浙江省网信办发布自由贸易试验区数据出境负面清单管理办法和2024版负面清单

2025年4月10日，为贯彻落实党的二十届三中全会关于“建立高效便利安全的数据跨境流动机制”的部署要求，依据《促进和规范数据跨境流动规定》等有关文件规定，浙江省互联网信息办公室、省商务厅、省数据局会同有关部门制定了《中国(浙江)自由贸易试验区数据出境负面清单管理办法(试行)》、《中国(浙江)自由贸易试验区数据出境管理清单(负面清单)(2024版)》(点击阅读原文查看全文)。现正式印发，请严格按照管理办法有关要求，规范使用负面清单。

中国(浙江)自由贸易试验区数据出境负面清单管理办法(试行)

第一章总则

第一条为了保障数据安全，保护个人信息权益，促进数据依法有序流动，提升中国(浙江)自由贸易试验区(以下简称浙江自贸试验区)数据出境管理能力及便利度，根据《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》、国务院《关于进一步优化外商投资环境加大吸引外商投资力度的意见》和国家互联网信息办公室《促进和规范数据跨境流动规定》等政策法规，结合浙江自贸试验区产业领域实际，制定本办法。

第二条浙江自贸试验区内开展数据出境负面清单制定审批和使用管理等活动，适用本办法。

第三条负面清单管理应坚持以下原则：

(一)坚持安全底线。负面清单管理应当遵守法律法规有关规定，建立负面清单安全管理机制和技术保障能力，在保障数据安全和个人信息权益的前提下,推动数据依法有序流动。

(二)促进企业发展。充分考虑企业数据出境实际需求，科学合理制定须纳入负面清单的出境数据范围，便利化企业数据出境活动，促进跨境业务发展。

(三)分批分类管理。负面清单应按照行业、领域分批次制定，负面清单中的数据项应采取分类管理，按照敏感程度可分为适用数据出境安全评估的数据、适用个人信息出境标准合同备案或个人信息保护认证的数据。

第二章职责及分工

第四条按照国家数据跨境传输安全管理制度要求，浙江省互联网信息办公室、浙江省商务厅、浙江省数据局、浙江省公安厅、浙江省国家安全厅统称省级管理部门，负责建立浙江自贸试验区数据出境负面清单管理体系并统筹协调相关事宜，指导监督浙江自贸试验区范围内的数据跨境流动活动，分行业、分领域、分批次推动开展负面清单制定工作，履行报审及备案流程，建立负面清单动态管理机制等。

第五条浙江自贸试验区舟山片区、宁波片区、杭州片区和金义片区的管理部门及属地相关职能部门统称各自贸片区，负责组织本自贸片区数据处理者开展负面清单实施工作，配合省级管理部门制定负面清单并出台配套实施细则，明确负面清单使用对象及申报流程，指导数据处理者开展使用申请和备案工作，加强数据出境活动的监督管理，形成事中存证与事后监管能力等。

第六条本办法所称数据处理者，是指浙江自贸试验区内登记注册的企业、事业单位、机构、团体或其他组织。数据处理者应当按照相关规定识别、申报重要数据。按照各自贸片区相关管理要求实施出境，并配合省级管理部门、行业主管部门、各自贸片区开展跟踪核验和监督检查等工作。

第三章负面清单制定及管理

第七条负面清单制定主要包括以下工作流程：

(一)需求调研。聚焦浙江自贸试验区产业发展和数据处理者实际需求，组织筛选重点行业、领域开展需求调研，从业务场景、类别、量级、字段等方面摸排掌握数据出境活动情况，作为负面清单制定依据。

(二)重要数据识别。在浙江省数据安全工作协调机制的统筹协调下，浙江省级各行业主管部门依据《数据安全法》及相关法律、法规规定，按照相关重要数据识别标准，组织行业数据处理者对数据进行分类分级，形成浙江省自贸试验区重要数据目录，并按程序向国家数据安全工作协调机制办公室备案。行业主管部门已公开发布或已在行业内部发布本行业、本领域数据分类分级标准规范的，应当按照行业规范识别重要数据;行业主管部门未明确判定标准的，按照《中国(浙江)自由贸易试验区数据分类分级参考规则》识别重要数据。

(三)业务分析。结合调研结果选取行业特性强、出境数据普遍的业务场景，对数据出境的规模、范围和频率进行分析，为风险可控的数据出境业务场景合理设置数据项及数据量级。

(四)论证与征求意见。邀请行业、法律、数据安全等领域专家开展评审论证，并征求行业主管部门、有关职能部门意见，进一步修订完善。

(五)履行审批报备流程。负面清单经浙江省委网络安全和信息化委员会批准，由浙江省互联网信息办公室、浙江省数据局联合报国家网信部门、国家数据管理部门备案。

第八条负面清单应至少包含以下两方面：

(一)需要通过数据出境安全评估的数据清单，主要包括：

1.关键信息基础设施运营者向境外提供个人信息或者重要数据;

2.关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者向境外提供达到负面清单要求的申报数据出境安全评估的个人信息。

