網(wǎng)上投稿
最近完成A股IPO并登陸創(chuàng)業(yè)板的科藍(lán)軟件(300663)，公司主營業(yè)務(wù)為：向以銀行為主的金融機(jī)構(gòu)提供軟件產(chǎn)品應(yīng)用開發(fā)和技術(shù)服務(wù)。據(jù)悉，公司在申報(bào)上市時(shí)，曾遇到證券監(jiān)管部門提出反饋問題：發(fā)行人實(shí)際控制人具有海外居留權(quán)，請(qǐng)說明是否對(duì)發(fā)行人開展銀行等金融機(jī)構(gòu)業(yè)務(wù)產(chǎn)生不利影響、國內(nèi)目前及可預(yù)見將來有無此方面限制；請(qǐng)發(fā)行人說明其主要業(yè)務(wù)的開展是否需要具備安全等方面的資質(zhì)，報(bào)告期內(nèi)是否持續(xù)具備相關(guān)資質(zhì)。
公司在后續(xù)的反饋答復(fù)中明確公司實(shí)際控制人將放棄海外居留權(quán)且公司暫不需要相關(guān)資質(zhì)。前述提問充分反映了監(jiān)管部門對(duì)于金融安全的重視。
通過上述案例，我們不難發(fā)現(xiàn)企業(yè)應(yīng)當(dāng)將網(wǎng)絡(luò)安全合規(guī)工作置于重要位置，盡管目前《網(wǎng)絡(luò)安全法》的部分對(duì)應(yīng)配套法規(guī)還在陸續(xù)征求意見、各方審議或剛剛通過的過程中，但是在企業(yè)開展相關(guān)業(yè)務(wù)、進(jìn)行公開融資、應(yīng)對(duì)外部監(jiān)管時(shí)，網(wǎng)絡(luò)安全維度的制度安排與法律約束已經(jīng)成型。本文將就金融數(shù)據(jù)跨境流動(dòng)之治理維度與合規(guī)路徑的構(gòu)建做相關(guān)討論。
一、數(shù)據(jù)跨境流動(dòng)的相關(guān)法律風(fēng)險(xiǎn)
（
一
）數(shù)據(jù)跨境流動(dòng)的主要內(nèi)涵
“數(shù)據(jù)跨境流動(dòng)”(Transborder Data Flows)一詞較早來源于經(jīng)濟(jì)發(fā)展與合作組織(OECD)頒布的《關(guān)于隱私保護(hù)和個(gè)人數(shù)據(jù)跨境流動(dòng)的指南》。依照我國的法律、法規(guī)以及規(guī)范性文件，“數(shù)據(jù)跨境流動(dòng)”一詞并未直接出現(xiàn)，這一概念在相關(guān)法律性文件中的相關(guān)表述為“個(gè)人信息和重要數(shù)據(jù)”“向境外提供”(參見《網(wǎng)絡(luò)安全法》第37條)以及“網(wǎng)絡(luò)運(yùn)營者將在中華人民共和國境內(nèi)運(yùn)營中收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù)，提供給位于境外的機(jī)構(gòu)、組織、個(gè)人”(參見《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》第17條)。
我們理解，“數(shù)據(jù)跨境流動(dòng)”的主要內(nèi)涵可以概括為“內(nèi)容+行為”的模式?！皟?nèi)容”即為個(gè)人信息和重要數(shù)據(jù)，“行為”既可以是將前述“內(nèi)容”主動(dòng)向境外主體提供，也可以是授權(quán)境外主體訪問相關(guān)“內(nèi)容”等形式；既可以是線上傳輸，也可以是線下提供。
（二）數(shù)據(jù)跨境流動(dòng)的主要風(fēng)險(xiǎn)
本文中數(shù)據(jù)跨境流動(dòng)的主要風(fēng)險(xiǎn)是指在廣義的法律適用層面下可能產(chǎn)生的相關(guān)風(fēng)險(xiǎn)，可概括為違法風(fēng)險(xiǎn)、違規(guī)風(fēng)險(xiǎn)、違約風(fēng)險(xiǎn)與其他風(fēng)險(xiǎn)。
