论警务数据安全

叶 涛

（浙江警察学院，浙江 杭州 310053）

随着警务机制与数据技术的深度融合，智慧警务模式已逐步形成，警务数据成为智慧警务发展的重要资源［1］。在警务数据广泛收集利用的大背景下，智慧警务模式也面临着巨大的数据安全风险与挑战。警务数据数量规模与适用领域的急速增长，警务数据开放共享与数据协助行为的广泛应用，以及警务数据处理中公私合作等多元因素介入，引起警务数据在收集、储存及处理等过程中的安全风险不断显现。国务院《促进大数据发展行动纲要》将强化数据安全保障作为大数据战略的重要任务。公安部在大数据警务建设相关政策部署中明确指出:“要坚持大数据建设应用与安全防护同步规划实施，加快构建大数据安全保障体系。”［2］警务数据安全已经成为事关国家安全、社会稳定及个人信息保护的重要问题，并对数字时代现代警务模式的变革发展产生深远影响。

2021年9月施行的《数据安全法》首次以专门立法形式回应数据安全问题，以“制度安全”的立法理念对数据安全保护基本原则与制度、数据安全保护义务以及政务数据安全与开放等予以规定。作为数据安全保护的基础性法律，《数据安全法》的实施也为警务数据安全提供了基本规范依据。在此之前，《网络安全法》关注网络空间中数据信息保护问题，《个人信息保护法》倾向于私权利保护层面的个人信息保护，而《数据安全法》则直接规定警务数据安全的基本原则与法律制度，明确了警务数据安全的法治化要求。结合《数据安全法》规范内容和警务数据安全规制现状来看，警务数据安全在理论还存在法律内涵界定不准确、保护思路的定位不明晰等问题，在实践中也需要探讨厘清警务数据分类分级保护、警务数据公私合作、警务数据监管等数据安全保护问题。基于此，本文拟以《数据安全法》有关数据安全的原则制度为基础，分析当前警务数据安全的保护困境，探讨警务数据安全的基本保护思路，并提出警务数据安全的法律规制路径。

一、警务数据安全的法律定义

警务数据是公安机关在履行职责过程中采集获取的各种数据。警务数据行为包含数据采集、分析挖掘、数据研判、数据应用等警务数据工作流程［3］。警务数据安全是通过必要的制度措施确保警务数据本身或者数据处理处于有效保护的安全状态。《数据安全法》第1条和第3条分别明确了数据安全的目的、要求和基本定义。①《数据安全法》第1条：为了规范数据处理活动，保障数据安全，促进数据开发利用，保护个人、组织的合法权益，维护国家主权、安全和发展利益，制定本法。第3条第3款：数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。对警务数据安全的概念与内涵理解，需结合《数据安全法》的法条规范，从数据安全状态和数据安全利益的两个层面展开分析。

（一）警务数据安全的基本状态

《数据安全法》对数据安全的法律定义包含静态安全和动态安全两个维度。静态安全主要强调数据的储存安全，即数据系统处于不被侵入或者不存在被侵入的风险。《网络安全法》对网络数据安全定义为“完整性、保密性和可用性”，这一定义所指向的数据安全即为静态安全，要求数据安全保护具备防止数据泄露、毁损、被篡改或者未经授权访问等侵害行为。静态安全是《数据安全法》对数据安全的基本要求，但是单纯的静态安全并非《数据安全法》唯一的立法目的。《数据安全法》除了要求具备数据的静态“有效保护”，还强调数据“合法利用”和“持续安全状态”。数据安全既包括数据自身的完整与安全，还要确保数据利用过程中的安全可控和合法正当［4］。数据安全与合法利用是相互统一的，数据安全状态不能以数据储存安全的名义禁止数据有效利用，而是应当在促进数据开发利用和数据产业发展的基础上确保数据的动态安全［5］。

