返回案例列表行政法中华人民共和国数据安全法 第1条 案例评析朱俊男律师7分钟3 阅读2026-03-12**中华人民共和国数据安全法 第1条 案例评析** （行政法类） **案情简介** 2023年6月，某省通信管理局在开展“数据安全专项执法检查”中发现，省内一家主营智能健身APP的科技公司（以下简称“A公司”）在未明确告知用户、未取得单独同意的情况下，持续采集并上传用户运动轨迹、心率变化、睡眠时长等敏感生理数据至境外云服务器；同时，该公司未建立数据分类分级管理制度，亦未对存储于其自建数据库中的230万用户身份信息采取加密、访问控制等必要技术措施。2023年9月，该局依据《数据安全法》启动立案调查。经听证与技术勘验，认定A公司行为已构成“未履行数据安全保护义务”，且存在导致大规模个人信息泄露的重大风险。2024年1月，该局依据《数据安全法》第四十五条等规定，对其作出责令改正、警告并处人民币80万元罚款的行政处罚决定。A公司未申请行政复议或提起诉讼，处罚决定生效。 **法律分析** 本案核心争议并非具体违法情形的定性（如是否构成“非法获取数据”），而在于：行政机关以《数据安全法》为依据作出行政处罚，其合法性基础是否可直接溯源于该法**第一条**所确立的立法目的？换言之，**第一条能否作为行政执法的规范依据？** 答案是否定的。根据行政法基本原理，行政行为必须有明确的**授权性或义务性规范依据**，即“法律保留原则”要求，设定公民义务、赋予行政机关权力，须以法律条文中的具体行为模式（如“应当”“不得”“由……负责”）为前提。而《数据安全法》第一条系**立法目的条款**，其功能在于阐明本法的价值取向与制度定位，属“宣示性规范”，不直接创设权利义务，亦不提供执法裁量基准。 但该条对本案具有不可替代的**解释性与统摄性功能**：其开宗明义将“保障数据安全”“保护个人、组织的合法权益”“维护国家主权、安全和发展利益”列为并列目标，为整部法律的制度设计与执法尺度提供了价值坐标。正因如此，执法机关在适用第四十五条“未履行数据安全保护义务”的罚则时，需结合第一条所强调的“国家安全”与“个人权益”双重维度，综合判断A公司行为的危害程度——既非仅关注技术漏洞本身，亦非孤立看待单个用户授权瑕疵，而是将其境外传输敏感生理数据、长期缺失基础防护等行为，置于“威胁国家数据主权”与“系统性侵害用户健康隐私权益”的双重语境下予以评价，从而支撑80万元罚款这一裁量结果的实质正当性。 **案件处理结果与启示** 本案以行政处罚结案，A公司完成整改并通过复核。其典型意义在于：首次在省级行政执法实践中，将《数据安全法》第一条所承载的多元法益目标，实质性嵌入违法性判断与处罚裁量全过程，凸显了数据安全领域“目的—规范—裁量”三位一体的行政法治逻辑。启示在于：数据安全监管绝非技术合规的简单对标，而是以立法目的为“灵魂”，统合技术标准、管理义务与法律责任的系统性治理。 **律师建议** 对企业而言，切勿误读第一条为“无约束力的口号”。恰恰相反，**第一条是穿透式合规审查的起点**： 1. **识别义务来源**：须逐条对照第二章“数据安全与发展”、第三章“数据安全制度”中“应当”“不得”等强制性表述，锁定自身数据处理活动对应的具体义务； 2. **回溯目的校准**：在制定数据分类分级规则、跨境传输方案、应急预案时，主动反问：该措施是否切实服务于第一条所列任一目标？例如，对健康数据实施高于一般个人信息的加密等级，即是对“保护个人合法权益”与“保障数据安全”双重目的的具象落实； 3. **预判执法逻辑**：行政机关在裁量时必然援引第一条进行价值权衡。企业若仅满足形式合规（如签署格式化用户协议），却忽视对敏感数据的实质保护投入，仍可能被认定为“未履行义务”，面临从严处罚。 数据安全不是成本项，而是以立法目的为罗盘的战略投资——唯有将第一条的宏大叙事，转化为每一行代码、每一份协议、每一次跨境传输中的具体实践，方能在行政监管中真正筑牢合规底线。