前言
在數字信息技術(shù)日新月異的發(fā)展趨勢下，數據已成為數字經(jīng)濟發(fā)展的核心生產(chǎn)要素，是國家重要資產(chǎn)和基礎戰略資源。隨著(zhù)數據價(jià)值的愈加凸顯，數據安全風(fēng)險與日俱增，數據泄露、數據販賣(mài)等數據安全事件頻發(fā)，為個(gè)人隱私、企業(yè)商業(yè)秘密、國家重要情報等帶來(lái)了嚴重的安全隱患。
當前，數據安全已成為數字經(jīng)濟時(shí)代最緊迫和最基礎的安全問(wèn)題，加強數據安全治理已成為維護國家安全和國家競爭力的戰略需要。為此，國家高度重視數據安全的頂層設計：在相繼發(fā)布的《促進(jìn)大數據發(fā)展行動(dòng)綱要》（2015）、《科學(xué)數據管理辦法》（2018）、《關(guān)于構建更加完善的要素市場(chǎng)化配置體制機制的意見(jiàn)》（2020）以及“十四五”規劃（2021）中，均提出發(fā)展數字經(jīng)濟、加快培育發(fā)展數據要素市場(chǎng)，應把保障數據安全放在突出位置的重要思想內涵。
面對數據安全威脅日益嚴峻的態(tài)勢，著(zhù)力解決數據安全領(lǐng)域的突出問(wèn)題，有效提升數據安全治理能力迫在眉睫。然而，由于數字技術(shù)促使數據應用場(chǎng)景和參與主體日益多樣化，數據安全的外延不斷擴展，數據安全治理面臨多重棘手困境。為此，本白皮書(shū)在分析我國數據安全風(fēng)險、治理現狀、治理困境的基礎上，從政策、監管、產(chǎn)業(yè)生態(tài)建設、國際合作等方面提出綜合解決路徑。
一
數據安全治理概述
（一）關(guān)鍵概念
1.數據
數據，是用來(lái)記錄客觀(guān)事物或事件的符號，具體來(lái)說(shuō)，是對客觀(guān)事物或事件的性質(zhì)、狀態(tài)以及相互關(guān)系等信息進(jìn)行記錄的物理符號。
2.數據處理活動(dòng)和數據全生命周期
數據處理活動(dòng)，包括數據的收集、存儲、使用、加工、傳輸、提供、公開(kāi)、銷(xiāo)毀等，是數據處理者開(kāi)展數據業(yè)務(wù)時(shí)實(shí)施的具體活動(dòng)，所有數據處理活動(dòng)環(huán)節共同構成了數據全生命周期。
3.數據安全
數據安全，是指通過(guò)采取必要措施，確保數據在數據全生命周期中處于有效保護和合法利用的狀態(tài)，以及保障持續安全狀態(tài)的能力。
4.數據安全治理
數據安全治理，是指從決策層到技術(shù)層，從管理制度到工具支撐，自上而下建立的數據安全保障體系和保護生態(tài)，是貫穿整個(gè)組織架構的完整鏈條。
5.數據跨境流動(dòng)
數據跨境流動(dòng)，是指數據處理者將國家境內收集和產(chǎn)生的重要數據和個(gè)人信息，提供給位于境外的機構、組織、個(gè)人。數據跨境流動(dòng)過(guò)程中，數據安全與個(gè)人隱私保護成為兩大關(guān)鍵要素，世界各國對其進(jìn)行明確立法的趨勢也愈加明顯。
6.數據資源、數據資產(chǎn)和數據資本
在數字經(jīng)濟的發(fā)展過(guò)程中，隨著(zhù)數據要素市場(chǎng)的蓬勃發(fā)展，數據價(jià)值的發(fā)展也分別三個(gè)階段：
一是數據資源階段，數據是作為記錄、反映現實(shí)世界的一種資源。
二是數據資產(chǎn)階段，數據是可創(chuàng )造財富的資產(chǎn)，且隨著(zhù)個(gè)人在互聯(lián)網(wǎng)上活動(dòng)的增多，積累的數據量越大，數據收益也越大。未來(lái)，數據資產(chǎn)可能將成為一種經(jīng)數據所有者授權后，由數據管理者向使用者提供的一項服務(wù)。
三是數據資本階段，數據的資源和資產(chǎn)特性得到進(jìn)一步發(fā)揮，在全社會(huì )形成巨大數據資產(chǎn)的基礎上，可使用數據資產(chǎn)進(jìn)行投資，將數據資產(chǎn)轉化為數據資本。
7.數據確權
