专注金融科技与创新

专注金融科技与创新
专栏国内资讯

数字经济大潮来临:数据安全凛冬中的数据安全法

本文共3327字,预计阅读时间119

在寒冷的冬日,回首2018年的全球数据安全大势,一种“凛冬已至”的感觉油然而生。从年初Facebook 8700万名用户数据被不法用于政治目的,到年底万豪酒店喜达屋系统中高达5亿个人数据被窃,从年初旨在跨境调取数据的美国《海外数据使用权明确法》(Clarifying Lawful Overseas Use of Data Act),到年中以长臂管辖为特色的欧盟《一般数据保护条例》,数据的安全风险和政治挑战层出不穷。恰恰在此背景下,中国在2018年纳入立法计划的《数据安全法》才有了别样意义。在此《数据安全法》起草的重要关口,我们不妨借箸代筹,就其定位、宗旨、立场等核心议题略做构想。

“大数据安全法”还是“小数据安全法”?

《数据安全法》的体系定位是立法的前提性问题。从调整对象和立法目的观察,《数据安全法》可以采取两条不同的进路:

一是“大数据安全法”的定位,即将数据全体,尤其是“大数据”作为调整对象,以数据生命周期为线索,就数据存储、访问、验证、保护和使用建立一系列程序、标准、角色,明确政府、企业、个人相应的职责、义务、权利,实现对数据安全的全方位规定。

二是“小数据安全法”的定位,即仅将“与国家安全、经济发展,以及社会公共利益密切相关的关键(重要)数据”作为调整对象,聚焦于“关键(重要)数据”的风险预防和管理。显然,这一思路与国家顶层设计更为契合。如果立足于《数据安全法》的上位法《国家安全法》,那么毫无疑问,如何管控危害国家安全和社会公众安全的数据风险,才是《数据安全法》的职责所在。同时,将调整范围限制在“关键(重要)数据”上,不但可以降低立法工作难度,有利于与《网络安全法》和未来的《个人信息保护法》等法律衔接,而且有丰富的域外经验可资借鉴,有利于国际交流和相互理解。

在“小数据安全法”的架构下,如何界定“关键(重要)数据”是立法的难点问题。现有《个人信息和重要数据出境安全评估办法》(征求意见稿)《信息安全技术 数据出境安全评估指南》(草案)对“关键(重要)数据”重在性质上认定,将可能危害国家安全、国防利益、国际关系、国家经济秩序和金融安全、国家财产、个人合法权益、国家政治、国土、军事、经济、文化、社会、科技、信息、生态、资源、核设施安全的数据均囊括其中。这固然纤悉无遗,但却有失操作性和明确性,给政府执法和企业守法造成困难。对此,美国“受控非秘信息”(Controlled Unclassified Information)制度提供了他山之石。其通过严密的登记制度,详细列出了农业、受控技术信息、关键基础设施、应急管理、出口控制、金融、地理产品信息、信息系统漏洞信息、情报、国际协议、执法、核、隐私、采购与收购、专有商业信息、安全法案信息、统计、税收等17项门类。中国《数据安全法》可汲取其经验,结合中国行业及其主管部门的意见,进一步厘清具体外延,同时保留一定的灵活性,以适应时代和科技的发展。

“安全第一”还是“发展第一”?

正如中国《网络安全法》第1条和第3条分别体现出安全和发展两大价值取向,《数据安全法》同样需要平衡数据安全和数据流通利用两大价值。这是因为,作为数字经济的核心生产要素,数据正成为科技创新的突破点,经济转型和创新发展的新引擎,以及社会治理的有效工具。对企业来说,数据是21世纪的石油;对于个人而言,数据是其生活的再现;对政府来说,数据是基础性的战略资源。因此,《数据安全法》必须认真对待数据流通利用问题。

网络信息技术是自创生的系统,这意味着从根本上,数据安全问题要通过数据技术的发展来化解。由此可以理解,英国2011年《网络安全战略》特别提出:化威胁为机遇,通过培育网络安全商业机会,推动技术进步,促进英国在网络空间树立网络安全竞争优势。中国《国家网络空间安全战略》与之殊路同归。基于机遇大于挑战的形势把握,该战略把发展放到了和安全同等的位置上,并将 “贯彻创新、协调、绿色、开放、共享的发展理念”作为首要战略目标。

事实上,网络安全和发展并重的观念已成为国家共识。2014年2月27日,习近平在中央网络安全和信息化领导小组第一次会议上指出:网络安全和信息化是一体之两翼、驱动之双轮,要处理好安全和发展的关系,做到协调一致、齐头并进,以安全保发展、以发展促安全,努力建久安之势、成长治之业。2016年4月25日,习近平在全国网络安全和信息化工作会议上进一步指出:网络安全是动态的而不是静态的,开放的而不是封闭的,相对的而不是绝对的,因此一定避免不计成本追求绝对安全,那样不仅会背上沉重负担,甚至可能顾此失彼。为此,《数据安全法》应秉持平衡的理念,以“安全是发展的保障,发展是安全的目的”为立法宗旨,通过政府、企业、公众、社会组织共同参与,共筑数据安全防线。

数据主权是“守势”还是“攻势”?

