巴比特专栏 | 《数据安全法（草案）》确立了什么样的数据安全制度？

《数据安全法（草案）》正在中国人大网公开征求意见。根据该《数据安全法（草案）》，数据是指任何以电子或者非电子形式对信息的记录。数据活动,是指数据的收集、存储、加工、使用、提供、交易、公开等行为。 数据安全,是指通过采取必要措施,保障数据得到有效保护和合法利用,并持续处于安全状态的能力。 中国社会科学院国际法研究所所长莫纪宏认为， 数据安全属于非传统安全,在现代信息化社会中，数据安全是其他各项安全的保障，没有数据安全，所有以数据技术支撑的产品和服务形式就失去了安全保障。

《数据安全法（草案）》确立了系统的 数据安全制度，通过分级保护制度、监测预警制度、应急处置制度以及安全审查制度 有效维护数据安全，并对数据跨境流动中的数据安全确立了 出口管制制度 和 对等保护制度 。

一、 数据分级分类保护制度

《数据安全法（草案）》第十九条规定，国家根据数据在经济社会发展中的重要程度,以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用,对国家安全、公共利益或者公民、组织合法权益造成的危害程度,对数据实行分级分类保护。

一般认为，数据分类分级是管理体系合理规划、数据安全合理管控、人员精力及力度合理利用的基础，是迈向数据安全精细化管理的重要一步。我国《网络安全法》也规定了“采取数据分类、重要数据备份和加密等措施”。当然我们要注意的是，数据分级分类是为了保护，也是为了更好地利用。

二、 数据安全监测预警机制

《数据安全法（草案）》第二十条规定，国家建立集中统一、高效权威的数据安全风险评估、报告、信息共享、监测预警机制,加强数据安全风险信息的获取、分析、研判、预警工作。

目前，包括天气、自然灾害、网络安全和网络舆情等很多领域都建立了类似的监测预警机制，对重大问题早发现早处置。如《网络安全法》第五十一条规定，“国家建立网络安全监测预警和信息通报制度。国家网信部门应当统筹协调有关部门加强网络安全信息收集、分析和通报工作，按照规定统一发布网络安全监测预警信息。”

三、 数据安全应急处置机制

《数据安全法（草案）》第二十一条规定，国家建立数据安全应急处置机制。发生数据安全事件,有关主管部门应当依法启动应急预案,采取相应的应急处置措施,消除安全隐患,防止危害扩大,并及时向社会发布与公众有关的警示信息。

我国《网络安全法》也规定了有关网络安全的应急处置机制，第二十五规定，“网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。”

四、 数据安全审查制度

《 数据安全法（草案）》第二十二条规定，国家建立数据安全审查制度,对影响或者可能影响国家安全的数据活动进行国家安全审查。依法作出的安全审查决定为最终决定。

十二个部委包括国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、公安部、国家安全部、财政部、商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局于2020年4月3日联合发布了《网络安全审查办法》，并已经于2020年6月1日实施，对网络安全审查相关问题进行了详细规定。

五、 数据出口管制制度

《数据安全法（草案）》第二十三条规定，国家对与履行国际义务和维护国家安全相关的属于管制物项的数据依法实施出口管制。

欧盟通用数据保护条例（GDPR）也规定了类似制度，但侧重点有所不同。具体而言，向获得欧盟保护水平认定的国家或国际组织（类似于白名单）转移个人数据，不需要任何特别授权。目前获得认定的国家包括安道尔、阿根廷、加拿大（部分）、法罗群岛（属丹麦）、格恩西、以色列、马恩岛（英国属地）、泽西、新西兰、瑞士、乌拉圭、美国 (隐私盾)，当然这个名单应该是动态调整的。

根据GDPR，如果要向上述清单以外的目的地转移个人数据，就要遵循“适当保障措施”的要求，这是针对保护水平认定的替代性方案。根据GDPR第46条，构成“适当保障措施”的替代性方案有好几种可供企业选择，包括约束性企业规则、标准合同条款、经批准的行为准则以及认证机制等。

六、 数据安全对等保护制度

《数据安全法（草案）》第二十四条规定，任何国家或者地区在与数据和数据开发利用技术等有关的投资、贸易方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的,中华人民共和国可以根据实际情况对该国家或者地区采取相应的措施。

包括本条与上述第二十三条、第十条、第三十三条在内，是规范我国数据交流合规的一部分，有利于切实维护我国在全球的数据权益，同时促进以数据合理有序流动。

第十条提出“国家积极开展数据领域国际交流与合作，参与数据安全相关国际规则和标准的制定，促进数据跨境安全、自由流动”，确立了我国在数据领域国际交流合作的大方向。第三十三条提出“境外执法机构要求调取存储于中华人民共和国境内的数据的，有关组织、个人应当向有关主管机关报告，获得批准后方可提供。中华人民共和国缔结或者参加的国际条约、协定对外国执法机构调取境内数据有规定的，依照其规定”，这也符合一般的国际操作惯例，保障了国际数据执法合作的合理需求，有利于增强全球执法合作，让国内的国际犯罪受到相应惩处。