《数据安全法》要点解读

1、数据平安法要点解读数据平安法要点解读2021年6月10日，第十 三届全国人民代表大会常务委 员会第二十九次会议通过数据 平安法三审稿，该法将于 2021年9月1日起正式施行。数据平安法全文共七章五十 五条，分别从数据平安与开展、 数据平安制度、数据平安保护 义务、政务数据平安与开放的 角度对数据平安保护的义务和 相应法律责任进行规定。本文 将对数据平安法的立法沿革 和重点条款进行解读，以期帮 助市场参与者在新法生效前及 时做好数据平安建设，降低合 规风险。一、数据平安法 的立法沿革2020年6月28日，第十 三届全国人大常委会第二十次 会议对数据平安法（草案） 进行了初次审议。2021年4月

2、29日，中国人大网公布了数 据平安法（草案）的二审稿。 二审稿的主要亮点在于将数据 分类分级制度作为数据平安的 基本核心制度，强化了等保的 基础作用，提出明确数据平安 负责人和管理机构的要求，明 确关键信息基础设施的运营者 在重要数据的出境方面的义务 和责任，调整数据处理服务的 资质要求，加强向涉外司法机 构提供数据的监管，大幅加重 不履行数据平安保护义务的法 律责任及拒不配合数据调取的 法律责任等。在近日通过的最终三审 稿中，与二审稿相比，主要 的亮点和变化表达在明确国 家机关在数据平安管理的职就中介机构需要进行审 核的内容而言，数据平安法 要求中介机构审核交易双方 的身份，关于审核的具体内

3、 容、进行形式审核或实质审 核、供需方的合规风险是否 传导到中介机构等内容还有 待立法和司法的进一步明 确。就数据处理的行政许可 而言，数据平安法为后续 数据交易的准入预留了 口子。 结合近期的立法和监管动向， 例如征信业务管理方法（征 求意见稿）和人行批准个人 征信业务许可，后续可能会 在多行业、多领域对市场的 准入等环节加强监管。第五章第三十八条国家 机关为履行法定职责的需要 收集、使用数据，应当在其 履行法定职责的范围内依照 法律、行政法规规定的条件和程序进行；对在履行职责 中知悉的个人隐私、个人信 息、商业秘密、保密商务信 息等数据应当依法予以保密, 不得泄露或者非法向他人提 供。第五

4、章第三十九条国家 机关应当依照法律、行政法 规的规定，建立健全数据安 全管理制度，落实数据平安 保护责任，保障政务数据安 全。10第五章第四十条国家机 关委托他人建设、维护电子 政务系统，存储、加工政务 数据，应当经过严格的批准 程序，并应当监督受托方履 行相应的数据平安保护义务。 受托方应当依照法律、法规 的规定和合同约定履行数据 平安保护义务，不得擅自留 存、使用、泄露或者向他人 提供政务数据。政务数据已成为促进政 府科学决策、提高公共管理 效能的重要资源，疫情催生 的大量公共服务数据采集、 分析工具也进一步提升了政 务数据的体量和质量。数据 平安法敏锐洞察到政府履职 过程中收集、使用数据

5、的安 全合规、数据保密、数据共 享和委托第三方设计、运维 电子政务系统带来的平安问 题，并要求相关国家机关制 定完善的数据平安管理制度、 严格的批准程序以应对实践 中存在的数据泄露等平安风 险。第六章第四十一条国家 机关应当遵循公正、公平、 便民的原那么，按照规定及时、 准确地公开政务数据。依法 不予公开的除外。建统一规范、互联互通、安 全可控的政务数据开放平台, 推动政务数据开放利用。第六章第四十二条国家 制定政务数据开放目录，构11在数据平安保障的大前 提下，数据平安法明确了 政务数据以公开为原那么、不 公开为例外的基本理念。在 政务数据的互联互通方面， 基于实践中普遍存在的政务 数据”不

6、愿开放、不敢开放、 不会开放”孤岛，数据平安 法要求在国家层面建立政务 数据开放平台，并通过政务 数据开放目录的形式应对政 务数据领域数据资源碎片化、 政务开展不均衡、政务协同 缺乏互信基础等现实问题。责和配合机制，强调对重要 数据重点保护，强调智能化 公共服务对老年人等的适用 性，完善政务数据平安保障, 并进一步加大对违法行为的 处分力度。二、数据平安法 重点条款解读第一章第五条中央国家 平安领导机构负责国家数据 平安工作的决策和议事协调, 研究制定、指导实施国家数 据平安战略和有关重大方针 政策，统筹协调国家数据安 全的重大事项和重要工作， 建立国家数据平安工作协调 机制。第一章第六条各地

