(網經社訊)2020年4月27日，國家互聯(lián)網信息辦公室（以下簡稱“網信辦”）聯(lián)合11部門，正式發(fā)布了《網絡安全審查辦法》（以下簡稱“《審查辦法》”）。在總體國家安全觀的框架下，《審查辦法》的出臺，對于加強和保護關鍵信息基礎設施的安全運行，維護國家網絡安全，起到“安全閥”的重大作用。
距離《審查辦法》正式實施一周年之際，7月伊始，網信辦網絡安全審查辦公室先后發(fā)布公告，為防范國家數據安全風險，維護國家安全，保障公共利益，依據《中華人民共和國國家安全法》《中華人民共和國網絡安全法》，網絡安全審查辦公室按照《審查辦法》，對“滴滴出行”“運滿滿”“貨車幫”“BOSS直聘”實施網絡安全審查。為配合網絡安全審查工作，防范風險擴大，審查期間“滴滴出行”“運滿滿”“貨車幫”“BOSS直聘”停止新用戶注冊。
這是2020年6月《審查辦法》實施以來，網信辦首次公開對相關企業(yè)進行網絡安全審查，一時引起熱烈關注，其示范意義不言而喻。對于此類事件普遍受到關注的幾個問題，我們簡要分析如下：
一、對有關主體進行網絡安全審查的法律依據
如上圖可見，“滴滴出行”“運滿滿”“貨車幫”“BOSS直聘”等相關主體被進行網絡安全審查的直接適用法律依據為《網絡安全審查辦法》。《審查辦法》第二條規(guī)定，關鍵信息基礎設施運營者采購網絡產品和服務，影響或可能影響國家安全的，應當按照本辦法進行網絡安全審查。
網絡安全審查的上位法法律依據是《國家安全法》《網絡安全法》。具體而言，《國家安全法》第五十九條規(guī)定，國家建立國家安全審查和監(jiān)管的制度和機制，對影響或者可能影響國家安全的外商投資、特定物項和關鍵技術、網絡信息技術產品和服務、涉及國家安全事項的建設項目，以及其他重大事項和活動，進行國家安全審查，有效預防和化解國家安全風險；《網絡安全法》第三十五條規(guī)定，關鍵信息基礎設施的運營者采購網絡產品和服務，可能影響國家安全的，應當通過國家網信部門會同國務院有關部門組織的國家安全審查。
此外，值得注意的是，除了上述法律依據外，近期出臺并將于9月1日實施的《數據安全法》第24條也構建了數據安全審查制度，“對影響或者可能影響國家安全的數據處理活動進行國家安全審查”，并且明確數據安全審查結果是最終決定。待《數據安全法》實施后，中國將形成以《國家安全法》《網絡安全法》《數據安全法》《網絡安全審查辦法》等法律法規(guī)組成的網絡安全、數據安全審查法律體系，對互聯(lián)網平臺的合規(guī)管理水平提出了新的要求。
二、網絡安全審查啟動模式
《審查辦法》確立了兩種網絡安全審查啟動的模式。一種是依申請審查，依申請審查是建立在“運營者預判是否存在影響或可能影響國家安全”這一重要前提上。另一種是依職權審查，即由網絡安全審查工作機制成員單位提出，由網絡安全審查辦公室按程序報中央網絡安全和信息化委員會批準后進行。
就依職權審查，《審查辦法》第十五條明確規(guī)定，“網絡安全審查工作機制成員單位認為影響或可能影響國家安全的網絡產品和服務，由網絡安全審查辦公室按程序報中央網絡安全和信息化委員會批準后，依照本辦法的規(guī)定進行審查?！苯Y合當前《公告》等信息，未體現“滴滴出行”等有關主題申請進行網絡安全審查的相關信息，可以推測出，本次網信辦對“滴滴出行”等有關主題進行網絡安全審查，系依職權啟動審查。
根據《審查辦法》，國家互聯(lián)網信息辦公室會同中華人民共和國國家發(fā)展和改革委員會、中華人民共和國工業(yè)和信息化部、中華人民共和國公安部、中華人民共和國國家安全部、中華人民共和國財政部、中華人民共和國商務部、中國人民銀行、國家市場監(jiān)督管理總局、國家廣播電視總局、國家保密局、國家密碼管理局等十一家機關單位建立國家網絡安全審查工作機制。這就意味著，上述十二家機關單位中任何一家認為有危害國家安全的風險，都可以按程序報批后對相關運營者啟動網絡安全審查。