(二)需要通过个人信息出境标准合同备案、个人信息保护认证出境的数据清单，主要包括：

关键信息基础设施运营者以外的数据处理者向境外提供达到负面清单要求订立个人信息出境标准合同或者通过个人信息保护认证的个人信息。

第九条负面清单实行动态管理。省级管理部门应对已出台的负面清单采取动态管理模式，跟踪评估实施情况和安全风险，统筹开展负面清单修订工作。对于尚未出台负面清单的行业、领域，应及时研判数据出境需求，对负面清单进行动态更新和扩充，研究制定相应行业、领域负面清单，不断完善浙江自贸试验区数据跨境流动管理政策体系。

第四章负面清单实施

第十条数据处理者使用负面清单出境数据，遵循以下实施流程：

(一)提交申请。数据处理者按照所在自贸片区负面清单配套实施细则要求，向相应的自贸片区提交申请，申请材料包括注册所在地、所属行业、数据处理者经营情况、近2年在业务经营活动中受到行政处罚和有关主管监管部门调查及整改情况等。

(二)提交备案。通过审核的数据处理者应按照配套实施细则提交备案材料。备案材料包括数据出境业务场景、出境数据目录、出境数据规模、境外接收方、出境数据适用负面清单的理由及适用负面清单中的数据子类等。

(三)合规出境。完成备案的数据处理者，可按照各自贸片区出具的研判意见开展数据出境活动，并配合省级管理部门、各自贸片区开展监督、核验等工作。

(四)备案变更。已完成备案的数据处理者数据出境情况发生变更时，数据处理者应按照配套实施细则判断变更情形是否属于重大变更，重大变更情形包括数据出境目的、方式或范围发生重大变化、出境数据量级大幅度增加、境外接收方发生重大变化或数据处理者与境外接收方法律文件变更等可能导致影响出境数据安全的情形。如确属重大变更的，应及时向相关自贸片区重新申请备案。如未发生重大变更，数据处理者可采用便捷变更流程，向各自贸片区登记变更内容。

第十一条各自贸片区应重点开展以下工作：

(一)各自贸片区依据配套实施细则对数据处理者提交的申请材料进行审核，审核结果应在5个工作日内书面告知数据处理者，并协助通过审核的数据处理者开展负面清单使用备案。

(二)各自贸片区在数据处理者提交备案材料后，于5个工作日内出具出境数据是否适用负面清单的初步意见，并报省级管理部门确认后，向数据处理者反馈意见结果。出境数据在负面清单内的，各自贸片区指导数据处理者申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证;出境数据在负面清单外的，由各自贸片区明确告知数据处理者可按照负面清单配套实施细则安全有序流动。出境数据不适用负面清单的，按照现行法律法规执行。

(三)各自贸片区应向数据处理者提供负面清单咨询服务，结合数据跨境流动总体态势情况，不断优化和改进本区域内数据出境便利化服务举措。

第五章监督管理

第十二条省级管理部门应严格落实国家及行业数据安全管理要求，加强对浙江自贸试验区数据出境活动的指导监督，建立数据出境活动风险研判、安全事件发现通报机制，统筹开展安全风险监测预警能力建设，强化负面清单使用过程中的事前事中事后全链条全领域监管。

第十三条各自贸片区应组织专业技术机构就数据实际出境情况与备案材料进行一致性抽验，对于数据处理者在数据出境活动中未严格履行相关承诺，或出现瞒报、虚报、故意造成实际出境数据与备案数据不一致等违规行为的，各自贸片区可责令其暂停数据出境活动，要求限期整改，整改完成后重新履行负面清单准入备案程序;情节严重的，将依法依规追究其相关责任，终止其数据出境活动，对其采取重点监管措施，并及时向省级管理部门上报有关情况。

第十四条省级管理部门联合行业主管部门对各自贸片区、数据处理者落实本办法要求情况进行监督检查。发现数据处理活动存在较大安全风险的，应当立即采取补救措施，消除隐患。对影响或可能影响国家安全的出境数据，及时更新纳入负面清单。

第十五条数据处理者违反有关法律法规，依法追究其法律责任。

第六章附则

第十六条负面清单涉及的行业领域中，如涉及《中华人民共和国出口管制法》规定的管制物项相关技术资料或《中华人民共和国对外贸易法》规定的技术出口管理事项等数据出境的，按照《中华人民共和国出口管制法》《中华人民共和国对外贸易法》等法律、法规、规章规定执行。

第十七条本办法未涉及的行业、领域的数据分类分级参考规则，按照有关规定和标准执行。

第十八条负面清单未涉及的行业、领域，按《数据出境安全评估办法》《个人信息出境标准合同办法》《促进和规范数据跨境流动规定》等国家相关规定执行，属于《促进和规范数据跨境流动规定》第三条、第四条、第五条第一款第一项至第三项、第六条规定情形的，遵照其规定执行。

第十九条其他自由贸易试验区正式发布的负面清单，浙江自贸试验区可参照规定执行。

第二十条本办法由浙江省互联网信息办公室会同浙江省商务厅、浙江省数据局、浙江省公安厅、浙江省国家安全厅负责解释。

第二十一条本办法的实施细则另行制定。

第二十二条本办法自发布之日起施行。