“数据法治化治理”应平衡安全与发展

数据治理应符合法治要求
数据治理的法治化问题，即对数据治理主体的权利义务的设定及其关系模式之制度安排，应符合法治主义要求。“数据法治化治理”要特别关注合法性。一是作为底线的形式合法性。下位法不能跟上位法抵触。二是体系的一致性或者体系合法性。数据治理的整个法律体系应当保持必要的一致性。三是实质合法性，即安全与发展的平衡。安全并不等于一味地保护，真正的网络空间安全不是没有网络空间，而是建立起新兴企业和监管机构的联结，既保护数据主体的权益，也实现国家利益和社会福利的最大化。这种联结的内在逻辑的前提是行业不断升级、发展。
关于数据治理的法治化问题，不仅需要国内法治，也需要考虑国际法治，促成维护国家利益但又能进行对话、竞争和合作的国际数据治理体系，以提升我国在国际数据治理体系中的话语权和治理能力。

关注法律冲突与衔接问题
应注意《数据安全管理办法（征求意见稿）》第二十五条的规定与《宪法》第四十条以及《网络安全法》相关规定可能存在的冲突，尤其注意在对消减公民权利、增加网络运营者义务等进行规定时有没有违反上位法。互联网的数据流越大，互联网产业才会越繁荣越健康，应注意《数据安全管理办法（征求意见稿）》第二十五条的出台对产业的发展可能产生的影响。

平台治理要考察三个要素
平台治理有三个要素：数据、算法、平台。在数据的问题上，我国采取的是国际上通行的知情同意机制。《数据安全管理办法（征求意见稿）》将同意机制规定得更为具体、详细，还需要明确设定一些例外情形。《数据安全管理办法（征求意见稿）》在个人信息权的权利内涵上，基本是对《电子商务法》第二十四条、《网络安全法》第四十三条的进一步明确，没有新设用户权利。在算法的问题上，《数据安全管理办法（征求意见稿）》第二十三条规定了“定推”标识义务、用户的退出权和删除义务。但是，如果行使删除权就意味着同时行使了退出权，但行使退出权可能并不意味着同时行使了删除权，这需要在《数据安全管理办法（征求意见稿）》进一步明确。《数据安全管理办法（征求意见稿）》第二十四条规定了算法“合成”信息的标识义务，还需要进一步明确该条的立法目的。在第三方应用平台责任的问题上，《数据安全管理办法（征求意见稿）》进一步体现了《电子商务法》中已经反映出来的监管平台并通过平台进行监管的思路。另外，由于规制对象过于宽泛，需要考虑对中小微企业发展的不利影响。

数据安全的规定需要完善
目前《个人信息出境安全评估办法（征求意见稿）》，并没有区分是为了安全目的进行安全评估，还是为了保护个人权利进行安全评估，这两种评估定位明显不同，需要进一步明确。具体到《数据安全管理办法（征求意见稿）》第三十条，该法条采用过错推定规则，侧重于事后救济，有可能造成只要第三方应用发生数据泄露等安全事件，网络平台就要承担法律责任而承担过重的法律责任。建议《个人信息出境安全评估办法（征求意见稿）》规定网络平台对第三方应用的事前和事中管理义务，以预防和避免数据安全事件发生，包括接入第三方应用时要进行登记和审查、出现违法行为要报告和处置、出现数据泄露要通知等。

要确保体系逻辑性和可执行性
数据治理需要从立法是否足够及立法能否产生实效两个方面进行考察。从立法是否足够的角度审查，目前数据确权的问题引起各方争议。这涉及网络空间的基本治理规范设计，属于基础架构，对此应谨慎界定，充分论证。另一个是关于网络平台的司法实践。网络空间确有其特殊性，但对此不可过度解读，在既有民法框架内可解决的问题，不宜盲目扩张或突破，否则会干扰一些基本权利的行使。另外，还应当观察现有的立法是否发挥了应有的作用。例如，目的限制原则在现实中难以完全落地，删除权的行使存在技术性障碍，《儿童个人信息网络保护规定（征求意见稿）》对于监护人的有效告知也很难确保。因此，不应盲目追求立法的数量，要确保规则体系内的逻辑性、稳定性及可执行性。

立法要注意法律体系衔接问题
从整体上来说，《数据安全管理办法》《儿童个人信息网络保护规定》《个人信息出境安全评估办法》三个征求意见稿都体现出监管机构对个人信息权利的高度重视，其中要注意两个问题。
一是与其他法律的衔接问题，即如何保持立法体系内的一致性。例如，关于“知情同意”原则，《民法总则》规定意思表示可以以明示或者默示作出，沉默在特定条件下也可视为意思表示。《网络安全法》规定“明示并取得同意”，没有要求“明确同意”。而《数据安全管理办法(征求意见稿)》第九条、第十一条将“同意”限制在“明确同意”，也不允许采用“默示授权”。
二是《数据安全管理办法（征求意见稿）》应当回归本源，网络运营者违反相关规定的法律后果应该首先承担行政责任，而不是侵权责任。《数据安全管理办法（征求意见稿）》第三十条中网络运营者的责任，应理解为违反《网络安全法》第九条、第二十二条所规定的“网络安全保护义务”而产生的行政责任，而并非侵权责任。此处是否承担侵权责任应当回归《侵权责任法》关于共同侵权即第八条至第十三条的相关规定。

好的监管需要把握监管尺度
《数据安全管理办法（征求意见稿）》第三十六条和第三十七条涉及行政机构监管网络经营者数据相关规定。在这种情况下，大型企业数据管理措施相对到位，而小微企业完善数据管理可能较为困难。好的监管要对合法的投资者、网络经营者提供良好的保护。要把握好监管与发展的尺度，对创新行业领域应秉持审慎监管原则，目前的监管体制与灵活创新还有不相适应的地方，需要在实践中调整。

厘清相关法律适用问题
在欧美，很多时候不会将隐私政策认定为合同，但如果中国认定是，则可能存在与其他国家法律的衔接问题。关于《数据安全管理办法（征求意见稿）》第三十二条，中国除了涉及上述数据安全的规章以外，还有很多的行业主管部门和行业主管规定，需要将其之间的关系厘清。

应体现比例原则和正当程序原则
在目前的大环境下，数据立法首先是一个行政法问题，公法色彩更重。国外的个人信息保护和数据保护立法几乎都体现了比例原则、正当程序原则，我国在立法中也应有所借鉴。同时，要处理好不同法益的冲突，避免影响其他价值的实现。我国的数字经济能有今天的发展非常不容易，也出现了很多亟须规制的问题。风险治理导向的立法和监督完全可以理解，但要考虑到数据立法既有全局性也有行业特殊性（比如金融、医疗、汽车、能源就各有不同），法律体系的协调性对法律法规落地的效果非常关键。

应明确区分数据和个人信息
我想说三点。一是要把数据和个人数据或者个人信息加以区分。《数据安全管理办法（征求意见稿）》中只有第五条、第十七条和第二十八条涉及重要数据，但是并没有涉及实质问题，而是更多关注个人信息的保护问题。二是数据安全和数据治理是两个问题。数据治理涉及数据的收集、存储、修改、发布等细节，出台行业指南对小微企业更有帮助。三是数据的确权和赋权的问题。数据确权要避免设置过于碎片化的数据财产权，加大交易成本；数据赋权应该放到私法领域去解决。