論網(wǎng)絡(luò)安全法評價標(biāo)準(zhǔn)及具體建議
2022-07-29 09:18:36 來源：人民法院報
《中華人民共和國網(wǎng)絡(luò)安全法》是為了保障網(wǎng)絡(luò)安全，維護網(wǎng)絡(luò)空間主權(quán)和國家安全、社會公共利益，保護公民、法人和其他組織的合法權(quán)益，促進經(jīng)濟社會信息化健康發(fā)展，制定的法律。2016年11月7日，第十二屆全國人民代表大會常務(wù)委員會第二十四次會議通過《中華人民共和國網(wǎng)絡(luò)安全法》，自2017年6月1日起施行?！吨袊W(wǎng)信》在今年第3期刊登《加快建立網(wǎng)絡(luò)綜合治理體系 全面提升治網(wǎng)管網(wǎng)能力水平》，并進一步提出“推動修訂網(wǎng)絡(luò)安全法等基礎(chǔ)性法律”。筆者拋磚引玉，對網(wǎng)絡(luò)安全法的修訂談幾點建議。
一、定期評估法律實施效果并及時修訂法律
2017年8月，為了解《全國人民代表大會常務(wù)委員會關(guān)于加強網(wǎng)絡(luò)信息保護的決定》實施情況，著力推進法律實施中重點、難點問題的解決，全國人大常委會開展了“一法一決定”執(zhí)法檢查，并于2017年12月形成最終報告，涉及法律制定、實施的有兩方面問題。
一是關(guān)于部門職責(zé)。網(wǎng)絡(luò)安全監(jiān)管“九龍治水”現(xiàn)象仍然存在，權(quán)責(zé)不清、各自為戰(zhàn)、執(zhí)法推諉、效率低下等問題尚未有效解決，法律賦予網(wǎng)信部門的統(tǒng)籌協(xié)調(diào)職能履行不夠順暢。如果不能合理定位，準(zhǔn)確厘清部門之間的職責(zé)，等級保護制度和關(guān)鍵信息基礎(chǔ)設(shè)施保護制度落實過程中也會產(chǎn)生執(zhí)法不協(xié)調(diào)問題。二是關(guān)于制度細(xì)則。作為網(wǎng)絡(luò)安全管理方面的基礎(chǔ)性法律，網(wǎng)絡(luò)安全法不少內(nèi)容還只是原則性規(guī)定，真正“落地”還有賴于配套制度的完善。在論述這一問題時，檢查組列舉了大量案例，涉及法律中的多項制度和多個條款。網(wǎng)絡(luò)安全工作中長期以來存在管理體制機制難題并未通過立法得到解決，反而對立法和執(zhí)法效果產(chǎn)生了不利影響。網(wǎng)絡(luò)安全問題太新太復(fù)雜，立法時“摸著石頭過河”是常態(tài)。甚至有些問題本身還在發(fā)展之中，立法時尚未完全暴露。這是網(wǎng)絡(luò)安全法制定時面臨的特殊歷史條件，固然可以理解，但終究需要解決。為此，確有必要定期評估法律實施效果并及時修訂法律。
二、建立評價網(wǎng)絡(luò)安全法的標(biāo)準(zhǔn)
評價網(wǎng)絡(luò)安全法十分困難，因為可能的視角太多，且不同人的訴求、觀念差異極大，難以達成共識。故提出四個評價網(wǎng)絡(luò)安全法的標(biāo)準(zhǔn)，而不對法律作出評判結(jié)論。一是法律實施與解釋機制的完備性。專業(yè)領(lǐng)域的法律法規(guī)，必定有一個主要部門負(fù)責(zé)推進實施，即各項制度要有明確的執(zhí)法主體，要有部門對法律實施作出總體安排。最簡單的指標(biāo)是，法律中各項條款有無明確落地時間表？是否進行定期檢查與評估？特別是公眾對一些條款的疑問，有無部門負(fù)責(zé)解釋？一些條款在執(zhí)行時可能存在理解錯誤，是否有部門去厘清？一些社會機構(gòu)出于商業(yè)利益曲解網(wǎng)絡(luò)安全法，有沒有部門去糾正？甚至更嚴(yán)重的是，不同政府部門對法條有相異的解釋，該聽誰的？