違法風(fēng)險(xiǎn)主要是指在“網(wǎng)絡(luò)空間主權(quán)”政策高度下所引領(lǐng)的《國家安全法》與《網(wǎng)絡(luò)安全法》形成“一體兩翼”式的基本法被違反所致的風(fēng)險(xiǎn)。《國家安全法》第25條等從國家安全的視角出發(fā)，明確了利用網(wǎng)絡(luò)危害國家安全的實(shí)質(zhì)情勢(shì)，《網(wǎng)絡(luò)安全法》則將空間主權(quán)、國家安全等作為立法原則進(jìn)一步明確了數(shù)據(jù)跨境流動(dòng)影響、危害國家安全的法律責(zé)任。違反相關(guān)法律將面臨重大法律風(fēng)險(xiǎn)。
違規(guī)風(fēng)險(xiǎn)主要是指在《網(wǎng)絡(luò)安全法》出臺(tái)背景下，相關(guān)法規(guī)以及規(guī)范性文件被違反所致的風(fēng)險(xiǎn)。就數(shù)據(jù)跨境流動(dòng)而言，既包含內(nèi)容管理層面的信息管理安全規(guī)范，也涉及物理設(shè)備層面的技術(shù)管理安全規(guī)范。目前，《網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法(試行)》已經(jīng)頒行，《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法》的征求意見稿也已出臺(tái)，在法規(guī)層面對(duì)數(shù)據(jù)跨境流動(dòng)提供了相對(duì)細(xì)化的操作指引，若相關(guān)企業(yè)“選擇性忽視”，將會(huì)觸發(fā)違規(guī)風(fēng)險(xiǎn)。
違約風(fēng)險(xiǎn)主要是指在《合同法》框架下，就相關(guān)合同義務(wù)(數(shù)據(jù)提供服務(wù))履行時(shí)出現(xiàn)瑕疵或因與公法規(guī)定相悖導(dǎo)致違約的風(fēng)險(xiǎn)。前述違法違規(guī)風(fēng)險(xiǎn)主要是在公法約束的語境下進(jìn)行探討，而違約風(fēng)險(xiǎn)則是在私法層面進(jìn)一步的明確法律風(fēng)險(xiǎn)。數(shù)據(jù)服務(wù)提供商在履行日常合約時(shí)應(yīng)當(dāng)在合法合規(guī)的前提下，做好保護(hù)商業(yè)秘密與合理利用數(shù)據(jù)的平衡，實(shí)現(xiàn)對(duì)供應(yīng)方以及客戶方利益的兼顧，否則將面臨對(duì)某一方的違約風(fēng)險(xiǎn)。
其他風(fēng)險(xiǎn)主要是指政策或法律更新或更迭所致的風(fēng)險(xiǎn)以及法律域外管轄效力不足所致的風(fēng)險(xiǎn)等情況。僅在2000-2016年的十?dāng)?shù)年中，依據(jù)歐美對(duì)于數(shù)據(jù)跨境流動(dòng)的監(jiān)管政策與態(tài)度的多次變化，可以大致劃分為三個(gè)階段：安全港協(xié)議階段、標(biāo)準(zhǔn)合同條款與約束性企業(yè)規(guī)則適用的過渡階段以及隱私盾協(xié)議與保護(hù)傘協(xié)議階段。 [1] 我們理解，目前網(wǎng)絡(luò)安全已經(jīng)愈發(fā)受到各國政府的重視，我國在網(wǎng)絡(luò)安全層面的政策強(qiáng)化以及法律優(yōu)化是大勢(shì)所趨，若相關(guān)企業(yè)沒有足夠的預(yù)見性，將會(huì)產(chǎn)生不必要的成本與風(fēng)險(xiǎn)。此外，一國法律無論是適用屬人原則抑或?qū)俚卦瓌t，依然在管轄時(shí)具有局限性，相關(guān)企業(yè)在數(shù)據(jù)跨境流動(dòng)問題上，有可能面臨在適用境內(nèi)境外“雙重法律”時(shí)的更大壓力，導(dǎo)致相關(guān)法律風(fēng)險(xiǎn)。
二、網(wǎng)絡(luò)安全法語境下的金融安全
（一）金融行業(yè)與關(guān)鍵信息基礎(chǔ)設(shè)施
網(wǎng)絡(luò)安全法語境下的金融安全指向之一是金融行業(yè)以及與之相關(guān)聯(lián)的關(guān)鍵信息基礎(chǔ)設(shè)施。
