一、将数据安全上升到国家安全范畴

2021年9月1日起我国正式实施《中华人民共和国数据安全法》（简称《数据安全法》）是我国第一部专门规定“数据”安全的法律，明确对“数据”的规制原则，弥补了《国家安全法》(2015)、《网络安全法》(2017)、《网络安全审查办法》(2020)对数据安全规定的缺失，完善了我国对数据管理的各项制度规定。

《数据安全法》明确了“维护数据安全，应当坚持总体国家安全观”，延续了《网络安全法》对网络空间的规定，规定了针对“数据”要建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。明确了“境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任”，规定了境外数据侵犯国家安全属于我国数据安全法管辖范围。明确数据境外传输要求，规定关键信息基础设施的运营者的重要数据出境适用《网络安全法》规定，要求制定其他数据处理者的重要数据出境安全管理办法。

二、提出建立数据分类分级管理制度和重要数据目录

数据分类分级保护是推进数据安全利用的必要条件，组织机构和企业想要做数据安全治理，需要建立数据安全治理体系，建立完善的数据分类分级管理制度，实现数据进行分级分类保护，才能够提高数据安全保障能力。

《数据安全法》全文有三个条款对“数据分类分级”作出规定。一是提出数据分级分类规定，要求根据数据在经济社会发展中的重要程度根据数据泄露对国家安全、公共利益或者个人、组织合法权益造成的危害程度，进行数据分类分级。二是提出重要数据保护目录，要求各地区、各部门以及相关行业、领域的根据实际需要确定重要数据具体目录，对列入目录的数据进行重点保护。三是提出风险评估报告制度，重要数据处理者要定期报送风险评估报告，报告内容包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。

三、明确数据安全保护义务

数据安全保护义务是《数据安全法》中重要章节，规定了数据处理者在进行数据相关经济活动时，所要遵循的数据安全必要规定和制度要求，是具有法律强制属性。

《数据安全法》从制度管理、风险监测、风险评估、数据收集、数据交易、经营备案和执法调查等多个方面对数据处理者规定了数据安全保护义务。对于制度管理，要求建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。对于风险监测与评估，要求加强数据安全风险监测，定期开展风险评估，及时处置数据安全事件。对于数据收集与数据交易，要求重要数据的处理者应当明确数据安全负责人和管理机构，并要求数据服务商或交易机构，提供并说明数据来源证据，审核相关人员身份并留存记录。对于经营备案，要求数据服务经营者应当取得行政许可的，服务提供者应当依法取得许可。对于执法调查，明确要求组织和个人依法配合公安、安全等部门进行犯罪调查，当境外执法机构要调取存储在中国的数据，未经批准，不得提供。

四、提出加强政务数据安全利用

政府机关掌握着海量关于个人、民生等相关数据，目前积极推进“让数据多跑路，让企业和百姓少跑腿”建设数字政府，优化政务服务，但“数据多跑路”给民众和相关行业带来便利的同时，数据在政务部门间共享和对外进行统一的开放，也使得政务数据遭受着风险集中和数据泄露等安全事件的干扰。

《数据安全法》坚持安全与发展并重，在规范数据活动的同时，对支持促进数据安全与发展的措施、推进政务数据开放利用等作出相应规定。一是要求国家机关对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等数据应当依法予以保密；二是要求国家机关建立健全数据安全管理制度，落实数据安全保护责任，保障政务数据安全。三是要求受托处理政务数据的第三方，依照法律、法规的规定和合同约定履行数据安全保护义务，不得擅自留存、使用、泄露或者向他人提供政务数据。

注：本文摘自赛智时代数据安全治理课题组周振松、公瑞琪完成的研究报告，详细内容请点击饮鹿网产业报告栏目读。

▎本文系Innov100原创文章，转载请标明出处。

更多精彩内容请登录https://www.innov100.com官方网站

或扫描下方二维码，点击关注微信公众号（ID：sagetimes）