数据安全对新发展格局的构建支撑_邓浩然.pdf

44封面报道 COVER STORY当人们谈到数据安全这个话题时，大多数情况下会感觉离自己很遥远。但在现实的商业道路上，这个问题会越来越突出。以滴滴出行科技有限公司（以下简称“滴滴”）为例，2021年6月10号，滴滴在美国提交招股说明书，6月30号正式上市，而就在7月2号中国国家互联网信息办公室发出公告，启动对滴滴的网络安全审查，同时停止滴滴的新用户注册，并在7月4号要求该APP下架。这就是典型的资本运作碰撞到了数据安全。这个事情的本质，就是国家对于国内企业赴美上市的一个基本原则：强调数据安全以及其他相关的一些安全工作。那么滴滴究竟是涉及了哪些数据安全方面的问题呢？根据笔者的观察，应该关乎两个方面：一是数据安全问题。滴滴出行的数据归属于 网络安全审查办法 管辖，而这块内容在公司出去上市之前的准备工作没有做好、没有汇报到位。二是数据跨境问题。哪些数据能出去，哪些数据要存在国内，这块内容也没有处理好。当中概股要赴美上市的时候，依照 外国公司问责法案（HFCA），拟上市公司必须接受公众公司会计监督委员会的会计底稿审查。而我国的相关法律有专门要求，任何单位和个人不得擅自向境外提供相关的资料和数据。网络、信息及数据与国家安全的关系在人类迈过第三次工业革命的关口，快速拥抱人工智能时代的当下，信息技术正以前所未有的速度更新迭代，并在社会治理、企业发展等各方面迅速铺开。从个人的刷脸支付、身份验证，到公司级别的智慧化升级、云计算服务，再到国家层面的风险监测预警体系、国家应急管理体系，反制裁、反干涉、反“长臂管辖”机制等，都与信息技术息息相关。同时，小视频、网红经济、P2P等热门行业也全部围绕信息技术展开，由此网络成为了国家监管的核心。然而，与传统的经济、重大基础设施、金融、生物、资源、核、太空、海洋等相关领域的安全不同，网络安全自成一个领域，它是信息时代所有领域的基础。网络安全与核心技术可控安全应是人工智能时代的国家安全。网络安全已成为人工智能时代的国家安全，其重要性自不待言。而在网络安全中，信息是最核心的部分，是当代政治经济和文化统治的重要领域，也是引发各种“颜色革命”，甚至导致国际安全格局发生重大变化的重要因素之一。尽管信息的存在形式多种多样，但其传播离不开数据这一重要载体。因此，数据已成为国家的基础性战略资源，对于数据安全的重视也使得“数据主权”成了相关立法的基本立场。综上可见，我国目前网络空间的治理思路可以概括为“四位一体”，即“国家安全网络安全信息安全数据安全”。上述“四位一体”的监管思路体现在不同时期的立法活动中。2015年7月1日，全国人大常委会通过了 中华人民共和国国家安全法，通过基本法律形式确立了“总体国家安全观”的指导地位。2016年11月7日 中华人民共和国网络安全法 在数据安全对新发展格局的构建支撑网络安全自成一个领域，它同时也是信息时代所有领域的基础。网络安全与核心技术可控安全应是人工智能时代的国家安全文/邓浩然45封面报道 COVER STORY全国人大常委会通过，成为网络空间安全治理的重要法律依据。而在2021年9月1日实施的 中华人民共和国数据安全法 则进一步明确数据处理活动中的监管规范。党的二十大报告中关于数据安全的相关论述除了立法范畴的发展之外，党的二十大也对此问题做了提纲挈领的论述。在党的二十大报告的第十一条里面，全面论述了关于贯彻总体国家安全观和推进国家安全体系和能力现代化的构想。报告特别提及：“健全国家安全体系完善重点领域安全保障体系和重要专项协调指挥体系，强化经济、重大基础设施、金融、网络、数据、生物、资源、核、太空、海洋等安全保障体系建设。”“提高公共安全治理水平，坚持安全第一、预防为主，完善公共安全体系，提高防灾减灾救灾和急难险重突发公共事件处置保障能力，加强个人信息保护。”可见，国家已把网络和数据等安全保障体系建设作为国家安全体系的重要一环，其与经济、重大基础设施、资源等处于同等重要的地位。具体来说，国家在网络和数据安全上将会有进一步发展，同时也会推进国家安全体系和能力的现代化构建支撑。目前，国家正在围绕数据类型分级分类管理、数据安全审查、关键信息基础设施认定这三个方向去发展和建设。