[可以考慮學習一下歐盟，歐盟在個人信息保護新規當中，設定的法律責任是說，最大的罰款可以到上一年度營業額的4%。]
算起來我也應該是有20年網齡的互聯網老兵了。我們的網絡安全法，雖然以前沒有叫這個具體的名字，卻一直是互聯網法律圈內大家重點研究關注的對象。今天談一點思考。
我讀網絡安全法二審稿時有一個疑問，這幾年發生了那么多網絡上的事件，如果按照現在的網絡安全法，能不能對這些事件有一個相應的預防或是制裁、應對？
實際上網絡這個領域，現在的學術研究跟過去不一樣，過去學術刊物有很高的編輯門檻，有人把關。識別專家的簡單做法就是看論文專著，或者更簡單點看什么權威研究機構的職稱。現在自媒體也有了，任何一個人，哪怕是昨天剛進入這個領域的，今天開了一個會，馬上晚上就可以寫一篇文章發到微信上，也許明天就成為了“十萬+”的文章。但他對這個問題的研究真的到位嗎？不見得。
確立網絡安全特定情況下的域外效力問題
我想談的第一個問題是，確立網絡安全特定情況下的域外效力問題。
像斯諾登事件，在我們的網絡安全法中應總結出怎樣的經驗教訓，然后落實成制度設計反映到我們的網絡安全法中？我認為對于類似斯諾登事件這樣的應有所體現，當然要看出這一點，可能需要經過“翻譯”的過程，這實際上就是中國的網絡安全法是不是要有域外的效力問題。
通常來說，任何一個主權國家的法律是不能有域外效力的。但在少量的法律當中，比如反壟斷法或者說競爭法中是有域外效力的。而美國常常通過長臂管轄，盡量讓它的法律具有管轄權。
為什么要這樣做？因為現在是全球化的時代，尤其是互聯網時代，網絡上并沒有物理上的邊境線。如果沒有相關的法律規定，我們除了聲討以外幾乎沒有任何辦法。我們要采取法律行動的話，是必須要有明確的法律依據的。
我們現在起草的很多法律文件不是律師的思維，也不是法官的思維，而是國內語境下的政策思維，它的前瞻性、法律層面的操作性有欠缺，針對具體問題的內容，尤其是采取什么行動，落實到第幾條第幾款，往往沒有做到。
同時，今天的國際環境下，要采取一個措施，還必須講出國際上可以讓人接受的道理來，否則難免受到攻擊。借鑒對外貿易法曾經有類似的規定，如果其他國家對我們國家采取歧視性的貿易措施，我們是可以采取對應措施的。那么在我們的網絡安全法當中能不能也落實這樣一條？如果有人在境外采取侵害我國權益的網絡技術措施（類似美國對全球的監控）或是歧視性的法律措施，中華人民共和國也可以采取對等行為。
如何建立管轄連接點
第二個問題，如何建立管轄連接點，讓中華人民共和國境內的利益或中華人民共和國公民受到損害的時候，能夠啟動司法程序，維護國家和人民的利益。
中國經常大量受到網絡攻擊，我們應做哪些反思？有沒有這個本事查出攻擊者？如果有這個本事，那么我們哪個機關采取行動，怎么確定管轄？建議在法律當中形成制度，如果境外或海外其他機構，對中華人民共和國境內機構或中華人民共和國的公民采取了非正常法律行動或實施了犯罪，中華人民共和國被害人所在地的有管轄權的機關，或者被害人不明確的，由公安部指定的機關行使管轄權，以采取針對性的法律行動。
關鍵是，我們現在的管轄連接點一般是屬地原則，在哪里信息被偷了，到屬地公安機關報案。如果行為主體來自境外，沒有哪個公安機關受理報案。而且目前偵查機關啟動程序幾乎完全靠舉報，如果沒有具體被害人、沒有人舉報，我們應該怎么做？這些問題都需要明確。
利用規則設置引導市場主體博弈
第三，網絡立法從技術上要有這樣的思想，也是經濟學上的博弈論的應用，利用規則設置來引導市場主體的博弈行為。
這方面我們其實不乏成功的先例。比如勞動合同法出臺之前，企業不簽書面勞動合同的情況大量存在。由于勞動合同法規定不簽訂書面勞動合同要賠償一年的雙倍工資，現在不簽書面勞動合同的企業已經大量減少。
我曾提出目前我們的主要困難在于技不如人，客觀上需要依賴別人的技術，那么怎么通過制度設計避免他人隱藏后門、漏洞，以防其在可能的關鍵時刻對我們進行攻擊呢？我認為只有審查制度還不夠，應增加法律責任倒逼企業守法，即規定在中國銷售的網絡軟硬件產品，應當保證不存在隱瞞漏洞、后門或其他重大風險；銷售后發現漏洞或其他風險的，應當立即報告，違反上述規定的，按照上年度營業額的一定比例給予罰款，并且可以限制其在一定年限內在中國市場銷售。
雖然面對網絡亂象，許多媒體在呼吁加強監管，現在實際上在網上，再實施那么嚴密的控制已不太現實，技術上也不許可。
這當中，國家怎么去支持網絡公共管理，值得討論。公共管理思路可否改一改，不再像過去一樣，什么事情都由政府去做？注重制度建設，這在國家來說就是法律。法律制定好以后，讓企業去實施，哪個企業要做相關的生意就要把相關的事情管起來。
筆者發現這次二審稿中有兩條已經注意到了這一點。比如一到十倍的違法所得作為罰款，這跟以前的法律比有很大進步，但仍有問題。也被一些人指責為變相鼓勵企業違法?？梢钥紤]學習一下歐盟，歐盟在個人信息保護新規當中，設定的法律責任是說，最大的罰款可以到上一年度營業額的4%。對于任何財大氣粗的公司，這都是一個非常巨大的數字。而之前在我國只有反壟斷法才有上一年度營業額的1%~10%這樣的大額罰款金額。正因為有這樣的罰款風險，現在所有的企業只要談到歐盟的數據法規的時候，基本上都非?？謶?。
當然罰款不是最好的方法。我們還要注意另外一個層面的問題，中國的確面臨行政層級多、執法機關多的問題，并且也不能給行政執法機關太大的權力，否則也會壞事。
面臨這樣兩難的情況怎么辦？筆者建議推行遞進式懲罰性的賠償。第一次被認定違法，可以按照現在這個五十萬元罰；再不改，一次一次加重，加重到你賠不起為止。再有，企業非常擔心有關部門隨意索取數據，如果一個執法人員來讓你把公司全部數據拷給他，他帶著一封介紹信，是不是經過局長批還不清楚，就要把企業的這些數據都拿走，企業給還是不給？所以我們有必要在相關的立法中完善這樣的程序，要依法辦案，手續齊全。
京公網安備 11010502049343號