9月14日，国家网信办发布关于修改《中华人民共和国网络安全法》的决定(征求意见稿)(以下简称《征求意见稿》)。

南都记者对比发现，《征求意见稿》多处在情节严重的处罚措施基础上，增加了“情节特别严重”的处罚情形，而最高罚款额度基本都将上一年度营业额5%包含在内，与个人信息保护法的处罚水平“拉齐”。

专家认为，增加罚款额度的规定一方面增加了网络运营者的违法成本，另一方面扩大了执法部门的自由裁量权，建议进一步明确行政处罚的程序和具体的处罚基准。

1

拟统一罚款额度，专家：扩大执法部门自由裁量权

据了解，国家网信办会同相关部门起草了《关于修改〈中华人民共和国网络安全法〉的决定(征求意见稿)》，现向社会公开征求意见，意见反馈截止时间为2022年9月29日。

国家网信办方面表示，为做好网络安全法与《中华人民共和国行政处罚法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等新实施的法律之间衔接协调，拟对网络安全法作出修改。

南都记者注意到，《征求意见稿》调整了违反网络运行安全保护义务或者导致危害网络运行安全等后果的行为的行政处罚种类和幅度。

具体而言，2017年施行的网络安全法对违反上述规定行为的企业的罚款分为三种罚款幅度：1~10万、5~50万、10万~100万，《征求意见稿》的罚款幅度则统一为100万以下罚款。对此情况下的主管或责任人的罚款则由5千~5万、1万~10万改成1万~10万。

对外经贸大学数字经济与法律创新研究中心主任许可表示，此前有观点认为5万、10万的罚款对大公司来说缺乏威慑力，这种修改一方面可以增加网络运营者的违法成本，形成有力威慑，推动网络安全法的实施和落地。

但另一方面，他认为，这种做法也会扩大执法部门的自由裁量权，100万以下的罚款标准也意味着执法部门既可以罚5万，也可以罚50万或100万。而自由裁量权过大不可避免地丧失确定性，这就需要配合更加细致的行政处罚基准。

同时，他也表示，自由裁量权扩大需要警惕地方逐利性执法。在经济下行的背景下，一些地方可能会通过罚款去创收，鉴于网络服务的跨地域性，还有可能出现跨地域的“逐利性执法”。

北京高勤律师事务所合伙人王源也有类似观点。她认为，这样的变化意味着提高了网信部门等的自由裁量权，对不同性质和程度的违法行为的执法解释空间会更大。同时，网信部门有必要在此后出台一份细化的裁量基准，以便于地方网信更好地落实。

“网信执法要依靠基层区级网信部门，如果没有具体的标准，各地基层执法对同一性质的违法行为处罚力度会很不一样，在一万到十万，再到一百万和五千万元之间的罚款要再细分情节——对怎么罚有一个可操作的具体规定，体现比例原则。”

此外，行政处罚法将主观过错纳入是否给予处罚的考量之中，如果可以证明没有主观过错，那么可以免罚，网信部门对于免罚的情形也可以给出免罚清单。

在北京师范大学互联网研究院院长助理、中国互联网协会研究中心副主任吴沈括看来，通过提高处罚力度来提高包括企业在内的各主体合规意识很有必要。此外，这样修订有利于网络安全法与数据安全法、个人信息保护法以及其他行政法规在处罚力度上保持总体上的协调，避免出现法规回避、法规有意选择的情况以及处罚层面的法律漏洞，“这也反映出目前我国整体法律制度的变迁。”

2

多处拟新增罚款上限：上一年度营业额5%

值得注意的是，包括前文所属条款在内，《征求意见稿》还在多处增加了“情节特别严重”的处罚情形，而最高罚款额度基本都将上一年度营业额5%包含在内。

比如针对违反网络运行安全保护义务或者导致危害网络运行安全等后果的行为增加了针对“情况特别严重”的处罚措施：罚款额度最高可达5千万或上一年度营业额5%，还可能被责令停止相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照;针对主管或责任人的罚款则为10万以上100万以下，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员或从事网络安全管理和网络运营关键岗位的工作。

《征求意见稿》第六十八条和第七十条也都增加了类似条款，规定针对违反规定的网络运营者，最高可处5千万元或上一年度营业额5%的罚款。

中国社科院法学研究所副所长周汉华曾对南都记者表示，除了反垄断法外，这么高额的罚款在我国法律中是前所未有的力度。中国人民大学法学院教授张新宝也曾提到，按照上一年度营业额5%，有的企业算下来可能达到几百亿，有较大的威慑作用。

