【原】從《數(shù)據(jù)安全法》視角探討重要數(shù)據(jù)保護(hù)

謝永江

北京郵電大學(xué)互聯(lián)網(wǎng)治理與法律研究中心執(zhí)行主任

《數(shù)據(jù)安全法》之所以強(qiáng)調(diào)對(duì)重要數(shù)據(jù)進(jìn)行重點(diǎn)保護(hù)，主要原因在于：

國(guó)家有必要根據(jù)數(shù)據(jù)重要性的不同分別采取相應(yīng)的安全措施，抓大放小，針對(duì)重要數(shù)據(jù)進(jìn)行重點(diǎn)保護(hù)。

有些數(shù)據(jù)因本身性質(zhì)關(guān)涉國(guó)家安全和公共利益而十分重要，如國(guó)防數(shù)據(jù)、人口數(shù)據(jù)、治安數(shù)據(jù)等；

有些數(shù)據(jù)則因其規(guī)模足夠大，通過(guò)對(duì)其匯聚、整合、分析，能夠挖掘涉及國(guó)家安全和公共利益的信息，因而成為重要數(shù)據(jù)，如大規(guī)模的用戶(hù)數(shù)據(jù)、出行數(shù)據(jù)、購(gòu)物數(shù)據(jù)等。

其中關(guān)系國(guó)家安全、國(guó)民經(jīng)濟(jì)命脈、重要民生、重大公共利益的數(shù)據(jù)，更是國(guó)家核心數(shù)據(jù)，需要更加嚴(yán)格的管理和保護(hù)。

我國(guó)已有《保守國(guó)家秘密法》，對(duì)于屬于國(guó)家秘密范疇的數(shù)據(jù)，自然屬于重要數(shù)據(jù)；但重要數(shù)據(jù)不都是國(guó)家秘密。

在當(dāng)今數(shù)字時(shí)代，各類(lèi)信息都數(shù)據(jù)化了。大型互聯(lián)網(wǎng)企業(yè)掌握了海量的數(shù)據(jù)，從性質(zhì)上來(lái)講，這些數(shù)據(jù)都是商業(yè)領(lǐng)域數(shù)據(jù)，為了有利于數(shù)據(jù)的開(kāi)發(fā)利用，不宜一概納入國(guó)家秘密進(jìn)行保護(hù)，但仍需要某種程度的保護(hù)，以防止濫用或未經(jīng)授權(quán)的訪(fǎng)問(wèn)和發(fā)布；但是，如果這些非密重要數(shù)據(jù)僅僅由經(jīng)營(yíng)者按照商業(yè)秘密自行進(jìn)行保護(hù)，則不足以保障數(shù)據(jù)的安全。

因此，有必要在國(guó)家秘密和商業(yè)秘密之間建立強(qiáng)制性的重要數(shù)據(jù)保護(hù)制度，確保國(guó)家安全、社會(huì)公共利益和個(gè)人、組織的重大合法利益。

對(duì)于重要數(shù)據(jù)的保護(hù)，已經(jīng)為世界各國(guó)所重視。例如，美國(guó)建立了受控非密信息(Controlled Unclassified Information，CUI)保護(hù)制度。

美國(guó)的所謂受控非密信息，是指法定保密信息以外的，由政府創(chuàng)建或擁有的，以及實(shí)體機(jī)構(gòu)為政府創(chuàng)建、或者代表政府創(chuàng)建或擁有的，根據(jù)法律、法規(guī)和政策的規(guī)定需要保護(hù)或控制傳播的信息。

受控非密信息一般是涉及隱私、安全、商業(yè)利益、執(zhí)法調(diào)查的敏感信息，需要提供保護(hù)以防止未經(jīng)授權(quán)的訪(fǎng)問(wèn)或發(fā)布。美國(guó)國(guó)家檔案和記錄管理局（NARA）授權(quán)信息安全監(jiān)督辦公室（ISOO）對(duì)受控非密信息進(jìn)行管理。

2010年第13556號(hào)總統(tǒng)行政令《受控非密信息》和2015年美國(guó)信息安全監(jiān)督辦公室發(fā)布的“受控非機(jī)密信息規(guī)則”（《聯(lián)邦行政法典》第32編第2002章），設(shè)計(jì)了一套嚴(yán)密制度，專(zhuān)門(mén)規(guī)范對(duì)受控非密信息的管理。

我國(guó)《網(wǎng)絡(luò)安全法》最早在法律層面提出“重要數(shù)據(jù)”概念，要求對(duì)重要數(shù)據(jù)進(jìn)行備份或容災(zāi)備份（第21、34條），要求關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者在中國(guó)境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的重要數(shù)據(jù)應(yīng)當(dāng)在境內(nèi)存儲(chǔ)（第37條）。

