人民周刊網訊（統籌/秦前松）2020年7月26日，由《華東政法大學學報》和華東政法大學數字法治研究院共同主辦的「數據安全立法的爭議與回應——《數據安全法（草案）》專題學術研討」會議順利召開。來自眾多高校的專家學者們圍繞數據安全立法的基本問題和制度設計兩方面內容展開研討與交流。
《華東政法大學學報》主編、華東政法大學數字法治研究院院長馬長山教授致辭指出，數位化時代的到來，使我們難以按照傳統的法律思維邏輯和規範設計來認識數字生活方式、把握數字生活規律，因此需要對新問題進行認真的探索和研究。關於《草案》的討論和建議，是法律人對立法科學化、民主化的擔當和貢獻。希望通過本次會議與優秀青年學者共同探索新問題、展望新事物，同時也為《華東政法大學學報》提供更多的選題方向，為數字法治研究院提供良好的合作環境。
第一階段 數據安全立法的基本問題
本階段由華東政法大學數字法治研究院副院長、科研處副處長陸宇峰教授主持，來自對外經濟貿易大學、中國人民大學、浙江工業大學、北京航空航天大學、廣州大學、寧波大學、華東政法大學的專家學者分別進行了發言。
對外經濟貿易大學法學院院長助理張欣副教授立足國際視野，分析國際數據治理環境和全球數據立法的趨勢，對我國數據安全立法的重要意義和現有問題展開探討。她指出，《草案》總則部分體現了三個重要的核心價值——安全、發展、開放，完成了四件事：一是明確了支持數據安全發展和開放的核心目標；二是確立了基本數據安全管轄制度，賦予該法必要的域外效力；三是明晰了數據安全的相關核心概念，如數據、數據活動和數據安全的釋義；四是確立了數據安全主體責任和監管職責。但同時，也存在相關概念未得到明晰界定、監管主體過於寬泛、縱向和橫向維度管轄權之間存在潛在衝突等問題。基於此，她提出，我國應當著力構建體現中國數據主權觀的數據治理機制和國際互信合作機制，在區域或雙邊經濟合作建設中積極地推進互信機制，從而在國際數據發展過程中奠定積極穩定的位置。
中國人民大學未來法治研究院副院長丁曉東副教授就「《數據安全法》的定位」問題，從國際和國內兩個層面提出未來可能面臨的爭議和挑戰。他指出，《草案》中很多條文存在規定過於嚴厲的情況與其產生背景和立法定位有很大關係。圍繞這部法律可能產生如下爭議：從國際層面看，如果部分外企和一些國際化的國內企業將該法律視為嚴格執行的法律，可能會造成不利的國際輿論或者產生反彈。應對國家數據安全挑戰，可以考慮更加符合數據原理與我國外交原則的數據戰略。例如可以考慮提出似「數據安全主權」與「數據人類命運共同體」的概念，替代傳統的「數據主權」概念。從國內層面看，第一，可能產生制度設計上如何落地、即誰來監管的問題；第二，傳統國家安全觀在數據這一特殊領域可能面臨一些調整，難以按照傳統方式運用屬地原則或條塊分割原則對風險進行監管；第三，如何協調進行合理的風險規制觀也是法律未來需要考慮的。
浙江工業大學吳習彧副教授就《草案》總則部分版本變化的立法特點分享如下見解：第一，《草案》立法主導基調發生變化，具有多元化的立法目標，即增加了數據發展和數據利用的問題，但這一部分內容不應是《草案》的重點和主體內容，而應是指南性的要求。第二，《草案》立法技術和思路上發生的變化，主要是指與先前出臺的《數據管理安全辦法》對比存在較大的差異；第三，數據概念定義方式發生變化，對於數據概念定義方式的外延和內涵顯得比較寬泛。第四，數據安全可能與已經正在實施的《國家安全法》《網絡安全法》和正在制定的《個人信息保護法》的關係架構之間存在某些重疊，還需要認真處理這些關係架構。
工信部工業和信息化法治戰略與管理重點實驗室辦公室主任、北京航空航天大學趙精武助理教授以「『數據安全』的法律定位」為題進行報告，他指出，第一，在管轄權問題上，《草案》刪除了《網絡安全法》第75條之中的「造成嚴重後果」的要件，「沾邊就管」可能是我國未來立法的趨勢；第二，關於數據概念的更新問題稍顯不足，「數據安全」和「網絡安全」可能共屬「國家安全」概念，前二者是並立關係；第三，《草案》忽略了對電信安全的關注，建議將第4條修改為「維護數據安全，應當統籌網絡安全與電信安全工作，建立健全數據安全治理體系，提高數據安全保障能力」，從而將電信安全同樣納入數據安全的統籌範圍之內。
