《电子商务法》中“安全保障义务” 与“网络安全保障义务”辨析

《电子商务法》颁布后，相关学者、律师、法务工作者均作了不同程度解读，不断加深对该法的理解，通过深入学习使笔者受益非浅。但同时笔者也注意到很多文章都将本法中的“安全保障义务”与“网络安全保障义务”等同为同一个概念，没有进行区分解读。本文主要围绕《电子商务法》中规定的“安全保障义务”与“网络安全保障义务”两个法律术语进行简要辨析。
《电子商务法》用不同的条款规定了电子商务平台经营者应承担的“安全保障义务”和“网络安全保障义务”，具体术语分别出自于第三十八条第二款：“对关系消费者生命健康的商品或者服务，电子商务平台经营者对平台内经营者的资质资格未尽到审核义务，或者对消费者未尽到安全保障义务，造成消费者损害的，依法承担相应的责任。”，以及第七十九条：“电子商务经营者违反法律、行政法规有关个人信息保护的规定，或者不履行本法第三十条和有关法律、行政法规规定的网络安全保障义务的，依照《中华人民共和国网络安全法》等法律、行政法规的规定处罚。”虽然都包含安全保障义务，但两者却并不属于上下位概念，在义务性质、立法目的、保护客体、责任承担等方面都存在着较大的差异。
一、义务性质不同
《电子商务法》第三十八条第二款所述的“安全保障义务”采用的是狭义的概念，是侵权责任中的安全保障义务由物理场所向网络领域的延伸。具体而言，我国的安全保障义务是以德国的一般安全注意义务为基础，剥离出并着重调整那些尚未被法律、法规纳入规范范围的一般安全注意义务类型，它在客观上可以在法无规定或合同没有约定的情况下为当事人提供请求权基础。
简言之，安全保障义务，是在法律没有具体规定和当事人没有约定的情况下义务人所承担的一种最基本的义务，可以通过约定高于其标准，但不得通过约定免除该义务或降低其标准。
而网络安全保障义务，是根据法律的具体规定而承担的法定义务。《电子商务法》第三十条对电子商务平台经营者网络安全保障义务的内容进行了明确：“电子商务平台经营者应当采取技术措施和其他必要措施保证其网络安全、稳定运行，防范网络违法犯罪活动，有效应对网络安全事件，保障电子商务交易安全。”《网络安全法》也用了大量篇幅对网络运营者的网络安全保障义务和责任承担作出了更为详细的规定。
二、立法目的不同
安全保障义务的设立是在诚实信用原则之下基于分配正义的需要发展起来的，是对义务人不作为的救济，其设置的法理依据主要是：
1.危险控制理论的要求。即从事特定社会活动的人对因从事该活动所使用的场所具有他人不可比拟的控制力，所以其理应承担一种从事该社会活动的安全保障义务。这种义务通常源于他对危险源的控制能力。
2.收益与风险相一致的要求。从危险源中获取经济利益也经常被视为有制止危险义务的人，从该社会活动中谋利对其课以相应的安全保障义务也是合理的。
3.经济分析和比较结合论的要求。从社会经济学的角度分析比较,安全保障义务人避免和减轻该“危险”发生的成本是最低的,对于节约社会总成本而言,其应当承担必要和适当的安全保障义务。
而网络安全保障义务，是根据当今信息技术时代的特点，为保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展的目的，而赋予网络运营者的法定义务。具体到《电子商务法》中电子商务平台经营者的网络安全保障义务，其立法目的则是保障电子商务交易安全，保障电子商务各方主体的合法权益。
三、保护客体不同
《电子商务法》仅规定电子商务平台经营者对关系消费者生命健康的商品或者服务负有安全保障义务，由此可见平台经营者的安全保障义务保护的客体仅是消费者的生命和健康安全，并不包括其他人身权益以及财产权益。
而根据《电子商务法》及《网络安全法》的规定，网络安全保障义务保护的客体则非常广泛，具体包括网络运行安全、网络信息安全、电子商务交易安全等。我们常说的“木马病毒”模拟网购支付界面骗取用户钱财、第三方利用从电商平台或商家购买或盗取的用户个人信息对用户进行产品服务推销甚至诈骗等网络安全问题就属于网络的运行安全和信息安全，即均属于网络安全保障义务的范畴。
四、责任承担不同
最高人民法院《人身损害赔偿司法解释》将违反安全保障义务纳入侵权责任的范畴，义务人未尽合理限度范围内的安全保障义务而致他人遭受人身损害时才承担责任，属于不作为侵权，承担的是民事侵权责任。具体到《电子商务法》，要求电子商务平台经营者应当对关系消费者生命健康的商品或者服务，在合理限度范围内对消费者尽到安全保障义务，比如采取不定期核验等方式，尽可能确保商品或服务符合相关标准。
而根据《电子商务法》和《网络安全法》规定，违反网络安全保障义务，既可以是以作为的方式，例如窃取或者以其他方式非法获取、非法出售或者非法向他人提供公民信息等，也可以是以不作为方式，例如对其产品、服务存在的安全缺陷、漏洞等风险未立即采取补救措施等。而关于责任的承担，《网络安全法》规定，由有关主管部门责令改正、给予警告、处以罚款等，属于行政责任，即使没有造成他人损害，也要承担该行政责任。如果给他人造成了损害，则同时应依法承担民事责任。