根据《数据安全法》关于数据安全的基本定义，警务数据安全要从数据静态安全和动态安全两个维度予以解析。警务数据的静态安全要求确保警务数据库及其他数据处于安全储存状态，具有防范非法侵害数据的基本能力。数据静态安全是传统警务数据安全的主要内容，在静态安全的视野下，“信息保密”是警务数据静态安全中的重要概念，强调警务数据的完整性与保密性。与此同时，警务数据的动态安全关注警务数据应用中的安全保障，强调警务数据应用要具备“合法利用”和“持续安全”的能力。警务数据动态安全将数据安全建立在有效利用的基础上，尤其体现在警务数据共享、传输及公开等外部利用行为中。警务数据利用涉及公安机关与其他公权力或组织之间的特定数据法律关系，相关利用行为需要以打破公安机关对数据的独占为前提，因而无法用数据静态安全的概念予以理解。例如，在刑事案件政法一体化协同办案中，公安机关作为案件数据的收集主体需要向检法机关传输数据；在公共卫生事件应急处置中，公安机关需要向其他有关政府部门实施数据协助行为。上述相关警务数据利用行为必须构建动态安全的基本理念，有效协调警务数据利用与安全防范，确保警务数据在合法利用过程中具备持续的安全风险防控能力。

（二）警务数据安全的利益谱系

《数据安全法》对数据安全利益的定义兼具私益保护和公益保护的双重属性，既要实现“保护个人、组织的合法权益”，同时也要“维护国家主权、安全和发展利益”［6］。从数据安全的利益谱系上看，数据安全利益包含了私益安全和公益安全两种形态。在利益层次的具体构造上，私益安全体现为个人或组织的数据安全利益，公益安全体现为公安机关作为数据控制者的数据安全利益和国家数据主权与安全利益［7］。

警务数据安全中的私益安全是个人或组织作为数据权利主体的安全利益。警务数据根据工作类型不同覆盖社会生活各方面，其中大量数据来自个人或者组织。基于警务工作的特殊性，警务数据中含有大量公民身份、行踪轨迹、生物识别、敏感信息等个人信息数据，还包括企业等社会组织的商业秘密、运营数据、用户信息等数据。无论是作为常态社会管理需求的数据报送行为，或者公安机关在特定案件的数据调取行为，均要确保公安机关对数据利用的前提是实现个人或组织利益的有效保护。当警务数据对象为个人信息数据时，《数据安全法》和《个人信息保护法》对个人信息的保护存在交叠现象，此时数据安全利益即表现为个人的信息安全，前者强调一般性的数据安全利益保护，通过各项数据保护制度实现个人数据安全保护，而后者则强调对个人的信息利益保护，通过个人信息处理规则约束信息处理行为，进而实现个人数据安全的保护。

警务数据安全中的公益安全为公安机关数据安全利益和国家数据主权安全利益。公安机关是警务数据的控制者，除了通过基本法定职权收集个人或组织数据外，还基于职务行为获取大量除个人与组织数据之外的公共安全数据。数据侵害和安全事件是妨碍数据利用的最大变量［8］，警务数据关系社会利益，特别是公共安全利益，对警务数据的非法侵入、破坏泄露等行为，会给公共安全利益造成巨大安全风险。公安机关作为公权力机关对警务数据的控制权力，具有代表公共利益的基本属性。此外，警务数据安全利益还应当包含国家数据主权安全利益。国家数据安全利益是一种特殊的公共利益，在理论上被表述为“数据主权”的概念［9］。警务数据安全利益体现为数据主权意义上保护本国数据的安全性和稳定性，与国家数据主权利益直接相关，在《数据安全法》上特别表现为警务数据本土化和数据出境限制等制度要求。由此，警务数据安全具有私益安全和公益安全的双层结构，具体表现为个人组织利益、数据控制者利益和国家安全利益三个方面。

二、警务数据安全的规制难题

随着数字社会发展与智慧警务革新，警务数据安全面临着法律保护上的规制难题。一方面，警务大数据的广泛应用提出了警务数据安全的法律治理新需求；另一方面，警务数据安全在法律依据上面临规范位阶较低、制度体系不明晰等问题。

（一）警务数据安全的现实保护困境

公安机关的警务模式转型与社会经济发展密不可分。社会信息的数字化呈现和数据技术的精准化分析促使警务模式发生变革，数据成为警务工作的战略资源和重要基础。在信息警务模式向智慧警务模式转变过程中，“向数据要警力”成为现代警务工作普遍认同的理念与思路［10］。数据警务模式的基本运行规律，是通过对海量数据的收集挖掘，依靠大数据算法为警务活动提供科学依据，从而实现快速识别、风险预警和精准干预等工作效果［11］。在智慧警务模式中，为了实现事后反应型警务向事前预测性警务的转变，海量数据收集与处理成为警务模式转型的前提条件与必然选择。警务数据收集的时间广度和领域范围不断扩张，大量来自网络平台、第三方组织及其他政府机构的数据成为警务常态化数据。而伴随数据技术的深度应用，警务数据收集、储存及处理过程中可能遭受的各环节数据风险也必然不断增多，警务数据安全风险不断加大加深。

