資料安全管理制度的六項發展|淺議《網路資料安全管理條例（徵求意見稿）》與《資料安全法》之比較（上篇）

近日，國家網際網路資訊辦公室釋出了《網路資料安全管理條例（徵求意見稿）》（以下簡稱《條例》），這是繼《資料安全法》生效實施之後，我國正在起草的又一項重要資料安全法規。《條例》作為行政法規，是銜接《資料安全法》和資料安全管理實踐的橋樑，其透過對資料安全基本管理制度的一系列發展，強化落實，旨在鞏固和提升我國資料安全保護成效。

本文將立足《條例》與《資料安全法》所設立重要制度的比較進行分析：上篇重點分析《條例》對資料安全六項重要制度的發展，下篇重點分析《條例》對資料安全兩項重要制度的創新。

一、《條例》對資料安全制度發展的兩個特點

對於資料安全保護，《資料安全法》搭建了初步的基本制度框架。這一框架主要涵蓋資料分類分級保護制度、資料安全審查制度、資料安全風險管理制度、資料安全應急處置機制、資料出口管制和對等反制機制等6項資料安全保護制度和機制。

總體來看，《條例》作為《資料安全法》的下位行政法規，對於資料安全保護制度的發展主要體現了兩個特點：一是對已有制度加以沿襲、細化和完善，如資料分級分類制度、資料安全審查制度等；二是從資料保護需求出發，進行制度探索創新，如資料安全審計制度等。

二、《條例》對資料安全制度的發展延伸

《條例》對《資料安全法》所設立重要制度的發展延伸主要包括六項，逐項分析如下。

（一）資料分類分級保護制度

《條例》對於資料分級分類制度的發展，主要體現在明確資料分級、細化保護型別和要求、明確保護方式三個方面。

一是明文規定了資料的三個分級。即：“將資料分為一般資料、重要資料、核心資料”（《條例》第五條）；而《資料安全法》對於資料的分級，並未集中明確界定，只是在相關的條文中提及“重要資料”、“核心資料”，且也沒有“一般資料”的表述（涉及到的條文主要是《資料安全法》第二十一條）。《條例》用明文規定的方式確定了資料級別，有助於統一認識，為後續資料分級保護工作的開展奠定理論共識基礎。

二是細化了資料分級分類保護的型別和要求。首先，明確了保護型別——重點保護、嚴格保護，即“國家對個人資訊和重要資料進行重點保護，對核心資料實行嚴格保護”（第五條第二款）。其次，細化了保護要求，《條例》透過設立專章（第四章 重要資料安全）對“重點保護”的要求進行了細化分解，對重要資料處理者規定了目錄報備要求、專職機構要求、備案要求、培訓要求、安全評估要求、轉移審批要求、採購要求等7大類15小項（第二十七條至第三十四條）具體義務規定。

三是明確保護方式。即制定重要資料和核心資料目錄，並進一步明確了目錄制定單位和工作機制。“各地區、各部門...組織制定本地區、本部門以及相關行業、領域重要資料和核心資料目錄，並報國家網信部門”（第二十七條）。與《資料安全法》相比，《條例》對資料目錄的制定主體、報備部門都做出了進一步明確。

（二）資料安全風險管理制度

《條例》對資料安全風險管理制度的發展，主要體現在強化評估報告、明確行業評估監管、加強個人資訊保護風險監測義務三個方面。

一是擴充了《風險評估報告》的相關要求。首先，擴充了《資料安全法》規定的風險評估報告主體，在原有的“重要資料處理者”之外，增加了“赴境外上市的資料處理者”一類主體。其次，明確了報告的時間頻次和報告機制要求，規定資料安全風險評估報告每年開展一次，評估模式可自行開展也可委託第三方機構開展，報告接收部門為“設區的市級網信部門”。再次，細化了風險評估報告內容要求，具體要求分為一般評估和重點評估兩類：《條例》第三十二條第一款提出了一般評估報告的8項內容要求；該條第四款明確了對於“資料處理者開展共享、交易、委託處理、向境外提供重要資料的安全評估”還要完成的5項重點評估內容。

二是進一步細化了行業評估監管要求。《條例》第五十五條第五款規定“主管部門應當定期組織開展本行業、本領域的資料安全風險評估”，主管部門主要是指第三款的“工業、電信、交通、金融、自然資源、衛生健康、教育、科技等主管部門”；明確了行業資料安全風險評估的物件和目的是“對資料處理者履行資料安全保護義務情況進行監督檢查，指導督促資料處理者及時對存在的風險隱患進行整改”。

