2025年1月1日起施行的《网络数据安全管理条例》明确规定“统筹促进网络数据开发利用与保障网络数据安全”。数据已经成为新的生产要素，具有重要的商业价值，但不当开发利用数据会对个人、社会甚至国家造成难以弥补的损害，数据安全保障至关重要。数据安全认证已逐渐成为保障数据安全，同时又能促进数据开发利用的重要手段。《网络数据安全管理条例》多处提及“认证”，数据安全法第18条规定“国家促进数据安全检测评估、认证等服务的发展”，个人信息保护法第62条要求“支持有关机构开展个人信息保护评估、认证服务”。

数据安全认证，是指由认证机构证明网络服务、数据产品、管理体系等符合相关法律规范、技术标准、行业准则的评定活动，也称为信息安全认证。数据安全认证主要面向数字经济产业，通过第三方机构客观评定互联网企业数据处理行为的安全性，以提升互联网企业的数据安全保障水平。数据安全认证本质上为第三方提供的社会化服务，承担着第三方规制的角色。

数据安全认证有利于引导、激励数据处理者不断提高数据安全保障水平。为了防止得不到认证或被撤销认证，互联网企业在外在压力下会不断提高自身的数据安全保障水平，以便不失去并不断获取更多的网络用户。数据安全认证通过声誉评价机制，可以增强用户对中小微互联网企业和新兴数字产业的信任感，可以避免政府为保障数据安全而实施“一刀切”的规制，可以满足社会公众多元的数据安全需求。

数据安全认证行为具有公共性，不仅直接关系到个人信息安全，而且对整个数据要素市场的安全性与诚信度会产生直接影响。为了有效保障数据安全认证的客观性与公正性，数据安全认证机构应具有独立性。首先，数据安全认证机构同互联网企业间不应有利益关联。在传统认证的一些领域，认证乱象横生，认证变成了利益交换。“认证变认钱”并不少见，“给钱就能过，不给就刁难”。对于数据安全认证机构资质的规定，应特别注意消除企业型认证机构可能存在的弊端。其次，数据安全认证机构应独立于政府。如果认证机构同政府有关联，会产生诸多消极后果。其一，可能会导致“认证变管理”，甚至导致“认证异化为审批”。其二，可能会引发利益输送、权钱交易等腐败行为。其三，不利于提高认证服务效率与质量。

认证机构应具有高度专业性。数据安全认证不同于对普通产品、服务或管理体系的认证，认证人员既须精通法律又须熟知数字科技。应防止数据安全认证机构“有名无实”不承担实质认证工作，变相将认证业务“转包”“分包”给相关检测机构。

客观公正的数据安全认证不仅有赖于独立、专业的认证机构，而且需要科学合理的认证机制。应当保障认证过程具有充分的透明性和公众参与度。对于数据安全的认证标准，除了包括具有强制力的国家法律规范，还应包括国家推荐性标准、行业标准、国际通用标准、认证机构制定的标准等。

在数据安全认证的时间跨度上，既应对互联网企业过去合理期间内守法合规情况进行审查，也应对认证当时的组织机构设置、人员配备、隐私政策、技术措施等数据安全保障制度作出评估。跟踪监督对于数据安全认证尤其重要，因为数字科技瞬息万变，网络安全新隐患不断出现。“认证即过时”可能是常态。而且，网络服务、数字产品更新换代很快，被认证对象在获得认证后会有很多新办法滥用数据。

数据安全认证有一定的特殊性，应科学合理确立数据安全认证机构的法律责任。数据安全认证机构的责任，主要分为数据安全认证责任和认证后的跟踪监督责任，分别对应相应的赔偿责任和连带责任。对于数据安全认证的归责原则，应确立过错责任原则，而非严格责任原则。为了更好地保障数据安全认证的客观准确性，应加强对数据安全认证违法行为的公法责任的设置与追究。

在深入推进国家治理能力现代化的背景下，构建法治化的数据安全认证体制机制，不仅是保障数据安全的现实需要，而且是弥补数字时代政府规制缺陷的迫切需求。面对数字经济日新月异的新业态、新科技，传统的政府规制往往“捉襟见肘、力不从心”。作为第三方规制的数据安全认证，可以弥补数字时代政府规制的缺陷，减轻政府保障数据安全的公共任务负担。然而，无论是政府规制，还是企业的自我规制，抑或第三方规制，都各自存在难以克服的内在缺陷。

在数据成为新生产要素的数字时代，需要政府、互联网企业、数据安全认证机构、网络用户、社会公众等多方主体开展公私合作治理，全面落实各自的主体责任，协同完成促进网络数据开发利用与保障网络数据安全的公共任务，以促进数字经济高质量发展。

文/刘权（中央财经大学法学院副院长、教授、博士生导师，中央财经大学数字经济与法治研究中心执行主任）

图源/视觉中国

编辑/姬源