• 移动端
    访问手机端
    官微
    访问官微

    搜索
    取消
    温馨提示:
    敬爱的用户,您的浏览器版本过低,会导致页面浏览异常,建议您升级浏览器版本或更换其他浏览器打开。

    数字经济大潮来临:数据安全凛冬中的数据安全法

    来源:亿欧网 2018-12-17 10:22:39 数字经济 数据安全 金融科技
         来源:亿欧网     2018-12-17 10:22:39

    核心提示在寒冷的冬日,回首2018年的全球数据安全大势,一种“凛冬已至”的感觉油然而生。

      在寒冷的冬日,回首2018年的全球数据安全大势,一种“凛冬已至”的感觉油然而生。从年初Facebook 8700万名用户数据被不法用于政治目的,到年底万豪酒店喜达屋系统中高达5亿个人数据被窃,从年初旨在跨境调取数据的美国《海外数据使用权明确法》(Clarifying Lawful Overseas Use of Data Act),到年中以长臂管辖为特色的欧盟《一般数据保护条例》,数据的安全风险和政治挑战层出不穷。恰恰在此背景下,中国在2018年纳入立法计划的《数据安全法》才有了别样意义。在此《数据安全法》起草的重要关口,我们不妨借箸代筹,就其定位、宗旨、立场等核心议题略做构想。

      大数据安全法”还是“小数据安全法”?

      《数据安全法》的体系定位是立法的前提性问题。从调整对象和立法目的观察,《数据安全法》可以采取两条不同的进路:

      一是“大数据安全法”的定位,即将数据全体,尤其是“大数据”作为调整对象,以数据生命周期为线索,就数据存储、访问、验证、保护和使用建立一系列程序、标准、角色,明确政府、企业、个人相应的职责、义务、权利,实现对数据安全的全方位规定。

      二是“小数据安全法”的定位,即仅将“与国家安全、经济发展,以及社会公共利益密切相关的关键(重要)数据”作为调整对象,聚焦于“关键(重要)数据”的风险预防和管理。显然,这一思路与国家顶层设计更为契合。如果立足于《数据安全法》的上位法《国家安全法》,那么毫无疑问,如何管控危害国家安全和社会公众安全的数据风险,才是《数据安全法》的职责所在。同时,将调整范围限制在“关键(重要)数据”上,不但可以降低立法工作难度,有利于与《网络安全法》和未来的《个人信息保护法》等法律衔接,而且有丰富的域外经验可资借鉴,有利于国际交流和相互理解。

      在“小数据安全法”的架构下,如何界定“关键(重要)数据”是立法的难点问题。现有《个人信息和重要数据出境安全评估办法》(征求意见稿)《信息安全技术 数据出境安全评估指南》(草案)对“关键(重要)数据”重在性质上认定,将可能危害国家安全、国防利益、国际关系、国家经济秩序和金融安全、国家财产、个人合法权益、国家政治、国土、军事、经济、文化、社会、科技、信息、生态、资源、核设施安全的数据均囊括其中。这固然纤悉无遗,但却有失操作性和明确性,给政府执法和企业守法造成困难。对此,美国“受控非秘信息”(Controlled Unclassified Information)制度提供了他山之石。其通过严密的登记制度,详细列出了农业、受控技术信息、关键基础设施、应急管理、出口控制、金融、地理产品信息、信息系统漏洞信息、情报、国际协议、执法、核、隐私、采购与收购、专有商业信息、安全法案信息、统计、税收等17项门类。中国《数据安全法》可汲取其经验,结合中国行业及其主管部门的意见,进一步厘清具体外延,同时保留一定的灵活性,以适应时代和科技的发展。

      “安全第一”还是“发展第一”?

      正如中国《网络安全法》第1条和第3条分别体现出安全和发展两大价值取向,《数据安全法》同样需要平衡数据安全和数据流通利用两大价值。这是因为,作为数字经济的核心生产要素,数据正成为科技创新的突破点,经济转型和创新发展的新引擎,以及社会治理的有效工具。对企业来说,数据是21世纪的石油;对于个人而言,数据是其生活的再现;对政府来说,数据是基础性的战略资源。因此,《数据安全法》必须认真对待数据流通利用问题。

      网络信息技术是自创生的系统,这意味着从根本上,数据安全问题要通过数据技术的发展来化解。由此可以理解,英国2011年《网络安全战略》特别提出:化威胁为机遇,通过培育网络安全商业机会,推动技术进步,促进英国在网络空间树立网络安全竞争优势。中国《国家网络空间安全战略》与之殊路同归。基于机遇大于挑战的形势把握,该战略把发展放到了和安全同等的位置上,并将 “贯彻创新、协调、绿色、开放、共享的发展理念”作为首要战略目标。