此外，在传统警务模式向现代警务模式变革中，诸多警务工作新机制也不断产生数据风险。一是政务数据协同共享的需求日益深化。在政府数据层面，整体智治理念要求打破部门间的“数据孤岛”与“交换壁垒”，推动数据融通共享与内外协同［12］。警务数据作为覆盖面广、基础数据全的政府数据资源，警务数据共享具有正当性和重要价值，能够有效提升政府的服务水平和治理能力［13］。二是刑事司法数据的一体协同不断推进。近年来，各地深入推进政法信息一体化建设，司法现代化需要作为法律资源的司法数据强化数据整合、互通和共享能力［14］。警察部门作为刑事案件数据收集的发起者，同时整合其他部门的后续办案数据作为警务执法的重要依据。三是警务数据公私合作机制逐步形成［15］。在智慧警务模式中，网络平台组织、数据技术企业等成为警务数据资源与数据技术的重要来源，也成为多方参与、共治共享治理体系的重要内容。许多警务活动必须依靠社会组织提供技术支持，甚至需要其配合参与相关专门活动。综上，数据警务变革和警务工作新机制促使警务数据利用逐步从封闭单一走向开放动态，警务数据处理的各环节风险不断增加，这既对数据安全技术提出了更高要求，也引发了警务数据安全更为突出的现实保护难题。

（二）警务数据安全的法律规范难题

警务数据安全受到警察法体系和数据法体系的双重规制。首先，在警察法律体系层面，警务数据安全的法律依据主要体现为公安机关内部的执法政策，相关上位法规范较少。《人民警察法》规定公安机关的职权之一是“监督管理计算机信息系统的安全保护工作”，该规定为警察网络安全保卫的职权，并未直接规定警务数据安全或相关内容。与公安执法密切相关的《刑事诉讼法》《治安管理处罚法》及公安机关办案程序规定对警务数据行为没有专门性规定，①我国在法律层面并未对公安机关数据处理行为予以专门性规定，在电子数据被确立为独立证据类型的基础上，《刑事诉讼法》《治安管理处罚法》等均将数据处理行为以一般取证行为予以规制。而在规范性文件上，《公安机关办理行政案件程序规定》对公安机关数据处理行为作了专门性规定。也未直接涉及警务数据安全问题。事实上，公安机关有关警务数据安全的法律规范主要表现为公安机关内部的规范性文件。其次，在数据法律体系层面，警务数据安全的规范依据主要体现为相关原则性规范。在《数据安全法》之前，《国家安全法》《网络安全法》《个人信息保护法》等均涉及数据安全保护条款。《国家安全法》将数据安全纳入总体国家安全观，是《数据安全法》的上位法。《网络安全法》规定网络数据相关保护原则及相关保护制度，是《数据安全法》的特殊法。《个人信息保护法》对个人信息处理的原则要求做了具体规定，实现数据安全保护的间接效果。而《数据安全法》对数据安全保护原则、数据安全保护制度、数据安全保护义务及相关法律责任作了系统规定。以上相关数据法的规定为警务数据保护规定提供了基本原则与法律规则。

对比上述警务数据安全的警察法规范与数据法规范，可以发现，警察法体系中有关警务数据安全主要为公安机关内部规范性文件或执法政策，相关具体规范的效力层级较低。而数据法体系中有关警务数据安全的，主要为一般性的原则与规则，相关规范内容较为笼统粗疏。警务数据安全单纯适用《数据安全法》的有关保护原则与规则，难以明晰有关具体保护的制度机制。由此，警务数据安全应当采取以《数据安全法》为上位法依据、以警察法为直接法律依据的规制路径。在法律层面不制定统一的“警务数据安全法”的前提下，以警务工作层面相关行政规章、地方性法规或公安机关内部规范性文件作为警察法载体。综上，警务数据安全应当以警察法的执法政策作为数据安全保护的具体规范来源，同时相关规范依据需要以数据法层面的原则与规则为上位法依据。由此，警务数据安全面临着法律规制路径的论证问题，即如何结合公安工作和警务数据的特殊性，在理念层面明确警务数据安全保护的基本思路，进而细化确立行之有效的警务数据安全的制度体系与具体内容。

