数据已成为国家创新战略、国家安全战略、国家产业发展战略以及国家信息网络安全战略的交叉领域。在这样的背景下，数据跨境传输等合规问题引起广泛的关注，数据权的归属和国家安全的关联不容忽视。

2021年，网络安全审查办公室就曾发布《关于对“滴滴出行”启动网络安全审查的公告》，随后，应用商店下架“滴滴出行”App。这一事件背后也折射出我国数据安全治理面临的严峻形势，尤其是数据跨境流动带来的安全风险。

1月4日，国家网信办、国家发改委等十三部门联合修订发布《网络安全审查办法》(以下简称“办法”)，并自2022年2月15日起施行。新修订内容更加针对了数据处理活动，聚焦国家数据安全风险，明确运营者赴国外上市的网络安全审查要求。一个数据严监管的时代正在到来。

将数据纳入审查范围

作为2020年6月实施之后的一次重要修订，《办法》既是贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》等一系列法律法规的有效实践，也是不断完善国家网络安全审查制度、适应国际国内网络安全新形势的重要举措，更是保障人民群众切身利益和维护国家安全的现实需要。

从审查主体的变化来看，与上版《办法》相比，新版《办法》第二条内容为“关键信息基础设施运营者采购网络产品和服务，网络平台运营者开展数据处理活动，影响或者可能影响国家安全的，应当按照本办法进行网络安全审查”，将被审查主体由此前的“数据处理者”改为“网络平台运营者”。

同时，新版《办法》要求网络平台运营者开展数据处理活动，影响或者可能影响国家安全的应按照新版《审查办法》进行网络安全审查。这意味着，除了关键信息基础设施运营者采购网络产品和服务外，网络运营者开展影响或者可能影响国家安全的数据处理活动，也将在网络安全审查范围内。

具体来看，《办法》第七条明确，掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报。这意味着，在相当大的范围内，大部分网络平台若出现跨境、海外资本运作等问题，都会受到《办法》的规制。事实上，到了出海上市这一步的平台，用户也很少有低于百万的。这个规定实际上代表着，网络安全审查已经成为平台出海上市的“规定动作”。

可以看出，相较于上版《办法》，新版《办法》在多处新增了“数据安全”“数据处理活动安全性”等表述。毕竟自1994年接入国际互联网至今，我国已成为全球最为庞大、生机勃勃的数字社会。作为互联网应用大国，我国各类互联网平台众多，既有为社会提供金融支付、通信交流等基础性服务的互联网平台;也有专注于视听、求职、打车、货运、购物等的领域性互联网平台。

这些平台或掌握了海量的公民个人数据，或在一个领域内掌握具有垄断性的用户信息。互联网平台掌握的数据一旦发生泄漏，将会严重危害公民个人信息安全，将给不法分子实施诈骗、非法营销等活动提供便利;甚至对一些特定领域的个人信息进行有针对性地分析，能够得出我国社会经济运行的敏感信息，一旦泄漏将会影响国家安全。

此外，此次《办法》修订在扩大审查范围的同时，也对审查的工作机制、工作流程等进行了适当调整。

调整内容包括：增加证监会作为网络安全审查工作机制成员单位，明确网络安全审查办公室收到合格申报材料的时间为审查开始时间，增加上市申请文件作为上市审查申报材料的一部分，增加上市活动带来的数据安全风险作为国家安全风险考虑的因素之一，延长特别审查的工作时限至90个工作日等。

从总体上看，审查机制和流程延用了原有审查制度框架，针对新纳入赴国外上市审查这一变化进行了有针对性地优化，审查制度在实践中也不断得到完善。

不论是从《办法》的出台来看，还是从《办法》的修定来看，办法都不是一个全新、突然出现的产物，而是有“前身”，有背景的。

显然，网络安全审查制度的根本目标在于维护国家安全。但早在《国家安全法》和《网络安全法》中即对国家安全审查制度进行了确立，并最终作为《网络安全审查办法》的立法背景予以确认。《数据安全法》的出台进一步重申了数据安全审查制度，《网络安全审查办法》正式稿也将其吸纳为制定依据之一。

比如，《国家安全法》第59条规定，要建立国家安全审查和监管的制度，其中特别提到对影响或者可能影响国家安全的网络信息技术产品和服务进行国家安全审查——这是最主要的一个依据。《网络安全法》第35条也规定“关键信息基础设施的国家安全审查机制”，但通过以后也一直未得到很好落实。

在此基础上，监管机构通过多层次的立法尝试，逐步探索出网络安全审查的基本监管框架。包括在2017年网信办公开征求意见的《网络产品和服务安全审查办法(征求意见稿)》中，首次提出网信办将会同11个部门成立网络安全审查委员会，负责审议网络安全审查的重要政策，统一组织网络安全审查工作，协调网络安全审查相关重要问题。

网络安全审查委员会的组织架构最终在正式版本的《网络产品和服务安全审查办法(试行)》中确立，该试行办法作为《网络安全法》