(电子商务研究中心讯)　　深入贯彻《网络安全法》

　　提升网络安全保护水平

　　《中华人民共和国网络安全法》(以下简称《网络安全法》)已于2017年6月1日起施行。《网络安全法》明确了网络安全保护和监管的工作原则、管理体制和管理制度，为维护我国网络空间主权、国家安全和社会公共利益提供了有力的法律保障，为公安网安部门履行网络安全监管职责提供了有力的法律武器，为公安机关维护社会大局稳定、促进社会公平正义、保障人民群众安居乐业提供了有力的支持。公安机关尤其是公安网安部门必须深入学习《网络安全法》，主动应对其带来的各种变化，依法履行网络安全监管职能，大力推动《网络安全法》执法实践。本文从深入理解领会、把握职能定位和厘清竞合适用三个维度探讨公安机关如何贯彻落实《网络安全法》，重点解读《网络安全法》与相关网络安全管理法律、行政法规和规章在七项管理制度上的交叉理解和竞合适用问题。

　　1

　　深入理解领会

　　作为我国第一部网络安全的基础性法律，《网络安全法》贯穿了网络空间主权维护、网络安全与信息化发展并重、网络安全综合治理、网络安全重点保护四项原则，体现了我国对网络安全规律认识的逐步深化；规定了国家网信部门统筹协调，电信、公安依法履行安全保护和监督管理的管理体制，有助于进一步强化各部门的资源整合和行动协同；确立或重申了网络安全等级保护、网络产品和服务管理、网络实名、个人信息保护、网络信息和应用管理、关键信息基础设施保护(含国家安全审查、个人信息和重要数据境内存储)、监测预警和应急处置等七大制度，规定了执法协助、危害行为规制、责任追究等三大项行政立法的通用要求(见下图)；总体来看，《网络安全法》形成了网络自身保护与网络服务保护相结合，网络技术安全与内容安全相结合，网络生命周期管控与网络供应链条管控相结合，教育、查处和信用惩戒相结合的制度体系。

　　《网络安全法》的体系架构图

　　2

　　把握职能定位

　　在网络安全监督管理体制方面，《网络安全法》第八条规定国家网信部门负责统筹协调网络安全工作和相关监督管理工作。国务院电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作。目前其他规定网络安全职责问题的“法律、行政法规”主要有《中华人民共和国警察法》、《互联网信息服务管理办法》、《中华人民共和国计算机信息系统安全保护条例》(以下简称《条例》)、《计算机信息网络国际联网安全保护管理办法》(以下简称《办法》)等。《中华人民共和国警察法》、《条例》和《办法》分别明确了公安机关的人民警察主管计算机信息系统安全监察工作、公安部主管全国计算机信息系统安全保护工作、公安部计算机管理监察机构负责计算机信息网络国际联网的安全保护管理工作。综上所述，国家网信部门是网络安全的统筹协调部门，而公安机关是网络安全的法定主管部门，因而《网络安全法》中，除了明确规定由公安机关负责的事项，对于未列明监管部门或者宽泛规定由“有关主管部门”负责的事项，公安机关均应承担监管职责。公安机关应准确把握职能定位，推动各级公安网安部门积极开展《网络安全法》的执法工作。

　　3

　　厘清竞合适用

　　《网络安全法》不少制度、条款、术语与其他网络安全管理相关法律、行政法规、规章存在交叉和不一致，网络安全等级保护、网络实名、个人信息保护、网络信息和应用软件管理、关键信息基础设施保护、执法协助、危害行为规制等七项管理制度须重点进行关联解读和适用理解。

