《数据安全法 (草案) 》二审稿简评：强化统筹协调性与打磨精准性

《数据安全法(草案)》二审稿简评：强化统筹协调性与

打磨精准性

经过近10个月的打磨，二审稿重点厘清了与其他法律法规已建立的数

据相关制度的统筹协调性，并在细节上围绕数据“安全”与“发展”进行修订完

善体现了立法精准度和前瞻性。

《数据安全法（草案）》自2020年7月公开征求意见后一直备受关注。

2021年4月26日，十三届全国人大常委会第二十次会议对草案进行了初次审

议，此次为二审（下称“二审稿”）。

一、宏观性调整

1、数据安全法与其他各法律法规的衔接

数据是数字经济时代的重要生产要素，有关数据的安全要求在现有和规划中

的立法都有体现。《数据安全法》作为数据安全领域的重要纲领性法律，必须厘

清与其他法律法规中数据相关制度的衔接以避免解读上的误区。《二审稿》在这

个方面进行了重要的改进：

1）数据的“处理”内涵与民法典保持一致

《二审稿》全文将“数据活动”更新为“数据处理”或“数据处理活动”，

第三条定义数据处理的内涵时，参考《民法典》第一千零三十五条中有关个人信

息处理的定义，采纳了与个人信息处理完全相同的列举词汇，即“收集、存储、

使用、加工、传输、提供、公开等”，从而保障了立法的统一性。

2）《网络安全法》下的“网络安全等级保护制度”是数据安全的基础

《二审稿》第二十六条有关数据处理活动的合规义务规定中，较原文遵守法

律、法规的要求外，新增“在网络安全等级保护制度的基础上”的要求，从而重

申了网络安全法下的企业义务不可忽视，自然延伸到数据安全保护之下，强调网

络安全等级保护制度是保护数据安全的基础性义务。

3）重要数据出境与《网络安全法》衔接并预留其他重要数据的出境监管空间

作为《二审稿》新增的条款之一，第三十条有关数据出境的安全管理活动，

巧妙的区分关键信息基础设施企业的重要数据和其他数据处理者的重要数据，即

紧密地衔接了《网络安全法》下对关键信息基础设施运营者的重要数据出境的本

地存储以及安全影响评估要求已有制度安排，又为其他运营者的重要数据监管框

定了网信办未来的监管空间，这与目前正在进行的重要数据出境征求意见的立法

现状相匹配，并将法律层面上为授权行政法规立法确定了基础。

4）国际数据合作与《国际刑事司法协助法》与《民事诉讼法》衔接

《二审稿》第三十五条扩展了调取存储于中国境内数据的机构的性质，

从原有的执法机构补充了司法机构，从而与《国际刑事司法协助法》与《民

事诉讼法》中有关司法协助的内容衔接。

5）与行业准入监管部门各司其职

《二审稿》聚焦数据安全的角度，对数据行业的准入监管仅做原则性规定。

原来的针对专门提供在线数据处理等服务的经营者的许可和备案要求，给行业内

的数据经营者带来了不小的困惑和担忧。在《二审稿》以第三十三条“法律、行

政法规规定提供数据处理相关服务应当取得行政许可的，服务提供者应当依法取

得许可。”替代，从而将行业准入监管与其他法律法规规定的涉及不同行业市场

准入的行政许可要求相衔接，也为未来随时制定或放宽市场准入的方式和条件预

留了灵活性。此外，新规也不再局限在明确由国务院电信主管部门会同有关部门

制定。由此可见，未来数据处理相关服务的市场准入监管将不仅仅局限在电信行

业主管部门一家。

6）明确具体类型的数据保护与本法的关系

《二审稿》在第七章附则条款里说明了有关国家秘密的数据处理活动，以及

个人信息的数据处理活动的另行适用与衔接。军事数据安全保护的办法在规定由

中央军事委员另行制定时，本次《二审稿》中新增强调了“依据本法”另行制定，

奠定了《数据安全法》作为保护各类数据安全的基本规则的地位。

2、强化责任与威慑力

针对征求意见中民众对《数据安全法》整肃数据市场的希冀，《二审稿》

从扩大监管范围、提高处罚金额以及增加企业市场准入处罚等三个角度，强化

责任担当与法律威慑力。

1）《二审稿》在第二条使用范围上调整原有表达，明确规定我国境内的组织

和个人在开展数据处理活动，如侵犯国家安全、公共利益或者公民、组织

合法权益的，同样依法追究法律责任。从而杜绝了某些组织和个人将服务器转

移到企图规避法律监管的侥幸心理。

2）《二审稿》第四十四条对违反数据安全保护义务提高2或5倍处罚金额

适用情形

一般情况下

原处罚

一万元以上十万元以下

（直接责任人）五千元以

上五万元以下

拒不改正或者造成大量数据

泄露等严重后果的

十万元以上一百万元

（直接责任人）一万元以

上十万元以下

提高后处罚

五万元以上五十万元以下

（直接责任人）一万元以上

十万元以下

五十万元以上五百万元以下

（直接责任人）五万元以上

五十万元以下

说明：直接责任人从“直接负责的主管人员”扩展到“直接负责的主管人员和其他直

接责任人员”，下同。

3）《二审稿》第四十五条对于从事数据交易中介服务的机构未履行审核义务

的中，新增补充内容针对违法所得不足十万的情况，处罚金额应适用“十

万元以上一百万元以下”。

4）《二审稿》第四十六条新增两项处罚。