數據確權，是指在厘清數據用途和流向的基礎上，在法律上對數據權利，包括數據所有權、使用權和收益權進(jìn)行明晰。
（二）數據安全治理本質(zhì)
數據安全治理本質(zhì)上包含“理”和“治”兩個(gè)層面，先“理”后“治”，保障數據資源在安全可控的狀態(tài)下充分發(fā)揮使用價(jià)值。
（三）數據安全治理體系
數據安全治理體系包括政策環(huán)境、產(chǎn)業(yè)生態(tài)、監督管理和國際合作，如圖1所示。
二
國外數據安全治理現狀
（一）數據安全政策環(huán)境持續優(yōu)化
一是加強數據安全頂層設計。
二是強化數據及個(gè)人信息保護相關(guān)立法。
三是陸續出臺數據安全標準指南。
（二）數據安全保護機構設置不斷完善
通過(guò)完善數據安全監管執法機構設置，提升執法效率，加強數據安全保護治理。
（三）推動(dòng)企業(yè)強化數據安全保護技術(shù)手段初見(jiàn)成效
為進(jìn)一步保障數據安全，各國紛紛采取措施推動(dòng)企業(yè)積極響應當地政策，從數據源頭、數據通道、數據運營(yíng)管理等方面入手，積極運用差分隱私、區塊鏈等技術(shù)手段強化數據安全保護，搭建具有鮮明數據安全保護特性的技術(shù)架構。
三
國外數據安全治理特色
（一）數據安全上升至國家安全層面
各國政府逐漸意識到，數據已成為與國家安全和國際競爭力緊密關(guān)聯(lián)的一大要素，對數據安全的認知已從傳統的個(gè)人隱私保護上升到維護國家安全的高度。
（二）對大型互聯(lián)網(wǎng)平臺企業(yè)的數據執法力度持續加大
各國對大型互聯(lián)網(wǎng)企業(yè)數據安全違法違規行為的懲治力度不斷增強，美國、歐洲等國家和地區均增大了對其單筆處罰金額。
（三）醫療、生物識別等個(gè)人特殊敏感數據的專(zhuān)項立法不斷推進(jìn)
當前，全球個(gè)人醫療數據泄露事件頻發(fā)，人臉識別等新技術(shù)濫用導致個(gè)人生物信息長(cháng)期處于高泄露風(fēng)險狀態(tài)，針對個(gè)人特殊敏感數據日益嚴峻的風(fēng)險威脅，日本、美國等國家偏向于針對不同特征的個(gè)人數據采取精細化治理模式。
四
我國數據安全面臨七大挑戰
（一）數據販賣(mài)嚴重侵害個(gè)人隱私
近些年，移動(dòng)互聯(lián)網(wǎng)技術(shù)的大力發(fā)展生產(chǎn)出海量數據資源，然而，大數據行業(yè)繁榮與隱憂(yōu)始終并存，其中最為惡劣的影響即是數據交易地下黑色產(chǎn)業(yè)鏈的形成。
一是外部攻擊者利用爬蟲(chóng)等技術(shù)竊取并倒賣(mài)個(gè)人數據。
二是“內鬼”常成為非法數據交易鏈源頭。
三是平臺之間實(shí)施暗箱操作，通過(guò)數據兜售進(jìn)行數據商業(yè)變現。
（二）數據跨境流動(dòng)帶來(lái)國家安全隱患
一是流轉到境外的情報數據更易被外國政府獲取。
二是我國戰略動(dòng)作易被預測，陷入政策被動(dòng)。
三是我國以數據為驅動(dòng)的新興技術(shù)領(lǐng)域競爭優(yōu)勢將被削弱。
（三）高價(jià)值特殊敏感數據泄露風(fēng)險加劇
一是政務(wù)數據具有極高的社會(huì )和經(jīng)濟價(jià)值，黑客將其作為攻擊目標可獲得更高的利益回報。
二是健康醫療數據具有高度隱私性和稀缺性，成為攻擊者的關(guān)注重點(diǎn)。
三是生物識別數據具有易采集和特征敏感性，成為攻擊者的主要目標。
（四）重要數據安全面臨外來(lái)攻擊威脅加大
一是具有政治背景的境外黑客逐漸加大對我國關(guān)鍵信息基礎設施攻擊力度，試圖獲取我國機密重要數據。
二是美國出臺的“分層威懾戰略”政策直指中國。
（五）新技術(shù)新應用催生新型數據安全風(fēng)險
新技術(shù)新應用在極大促進(jìn)生產(chǎn)力發(fā)展和人民生活便利同時(shí)，也帶來(lái)了安全方面的不確定性。
（六）互聯(lián)網(wǎng)平臺企業(yè)濫采濫用個(gè)人信息并實(shí)施數據壟斷
