網(wǎng)絡安全法中的關(guān)鍵制度解讀

文/續(xù)俊旗

網(wǎng)絡安全法中的關(guān)鍵制度解讀

文/續(xù)俊旗

網(wǎng)絡安全法是中國網(wǎng)絡安全領(lǐng)域的第一部專門法律，是保障網(wǎng)絡安全的基本法。網(wǎng)絡安全法共七章七十九條，其主要內(nèi)容可解讀為“一項制度、四大領(lǐng)域”，以網(wǎng)絡安全等級保護制度為中心，囊括物理安全、運行安全、數(shù)據(jù)安全、內(nèi)容安全四大領(lǐng)域，即基礎(chǔ)設(shè)施的安全、信息系統(tǒng)的安全、信息自身的安全、信息利用的安全。為具體落實這些要求，網(wǎng)絡安全法規(guī)定了網(wǎng)絡產(chǎn)品與服務安全審查、跨境數(shù)據(jù)流動安全評估、關(guān)鍵信息基礎(chǔ)設(shè)施保護、個人信息保護等關(guān)鍵制度。

獨具中國特色的網(wǎng)絡安全審查制度

網(wǎng)絡安全審查制度是保障網(wǎng)絡運行安全的關(guān)鍵制度設(shè)計。網(wǎng)絡安全法規(guī)定對可能影響國家安全的關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡產(chǎn)品和服務進行國家安全審查。已經(jīng)發(fā)布并生效的《網(wǎng)絡產(chǎn)品和服務安全審查辦法（試行）》（下稱《審查辦法》）規(guī)定了網(wǎng)絡安全審查的細化性要求。網(wǎng)絡安全審查制度的具體實施，需要對以下問題進行進一步明晰。

（一）關(guān)于審查的范圍和內(nèi)容?！秾彶檗k法》中規(guī)定的安全審查范圍超出了網(wǎng)絡安全法中規(guī)定的關(guān)鍵信息基礎(chǔ)設(shè)施的安全審查范圍，更接近于國家安全法第59條“特定物項和關(guān)鍵技術(shù)、網(wǎng)絡信息技術(shù)產(chǎn)品和服務”的國家安全審查?！秾彶檗k法》規(guī)定的審查范圍大致可歸納為“關(guān)鍵信息基礎(chǔ)設(shè)施及其他關(guān)系國家安全的網(wǎng)絡和信息系統(tǒng)”，范圍仍有很大不明確性。

（二）“安全可控”的內(nèi)涵?！鞍踩煽亍币呀?jīng)成為中國網(wǎng)絡安全體系中一項獨立的制度。何為“安全可控”，官方解釋如下：安全可控至少包括以下三個方面含義：一是保障用戶對數(shù)據(jù)可控，產(chǎn)品或服務提供者不應該利用提供產(chǎn)品或服務的便利條件非法獲取用戶重要數(shù)據(jù)，損害用戶對自己數(shù)據(jù)的控制權(quán)；二是保障用戶對系統(tǒng)可控，產(chǎn)品或服務提供者不應通過網(wǎng)絡非法控制和操縱用戶設(shè)備，損害用戶對自己所擁有、使用設(shè)備和系統(tǒng)的控制權(quán)；三是保障用戶的選擇權(quán)，產(chǎn)品和服務提供者不應利用用戶對其產(chǎn)品和服務的依賴性，限制用戶選擇使用其他產(chǎn)品和服務，或停止提供合理的安全技術(shù)支持，迫使用戶更新?lián)Q代，損害用戶的網(wǎng)絡安全和利益?？偠灾瑢ψ灾骺煽氐陌盐諔凑樟暯娇倳浰f的，不能夠排斥先進，不要把自己封閉于世界之外，要在立足開放的環(huán)境當中搞網(wǎng)絡安全。此外，也要有效協(xié)調(diào)好安全可控與外國企業(yè)維護自主知識產(chǎn)權(quán)和商業(yè)秘密的關(guān)系。

（三）關(guān)于審查的標準。對于審查機制是否有透明、可遵循的標準，還是保持一定的靈活性、威懾性以應對不可預知的法律風險，尚存在諸多爭議，有待在監(jiān)管實踐中進一步跟進。

（四）審查是否為常態(tài)化機制？在具體實施上，要注意其與檢測、認證、設(shè)備入網(wǎng)等具體制度的區(qū)別，堅持其威懾性、懸而少用的原則，避免失去該制度的權(quán)威性、震懾性。然而《審查辦法》第2條規(guī)定，關(guān)系國家安全的網(wǎng)絡和信息系統(tǒng)采購的重要產(chǎn)品和服務，應當經(jīng)過網(wǎng)絡安全審查。就其表述而言，審查機制更近似于一項常態(tài)機制。監(jiān)管部門在具體實踐中如何把握與落實，還有待持續(xù)關(guān)注。