三、警务数据安全的保护理念

在《数据安全法》确立的基本原则与规则体系下，需要实现警务数据安全与警务数据利用之间的利益平衡，并确立警务数据安全从相对保护到严格保护的基本立场，以及从静态保护到动态保护的实现路径。

（一）从相对保护到严格保护的基本立场

数据安全是国家安全的重要组成部分，是总体国家安全观视野下的重要非传统安全问题［16］。总体国家安全观是我国国家安全的重大战略思想，其核心观点是统揽了传统安全和非传统安全，将非传统安全纳入国家安全治理体系。《国家安全法》第25条明确规定信息安全保护能力和信息数据的安全可控要求。从信息主导警务到智慧警务模式、公安信息化到警务大数据的沿革历程中，数据一直是警务工作的重要资源与应用手段。为了实现从事后反应型警务向事先预测型警务的转变，智慧警务模式的发展变革必然以警务数据迭代应用为基础［17］。警务数据本身是警务职能的数字化呈现，公安机关的属性决定了警务数据的特殊性。警务数据兼具与国家安全和公共安全关联度高、数据内容的涉密性强以及涵盖个人敏感信息多等特殊属性。从警务数据的内容上看，部分涉及国家安全利益的警务数据属于具备保密性质的特殊数据［18］，而大量治安基础工作中的警务数据属于关系个人隐私信息的敏感数据。从刑事司法数据的比较上看，和检务数据、审判数据所不同的是，公安机关侦查阶段的警务数据涉及案件初查或者调查阶段的线索信息，不同于审查起诉和审判阶段可公开的司法数据，警务数据具有保密工作的特殊性和必要性［19］。上述与公安工作属性直接关联的数据特征，决定了安全利益在警务数据保护利益衡量中居于最高位阶，警务数据处理制度与体系应当确立以维护数据安全为核心的严格保护理念。

和严格保护理念相关的还有数据安全的相对保护概念，两者属于数据处理的价值判断。在相对保护的理念下，数据安全利益并非数据处理行为的最高位阶价值，数据安全利益保护的判断依据不是绝对消除风险，而是将风险降低并维持在某种可接受的水平［20］。数据安全的相对保护在个人数据、社会组织数据或者可商业化利用的政府数据中，具有激发数据的利用价值和实现产业发展的社会价值。但是数据安全的相对保护本身是相对的，无法适用于任何数据领域。如前所述，警务数据的自身属性决定了应当强化“数据主权”的基本认识，将警务数据安全纳入总体国家安全观视野下予以认真对待。警务数据处理活动应当以“持续处于安全状态”作为“数据合法利用”的基础，即以维护警务数据安全作为数据利用的必要条件。在对数据属性认识上，警务数据要强化专属性、支配性与排他性，在一定程度上限制警务数据的社会性、相容性与流通性，以此建立严格规范的安全保护制度。警务数据的严格保护理念要求建立数据全周期安全管理的意识，明确预防为主的方针，以防止数据不可逆风险的发生。在相关分类分级制度中，要全面准确确立警务数据中有关重要数据和核心数据的范围。在警务数据共享与开放中，要确保公安机关对数据控制权的优先保护［21］，严格限定共享与开放的数据范围，确立有限审慎的数据共享与开放制度。

