摘 要:隨著大數據技術的迅速發展，數字經濟成為社會經濟發展的新動能，同時數據安全也成為社會各界關注的重要問題。因此，必須不斷深化對數據安全的認識，更新數據治理理念，補齊多元主體共治機制短板，針對數據生命周期各環節制定差異化安全保障策略，加強跨境數據安全保護，加快構建科學合理、高效有序、完整統一的數據安全治理體系，為我國數字經濟和產業市場化、規范化、國際化的發展提供有力的制度保障。
關鍵詞:數字經濟 數據治理 多元共治
【中圖分類號】D63 【文獻標識碼】A
數字數據技術的產生和廣泛應用推動了數字經濟的飛速發展，而以數據為核心的新興技術，正在加速與社會各個領域深度融合，成為推動經濟發展、實現產業轉型升級的新引擎、新動力。數據作為數字經濟的基礎要素，帶動各種新業態、新產能的出現；隨著數字浪潮的擴展，從虛擬經濟到實體經濟的各個行業都面臨巨大的技術和產業變革。這一變革帶來了海量數據的爆發式增長、多樣化的數據形態、不斷增強的數據流動性和各類不同場景模式的數據應用等巨大變化，同時使得引發數據安全風險的可能性大大提高。
隨著我國數字經濟和產業的發展，數據安全問題日益凸顯。2015年國務院印發《促進大數據發展行動綱要》，部署促進大數據發展的三大主要任務之一是健全大數據安全保障體系，強化安全支撐。隨著數據數字技術的延伸和擴展，社會的方方面面對數據的依賴程度日益加深，新的安全挑戰不斷衍生。如何通過完善制度供給保障數字經濟發展中的數據安全，是當前亟待解決的重要課題。
數字經濟時代數據安全治理面臨諸多新挑戰
數據作為一種新型生產要素和資源，具有顯著的可利用價值，能夠在經濟發展、社會治理、科技進步、文化繁榮等各個方面發揮重要推進作用。但數據本身具有多歸屬性、流動性和多樣性等不同于傳統生產要素的特性，其安全風險在數字經濟和產業動態運行的條件下被不斷放大，牽涉的主體范圍也更廣，不僅關系到個人、企業和其他組織等主體的權益，更關系到國家利益和社會公共利益，因而其安全治理問題也就更為復雜，面臨各種新挑戰、新風險。
多元主體共治機制漏洞加劇治理風險
數字數據技術和人類生產生活的深度融合，對經濟發展、社會治理、人民生活都產生了重大而深刻的影響。隨著大數據的跨界融合、交叉互聯，數字經濟所涵蓋的主體結構日益復雜化，政府機構、社會組織、市場主體以及公民等都與大數據安全密切相關。數據安全不僅關涉個人、企業和其他組織，還牽涉國家和政府。故數據安全不單是某一主體的事務，而是多方主體共同牽涉的事務。也就是說，數據安全不僅需要國家和政府在治理過程中加以保障，也需要企業、公民等多方主體共同維護。
但是根據社會學的“責任分散理論”，當不同個體需要共同解決某項問題時，群體中的“匿名效應”將稀釋參與個體的責任感，使得單獨個體因為觀望其他主體的行為而怠于承擔自己的相應責任。就數據安全問題而言，多元治理主體的存在在一定程度上造成了責任的分散，因此需要加強不同主體之間的協作，唯有推動每一方主體都參與其中，形成合力，才能更好地解決數據安全治理難題。
現代西方社會治理理論認為, 隨著公共利益的多元化和公共事務的復雜化, 政府作為公共事務的唯一管理主體已日漸力不從心, 除政府之外的一些非營利組織和私營部門等公共行為主體也應承擔起管理公共事務的責任, 并且它們只要得到公眾的認可, 就可以在各自不同的系統中構成公共權力中心。就數據安全而言，行業組織在其中發揮著協調不同企業利益、擔當政企關系媒介、引領行業自治的重要作用。因此，數據安全治理，離不開行業組織的溝通串聯。
數據流動引發運行周期各環節安全風險
數字經濟以數據的高效開發和利用為基礎，涵蓋數據的來源、傳輸、存儲、使用、清理等各個環節，不同環節的特性不同，面臨的數據安全問題也大相徑庭。
數據采集是數據生命周期的第一道環節。數據采集是指從產生數據的源頭進行數據記錄和預處理的過程。采集過程中的安全風險主要是未經許可或采集對象同意，非法獲取數據。例如企業未經消費者授權自行采集用戶數據信息用于經營。