　　1)网络安全等级保护

　　《网络安全法》第二十一条、第二十五条规定了等级保护目的在于“保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改”，从管理制度、操作规程、安全负责人、防病毒、攻击、侵入、数据保护以及应急处置等方面强化网络安全等级保护义务，并明确了还需落实“法律、行政法规规定的其他义务”，违者根据第五十九条处罚。目前，明确对网络安全等级保护做出规定的行政法规有《条例》第九条“计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。”并在第二十条规定违反等级保护制度可以警告或者停机整顿的行政处罚。为落实《条例》，公安部会同国家保密局、国家密码管理局、国家信息化领导小组办公室于2007年出台了《信息安全等级保护管理办法》，规定了等级保护的定级、备案、建设、整改、测评等流程以及三级以上信息系统选用安全专用产品和测评机构的要求，在具体的安全管理制度和技术措施方面则指向了推荐性的行业标准。因此，违反《信息安全等级保护管理办法》关于流程方面的强制性规定，则违反了《条例》第九条，可以按照《条例》第二十条处罚。而根据《网络安全法》的规定，《条例》及《信息安全等级保护管理办法》规定的等级保护有关义务属于《网络安全法》第二十一条规定的“法律、行政法规规定的其他义务”，因此，应适用《网络安全法》第五十九条处罚。此外，还有《办法》中规定的安全义务，虽然未列明属于等级保护，但如其属于实体安全、运行安全、数据安全范畴，目的在于“保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改”的，也应适用《网络安全法》第五十九条处罚。而根据《办法》制订的《互联网安全保护技术措施规定》(以下简称《规定》)规定的运行安全、数据安全义务，在处罚时应引用《办法》，将《规定》规定的细化要求视为《办法》中有关安全义务的解释，在此基础上运用《网络安全法》实施处罚。

　　2)网络实名

　　《网络安全法》第二十四条规定了“网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务”等服务，“应当要求用户提供真实身份信息。用户不提供真实身份信息的，网络运营者不得为其提供相关服务。”第六十一条规定了处罚。而《中华人民共和国反恐怖主义法》(以下简称《反恐法》)第二十一条规定，“电信、互联网、金融、住宿、长途客运、机动车租赁等业务经营者、服务提供者，应当对客户身份进行查验。对身份不明或者拒绝身份查验的，不得提供服务”，并在第八十六条规定了处罚。《规定》第八条、第九条、第十条则规定了接入服务、互联网数据中心服务单位和联网单位要记录并留存用户注册信息，开办电子公告服务的，具有用户注册信息和发布信息审计功能。综上所述，网络实名的完整要求包括了要求用户提供真实身份信息、真实身份信息的核验、对真实身份信息的留存、不提供则不服务四个方面，分别在《网络安全法》、《反恐法》、《规定》作了要求，对违反者应分别适用相应依据处罚。

　　3)个人信息保护

　　《网络安全法》第四十二条规定网络运营者“未经被收集者同意，不得向他人提供个人信息”，而第四十四条规定“任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息”，相应的法律责任分别由第六十四条第一款和第二款作了规定，存在竞合之处，前者规定的是特殊主体“网络运营者”，后者是一般主体“任何个人和组织”。对网络运营者的违法行为应依照第六十四条第一款处罚，对其他主体(包括网络运营者内部员工的个人违法行为)则依据依照第六十四条第二款处罚。

　　4)网络信息和应用软件管理

　　《网络安全法》第四十七条规定，“网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告”。但在第六十八条第一款仅规定“违反本法第四十七条规定，对法律、行政法规禁止发布或者传输的信息未停止传输、采取消除等处置措施、保存有关记录的”给予处罚，并将“向有关主管部门报告”纳入在内。而对违法信息未停止传输、采取消除等措施既包括了未“加强对用户发布的信息的管理”，还包括了“发现”违法信息但未采取措施。此外，《规定》中第九条、第十条明确了互联网信息服务、互联网数据中心服务提供者和联网单位要“在公共信息服务中发现、停止传输违法信息，并保留相关记录”，与《网络安全法》的规定竞合，应适用《网络安全法》。