（二）从静态保护到动态保护的实现路径

在信息警务模式向智慧警务模式的过渡过程中，传统的信息警务模式虽然也以数据作为警务运行的重要保障，但数据利用的主要形式为数据库查询、检索、比对等，数据安全保障主要体现为防止数据库遭破坏泄露、被非法侵入以及恶意查询等情形，此时警务数据保护更多强调的是静态安全保护。在智慧警务模式中，警务大数据已经远超出建立数据信息库和简单应用的传统定义，随着大数据技术、云计算及人工智能的快速发展，警务数据的动态应用成为常态。这种发展趋势在不同的警务应用场景中都得到不断显现，在大数据侦查或者调查程序中，公安机关需要采取各种数据处理手段，特别是相关数据的综合分析应用，数据从收集开始始终处于动态处理的过程中；在刑事诉讼办案流程中，当前政法数据一体化协同办案已在各地铺开，公安机关作为刑事司法数据的源头部门，相关数据安全始终伴随着整个刑事诉讼基本流程。而在政务数据的共享开放等场景中，诸如突发公共卫生事件中的警察数据协助行为也发挥出巨大作用，公安机关和公权力机关、私人组织之间的数据动态处理已经成为一种常态。由此可见，警务数据安全保障必须顺应警务技术发展现状，为了实现智慧警务模式中警务数据的使用安全，应当确立警务数据安全动态保护的基本理念。

需要特别指出的是，应当对警务数据严格保护和动态保护的关系予以准确把握。警务数据的动态保护和严格保护是相互统一的，严格保护是警务数据安全的基本立场，动态保护是警务数据安全的实现路径。在制度构建过程中，不能认为警务数据动态安全和严格保护是相互对立的，实现动态保护必然降低数据安全或者实现严格保护必然要数据静态管理等观点均是片面的。警务数据的动态应用是智慧警务模式中的常态，警务数据的严格保护贯穿于数据动态利用过程中，是基于最大限度地挖掘和释放数据价值的动态应用中的安全保护，而不是追求警务数据静态化场景下的严格保护。在具体路径上，为了实现警务数据动态应用中的严格保护，就应当结合具体警务工作场景充分利用《数据安全法》有关数据安全保护制度，通过相关数据安全保护制度的有效适用，构建符合警务数据利用秩序的数据安全治理体系，在实现数字治理技术赋能的同时，最大程度确保数据安全利益的有效保护。

四、警务数据安全的制度体系

警务数据安全的法律规制，需要在严格保护和动态保护相互结合的基本思路下，有效利用《数据安全法》相关原则与制度，主要从数据安全分类分级、数据控制者的安全保障、数据公私合作领域风险防范和数据监督与伦理等四个方面予以构建。

（一）警务数据安全分类分级保护制度

《数据安全法》对数据安全制度做了系统规定，其中数据分类分级保护制度被认为是数据安全保护的基础性制度［22］。根据《数据安全法》第21条的规定，数据可确定为一般数据、重要数据和核心数据，并实行分类分级的安全保护制度。数据区分为一般数据和重要数据，主要依据为数据在经济社会发展中的重要程度和遭受破坏时的危害程度。核心数据是重要数据中的重要数据，即关系国家安全、国民经济命脉、重要民生、重大公共利益等方面的重要数据为国家核心数据。重要数据和核心数据需分别规定重要数据目录制度和核心数据严格管理制度。在分类分级的主体上，《数据安全法》明确了“国家统筹协调+地区部门确定”的认定程序，即在国家数据安全工作协调机构的统筹协调下，由各部门承担本部门的数据分类分级的主体职责。在分类分级的程序上，《数据安全法》延续了《网络安全法》有关网络重要数据的认定标准，规定了“安全利益分析+风险识别判断”的分类分级规则。《数据安全法》的相关规定为警务数据分类分级制度确立了基本原则与规范依据。警务数据具有涵盖范围广泛和基数庞大的特征，分类分级制度是确保警务数据有效利用与安全保障、科学合理防范警务数据安全风险的重要途径，其中的关键性问题就是要确立重要数据和核心数据的认定规则。警务数据分类分级应当遵照“安全利益分析+风险识别判断”的基本认定规则，根据警务数据所表征国家安全、公共安全或个人利益的利益层次，同时识别警务数据遭受非法侵入或泄露等风险时可能造成的危害程度作为分类分级的基本标准。