浙江工業大學講師高魯嘉基於公法學視角，提出三點看法：第一，《草案》是一部宣示性意味較強的政策法，寬泛模糊的政策性話語表達過多，而法律的核心功能之一是穩定規範性預期，其具有穩定、剛性、明確的基本特徵，因而《草案》的規範性色彩有待增強；第二，《草案》是一部結構性混亂模糊的授權法，例如在數據安全監管體制方面，呈現監管原則雜糅、條塊關係混亂等特徵，加之國家安全、公共利益等不確定法律概念的泛化，為公權機關的肆意擴權提供了規範空間，不符合現代法治理念所要求的明確授權與權責統一等原則；第三，《草案》是一部融貫性有待提升的特別法，《數據安全法》應聚焦於維護數據安全，不應對其賦予過多的制度期待，並且要加強對譬如「數據」等核心範疇的界定，進而實現《數據安全法》自身的內部融貫以及與其它法律之間的外部融貫。
廣州大學講師張玉潔以「《草案》的非規範主義分析」為題，介紹了《草案》的制定背景和具體內容，並針對數據歸誰所有的問題，提出「以安全為基礎，加快數據市場建設雙重方向發展」。他認為，《草案》有兩方面特點，一是「超前」，即超前當前需求、階段超前、內容超前；二是「抽象」，即內容鬆散、期待地方發揮作用、「殭屍條款」較多。此外，《草案》的「安全」體現在數據內容和主體安全兩方面。對於重要數據如何疏通問題，他提出建立以公共數據資源歸國家所有的制度基石，將數據分為個人信息集合數據、公共商業數據、政務數據等三大類型，並採用數字稅、行政許可交易、懲罰性賠償和公益訴訟方式進行保護。
寧波大學講師金耀從立法目的出發，就《草案》中涉及數據利用與交易問題展開思考。第一，國外的數據流通利用規範已經比非常完備，從立法定位上看，《數據安全法》作為我國數據法領域的基礎性法律、也是第一部數據法，規定一些數據利用與交易的規範實有必要。第二，《草案》對數據交易的規定仍比較零散和粗糙，多為宣示意義上的規定，實質性能用的條款有三條，即第5條首次明確了通過數據自由流通實現數據要素化，第17條主張由國家建立健全數據交易管理制度，以及第30條首次將數據中介服務商納入數據法律規範。但其宣示意義對於將來數據流通利用規則的形成能夠提供很好的依據和指引。
華東政法大學博士生餘聖琪對《草案》分享了見解，指出其中三個核心定義——「數據」「數據活動」和「數據安全」定義的邊界不夠清晰、不具操作性，以及構建國家數據安全治理體系的路徑並沒有充分體現的問題。還談到數據安全主管體制不細化的問題，儘管規定了處罰金額，但設置的處罰力度不足、難以震懾數據違法行為。對此，建議可以加大處罰力度、豐富處罰種類，比如警告、訓誡、撤銷認證等多種形式。此外，她指出域外製度中我國的長臂管轄條款是一亮點規定，並對我國《數據安全法》後期更加細緻的規定表示期待。
第二階段 數據安全的制度設計
本階段由《華東政法大學學報》肖崇俊編輯主持，來自上海財經大學、北京科技大學、西南政法大學、中國政法大學、上海交通大學、中國社會科學院大學、武漢大學、上海大學的專家學者分別進行了發言。
上海財經大學法學院副院長胡凌副教授就《草案》第五章關於政務數據開放與安全管理的問題重點展開討論，他提出如下具體建議：一是統一術語，以明確外延。現有的「公共數據」「政務數據」「政府數據」應統一為「公共數據」，以與《網絡安全法》《電子商務法》保持一致。二是細化制度，包括第35條關於收集的規定，應強調收集政府數據須遵循的原則；第36條關於管理的規定，涉及公共數據應有開放監測預警的備份和風險評估；第37條關於委託儲存、加工和提供的規定，應明確關於第三方主體的資質和義務問題；第38條關於數據公開，也應規定公開產生問題後的救濟方式；以及第45條關於責任問題僅規定了處分，應根據情節輕重先規定責令改正、情節嚴重時處分、最後構成犯罪的依法處理。
北京科技大學張凌寒副教授以「數據風險管控的前置制度如何對接行政監管」為題進行探討。她談到在其他世界各國和地區對於數據保護的認證數據安全評估的相關制度中，已有對認證機構和認證機構職責作出相關具體職責規定，其中對於認證的實踐主要是由一些具有權威性的企業等第三方組織進行的非營利性組織的認證。對於我國將來的數據安全治理制度，她指出，數據安全認證和評估應結合現有的《草案》和相關法規。此外，區分重要數據和高敏感數據處理活動，可以適用強制性制度予以規範；而一些非重要的或非敏感領域的數據處理活動，可推行自願認證和評估制度，從而建立一個輕重得當的綜合數據安全治理體系。