（五）是否針對國外產(chǎn)品和服務？

主管部門在對外聲明中多次強調(diào)，網(wǎng)絡安全審查并不針對特定國家和地區(qū)，沒有國別差異，審查不會歧視國外技術(shù)和產(chǎn)品，不會限制國外產(chǎn)品進入中國市場。在供應鏈全球化的背景下，對信息系統(tǒng)產(chǎn)品和服務進行來源調(diào)查變得非常困難，在存在廣泛外包業(yè)務的情況下甚至是不可行的。片面排除國外信息技術(shù)的利用也排除了本國信息技術(shù)產(chǎn)業(yè)作為次級供應商進入他國市場的可能，也會喪失中國利用國際先進產(chǎn)品和服務的必然需求。而國家的網(wǎng)絡安全能力和水平，最終由本國信息技術(shù)產(chǎn)品和服務的能力和水平?jīng)Q定。

既接軌國際又具中國特色的關(guān)鍵信息基礎(chǔ)設(shè)施保護制度

關(guān)鍵信息基礎(chǔ)設(shè)施保護是保障網(wǎng)絡物理安全的關(guān)鍵制度設(shè)計，也是保護網(wǎng)絡運行安全的重中之重。關(guān)鍵信息基礎(chǔ)設(shè)施保護的重點有三。一是業(yè)務連續(xù)能力。業(yè)務連續(xù)能力是關(guān)鍵信息基礎(chǔ)設(shè)施安全保護中需要解決的首要問題。關(guān)鍵信息基礎(chǔ)設(shè)施的“關(guān)鍵”就在于國計民生對其的高度依賴關(guān)系，因此需要關(guān)鍵信息基礎(chǔ)設(shè)施具備“不間斷可靠供給”的能力。網(wǎng)絡安全法從規(guī)劃建設(shè)、使用管理、人員配置、容災備份、應急處置等多個方面作出規(guī)定，來規(guī)范關(guān)鍵信息基礎(chǔ)設(shè)施的業(yè)務連續(xù)能力。二是安全可控。自主可控設(shè)備目前還不能完全覆蓋中國關(guān)鍵信息基礎(chǔ)設(shè)施建設(shè)和運行管理的要求，基于中國國情，現(xiàn)階段在關(guān)鍵信息基礎(chǔ)設(shè)施的建設(shè)和運行管理中必須有輔助措施來增強關(guān)鍵信息基礎(chǔ)設(shè)施的可控性。為此,網(wǎng)絡安全法對網(wǎng)絡關(guān)鍵設(shè)備和網(wǎng)絡安全專用產(chǎn)品的認證檢測和關(guān)鍵信息基礎(chǔ)設(shè)施采購網(wǎng)絡產(chǎn)品作出了保密和安全審查方面的要求。三是數(shù)據(jù)安全。由于傳統(tǒng)關(guān)鍵基礎(chǔ)設(shè)施普遍性的信息化、網(wǎng)絡化趨勢，關(guān)鍵信息基礎(chǔ)設(shè)施集中承載著越來越多的敏感數(shù)據(jù)，這些數(shù)據(jù)事關(guān)社會穩(wěn)定和國家安全。為此，網(wǎng)絡安全法除對網(wǎng)絡數(shù)據(jù)安全問題和公民個人信息保護作了一般性規(guī)定之外，還對關(guān)鍵信息基礎(chǔ)設(shè)施運營者收集的公民個人信息等重要數(shù)據(jù)的出境存儲加以限制。

關(guān)鍵信息基礎(chǔ)設(shè)施保護制度與網(wǎng)絡安全等級保護制度二者之間的關(guān)系一直以來是實踐中的疑難點。厘清二者的關(guān)系，有助于提升關(guān)鍵信息基礎(chǔ)設(shè)施保護的實效，也有助于企業(yè)更好地落實合規(guī)要求。網(wǎng)絡安全法規(guī)定“對于國家關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)絡安全等級保護制度的基礎(chǔ)上，實行重點保護”。由此可見，網(wǎng)絡安全等級保護制度是關(guān)鍵信息基礎(chǔ)設(shè)施保護的基礎(chǔ)，關(guān)鍵信息基礎(chǔ)設(shè)施是等級保護制度的保護重點。等級保護制度和關(guān)鍵信息基礎(chǔ)設(shè)施保護是網(wǎng)絡安全的兩個重要方面，不可分割。等級保護制度與關(guān)鍵信息基礎(chǔ)設(shè)施保護制度雖然在發(fā)展起源、適用范圍以及具體的操作方法上有所區(qū)別，但其保護重要信息系統(tǒng)的目標是一致的，網(wǎng)絡安全等級保護制度和關(guān)鍵信息基礎(chǔ)設(shè)施保護制度都是國家網(wǎng)絡安全的重要制度。兩種制度存在各種差異，但其最終目的都在于維護國家安全，提高對重要信息系統(tǒng)的保護力度。因此，在制度構(gòu)建和實際操作中要做好兩種制度的有效銜接，關(guān)鍵信息基礎(chǔ)設(shè)施保護要吸收等級保護制度中的有益經(jīng)驗。