吴沈括认为，此次增加了针对极端、突发、非常规网络安全侵害情形的处罚规定，比如针对各特定种类的网络信息设施实施大规模、长时期、大范围的破坏行动就可能属于“情况特别严重”。他指出，这是与数据安全法、个人信息保护法保持立法上一致的体现，通过按比例处罚的方式，实现处罚强度与业务规模、业务影响相匹配的效果。

除了直观上实现了与个人信息保护法的处罚水平“拉齐”，王源还提到，此举也扩张了这种高额处罚的适用情形。不仅违反关键信息基础设施的有关规定可以适用，其他违反网络安全法的很多情形也可以适用，成为了一种普遍性的罚则。后续数据安全法很有可能也会按照这个思路进行提高处罚额度的修改。

至于何为情节严重以及情节特别严重，许可建议进一步明确，行政处罚须遵循比例原则，确保处罚与违法行为的事实、性质、情节以及社会危害程度相当，给行政相对人可预见的合理预期，最终推动企业主动合规。希望未来网信部门进一步明确行政处罚的程序和具体的处罚基准，以落实《行政处罚法》第5条下的公开、公正和比例原则。

值得一提的是，另外，在征求意见稿的规定中，违反网络安全法第四十九条——网络运营者未建立投诉、举报制度，也有可能被处上一年度营业额百分之五以下罚款。对此，王源建议，对于不同性质的违法行为，还是要考虑危害程度，包容审慎，符合比例原则。压低违法门槛会导致普遍性违法和选择性执法。

她举例解释，网络安全法原规定违反等级保护制度最高罚款十万元，违反关键信息基础设施保护制度最高罚款一百万元，“这是有梯度的，征求意见稿则放到一起处罚。”

3

法律法规没有规定的，拟由有关主管部门责令改正

南都记者还注意到，《征求意见稿》在第七十条规定的基础上增加了法律、行政法规没有规定的情形：由有关主管部门责令改正，给予警告、通报批评，没收违法所得;情节严重最高可处一百万元罚款，吊销营业执照等;情节特别严重的，最高可处5千万元或上一年度营业5%的罚款，吊销营业执照等;同时，对主管人员或其他责任人一定期限内禁止从业。

第六十八条也在“对法律、行政法规禁止发布或者传输的信息未停止传输、采取消除等处置措施、保存有关记录的，由有关主管部门责令改正，情节严重最高处50万元罚款”的基础上，增加了“不按照有关部门的要求对网络存在较大安全风险和发生安全事件采取措施的，由有关主管部门责令改正等;情节特别严重，最高处5千万元或上一年度营业5%的罚款。”

南都记者对比修改前后的条文注意到，《征求意见稿》针对法律法规没有规定的情形，规定由有关主管部门责令改正、情节严重处以罚款等;同时增加了针对网络运营者不按照有关部门要求采取措施的处罚情形。

何为有关部门以及有关主管部门?根据网络安全法的规定，国家网信部门负责统筹协调，工信、公安等机关也在各自职责范围内负责网络安全保护和监督管理工作。

吴沈括认为，这一要求主要是针对当下日益复杂的网络信息内容生态。他认为，要对当下的网络生态进行治理，法律、行政法规的规定相对有限。面对实际情况，增加监管机关确认的情形有利于提高应对非典型场景的处置能力。

不过，在许可看来，近年来网信部门出台的《网络信息内容生态治理规定》《互联网用户公众账号信息服务管理规定》等规定并非法律法规，而是属于部门规章。可以说，这种修改方式相当于把违反部门规章的行为也纳入了处罚之中。

他认为，尽管如此，“法律法规没有规定的，由主管部门责令改正”这一修改有较大的歧义，有可能在实践中被扩张解释，被误解为主管部门可以在没有法律法规规定下执法，违反依法行政的基本原则，建议删除此条款。

王源也认为该条款值得商榷。“根据行政处罚法规定，在没有法律或者行政法规的依据时，相关部门只能给予警告、通报批评，但不能没收违法所得，进行一定数额的罚款也有很严的限制。”在她看来，这一规定已经超出了行政处罚法规定的权责范围。

关键词： 网安法首次修订 增加罚款额度 数字经济如何触发 网信部门处罚标准 行政处罚法