三是強化了個人資訊保護風險監測義務。除了對《資料安全法》風險評估報告、監管要求的細化，《條例》還從加強個人資訊保護的角度，對個人資訊處理者規定了資料風險監測的義務。主要包括：在個人資訊保護規則中加入個人資訊保安風險防護措施（第二十條）、個人資訊轉移處理時的風險提示義務（第二十四條）等。

（三）資料安全應急處置機制

對於資料安全應急，《資料安全法》提出了“國家建立資料安全應急處置機制”的總體要求；《條例》對其的發展延伸，主要體現在對主管部門、行業管理者、資料處理者三方主體，分別明確了資料應急機制、資料應急預案、資料應急處置三個方面的內容完善。

一是建立資料安全應急機制。從主管部門角度，《條例》規定“國家建立健全資料安全應急處置機制”（第五十六條），明確“將資料安全事件納入國家網路安全事件應急響應機制”中，包括納入到“網路安全事件應急預案和網路安全資訊共享平臺”、“國家網路安全事件應急響應機制”。

二是建立健全行業資料安全應急預案。從行業管理部門角度，《條例》規定“主管部門應當明確本行業、本領域資料安全保護工作機構和人員，編制並組織實施本行業、本領域的資料安全規劃和資料安全事件應急預案（五十五條第四款）。此規定亦可認為是一種管理授權，即授權行業管理部門組織制定本行業領域的資料安全事件應急預案。

三是完善資料應急義務體系。從資料處理者角度，《條例》對資料安全主體責任義務進行了補充完善，主要包括“資料處理者應當建立資料安全應急處置機制”（第十一條）、重要資料處理者應“定期組織開展資料安全應急演練等活動”（第二十八條）。

（四）資料安全審查制度

與《資料安全法》相比，《條例》對於資料安全審查制度的發展，主要體現在明確了適用條件和發起流程，不僅細化了法規要求，也在法律適用上保持了同正在修訂的《網路安全審查辦法》的銜接一致。

一是明確了資料安全審查的適用條件。《條例》第十三條規定了適用資料安全審查的4種情形，可歸納為“影響或可能影響國家安全的”和“境外國外相關的”兩類。前者包括“特定平臺運營者實施的合併重組或分立”、“資料處理者赴香港上市”；後者包括“處理一百萬人以上個人資訊的資料處理者赴國外上市”。相比而言，後者要求更為嚴格，只要有該行為發生就應進行資料安全審查申報，而不論其是否對國家安全造成影響或威脅。

二是明確了資料安全審查的流程。這是對資料安全審查在程式方面要求的完善和延伸，《條例》第十三條規定資料處理者在滿足審查適用條件時“應當按照國家有關規定，申報網路安全審查”。可見，資料安全審查的發起是由資料處理者進行“申報”。同時，此條所指的“國家有關規定”，應當包括《網路安全審查辦法》在內，且從其內容看，《條例》與《網路安全審查辦法（修訂草案徵求意見稿）》也保持了一致。

（五）資料出口管制和反制機制

《條例》界定了“出口管制資料”的內涵。在出口管制和投資貿易歧視措施的反制相關制度方面，《條例》未對《資料安全法》相關規定做過多發展，僅是《條例》在第七十三條中，給出了“出口管制資料”的具體涵義。即“出口管制資料，出口管制物項涉及的核心技術、設計方案、生產工藝等相關的資料，密碼、生物、電子資訊、人工智慧等領域對國家安全、經濟競爭實力有直接影響的科學技術成果資料”。

該條款主要對應了《資料安全法》第二十五條“國家對與維護國家安全和利益、履行國際義務相關的屬於管制物項的資料依法實施出口管制”之規定。且從該條款所在位置來看，《條例》將“出口管制資料”明確列為7類“重要資料”其中之一。同時，此處所指“出口管制物項”，應遵循了《中華人民共和國出口管制法》的有關界定，即：“出口管制物項主要是指（軍民）兩用物項、軍品、核以及其他與維護國家安全和利益、履行防擴散等國際義務相關的貨物、技術、服務等物項”。

（六）資料交易管理制度

《條例》對資料交易管理制度的發展完善，主要體現在進一步明確強調了資料交易機構的准入管理。

《條例》第七條第二款指出，“國家建立健全資料交易管理制度，明確資料交易機構設立、執行標準”。而《資料安全法》對於資料交易管理制度，主要是明確了該制度的立法目的“規範資料交易行為，培育資料交易市場”，並對資料交易中介機構的行為提出了初步規範要求“資料交易中介服務機構應當要求資料提供方說明資料來源，稽核交易雙方的身份，並留存稽核、交易記錄”。可見，《條例》對該制度的發展，重在提出了主體准入要求。相信後續國家相關部門會發布專門的管理規定或規範，對資料交易機構的設立條件、流程和管理機制等提出更加詳細的要求。