊?shù)據(jù)安全法（草案）》中的“總體國(guó)家安全觀”所強(qiáng)調(diào)的應(yīng)是在數(shù)據(jù)利用、數(shù)據(jù)處理、數(shù)據(jù)流通的各個(gè)環(huán)節(jié)都關(guān)注國(guó)家安全問(wèn)題，國(guó)家數(shù)據(jù)安全、企業(yè)數(shù)據(jù)安全、個(gè)人數(shù)據(jù)安全等相關(guān)領(lǐng)域的數(shù)據(jù)安全均應(yīng)回到國(guó)家安全之中。

二、妥善處理與相關(guān)法律的關(guān)系

《數(shù)據(jù)安全法（草案）》應(yīng)與既有的相關(guān)數(shù)據(jù)制度及將來(lái)的數(shù)據(jù)立法相銜接。本質(zhì)上，“數(shù)據(jù)安全”和“網(wǎng)絡(luò)安全”應(yīng)共屬“國(guó)家安全”的下位概念，因此《數(shù)據(jù)安全法（草案）》應(yīng)與《網(wǎng)絡(luò)安全法》《網(wǎng)絡(luò)安全審查辦法》的相關(guān)規(guī)范形成有機(jī)聯(lián)動(dòng)。以重要數(shù)據(jù)保護(hù)為例，《數(shù)據(jù)安全法（草案）》關(guān)于重要數(shù)據(jù)的規(guī)范未能能夠回應(yīng)《網(wǎng)絡(luò)安全法》第21 條、第37 條關(guān)于重要數(shù)據(jù)的安全等級(jí)保護(hù)與境內(nèi)儲(chǔ)存原則的規(guī)范。

此外，如前所述，《數(shù)據(jù)安全法》以國(guó)家安全為定位，《數(shù)據(jù)安全法（草案）》無(wú)法涵蓋數(shù)據(jù)權(quán)利、數(shù)據(jù)流通、個(gè)人信息保護(hù)的基本規(guī)則，這些規(guī)則均必須通過(guò)已列入立法計(jì)劃的《個(gè)人信息保護(hù)法》與相關(guān)數(shù)據(jù)立法予以明確。就個(gè)人信息保護(hù)而言，《數(shù)據(jù)安全法（草案）》第二十九條進(jìn)行了相應(yīng)規(guī)范。此處似乎延續(xù)了從《網(wǎng)絡(luò)安全法》第41 條到《民法典》第1035 條“正當(dāng)、合法、必要”的個(gè)人信息原則。然而，這一原則由于過(guò)于籠統(tǒng)，已廣受批評(píng)。而《數(shù)據(jù)安全法（草案）》第二十九條還將之進(jìn)行了拆分，無(wú)法有效對(duì)接相應(yīng)個(gè)人信息保護(hù)規(guī)范。

就數(shù)據(jù)權(quán)利與數(shù)據(jù)流通而言，雖然《數(shù)據(jù)安全法（草案）》第十七條規(guī)定了“國(guó)家建立健全數(shù)據(jù)交易管理制度，規(guī)范數(shù)據(jù)交易行為,培育數(shù)據(jù)交易市場(chǎng)?！比欢?，必須清晰認(rèn)識(shí)到，《數(shù)據(jù)安全法（草案）》并未承認(rèn)數(shù)據(jù)權(quán)利，基于其定位也無(wú)法實(shí)現(xiàn)數(shù)據(jù)確權(quán)的任務(wù)。雖然《數(shù)據(jù)安全法（草案）》第三十條嘗試首次在法律層面規(guī)定“數(shù)據(jù)交易”與“數(shù)據(jù)交易中介服務(wù)”，但是相關(guān)交易也可以表現(xiàn)為數(shù)據(jù)服務(wù)合同關(guān)系，并不能直接等于承認(rèn)背后的數(shù)據(jù)權(quán)利。同時(shí)，《數(shù)據(jù)安全法（草案）》第三十條對(duì)數(shù)據(jù)交易中介服務(wù)的相關(guān)要求，是一項(xiàng)形式審查的要求，對(duì)應(yīng)有第四十三條的罰則。這一規(guī)定只是數(shù)據(jù)交易合法的要件之一，不能直接等同于數(shù)據(jù)交易合法，更遠(yuǎn)未能解決數(shù)據(jù)交易問(wèn)題。相關(guān)問(wèn)題應(yīng)留待另行立法解決[2]。