此外，一些行業(yè)或領(lǐng)域的主管部門(mén)也出臺(tái)了有關(guān)地理數(shù)據(jù)、科學(xué)數(shù)據(jù)、交通數(shù)據(jù)、人口數(shù)據(jù)、健康數(shù)據(jù)、藥品數(shù)據(jù)、金融數(shù)據(jù)、教育數(shù)據(jù)、氣象數(shù)據(jù)、地震數(shù)據(jù)等重要數(shù)據(jù)的管理規(guī)定。

《數(shù)據(jù)安全法》則在法律層面進(jìn)一步健全了重要數(shù)據(jù)的管理和安全保護(hù)。

為了加強(qiáng)重要數(shù)據(jù)的保護(hù)，《數(shù)據(jù)安全法》在國(guó)家數(shù)據(jù)安全制度構(gòu)建方面，除了規(guī)定建立數(shù)據(jù)分類(lèi)分級(jí)保護(hù)制度，數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估、報(bào)告、信息共享、監(jiān)測(cè)預(yù)警機(jī)制，數(shù)據(jù)安全應(yīng)急處置機(jī)制等基本制度外，還針對(duì)重要數(shù)據(jù)規(guī)定了重要數(shù)據(jù)目錄制定、數(shù)據(jù)安全審查和數(shù)據(jù)出口管制等制度。

根據(jù)《數(shù)據(jù)安全法》第21條規(guī)定，應(yīng)當(dāng)根據(jù)數(shù)據(jù)在經(jīng)濟(jì)社會(huì)發(fā)展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，對(duì)國(guó)家安全、公共利益或者個(gè)人、組織合法權(quán)益造成的危害程度，對(duì)數(shù)據(jù)實(shí)行分類(lèi)分級(jí)保護(hù)。

落實(shí)數(shù)據(jù)分類(lèi)分級(jí)保護(hù)制度的關(guān)鍵抓手是制定重要數(shù)據(jù)目錄，明確重要數(shù)據(jù)的保護(hù)范圍。根據(jù)《數(shù)據(jù)安全法》的規(guī)定，國(guó)家數(shù)據(jù)安全工作協(xié)調(diào)機(jī)制統(tǒng)籌協(xié)調(diào)有關(guān)部門(mén)制定重要數(shù)據(jù)目錄，各地區(qū)、各部門(mén)則負(fù)責(zé)確定本地區(qū)、本部門(mén)以及相關(guān)行業(yè)、領(lǐng)域的重要數(shù)據(jù)具體目錄。

制定重要數(shù)據(jù)目錄一般應(yīng)當(dāng)考慮以下因素：

《數(shù)據(jù)安全法》第24條確立了數(shù)據(jù)安全審查制度，要求對(duì)影響或者可能影響國(guó)家安全的數(shù)據(jù)處理活動(dòng)進(jìn)行國(guó)家安全審查。這里所說(shuō)的“影響或者可能影響國(guó)家安全的數(shù)據(jù)”，顯然屬于重要數(shù)據(jù)。

數(shù)據(jù)安全審查源于《國(guó)家安全法》上的國(guó)家安全審查制度。《國(guó)家安全法》規(guī)定，國(guó)家建立國(guó)家安全審查和監(jiān)管的制度和機(jī)制，對(duì)影響或者可能影響國(guó)家安全的外商投資、特定物項(xiàng)和關(guān)鍵技術(shù)、網(wǎng)絡(luò)信息技術(shù)產(chǎn)品和服務(wù)、涉及國(guó)家安全事項(xiàng)的建設(shè)項(xiàng)目，以及其他重大事項(xiàng)和活動(dòng)，進(jìn)行國(guó)家安全審查，有效預(yù)防和化解國(guó)家安全風(fēng)險(xiǎn)。

《網(wǎng)絡(luò)安全法》也規(guī)定了網(wǎng)絡(luò)安全審查制度。在數(shù)據(jù)處理領(lǐng)域，對(duì)于影響或可能影響國(guó)家安全的數(shù)據(jù)處理，包括數(shù)據(jù)的收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)等，自然也應(yīng)當(dāng)進(jìn)行數(shù)據(jù)安全審查。

2021年7月10日，國(guó)家互聯(lián)網(wǎng)信息辦公室公布了《網(wǎng)絡(luò)安全審查辦法》（修訂草案征求意見(jiàn)稿），明確將數(shù)據(jù)處理者開(kāi)展數(shù)據(jù)處理活動(dòng)，影響或可能影響國(guó)家安全的情形，納入網(wǎng)絡(luò)安全審查范圍。