需要注意的是，《数据安全法》有关分类分级制度是一种“大类”划分［23］，除了《数据安全法》有关一般数据、重要数据和核心数据的分类分级之外，还应当根据警务数据在具体场景的重要程度或者安全风险，对警务数据作出更为细化的分类分级制度。具体而言，首先，应当根据数据自身属性和应用对象范围对警务数据予以类别区分。例如，根据警务数据的来源属性，可将警务数据区分为自然人信息数据、组织数据和公安业务数据，自然人数据为来自自然人的身份或者行为数据，组织数据为法人和非法人组织或团体的数据，公安业务数据是指公安工作中积累的对自然人和组织之外的客体数据。根据数据的应用范围，可将警务数据区分为刑事司法数据和政务数据，公安机关是具备刑事司法和行政执法双重属性的机关，刑事司法数据为公安机关办理刑事案件过程中的相关数据，政务数据主要是公安机关基于行政职能所获取的相关数据。其次，在警务数据分类的基础上，依照《数据安全法》所确立的“安全利益分析+风险识别判断”的认定规则，细化数据被侵害后可能对国家安全、公共利益和私益安全带来潜在影响的范围和程度来确定数据分级维度。在制度构建中，应当对一般数据、重要数据和核心数据予以进一步细分，将警务数据区分为安全敏感等级更多类别的分级维度。由此，在《数据安全法》的分类分级制度基础上，通过细化警务数据安全分类分级使得相关安全保护制度更具针对性和合理性。

数据分类分级的根本目的是为了安全制度和保护义务的分类构造。《数据安全法》将数据分类分级转化为数据处理者的数据安全保护义务中的特殊义务内容，相关制度包括重要数据设置数据安全负责人和管理机构、重要数据风险评估及报送、出境规则与义务等。警务数据安全应当遵循《数据安全法》的分类分级保护思路，在上述分类分级基础上明确警务数据安全保护义务。具体而言，应当在数据分类分级的基础上，根据警务数据行为的不同环节，对不同级别的警务数据类型分别明确数据收集、传输、储存、访问、共享、开放、销毁等全过程环节的数据安全保护制度。在数据共享开放制度中，应当以警务数据分类分级作为可开放共享、受限制开放共享和禁止开放共享的制度基础。在具体保护内容上，应当引入比例原则的基本理念，体现不同级别维度的数据在数据安全保障内容上的限度差异，确保安全保护手段与数据安全的必要性和正当性。此外，除了《数据安全法》上有关数据保护义务的规定外，由于警务数据的复杂性和敏感性，需要同时吸收《保守国家秘密法》《个人信息保护法》《网络安全法》中有关特殊数据（国家秘密、个人敏感信息、网络数据）的保护规则，①其他法律有关特殊数据的保护和《数据安全法》构成一般法和特殊法的关系，例如警务秘密数据的保护适用《保守国家秘密法》有关绝密、机密和秘密的保护要求，警务工作中收集的公共场所生物识别信息适用《个人信息保护法》第26条的保护要求等。实现对警务重要数据的严格保护。

（二）警务数据控制者的安全保障义务

数据控制者的安全保障义务是数据安全的核心内容。《数据安全法》对数据控制者的安全保障制度和义务做了较为完整的规定，主要体现在三个方面：一是数据安全制度中有关数据安全风险机制、数据安全应急处置机制中有关数据控制者的安全保障义务，二是数据安全保护义务中有关数据控制者的安全管理、风险处置、风险评估等保护义务，三是政务数据安全与开放中有关国家机关收集使用数据的规定。结合《数据安全法》的相关规定，可以从警务数据收集、处理和安全风险发生后三个阶段来构建安全保障义务。

首先，警务数据采集阶段的安全保障义务。《数据安全法》第35条对有关国家机关调取数据予以明确规定，相比较《国家安全法》《网络安全法》的相关规定，《数据安全法》首次规定了调取数据“经过严格的批准手续”的程序约束。警务数据收集阶段的安全保障要求包括：一是要明确警务数据收集的程序规范。“经过严格的批准手续”的规定较为抽象，需要明确公安机关调取企业或者个人数据的正当性基础和法律边界。公安机关应当确立严格的内部审批手续，从适当性、必要性和均衡性的角度对调取措施予以审查，同时在数据分类分级基础上以类型化方式限定数据调取的范围和不同类型的调取程序。二是强化警务数据收集的风险审查评估与防范机制。警务数据收集过程中，必然涉及个人数据或相关组织数据的传输和处理。公安机关应当对数据收集中可能造成的数据安全风险予以评估，特别是对于大规模的数据调取行为，需要评估数据可能给当事人造成的损害和存在的数据安全风险，并且通过相应手段予以防范。

