解读《数据安全法（草案）》

2020年6月28日，人大常委会首次审议了《数据安全法（草案）》（以下简称“草案”），并随后公布了草案全文，向社会征求意见。作为中国第一部专门针对数据安全的立法，其凝结了立法者对于数据安全与国家、经济、社会安全关系的基本认知，勾勒出我国未来数据安全保护方面的主要制度框架，不仅对中国的数据安全实践意义重大，也将对处理中国数据的中国和外国组织、个人产生深远影响。
一、适用范围的几个关键概念
数据
1.根据《草案》第三条第一款，“数据”是指“任何以电子或者非电子形式对信息的记录”。此定义的内涵和外延更加宽泛，表达了一种更加客观的存在。并且需要注意的是，以非电子形式记录的信息处理活动也需符合数据安全的合规要求。
2.而《草案》对于数据的定义也使其可以和“个人信息”等概念做一定的区分：《草案》第四十九条规定，涉及国家秘密或个人信息的数据活动，遵守相关法律法规的规定，因此留出了《个人信息保护法》的制定空间。
数据活动
根据《草案》第三条第二款，“数据活动”是指“数据的收集、存储、加工、使用、提供、交易、公开等行为”。
适用范围
（1）《草案》的规范对象是中华人民共和国境内开展的数据活动。
（2）域外效力：就适用地域而言，值得注意的是草案中第二条第二款规定的《数据安全法》的域外效力。因此，不仅中国境内开展的任何数据活动需要适用《数据安全法》；在中国境外开展的数据活动，若损害中国国家安全、公共利益或者公民、组织合法权益，也可能根据《数据安全法》受到制裁。
二、数据分级分类和重要数据保护
数据分级分类和重要数据保护制度作为重要的数据安全制度被规定在第十九条。在数据安全法草案出台之前，我国已经对金融、电力、卫生健康、关键基础设施等重点领域中规定了数据分级分类制度保护的要求标准。草案第十九条借鉴了国标《信息安全技术网络安全等级保护基本要求》第5.1条的表述，提出按照数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者公民、组织合法权益造成的危害程度，对数据实行分级分类保护。
需要进一步关注的是，《数据安全法》作为上位法仅是概括性地提及了数据地分级分类保护。但是，本法并没有规定任何的具体举措。因此，数据分级分类将如何开展，企业和其他相关主体需要对此保持关注。
《草案》第十九条第二款规定了重要数据的重点保护制度，要求各地区各部门按照国家规定确定重要数据保护目录。草案在第二十五条第二款规定了重要数据处理者设立数据安全负责人和管理机构的义务，第二十八条规定了重要数据处理者进行风险评估的义务。
上述条款的制定也使“重要数据”的界定成为受广泛关注的内容。《草案》不再采用《数据安全管理办法（征求意见稿）》、《网络安全法》等定性定义的方式识别“重要数据”，而是考虑制定重要数据保护目录，以列举的方式明确“重要数据”的范围。因此，企业和相关主体也需要关注更明确的指引的出台。
三、数据交易
数据交易是本次《草案》关注的另一重要内容。《草案》第三条即规定，数据交易属于数据活动，因此数据交易具有正当法律地位。《草案》第十七条也规定国家建立健全数据交易管理制度，规范数据交易行为，培育数据交易市场。
对于数据交易，《草案》第三十条对数据交易中介设立义务：数据交易中介机构应当要求数据提供方说明数据来源，并且审核交易双方身份，留存审核、交易记录。《草案》第四十三条也设立了相关的法律责任。
草案并未对数据交易具体制度作出规定，或希望留待实践中根据具体数据类型和应用场景探索。如何通过必要的强制性规则和自律性监管培育和规范数据交易行为、构筑良好的数据交易市场秩序，也需要各方的长期努力。
四、国家安全和数据主权
国家安全保护是本次数据安全法立法的出发点之一。数据安全是国家安全的组成部分，并且在数据时代更显重要。草案的立法说明中明确提出：“数据是国家基础性战略资源，没有数据安全就没有国家安全……应当按照总体国家安全观的要求，通过立法加强数据安全保护，提升国家数据安全保障能力……切实维护国家主权、安全和发展利益”。
《草案》第二十二条明确规定了数据安全审查制度。“影响或者可能影响国家安全的数据活动”需要受制于国家安全审查。《草案》第二十三条规定了数据的出口管制。“与履行国际义务和维护国家安全相关的属于管制物项的数据”将被实施出口管制。
但是，尽管国家安全审查和出口管制制度对于个人、企业和其他主体均可能产生实质性影响，其管制标准或审查条件尚未在《草案》中明确。因此，需要紧密关注后续立法和制度建设对此的进一步明确，特别是判断标准、审查程序、审查结果和救济方式。
同样需要注意的是，根据《草案》第二十二条，安全审查的决定为最终决定，似乎意味着排除了司法救济。这对于企业和个人未来在数据上的合规性可能提出了更高的要求。
数据时代，数据成为国家基础性战略资源。因此，在鼓励数据自由流动带来经济效应的同时，数据主权日益重要。《草案》第二十四条规定，如果其他国家或地区在数据和数据计时方面对中国采取不利措施的，中国可以进行对等反制。《草案》第三十三条规定，境外执法机构要求调取储存于中国境内的数据的，未经主管机关批准，任何境内组织和个人不得提供。
五、数据安全保护义务
表1：数据安全保护义务

