欧盟《通用数据保护条例》与中国《数据安全法》差异简析

中国《数据安全法》草案的公布，带来相关研究的热潮，基于相关法案的学习研究，对其中重要差异点进行分析。
一、立法的目的、范围不同
欧盟《通用数据保护条例》的目的是对个人隐私数据的保护，防止数字空间和新技术带来的个人隐私侵犯风险，尤其注重对公权力机构在采集、使用、处理个人数据过程中的监管。鉴于历史原因，对涉及民族、种族、政治、宗教信仰、个人生物识别特征的数据均为敏感数据，其相应的获取、应用均有严苛的规定和用户权利保护的强制措施。不涉及到经济发展、业务运营的数据促进以及商业、社会关键数据的安全保障。不关注数字经济的发展过程中数据的重要性，不针对该问题进行数据产业发展、流动、交易的立法监管和保护。中国《数据安全法》的目的是保障数字经济发展过程中带来的通用数据安全问题，不局限于个人隐私数据的保护，而把数据作为未来经济发展的重要生产要素，从战略高度出发促安全保发展。重调强调政府主导，自上而下的顶层设计，战略布局，通过统筹协调安排，集国家之力，集中力量办大事，在全球数字经济竞争中脱颖而出，弯道超车。目的在于发展，安全的目标是发展过程中必要支撑。
二、权利的定义与冲突
欧盟《通用数据保护条例》强调对个人用户权益的保护，在数据的采集环节，重点关注用户的主管意愿下的同意，以及允许后悔的权利，虽然补充有商业利益场景下平衡责任义务的保障条款，但个人的数据权利至上的原则贯穿始终，数据业务用途的唯一性，单独授权，数据的最小化，对提供服务的业务提供商而言存在不利于发展的制约倾向，其中用户数据权利的访问、变更、携带、遗忘权，在保障用户权利的前提下，对数据使用方具有较大的制约。所提倡的基于默认设计的隐私原则，更是以用户为中心出发，在用户隐私保护的可用性和便捷性方面提出挑战。中国《数据安全法》对数据涉及的范围较为广泛，所涉及到的数据主体未进行明确定义，相关的权利未进行详细阐述，其中涉及到个人数据部分的描述，也仅从同意、授权、最小化等基本原则进行了阐述。缺少权利的清晰定义，就难以从主体权利的角度出发保护主体权利，保护的范围也仅是数据自身的安全性基本要素。由于立法的目的核心在于促进数据利用产业的发展，其中包含对交易场景的支持，数据交易的内容和本质并为进行限制和定义，是否包含个人数据仍需要配套法律的细化，但从数据主体权利角度分析，数据的最小化，数据的用途限定，避免自动化决策等个人基本权利与交易场景存在冲突的可能性。
三、数据保护与数据安全的义务
欧盟《通用数据保护条例》强调了数据控制者与数据处理者角色的定位以及承担的责任和义务，数据控制者与处理者角色的义务对应的是数据所有者的权利保护。从数据所有者的权利出发，评估相应的风险，进行数据影响分析，并制定权利保护的相关策略和程序，通过数据保护官（DPO）建立数据所有者沟通的渠道和处理数据权利的通道，通过默认的权利主张设计，支持数据所有者的权利主张，并对损害发生进行及时的通知以及报告。相关的惩罚条款，对于数据所有者的权利侵害给予重罚，对于违反相应的保障措施予以相应的惩戒，并授权各国设立统一的数据保护机构，实施相关细则。中国《数据安全法》对数据安全的义务，重点强调政府部门的统筹规划，协调计划，资源投入，确定相应的基础设施，促进数据利用产业的发展，针对数据利用组织，重点强调数据安全保障的能力建设，流程制度体系保障，通过风险评估，措施落实，应急保障，事故处置等安全措施的落实，确保数据的基本安全属性，并通过公权力机关的测评和认证予以第三方背书。另外，涉及到数据利用的交易、流通、加工的数据主体，建立备案和从业资格的管理机制。对未尽责执行相应措施，获得公权力机构背书和授权，非法从事业务的进行行政处罚，并依据后果进行行政处罚或衔接民法和刑法的追责。
四、公权力的约束
欧盟《通用数据保护条例》对国家机关采集、分析、使用个人数据与企业一视同仁，同样强调个人隐私数据保护的基本原则以及对个人权利的保护和支持。对于数据保护监管，授权各国成立唯一监管机构，进行统筹的监管，具有相应的行政处罚权利，权责简单、清晰。并未涵盖监管机构失责或失去公正的进一步监督、管理和处置的法律要求。
中国《数据安全法》重点在于政府的主导、支持、促进产业发展的角度推动数据利用与数据安全，对数据安全义务的企业组织主体进行行政处罚，对于政府机关涉及到的数据安全义务，通过依法行政处分方式推动。体现了数据安全义务后果在企业与公权力之间的差异化。但在数据安全监管机构存在滥用职权、徇私舞弊等行为时，适用于相应的依法处分和处罚。相对于欧盟的简单、清晰的公权机构。中国的《数据安全法》延续号称九龙治水的网络信息安全治理格局，从业务领域，涉及范围，历史传承等角度，规定了不同主管部门的监管责任。
五、数据的跨境本质
欧盟《通用数据保护条例》强调的是个人数据权利主张保护的义务落实情况，并通过对国家的评估，企业内部协议等模式，支持在充分保护前提下的出境管理。中国《数据安全法》强调国家安全，第三方国家是否存在歧视性禁止、限制等条款下的对等原则，对于数据的调取，在已签署协议外强调通报、审批的机制，重点在保护国家利益以及企业利益。
综上所诉，欧盟《通用数据保护条例》与中国《数据安全法》从立法的目的，保护的目标，涉及到的范围均存在显著差异，在数据相关方的权利的定义方面存在显著差异。在义务层面，欧盟关注的是对个人数据权利的保护，中国关注的是对数据安全措施的落实和执行的可验证性。在公权力的约束层面欧盟注重公权力参与的同等义务以及单一的监管治理结构，中国公权力参与义务不同存在一定的不公平性，在监管治理结构上延续平衡和妥协的产物，强调备案、授权、测评与认证的权力模式，存在寻租空间。在跨境上欧盟强调的是个人权利保护义务的落实，中国强调的是国家安全与竞争力保护的对等条款，基础不同，摩擦是必然。

本篇文章来源于微信公众号:                 IT的阿土