在數據采集完成后，需要將采集到的數據傳送到數據存儲中心，這就是數據傳輸。該環節面臨的風險主要是惡意攔截、篡改或破壞。數據傳輸技術的進步在提升傳輸速度和數量的同時，也使得數據流量更為龐大，數據監控和保護更為困難。
數據存儲是指將數據存于特定介質之中。其所面臨的安全風險主要來自于內部和外部兩方面：一方面，數據存儲者可能會故意或者因過失而泄露數據；另一方面，外部人員可能通過入侵存儲系統，獲取、篡改、刪除數據。
數據使用是指對數據進行加工處理，是數字經濟的核心環節，也是數據安全治理的最終目的。數據使用階段的風險主要包括數據系統非法訪問、數據庫運維管控安全、開發測試安全以及使用權非法轉讓、非法關聯及不當使用等。
數據共享是數據價值實現的重要方式，包括免費和付費兩種方式。它主要是通過數據在不同主體間的流動，有效促進數據互聯和數據作用的發揮。數據共享階段面臨的風險主要包括非法訪問、惡意更改、非法外泄等。此外，數據共享過程中數據產生的價值如何分配也是一個棘手的問題。
數據在經歷上述各環節后，面臨著銷毀的問題。當前數據銷毀技術主要有物理和邏輯兩種：物理消除包括消磁、腐蝕、粉碎、焚化等方式，邏輯銷毀主要包括數據擦除、重寫等方式。在數據銷毀過程中，同樣存在著非法備份、泄露、非法交易等安全風險，也值得關注。
總之，數據所面臨的威脅與風險是一個動態變化的過程，在不同環節面臨著不同問題，呈現周期性變化趨勢。因此必須堅持整體宏觀視野，有針對性地解決不同環節中存在的數據安全治理問題，消除數據安全風險。目前，我國針對數據安全的制度設計仍處于大而化之的階段，缺乏對產業鏈中不同環節的更為細致的關注，導致無法有效管控各環節的安全風險。這從側面上更加凸顯了加快數據全生命周期安全立法的重要意義。
數據跨境流動催生國家安全風險
在全球化日益深入發展的今天，數據日漸超出國家或地區邊界走向世界，進行跨國、跨地區流動。數據安全不僅成為國內建設關注的焦點，同時也成為國際上各國普遍重視的問題。各國紛紛出臺政策法規，加強對數據安全尤其是本國數據安全的保護，盡可能在國際數據競爭中占得先機。在這一過程中，以中國為首的發展中國家面臨的風險更大。今年以來，一些外國政府以數據安全為由針對中國的支付寶、微信、TikTok等進行的管制行為，體現出數據日漸成為國際競爭的前沿陣地，也更加彰顯了強化國家數據安全保護的重要意義。從這個意義上說，數據安全問題，不僅對國內的改革與發展具有重要影響，同時也對國家利益維護和國際關系構建具有顯著作用。因此，數據安全治理必須堅持國際視野，統籌國內國際兩個大局，基于數據跨境流動的動態發展現狀，制定相應措施以應對日益嚴峻的新型國家安全問題。
國家數據安全所面臨的風險主要包括技術和制度兩方面。就技術風險來說，數據跨境流動過程中存在非法獲取、數據泄露、系統入侵等會帶來安全風險的技術行為，面臨著安全標準制定、安全技術開發和應用等技術性難題；同時，在數據跨境流動的法律法規構建上，又存在安全審查、跨境執法、規則銜接等制度性問題。前者屬于動態風險，后者屬于靜態風險。動靜交織的風險使得國家數據安全保障面臨更加復雜的局面。
縱觀我國的相關制度建設，無論是《數據安全法（草案）》《網絡安全法》等數據安全相關立法，還是《促進大數據發展行動綱要》《國務院關于“互聯網+”行動的指導意見》等政策規劃，大多缺乏對國家數據安全的系統性規定，即便有所規定，也大多囿于一些原則性、框架性的表述，缺乏具體的制度構建。在數據跨境流動日益迅猛的今天，我國當前的數據安全制度供給已經不能適應國家數據安全保障的需求，必須盡快完善數據安全制度設計，以保障國家的總體安全。
完善數據安全治理的體制機制和政策體系
要想充分挖掘數據價值，推動數字經濟發展，實現經濟發展的提質增效，就必須強化數據安全治理。應從補齊多元主體共治機制短板、強化數據生命周期各環節差異化風險防控和加強數據跨境流動安全保護三方面入手，完善數據安全治理的體制機制和政策體系。