其中包括以下几个方面：（一）个人数据以电子方式或其他方式记录的，能够识别自然人身份的信息被定义为个人数据。自 中华人民共和国个人信息保护法 于2021年11月1日生效施行后，个人数据的定义及个人敏感数据更是直接受到该法的保护。在治理程度方面，中华人民共和国个人信息保护法 的严厉程度已基本与欧盟的一般数据保护条例（General Data Protection Regulation，简称GDPR）相当。（二）商业数据商业数据分成了两类，一类是企业数据，一类是平台类企业所沉淀下来的平台数据。简单来说，企业在与个人发生关系时，个人通过授权的方式，将一些个人数据授权给平台。在这过程中，这些数据是为了让企业能更好地提供服务，而不是进行商用。但如果企业通过平台去开发使用这些数据，这些数据就会成为市场化了的商业数据，里面会涉及比较复杂的法律关系。46封面报道 COVER STORY（三）公共数据再往上就是公共数据，公共数据里面除了政府部门自己产生的数据，也包括政府部门需要去管理的上述一系列数据，包括个 人数据、企业数据和平台数据，政府需要做管理取得数据的时候，是不需要拿授权的。政府根据法律法规、依据自己的职责去管理这一系列的个 人数据、企业数据和平台数据。（四）重要数据和核心数据公共数据再往上，就是中华人民共和国数据安全法 里面定义的重要数据及核心数据。这些数据关系到国家安全，关系到国家经济命脉、重要民生、重大公共利益等，如果数据泄露就会造成严重危害。网络和数据安全审查在 中华人民共和国数据安全法 里面，提到了我国要建立的数据安全审查制度内容。具体就是，国家互联网信息办公室对于影响或者是可能会影响到国家安全的一些关键的信息基础设施、关键信息基础设施的运营者，有权进行审查。网络安全审查基本上有五个方面：第一个是在产品和服务的使用之后，其关键信息基础设施是否被非法控制、遭受干扰或被破坏，导致数据特别是重要数据，甚至是核心数据被窃取泄露和损毁的风险。第二个是产品和服务的供应中断对于关键信息基础设施业务连续性的危害。所谓关键信息基础设施，包括基础的网络、大型专网、核心的业务系统、云平台、大数据平台等自动控制系统以及新型的通信设施。这些关键信息基础设施一旦受到破坏，就会造成信息基础设施业务的不完整，其数据的全量性和功能性会下降，甚至其功能数据泄露可能会影响危害到国家安全。这些关键基础设施的运营者，需要按要求申报和安全审查。上文提到的滴滴，就属于其相关领域的关键基础设施运营者。第三个是产品和服务的安全性、开放性、透明性以及数据来源的多样性，以及供应渠道是不是可靠。同时也考虑政治、外交、贸易这些因素会不会导致渠道中断的风险。第四个是相应的产品和服务者对中国法律法规的遵守情况。第五个是可能涉及国家安全因素的内容。关于数据安全的应对之道数据安全将会成为新的监管重点。数据是国家重要的战略资源，如果加大监管力度，未来国家有可能将重要数据从各个企业经营管理的范围之内抽取出来，把它当成重要战略资源去搭建治理体系。在新的时代，企业数字化转型进入快车道，通过数据、计算机技术和网络等数字化形态表示的创新业务和产品不断涌现，更新迭代。数据合规领域的法律和规范性要求日趋精细化，企业的数据合规工作已经不仅是为了满足上市等资本运作活动，而且是需要进行的应急式合规治理，更牵扯到企业的运营安全和持续发展。数据安全合规体系，是企业落实法律规定的数据安全管理责任的重要体现。本文提出以下三点建议：第一，确定企业、全体员工和利益相关方共同遵守的数据合规行为准则，列明数据合规底线。第二，制定企业数据安全管理的纲领性文件，明确公司数据合规管理总体要求、管理机构及职责、基本制度、网络及数据安全技术措施、信息系统安全保护等事项。第三，确定相关具体制度，包括管理流程、管理标准、管理措施等具体数据合规管理细则。企业的合规人员需要协助企业对照数据安全相关法律规定，起草、修改、审阅相关制度文本。总之，未来随着网络与人工智能技术的发展，企业必将遇到更多的数据合规问题，而在全社会努力解决具体的合规问题之下，国家势必会推动对数据与法律领域的深度融合。以安全和发展为纲领的网络智能时代正在踏浪而来。作者系深圳云天励飞技术股份有限公司董事、CFO兼董秘，澳洲资深注册会计师