（原標題：企業有哪些數據安保義務?《數據安全法》這樣說）

還有不到一個月的時間，我國數據安全領域的法律《數據安全法》就要正式施行。《數據安全法》并非《網絡安全法》《國家安全法》《個人信息保護法》的下位法，而是同一咖位。對于當下社會中的絕大多數企業而言，這部法律都會影響企業在數字化運營中如何與國家賦予的義務平衡的問題。

一、《數據安全法》的定位

對于市場主體而言，《個人信息保護法》《數據安全法》似乎都是規制企業在線上收集、使用公民個人信息等數據的問題。有人甚至認為兩者功能重合，再出一部法律是重復勞動。

實則不然，《個人信息保護法》的法理基礎是“通知--同意”，解決了私權利個人數據控制的問題，實際上是給信息主體進行賦權，出臺是為了回應彼時公民個人信息被竊取、濫采、非法交易等社會當時亟待解決的問題。同時，《數據安全法》的法理基礎是“風險--安全”，解決公權力對數據安全的保障問題，實際上是給數據安全的監管和被監管主體相應義務。

《數據安全法》是人大常委會制定的法律，法律位階頗高，并非母法之外的其他法律之下位法。而對于帶有“安全”二字的法律，目前在我國有十一部，可見安全這一價值的地位。

二、三個基本定義

周末參加某閉門研討會時，對于什么是“數據”？學者和業界合規人士的理解不同。從刑法的角度講，數據是“計算機信息系統中存儲、處理或者傳輸的數據”，基本上就是循環論證。從數據安全法角度，直接給出了官方定義：“數據，是指任何以電子或者其他方式對信息的記錄。”

從如上定義中，我們發現三個關鍵詞：任何、電子或其他、信息，這種立法技術主要目的是將能夠概括進來的內容都囊括進來，無可厚非。但在實踐中，容易出現與立法目的不那么符合地解讀，比如原始人在石頭上的巖畫，原則上也是本法所稱數據。颯姐比較擔心，在具體執法過程中基層工作人員可能會對數據的概念置之不顧，因為Ta知道反正啥都能往里面裝。

第二個基本定義：數據處理，包括數據的收集、存儲、使用、加工、傳輸、提供、公開等。也就是說，從社會一般人角度，對于數據處理尤其是數據處理者的理解可能是大數據公司，那些喊著數據就是未來的企業。但實際上，數據處理非常具化，滲透到企業的每一個運營細節中，且不說每天千萬級的物流行業、金融行業，就是普通的實體小公司也有大量的信息記錄（數據）不斷產生，因此，本法規制的范圍何其廣也。

第三個基本定義：數據安全，是指通過采取必要措施，確保數據出于有效保護和合法利用的狀態，以及具備保障持續安全狀態的能力。這個定義可分為兩個時間段，一是面對當下，要確保對data有效保護和合法利用的狀態；二是面對未來，要冗余持續保障安全狀態的能力。這對市場主體提出了更高的要求，摒棄之前水來土掩的單一應對方法，積極主動參與到數據安全的全過程之中。

三、數據安全治理的機制

數據安全有自己的治理體系，堅持總體國家安全觀，中央國家安全領導機構負責國家數據安全工作的決策和議事協調，指定重大方針，各地區、部門對本轄區、領域內數據及數據安全負責，各行業承擔本行業內數據安全監管職責、公安機關、國安機關承擔數據安全監管職責、網信部門負責協調網絡數據安全和監管工作。

承認個人、組織與數據有關的權益，鼓勵數據有效利用、依法流動，促進以數據為關鍵要素的數字經濟發展。

在條文中，我們能看到“科技向善”的倡導，在開展數據處理活動時，尊重社會公德、倫理，遵守商業道德和職業道德，誠實守信，承擔社會責任。

在行業自律方面，相關行業指定行為規范和團體標準，提高數據安全保護水平，促進行業健康發展。同時，賦予社會主體監督權，任何個人、組織都有權對違反本法規定的行為投訴、舉報。

在國際交流方面，我國是開放的態度，國家積極開展數據安全治理、數據開發利用等領域的國際交流與合作，參與數據安全相關國際規則和標準的指定，存進數據跨境安全、自由流動。

