《数据安全法》出炉，企业当如何乘风？

图源：pexels

2018年10月全国人大开始组成专班针对《数据安全法》进行研讨，历时一年多公布《数据安全法（草案）》（下称“草案”）。

2021年6月10日，《数据安全法》经十三届全国人大常委会第二十九次会议通过，并将于2021年9月1日起施行。本法是数据领域的基础性法律，也是国家安全领域的一部重要法律。

图源：千图网

信息时代让社会和经济迅速发展，我们在享受互联网的红利和科技带来的便捷时，这种开放性、共享性的环境也让使用互联网的我们始终暴露在危险之中。大数据时代互联网产业发展必然依赖于数据在不同主体间的传输与流转，这就同时给数据安全管理带来了艰巨的挑战。如何保证数据在境外外传输和流转的安全和效率，是全球互联网企业都需要面对的难题。

图源：pexels

2018年，Facebook数据泄露丑闻爆发，股价大跌7%，市值蒸发360多亿美元，与此同时，欧盟、英国纷纷作出强烈回应，要求对数据泄露事件进行调查。民调显示，只有不到一半的美国人信任Facebook遵守美国的隐私法。

图源：千图网

欧洲大陆法的国家有很强的隐私保护意识。互联网的普及和数字经济的兴起，还有日益增加的大规模用户数据泄露事件加剧了民众对个人数据安全的担忧，特别是涉及隐私的数据。欧盟宪章将个人隐私确立为应予以捍卫的基本权利。2016年4月16日，号称史上最严的数据和隐私保护法律——欧盟《通用数据保护条例》（GDPR）——正式颁布，自2018年5月25日起实施。GDPR实施以来，以其繁琐复杂的合规要求和幅度惊人的违规处罚，在经济和社会层面都造成了极大的震动，并给其他国家树立了榜样。

2020年1月1日，美国加利福尼亚州《消费者隐私法》（CCPA）开始实施，预计将掀起美国其他各州乃至联邦的相关立法潮。

图源：网络

中国于2017年6月开始实施《网络安全法》，对互联网上的数据安全予以管控。作为《网络安全法》的配套法律，中国《密码法》自2020年1月1日起实施。2020年5月28日颁布、2021年1月1日起实施的中国《民法典》首次将隐私和个人信息作为公民的人格权的一部分进行保护，并在《网络安全法》的基础上提升了保护的范围和力度。

欧美国家将数据主权从物理边界转向技术边界，对第三方国家的主权会有较大甚至直接的影响。现在数据跨境流动愈加频繁，必须尽快完善我国相关法律法规，保护我国国家利益、跨国公司以及公民个人利益。

图源：pexels

随着全球经济数字化、政府数字化、企业数字化的发展，数据已经成为各国政府和企业最核心的资产，数据不仅意味着企业安全、国家安全，而因其可转化为现金，本身也承载着不可估量的价值。

在以上背景下，《数据安全法》的出台不仅明确了我国对境内数据的管辖权，充分体现了我国维护数据主权和国家安全的决心，更体现了国家对数据安全领域的高度关注，证实了国家对数据经济的重视，对数据的重视，希望通过立法能明确数据在数字经济发展中的地位，从而充分发挥数据的经济价值。

1.企业要注意数据处理全流程负责

数安法明确了地区、各部门分别对自身工作中产生的数据、汇总的数据、加工数据的数据及数据安全负主体责任。

图源：千图网

企业要注意的是，在数据处理过程中，不仅对数据安全负主体责任，而且必须对数据产生之后到加工的整个流程均负责任，包括收集、存储、使用、加工、传输、提供等，基本上已经涉及数据的全生命链条，因此企业不能只着眼于最终的数据处理阶段，必须建立全流程企业合规管理。

2.企业处理跨境数据问题

《数据安全法》明确了适用范围，包含了域外管辖的规定。符合数字时代数据发展的客观情况，与《网络安全法》等相关法律的保持了一致性，顺应了国际数据安全相关立法的发展趋势。

图源：千图网

企业在进行跨境数据处理时，若境外执法或司法机构要求调取数据，企业便可从《数据安全法》援引有力的法律规则，但企业自身也必须严格履行数据合规义务。随着中国经济呈指数式增长和科学技术的迅猛发展，越来越多国家对中国企业的数据处理实行特别“关注”，已经成为中国企业跨国运营的“头号麻烦”。这也就要求企业关注各国数据安全审查机制，建立可能引发国家安全审查的数据处理行为的事前预判、及时处理等应急处理机制；关注数据跨境的境外国家和地区的数据规范而建立相应的风险防范机制。

如果企业忽略了数据跨境的风险事先防范，则可能引起不可估量的经济乃至名誉上的损失。2019年2月底，TikTok与美国联邦贸易委员会达成和解协议，TikTok同意支付570万美元的罚款，作为对其违反《儿童网络隐私保护法》收集关于未满13岁的儿童个人数据的处罚。

数据安全法要求开展数据活动要遵守法律、行政法规和国家标准的的要求，建立健全全流程数据安全管理制度，采取相应的技术措施，组织开展数据安全教育培训，以及采取其他必要的措施，确保数据安全。

图源：千图网

在传统企业中，内部管理、员工培训并不受重视，甚至很多企业并未配备。《数据安全法》出台后，企业应注意，内部管理机制、员工培训义务是《数安法》中的新要求。此条款是对国家建立数据安全制度的呼应，若未尽对开展数据活动的主体设置的安全保护义务，可能会面临单位罚款100万，负责人罚款10万的行政处罚。

另外，如果缺少足够的数据安全意识和防范观念，员工极有可能因为自己的便利条件或失误而违反数据安全规章，或成为网络犯罪者的辅助者。因其本身意识不到因为自己的这种行为和后果，会将整个公司的数据资产推向危险的境地。因此企业应尽快建立完善的管理和培训机制，在整个组织内树立数据安全意识，才能够整体提高员工和企业整体的数据安全水平。

图源：千图网

《数据安全法》是继《网络安全法》提出数据的概念后，我国在数据安全立法层面的又一个重大里程碑，是中国数字经济高速发展的定海神针。

随着《数据安全法》的落地与生效，我国数据安全监管领域的法律制度更为完善。《数据安全法》在短期内可能为企业增加一部分数据合规成本，但长远而言，对于企业加强数据合规管理，在国际竞争中增强自身竞争力将具有积极影响。在这个数据监管时代，企业应密切关注最新立法进展和配套规定，不断探索合规管理与业务发展相平衡的最佳实践。