监管出手！网络安全审查真的来了

（原标题：监管出手！网络安全审查真的来了）

登录司法部网站，在立法意见征集栏目可以看到《网络安全审查办法（征求意见稿）》正在向全社会公开征求意见，意见反馈截至日期为2021年7月25日。网络安全审查，在传统行业数字化的背景下，不仅影响互联网行业的资本运作等，还影响到数字化之后的若干行业，因此，有必要认真研读学习，并提出相应建议，供立法者参考，尽到我们的微薄力量。

一、应对与解决问题

最近在研读科技与法律之间关系的法哲学论文，对于科学技术迭代发展（含技术中立被“坏人”利用）的态度各国法律的应对方法不同。大致有两种方案：一是管制型；二是回应型。

所谓“管制型”是指依据于传统的家长式管理，对于技术进行价值评价，从宏观角度进行规制，必要时会以刑罚作为有力支撑。所谓“回应型”则是针对技术与社会的关系，进行动态回应，通过个案解决问题，较少有提前法律定性。

学者们赞同的方式是混合说，将管制与回应有机结合，一方面给市场明确的行为边界，同时也给科技“试错”留出空间。近期我们看到数据方面的事件频出，严格管理是必要的，回应各方诉求也是必要的。

二、安全审查的范围是明确的

网络安全审查的约束对象是：数据处理者和关键基础设施运营者。并没有我们所担心的“其他符合条件的主体”，立法技术高，目的明确。

鉴于该办法的目的是：（1）确保关键新型基础设施供应链安全；（2）国家安全（网络安全审查办法第一条开门见山），本次立法的对象是“关键信息基础设施运营者”和“数据处理者”，前者行为是“采购网络产品和服务”，后者行为是“开展数据处理活动”，达到的程度是“影响或可能影响国家安全”，采取的对策是“进行网络安全审查”。

其中，关键信息基础设施运营者，根据2020年8月10日《信息安全技术关键信息基础设施边界确定方法》（征求意见稿）等拟国标，我们基本上可以知道“关键信息基础设施”的轮廓，即“支撑关键业务持续、稳定运行不可或缺的网络设施、信息系统”。而其中关键点是：什么是关键业务？拟国标也给出了回应“电信、广播电视、能源、交通运输、水利、应急管理、卫生健康、社会保障、国防科技等行业和领域中一旦遭到破坏或丧失功能，会严重危害国家安全、经济安全、社会稳定、公众健康和安全的业务。”

也就是说，并不是所有电信、交通、卫生的行业内企业都是关键信息基础设施运营者，而是有实质性评价标准的。

三、“应当预判”是企业担当也是法律义务

运营者采购网络产品和服务的，应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的，应当向网络安全审查办公室申报网络安全审查。关键信息基础设施保护工作部门可以制定本行业、本领域预判指南。

从体系解释角度，这里的“运营者”单指“关键信息基础设施运营者，不应包括数据处理者。

鉴于关键信息基础设施的承载主体，很多是国企、央企，可以预见未来此类企业的数据安全审查合规业务将呈现增势。各主管部门和行业协会，针对本行业内的具体情况，会制定预判指南。

从国家治理现代化的角度，赋予网络运营者适当的网络安全义务，节省了司法行政资源，提升了治理效率，对于打击违法犯罪，起到了立竿见影的效果（具体可参照拒不履行网络安全义务罪和帮信罪的判决书和报告）。同时，可以明确的是倘若这些关键信息基础设施运营者拒不履行网络安全义务，符合个罪构成要件的，也会进入刑法的视野。

四、“国外”与“境外”，此中有深意

对于掌握超过100万+用户的个人信息的运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。

虽然不知道100万标准的来源，但是对于国内A轮+的互联网企业而言，如果连100万用户都没有也就没啥资本来青睐了。飒姐曾经混迹于北京中关村创业咖啡馆里，对于资本的偏好有所了解，100万的用户真心不算啥太牛的业绩，创业者们多数会刷数据就像横店的男演员会虚报身高一样。

该办法看似不经意地用了“国外上市”，其实大家都知道内地互联网企业上市的主要目的地是香港地区和美国。以往文件和实务中，常用“境外上市”，而此番改为国外，其中有深意。读者自行领会。

五、法律责任的指向

应该说，《网络安全审查办法》是《国家安全法》《网络安全法》《数据安全法》的下位法，最高法律位阶也就是“部门规章”，不是法律。但是，该办法第二十条规定“运营者违反本办法规定的，依照《网络安全法》《数据安全法》这两部法的规定处理。这就出现了逻辑上的问题，法律的位阶高，可以成为非法经营罪等刑法罪名的前置法，部门规章和地方法规的位阶低，不能成为刑法的前置法。

倘若下位法都可以直接指定使用上位法处罚，那么，法律位阶的意义何在。同时，下位法和上位法中间有个时间差，在时差内发生的违法行为，到底咋办，要回溯到之前的上位法规制么，确实有违“法的安定性”。

建议在本办法内，直接规定相应法律后果。不要指向上位法，避免“空白条款”的诟病。