《網(wǎng)絡(luò)安全法》第31條明確，國家對(duì)公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能嚴(yán)重危害國家安全、國計(jì)民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)。我們理解，金融安全向來與國家安全息息相關(guān)，隨著信息技術(shù)不斷發(fā)展，金融安全與網(wǎng)絡(luò)安全也密不可分，金融行業(yè)的特殊性以及關(guān)鍵信息基礎(chǔ)設(shè)施的重要性構(gòu)成了相關(guān)語境下金融安全的首要內(nèi)容。
（二）金融數(shù)據(jù)與個(gè)人信息利用保護(hù)
網(wǎng)
絡(luò)安全法語境下的金融安全指向之二是金融數(shù)據(jù)與個(gè)人信息的利用與保護(hù)。
金融數(shù)據(jù)中的相當(dāng)部分來源于個(gè)人信息，而金融數(shù)據(jù)本身又屬于“重要數(shù)據(jù)”，故而金融數(shù)據(jù)屬于《網(wǎng)絡(luò)安全法》中“個(gè)人信息和重要數(shù)據(jù)”保護(hù)的重中之重。我們理解，針對(duì)金融數(shù)據(jù)與個(gè)人信息，新頒行的《民法總則》等在私法層面強(qiáng)化了保護(hù)的重要性，《征信管理?xiàng)l例》等行業(yè)相關(guān)規(guī)定以及《網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法(試行)》等網(wǎng)安相關(guān)規(guī)定在公法之行政法層面細(xì)化了保護(hù)的多元性，而《刑法》則在公法之刑法層面具化了保護(hù)的徹底性?？梢?，金融數(shù)據(jù)與個(gè)人信息也是金融安全的題中之義。
（三）
金融服務(wù)與金融配套服務(wù)機(jī)制
網(wǎng)絡(luò)安全法語境下的金融安全指向之三是金融服務(wù)與配套機(jī)制。
在人們的慣常理解中，金融一詞的具象化往往對(duì)應(yīng)了金融機(jī)構(gòu)，這是因?yàn)榻鹑跈C(jī)構(gòu)承擔(dān)了金融資源配置這一金融領(lǐng)域的主要職能。但是在實(shí)踐中，隨著金融服務(wù)的多元化以及信息技術(shù)的現(xiàn)代化，金融服務(wù)與金融配套服務(wù)的外延不斷擴(kuò)大，越來越多的市場(chǎng)主體的規(guī)范被囊括到金融安全的范疇之中，例如一些金融數(shù)據(jù)的歸集、存儲(chǔ)等都離不開技術(shù)外協(xié)公司，一些金融產(chǎn)品的推出、增信等也離不開信用評(píng)估公司。諸如此類的金融服務(wù)與配套機(jī)制也構(gòu)成相關(guān)語境下金融安全的重要內(nèi)容。
三、金融數(shù)據(jù)跨境流動(dòng)的管制體系
（一）他律體系
金融數(shù)據(jù)跨境流動(dòng)的他律體系主要包括政策推動(dòng)與法律約束。
2016年4月，習(xí)近平總書記在網(wǎng)信工作座談會(huì)上發(fā)表“4.19”重要講話，明確了安全是發(fā)展的前提。隨后相關(guān)網(wǎng)絡(luò)安全政策逐步出臺(tái)，《國家網(wǎng)絡(luò)空間安全戰(zhàn)略》等紅頭文件應(yīng)運(yùn)而生。2016年11月，《網(wǎng)絡(luò)安全法》通過全國人大審議并頒行，成為網(wǎng)絡(luò)安全領(lǐng)域的基本法?！毒W(wǎng)絡(luò)安全法》從關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)、個(gè)人信息權(quán)責(zé)分工明確、網(wǎng)絡(luò)安全等級(jí)保護(hù)制度等維度，對(duì)金融數(shù)據(jù)跨境流動(dòng)作出了基本的規(guī)范。