二是實際執(zhí)法案例所援引的條款比例。網(wǎng)絡(luò)安全法的執(zhí)法案例數(shù)不勝數(shù)，這是好現(xiàn)象，卻不能作為全面評價一部法律的標(biāo)準(zhǔn)。應(yīng)當(dāng)統(tǒng)計現(xiàn)有執(zhí)法案例所援引條款在法律中的比例。如果大量執(zhí)法案例主要集中在個別條款，這本身就是問題。此外，網(wǎng)絡(luò)安全法的立法定位很明確，主要解決網(wǎng)絡(luò)自身安全問題，信息內(nèi)容安全不是該法重點。但從實際效果看，公眾的感覺是相反的，這值得深思。
三是細(xì)則與配套法規(guī)的出臺比例。網(wǎng)絡(luò)安全法中很多制度的細(xì)則和配套法規(guī)都曾缺失，但時過境遷，當(dāng)前有必要作一些統(tǒng)計：這些細(xì)則和配套法規(guī)怎么樣了？已經(jīng)制定的占多少比例？特別是有兩類問題需要回答。第一類是涉及監(jiān)管對象的關(guān)鍵概念是否已定義清楚？第二類是細(xì)則和配套法規(guī)未出臺前相關(guān)制度的實施狀態(tài)是什么？公眾很擔(dān)心“突然執(zhí)法”。
四是遺留問題的解決情況。網(wǎng)絡(luò)安全法曾對不同問題拿出了幾種態(tài)度。有的問題已經(jīng)研究清楚，立法過程只是將相關(guān)制度上升為法律規(guī)定而已；有的問題則只是剛被注意到，尚未形成解決方案，故只能原則性表述。對此，參與起草的同志毫不諱言，公眾也給予了充分理解。但這些問題后來解決了嗎？解決了多少？這也有個比例和程度問題。
三、關(guān)于“法律責(zé)任”的修改
網(wǎng)絡(luò)安全法在實施面臨的最大問題是威懾力不夠。例如，在天津市互聯(lián)網(wǎng)信息辦對“視覺中國”行政處罰一案中，一些人質(zhì)疑監(jiān)管部門“雷聲大雨點小”，僅處罰30萬元了事。但該案中，監(jiān)管部門表示這是“從重處罰”，一度引發(fā)社會熱議。問題實質(zhì)是，由于“網(wǎng)絡(luò)運營者”的范圍太廣，既包括大型互聯(lián)網(wǎng)企業(yè)，也包括中小微企業(yè)，網(wǎng)絡(luò)安全法只能將經(jīng)濟處罰額度向最低看齊。根據(jù)“視覺中國”被處罰的案由，50萬元是上限。這顯然不合時宜，立法時就曾有過激烈討論。為此，網(wǎng)絡(luò)安全法的首要修訂任務(wù)，是在“法律責(zé)任”中，引入對違法行為按比例（是否按營業(yè)額比例則可進一步論證）處罰機制。我國個人信息保護法已采取這一方法，解決了對不同規(guī)模機構(gòu)的執(zhí)法適用性問題。
1.厘清、細(xì)化某些條款
澄清和細(xì)化的目的是消除社會疑問，有些條款有模糊不清之處。第八條的國家網(wǎng)信部門職責(zé)。由于“統(tǒng)籌協(xié)調(diào)”和“監(jiān)督管理”本身相斥，需明確哪些工作需要統(tǒng)籌協(xié)調(diào)，哪些工作可直接實施“監(jiān)督管理”。第三十二條的關(guān)鍵信息基礎(chǔ)設(shè)施安全規(guī)劃。這一概念借鑒了美國相關(guān)經(jīng)驗，但卻未像美國一樣規(guī)定格式和工作機制。第三十六條的保密協(xié)議。法律要求，關(guān)鍵信息基礎(chǔ)設(shè)施的運營者采購網(wǎng)絡(luò)產(chǎn)品和服務(wù)時應(yīng)當(dāng)簽訂安全保密協(xié)議，但這與傳統(tǒng)保密協(xié)議有何區(qū)別并不明確？第三十八條的強制檢測和認(rèn)證制度。哪些需要進行安全認(rèn)證，哪些又需要進行安全檢測？安全檢測后是否需要再進行認(rèn)證？這些問題都缺少答案。第五十一條的網(wǎng)絡(luò)安全監(jiān)測預(yù)警信息統(tǒng)一發(fā)布機制。因“統(tǒng)一規(guī)定”尚未明確，導(dǎo)致很多部門、機構(gòu)仍在各自發(fā)布網(wǎng)絡(luò)安全監(jiān)測預(yù)警信息。第五十四條和第五十六條的“省級以上人民政府有關(guān)部門”，目前該部門的具體所指不是很明確。
2.某些條款需要調(diào)整和完善
