《數據安全法》作為互聯網領域最重要的三部基礎法律之一，其立法進程備受關注。日前，中國人大網公布了《中華人民共和國數據安全法（草案二次審議稿）》(以下簡稱《數安法（草案二審稿）》)。“新法與《網絡安全法》更好地銜接，完善了數據保護措施的要求。”上海市捷華律師事務所律師張佳宇在接受《中國貿易報》記者采訪時表示，一方面，新法從法律層面對監管職能部門提出了要求，確立了數據分類分級保護的法律制度；另一方面，精確界定適用范圍和目的，為企業落實數據保護義務，建立數據安全管理制度提出明確指引。
首先，在數據安全負責人和管理機構安排方面，《數安法（草案二審稿）》將“設立”調整為了“明確”。不再強調必須設置數據安全負責人和專門的數據安全管理機構，而只需明確數據安全負責人是誰以及哪個部門負責管理數據安全。
“《網絡安全法》第二十一條要求網絡運營者‘確定網絡安全負責人’，并在第三十四條進一步要求關鍵信息基礎設施的運營者‘設置專門安全管理機構和安全管理負責人’。而《數安法（草案二審稿）》并未進一步提出設置數據安全負責人和專門管理機構的要求。”張佳宇表示，這一修改有利于降低企業的合規成本，比如可以由網絡安全負責人同時擔任數據安全負責人，無需另行專門聘請數據安全負責人。
其次，《數安法（草案二審稿）》新增規定“關鍵信息基礎設施的運營者在中華人民共和國境內運營中收集和產生的重要數據的出境安全管理，適用《網絡安全法》的規定；其他數據處理者在中華人民共和國境內運營中收集和產生的重要數據的出境安全管理辦法，由國家網信部門會同國務院有關部門制定”，實質性地引入了中國版“標準合同條款”的概念，并且要求企業與境外接收方簽訂該標準合同后，方可依賴合同機制進行個人信息的跨境傳輸，加強了對重要數據出境的管理。
同時，還增設了對擅自向境外執法機構提供數據行為的處罰。《數安法（草案二審稿）》在一審稿關于“境外司法和執法機構要求調取境內數據的，未經主管機關批準，不得提供”的基礎上，增加對應的處罰規定“未經主管機關批準向境外的司法或者執法機構提供數據的，由有關主管部門責令改正，給予警告，可以并處十萬元以上一百萬元以下罰款，對直接負責的主管人員和其他直接責任人員可以處二萬元以上二十萬元以下罰款。”
“該處罰設定依然沿用了《網絡安全法》雙罰制的原則，此舉既能避免數據主體擅自對境外司法、執法機構提供數據情況的發生，也為數據主體向境外司法、執法機構調取數據提供了拒絕的法定理由。尤其是跨國公司，迫于境外總部或境外分支機構所在地司法、執法機構的壓力，不得不提供相關數據。但該法生效后，企業即可有正當合法的理由予以拒絕。”匯業律師事務所合伙人李天航表示。
最后，《數安法（草案二審稿）》針對“提供基礎性互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者”設置了額外的監管義務。要求大型平臺企業“成立主要由外部成員組成的獨立機構，對個人信息處理活動進行監督”。
在2019年FTC與Facebook達成和解的案件中，FTC就向Facebook提出了設置獨立隱私委員會的要求，并針對獨立隱私委員會的人員構成、會議機制、權力與職責等進行了具體的規定。“立法部門希望通過任命外部成員組成的獨立機構，更大程度地推動多方數據合規治理，并通過外部獨立第三方的介入，增強對大型平臺企業的合規制約，強化對大型平臺企業的監督與管控。”張佳宇表示，大型平臺企業需要警惕定期或不定期的第三方巡檢和審計行為，做好自身的合規制約管理工作。
中國貿促微信