補齊多元主體共治機制短板
多元主體的共同參與有助于構建良好的數據安全治理秩序，而數據安全的有效維護又反過來使各方主體共同受益，應當根據不同主體自身的特性，在明確治理主體定位的基礎上，構建數據安全共治體系。
一是明確政府部門權責。應當厘清政府部門對數據安全的監管權責，構建涵蓋數據運行全過程的全方位監管體制，同時還應合理界定政府監管范圍，在保障安全的基礎上，限制政府公權力對產業發展的過度介入，避免權力濫用。政府還應制定相關政策或者行動計劃，從宏觀上確定數據安全的治理目標、基本原則、行動步驟和具體制度，細化數據安全的內容。同時，大數據安全并非某一部門或者某一地區的責任，還需要加強各部門、各地區之間的協作，建立中央統一領導、各部委分別負責、各地方具體落實的自上而下的完整治理體系；還可以考慮構建部門、地方之間的聯席會議機制，并促使其在大數據安全治理中發揮主導性作用。
二是推動行業自治。企業、行業組織、第三方機構以及其他數據組織或者涉數據主體不僅享有數據安全權益，同時也負有數據安全責任。因此應當在厘清企業、行業組織等數據組織定位的基礎上，通過行業規范、標準制定、內控機制等方式確定主體權責，同時還可以通過第三方機構安全認證等方式激發行業自治的積極性，激勵數據市場主體強化安全保障措施，完善內部管理。
三是深化公眾在大數據安全治理中的作用。社會公眾既是大數據的重要來源，也是大數據應用的受益對象。應當細化公民個人享有的數據安全權利和應承擔的數據安全義務，為公民在數據安全治理中發揮作用筑牢法治根基。同時還應通過政策宣傳，提升公眾對個人隱私及信息安全的重視，增強自律意識和自我保護意識，為數據安全治理奠定群眾基礎，并充分發揮公眾的監督職能。另外，暢通數據安全群眾意見反饋渠道，可以考慮構建政府、行業、公眾三方代表協商機制或者聽證機制，定期或不定期召開會議討論數據安全問題，對數據安全治理建言獻策，為維護數據安全提供有力保障。
針對數據生命周期各環節制定差異化安全保障策略
應當基于數據生命周期各環節的不同特點，制定相應的安全保障策略。
數據采集是數據安全治理的第一道關口。可按照數據的重要程度對不同數據進行分級，從上到下分為涉密數據、敏感數據、重要數據、一般數據。在分級基礎上，根據不同級別的數據設置不同的采集程序要求，級別越高的數據，采集程序要求越嚴格，所需獲得的授權標準也就越高，由此保障數據的采集安全。
在數據傳輸環節，應當以傳輸加密為核心。將不同數據的專線傳輸、傳輸證書、文件內容過濾、網關審查、敏感性檢查等內容納入數據安全法律法規，明確其技術標準、責任主體、監管方式等。
在數據存儲方面，應從內外兩方面入手加強安全保障。在內部管理上，應當明確數據庫的訪問主體、訪問權限，建立專門的數據庫或數據平臺管理機制，部署專門的管理人員，防止泄露；在外部防御上，通過加強技術防范，采取有力措施阻止非法攻擊和侵入，同時還應賦予用戶查看、修改、刪除自身數據的權利以及時發現潛在的數據安全風險。
在數據使用環節，應當從數據的加工處理入手，推動數據加工處理的規范化。應當重點解決數據使用的授權認證、權限范圍、運維權責、用戶監督等問題，在保障安全的基礎上推動數據高效合理使用。
在數據共享環節，應當厘清參與共享主體之間的協議制定和履行、風險分擔、收益分配、責任界定等問題，加強對數據平臺運行和管理的監管，平衡共享主體之間的利益，在此基礎上保障數據的安全高效流動。
在數據銷毀階段，重點在于數據是否得到真實有效的銷毀。因此，應當著力于數據銷毀清單建立和記錄保存制度建設，可以考慮通過數據銷毀全程錄音錄像以及不定期檢查制度的構建，確保數據得到真實有效的銷毀。
加強跨境數據安全保護
