數據安全治理白皮書

2021-06-18 14:58:27 5

來源：賽迪智庫

在數字信息技術日新月異的發展趨勢下，數據已成為數字經濟發展的核心生產要素，是國家重要資產和基礎戰略資源。隨著數據價值的愈加凸顯，數據安全風險與日俱增，數據泄露、數據販賣等數據安全事件頻發，為個人隱私、企業商業秘密、國家重要情報等帶來了嚴重的安全隱患。

當前，數據安全已成為數字經濟時代最緊迫和最基礎的安全問題，加強數據安全治理已成為維護國家安全和國家競爭力的戰略需要。為此，國家高度重視數據安全的頂層設計：在相繼發布的《促進大數據發展行動綱要》（2015）、《科學數據管理辦法》（2018）、《關于構建更加完善的要素市場化配置體制機制的意見》（2020）以及“十四五”規劃（2021）中，均提出發展數字經濟、加快培育發展數據要素市場，應把保障數據安全放在突出位置的重要思想內涵。

同時，2021年6月10日，十三屆全國人大常委會第二十九次會議表決通過了《中華人民共和國數據安全法》。作為我國數據安全領域內的“基礎性法律”和我國國家安全領域內的“重要法律”，《數據安全法》積極回應了時下國內外數據競爭和保護的關鍵問題，給企業數據經營合規、以及進一步的數據資產化治理與發展提供指引。

面對數據安全威脅日益嚴峻的態勢，著力解決數據安全領域的突出問題，有效提升數據安全治理能力迫在眉睫。然而，由于數字技術促使數據應用場景和參與主體日益多樣化，數據安全的外延不斷擴展，數據安全治理面臨多重棘手困境。為此，賽迪智庫發布《數據安全治理白皮書》，在分析我國數據安全風險、治理現狀、治理困境的基礎上，從政策、監管、產業生態建設、國際合作等方面提出綜合解決路徑。

1、國外數據安全治理特色

（一）數據安全上升至國家安全層面

各國政府逐漸意識到，數據已成為與國家安全和國際競爭力緊密關聯的一大要素，對數據安全的認知已從傳統的個人隱私保護上升到維護國家安全的高度。

（二）對大型互聯網平臺企業的數據執法力度持續加大

各國對大型互聯網企業數據安全違法違規行為的懲治力度不斷增強，美國、歐洲等國家和地區均增大了對其單筆處罰金額。隨著大型互聯網平臺企業的日益壯大，其數據壟斷問題愈加嚴重，由此帶來的數字權利濫用問題或將威脅到國家安全。因此，各國將進一步通過高額懲罰等手段對其進行約束，以防止其濫用數據優勢侵害消費者隱私或進行非法數據販賣。

（三）醫療、生物識別等個人特殊敏感數據的專項立法不斷推進

當前，全球個人醫療數據泄露事件頻發，人臉識別等新技術濫用導致個人生物信息長期處于高泄露風險狀態，針對個人特殊敏感數據日益嚴峻的風險威脅，日本、美國等國家偏向于針對不同特征的個人數據采取精細化治理模式。

2、我國數據安全面臨七大挑戰

（一）數據販賣嚴重侵害個人隱私

目前，數據販賣已成為大數據產業的灰色地帶，個人信息倒賣黑市猖獗，對個人人身、財產、生命安全造成了極大危害。一是外部攻擊者利用爬蟲等技術竊取并倒賣個人數據；二是“內鬼”常成為非法數據交易鏈源頭；三是平臺之間實施暗箱操作，通過數據兜售進行數據商業變現。

（二）數據跨境流動帶來國家安全隱患

尤其在大國博弈持續加劇的今天，數據作為國家重要的生產要素和戰略資源，其日益頻繁的跨境流動帶來了潛在的國家安全隱患。一是流轉到境外的情報數據更易被外國政府獲??；二是我國戰略動作易被預測，陷入政策被動；三是我國以數據為驅動的新興技術領域競爭優勢將被削弱。

（三）高價值特殊敏感數據泄露風險加劇

近些年，除電子商務、社交等領域的用戶數據發生大規模泄漏之外，政務、醫療及生物識別信息等高價值特殊敏感數據，逐漸成為了數據泄露的重災區。一是政務數據具有極高的社會和經濟價值，黑客將其作為攻擊目標可獲得更高的利益回報；二是健康醫療數據具有高度隱私性和稀缺性，成為攻擊者的關注重點；三是生物識別數據具有易采集和特征敏感性，成為攻擊者的主要目標。

（四）重要數據安全面臨外來攻擊威脅加大

具有政治背景的境外黑客逐漸加大對我國關鍵信息基礎設施攻擊力度，試圖獲取我國機密重要數據。

（五）新技術新應用催生新型數據安全風險

新技術新應用在極大促進生產力發展和人民生活便利同時，也帶來了安全方面的不確定性。

（六）互聯網平臺企業濫采濫用個人信息并實施數據壟斷

當前，由于互聯網平臺企業的業務大都由數據驅動，商業推廣、精準營銷、產品迭代等均依賴對數據的海量收集和開發利用，數據成為了平臺企業發展和盈利的核心引擎?；跀祿占褂脛撔律虡I營收模式，實現利益最大化，成為了各個平臺企業追逐的商業目標，由此也引發了個人信息濫采濫用程度加重、數據壟斷亂象頻發的數據安全風險。

（七）國際數據規則制定話語權與我國互聯網應用領先地位嚴重不匹配

2020年，多國以數據安全為由，聯合對TikTok進行圍剿，以安全調查結果違規為由，限制其使用發展。

3、對我國數據安全治理建議

（一）完善數據安全法制建設，奠定數據安全保護基礎

數據權屬方面，在明晰數據分級分類基本原則，各行各業進一步厘清自身行業數據的類型、特征、性質等基礎上，探索數據分類確權制度，并立法對數據產權歸屬進行界定。

數據交易流通方面，按照數據權屬確定可交易流通數據的類型、范圍和流通規則等，保護個人隱私安全。

數據壟斷方面，在反壟斷法和反不正當競爭法等法律基礎上，進一步完善平臺企業數據壟斷認定、數據收集使用管理、消費者權益保護等方面的法律規范。

關鍵數據保護方面，考慮出臺專項法律法規對醫療、政務、交通等行業高價值特殊敏

（二）全面加強數據安全監督管理，促進制度落實執行

一方面，建議進一步探索建立分級分類監管機制，構建中央和地方分類監管、分級負責、權責一致的監管格局。

另一方面，在完善監管組織和機構職能的基礎上，建議積極主動進行監管方法和流程的創新，將可能的風險點納入監管范圍，以適應復雜多變的數據活動場景。

（三）建立平臺企業數據業務有序發展機制，保障數據合法合規使用