政务数据安全风险与法律规制

丁伟峰

【摘要】在数字时代和国家治理现代化背景下，政府拥有数量大、价值高的数据资源，通过开放共享发挥这些数据资源的潜在价值，是数字时代促进经济社会发展的必然要求。政务数据安全是开放共享的题中之义，没有政务数据安全就无法实现开放共享。因此，加快构建与数字时代相适应的政务数据安全保障体系，提升政务数据安全治理能力，有效防范和化解政务数据安全风险，已成为数字时代的核心议题。

【关键词】政务数据  数据安全  法律规制  数字治理

【中图分类号】TP309                            【文献标识码】A

【DOI】10.16619/j.cnki.rmltxsqy.2022.09.012

随着人类社会迈入数字时代，数字政府、数字经济及数字社会加速发展，数据日益成为新的生产要素，而政务数据作为重要的数据资源，对于促进经济社会发展具有重要作用。近年来，我国政府高度重视政务数据开放共享，充分释放政务数据“红利”，政务数据已经成为促进经济社会发展的新引擎。然而，政务数据内包含大量有关国家安全、公共安全、个人隐私及商业秘密的内容，一旦被滥用将造成巨大损失，政务数据安全风险已经受到广泛关注。

政务数據安全面临的风险与挑战

个人隐私数据安全风险。在现代信息社会中，政府持有大量有关个人户籍、社保、纳税及医疗等方面的数据，个人隐私数据在采集、存储、传输、使用及删除等环节中都可能存在风险，属于最常见的政务数据安全风险。在大数据时代，个人隐私数据保护超越了传统隐私权保护的范畴，个人数据隐私侵权行为的构成要件、性质认定等都存在一些争议，无法通过传统隐私保护制度进行全面保护。

政务数据授权运营安全风险。为了促进数字经济发展，国家积极推行政务数据授权运营试点，探索建立第三方主体参与政务数据开发利用的机制，加速将作为生产要素的政务数据融入经济社会发展之中。在政务数据授权运营过程中，存在政务数据权属不清、安全保护责任不明等问题，授权运营主体可能会基于自身利益，利用授权使用政务数据的便利，产生过度分析和使用政务数据的冲动，进而侵犯个人隐私、商业秘密，危害公共安全及国家安全。

新型基础设施安全风险。2020年4月，国家发展和改革委员会相关负责人首次明确新型基础设施的范围，即以新发展理念为引领，以技术创新为驱动，以数据为核心，以信息网络为基础，面向高质量发展需要，提供数字转型、智能升级、融合创新等服务的基础设施体系。在数字时代，新型基础设施服务于政务数据处理活动，政务数据的采集、存储、传输、使用及删除等都离不开新型基础设施。新型基础设施比传统基础设施更易遭受攻击，甚至是国内外有组织、大规模的网络攻击，这无疑进一步加剧了政务数据安全风险。

政务数据安全风险法律规制的必要性

政务数据安全风险与业务流程及政务数据生命周期密切相关，具有客观性、广泛性、动态性等特点，体现了高度不确定性。第一，政务数据安全风险的客观性。政务数据安全风险并非人们主观臆造的，而是客观存在的，虽然政务数据安全风险更多发生在虚拟空间中，但造成的损失却客观存在于现实空间中。政务数据安全风险的客观性是对其进行法律规制的前提。第二，政务数据安全风险的广泛性。政务数据安全风险在两个维度上体现其广泛性：一方面，政务数据安全风险超越时间和空间限制，任何时间、任何地点都可能发生安全风险;另一方面，政务数据安全风险影响的群体几乎不受年龄、性别、财富等因素限制。第三，政务数据安全风险的动态性。政务数据安全风险可能发生在采集、存储、传输、使用及删除等任一环节，并且有些安全风险可能会产生连锁反应，呈现“涟漪”扩散状态，原初风险转变为新的风险源，引发新的政务数据安全风险。政务数据安全风险的动态性，使得从源头上预防和治理风险变得更加困难。

强化政务数据安全治理的顶层设计，对于完善政务数据安全治理体系具有重要的现实意义。第一，有利于促进政务数据开放共享。《中华人民共和国数据安全法》虽然对政务数据安全予以“专章”规定，但法律仅有原则规定，可操作性不强，而政务数据安全相关政策又缺乏法律强制力。不断完善政务数据安全法治体系建设，才能促进政务数据开放共享。第二，有利于克服政务数据安全地方立法分散性弊端。目前，政务数据安全的地方立法出现碎片化现象，造成地方立法资源的浪费。加强政务数据安全的法律规制，有助于提升政务数据安全保障能力。第三，有利于减少政务数据安全风险带来不可逆的损害结果。在数字时代，由于科技发展不确定性，现行法律措施可能无法有效实施，导致政务数据安全风险可能给人类社会带来不可逆的损害结果。通过建立健全与数字时代相适应的法律制度体系，能够极大减少不可逆损害结果的发生。