數字經濟時代，數據作為新型基礎性戰略資源日益得到各國重視，日漸成為國際競爭與合作的重要對象。面對當前跨境數據流動的發展現實，我國應當直面安全挑戰，抓住時代機遇，積極推動我國數字經濟和產業的發展水平更上一層樓。同時，還應當從具體規則完善、技術發展和國際合作等方面探索國家數據安全保護的制度進路。
首先，在具體規則上，應當細化各項規則內容，增強其可操作性。應在明確部門、地區權責范圍基礎上，抓緊構建各地區、各部門的數據清單和數據名錄制度，合理制定數據的分級分類標準，并加強協調以避免重復和矛盾。具體列舉數據跨境流動過程中所涉及的重要領域和行業，針對關鍵節點和重要領域開展多層次重點保護。同時，加強數據安全風險評估，明確負責數據安全風險評估機構，完善評估主體、評估標準、評估流程、評估頻次、費用承擔、評估結果等規定，可在規范資質認定、測評程序、責任承擔等事項基礎上，加強與第三方數據評級機構的合作，以提升評估效果，提高治理效率。此外，還應完善國家數據安全治理體系內部的監督和問責機制，明確監督主體、問責范圍、責任處理等方面規定，可通過開展定期巡視、隨機抽查等方式，保證國家各部門、各地區依法履行保障數據安全的職責。
其次，應當積極采取措施推動數據安全技術創新。對此，可加大資金、技術和人才投入，推進數據研究院、數據實驗室等科研機構建設，加強與國內外科研院所、技術組織的合作，為數據安全治理創新提供技術基礎。同時，應鼓勵和扶持一些大型互聯網或數據企業開展自主研發，通過技術獎勵、稅收優惠等措施，激發企業創新數據安全技術的積極性。此外，還應加快數據治理人才的培養和引進，加強數據治理人才儲備，打造覆蓋全方位、多領域的數據人才治理隊伍。
最后，應當加強數據安全方面的國際交流與合作，積極參與國際數據安全治理規則體系的制定。可通過建立國際數據安全合作小組、信息交流共享、備忘錄簽署以及民間組織往來等多元化、多層次形式，推動國家間數據安全治理的交流。還應當在考慮國際通行標準和做法的基礎上，制定合理的跨境數據安全執法規則，加強與其他國家和地區規則的銜接，促進數據安全跨境執法合作。積極參與國際數據治理規則的制定，構建國際數據治理多邊機制，在國際數據治理中展現大國擔當。
結語
數字數據技術的發展，在帶動數字經濟和新興產業發展的同時，也催生了數據安全風險。數字經濟和新興產業的發展離不開數據安全保障。數據安全不僅牽涉個體權益，同時關系社會整體利益；不僅是國內建設所面臨的重大問題，也是當前國際競爭與合作的重要內容。因此，必須不斷深化對數據安全的認識，更新數據治理理念，加強頂層設計，完善相關立法，填補制度漏洞。應從數據安全治理的私益與公益動態平衡、國內國際兩個大局兼顧的基礎出發，加快構建科學合理、高效有序、完整統一的數據安全治理體系，為我國數字經濟和產業市場化、規范化、國際化的發展提供有力的制度保障。
【本文作者為南開大學法學院教授、競爭法律與政策研究中心執行主任；本文系教育部高校人文社會科學研究重點基地重大項目“全球數據競爭下人權基準的考量與促進研究”（項目編碼：19JJD820009）、天津市教委社會科學研究重大項目“天津市人工智能產業發展的經濟法治保障研究”（項目編碼：2019JWZD20）的階段性成果】
參考文獻
[1]王欣亮、任弢、劉飛：《基于精準治理的大數據安全治理體系創新》，《中國行政管理》，2019年第12期。
[2]肖冬梅、文禹衡：《在全球數據洪流中捍衛國家數據主權安全》，《紅旗文稿》，2017年第9期。
[3]呂毅：《主動構建數據安全體系，穩步推進數據安全治理》，《中國信息安全》，2019年第12期。
[4]都婧：《新形勢下對于構建數據安全治理體系的思考與建議》, 《中國信息安全》，2019年第12期。
[5]齊愛民、祝高峰：《論國家數據主權制度的確立與完善》, 《蘇州大學學報（哲學社會科學版）》，2016年第1期。
責編：賀勝蘭 / 羅 婷
聲明：本文為《國家治理》周刊原創內容，任何單位或個人轉載請回復國家治理周刊微信號獲得授權，轉載時務必標明來源及作者，否則追究法律責任。