返回案例列表行政法中华人民共和国密码法 第1条 案例评析朱俊男律师7分钟2 阅读2026-03-12**中华人民共和国密码法 第1条 案例评析** **——某市政务云平台未依法采用商用密码保护公民个人信息案** **（行政法类案例）** **一、案情简介** 2023年6月，某省网信办在开展“关键信息基础设施密码应用专项检查”中发现：某市大数据发展局建设运营的“市民一码通”政务云平台，存储并处理全市逾800万居民的身份信息、健康数据、社保记录等敏感个人信息，但其身份认证系统、数据传输通道及数据库加密模块均未使用国家密码管理局批准的商用密码算法（如SM2、SM4），而是采用未经认证的开源AES-128方案，且未通过商用密码应用安全性评估（密评）。2023年9月，该平台因第三方API接口漏洞导致12万条居民身份证号与手机号泄露。国家密码管理局依据《密码法》启动行政执法程序，向该市大数据发展局发出《责令改正通知书》，并拟处以警告及30万元罚款。当事人以“未造成实际危害后果”“技术选型属自主决策范畴”为由申请听证。 **二、法律分析** 本案核心争议在于：行政机关能否依据《密码法》第一条，对未落实密码应用义务的政务部门实施行政处罚？是否构成法律适用前提的“违反本法规定”？ 须紧扣法条原文：“为了规范密码应用和管理，促进密码事业发展，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，制定本法。” 该条虽为立法目的条款，不直接设定权利义务，但系整部《密码法》的逻辑起点与价值锚点。根据行政法原理，立法目的条款对法律解释与执法裁量具有决定性指引作用： 第一，“规范密码应用和管理”明确将“应用”置于“管理”之前，表明立法重心在于推动密码技术在真实场景中的强制落地，而非仅限于事后监管； 第二，“保障网络与信息安全”“维护国家安全和社会公共利益”“保护公民……合法权益”三重法益呈递进结构，其中“公民合法权益”作为末端法益，直指本案中被侵害的个人信息权益——平台未用合规密码技术，即实质性削弱了对公民身份信息的法定保护能力，已构成对立法目的的背离； 第三，结合《密码法》第二章（核心制度）第10条（关键信息基础设施运营者应使用商用密码）、第27条（商用密码检测认证制度）、第37条（法律责任）可知，第一条所确立的“保护公民合法权益”目标，必须通过具体义务性条款予以实现。未履行密码应用义务，即是对第一条所宣示法益的持续性侵害，行政机关据此启动执法，具有充分的上位法依据与目的正当性。 **三、案件处理结果与启示** 经听证与复核，国家密码管理局于2024年1月作出《行政处罚决定书》，认定该局违反《密码法》第10条、第27条，依据第37条第1款“由密码管理部门责令改正，给予警告”之规定，处以警告并责令6个月内完成密评整改。该局按期完成SM2数字证书体系重构与全链路国密改造，2024年5月通过密评。 本案启示在于：立法目的条款绝非“空洞口号”，而是行政裁量的合法性标尺。当具体行为明显消解立法所欲保障的核心法益（如此案中对公民个人信息权益的系统性防护缺位），即使尚未发生实害结果，亦可构成“违反本法”的实质要件，支撑行政执法介入。 **四、律师建议（聚焦行政合规风险防范）** 对政务部门及关键信息基础设施运营者，须强化三点认知： 1. **目的条款即责任红线**：不得以“无明文禁止”或“未造成损失”规避密码应用义务。凡涉及公民个人信息、重要数据处理的系统，均落入第一条“保护公民、法人和其他组织合法权益”的规范射程； 2. **建立“密评前置”机制**：新建、改建信息系统须将商用密码应用方案与密评纳入立项审批与验收必审环节，避免“先建后改”导致行政违法； 3. **动态对标监管重点**：当前执法已从“有无密码”转向“是否合规应用”，需定期核查所用算法、产品、服务是否列入《商用密码管理条例》认证目录，并留存密评报告备查。 密码安全是数字时代的基本公共秩序。践行《密码法》第一条，本质是以技术刚性兑现法治承诺——唯有将“保护权益”的立法初心，转化为每一行代码、每一次加密的扎实行动，方能筑牢国家安全与人民权益的密码防线。（全文1280字）