　　另外，《网络安全法》第四十八条规定，“电子信息发送服务提供者和应用软件下载服务提供者，应当履行安全管理义务，知道其用户有前款规定行为的，应当停止提供服务，采取消除等处置措施，保存有关记录，并向有关主管部门报告。”并在第六十八条第二款明确了法律责任，其适用对象是电子信息发送服务提供者(似乎指的是通信网络的短信息)和应用软件下载提供者，将安全义务、处置义务、报告义务全面纳入，适用的行为是发送信息及提供应用软件，而不仅仅是发布信息。

　　5)关键信息基础设施保护

　　《网络安全法》第三十八条规定，“除本法第二十一条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务”，并在第五十九条第二款规定了处罚。因此，第三十八条对关键信息基础设施运营者的安全义务的规定包含了第三十八条的内容，关键信息基础设施的运营者不履行第三十八条的义务，应按照第五十九条第二款处罚。第三十八条规定“关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。”其“检测评估”与《信息安全等级保护管理办法》规定的“等级测评”存在交叉。由于关键信息基础设施保护是“在网络安全等级保护制度的基础上，实行重点保护”，因此，关键信息基础设施的等级测评仍应开展。

　　6)执法协助

　　《网络安全法》规定了情况报告机制、技术支持协助、配合监督检查、配合信息处置等执法协助义务，与《反恐法》、《条例》、《办法》存在复杂的竞合关系，须正确理解适用。

　　(1)情况报告。《网络安全法》第十四条、第二十二条、第二十五条、第四十二条、第四十七条、第四十八条规定了危害网络安全行为举报、网络产品和服务风险报告、网络安全事件报告、个人信息事件报告、违法信息报告、恶意程序报告等制度。第十四条规定，“任何个人和组织有权对危害网络安全的行为向网信、电信、公安等部门举报”。第二十二条规定网络产品、服务“发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告”。第二十五条规定网络运营者“在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告”。第四十二条规定网络运营者“在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告”。第四十七条规定网络运营者“发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告”。第四十八条规定电子信息发送服务提供者和应用软件下载服务提供者发现其用户发送的电子信息、提供的应用软件，设置恶意程序，或者含有法律、行政法规禁止发布或者传输的信息应“并向有关主管部门报告。”《网络安全法》第五十九条、第六十条、第六十四条、第六十八条规定违反网络产品和服务风险报告、网络安全事件报告、个人信息事件报告、电子信息发送服务提供者和应用软件下载服务提供者对违法信息和恶意程序的报告由有关主管部门处罚。而《条例》第十四条也规定“对计算机信息系统中发生的案件，有关使用单位应当在24小时内向当地县级以上人民政府公安机关报告”，并在第二十条中规定了处罚。因此，对于违反《网络安全法》规定的网络产品和服务风险报告、网络安全事件报告、个人信息事件报告，以及电子信息发送服务提供者和应用软件下载服务提供者的恶意程序和违法信息报告等责任，未向公安机关履行报告义务的，公安机关可以根据《网络安全法》相关条款处罚，对于其他案件包括违法信息的报告，其法律责任仍适用《条例》第二十条。

　　(2)技术支持协助。《网络安全法》第二十八条规定“网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助”，并在法律责任中规定了由有关主管部门处罚。该条系借鉴《反恐法》第十八条所作的规定。但未明确提到十八条规定的“接术接口和解密”。《反恐法》规定了由主管部门处罚，情节严重的并可以由公安机关处以行政拘留。而《办法》第八条则规定“从事国际联网业务的单位和个人应当接受公安机关的安全监督、检查和指导，如实向公安机关提供有关安全保护的信息、资料及数据文件，协助公安机关查处通过国际联网的计算机信息网络的违法犯罪行为”，并规定了公安机关对拒不如实提供有关安全保护的信息、资料及数据文件行为的处罚。《规定》第十六条规定“互联网服务提供者依照本规定采取的互联网安全保护技术措施应当具有符合公共安全行业技术标准的联网接口”，并规定了违者适用《办法》予以处罚。具体适用上，如属于防范、调查恐怖活动的情形，适用《反恐法》，如属于其他维护国家安全和侦查犯罪的情形，适用《网络安全法》。如果不属于维护国家安全、侦查犯罪以及防范和调查恐怖活动的情形，未如实提供有关安全保护的信息、资料及数据文件，互联网服务提供者互联网安全保护技术措施未具有符合公共安全行业技术标准的联网接口，则适用《办法》。

