論數據處理者的數據安全保護義務

On Data Processor's Obligation to Protect Data Security

數據處理者的數字基礎設施法律地位、履行財産權社會義務的要求以及數據的公共安全屬性决定了數據處理者應承擔數據安全保護義務。數據安全保護義務制度構建圍繞數據分級保護、數據全生命周期保護、數據處理環境保護三方面展開。數據分級是數據全生命周期保護和數據處理環境風險防控的基礎；數據全生命周期保護包括內部環節和外部環節的保護措施；數據處理環境保護包括數據風險監測和評估義務、數據處理人員教育培訓義務、設置數據安全負責人和管理機構義務、數據洩露通知義務。數據安全保護義務法律責任的重心是行政處罰而非民事賠償，應注重發揮行政處罰的懲戒和教育功能，限縮私法賠償中的結果責任。合理配置數據處理者的行政處罰責任，有助於促進數據處理者發揮數據要素資源流轉配置作用，防止市場壟斷加劇。