学术丨解读《数据安全法》中的三大亮点（内附视频）

▲

2021年6月10日，《数据安全法》于第十三届全国人民代表大会常务委员会第二十九次会议正式通过。

全国人大常委会在2020年6月的第二十次会议对《数据安全法(草案)》(二次审议稿)进行了初次审议。二审稿的最主要的三大变化是：第一，规范相关用语；第二，完善域外管辖，保护国家安全；第三，提升监管层级与监管力度。以下分述之。

将保护与规范的主体由“公民”修改为“个人”，扩大了保护与监管的范围。这意味着，非我国公民，如果涉及本法规定的，同样适用。

将保护与规范的对象由“数据活动”修改为“数据处理活动”。一方面，“数据处理活动”用语更加准确，另一方面，“数据处理活动”也比较符合国际通行的表述，如欧盟《通用数据保护条例》(GDPR)即主要用“数据处理”(data processing)的表述。

完善域外管辖范围。二审稿第二条将“中华人民共和国境外的组织、个人开展数据活动”修改为“在中华人民共和国境外开展数据处理活动”，由“属人管辖”调整为“属地管辖”，明确在境外的相关行为同样适用本法的规定。

突出“国家利益”。二审稿第二十四条将“维护国家安全”修改为“维护国家安全与利益”，将“国家利益”作为保护对象，拓展了出口管制的保护范围的外延。

新增“关键信息基础设施”的特殊保护条款。二审稿新增一条作为第三十条，明确“关键信息基础设施”的特殊保护。第三十条为：“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。”

进一步明确“数据出境”的条件。二审稿第三十五条，将境外调取数据的主体由“境外执法机构”调整为“中华人民共和国境外的司法或者执法机构”，明确了司法机构的调取也要遵循本法要求。其次，“有关组织、个人应当向有关主管机关报告，获得批准后方可提供”修改为“非经中华人民共和国主管机关批准，不得提供”，一方面免除了主体的报告义务，另一方面措辞上强化了批准的强制性要求。再次，将“中华人民共和国缔结或者参加的国际条约、协定对外国执法机构调取境内数据有规定的，依照其规定”修改为“中华人民共和国缔结或者参加的国际条约、协定有规定的，可以按照其规定执行”，更明确了是否执行的标准。

明确行业自律监管。二审稿新增一条作为第十条，“相关行业组织按照章程，制定数据安全行为规范，加强行业自律，指导会员加强数据安全保护，提高数据安全保护水平，促进行业健康发展”，将自律监管上升为法律，可以预见，未来行业的发展将会更加规范，也会出现越来越多的行业标准与行业规范。

落实从基层发展。二审稿将“数字经济规划”发展由“省级以上人民政府”制定修改为“县级以上人民政府”，意味着未来县级人民政府在其经济发展规划中要将“数字经济规规划”纳入。

明确分级分类保护作为基本制度。一审稿第十九条表述为“……，对数据进行分级分类保护”，而二审稿则在第二十条第一句话就明确提出“国家建立数据分类分级保护制度”，两者的重要性迥异，这也明确了分级分类保护将会作为数据安全法的基本制度之一，而不仅仅是一种保护手段。

明确行政许可作为监管方式。一审稿第三十一条对“专门提供在线数据处理等服务的经营者”实行“许可或者备案”，而二审稿第三十三条删除了“备案”，明确“法律、行政法规规定提供数据处理相关服务应当取得行政许可的，服务提供者应当依法取得许可”。可以看出，未来数据处理服务这一业务将纳入事前监管、行政许可范畴。这也体现了国家对于数据处理活动强监管的态度。

进一步规范公共事务管理组织的信息收集行为。一审稿第四十条规定，“具有公共事务管理职能的组织为履行公共事务管理职能开展数据活动，适用本章规定”，而二审稿第四十二条修改为“法律、法规授权的具有管理公共事务职能的组织为履行法定职责开展数据处理活动，适用本章规定”。一方面明确管理公共事务的组织必须是法律法规授权的组织，另一方面明确了其数据处理活动必须是为了“履行法定职责”。

进一步加大处罚力度。二审稿在法律责任章节中将一审稿确定的行政处罚力度进一步升级。

作者 | 闪　涛