网络安全法律法规

2017年6月1日，网络《网络安全法》正式施行。安全那天我刚好在深圳一家科技公司的法律法规法务部做咨询，办公室里没人欢呼，网络倒是安全几个工程师在走廊上抽烟，其中一个骂骂咧咧：“以后用户数据不能随便存了，法律法规这活儿没法干。网络”

骂归骂，安全法律可不管你的法律法规KPI。这部法律最狠的网络地方，是安全它把“网络运营者”的责任从“出了问题再补救”变成了“平时就得防着”。比如第二十一条要求“采取防范计算机病毒和网络攻击、法律法规网络侵入等危害网络安全行为的网络技术措施”，听起来像废话，安全但落到实操上，法律法规意味着你的服务器日志得留六个月，数据备份得做异地容灾，员工权限得按最小化原则分配——这些成本，老板们心里都有一本账。

三年后，《数据安全法》和《个人信息保护法》相继落地。这三部法律像三根柱子，撑起了中国网络安全的屋顶。但柱子之间漏不漏风，得看具体案例。2021年，滴滴因为违规收集个人信息被网络安全审查办公室调查，App下架，股价暴跌。那会儿我朋友圈里有人幸灾乐祸：“早该管管这些大数据杀熟的孙子了。”也有人替滴滴喊冤：“数据不出境就没事了吧？”——错了，法律管的不只是“出境”，而是“处理活动”的全链条，从收集、存储、使用到删除，每一步都得有合法依据。

说到个人感受，我觉得最接地气的其实是《个人信息保护法》里的“告知—同意”规则。你下载个天气App，它弹窗问你要不要授权读取通讯录，你点“不同意”，它就不让你用。这算哪门子同意？监管层当然知道这种“胁迫式同意”的存在，所以2023年工信部专门通报了一批违规App，要求整改“频繁索权”“强制捆绑”等问题。可你换个角度想，要是没有法律撑腰，用户连点“不同意”的资格都没有。

法律条文是死的，但执法是活的。去年有个做智能家居的小公司找我咨询，说他们的摄像头产品被用户投诉“偷拍”。查了一圈，发现是工程师在代码里留了后门，方便自己远程调试。这种行为按《网络安全法》第四十四条，属于“非法获取个人信息”，罚十万到一百万，负责人还可能坐牢。小老板急得直跺脚：“我就想省点运维费，怎么还刑事了？”——你看，法律不会因为你“不懂”就网开一面。

说到底，这些法律法规不是给技术宅看的“紧箍咒”，而是给整个数字社会画的安全线。线上支付、远程办公、智能家居，哪一样不是踩在数据上的？线画得清楚点，大家走路才不至于踩空。至于那些抱怨“合规成本太高”的企业，我建议他们算算另一笔账：一旦发生数据泄露，罚款、赔偿、声誉损失，哪个不比合规投入贵？

最后说个细节。上个月我路过某政务服务中心，门口贴着《个人信息保护法》的漫画宣传页，画风挺幼稚，但有个大爷在认真看。他问我：“小伙子，这上面说我的健康码数据不能随便给人看，是真的吗？”我说真的，大爷点点头：“那行，这法律还算干点人事。”
你看，法律的生命力，有时候就在这种朴素的信任里。