      事实上,网络安全和发展并重的观念已成为国家共识。2014年2月27日,习近平在中央网络安全和信息化领导小组第一次会议上指出:网络安全和信息化是一体之两翼、驱动之双轮,要处理好安全和发展的关系,做到协调一致、齐头并进,以安全保发展、以发展促安全,努力建久安之势、成长治之业。2016年4月25日,习近平在全国网络安全和信息化工作会议上进一步指出:网络安全是动态的而不是静态的,开放的而不是封闭的,相对的而不是绝对的,因此一定避免不计成本追求绝对安全,那样不仅会背上沉重负担,甚至可能顾此失彼。为此,《数据安全法》应秉持平衡的理念,以“安全是发展的保障,发展是安全的目的”为立法宗旨,通过政府、企业、公众、社会组织共同参与,共筑数据安全防线。

      数据主权是“守势”还是“攻势”?

      数据主权之于《数据安全法》,就如网络主权之于《网络安全法》,它不但是我们坚守的国家立场,也是处理数据安全的根本指针。尽管早在2015年8月,国务院《促进大数据发展行动纲要》已经提出“增强网络空间数据主权保护能力”,但数据主权的制度设计却始终没有成型。而要落实数据主权,首当其冲的问题是:《数据安全法》究竟优先选择“守势”还是“攻势”?

      所谓“守势”,即强调对数据出境的管控。国际上一般通过数据出口限制和数据本地化两种方式加以限制。前者如美国《出口管理条例》(The Export Administrative Regulations)和《国际军火交易条例》(International Traffic in Arms Regulations)对部分重要数据的出口进行许可管制,后者如俄罗斯《关于信息、信息技术和信息保护法》和《个人数据法》严格要求互联网信息服务组织传播者、信息拥有者以及运营商将数据留存于俄罗斯境内。

      所谓“攻势”,即强调数据的跨境调取。从当前的国际趋势上看,网络强国均积极谋求跨境的数据管辖权。例如,美国《澄清境外数据合法使用法案》一改之前的“数据存储地标准”,转而采用“数据控制者标准”,规定无论通信、记录或其他信息是否存储在美国境内,其控制者均有义务遵循美国的强制性命令向其提供。无独有偶,欧盟《一般数据保护条例》的长臂管辖权亦将管辖权延伸到欧盟边境之外。

      中国更看重“守”还是“攻”?一方面,我们当然要重视“守”。《网络安全法》第三十七条确立了“关键信息基础设施运营者”的数据出境安全评估制度,但范围显然过窄,为此,中央网信办起草的《个人信息和重要数据出境安全评估办法》,将出境安全评估的适用范围拓展到“重要数据”。鉴于《个人信息和重要数据出境安全评估办法》只是部门规章,缺乏明确的上位法依据,亟待通过《数据安全法》补足其合法性。同时,面对美国和欧盟的数据跨境调取,2018年10月,中国《国际刑事司法协助法》出台,规定“非经中华人民共和国主管机关同意,中华人民共和国境内的机构、组织和个人不得向外国提供证据材料和本法规定的协助。”不过,该规定仅限于刑事领域,《数据安全法》有必要作出更细致、更全面的规定。另一方面,我们还要重视“攻”。随着中国企业全球化布局和一路一带的深入,我们的数据安全也面临着“攻守易型”,《数据安全法》应因势而变,亟待从传统上的“属地管辖”转向“保护管辖”,即以保护中国境内的自然人、企业和国家利益为宗旨,不论数据处理行为在中国之内还是之外,只要侵犯到上述利益,《数据安全法》均予以适用。

      毫无疑问,攻守交替间,容易产生“以子之矛,攻之之盾”的矛盾。而这恰恰需要立法者的智慧,以期在具体场景下折中调和,有取有舍。

      数据安全的国际博弈才刚刚开始。面对英国电信集团(BT Group)将华为设备从现有3G、4G网络核心网中移出的举动,华为公司12月6日回应说:网络安全问题不应该被“泛政治化”。可实际上,包括数据安全在内的网络安全问题绝不可能是政治无涉的。故此,与其说要摆脱政治,毋宁说要在相互冲突的诉求中寻找妥协与共识,通过法律规则和有效对话,最终建立公正、合理的全球网络空间新秩序。

    责任编辑:陈爱

    免责声明:

    中国电子银行网发布的专栏、投稿以及征文相关文章,其文字、图片、视频均来源于作者投稿或转载自相关作品方;如涉及未经许可使用作品的问题,请您优先联系我们(联系邮箱:cebnet@cfca.com.cn,电话:400-880-9888),我们会第一时间核实,谢谢配合。

    为你推荐

    猜你喜欢

    收藏成功

    确定