在農業時代，人們關注糧食與土地安全；在工業時代，人們關注產品安全；而在數據時代，我們最關心的無疑就是數據安全了。近些年，數據的大規模泄露時有發生，甚至通過大數據操縱政局的事件也不鮮見，典型者如臉書數據門事件。數據變得愈來愈敏感與重要。全國人大常委會法工委與時俱進，起草了《數據安全法》草案，已經提請十三屆全國人大常委會第二十次會議審議。該草案引起了廣泛的關注與憂慮，在對《數據安全法》草案林林總總的憂慮中，最不能忽視的是三大“不安”。

首先是關于“安全”之宗旨。我國目前一共有11部包含“安全法”字樣的法律，分別是《國家安全法》《礦山安全法》《核安全法》《特種設備安全法》《安全生產法》《食品安全法》《農產品質量安全法》《道路交通安全法》《海上交通安全法》《網絡安全法》《中華人民共和國香港特別行政區維護國家安全法》。其中，《國家安全法》確立了總體國家安全觀，具有更加一般和宏觀的地位，統攝著其他涉及國家安全的法律。而《中華人民共和國香港特別行政區維護國家安全法》，則服務于國家主權安全問題。其他的安全法，均是典型的以保護他人為目的的法律，其核心是為了維護公民的人身安全。

但是《網絡安全法》有所不同，其立法宗旨在于保障網絡安全，維護網絡空間主權和國家安全、社會公共利益，保護公民、法人和其他組織的合法權益，促進經濟社會信息化健康發展。而依據《數據安全法》草案第一條，該法立法目的在于保障數據安全，促進數據開發利用，保護公民、組織的合法權益，維護國家主權、安全和發展利益。顯然，這兩部法律不同于前面的那些安全法，前述的傳統意義上的安全法更關注公眾以及公民個人的人身安全，只有《海上交通安全法》還致力于維護國家權益，但其核心宗旨依然是保障人身與財產安全。而網絡安全法與數據安全法大為不同，顯然無論是網絡安全問題還是數據安全問題，本身并不能像食品安全或者交通安全那樣直接具體地影響到公眾的人身安全，至多會直接影響公民的財產安全，比如金融信息泄露。雖然網絡與數據也可能影響公民的人身安全，但是畢竟要間接很多。

也正因此，網絡安全法強調網絡系統的安全，而數據安全法強調數據本身的安全。然而數據安全法又不像個人信息保護法那樣，它既關注數據的宏觀安全，也關注微觀層面的安全，不過顯然主要關注的是數據的宏觀層面的安全，大概也正因為數據安全法強調宏觀安全，所以才規定數據安全工作的決策機構是中央國家安全領導機構，不同于網安法。

而這恰恰是數據安全法所面臨的一個巨大的問題。宏觀層面的數據安全實際上強調的是大數據安全，然而一切的大數據都建立在小數據基礎之上，小數據安全了，大數據才能安全。小數據不安全，大數據就很難安全。正在起草中的個人信息保護法，和網絡安全法與數據安全法共同構成信息保護的法律，只是側重點有所不同而已。個人信息保護法實際上是典型的以保護他人為目的的法律，在寬泛的意義上也可以稱為信息安全法，因為信息安全了，也就自然起到了保護的作用。其本質在于間接保護個人的人身安全和人格權。

數據安全法與網絡安全法、個人信息保護法這三駕馬車，在國家安全法的框架下共同構筑起了虛擬世界的安全屏障，可是，如何處理它們之間的關系，包括其與《民法典》之間的關系，是數據安全法所面臨的第一個大問題。數據安全、網絡安全、個人信息安全，這三者本質上很難分割，這些法律在立法宗旨上既在維護抽象的安全，又試圖維護具體的安全，最終導致的結果恐怕是兩者皆失之不全。是為一不安。

二不安在于草案所確立的數據地方主義與部門主義。草案規定，各地區、各部門應當按照規定，確定本地區、本部門、本行業重要數據保護目錄，對列入目錄的數據進行重點保護。如果說我們的自然環境、人文社會環境不同省份確實有所差異，那么在數據保護領域，我們很難想象哪些數據具有獨特的地理空間屬性。需要保護的數據，不會因為其地理位置而有所差異，也不會因為數據所處的行業而有所差異。反之，不需要保護的數據，即使在敏感行業，也同樣不值得保護。涉及國防軍工的非敏感數據，也并不需要給與特殊保護。至多可以設想的是欠發達地區因為軟硬件條件的限制無法達到過高的保護標準。