政务数据安全风险法律规制的路径选择

数字时代的法律必须重塑自身，必须熟悉数字世界的逻辑，提升政务数据安全治理能力，防范和化解政务数据安全风险，必须选择符合政务数据安全风险特点的法律规制路径。

坚持政务数据安全风险预防原则。风险预防原则是有关风险评定的原则，其要求决策者对因科学不确定性所导致的问题给予特别关注。由于政务数据安全具有潜在性、不可预测性、损害不可逆性等特点，必须将政务数据安全治理的关口前移，防范和化解政务数据安全风险。政务数据安全治理涉及国家安全、公共安全、商业秘密以及个人隐私等多种利益平衡，风险预防原则要求在政务数据安全前提下进行开放共享。《广东省公共数据管理办法》《贵州省大数据安全保障条例》等都采用了“预防为主”“安全可控”等表述，凸显了对政务数据安全的重视。因此，在政务数据安全治理中必须坚持风险预防原则：一是要加强政务数据安全法律规范的能动性，提前约束政务数据采集者、使用者和参与者，明确不同主体的政务数据安全保护责任，提高政务数据开放共享的安全性;二是要加强政务数据分类分级管理，根据政务数据对经济社会发展的重要程度、以及被滥用或被泄露后的危害程度，采取与之相适应的风险预防措施。

构建政务数据安全多元治理体系。无论是政务数据开放共享还是政务数据安全，都会涉及政府、市场、社会及公民个体等多元主体，必须依靠多元主体的良性互动，形成治理合力。一是明确政府元治理者角色。“政府要在治理系统中充分发挥主导作用，要为治理体系提供基本制度供给，同时塑造共同价值，为治理体系中其他治理主体的广泛参与提供公平的环境和互动的条件。”[1]因此，政府主要关注全局性、系统性的政务数据安全风险，做好顶层制度设计，推动市场、社会等主体加快实现自我规制。二是加强政务数据使用者的安全保护责任。政务数据开放共享是对政务数据的再开发利用，在此过程中，如果政务数据被泄露或被滥用，将形成政务数据安全风险。因此，政务数据使用者必须履行安全保护义务，包括完善内部安全管理制度、自觉接受安全测评和风险评估等。三是鼓励和支持公民个体参与政务數据安全治理，增强个人信息保护意识，健全公民个人数据权利体系。同时，政务数据开放共享使得政务数据从有限且可控的安全域向不确定、不可控的风险空间延伸，加剧全国性政务数据安全的“木桶效应”。政务数据安全治理能力不取决于最强者，而取决于最弱者，只要任何一个环节或主体的政务数据安全治理能力弱化，都将导致政务数据安全防控体系失去防护作用。因此，政务数据安全防控需要政务数据持有者、使用者及参与者都提高政务数据安全治理能力，避免“木桶效应”导致政务数据安全治理能力衰减。

加强政务数据安全软法治理。政务数据安全的普遍性、技术性、复杂性，决定了法律法规无法满足政务数据安全治理的规则需要，制定软法性规则就成为政务数据安全治理的必然选择。软法治理具有对话协商、权益共享、低成本、高效率等优势，有助于促进政务数据安全治理主体之间形成共识。其中，政务数据安全标准是政务数据安全治理体系的重要组成部分，包括为政务数据安全治理提供更严格的保护措施，明确政务数据安全保护责任，确定政务数据再利用规则等。此外，还要加强法律法规、行业规定与政务数据安全标准的衔接工作，防止法律法规与安全标准脱节。例如，《中华人民共和国数据安全法》第十条规定，“相关行业组织按照章程，依法制定数据安全行为规范和团体标准，加强行业自律，指导会员加强数据安全保护，提高数据安全保护水平，促进行业健康发展”。

完善政务数据安全保护责任机制。政务数据安全治理涉及政府、市场、社会以及公民等多元主体，且包含数据采集、存储、分析、使用、删除等多个环节，增加了政务数据安全保护的复杂性，需要“营造数据治理生态体系，充分调动社会力量共同推动数字治理”[2]。政务数据安全治理应遵循“谁所有谁负责、谁持有谁负责、谁管理谁负责、谁使用谁负责、谁采集谁负责”的原则，明确政务数据安全保护责任;还要加快形成多元主体责任共担、政务数据安全风险梯次应对的局面，保证在政务数据处理的各个环节都有明确的责任主体，避免出现责任空白地带。

（本文系吉林省教育科学规划课题“吉林省人工智能法律人才培养模式研究”和吉林省社科基金项目“吉林省哲学社会科学奖励地方立法研究”的阶段性成果，项目编号分别为：20201217135541、KYC-SH-XM-2020-076）

注释

[1]杨庐峰、张会平：《数字经济与实体经济深度融合发展的着力向度与治理创新——以贵州省的融合发展实践为例》，《理论与改革》，2021年第6期。

[2]邓念国：《整体智治：城市基层数字治理的理论逻辑与运行机制——基于杭州市S镇的考察》，《理论与改革》，2021年第4期。

责 编/陈璐颖