三、厘清《數(shù)據(jù)安全法（草案）》的基本范疇

《數(shù)據(jù)安全法（草案）》第三條對(duì)該法的基本范疇進(jìn)行的規(guī)范。首先，第三條第一款認(rèn)為，“數(shù)據(jù)是任何以電子或者非電子形式對(duì)信息的記錄”。值得肯定的是，該款嘗試在法律意義上對(duì)數(shù)據(jù)與信息進(jìn)行區(qū)分。這一定義基本上與國(guó)際標(biāo)準(zhǔn)化組織的定義相符，即承認(rèn)數(shù)據(jù)與信息是形式與內(nèi)容的區(qū)別[3]。然而，需要辨析的是，該款對(duì)《網(wǎng)絡(luò)安全法》第76 條第4 款“網(wǎng)絡(luò)數(shù)據(jù)”的概念進(jìn)行了擴(kuò)張，增加了“非電子形式”的數(shù)據(jù)類型。這既不符合對(duì)數(shù)據(jù)的一般理解，也不符合國(guó)際立法潮流，將形成疊床架屋的效果。非電子形式的數(shù)據(jù)安全問(wèn)題已由《檔案法》《國(guó)家安全法》解決。事實(shí)上，《數(shù)據(jù)安全法（草案）》的絕大多數(shù)內(nèi)容也只能對(duì)應(yīng)電子數(shù)據(jù)。如“網(wǎng)信部門(mén)的管理”（第七條）、“數(shù)據(jù)開(kāi)發(fā)利用”（第十四條）等規(guī)定均是建立在電子數(shù)據(jù)基礎(chǔ)之上的。

其次，《數(shù)據(jù)安全法（草案）》第三條第二款對(duì)數(shù)據(jù)活動(dòng)進(jìn)行了規(guī)定。其列舉了多種數(shù)據(jù)活動(dòng)表現(xiàn)形式。其中，提供與交易可能存在一定的重復(fù)，“數(shù)據(jù)活動(dòng)”能否等同與“數(shù)據(jù)處理”亦不清楚。域外立法中，“數(shù)據(jù)處理”的術(shù)語(yǔ)被大量使用，《民法典》也使用了“處理個(gè)人信息”的術(shù)語(yǔ)。對(duì)此，建議以數(shù)據(jù)處理為對(duì)象進(jìn)行規(guī)定。

最后，《數(shù)據(jù)安全法（草案）》缺乏“重要數(shù)據(jù)”的定義。重要數(shù)據(jù)是數(shù)據(jù)安全的核心概念，《數(shù)據(jù)安全法（草案）》第十九條、第二十五條、第二十八條均涉及重要數(shù)據(jù)的規(guī)范。其中，第十九條規(guī)定了重要數(shù)據(jù)目錄制度。雖然，在這一制度下可建立重要數(shù)據(jù)的動(dòng)態(tài)識(shí)別機(jī)制，但缺乏相關(guān)規(guī)范定義仍會(huì)使得重要數(shù)據(jù)邊界判斷失去基準(zhǔn)。當(dāng)前，《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法》（征求意見(jiàn)稿）和《數(shù)據(jù)出境安全評(píng)估指南（草案）》均將重要數(shù)據(jù)定義為，與國(guó)家安全、經(jīng)濟(jì)發(fā)展，以及社會(huì)公共利益密切相關(guān)的數(shù)據(jù)?！稊?shù)據(jù)安全法（草案）》應(yīng)吸收這一定義。

四、以數(shù)據(jù)主權(quán)構(gòu)建域外效力

《數(shù)據(jù)安全法（草案）》第二條在屬地管轄外確立了數(shù)據(jù)安全的保護(hù)管轄?！恫莅刚f(shuō)明》指出，“草案賦予本法必要的域外適用效力”。與《網(wǎng)絡(luò)安全法》相比，《數(shù)據(jù)安全法（草案）》第二條刪除了《網(wǎng)絡(luò)安全法》第75 條之中的“造成嚴(yán)重后果”的要件，擴(kuò)大了域外效力的適用范圍。但是，這一規(guī)定顯然不能等同于歐盟《通用數(shù)據(jù)保護(hù)條例》的域外效力。其并不是以屬人管轄為出發(fā)的域外效力，而是以數(shù)據(jù)主權(quán)為出發(fā)的保護(hù)性管轄規(guī)范。

《數(shù)據(jù)安全法（草案）》第三十二條與第三十三條均可展現(xiàn)以數(shù)據(jù)主權(quán)構(gòu)建域外效力的內(nèi)容。有學(xué)者建議，應(yīng)對(duì)第三十二條進(jìn)行修改，作為中國(guó)執(zhí)法機(jī)構(gòu)調(diào)取境外數(shù)據(jù)的法律依據(jù)；同時(shí)對(duì)第三十三條進(jìn)行修改，在設(shè)置動(dòng)態(tài)的“適格外國(guó)政府白名單”的同時(shí)實(shí)現(xiàn)“長(zhǎng)臂管轄”[4]。筆者認(rèn)為，在保護(hù)國(guó)家安全的層面上，以數(shù)據(jù)主權(quán)構(gòu)建域外效力實(shí)有必要，應(yīng)進(jìn)一步研究、完善相關(guān)條款。