数据主权之于《数据安全法》,就如网络主权之于《网络安全法》,它不但是我们坚守的国家立场,也是处理数据安全的根本指针。尽管早在2015年8月,国务院《促进大数据发展行动纲要》已经提出“增强网络空间数据主权保护能力”,但数据主权的制度设计却始终没有成型。而要落实数据主权,首当其冲的问题是:《数据安全法》究竟优先选择“守势”还是“攻势”?

所谓“守势”,即强调对数据出境的管控。国际上一般通过数据出口限制和数据本地化两种方式加以限制。前者如美国《出口管理条例》(The Export Administrative Regulations)和《国际军火交易条例》(International Traffic in Arms Regulations)对部分重要数据的出口进行许可管制,后者如俄罗斯《关于信息、信息技术和信息保护法》和《个人数据法》严格要求互联网信息服务组织传播者、信息拥有者以及运营商将数据留存于俄罗斯境内。

所谓“攻势”,即强调数据的跨境调取。从当前的国际趋势上看,网络强国均积极谋求跨境的数据管辖权。例如,美国《澄清境外数据合法使用法案》一改之前的“数据存储地标准”,转而采用“数据控制者标准”,规定无论通信、记录或其他信息是否存储在美国境内,其控制者均有义务遵循美国的强制性命令向其提供。无独有偶,欧盟《一般数据保护条例》的长臂管辖权亦将管辖权延伸到欧盟边境之外。

中国更看重“守”还是“攻”?一方面,我们当然要重视“守”。《网络安全法》第三十七条确立了“关键信息基础设施运营者”的数据出境安全评估制度,但范围显然过窄,为此,中央网信办起草的《个人信息和重要数据出境安全评估办法》,将出境安全评估的适用范围拓展到“重要数据”。鉴于《个人信息和重要数据出境安全评估办法》只是部门规章,缺乏明确的上位法依据,亟待通过《数据安全法》补足其合法性。同时,面对美国和欧盟的数据跨境调取,2018年10月,中国《国际刑事司法协助法》出台,规定“非经中华人民共和国主管机关同意,中华人民共和国境内的机构、组织和个人不得向外国提供证据材料和本法规定的协助。”不过,该规定仅限于刑事领域,《数据安全法》有必要作出更细致、更全面的规定。另一方面,我们还要重视“攻”。随着中国企业全球化布局和一路一带的深入,我们的数据安全也面临着“攻守易型”,《数据安全法》应因势而变,亟待从传统上的“属地管辖”转向“保护管辖”,即以保护中国境内的自然人、企业和国家利益为宗旨,不论数据处理行为在中国之内还是之外,只要侵犯到上述利益,《数据安全法》均予以适用。

毫无疑问,攻守交替间,容易产生“以子之矛,攻之之盾”的矛盾。而这恰恰需要立法者的智慧,以期在具体场景下折中调和,有取有舍。

数据安全的国际博弈才刚刚开始。面对英国电信集团(BT Group)将华为设备从现有3G、4G网络核心网中移出的举动,华为公司12月6日回应说:网络安全问题不应该被“泛政治化”。可实际上,包括数据安全在内的网络安全问题绝不可能是政治无涉的。故此,与其说要摆脱政治,毋宁说要在相互冲突的诉求中寻找妥协与共识,通过法律规则和有效对话,最终建立公正、合理的全球网络空间新秩序。

本文系未央网专栏作者高旭发表,属作者个人观点,不代表网站观点,未经许可严禁转载,违者必究!

用微信扫描可以分享至好友和朋友圈

扫描二维码或搜索微信号“iweiyangx”
关注未央网官方微信公众号,获取互联网金融领域前沿资讯。

发表评论

发表评论

您的评论提交后会进行审核,审核通过的留言会展示在下方留言区域,请耐心等待。

评论

您的个人信息不会被公开,请放心填写! 标记为的是必填项

取消

你的App,还在疯狂揽数据吗?

肖飒 06-04

数据安全管理办法,将如何影响大数据行业?

肖飒 05-31

新动能下数字化转型路径探索

第一财经《解码新金融》 05-22

数字经济时代的“飞轮效应”

董希淼 | 证券日报 03-31

如何打造安全开放的大数据生态?

第一财经《解码新金融》 03-13

版权所有 © 清华大学五道口金融学院互联网金融实验室 | 京ICP备17044750号-1