調(diào)整的原因是情況發(fā)生了變化，已與原有設(shè)計不符，或原有規(guī)定存在瑕疵。第二十三條的強制檢測和認(rèn)證制度。法律要求對檢測和認(rèn)證結(jié)果實施互認(rèn)，但檢測和認(rèn)證本身不能互認(rèn)，實際工作中也沒有出現(xiàn)“互認(rèn)”的情況。第二十六條的網(wǎng)絡(luò)安全信息發(fā)布制度。目前工業(yè)和信息化部已牽頭印發(fā)了關(guān)于漏洞信息的發(fā)布規(guī)定，但其他信息發(fā)布規(guī)定尚屬空白，原條款可據(jù)此調(diào)整重點。第三十五條的網(wǎng)絡(luò)安全審查制度。目前該制度的范圍已經(jīng)大大擴充，加入了數(shù)據(jù)安全審查內(nèi)容，故需對上位法的相應(yīng)要求進行調(diào)整。第三十七條的數(shù)據(jù)出境安全評估制度。該條僅限于規(guī)范關(guān)鍵信息基礎(chǔ)設(shè)施的數(shù)據(jù)出境行為，有明顯疏漏，國家后來進行了補充，故需對原條文進行修正。第四章網(wǎng)絡(luò)信息安全主要涉及個人信息保護，鑒于個人信息保護法已經(jīng)發(fā)布實施，可刪減該章多數(shù)內(nèi)容。
這針對的是原條款本身沒問題但實踐中有了更好方案，或者出現(xiàn)了新需求的情況。第十二條的違法有害信息界定?！毒W(wǎng)絡(luò)信息內(nèi)容生態(tài)治理規(guī)定》等對此有新規(guī)定，并界定了九種“不良信息”，可據(jù)此對上位法進行完善。第十三條的未成年人保護規(guī)定?？紤]到未成年人網(wǎng)絡(luò)保護條例正在制定之中，有必要對原條款進行細(xì)化、展開，從而為條例提供更充分的上位法依據(jù)。第二十四條的實名制。實踐中出現(xiàn)了多種不同的實現(xiàn)方式，有的引發(fā)了隱私保護爭議，建議對其進行細(xì)化，并與國家正在推行的網(wǎng)絡(luò)身份認(rèn)證公共服務(wù)相銜接。第二十五條的網(wǎng)絡(luò)安全事件應(yīng)急制度。鑒于目前行業(yè)、地方預(yù)案與國家預(yù)案缺少銜接，有必要對此提出進一步要求。第三十九條的網(wǎng)絡(luò)安全信息共享制度。這是個很復(fù)雜的制度，涉及數(shù)據(jù)權(quán)屬、責(zé)任追究等很多因素，不宜只作原則規(guī)定。如有可能，應(yīng)將其作為一項重大制度，設(shè)立專門條款。
3.需要新增一些條款
網(wǎng)絡(luò)安全法發(fā)布實施以來，出現(xiàn)了一些需立法規(guī)范的新情況，或某些方面的風(fēng)險急劇上升，有必要制定新的條款。
對網(wǎng)絡(luò)安全等級保護制度進行詳細(xì)規(guī)定。網(wǎng)絡(luò)安全法第二十一條雖然提出了網(wǎng)絡(luò)安全等級保護制度，但只列舉了具體的網(wǎng)絡(luò)安全措施，并不能構(gòu)成網(wǎng)絡(luò)安全等級保護的制度設(shè)計，如定級、備案、測評等工作，需作較多補充。對供應(yīng)鏈安全增加新要求。隨著網(wǎng)絡(luò)空間國際博弈的加劇，供應(yīng)鏈安全風(fēng)險持續(xù)上升，現(xiàn)有規(guī)定過于簡單，距離防范重大風(fēng)險的需求有較大距離。規(guī)范公安機關(guān)、國家安全機關(guān)執(zhí)法行為。網(wǎng)絡(luò)安全法規(guī)定了對公安機關(guān)、國家安全機關(guān)的執(zhí)法配合要求，但很多機構(gòu)希望能夠明確其調(diào)取數(shù)據(jù)等執(zhí)法活動的程序。針對極端情況下互聯(lián)網(wǎng)技術(shù)斷供、商業(yè)平臺獲取軍事情報價值數(shù)據(jù)等問題，有必要設(shè)立專門章節(jié)對網(wǎng)絡(luò)產(chǎn)品和服務(wù)提供者提出更多規(guī)范要求。（中國科學(xué)技術(shù)大學(xué)公共事務(wù)學(xué)院、網(wǎng)絡(luò)空間安全學(xué)院教授 左曉棟）