從2013年的美國“棱鏡門”，到前不久國家旅游局6套系統淪陷，信息泄露事件的頻發，讓數據安全管理成為各國不可回避的議題。
如何做好網絡安全中的數據安全管理？在北京強國知識產權研究院與北京理工大學聯合主辦的2016強國知識產權論壇“互聯網安全與治理模式創新”分論壇上，與會專家就這一問題展開了探討。
 
    數據產權確權是前提
 
　　在中央網信辦政策法規局李民看來，數據安全管理要解決的一個大前提問題是數據的產權問題。
　 “經過一年運營的貴州大數據基地，目前的成交額只有6000萬元，基本上沒做成幾筆數據流轉，原因就在于數據產權不明。很多機構本身擁有一些數據，也采集了很多數據，但由于現行立法不明晰，采集完以后不知道該不該流轉。”李民舉例指出，目前學界對于數據產權的問題意見不一，有的觀點認為，數據本身不存在所有權問題，有的觀點則對數據本身是知識產權客體還是物權客體存在爭議。
　　不過，這些爭議在近日提請全國人大常委會審議的民法總則草案中得到回應——草案規定，數據信息是知識產權的客體之一。
　 “但草案仍有不明確之處，草案并沒有對作為知識產權客體的數據權利做內涵和外延上的解釋、限定。依據現行法律規定，知識產權是基于創造性智力成果和工商業標記依法產生的權利的統稱，顯然，并非所有的數據信息都可以成為知識產權的保護對象；此外，如何界定數據信息與其他傳統類別的知識產權的區別，也是一個問題。”法律評論人士王鵬程在接受記者采訪時表示，將數據信息僅僅限于財產權甚至僅限于知識產權的保護是遠遠不夠的。
　　無獨有偶，重慶大學法學院教授齊愛民也認為，每個人對個人信息都依法享有決定權，因此大數據交易中的個人信息權屬于人格權的一部分。
　　法治周末記者注意到，在2008年的“人肉搜索第一案”中，原告王菲的妻子在“死亡博客”中留下對原告出軌的日記記載后自殺，后該日記被大旗網、天涯社區等被告曝光，同時原告身份信息也在其中全部披露。法院審理認為，被告對原告個人信息的侵害和濫用，構成隱私權、名譽權等人格權的侵犯。
　 “在大數據時代，通過對個人相關數據的獲取，或者與其他相關信息結合便可識別出個人信息，進而勾勒出一個人的生活全貌或者某一方面的特征。數據作為人的具體化的表現形式，更應該從人格權的高度來保護。”王鵬程補充建議，在未來民法典的制定中應將數據信息保護上升到人格權高度。
 
　　 大數據交易脫敏標準待統一
 
　　除了數據產權確權外，大數據交易尤其是數據的跨境傳輸，也是數據安全管理的重中之重。
　　按照流程，大數據交易中交易方要進行個人信息的存儲和處理，其需要承擔保密的基本義務，采取技術措施和其他必要措施，確保信息安全，不得泄露、篡改、損毀個人信息。
　　對此，網絡安全法草案中，明確要求網絡運營者應當按照網絡安全的等級保護制度履行安全保護義務。
　 “但對于已存儲的個人信息，即使交易方履行了保密義務，在大數據交易時也可能存在信息泄露的風險。很多交易方會說為了保護個人信息將采取漂白數據的脫敏技術，而目前的數據脫敏卻存在很大問題，由于沒有統一的脫敏標準，對脫敏的技術程序也沒有統一要求，有的數據交易中采用的是可恢復性脫敏，比如數據加密，有的則采用不可恢復性脫敏。而采取可恢復性脫敏的情況下就會存在可逆化，敏感信息的可逆將導致個人信息的泄露。”全國律協信息網絡與高新技術委員會副主任陳際紅在論壇上提到，由脫敏標準不統一造成的信息泄露問題，在大數據的跨境傳輸中很可能會被放大。
　　國家互聯網應急中心監測數據顯示，僅2014年上半年，境外的1.9萬臺主機控制了我國境內619萬臺電腦。
　　事實上，并非所有的大數據都可以跨境傳輸。
　　按照相關法律規定，涉及到國家秘密和國家安全的數據不得跨境傳輸；征信機構在中國采集的征信信息整理、保存和加工應該在中國境內進行；在中國境內收集的個人金融信息應該在境內存儲和處理；基礎設施運營者在中國境內收集的信息應當在境內存儲。
　 “此外，大數據的跨國交易，牽扯到國家安全，對于大數據交易中的非涉密信息，應該經過評估或者國家頒發相應許可證后，才能進行跨國交易。”齊愛民在論壇上談道。
 
　　分類監管跨境數據傳輸
 
　　對于大數據跨境傳輸中涉及的數據主權管轄邊界的問題，上海社科院信息研究所信息安全研究中心主任惠志斌認為，數據主權管轄邊界一般是通過云服務提供商的所屬國別確定的，因此云服務商的地理位置所屬國別就對數據主權管轄邊界產生了重要的影響。
　 “從歐盟GDPR(全球數據保護法規)和其他一些重大法律對場地管轄的要求來看，數據接收方所屬國別更強調數據主權的主張，這就與云服務商的地理位置所屬國別產生大量的博弈，進而會因數據主權邊界的重疊導致執法上的困惑。”惠志斌補充道。
　　面對大數據跨境傳輸的基礎性立法缺乏、執法能力不足問題，惠志斌建議，在明確國家安全和網絡安全紅線的基礎上，依法建立開放透明和可操作性的分類監管體系，把高風險、中等風險、低等風險、無風險的跨境數據流動作出分類，對應不同的監管手段和方法；針對重要領域的跨境數據流動進行全生命周期管理，做好跨境數據流動標準化建設。
　　法治周末記者注意到，去年8月，國務院印發《促進大數據發展行動綱要》，指出要加快法規制度建設，包括修訂政府信息公開條例，促進政府數據在風險可控原則下最大程度開放，明確政府統籌利用市場主體大數據的權限及范圍；制定政府信息資源管理辦法；推動個人信息立法，加強對數據濫用、侵犯個人隱私等行為的管理；研究推動數據資源權益相關立法工作。
　　目前，我國首部規范促進大數據發展的地方性法規《貴州省大數據發展應用促進條例》，也已經于今年3月1日正式實施，該法規對數據共享、數據權屬、數據交易和數據安全等方面作出了規定。