六、政务数据
政务数据是数据领域最重要和最具公共性的资源之一，因此具有非常高的价值。政务数据的安全和开放也因此成为数据整体安全中重要的一环。目前，部分地方政府已经开始尝试政务数据的开放，如上海市的公共数据开放平台和相关办法的实践。草案从国家层面的政务数据开放入手，希望有助于协调不同地区、不同行业、不同层级政府之间的政务数据开放实践，推动全国范围内统一的政务数据开放和共享。
草案第五章规定了国家机关的职责和义务，包括依法在职责范围内按法律法规规定的程序收集、使用数据，并应当建立健全数据安全管理制度、落实数据安全保护责任。草案第三十七条特别规定了国家机关委托他人存储、加工或者向他人提供政务数据，应当经过严格批准程序，并且监督接收方履行相应的数据安全保护义务。
草案第三十八、三十九条规定了政务数据开放的内容和范围。政务数据的开放应当遵循公正、公平、便民的原则，并且开放及时、准确。第三十九条规定国家制定政务数据开放目录，建立统一、互联的政务数据开放平台。草案第四十条规定，具有公共事务管理职能的组织在履行职能时开展数据活动，适用政务数据管理要求。
但是，正如第三十八条中所提示，政务数据中仍然存在依法不予公开的内容，考虑到政务数据中除了具有必要的公共属性，也同时可能涉及不同主体的利益，如何在不同主体权益之间找寻到政务数据开放利用的平衡点，可能是未来在政务数据安全与开放领域仍需要持续关注的议题。
七、法律责任
表2：违反数据安全法的法律责任

八、对企业主体的影响
可以看出，草案针对数据安全的各项监管规则设计仍处在相对初期的阶段，对于数据分级分类、重要数据保护、数据安全审查、数据交易等尚处在初步确立有关制度的层面，而各类制度的细化规则指引，包括行业内普遍关心的诸如非域外执法场景下的数据跨境规则等有待进一步制定和明确。
对于企业而言，从草案的有限条款中，可以关注其释放的某些信号，以适时把握国内针对数据保护制度的发展趋势和立法动向，在目前对自身涉及数据处理活动的业务模式和内部管理机制等进行针对性的调整，以满足可能的合规性要求：
1.关注重要数据合法合规，完善数据分级分类制度体系。未来随着《数据安全法》的颁布生效，数据的分类分级管理制度将极有可能成为企业一项重要的法定义务。建议企业开始审视自身业务模式中所涉及到的数据类型和内容为数据分级分类管理做好准备。
2.关注非个人信息数据的安全管理工作。目前，企业已经开始重视对于个人信息的保护，立法也开始予以足够重视。但对于个人信息以外的数据而言，企业也应当做好更宽泛的数据规制和安全管理的准备。
3.建立数据跨境内部管理流程机制。数据跨境流动已经上升到国家主权和国家安全层面，监管部门对于企业的数据跨境流动也将可能形成更加严格的规制要求。因此，建议企业梳理业务模式中所涉及到的数据跨境流动问题，适时建立针对性的内部监管和风控机制。
4.加强数据采集来源和第三方数据源可靠度的审查。考虑到草案在数据获取合法性上的明确要求，对于第三方数据提供者在数据合规方面的管控也将愈发重要。对此，企业也可以考虑尝试优化自身的数据获取和管理的模式，对于各类数据采集的技术、手段等适时进行合规性审查。