三、網絡安全審查對象和審查內容
網絡安全審查的審查對象為關鍵信息基礎設施運營者。審查重點為評估該類關鍵信息基礎設施運營者采購網絡產品和服務可能帶來的國家安全風險，具體包括：產品和服務使用后帶來的關鍵信息基礎設施被非法控制、遭受干擾或破壞，以及重要數據被竊取、泄露、毀損的風險；產品和服務供應中斷對關鍵信息基礎設施業(yè)務連續(xù)性的危害；產品和服務的安全性、開放性、透明性、來源的多樣性，供應渠道的可靠性以及因為政治、外交、貿易等因素導致供應中斷的風險；產品和服務提供者遵守中國法律、行政法規(guī)、部門規(guī)章情況；其他可能危害關鍵信息基礎設施安全和國家安全的因素。
對于“滴滴出行”等有關主體是否為關鍵信息基礎設施運營者：《審查辦法》第二十條規(guī)定，本辦法中關鍵信息基礎設施運營者是指經關鍵信息基礎設施保護工作部門認定的運營者。公安部于2020年9月份發(fā)布的《貫徹落實網絡安全等級保護制度和關鍵信息基礎設施安全保護制度的指導意見》規(guī)定，根據黨中央和公安部有關規(guī)定，公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務、國防科技工業(yè)等重要行業(yè)和領域的主管、監(jiān)管部門（以下統(tǒng)稱保護工作部門）應制定本行業(yè)、本領域關鍵信息基礎設施認定規(guī)則并報公安部備案。保護工作部門根據認定規(guī)則負責組織認定本行業(yè)、本領域關鍵信息基礎設施，及時將認定結果通知相關設施運營者并報公安部。應將符合認定條件的基礎網絡、大型專網、核心業(yè)務系統(tǒng)、云平臺、大數據平臺、物聯(lián)網、工業(yè)控制系統(tǒng)、智能制造系統(tǒng)、新型互聯(lián)網、新興通訊設施等重點保護對象納入關鍵信息基礎設施。
盡管目前有關關鍵信息基礎設施運營者的認定標準并不十分明確，相關探討存在觀點上的爭議，但根據當前《公告》信息、《審查辦法》等法律法規(guī)，結合我們在數據合規(guī)、網絡安全領域的持續(xù)關注，我們初步認為“滴滴出行”等有關主體遭受網信辦進行網絡安全審查的原因在于“產品和服務使用后帶來的關鍵信息基礎設施被非法控制、遭受干擾或破壞，以及重要數據被竊取、泄露、毀損的風險”這一條。就這一問題，我們后續(xù)還會進一步探討。
四、遭受網絡安全審查后的可能法律后果
《審查辦法》第十九條規(guī)定，有關運營者違反本辦法規(guī)定的，將依照《中華人民共和國網絡安全法》第六十五條的規(guī)定處理。根據《網絡安全法》第六十五條規(guī)定，應當申報網絡安全審查而沒有申報的，或者使用網絡安全審查未通過的產品和服務，由有關主管部門責令停止使用，處采購金額一倍以上十倍以下罰款；對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款。
根據上述法律規(guī)定，若“滴滴出行”等有關主體切實違反了《審查辦法》的有關規(guī)定，上述相關主體很可能會面臨相關網絡產品或服務被責令停止使用、被處以罰款，以及有關直接負責的主管人員和其他直接責任人員被處以罰款的法律后果。目前，緊隨網信辦對“滴滴出行”進行網絡安全審查的公告發(fā)布之后，7月4日“滴滴出行”App已經被網信辦公告要求在應用商店下架。