7、区、 各部门对本地区、本部门工 作中收集和产生的数据及数 据平安负责。工业、电信、 交通、金融、自然资源、卫生健康、教育、科技等主管 部门承当本行业、本领域数 据平安监管职责。公安机关、国家平安机 关等依照本法和有关法律、 行政法规的规定，在各自职 责范围内承当数据平安监管 职责。国家网信部门依照本法 和有关法律、行政法规的规 定，负责统筹协调网络数据 平安和相关监管工作。数据平安法作为数据 平安领域最高位阶的专门法, 与2017年6月1日起施行的 网络平安法一起补充了 国家平安法框架下的平安 治理法律体系，更全面地保 障了国家平安在各行业、各 领域保障的有法可依。就监管机构而言，国家 平安机

8、构、公安机关、网信 部门、以及工业、电信、交 通、金融等主管部门均有权 在各自的职权范围内对数据 平安进行监督和管理。因此, 数据平安法延续了网络 平安法生效以来的“一轴两 翼多级”的监管体系。” 一 轴”指国家平安机关，两翼 指公安机关和网信部门，多 级在行业横向范围主要表达 在工业、电信、交通、金融 等行业主管部门的共同参与, 在行政架构方面主要表达在 各地区、各部门对工作中收 集和产生的数据进行平安管 理上。第一章第十条相关行业 组织按照章程，依法制定数 据平安行为规范和团体标准, 加强行业自律，指导会员加 强数据平安保护，提高数据 平安保护水平，促进行业健 康开展。第二章第十六条国家促

9、 进数据平安检测评估、认证 等服务的开展，支持数据安 全检测评估、认证等专业机 构依法开展服务活动。第二章第十七条国家推 进数据开发利用技术和数据 平安标准体系建设。国务院 标准化行政主管部门和国务 院有关部门根据各自的职责, 组织制定并适时修订有关数 据开发利用技术、产品和数 据平安相关标准。国家支持 企业、社会团体和教育、科 研机构等参与标准制定。在数据平安技术开展日 新月异的背景下，立法的要 求无法完全与科技开展保持 同步，行业协会、评估认证 专业机构和标准化机构等组 织在推动技术开展、完善合 规建设和实现行业自律方面的作用得到了法律的充分认 可。为了能够及时与行业的 最新开展同步、参与

10、引领行 业开展的方向，建议市场参 与者积极加入有关行业协会 或组织，踊跃参与行业标准 的讨论，积极提供企业在安 全合规建设中探索出的实践 经验，并以行业最正确实践为 基线实时推进企业内部的合 规建设。行业协会也可作为 传达行业普遍面临的难题和 最新技术进展的重要媒介， 积极与监管形成有益、互信 的良好互动。在评估、认证方面，专 业机构可基于对行业的深度 认知、在咨询过程中积累的 丰富行业经验，帮助行业的 新进者识别合规义务和锚定 风险隐患，有针对性地提出合规改进方案和措施，帮助 相关企业降低合规风险。第二章第十五条国家支 持开发利用数据提升公共服 务的智能化水平。提供智能 化公共服务，应当充分

11、考虑 老年人、残疾人的需求，避 免对老年人、残疾人的日常 生活造成障碍。疫情期间基于大数据的 公共服务应用得到迅速的推 广，与个人生活的参与深度 也得到前所未有的提升。但 高龄、视障等群体由于不会 使用智能手机进行付款、预 约等操作而举步维艰。在防 疫智能应用迅速根据疫情需 要进行适老化调整后，大量 其他与生活息息相关的应用 仍可能将局部人群排除在智 能化、数字化的生活之外。数据平安法将智能化公共 服务满足老年人、残疾人的需求列入国家重点支持的范 围之内，充分表达了国家对 弱势群体需求的关注。第三章第二十一条国家 建立数据分类分级保护制度, 根据数据在经济社会开展中 的重要程度，以及一旦遭到

12、篡改、破坏、泄露或者非法 获取、非法利用，对国家安 全、公共利益或者个人、组 织合法权益造成的危害程度, 对数据实行分类分级保护。 国家数据平安工作协调机制 统筹协调有关部门制定重要 数据目录，加强对重要数据 的保护。关系国家平安、国民经 济命脉、重要民生、重大公 共利益等数据属于国家核心 数据，实行更加严格的管理 制度。各地区、各部门应当按 照数据分类分级保护制度， 确定本地区、本部门以及相 关行业、领域的重要数据具 体目录，对列入目录的数据 进行重点保护。网络平安法第21条 首次提出了数据分类分级保 护制度，数据平安法进一 步明确了相关部门在分类分 级保护和重要数据保护中的 职能。数据平安