隨著(zhù)數據安全內涵的延伸和擴大，除了機密性、完整性和可用性等數據本身的安全之外，對數據合法合規的收集使用也成為了數據安全的重要組成。
（七）國際數據規則制定話(huà)語(yǔ)權與我國互聯(lián)網(wǎng)應用領(lǐng)先地位嚴重不匹配
通過(guò)對近期美國發(fā)布的系列報告和政策文件分析，拜登政府意欲通過(guò)與理念相近國家組成“共同體”，構建網(wǎng)絡(luò )安全聯(lián)盟，掌控數據安全規則制定主導權。
五
國內數據安全治理現狀
（一）數據安全政策持續加碼
一是，目前我國已出臺《網(wǎng)絡(luò )安全法》、《民法典》、《數據安全法（草案）》和《個(gè)人信息保護法（草案）》四部數據安全保護基本法律框架。
二是，圍繞基本法制定的配套法規制度也在加快制定出臺。
三是，數據安全相關(guān)國家標準密集出爐，包括數據跨境流動(dòng)、個(gè)人信息保護、新技術(shù)新應用數據安全防范、重點(diǎn)領(lǐng)域數據安全保護等方面。
（二）數據安全執法監督機制不斷完善
數據安全監管機構機制初步明確。當前，我國數據安全監管正從各部門(mén)分散監管向以中央網(wǎng)信部門(mén)統籌協(xié)調，行業(yè)主管部門(mén)、公安機關(guān)等部門(mén)各司其職的監管模式轉變。
（三）數據安全產(chǎn)業(yè)生態(tài)建設穩步推進(jìn)
積極促進(jìn)企業(yè)數據安全產(chǎn)品和解決方案在行業(yè)場(chǎng)景和新基建中的應用落地。
六
我國數據安全治理面臨的困境
（一）法律革新緩慢，數據行為秩序難規制
一方面，企業(yè)利用技術(shù)壁壘和快速革新優(yōu)勢，試圖鉆法律空子以脫離規制范圍。
另一方面，現有的法律制度難以對企業(yè)的數據商業(yè)使用行為進(jìn)行有效的規制。
（二）數據權屬爭議大，數據產(chǎn)權難確立
具體來(lái)說(shuō)，不同類(lèi)型的數據在權利內容上存在差異，且數據全生命周期鏈條上參與者眾多，數據權利不完全歸屬于同一個(gè)主體，數據主體的不同導致利益訴求的差異性，從而引發(fā)數據權利的沖突。
（三）數據活動(dòng)場(chǎng)景復雜，數據安全監管效能難提升
一是互聯(lián)網(wǎng)技術(shù)日新月異，實(shí)現數據安全監管全覆蓋難度大。
二是數據處理環(huán)節繁雜眾多，進(jìn)行數據安全監管定責難度大。
三是跨境監管沒(méi)有統一國際標準，開(kāi)展數據跨境流動(dòng)安全監管難度大。
七
對我國數據安全治理建議
（一）完善數據安全法制建設，奠定數據安全保護基礎
針對數據安全治理領(lǐng)域的痛點(diǎn)、難點(diǎn)問(wèn)題，加快健全數據安全法律法規制度。
（二）全面加強數據安全監督管理，促進(jìn)制度落實(shí)執行
一方面，建議進(jìn)一步探索建立分級分類(lèi)監管機制，構建中央和地方分類(lèi)監管、分級負責、權責一致的監管格局。
另一方面，在完善監管組織和機構職能的基礎上，建議積極主動(dòng)進(jìn)行監管方法和流程的創(chuàng )新，將可能的風(fēng)險點(diǎn)納入監管范圍，以適應復雜多變的數據活動(dòng)場(chǎng)景。
（三）建立平臺企業(yè)數據業(yè)務(wù)有序發(fā)展機制，保障數據合法合規使用
一是壓實(shí)平臺企業(yè)數據主體的管理責任。
二是增強平臺企業(yè)數據處理規則制定的外部參與性。
三是鼓勵企業(yè)提高數據安全競爭性。
（四）推動(dòng)數據安全產(chǎn)業(yè)發(fā)展，構建全方位數據安全保護生態(tài)
一是鼓勵數據安全保護技術(shù)研究。
二是進(jìn)一步推動(dòng)數據安全產(chǎn)品落地推廣。
三是培育數據安全培訓、測評、認證等公共服務(wù)。
（五）推進(jìn)全球數據安全治理，提升國際話(huà)語(yǔ)權
一是積極參與并推動(dòng)數字領(lǐng)域國際規則制定和完善。
二是加強數據安全國際治理的影響力輸出。
三是鼓勵企業(yè)參與國際競爭合作。
