上海版数据跨境一般数据清单政策解读

2024年5月17日，上海临港新片区管委会（下称“临港管委会”）正式发布《中国（上海〉自由贸易试验区临港新片区生物医药领域数据跨境场景化一般数据清单（试行）》、《中国（上海〉自由贸易试验区临港新片区智能网联汽车领域数据跨境场景化一般数据清单（试行）》、《中国（上海〉自由贸易试验区临港新片区公募基金领域数据跨境场景化一般数据清单（试行）》三份文件（以下合称“上海版正面清单政策”），规定生物医药、智能网联汽车、公募基金三个领域的一般数据清单内数据在履行备案程序并符合相关管理要求的情况下自由出境。

即，与前几天天津自贸区发布的“负面清单”政策不同，上海发布的是“正面清单”。结合相关立法、监管趋势及行业实践，汇业律师事务所黄春林律师团队简要解读如下，仅供参考。

2023年8月13日，国务院正式发布《关于进一步优化外商投资环境 加大吸引外商投资力度的意见》（下称“外资24条”），明确提出支持北京、天津、上海、粤港澳大湾区等地试点探索形成可自由流动的“一般数据清单”。

2024年2月8日,临港管委会发布了《临港新片区数据跨境流动分类分级管理办法(试行)》，再次明确了建立“一般数据清单”。

2024年3月22日，国家网信办发布了《促进和规范数据跨境流动规定》，明确自贸区可以自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单，即“负面清单”。

结合前述规定及本次三份文件，“一般数据清单”是与“负面清单”相对应的概念，是指不含核心数据、重要数据的其他数据，无需履行出境安全评估、标准合同备案及保护认证三种标准合规责任，在向管委会备案并符合相关管理要求的情况下，可以自由出境，因此通常也被称为“正面清单”。自贸区的“一般数据清单”备案，也通常被称为中国数据出境的“第四条路径”。

根据上海版正面清单政策规定，要适用“第四条路径”的企业必须满足如下两个前提条件：

（1）企业必须登记注册在上海自贸区及临港新片区范围内，且不属于CIIO。

（2）目前，出境数据必须为生物医药、智能网联汽车、公募基金3个领域、11个子场景、64个数据类、600余个数据项范围内，且这些范围不含有《促进和规范数据跨境流动规定》未豁免申报的场景涉及的个人信息，也不属于任何被明确识别为重要数据的目录内。

（3）数据跨境流动相关活动开展在临港新片区（不含片区外的上海自贸区其他地块），例如出境相关的网关、线路、服务器等资源在临港新片区。

我们理解，以上适用范围，要严于《临港新片区数据跨境流动分类分级管理办法(试行)》规定的适用范围。

结合区内实际业态分布，首批上海版正面清单包含生物医药、智能网联汽车、公募基金三个领域。后续，上海将结合法规更新及市场需求等情况，实时更新清单范围，具体领域将逐步扩大到银行国际贸易融资保函业务、国际贸易结算信用证业务、再保险业务、航运业务、消费零售等领域。

（一）生物医药

结合前期安全评估及标准合同备案实践，根据前期区内企业调研情况，首批上海版正面清单中的生物医药领域涉及5个子场景、30个数据类、148个数据项。具体的：

业界普遍关注的HCP管理相关的数据，并未列入本版正面清单范围。

（一）智能网联汽车

结合前期安全评估及标准合同备案实践，根据前期区内企业调研情况，首批上海版正面清单中的智能网联汽车领域涉及4个子场景23个数据类158个数据项。具体的：

业界普遍关注的OTA相关的数据，以及其他被纳入汽车重要数据管理的数据（含个人信息）等并未列入本版正面清单范围。此外，VIN号在本场景中应无法直接或间接识别到个人；本场景涉及的视频、图像数据不应包含人脸、车牌等个人信息。

（二）公募基金

结合前期安全评估及标准合同备案实践，根据前期区内企业调研情况，首批上海版正面清单中的公募基金领域涉及市场研究（产业研究报告、宏观经济分析报告）、内部管理（结算管理数据、供应商管理数据、投资者管理数据、风险管理数据、合规审计数据等）2个子场景11个数据类344个数据项。

根据《临港新片区数据跨境流动分类分级管理办法(试行)》及本次三个文件要求，符合条件的区内企业的正面清单内数据可以自由流动，但必须符合下列合规要求：

（1）通过在线系（https://sjkj.lingang.gov.cn/）向临港管委会提交备案，备案材料包括但不限于备案申请表、出境数据情况、与境外接收方签订的法律文件、自律合规承诺等；备案过程中，仍然可能需要根据要求补正、补充部分资料。

（2）备案成功后，企业还应对出境的一般数据进行存证和备份（目前暂不清楚是否需要向管委会指定的机构办理），备份时间不少于1年。

（3）此外，备案的有效期为1年；1年到期前2个月内，企业需要办理备案延续手续。期间涉及备案信息变更的，还应当办理备案变更手续。

（4）临港管委会将对企业的数据跨境活动进行日常监督检查以及抽查。

（5）应当依法开展数据出境风险自评估，主动识别申报重要数据。

（6）企业还应当根据《网络安全法》、《数据安全法》、《个人信息保护法》等规定，依法开展网络安全等级保护、个人信息保护影响评估、与境外接收方签署数据处理协议、单独同意，等等。

（7）《临港新片区数据跨境流动一般数据清单操作指南(试行)》 规定的其他管理要求；等等。