此外，最近國家互聯(lián)網(wǎng)信息辦公室發(fā)布的《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》則勾勒了數(shù)據(jù)出境的基本監(jiān)管框架：該征求意見稿第2條明確，網(wǎng)絡(luò)運(yùn)營者在中華人民共和國境內(nèi)運(yùn)營中收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù)，應(yīng)當(dāng)在境內(nèi)存儲(chǔ)；因業(yè)務(wù)需要，確需向境外提供的，應(yīng)當(dāng)進(jìn)行安全評(píng)估。該征求意見稿第9條明確，關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者向境外提供個(gè)人信息和重要數(shù)據(jù)，網(wǎng)絡(luò)運(yùn)營者應(yīng)報(bào)請(qǐng)行業(yè)主管或監(jiān)管部門組織安全評(píng)估。該征求意見稿第11條明確，數(shù)據(jù)出境給國家政治、經(jīng)濟(jì)、科技、國防等安全帶來風(fēng)險(xiǎn)，可能影響國家安全、損害社會(huì)公共利益的，該等數(shù)據(jù)不得出境。
可見，目前我國關(guān)于金融數(shù)據(jù)跨境流動(dòng)的他律體系已經(jīng)形成“政策-法律-法規(guī)”三位一體的管制體系，已經(jīng)建成“專管部門-協(xié)管部門-司法部門”三位一體的裁斷機(jī)制。
（二）自律體系
金融數(shù)據(jù)跨境流動(dòng)的自律體系主要包括行業(yè)自律與企業(yè)自律。隨著國家對(duì)網(wǎng)絡(luò)安全的愈發(fā)重視，相關(guān)行業(yè)已經(jīng)在政府指導(dǎo)下組成了較為權(quán)威的自律組織。除了中國互聯(lián)網(wǎng)協(xié)會(huì)等與網(wǎng)絡(luò)相關(guān)的協(xié)會(huì)外，2016年3月中國網(wǎng)絡(luò)空間安全協(xié)會(huì)成立，成為網(wǎng)絡(luò)安全領(lǐng)域的首個(gè)全國性社會(huì)團(tuán)體。中國網(wǎng)絡(luò)空間安全協(xié)會(huì)目前已對(duì)大數(shù)據(jù)、物聯(lián)網(wǎng)、云計(jì)算等發(fā)布白皮書，對(duì)金融數(shù)據(jù)跨境流動(dòng)形成了一定指導(dǎo)，為與金融服務(wù)技術(shù)相關(guān)的重點(diǎn)企業(yè)的運(yùn)營規(guī)范提供了數(shù)據(jù)與參考。同時(shí)，中國互聯(lián)網(wǎng)協(xié)會(huì)發(fā)布的《互聯(lián)網(wǎng)搜索引擎服務(wù)自律公約》與《互聯(lián)網(wǎng)終端軟件服務(wù)行業(yè)自律公約》等自律文件也具有相關(guān)參照意義。
此外，金融數(shù)據(jù)跨境流動(dòng)的自律體系還包含企業(yè)的自律。與其他領(lǐng)域的自律管理相比，金融領(lǐng)域的自律管理與網(wǎng)安領(lǐng)域的自律管理具有更明確的法律依據(jù)。例如，《網(wǎng)絡(luò)安全法》第11條明確，網(wǎng)絡(luò)相關(guān)行業(yè)組織按照章程，加強(qiáng)行業(yè)自律，制定網(wǎng)絡(luò)安全行為規(guī)范，指導(dǎo)會(huì)員加強(qiáng)網(wǎng)絡(luò)安全保護(hù)，提高網(wǎng)絡(luò)安全保護(hù)水平，促進(jìn)行業(yè)健康發(fā)展；《網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法(試行)》第3條明確，堅(jiān)持企業(yè)承諾與社會(huì)監(jiān)督相結(jié)合，第三方評(píng)價(jià)與政府持續(xù)監(jiān)管相結(jié)合，實(shí)驗(yàn)室檢測(cè)、現(xiàn)場(chǎng)檢查、在線監(jiān)測(cè)、背景調(diào)查相結(jié)合，對(duì)網(wǎng)絡(luò)產(chǎn)品和服務(wù)及其供應(yīng)鏈進(jìn)行網(wǎng)絡(luò)安全審查。
可見，金融數(shù)據(jù)跨境流動(dòng)的自律體系本身是基于法律原則規(guī)定與自律組織規(guī)范倡導(dǎo)基礎(chǔ)下的自律，具有較強(qiáng)的約束力與實(shí)踐力。
四、涉金融服務(wù)類企業(yè)的合規(guī)路徑
