圖/IC photo

2021年11月14日，為落實《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》等法律關于數據安全管理的規定，規范網絡數據處理活動，保障數據安全，保護個人、組織在網絡空間的合法權益，維護國家安全和公共利益，根據國務院2021年立法計劃，國家互聯網信息辦公室會同相關部門研究起草《網絡數據安全管理條例（征求意見稿）》（以下簡稱《征求意見稿》），并向社會公開征求意見，迅速引發了熱烈討論。

《征求意見稿》共計9章75條，以前述三大上位法為依據，其包含的條文規范涉及一般數據、重要數據以及核心數據等法律治理規則，特別是有關個人信息保護、重要數據安全、數據跨境安全管理、互聯網平臺運營者義務等重要方面的細則規定及其價值邏輯，對于各方主體的合規風控工作能夠產生重大影響。

整體來看，《征求意見稿》的制度思路已不是網絡安全合規、數據安全合規或者個人信息保護合規的單維方案，其可以廣泛重塑數字經濟下的數據處理與流轉利用規則，在技術基礎、組織管理、價值生態等諸多層面深度改造產業發展模式和企業治理架構，全面催生企業數據大合規的嶄新需求。

其一，在技術基礎層面，《征求意見稿》強調各類數據處理者應當按照有關法律、行政法規的規定和國家標準的強制性要求，建立完善技術保護機制，通過采取備份、加密、訪問控制等必要措施，保障數據免遭泄露、竊取、篡改、毀損、丟失、非法使用，應對數據安全事件，防范針對和利用數據的違法犯罪活動，維護數據的完整性、保密性、可用性，并應當按照網絡安全等級保護的要求，采用各種技術手段加強數據處理系統、數據傳輸網絡、數據存儲環境等安全防護，包括應當使用密碼對重要數據和核心數據進行保護。這些明示技術要求，連同匹配數據收集、提供、委托處理和交易等各種業務場景的其他技術需求（例如匿名化處理、身份驗證、個人信息轉移以及數據刪除等），都將共同決定企業未來數據大合規的技術新面貌。

其二，在組織管理層面，《征求意見稿》要求各類數據處理者應當遵從數據分類分級保護制度，建立完善數據安全管理制度，包括建立數據安全應急處置機制，發生數據安全事件時及時啟動應急響應機制，采取措施防止危害擴大，消除安全隱患。《征求意見稿》還要求各類數據處理者處理個人信息時應當制定個人信息處理規則并嚴格遵守，涉及重要數據業務時應當明確數據安全負責人，成立數據安全管理機構，并履行相關備案手續。凡此種種，在延展企業內部管理體系的同時，都將共同塑造企業未來數據大合規的業務新流程。

其三，在價值生態層面，《征求意見稿》規定各類數據處理者應當接受政府和社會監督，承擔社會責任，還應當對境內外第三方數據合作中的數據處理活動進行監督，在數據跨境的情形下履行數據出境安全評估、數據出境安全報告等義務，并且非經中華人民共和國主管機關批準，不得向外國司法或者執法機構提供存儲于中華人民共和國境內的數據。此外，《征求意見稿》還要求互聯網平臺運營者應當建立與數據相關的平臺規則、隱私政策和算法策略披露制度，及時披露制定程序、裁決程序，保障平臺規則、隱私政策、算法公平公正，并應當充分采納公眾意見，接受社會監督。此類指向突破傳統閉合型企業治理架構，關注全球化時代背景下數據供應鏈、產業鏈的國內國際安全的諸多規則設計，都將共同重構企業未來數據大合規的生態新格局。

在此意義上而言，《征求意見稿》所喻示的重要訊息是，企業欲求面向未來的數據合規之道，需要全面搭建一體適用于各種數據類型、融匯技術治理、組織治理與生態治理的多維體系，進而邁上數據大合規的戰略風控新高度。

文/北京師范大學法學院網絡法治國際中心執行主任、博導、中國互聯網協會研究中心副主任 吳沈括 編輯 孫曉 校對 危卓