數據安全的含義
《數據安全法》將數據安全界定為“數據處于有效保護和合法利用的狀態(tài)，以及具備保障持續安全狀態(tài)的能力”，該定義在強調“有效保護”的同時(shí)，突出強調了“合法利用”，由此可見(jiàn)，我國《數據安全法》所維護的數據安全并不是靜態(tài)的安全，而是動(dòng)態(tài)的安全，并非僅指數據存儲的安全，而是指包括數據的收集、存儲、使用、加工、傳輸、提供、公開(kāi)、銷(xiāo)毀等各個(gè)環(huán)節的全生命周期的安全。
數據安全不同于信息保密。數據是以電子或者其他方式對信息的記錄。從數據所反映的信息內容來(lái)看，屬于國家秘密的，應當適用《保守國家秘密法》等法律、行政法規的規定；屬于商業(yè)秘密和個(gè)人隱私的，則應當適用保護商業(yè)秘密的法律和民法典中的相關(guān)規定，而大量的既不屬于國家秘密亦不屬于商業(yè)秘密或個(gè)人隱私的數據，雖然并不涉及保密的問(wèn)題，但是其數據處理過(guò)程仍應適用《數據安全法》。區分數據與信息的重要意義還在于，對于許多數據而言，僅就單個(gè)數據在其孤立、靜止的狀態(tài)下所體現的信息而言，可能并無(wú)秘密或敏感性可言，然而，其在特定的應用場(chǎng)景之下，或者與其他大量的分散數據相結合而進(jìn)行大數據分析，則有可能從中挖掘出影響到國家安全、公共安全和私人民事權益的信息。
保護數據安全不同于《網(wǎng)絡(luò )安全法》所規定的“保障網(wǎng)絡(luò )數據的完整性、保密性、可用性”?！毒W(wǎng)絡(luò )安全法》背景下的數據安全主要強調防止數據泄露、毀損、被篡改或未經(jīng)授權訪(fǎng)問(wèn)，而《數據安全法》背景下的數據安全除了涵蓋上述具有保護性的內容以外，還額外強調數據利用、數據流通中的安全，其是以數據有可能被他人使用為前提，以規范數據交易、禁止數據濫用為手段，防范他人通過(guò)數據處理活動(dòng)危害國家安全、公共安全和私人民事權益。
數據安全的立法目的
《數據安全法》第一條規定：“為了規范數據處理活動(dòng)，保障數據安全，促進(jìn)數據開(kāi)發(fā)利用，保護個(gè)人、組織的合法權益，維護國家主權、安全和發(fā)展利益，制定本法。”我國《數據安全法》雖然名為數據安全，但是并沒(méi)有將數據安全作為該法唯一的立法目的，也沒(méi)有以保障數據安全的名義禁止數據的利用，而是強調“以數據開(kāi)發(fā)利用和產(chǎn)業(yè)發(fā)展促進(jìn)數據安全”，并且有大量的條款涉及促進(jìn)數據利用和政務(wù)數據開(kāi)放的內容。在當今時(shí)代，隨著(zhù)以互聯(lián)網(wǎng)、大數據、人工智能為代表的現代信息技術(shù)的廣泛應用，當今社會(huì )正在加速進(jìn)入信息化、數字化時(shí)代。特別是隨著(zhù)5G技術(shù)和工業(yè)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)的發(fā)展，各類(lèi)智能傳感器遍布在人類(lèi)生產(chǎn)、生活的各個(gè)角落，萬(wàn)物互聯(lián)的時(shí)代即將到來(lái)，無(wú)論是人的生理狀態(tài)、自然環(huán)境監測指標，還是人們從事政治、經(jīng)濟和社會(huì )生活的方方面面，幾乎均可實(shí)現“數據化”，并且可以非常低的成本實(shí)現數據的收集、傳輸、整合和分析。數據已不僅僅是數字經(jīng)濟的要素，而是已成為智能社會(huì )正常運轉的要素。在當今大數據時(shí)代，靜止狀態(tài)已不再是數據的常態(tài)，而流動(dòng)、利用等動(dòng)態(tài)形式才是數據的常態(tài)，通過(guò)抑制數據的流動(dòng)、利用來(lái)實(shí)現數據安全的目的已不現實(shí)，科學(xué)的數據安全立法應當建立在數據需要充分利用的現實(shí)基礎之上。
從立法所維護的利益角度來(lái)看，《數據安全法》不僅將國家主權、安全和發(fā)展利益置于重要地位，而且，還強調維護公共安全，保護個(gè)人、組織的合法權益。其實(shí)，從動(dòng)態(tài)的視角來(lái)看，國家利益、公共利益與和個(gè)人、組織的利益并不是截然分開(kāi)的，而是相互影響的。國內外的眾多事例表明，當大規模的個(gè)人數據被非法收集、處理時(shí)，受到侵害的不僅是個(gè)人的權益，公共安全和國家安全亦有可能受到影響。
