作者：方建伟｜买峥峥
前言：《中华人民共和国网络安全法（草案）》于2015年7月6日公布并向社会公开征求意见。草案明确规定国家网络主权原则，保障关键信息基础设施安全，而其中对公民个人信息的保护及实名登记制度更切实涉及民众利益。本文将对草案条文进行梳理解读，亦会浅议公民权利保护及对在华外企影响等备受关注的话题。
网络安全的重要性近年来日益彰显，并成为一个国际性问题。习近平主席2015年9月23日在西雅图微软公司总部出席中美互联网论坛时强调，“一个安全、稳定、繁荣的网络空间，对一国乃至世界和平与发展越来越具有重大意义……中国倡导建设和平、安全、开放、合作的网络空间，主张各国制定符合自身国情的互联网公共政策。[尾注1]”对于网络和信息技术公司而言，网络的安全性对于其业务运营无疑是至关重要的。此外，由于很多传统行业纷纷开始触网，网络安全也成为这些行业日益关心的议题。
关于网络安全，继此前对我国个人信息和网络安全保护进行立法梳理，笔者将着重分析全国人大在2015年7月6日公布并向公众征求意见的《中华人民共和国网络安全法（草案）》[尾注2]（“《网络安全法（草案）》”或“《草案》”）。事实上除《网络安全法（草案）》外，全国人大常委会法工委、中央网络安全和信息化领导小组还在牵头起草《电子商务法》《未成年人网络保护条例》，加上新修订的《互联网新闻信息服务管理规定》，预计今后五年将形成较为完善的互联网法律体系。毋庸置疑，未来网络安全法的正式颁布将不仅会成为我国网络法制化进程的里程碑，亦同样会深刻影响国际网络空间格局战略。
一、《网络安全法（草案）》之条文梳理
《网络安全法（草案）》共七章六十八条，主要涵盖如下方面：一是贯彻网络主权原则，在《草案》第二章对国家网络安全战略和重要领域安全规划等问题专章规定。二是明确关键信息基础设施安全的战略地位和价值，保障网络产品和服务的安全；其中列入关键信息基础设施范围的，包括基础信息网络、重要行业和领域的重要信息系统、军事网络、重要政务网络、用户数量众多的商业网络等。三是保障网络数据安全，包括对网络运营者的要求，加强对公民个人信息的保护，要求关键信息基础设施的运营者在境内存储公民个人信息等重要数据。四是共享国家网络安全相关信息，建设网络安全监督管理体制[尾注3]。整体阅读《草案》后，如下几点令人印象深刻：
1. 网络运营者的多项义务
《网络安全法（草案）》第六十五条对“网络运营者”定义为，“网络的所有者、管理者以及利用他人所有或者管理的网络提供相关服务的网络服务提供者，包括基础电信运营者、网络信息服务提供者、重要信息系统运营者等。”
《草案》规定，网络运营者应按照网络等级保护制度要求保障网络产品和服务安全（十七条），践行实名登记（二十条），制定安全事件应急预案（二十一条），为国家安全协助侦查机关（二十三条），保护公民个人信息、隐私和商业秘密（三十四条~三十七条）。其中，网络运营者要及时向用户告知安全缺陷、漏洞等风险，持续提供安全维护服务。关于保障网络数据安全，《草案》则要求网络运营者采取数据分类、重要数据备份和加密等措施，防止网络数据被窃取或者篡改。
2. 重大突发事件可限制网络
关于监测预警与应急处置，《草案》规定国家建立网络安全监测预警和信息通报制度。国家网信部门统筹协调有关部门加强网络安全信息收集、分析和通报工作，按照规定统一发布网络安全监测预警信息。
《草案》第五十条规定，因维护国家安全和社会公共秩序，处置重大突发社会安全事件的需要，国务院或者省、自治区、直辖市人民政府经国务院批准，可以在部分地区对网络通信采取限制等临时措施。这意味着，该法律一旦通过，经国务院批准可以在发生大规模事件时按下“安全开关”，切断互联网的连接，也由此一度引发“临时断网，你做好准备了么”的热搜。
对此，美国外交学会的中国问题和网络安全专家史国力评论道，“中国越来越担忧自己没有合适的法规、保护和应对措施”，“确实需要在应对可能发生的网络攻击方面有一些法规”[尾注4]。
3. 实名登记将全面覆盖
《草案》第二十条规定，网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布服务，应当在与用户签订协议或者确认提供服务时，要求用户提供真实身份信息。用户不提供真实身份信息的，网络运营者不得为其提供相关服务。
虽然实践中实名登记制度已经逐步推行，但此次立法则试图将实名制全面覆盖，其主要包括：一是网络接入，包括宽带接入商对个人用户及信息服务商的实名登记；二是域名注册，即要求域名申请者提交身份信息；三是固定电话、移动电话用户在办理入网手续时应提交真实身份信息；四是网络信息发布，目前推测可能涵盖论坛、博客、微博等。
实名登记制度的贯彻对网络安全将产生一定积极意义，但是如何把握尺度更为重要。如果不符合比例要求，则可能被解读为强迫用户实名并对其在网络中的活动进行审查。评论人士认为，由于我国公民“没有其他渠道表达个人意见、发泄不满和推动公共政策改变”，过度限制或审查可能致使网民无法对政府进行和平评论或批评。
