《政务数据共享条例》 对政企数据安全责任分担的制度启示

■ 田雪丹　　一、政企数据共享中安全责任的制度空白　　随着公共数据授权经营的不断推进，政府部门委托企业开展数据处理、平台运维已成为常态，但政企之间数据安全责任边界不清的问题也日益凸显。实践中曾发生此类事件：某政府政务大数据技术服务商将测试开发数据置于未做防护的开放网络环境中，导致数十万条公民个人信息泄露;事发后政府部门认为泄露事件发生在企业管控阶段，责任应由企业承担，企业则主张数据来源于政府，自身仅按合同约定执行操作，不应承担全部责任，责任追究陷入僵局。这类案例屡见不鲜，根源在于数据所有者、技术开发商、运营者之间缺乏合理的安全责任分配机制，进而形成了“不敢提供数据、不敢使用数据”的两难局面。现有法律法规对政企合作中各方的安全职责界限划分模糊，一旦发生安全事故，各方极易相互推诿责任。这一制度空白不仅阻碍了公共数据的社会共享应用，也无法为数据安全提供有效保障，亟待从制度层面寻求解决对策。　　二、《政务数据共享条例》关于政务数据共享安全责任的规则构造　　《政务数据共享条例》是规范政府部门间信息共享的法律文件，其安全责任分配的设计思路，对政企之间的数据共享同样具有借鉴意义。第一，《政务数据共享条例》第三十四条规定了“谁管理谁负责、谁使用谁负责”的归责原则，要求明确各环节的安全责任人，将安全责任落实到每一项具体的数据持有、使用行为中，突破了传统单纯以数据所有者为依据确定责任主体的模式，为多方主体参与的场景提供了责任划分的基本指引。第二，《政务数据共享条例》对数据使用阶段与提供阶段的安全责任作出区分规定，第四十条将“擅自扩大使用范围”和“未对获取的数据尽到安全管理义务”明确列为需求方承担责任的情形，说明安全责任随数据控制权的转移发生变化，需求方自获取数据时起，就负有保管使用期间数据安全的义务。第三，《政务数据共享条例》第三十六条规定，受托参与政务信息系统建设、维护的主体不得擅自访问、获取、留存、使用或泄露政务数据，同时要求委托方通过技术手段监督受托方履行安全义务，将外部单位的数据共享活动纳入可控范围。以上规则的核心逻辑是以数据控制权变更为界限划分责任阶段，以权责一致原则区分责任主体，在委托方的监督下约束第三方主体，最终形成覆盖整个信息共享过程的责任闭环。　　三、《政务数据共享条例》对建立政企安全责任划分机制的制度启示　　基于以上制度原理，政企之间的数据共享安全责任划分可从以下几个方面改进。一是建立以数据控制权转移为节点的责任划分机制，数据移交企业后，企业即成为实际控制人和使用者，应当对后续存储安全、合规处理、过期销毁等环节的安全问题承担最终责任，而非由政府包揽全部责任，该模式可参考《政务数据共享条例》第四十条关于需求方担责的规定。二是落实安全责任协议化制度，参照《政务数据共享条例》对政务部门间共享审核的要求，政企双方可通过安全责任协议书明确责任边界，在协议中约定数据用途限制、安全防护标准以及违约赔偿责任等事项，将法律原则转化为可执行的具体约定，消除规则模糊引发的责任推诿空间。三是构建委托方对受托方的全流程监督机制，参照《政务数据共享条例》第三十六条规定的委托方监督义务，要求政府对受托企业开展技术监管与合规审计，建立安全日志留存、定期风险评估、异常行为预警等制度，保障企业处理数据的全过程可查询、可审计，避免因外部主体介入导致责任链条断裂。　　综上，《政务数据共享条例》从权责统一、明确责任分工、第三方约束三个层面确立的责任划分方式，为解决政企数据共享安全责任分担问题提供了可参考的制度框架。未来，还需持续完善适配政企合作的数据安全责任分担法律制度，摆脱政企数据共享困境，推动政企合作有序发展。　　(作者单位：贵州财经大学法学院)