原创|《促进和规范数据跨境流动规定》解读

 序

为落实《网络安全法》《数据安全法》《个人信息保护法》等法律法规，我国陆续出台《数据出境安全评估办法》《个人信息出境标准合同办法》等部门规章，构建我国数据出境安全管理框架。《规定》基于我国数据跨境管理实践经验，统筹发展与安全，适度优化调整了数据出境安全评估、个人信息出境标准合同及个人信息出境保护认证等三大机制的适用范围，便利数据跨境流动，降低企业合规成本。同时，《规定》加强与《数据出境安全评估办法》和《个人信息出境标准合同办法》的衔接，明确后两者相关内容与《规定》不一致的，依照《规定》执行。

2022年12月国家出台《中共中央 国务院关于构建数据基础制度更好发挥数据要素作用的意见》，提出针对跨境电商、跨境支付、供应链管理、服务外包等典型应用场景，探索安全规范的数据跨境流动方式。本次《规定》落实相关要求，明确了免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的六种数据出境活动。具体包括：一是国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的。二是在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的。三是为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的。四是按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的。五是紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的。六是关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。其中，第三种至第六种条件所称向境外提供的个人信息，不包括被相关部门、地区告知或者公开发布为重要数据的个人信息。

相较《数据出境安全评估办法》第四条的内容，《规定》取消了“处理100万人以上个人信息”这一要求；同时将“自上年1月1日起累计向境外提供10万人个人信息”调整为“自当年1月1日起累计向境外提供100万人以上个人信息”，从数量和累计周期两个维度收紧了定量标准，大幅提高了数据出境安全评估的适用阈值。同理，《规定》也优化了个人信息出境标准合同及个人信息保护认证的适用范围，极大程度提升了我国数据出境制度的审慎性、包容性和科学性。

值得注意的是，《规定》回应了企业数据跨境实务中重要数据认定这一合规难题，明确未被相关部门、地区告知或者公开发布为重要数据的，企业不需要作为重要数据申报数据出境安全评估。

相较《数据出境安全评估办法》第十四条，《规定》将数据出境安全评估结果有效期延长至三年。此外，在《规定》发布之际，中央网信办同时发布《数据出境安全评估申报指南（第二版）》和《个人信息出境标准合同备案指南（第二版）》，对企业需要提交的相关材料进行了优化简化，以进一步方便企业开展数据出境安全评估申报工作和个人信息出境标准合同备案工作。

《规定》明确自由贸易试验区（以下简称“自贸区”）可以自行制定数据跨境流通中的负面清单，负面清单外的企业数据无需申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证，给予了自贸区积极探索数据跨境流动便利机制的制度空间。

《规定》在给予自贸区充分自由度的同时，明确要求结合国家数据分类分级保护制度制定负面清单，充分考虑数据的重要性、敏感性；并要求负面清单在经省级网络安全和信息化委员会批准后，除了报国家网信部门备案之外，还需报国家数据管理部门备案。

此前，《数据出境安全评估办法》等部门规章与相关指南的出台为数据跨境流动实践活动提供了实施指引，但在数据出境实务中，企业仍面临重要数据如何识别、过境数据及个人主动提供个人信息是否适用数据出境管理制度等难点问题，《规定》的出台明确回应了社会普遍关切的实务难题，降低了数据出境活动的不确定性和复杂性，有利于引导社会各界形成共识，提升我国整体数据出境合规水平。

《规定》针对数据跨境流动实践中不同场景、不同主体的差异化需求，充分考虑数据出境的规模、性质、目的、区域等因素，为企业提供了更为清晰、更为灵活、更为便利的数据出境路径，在减轻企业数据出境合规压力的同时，也降低了企业数据出境合规成本。同时，中央网信办开通了专门的网站https://sjcj.cac.gov.cn，提高了申报、备案程序的数字化、信息化程度，便利了企业数据出境安全评估申报与个人信息出境标准合同备案工作。

2023年8月，国务院印发了《关于进一步优化外商投资环境 加大吸引外商投资力度的意见》，提出“探索便利化的数据跨境流动安全管理机制”，《规定》呼应前述要求，在为外资和中资企业减负的同时，也为自贸区内负面清单制度的先行先试留下了政策空间。目前我国已有21个自由贸易试验区，《规定》的出台有利于依托自贸区的开放优势，进一步优化贸易投资环境，提升我国对外开放水平。此外，随着我国“一带一路”倡议的深化推进，“数字丝绸之路”的建设发展，《规定》的出台也有利于我国与CPTPP、DEPA等国际数字经贸协定的对接，推动我国深度开展数字经贸国际合作。

结语

《规定》的出台对数据出境活动形成利好，但其仍明确要求“应当遵守法律、法规的规定，履行数据安全保护义务，采取技术措施和其他必要措施，保障数据出境安全”，因此企业的数据出境合规意识仍不可就此放松。

具体而言，企业依然应当重视日常数据安全管理与合规建设工作，不仅要做好数据出境前的企业整体数据合规建设，也要做好事中事后的数据出境持续合规，避免发生数据出境安全事件或者增加数据出境安全风险。

此外，针对具体的数据出境合规工作，企业应摸清涉及跨境的业务场景，做好出境数据资产盘点，并密切关注所属行业相关部门、地区关于“重要数据”的认定通知或发布公告，以判断是否适用或者具体适用的数据出境路径，同时积极履行告知、取得个人单独同意、进行个人信息保护影响评估等合规义务。