二、《网络安全法（草案）》之热点剖析
据不完全统计，《草案》在向公众征集意见的一个月内，中国人大网已收到超过三千条意见 [尾注5]。经整理网民及专家意见，诸多热点议题值得关注：
1. 公民权利保护有待加强
《草案》第九条规定，国家保护公民、法人和其他组织依法使用网络的权利，促进网络接入普及，提升网络服务水平，为社会提供安全、便利的网络服务，保障网络信息依法有序自由流动。纵观《草案》，除该条有宣誓性质的条款外，对于公民权利更加具体的保障较为薄弱。
中国互联网协会发布的《中国网民权益保护调查报告（2015）》显示，网民普遍认为，使用互联网产品、服务时最重要的权益系隐私权，其次分别为选择权、知情权、安宁权和被遗忘权。近一年来，网民因个人信息泄露、垃圾信息、诈骗信息等现象导致的总体损失约805亿元[尾注6]。尽管《草案》对于泄露个人信息这一“顽疾”有较为严苛的规定，但还缺乏保护公民在网络中知情、参与、表达、监督的权利之条款，仍需进一步完善和补充。否则，《网络安全法》将仅剩下对政府管理的阐述，通篇为相关企业和公民的义务。
2. 对在华外商产生持续影响
《草案》的发布之所以触动外国媒体，除了因其对我国国家网络安全的战略意义外，更由于未来新法律的出台将会对在华经商的外国企业产生深远影响，甚至有人认为这对外国企业来说是一个“坏消息”[尾注7]。
《草案》第三十一条规定，关键信息基础设施的运营者应当在中国境内存储在运营中收集和产生的公民个人信息等重要数据；因业务需要，确需在境外存储或者向境外的组织或者个人提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。鉴于该条款规制的对象并不限于中国境内企业，这意味着在华经商的外国企业如果在中国境内存储国内收集的数据，如需在境外存储或向境外提供，应征得政府部门许可，该条款使得部分外商担忧在中国境内的业务可能会受到巨大且持续影响。与此同时，“中国政府在网络安全法草案中规定了技术企业需要遵守的国家标准和行业标准，外企也同样适用。[尾注8]”另一方面，外国企业同样关心跨国网络攻击行为的司法管辖与规制，这是网络无边界与国家主权之间冲突所触发的。
3. 监管方式有待推敲
网民对于国家行政部门对网络的监管问题有较大争议，主要担忧包括惩罚力度不大和监管部门庞杂。目前《草案》中第六章“法律责任”规定的罚款最多为五十万元，对于有实力可能会威胁互联网的企业来说，该等罚款力度可起到的作用让人堪忧。另外，虽然国家网信部门负责统筹协调网络安全工作和相关监督管理工作，但考虑到还有其他诸多部门参与监管，网友们担心该规定会否造成在检查整顿时各部门一拥而上，而在公民或企业寻求救济时各部门又推三阻四。由于目前程序性规定较为模糊，如何有效监管而使企业合规守法尚需探寻。
伴随互联网的极速发展，网络几乎沁入每一个人的日常生活。网络安全法制化正在前进的道路上，而“网络强国”的建设需要我们长期共同求索。
尾注：
尾注1 ：《习近平：中国倡导建设和平、安全、开放、合作的网络空间》，2015年9月24日，中华人民共和国国家互联网信息办公室网站，http://www.cac.gov.cn/2015-09/24/c_1116664316.htm。
尾注2 ：《网络安全法（草案）全文》，2015年7月6日，中国人大网，http://www.npc.gov.cn/npc/xinwen/lfgz/flca/2015-07/06/content_1940614.htm。
尾注3 ：参见《专家解读网络安全法草案：为建设网络强国提供制度保障》，2015年7月17日，中国法院网，http://www.chinacourt.org/article/detail/2015/07/id/1668430.shtml。
尾注4 ：《外媒评中国网络安全法草案：维护网络空间主权》，2015年7月10日，参考消息网，http://www.cankaoxiaoxi.com/china/20150710/846346.shtml。
尾注5 ：《网络安全法（草案）征求意见》，2015年8月5日，东方头条网，http://mini.eastday.com/caijing/150804/025828011.html。
尾注6 ：参见《中国网民权益保护调查报告（2015）》，第12页。
尾注7 ：Jonathan Vanian，How China's proposed cyber security law could impact tech companies，2015年7月8日，https://twitter.com/jonathanvanian/status/618881307519528960。
尾注8 ：《外媒评中国网络安全法草案：维护网络空间主权》，同上。