值得一提的是，在今后的配套立法過程中，還需要進一步考慮到關(guān)鍵信息基礎(chǔ)設(shè)施保護與其他相關(guān)制度的銜接。

備受矚目的數(shù)據(jù)跨境流動安全評估制度

數(shù)據(jù)跨境流動安全評估制度是保障網(wǎng)絡數(shù)據(jù)安全的關(guān)鍵制度設(shè)計。根據(jù)網(wǎng)絡安全法的規(guī)定，關(guān)鍵信息基礎(chǔ)設(shè)施運營者在中華人民共和國境內(nèi)收集產(chǎn)生的個人信息和重要數(shù)據(jù)應當在境內(nèi)存儲，對個人信息及重要數(shù)據(jù)實行數(shù)據(jù)出境的安全評估制度，并授權(quán)國家網(wǎng)信部門會同其他監(jiān)管部門制定詳細的安全評估實施辦法。

全球數(shù)據(jù)流動對于貿(mào)易、創(chuàng)新、競爭和消費者數(shù)據(jù)遷移越來越重要。然而，對于個人數(shù)據(jù)的跨境流動也有一個普遍的共識，即要想解決合法性問題，數(shù)據(jù)的流動不能完全不受限制。為保護公民權(quán)利，全球個人信息流動管理方面已經(jīng)有許多方法機制，最常見的包括：允許滿足一般性排除條款或被這些條款“檢驗”的一次性數(shù)據(jù)傳輸，確保在同等保護水平情況下的數(shù)據(jù)跨境傳輸，源公司同意對任何違規(guī)行為負責的情況下的數(shù)據(jù)傳輸，公司在一組適用于所有活動的企業(yè)約束規(guī)則下進行數(shù)據(jù)傳輸?shù)取ｋm然這些跨境數(shù)據(jù)傳輸?shù)牟煌x項普遍可用，但它們還沒有被廣泛采用。

對于重要數(shù)據(jù)的跨境監(jiān)管，中國的網(wǎng)絡安全法在關(guān)鍵信息基礎(chǔ)設(shè)施數(shù)據(jù)跨境安全評估方面與西方國家的最大不同之處，在于其將個人信息和重要業(yè)務數(shù)據(jù)的跨境轉(zhuǎn)移安全評估，從非顯性的、偏碎片化要求明確提升到制度化的高度，相關(guān)數(shù)據(jù)的評估不再是具體事項中的國家安全考慮。因此，從某種程度上說，若嚴格執(zhí)行網(wǎng)絡安全法中的數(shù)據(jù)跨境安全轉(zhuǎn)移，或許會在關(guān)鍵信息基礎(chǔ)設(shè)施保護的力度和范圍上強于西方國家。而關(guān)于重要數(shù)據(jù)的范圍，各國的規(guī)定有所不同。目前來看，從國家安全角度出發(fā)，各國對公共部門數(shù)據(jù)和管制技術(shù)數(shù)據(jù)的跨境流動都采取了強管控模式，主要監(jiān)管措施包括本地存儲、限制出境、安全審查、前置審批等措施；對敏感商業(yè)數(shù)據(jù)則主要通過安全協(xié)議的方式，以WTO規(guī)則中的“國家安全例外”事項為突破口實施各類安全審查，對敏感數(shù)據(jù)跨境的限制，作為安全評估的重要因素、合同約定的必要條件體現(xiàn)。

日趨嚴格的個人信息保護制度

個人信息保護制度是保障網(wǎng)絡信息安全的關(guān)鍵制度設(shè)計。網(wǎng)絡安全法將個人信息保護納入規(guī)范范圍。除了相關(guān)章節(jié)有零散規(guī)定外，還專設(shè)一章對個人信息保護提出了系統(tǒng)的框架性要求，對個人信息的處理行為也作出了明確規(guī)范，具體如下。