西南政法大學自動駕駛法律研究中心主任鄭志峰副教授採用規範分析的路徑，以民法學的角度闡述《民法典》與《草案》之間的互動關係。一方面，《草案》可能會重新定義個人信息和數據的概念，對於《民法典》如何界定數據和個人信息有很大的衝擊；同時，可能會為個人信息保護提供新思路，如《草案》第27、28條所引入了數據影響評估機制。另一方面，《民法典》可以為數據安全立法提供標準、參考或借鑑，包括：誠實信用、公平等民法基本原則的貫徹；數據利用的豁免規則；以及民事基本制度在數據安全立法中的應用，如數據的徵收和徵用。
中國政法大學大數據和人工智慧法律研究中心主任沈偉偉副教授從公法角度對《草案》第三章第21條「數據安全應急管理機制」進行解讀。他認為，由於《網絡安全法》《國家安全法》類似規定的存在，第21條僅有宣示性作用而缺乏實質作用，還可能觸發負面國際輿論。對此，建議通過條文的修改賦予其實質作用，具體而言，一是明確責任主體，二是強調應急管理機制的預防和準備階段，並簡化響應階段，三是著重考量應急管理機制的恢復階段。因此，《草案》中的應急處理機制條款仍有所欠缺、有待修改。
上海交通大學數據法律研究中心執行主任何淵副教授結合《草案》第32、33條之規定，以「數據主權條款是否必要」為題進行闡述和解讀。他總結了國際背景並提出中國的立場，認為《草案》第32、33條應該表達數據主權。具體而言，中國應該確立安全風險防範為主同時兼顧數字經濟發展的模式，保持中國政府對境內數據的絕對自主可控制權，同時實現中國的「數據長臂管轄」，設置動態的「適格外國政府白名單」，根據中國的標準納入白名單的外國政府有可能直接調取中國境內數據，在國際交流當中應當實現國與國之間的對等。
中國社會科學院大學網際網路法治研究中心執行主任劉曉春首先針對《草案》的功能定位進行闡述，提出該立法應該為我們的制度提供基礎依據；其次，與《網絡安全法》相比這部草案中的一些概念和制度設計還需要進一步體系化、具體化。對此，她建議：第一，在場景化的前提下提煉一般原則，對相應主體權限、分類原則以及其他制度基礎的限定作出細化規定；第二，確立具有共識的具體制度而不是浮於轉致條款或者宣示性條款之上；最後，在法律層面釐清公權力和私權利的邊界。
武漢大學講師敬力嘉從刑法學角度，談及《草案》與刑法刑責的銜接問題，從對象、行為、主體和處罰銜接四個方面進行闡述。他指出，兩法規制對象和主體不同，刑法並不直接評價數據活動本身、而是把數據活動行為交由網絡信息數據領域的基礎法律法規進行規範，在處罰機制的銜接問題上，《草案》第41-48條關於法律責任的規定可以進一步細化，有助於進一步充實拒不履行信息網絡安全管理義務罪中規定的責令改正內容，使刑法對於數據處理主體的處罰邊界更加清晰。總體而言，《草案》對於完善我國數據治理領域的基礎法律規範框架，特別是對於限定刑法處罰邊界具備非常重要的價值。
上海大學法學院講師陳吉棟從《民法典》個人信息保護角度談及《草案》的相關問題。在解讀《歐洲人權公約》第8條和《歐洲基本權利憲章》第7、8條規定的基礎之上，闡述了個人隱私、數據和大數據之間的關係。他指出，《民法典》的編纂和個人信息保護立法以及當前的數據安全立法具有內在關聯。
學術總結
本階段由《華東政法大學學報》宮雪編輯主持，華東政法大學數字法治研究院副院長韓旭至副研究員進行學術總結。總結髮言指出，本次會議以青年學者為主，極具特色。會議立足中國視角，對《草案》的總則和各項細則的問題進行了充分展開。首先是立法定位問題，學者們均意識到立法目標不一樣會導致內容以及形式上的差異。此外，《草案》如何與相關法律進行對接、如何明確基本範疇、如何落實宣示性條款等問題亦備受關注。歸根結底，《草案》修改的根本方向應在於必須回歸法治的目標和理念，以限制權力的理念進行賦權，在實現國家安全的同時捍衛個人權利。
（本文由「數字法治」公眾號特約編輯、華東政法大學碩士研究生馮丹協助整理）
編輯：楚予