13、法原那么性 规定了数据分类分级的依据 为在经济社会开展中的重要 程度和遭到篡改、泄露等情 形时的危害程度。由于不同 行业、不同地区数据分类分 级的具体规那么和考虑因素差 异巨大，数据平安法将重 要数据具体目录和具体分类 分级保护制度的制定权限下 放到行业主管部门和各地区 国家机关，充分平衡了法律 规定的普适性和灵活性。对 于市场参与者而言，我们建 议首先关注工业数据分级分 类指南(试行)、基础电 信企业数据分类分级方法 (YD / T3813-2020)、个 人金融信息保护技术规范(JR / T0171-2020)等行业 数据分级分类的国家标准， 另外也需要密切关注地方行 业主管部门发布的数据

14、分类 分级目录等要求。第三章第二十二条国家 建立集中统一、高效权威的 数据平安风险评估、报告、 信息共享、监测预警机制。 国家数据平安工作协调机制 统筹协调有关部门加强数据 平安风险信息的获取、分析、 研判、预警工作。第三章第二十三条国家 建立数据平安应急处置机制。 发生数据平安事件，有关主管部门应当依法启动应急预 案，采取相应的应急处置措 施，防止危害扩大，消除安 全隐患，并及时向社会发布 与公众有关的警示信息。第三章第二十四条国家 建立数据平安审查制度，对 影响或者可能影响国家平安 的数据处理活动进行国家安 全审查。依法作出的平安审 查决定为最终决定。数据平安法提出建立 数据平安风险评估、

15、平安事 件报告制度、监测预警机制 应急处置机制和平安审查等 制度，有望在后期逐步推出 具体机制体制的主管机构、 适用范围、评估审查模式等 配套制度。值得注意的是， 国家依法作出的数据平安审 查决定为最终决定，这意味 着相关具体行政行为将无法 通过行政复议、行政诉讼等 形式进行救济。第三章第二十五条国家 对与维护国家平安和利益、 履行国际义务相关的属于管 制物项的数据依法实施出口 管制。第三章第二十六条任何 国家或者地区在与数据和数 据开发利用技术等有关的投 资、贸易等方面对采取歧视 性的禁止、限制或者其他类 似措施的，可以根据实际情 况对该国家或者地区对等采 取措施。在国际竞争逐步蔓延到 数据

16、、网络领域后，各国之 间的摩擦频发。例如2020年8 月，美国以保护国家平安为 由，要求字节跳动出售 TikTok应用程序及业务。美 国对TikTok的封杀反映了外 国投资审查现代化法对涉及 美国公民敏感信息和来自于 特殊国家投资工程严加审查 的立法和执法态度。我国数 据平安法一方面明确维护国 家平安和利益、履行国际义 务可作为禁止相关数据出口 的合法依据，另一方面明确 了对外国在数据领域的投资、 贸易歧视可采取对等反制措 施的立法主张，充分表达了 我国在网络数据空间主张数 据主权的立法思想。第四章第二十七条开展 数据处理活动应当依照法律、 法规的规定，建立健全全流 程数据平安管理制度，组织

17、开展数据平安教育培训，采 取相应的技术措施和其他必 要措施，保障数据平安。利 用互联网等信息网络开展数 据处理活动，应当在网络安 全等级保护制度的基础上，履行上述数据平安保护义 务。重要数据的处理者应当 明确数据平安负责人和管理 机构，落实数据平安保护责 任。第四章第二十九条开展 数据处理活动应当加强风险 监测，发现数据平安缺陷、 漏洞等风险时，应当立即采 取补救措施；发生数据平安 事件时，应当立即采取处置 措施，按照规定及时告知用 户并向有关主管部门报告。第四章第三十条重要数 据的处理者应当按照规定对 其数据处理活动定期开展风 险评估，并向有关主管部门 报送风险评估报告。风险评估报告应当包括

18、 处理的重要数据的种类、数 量，开展数据处理活动的情况，面临的数据平安风险及 其应对措施等。第四章第三十一条关键 信息基础设施的运营者在境 内运营中收集和产生的重要 数据的出境平安管理，适用 网络平安法的规定；其他 数据处理者在境内运营中收 集和产生的重要数据的出境 平安管理方法，由国家网信 部门会同国务院有关部门制 定。数据平安法明确了开 展数据处理活动的市场参与 者应当建立完善的数据平安 管理制度、进行平安教育培 训、风险监测和报告，采用 技术手段落实内部制度的规 定。因此，数据平安合规制 度的建设已成为企业应当履 行的法律义务。数据平安法 延续网络平安法的规定， 对重要数据提出更高的数据 保护要求，具体的法律义务 包括明确数据平安负责人和 管理机构、开展风险评估并 报送报告、符合数据出境安 全管理要求等。就风险评估 本身而言，关于评估的具体 主体、报告报送的对象、评 估的频率有待后续立法进一 步明确。数据平安法也在法律 责任的局部明确了不履行第 二十七、二十九、三十条规 定的数据平安保护义务、尚 未造成数据泄露等后果的， 主管部门也可以采取责令改 正、警告、罚款等行政处分 措施。在相关制度不健全， 且拒不改正或造成大量数据 泄露等严重