根據(jù)《數(shù)據(jù)安全法》第25條規(guī)定，國(guó)家對(duì)與維護(hù)國(guó)家安全和利益、履行國(guó)際義務(wù)相關(guān)的屬于管制物項(xiàng)的數(shù)據(jù)依法實(shí)施出口管制。上述有關(guān)管制物項(xiàng)的數(shù)據(jù)，通常也屬于重要數(shù)據(jù)。

與維護(hù)國(guó)家安全和利益相關(guān)的管制物項(xiàng)數(shù)據(jù)自然屬于重要數(shù)據(jù)范疇，而與履行國(guó)家義務(wù)相關(guān)的管制物項(xiàng)數(shù)據(jù)，因?yàn)閷?duì)該項(xiàng)數(shù)據(jù)的不當(dāng)泄露或出口，會(huì)直接影響我國(guó)對(duì)國(guó)際義務(wù)的履行，事關(guān)我國(guó)國(guó)家信譽(yù)和國(guó)際形象，直接或間接損害國(guó)家利益，故而也應(yīng)納入重要數(shù)據(jù)范疇。

根據(jù)我國(guó)《出口管制法》，國(guó)家對(duì)管制物項(xiàng)的出口實(shí)行許可制度，對(duì)于出口管制清單所列管制物項(xiàng)或者臨時(shí)管制物項(xiàng)的數(shù)據(jù)，出口經(jīng)營(yíng)者應(yīng)當(dāng)向國(guó)家出口管制管理部門(mén)申請(qǐng)?jiān)S可。

在數(shù)據(jù)處理者的數(shù)據(jù)安全保護(hù)義務(wù)方面，《數(shù)據(jù)安全法》除了規(guī)定建立健全全流程數(shù)據(jù)安全管理制度、組織開(kāi)展數(shù)據(jù)安全教育培訓(xùn)、采取相應(yīng)的技術(shù)措施和其他必要措施、風(fēng)險(xiǎn)監(jiān)測(cè)、采取補(bǔ)救措施、數(shù)據(jù)安全事件報(bào)告等一般數(shù)據(jù)安全保護(hù)義務(wù)外，還特別針對(duì)重要數(shù)據(jù)規(guī)定了設(shè)置數(shù)據(jù)安全負(fù)責(zé)人和管理機(jī)構(gòu)、風(fēng)險(xiǎn)評(píng)估和報(bào)告、出境安全評(píng)估等義務(wù)。

《數(shù)據(jù)安全法》第27條特別要求重要數(shù)據(jù)處理者明確數(shù)據(jù)安全負(fù)責(zé)人和管理機(jī)構(gòu)，落實(shí)數(shù)據(jù)安全保護(hù)責(zé)任。

這就要求將重要數(shù)據(jù)安全保護(hù)責(zé)任明確落實(shí)到具體的機(jī)構(gòu)和負(fù)責(zé)人，同時(shí)也為可能的追責(zé)提供了前提。

《數(shù)據(jù)安全法》對(duì)違法者的制裁通常采取雙罰制，即除了對(duì)數(shù)據(jù)處理者進(jìn)行處罰外，還對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員進(jìn)行處罰。

因此，負(fù)責(zé)重要數(shù)據(jù)安全的負(fù)責(zé)人和管理機(jī)構(gòu)應(yīng)當(dāng)切實(shí)承擔(dān)起責(zé)任，確保重要數(shù)據(jù)的處理合規(guī)。

根據(jù)《數(shù)據(jù)安全法》第30條的規(guī)定，重要數(shù)據(jù)的處理者應(yīng)當(dāng)按照規(guī)定對(duì)其數(shù)據(jù)處理活動(dòng)定期開(kāi)展風(fēng)險(xiǎn)評(píng)估，并向有關(guān)主管部門(mén)報(bào)送風(fēng)險(xiǎn)評(píng)估報(bào)告。

風(fēng)險(xiǎn)評(píng)估報(bào)告應(yīng)當(dāng)包括所處理重要數(shù)據(jù)的種類(lèi)、數(shù)量，開(kāi)展數(shù)據(jù)處理活動(dòng)的情況，面臨的數(shù)據(jù)安全風(fēng)險(xiǎn)及其應(yīng)對(duì)措施等。

這是對(duì)重要數(shù)據(jù)處理者特別課以定期風(fēng)險(xiǎn)評(píng)估和報(bào)告義務(wù)，同時(shí)表明，重要數(shù)據(jù)的保護(hù)重在風(fēng)險(xiǎn)預(yù)防，而不是等到危險(xiǎn)來(lái)臨后的處置，因?yàn)橹匾獢?shù)據(jù)出現(xiàn)風(fēng)險(xiǎn)后，會(huì)危害國(guó)家安全或社會(huì)公共利益，損害有可能是難以彌補(bǔ)的。