其次，警务数据处理阶段的安全保障义务。根据《数据安全法》第27条的规定，警务数据安全应当确立全流程的数据安全管理义务。在警务数据传输、储存、访问、共享、开放、加工等数据处理行为中，由于警务数据的流动性增强，必然需要动态处理安全保障问题。相关安全保障义务应当包括：一是数据安全风险的识别感知能力。感知能力是安全风险防范的基础能力，数据安全全流程的风险感知是警务数据安全保障的前提。《数据安全法》规定了数据处理过程中的风险评估、报告、信息共享和监测预警能力。警务数据处理是数据的动态应用过程，要通过技术和制度相结合的方式提升各环节的风险感知能力。二是规范数据处理各环节的基本流程。应当以场景化的思路，健全数据安全内部管理规范，明确警务数据在数据储存和处理阶段的处理规范。特别是对于重要数据的处理流程，应当严格以数据分类分级为基础，依照数据处理的合法、正当和必要原则，明确各环节审批审查、手段方式、范围限度、日志记录等安全保障义务。三是对警务数据出境予以严格限制。基于警务数据严格保护和数据本土化的要求，应当对警务数据出境予以严格限定。在符合刑事司法协助要求的基础上，明确相关数据出境的风险审查与程序规定。

最后，警务数据风险发生后的安全保障义务。警务数据风险发生后，应当尽快确立应急处置流程和实现隐患消除。结合《数据安全法》第23条和第29条的相关规定，主要有以下两方面的工作。一是应急处置。相关警务数据的应急处置措施应当涵盖安全事故发生后的全生命周期，在实践中应当确立防止危害扩大和消除安全隐患两项基本准则，建立包括数据安全应急启动、应急响应指南、采取技术措施和其他必要措施等应急机制。二是公示警示。《数据安全法》明确了数据危害发生后向社会公众发布与公众有关的警示信息。在警务数据风险发生后，应当确立准确客观、及时发布等基本要求，一方面应在公安机关内部建立及时的公示警示制度，另一方面应综合考量损害严重程度与公众影响程度，告知公众可采取的防止损害扩大、消除安全隐患的措施，以达到维护社会公众利益的目的。

（三）警务数据公私合作中的风险防范

在智慧警务模式中，数据平台建设、特殊数据处理等诸多警务数据行为需要依靠公安机关以外的组织或个人参与，一些专门性的大数据侦查或调查甚至需要外部力量完成［24］。相关外部力量通常表现为掌握数据技术的企业，在智慧警务模式中公安机关与外部组织之间的公私合作模式由此得以形成。警务数据公私合作中的数据安全治理表现为两个维度，一方面外部组织可以成为警务数据安全的治理主体，利用自身技术优势协助公安机关开展警务数据安全防护；另一方面外部组织介入警务数据治理参与数据系统建设、处理关键性技术本身会带来警务数据安全风险，而公私组织治理结构不同、市场组织的技术逐利性等因素也会不断引发公安机关数据技术话语权降低、数据公共利益被侵蚀风险增大等数据安全风险［25］。《数据安全法》第40条对国家机关委托他人处理数据的行为予以明确规定，对其中数据委托行为需要经过的严格审批手续和受托方的数据安全保护义务做了原则性规定。在警务数据公私合作中，数据安全保障和引入参与主体提高警务治理效能同等重要，必须对委托组织或个人参与警务数据库建设、警务数据处理等行为的法律程序，以及相关外部主体应当履行的数据安全保护义务予以有效规范。

警务数据安全保障公私合作中相关数据安全风险防范的要求包括：一是规范委托行为。《数据安全法》规定委托行为应当经过严格的批准程序。由于警务数据安全涉及个人隐私、公共利益及国家安全，需要对相关委托行为采取严格审批控制程序，应当对相关数据技术企业的资质予以严格审查，同时建立警务数据委托的内部审批程序，对于重要的数据委托行为应当通过听证会或论证会的形式，对相关技术数据企业的介入行为予以听证或论证。此外，委托行为受到行政行为和民事行为的双重规制，相关委托行为应当受到《政府采购法》《招标投标法》有关采购或招投标程序的严格限制，同时应当通过合同约定形式对相关组织的资质要求、保密义务及承担责任予以明确规定。二是规范受托人的安全保障义务。受托人的安全保障义务具有公法义务和民事义务的双重属性。《数据安全法》规定了受托方应当遵守法律法规规定和合同约定的数据安全保护义务。在警务数据协作中，受托方必须严格按照公安机关的要求开展警务数据处理行为，不得变更警务处理的目的，不得通过转委托、外包等形式将警务数据转交给他人进行数据处理。同时，应当构建警务数据委托处理的特殊安全保护义务，相关数据合同应当对受托人的权利义务予以明确限定。服务委托协议不生效、无效、被撤销或者终止的，相关受托人具有以不可逆方式删除相关数据的义务。