我們理解，相關(guān)企業(yè)的合規(guī)路徑應(yīng)至少包括以下三個(gè)方面：第一，信息合規(guī)管理路徑；第二，數(shù)據(jù)資產(chǎn)管理路徑；第三，人員設(shè)備管理路徑。
關(guān)于信息合規(guī)管理路徑。
就金融數(shù)據(jù)跨境流動(dòng)而言，信息合規(guī)管理主要是指在響應(yīng)外部監(jiān)管時(shí)，能及時(shí)判斷歸集、存儲(chǔ)的信息流動(dòng)的合法合規(guī)性，并能較好的制定法律法規(guī)更迭時(shí)的應(yīng)對(duì)機(jī)制。例如：《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》一旦獲得通過，企業(yè)應(yīng)當(dāng)對(duì)第11條提出的給國家經(jīng)濟(jì)安全帶來風(fēng)險(xiǎn)，可能影響國家安全、損害社會(huì)公共利益的數(shù)據(jù)不得出境的規(guī)定作出有效預(yù)判。
關(guān)于數(shù)據(jù)資產(chǎn)管理路徑。
就金融數(shù)據(jù)跨境流動(dòng)而言，數(shù)據(jù)資產(chǎn)管理主要是指在信息合規(guī)管理的前提下，將數(shù)據(jù)作為有效資產(chǎn)進(jìn)行合理運(yùn)用與管理?！毒W(wǎng)絡(luò)安全法》以及相關(guān)規(guī)范性文件的出臺(tái)本身是為了管制相關(guān)數(shù)據(jù)跨境流動(dòng)的行為并降低風(fēng)險(xiǎn)，而非為了刻意限制或者遏制數(shù)據(jù)的合理使用與有效利用?！毒W(wǎng)絡(luò)安全法》第12條明確規(guī)定，國家保護(hù)公民、法人和其他組織依法使用網(wǎng)絡(luò)的權(quán)利，促進(jìn)網(wǎng)絡(luò)接入普及，提升網(wǎng)絡(luò)服務(wù)水平，為社會(huì)提供安全、便利的網(wǎng)絡(luò)服務(wù)，保障網(wǎng)絡(luò)信息依法有序自由流動(dòng)。故而，相關(guān)企業(yè)應(yīng)當(dāng)辯證的看待網(wǎng)絡(luò)安全領(lǐng)域的法律法規(guī)，將其作為保護(hù)自身利益、保障行業(yè)秩序的利器，并在尋求信息合規(guī)管理的基礎(chǔ)上構(gòu)建“數(shù)據(jù)資產(chǎn)管理”的觀念，提供優(yōu)質(zhì)的金融信息服務(wù)。
關(guān)于人員設(shè)備管理路徑。
就金融數(shù)據(jù)跨境流動(dòng)而言，人員設(shè)備管理主要是指在靜態(tài)的制度保障之外，還應(yīng)當(dāng)對(duì)人員、設(shè)備等動(dòng)態(tài)事物進(jìn)行有效管理。一如本文前述，金融數(shù)據(jù)跨境流動(dòng)的管制體系包括他律體系與自律體系，靜態(tài)的制度保障(包括但不限于法律法規(guī)等)更多的傾向于他律體系，而人員設(shè)備的內(nèi)部管理則更多的側(cè)重于自律體系。盡管法律沒有明確規(guī)定相關(guān)企業(yè)的內(nèi)部治理，但是相關(guān)企業(yè)仍應(yīng)高度警惕因內(nèi)部人員失誤或設(shè)備問題導(dǎo)致的侵權(quán)責(zé)任。
金融服務(wù)是激活市場(chǎng)存量、優(yōu)化資源配置的重要手段，而金融數(shù)據(jù)是金融服務(wù)的重要載體，金融數(shù)據(jù)跨境流動(dòng)在信息化時(shí)代下的規(guī)范對(duì)國家安全、網(wǎng)絡(luò)安全、金融安全已產(chǎn)生越來越重要的影響。誠然，企業(yè)響應(yīng)外部制度約束并構(gòu)建內(nèi)部合規(guī)體系將面臨各類新工作量的發(fā)生，但以更好、安全地提供金融服務(wù)為導(dǎo)向的系統(tǒng)規(guī)劃、合規(guī)機(jī)制構(gòu)建已成為企業(yè)的當(dāng)務(wù)之急。
[1] 參見羅力: 《美歐跨境數(shù)據(jù)流動(dòng)監(jiān)管演化及對(duì)我國的啟示》, 載《電腦知識(shí)與技術(shù)》2017年第8期。
滬公網(wǎng)安備 31010402007129號(hào)