數據分類(lèi)分級管理制度
在現實(shí)生活中，數據總是在隨時(shí)隨地產(chǎn)生，其類(lèi)型紛繁復雜，其應用場(chǎng)景不同，關(guān)涉的利益不同，遭受竊取、毀損、濫用的風(fēng)險不同，有可能產(chǎn)生的危害后果亦有所不同。如果為所有類(lèi)型的數據處理活動(dòng)統一規定相同的安全保障水平，那么，其有可能對于某些類(lèi)型的數據而言保護水平過(guò)低，而對于另一些類(lèi)型的數據而言則保護水平過(guò)高。因此，通過(guò)對數據進(jìn)行分類(lèi)分級而采取差異化、針對性的規制方法十分必要。
我國的《數據安全法》是根據數據在經(jīng)濟社會(huì )發(fā)展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，對國家安全、公共利益或者個(gè)人、組織合法權益造成的危害程度，對數據實(shí)行分類(lèi)分級?；跀祿踩哪康?，數據可以劃分為一般數據和重要數據，立法者對重要數據規定了特殊保護措施，對于重要數據處理者施加額外的法律義務(wù)。例如，重要數據的處理者應當明確數據安全負責人和管理機構，并且在進(jìn)行數據處理活動(dòng)時(shí)應當依法履行數據安全風(fēng)險評估義務(wù)，而對于一般數據處理者則并沒(méi)有這方面的明確規定。此外，《數據安全法》還在重要數據的分類(lèi)基礎上，將那些關(guān)系國家安全、國民經(jīng)濟命脈、重要民生、重大公共利益等數據確定為國家核心數據，并對其采取更加嚴格的保護措施，以與其所存在的安全風(fēng)險保持一致。需要注意的是，在對數據進(jìn)行分類(lèi)分級時(shí)并不是基于該數據的孤立狀態(tài)進(jìn)行評定，而是需要充分考慮到其應用場(chǎng)景以及該類(lèi)數據在利用過(guò)程中與其他數據進(jìn)行匯集的可能及產(chǎn)生的效應，既要進(jìn)行定性分析，也要進(jìn)行定量分析。因此，對數據類(lèi)型的劃分也需要進(jìn)行定期評估和動(dòng)態(tài)調整。
數據安全風(fēng)險管理制度
維護安全是需要成本的，我們所追求的數據安全并不是絕對的安全或不計一切代價(jià)的安全，而是合理程度的安全、相對的安全，是建立在風(fēng)險測算基礎之上的有管理的安全，是將風(fēng)險控制在社會(huì )可接受的限度內的安全。安全的對立面是風(fēng)險，因此，我們可以從應對風(fēng)險的角度來(lái)理解數據安全，這就需要建立一套應對數據安全風(fēng)險的識別、評估、報告、監測預警、應急處置和信息共享機制。
就評估機制而言，依照我國《數據安全法》要求，重要數據的處理者應當按照規定對其數據處理活動(dòng)定期開(kāi)展風(fēng)險評估，并向有關(guān)主管部門(mén)報送風(fēng)險評估報告。關(guān)鍵信息基礎設施的運營(yíng)者在中華人民共和國境內運營(yíng)中收集和產(chǎn)生的個(gè)人信息和重要數據，因業(yè)務(wù)需要，確需向境外提供的，依照《網(wǎng)絡(luò )安全法》的要求，應當進(jìn)行安全評估；其他數據處理者在中華人民共和國境內運營(yíng)中收集和產(chǎn)生的重要數據的出境，依照《數據安全法》的規定，亦應當依照有關(guān)規定進(jìn)行安全評估。此外，依照我國正在制定中的《個(gè)人信息保護法（草案）》，個(gè)人信息處理者處理敏感個(gè)人信息、利用個(gè)人信息進(jìn)行自動(dòng)化決策、委托處理個(gè)人信息、向他人提供個(gè)人信息、公開(kāi)個(gè)人信息，以及向境外提供個(gè)人信息，都應當進(jìn)行風(fēng)險評估。對于那些存在危及國家安全風(fēng)險的數據處理活動(dòng)，依照《數據安全法》還應當進(jìn)行數據安全審查。數據安全審查的目的在于保障國家安全，而對國家安全的理解應當回到《國家安全法》中，從總體國家安全觀(guān)出發(fā)來(lái)審視數據處理活動(dòng)有可能存在的安全風(fēng)險。
只要人類(lèi)社會(huì )不斷地產(chǎn)生、使用數據，那么，數據安全的風(fēng)險就會(huì )始終存在。為此，我們需要一直保持數據安全的意識，充分運用《數據安全法》所提供的各種手段，準確識別風(fēng)險、合理控制風(fēng)險。
?。ㄗ髡咧軐W(xué)峰系北京航空航天大學(xué)法學(xué)院教授）
編輯：薛姣