通過(guò)定期的風(fēng)險(xiǎn)評(píng)估，可以及時(shí)發(fā)現(xiàn)風(fēng)險(xiǎn)，并提前采取相應(yīng)的應(yīng)對(duì)措施，減少發(fā)生數(shù)據(jù)安全事件的風(fēng)險(xiǎn)。

根據(jù)《數(shù)據(jù)安全法》第31條的規(guī)定，重要數(shù)據(jù)的出境應(yīng)當(dāng)進(jìn)行安全評(píng)估，具體可以分為兩類(lèi)：

當(dāng)前，教育部門(mén)面向教育高質(zhì)量發(fā)展需要，正在大力推進(jìn)以信息化為主導(dǎo)的教育新型基礎(chǔ)設(shè)施建設(shè)。

教育信息化的高速發(fā)展必然產(chǎn)生大量數(shù)據(jù)，涉及教學(xué)數(shù)據(jù)、科研數(shù)據(jù)、教育行業(yè)數(shù)據(jù)、師生個(gè)人數(shù)據(jù)等，其中不乏重要數(shù)據(jù)，這對(duì)高校數(shù)據(jù)安全提出了更高的要求。

對(duì)此，教育主管部門(mén)和各高校應(yīng)當(dāng)堅(jiān)持總體國(guó)家安全觀，建立健全相關(guān)數(shù)據(jù)安全治理體系。

為貫徹實(shí)施好《數(shù)據(jù)安全法》，建議重點(diǎn)做好以下幾方面工作：

教育主管部門(mén)應(yīng)當(dāng)在國(guó)家數(shù)據(jù)安全工作協(xié)調(diào)機(jī)制統(tǒng)籌協(xié)調(diào)下，按照數(shù)據(jù)分類(lèi)分級(jí)保護(hù)的要求，在現(xiàn)有的教育系統(tǒng)數(shù)據(jù)資源目錄的基礎(chǔ)上，確定教育領(lǐng)域的重要數(shù)據(jù)具體目錄，各高校應(yīng)確定本校的重要數(shù)據(jù)目錄，為高校重要數(shù)據(jù)安全保護(hù)工作提供依據(jù)，明確數(shù)據(jù)保護(hù)范圍。

在開(kāi)展高校信息化建設(shè)的同時(shí)，應(yīng)當(dāng)高度重視數(shù)據(jù)安全保護(hù)工作，將數(shù)據(jù)安全保護(hù)納入網(wǎng)絡(luò)安全與信息化重點(diǎn)工作范疇。

應(yīng)建立健全數(shù)據(jù)收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)等全流程數(shù)據(jù)安全管理制度，嚴(yán)格數(shù)據(jù)訪(fǎng)問(wèn)和使用權(quán)限，實(shí)現(xiàn)規(guī)范化、制度化管理；

應(yīng)明確數(shù)據(jù)安全負(fù)責(zé)人和管理機(jī)構(gòu)，落實(shí)數(shù)據(jù)安全崗位責(zé)任和考核機(jī)制，從管理、技術(shù)、運(yùn)營(yíng)多維度保障數(shù)據(jù)安全。

各高校應(yīng)當(dāng)對(duì)其數(shù)據(jù)處理活動(dòng)定期開(kāi)展風(fēng)險(xiǎn)檢測(cè)、評(píng)估，并形成評(píng)估報(bào)告。在檢測(cè)中發(fā)現(xiàn)數(shù)據(jù)安全缺陷、漏洞等風(fēng)險(xiǎn)時(shí)，應(yīng)當(dāng)立即采取補(bǔ)救措施；發(fā)生數(shù)據(jù)安全事件時(shí)，應(yīng)當(dāng)立即采取處置措施；對(duì)面臨的數(shù)據(jù)安全風(fēng)險(xiǎn)采取應(yīng)對(duì)措施。

當(dāng)前許多高校開(kāi)展了中外合作辦學(xué)，對(duì)外交流也越來(lái)越頻繁。在對(duì)外辦學(xué)和交流中，特別要注意重要數(shù)據(jù)出境安全管理問(wèn)題。國(guó)家主管部門(mén)應(yīng)當(dāng)盡快出臺(tái)《重要數(shù)據(jù)出境安全管理辦法》。各高校應(yīng)謹(jǐn)慎處理數(shù)據(jù)出境問(wèn)題，重要數(shù)據(jù)原則上不出境。

數(shù)據(jù)安全為人民，數(shù)據(jù)安全靠人民，保障數(shù)據(jù)安全需要多方共同參與。高校應(yīng)當(dāng)積極開(kāi)展數(shù)據(jù)安全教育和培訓(xùn)，提高廣大師生的數(shù)據(jù)安全意識(shí)和維護(hù)數(shù)據(jù)安全的自覺(jué)性，共同維護(hù)數(shù)據(jù)安全。