（一）關(guān)于個人信息的收集利用，網(wǎng)絡安全法重申了2013年頒布的《電信和互聯(lián)網(wǎng)用戶個人信息保護規(guī)定》提出的“合法、正當、必要”的基本原則，明確規(guī)定網(wǎng)絡運營者在收集個人信息時，應遵循合法、正當、必要的原則，公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。不得收集與其提供的服務無關(guān)的個人信息，不得違反法律、行政法規(guī)的規(guī)定和雙方的約定收集、使用個人信息，并應當依照法律、行政法規(guī)的規(guī)定和與用戶的約定，處理其保存的個人信息。

（二）針對個人信息的對外提供環(huán)節(jié)，網(wǎng)絡安全法規(guī)定任何個人和組織不得非法出售或者非法向他人提供個人信息。何為“非法提供”，包括了針對個人信息的非法出售或非法提供，即竊取企業(yè)內(nèi)部信息或其他來源的個人信息進行非法出售等黑色產(chǎn)業(yè)鏈的核心環(huán)節(jié)；也包括針對其他未經(jīng)授權(quán)提供個人信息的行為，如遭到黑客攻擊造成個人信息泄露或竊取、或未經(jīng)授權(quán)將個人信息提供給業(yè)務合作伙伴等行為；以及針對政府機構(gòu)對個人信息的非法提供行為。合法的對外提供有兩種途徑：個人信息主體的同意和匿名化處理。

（三）網(wǎng)絡安全法對個人信息保護的亮點之一在于引入了個人信息主體的刪除權(quán)和更正權(quán)，即個人發(fā)現(xiàn)網(wǎng)絡運營者違反法律、行政法規(guī)的規(guī)定或者雙方的約定收集、使用其個人信息的，有權(quán)要求網(wǎng)絡運營者刪除其個人信息；發(fā)現(xiàn)網(wǎng)絡運營者收集、存儲的其個人信息有錯誤的，有權(quán)要求網(wǎng)絡運營者予以更正。網(wǎng)絡運營者應當采取措施予以刪除或者更正。提高個人信息處理環(huán)節(jié)的透明度，賦予個人的信息刪除權(quán)、修改權(quán)，保證個人信息主體對信息的合法權(quán)益。

（四）建立個人信息保護機制。網(wǎng)絡安全法明確提出了“建立健全用戶信息保護制度”的要求。在個人信息管理機制方面，中國尚未建立完善的規(guī)范體系，目前,網(wǎng)絡安全法為主的法律規(guī)范提出的要求主要有：第一，技術(shù)手段方面的要求。網(wǎng)絡安全法規(guī)定網(wǎng)絡運營者應當采取技術(shù)措施和其他必要措施，確保其收集的個人信息安全，防止信息泄露、毀損、丟失。作為對網(wǎng)絡運營者的一般要求，網(wǎng)絡安全法還提出了相關(guān)安全管理義務:（1）制定內(nèi)部安全管理制度和操作規(guī)程，確定網(wǎng)絡安全負責人，落實網(wǎng)絡安全保護責任；（2）采取防范計算機病毒和網(wǎng)絡攻擊、網(wǎng)絡侵入等危害網(wǎng)絡安全行為的技術(shù)措施；（3）采取監(jiān)測、記錄網(wǎng)絡運行狀態(tài)、網(wǎng)絡安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡日志不少于六個月；（4）采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施；（5）法律、行政法規(guī)規(guī)定的其他義務。第二，組織管理、流程制度方面的要求。網(wǎng)絡運營者要“建立健全用戶信息保護制度”。此外，網(wǎng)絡安全法還新增了數(shù)據(jù)泄露通知機制。

需要指出，網(wǎng)絡安全法并非單純針對個人信息保護的全面性立法，其規(guī)范僅是對個人信息保護方面提出了底線性、框架性的要求。還需要與現(xiàn)有的其他法律、法規(guī)、部門規(guī)章以及司法解釋相協(xié)調(diào)并整體考慮。未來仍有必要制定一部綜合性的個人信息保護法來對個人信息保護加以系統(tǒng)規(guī)范。

本文所闡述的相關(guān)制度彼此之間既相對獨立，又存在密不可分的關(guān)聯(lián)。因此，應該系統(tǒng)地做好制度的具體設(shè)計與配套制定建設(shè)，確保網(wǎng)絡安全法能夠科學、合理地落地實施。關(guān)鍵制度的設(shè)計既要立足于中國的實際狀況，也要充分借鑒國外的做法與實踐。由于網(wǎng)絡安全問題的復雜性、長期性、艱巨性，其牽涉到中國的產(chǎn)業(yè)基礎(chǔ)、技術(shù)能力、法治現(xiàn)狀乃至復雜多變的國際經(jīng)貿(mào)關(guān)系等方方面面，還需要在今后的立法、執(zhí)法和司法實踐中不斷加以完善。

[作者系英特爾（中國）有限公司法律政策總監(jiān)]