　　(3)配合监督检查。《网络安全法》第六十九条规定了对“拒绝、阻碍有关部门依法实施的监督检查”的行为实施处罚。而《中华人民共和国治安管理处罚法》(以下简称《治安管理处罚法》)第五十条规定了对“阻碍人民警察依法执行职务”的处罚。因此，拒绝公安机关依法实施的网络安全监督检查的，根据《网络安全法》第六十九条第(二)项处罚。阻碍公安机关依法实施的网络安全监督检查的，对“单位”根据《网络安全法》第六十九条第(二)项处罚，对“其直接负责的主管人员和其他直接责任人员”依据《治安管理处罚法》第五十条予以处罚。

　　(4)配合信息处置。《网络安全法》第五十条规定，“国家网信部门和有关部门依法履行网络信息安全监督管理职责，发现法律、行政法规禁止发布或者传输的信息的，应当要求网络运营者停止传输，采取消除等处置措施，保存有关记录；对来源于中华人民共和国境外的上述信息，应当通知有关机构采取技术措施和其他必要措施阻断传播。”并在第六十九条规定了处罚。而《办法》第十八条规定“公安机关计算机管理监察机构发现含有本办法第五条所列内容的地址、目录或者服务器时，应当通知有关单位关闭或者删除”。《反恐法》第十九条第二款规定“网信、电信、公安、国家安全等主管部门对含有恐怖主义、极端主义内容的信息，应当按照职责分工，及时责令有关单位停止传输、删除相关信息，或者关闭相关网站、关停相关服务。有关单位应当立即执行，并保存相关记录，协助进行调查。对互联网上跨境传输的含有恐怖主义、极端主义内容的信息，电信主管部门应当采取技术措施，阻断传播。”并在第八十四条规定了处罚。因此，不按照公安机关的要求对法律、行政法规禁止发布或者传输的信息，采取停止传输、消除等处置措施的，公安机关可以依照《网络安全法》第六十九条给予处罚。电信业务经营者、互联网服务提供者未落实安全、信息内容监督制度和安全技术防范措施，造成含有恐怖主义、极端主义内容的信息传播，由公安机关依照《反恐法》处罚。至于处置措施，除了停止传输、消除外，还可使用《反恐法》所提到的关闭相关网站、关停相关服务，还有《办法》提到的关闭地址、目录、服务器。

　　7)危害行为规制

　　《网络安全法》第二十七条规定了“任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具”，并在第六十三条规定了违反第二十七条的行政处罚，其目的是与《刑法》第二百八十五条、第二百八十六条相衔接，但在细节上有所不同，在危害网络安全活动的程序、工具方面，《刑法》列明是“用于侵入、非法控制”。而《网络安全法》列明“用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动”，隐含了“非法控制”这一类。

　　《网络安全法》第二十七条中的“非法侵入他人网络、干扰他人网络正常功能”与《治安管理处罚法》第二十九条第(一)项“违反国家规定，侵入计算机信息系统，造成危害”和第(二)项“违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行的”竞合，《网络安全法》第七十四条原则规定了治安管理处罚优先适用的原则，因此，对个人则应适用《治安管理处罚法》处罚，对单位适用《网络安全法》第六十三条第二款处罚。

　　此外，《治安管理处罚法(修订征求意见稿)》第三十二条、第九十六条中规定的内容与《网络安全法》第二十一条、第二十四条、第二十七条、第二十八条、第四十七条等规定竞合，一旦新《治安管理处罚法》正式发布，应根据不同情况适用《网络安全法》或《治安管理处罚法》。(来源：公安三所网络安全法律研究中心 文/林雁飞 黄道丽；编选：中国电子商务研究中心)