四、“使用”與“安全”之間的博弈

以“使用”促“安全”，以“安全”促“使用”，這是數據安全法給出的解決方案。我國推行大數據戰略，推進數據基礎設施建設，就勢必要支持和鼓勵數據的商用，這是大勢所趨。

各省也會將數字經濟發展納入本級國民經濟和社會發展規劃之中，也許，這將是房地產之后，帶動我國經濟高速發展的另一個引擎。

欣喜地看到，《數據安全法》在促進數據公共服務智能化方面，特別指出了對老年人、殘疾人日常生活是否造成障礙的考量，這是一種“反歧視”的前瞻規定，點贊。

可以確定的是我國將推進數據開發利用技術和數據安全的“標準體系建設”。對于大家關心的“數據交易”是否需要行政許可等牌照，本法并未給予明確回應，以現有法律環境看，對數據分類分級管理后，也許會采取備案或許可方式進行數據流轉，甚至跨國流轉。

五、數據安全制度設計

國家設立數據分類分級保護制度，對于通過隱私計算等將數據脫敏后的數據，颯姐認為有機會得到更為寬松的發展空間。

分類分級的依據：1）數據在經濟社會發展中的重要程度；2）一旦遭篡改、破壞、泄露或者非法獲取、非法利用，對國家、社會和個人權益的危害程度。

核心數據、重要數據會被區分出來，分類加強管理。各地、各部門有權指定重要數據具體目錄，對列入目錄的數據進行重點保護。

可以預測，未來我國將設立同意的數據安全風險評估、共享、報告、監測預警機制，并建立數據安全應急處置機制。同時，對于數據安全審查制度，通過網約車海外上市事件，已經開啟。請注意，這種審查是終局決定（法院是否會接受相關行政訴訟，拭目以待）。

針對歐盟、美國等國家和地區的數據方面歧視性禁止或限制，我國不會聽之任之，將采取反制措施。

六、企業的數據安全保護義務

對于涉及數據處理活動的企業而言，數據安全義務可總結為：

1、建立健全全流程數據安全管理制度；

2、開展數據安全教育培訓；

3、采取相應技術措施和其他必要措施；

4、履行網絡安全等級保護制度設置的相應義務；

5、明確重要數據處理者的安全負責人和管理機構，落實責任；

6、開發數據新技術，應當有利于社會發展、增進福祉；

7、加強風險預測，及時采取補救措施；

8、發生安全事件，立刻采取處置措施并告知用戶+匯報主管部門；

9、重要數據處理者定期開展風險評估，并報送風險評估報告給主管部門；

10、關鍵信息基礎設施的運營者在境內收集產生的重要數據，應遵循出境安全管理要求；

11、收集數據，應當合法、正當；

12、在法律、法規規定范圍內收集和使用數據；

13、數據交易中心，應要求雙方KYC，并留取交易記錄備查；

14、法律規定處理數據需要行政許可的，要提前獲得許可；

15、配合公安、國安部門辦案時調取數據；

16、非經主管部門批準，境內組織、個人不得向外國司法或者執法機構提供出儲存在我國境內的數據。

七、政務數據安全與開發

這一章節，有一個要點需要提醒：國家機關外包IT政務系統，要注意外包公司的相關風險，不僅需要嚴格的批準程序，還需要監督受托方履行相應數據安全保護義務。

受托方應當依法、依規履行數據安全保護義務，不得擅自留存、使用、泄露或者向他人提供政務數據。這就給技術團隊提出了更高的要求，倘若委托方要求“留后門”，如何留，解決方案的探討過程需要留痕，以證清白。

本文系未央網專欄作者:肖颯 發表，內容屬作者個人觀點，不代表網站觀點，未經許可嚴禁轉載，違者必究！

免責聲明：信息網轉載此文目的在于傳遞更多信息，不代表本站的觀點和立場。文章內容僅供參考，不構成投資建議。如果您發現網站上有侵犯您的知識產權的作品，請與我們取得聯系，我們會及時修改或刪除。

Tags：[db:TAG標簽](1414867)

轉載請標注：信息網——企業有哪些數據安保義務?《數據安全法》這樣說