《網絡安全法》也確立了網絡安全等級保護制度，但并沒有將網絡安全等級的確立按照地域和部門加以區別。當然，網絡安全法對關鍵信息基礎設施的運行安全實行重點保護，不過這本質上是建立在“關鍵信息”基礎之上，是因為這些關鍵信息本身值得獲得重點保護。但是這些信息不管身處哪個省份，都應該獲得一樣的保護。

草案對數據實行分級分類保護，總體出發點并沒有錯，但是分類的根本目的還是分級，給予不同級別的保護，所以分類本身只具有次要的意義，核心的意義在于分級。數據本身是否屬于高保護級別，只取決于數據本身的特點，而非取決于數據所處的地域與行業。將確定數據保護目錄的權力交給各個地方和部門，將會造成嚴重的數據地方主義和數據部門主義，這樣的行為將會產生非常嚴重的后果。

現在國家一盤棋，致力于將不同地域不同部門的各種系統打通，實現數據溝通與共享。而將數據保護目錄的確定權交給各個地方和部門，無疑是南轅北轍，將會為各種數據系統的打通人為設置更大的障礙。而且，這對于跨地域、跨部門經營的大型公司而言，更會讓他們無所適從。不同地域的數據保護標準不一樣，不同部門的數據保護標準也不一樣，兩者交叉起來可想而知會有多么復雜。這對于大企業的合規工作而言，幾乎就是一個無法完成的任務。我們可以想象，企業需要為不同省份、不同行業制定完全不同的合規標準。復雜之處還在于，不同標準往往并非簡單的高與低。如果只是簡單的高低問題，那么企業大可采取高標準。問題在于，不同的標準可能對有些數據要求標準高，有些數據要求低，對數據的處理方式要求也不同，從而導致各種標準混雜交合在一起，使得企業茫然無措。深圳市司法局近日發布《深圳經濟特區數據條例（征求意見稿）》，由地方對民事基本制度進行立法，違背《立法法》的基本規定，制造數據特區，已經引起很多學者的不安。是為數據安全法的二不安。

另一個不能忽視的問題是制度層面。《數據安全法》草案確立了數據安全審查制度，依照草案第22條，國家對影響或者可能影響國家安全的數據活動進行國家安全審查，依法作出的安全審查決定為最終決定。當然草案沒有明確規定由哪個或哪些個機構來實施國家安全審查。對數據活動進行安全審查，無疑是有必要的。然而，對于現代法治國家而言，除國防、外交等少數領域的一些行為不受司法審查之外，絕大多數政府行為都應當接受司法審查。在很多國家，立法還要接受最高法院或者憲法法院的司法審查，何況其他行為。

實際上，《網絡安全法》第35條也規定，關鍵信息基礎設施的運營者采購網絡產品和服務，可能影響國家安全的，也應當通過國家網信部門會同國務院有關部門組織的國家安全審查，但該法并沒有規定該審查決定為最終決定。數據安全審查決定可能對企業的運營產生重大影響，按照法治國家理念應當接受司法審查。更何況現在國家致力于提升企業營商環境，其中一個很重要的方面就是限制政府的權力。現在的大企業沒有幾個不涉及大規模的數據活動，將企業的數據活動完全置于政府的行政終局決定之下，顯然不利于改善營商環境。因此，草案規定數據安全審查決定不受司法審查是不妥當的。是為數據安全法草案的三不安。

當然，數據安全法涉及方方面面，草案中也還有很多問題值得商討，但我以為，這“三不安”是數據安全法最應當認真對待的問題。

那么，如何才能解決好這三不安呢？

一不安的核心實際上是數據安全法的基本定位問題，關鍵是要處理好與網絡安全法和個人信息保護法以及民法典之間的關系問題，根本的出發點應該是維護小數據的安全，確保公民個人的信息安全，在這個基礎上才有可能真正維護數據活動的國家安全。

二不安的核心實際上是數據政策在大一統國家的統一性問題，一方面數據立法應該全國統一，另一方面統一的全國性立法也不宜賦予各地因地制宜的自由裁量權。

三不安的解決方式相對簡單，只要刪去“安全審查決定為最終決定”的規定，即可以滿足法治國家的基本要求。

總體上，草案還有若干需要改進的地方，期待著草案的進一步完善，真正發揮數據安全保護的作用！

（作者袁治杰為北京師范大學法學院副院長，O2O法治研究中心主任，以“律豆博士”為筆名合著有《正義島兒童法治教育繪本》《從小學憲法》等兒童法治教育讀物。）