需要明确的是，基于严格保护和动态保护的要求，数据分类分级在警务数据公私合作治理中同样发挥重要功能。在具体公私合作类型中，根据警务数据涉及的警务工作性质可以对警务数据公私合作的范围予以类型化区分，区分为开放公私合作、限制公私合作和禁止公私合作的不同类型。在具体政策建构中，应当对警务数据处理及相关警务工作予以风险评估，对于一般数据的数据库软硬件建设、数据库运行维护及提供数据分析技术，同时不产生国家利益或者公共利益损害风险的，才可开放公私合作；对于某些核心数据和重要数据的数据处理行为，应当尽可能减少数据公私合作中的数据对外传输共享等处理行为，限定警务数据公私合作的场所、人员及行为内容，确立公私合作的限制类型；对于公私合作涉及国家重要秘密或者可能损害国家利益或公共利益，应当列入公私合作的禁止范围。

（四）警务数据处理监管制度与数据伦理

确立数据安全监管机构和监管制度，是数据安全保护制度的应有之义，对于数据安全保护具有重要意义。国外相关立法例均通过设立不同形式的数据安全监管机构，从而构建较为完整的数据安全监管体系。①设置专门的数据安全监管机构是各国立法例上的通行做法，例如欧盟采取统一的监管模式，《通用数据保护条例》的数据监管主体由欧盟数据保护委员会和各成员国的数据监管机构组成；而美国采取分散和单独主义立法模式，数据监管主体由联邦贸易委员会（FTC）、通信委员会（FCC）和司法系统、教育系统等行业内部监管机构以及各州数据监管部门共同组成。我国警务数据处理的监管体系应当由外部监管制度和内部监管制度共同构成。首先，我国《数据安全法》明确规定了国家网信部门统筹协调数据安全和监管职责，此前的《网络安全法》亦有类似规定。国家网信部门对警务数据安全的监管是一种外部监管制度，其属于保护警务数据安全的一般监管方式。其次，由于警务数据跨越刑事司法数据和行政政务数据，主要以犯罪治理和社会治安作为数据处理的目的，在实践中必然与专门性的侦查活动或者治安行为相互关联。警务数据的专业性、涉密性和封闭性等特征，要求应当构建内部数据安全管理的专门监管方式。内部数据监管体系要求在公安机关内部确立监管机构和审批程序。在实践过程中，公安机关应当建立专门性的数据安全监管机构，建议对政务数据和刑事司法数据予以分类对待，并确立相应的警务数据安全内部监督的责任体系和问责机制。相关监督体系包括在警务数据库建设、数据调取机制、人工智能产品应用等过程中数据安全保护的基本原则，明确数据处理过程中的行为边界和权力范围，建立必要的数据处理安全审查制度和问责机制等。

除了警务数据安全的监管体系外，还应当关注个体层面的警务数据伦理。警务数据伦理是公安机关和警务人员在数据处理过程中应当具备的伦理准则与法治思维，其中即包含了警务数据安全的保护意识和能力要求。在传统警务模式中，警务数据处理的载体主要为数据信息库，警务数据伦理表现为不得出现随意、恶意查询等违法行为，防止泄露数据库信息等要求。但是在智慧警务模式中，数据技术的使用已经不仅仅限于传统信息库查询应用问题，而是覆盖数据挖掘、云计算、物联网、人工智能等数据技术领域。在这一过程中，警察数据伦理需要重点关注相关主体的数据安全保护的意识和能力［26］，特别是在当前政法机关数据一体化、数据公私协力等数据警务新机制中的数据安全理性。公安机关需要构建数据安全培训制度和数据处理资质体系，不断提升警务人员的数据安全意识和能力，包括对个人或组织数据权益的尊重意识、重要数据和核心数据的敏感意识、复杂数据行为的风险预判能力和数据处理风险的及时发觉与处置能力等。