五、科學(xué)配置相關(guān)管理主體

《數(shù)據(jù)安全法（草案）》第七條規(guī)定，“各地區(qū)、各部門(mén)對(duì)本地區(qū)、本部門(mén)工作中產(chǎn)生、匯總、加工的數(shù)據(jù)及數(shù)據(jù)安全負(fù)主體責(zé)任?！笔紫?，主體責(zé)任并非法律術(shù)語(yǔ)，相關(guān)政策性術(shù)語(yǔ)必須去除。其次，各地區(qū)、各部門(mén)分別管理，甚至分別“確定本地區(qū)、本部門(mén)、本行業(yè)重要數(shù)據(jù)保護(hù)目錄”（第十九條）不甚合理。特定部門(mén)對(duì)于較為專業(yè)的數(shù)據(jù)有更深的了解，按部門(mén)確定重要數(shù)據(jù)目錄或許具有一定的合理性，但按地區(qū)確定重要數(shù)據(jù)目錄極為不合理。各地區(qū)各自確定重要數(shù)據(jù)、各自進(jìn)行數(shù)據(jù)安全管理，必然會(huì)在境內(nèi)產(chǎn)生數(shù)據(jù)流動(dòng)、數(shù)據(jù)保護(hù)差異的障礙。

歸根結(jié)底，數(shù)據(jù)安全的管理主體必須突破傳統(tǒng)的屬地原則或條塊分割原則，否則將在縱向和橫向的管轄維度上形成內(nèi)在沖突。雖然第七條第四款規(guī)定，“國(guó)家網(wǎng)信部門(mén)依照本法和有關(guān)法律、行政法規(guī)的規(guī)定,負(fù)責(zé)統(tǒng)籌協(xié)調(diào)網(wǎng)絡(luò)數(shù)據(jù)安全和相關(guān)監(jiān)管工作”；然而其實(shí)際必會(huì)與該條第二款、第三款中規(guī)定的公安機(jī)關(guān)、國(guó)家安全機(jī)關(guān)、各地區(qū)各部門(mén)形成多頭監(jiān)管，最終導(dǎo)致難以統(tǒng)籌協(xié)調(diào)。建議突出國(guó)家網(wǎng)信辦的作為管理主體的地位，或新設(shè)專門(mén)的數(shù)據(jù)安全管理機(jī)構(gòu)。

六、進(jìn)一步細(xì)化各項(xiàng)具體制度

《數(shù)據(jù)安全法（草案）》中大量的原則性條款，被認(rèn)為是“立法政策化的表現(xiàn)”[5]。例如，第二十一條“數(shù)據(jù)安全應(yīng)急管理機(jī)制”的規(guī)定，并不具實(shí)質(zhì)作用，卻可能引發(fā)國(guó)際負(fù)面輿論；第二十二條未經(jīng)充分論證和細(xì)化規(guī)定，規(guī)定了建立“數(shù)據(jù)安全審查制度”，且相關(guān)安全審查決定為最終決定，與現(xiàn)代法治原則存在沖突；第二十七條關(guān)于“數(shù)據(jù)風(fēng)險(xiǎn)檢測(cè)”的補(bǔ)救措施、告知和報(bào)告義務(wù)的規(guī)定，實(shí)操性顯然不足。

對(duì)此，《數(shù)據(jù)安全法（草案）》的進(jìn)一步完善必須將這些原則性、政策性、宣示性的條款予以具體化。例如，部分學(xué)者建議第二十一條應(yīng)對(duì)相關(guān)責(zé)任主體予以明確，分階段建立數(shù)據(jù)安全應(yīng)急管理機(jī)制，強(qiáng)調(diào)預(yù)防和準(zhǔn)備階段、簡(jiǎn)化響應(yīng)階段、著重于恢復(fù)階段；第二十二條應(yīng)對(duì)安全審查制度的具體模式、審查機(jī)關(guān)、啟動(dòng)條件、審查內(nèi)容、法律責(zé)任進(jìn)行規(guī)定，并明確安全審查制度與數(shù)據(jù)安全責(zé)任的關(guān)系；第二十七條應(yīng)增加，補(bǔ)救措施的具體內(nèi)容，觸發(fā)數(shù)據(jù)泄露通知的條件，告知用戶和主管部門(mén)的時(shí)限、內(nèi)容、形式等規(guī)定[4]。筆者贊同此類具體化條款內(nèi)容的建議。