本报记者 樊三彩
当前，数据跨境流动已经成为全球资金、信息、技术、人才、货物等资源要素交换、共享的基础。在4月4日中美商贸工作组第一次副部长级会议上，美国官员向中国提出影响美国公司的商业和市场准入问题，据有关媒体报道，跨境数据流动为其中一项重要内容。
此前，2023年中央经济工作会议强调，要对标国际高标准经贸规则，认真解决数据跨境流动等问题；2024年政府工作报告再次明确 “推动解决数据跨境流动等问题”，足见数据跨境流动已经上升为一项国家级战略工程。3月22日，国家网信办正式印发实施的《促进和规范数据跨境流动规定》(下称《规定》），更是以法规形式表明了我国在保障国家数据安全的前提下，充分释放数据要素价值、扩大高水平对外开放的鲜明立场，也让数据跨境流动的“中国方案”再添新笔。
值得注意的是，近年来，我国已相继出台“三法一条例”（《网络安全法》《数据安全法》《个人信息保护法》和《关键信息基础设施安全保护条例》），还有自2022年9月1日起施行的《数据出境安全评估办法》、自2023年6月1日起施行的《个人信息出境标准合同办法》等，均对数据出境活动做出明确规定，数据出境安全管理的制度体系已基本建立。
那么，此时《规定》出台的必要性、特殊性为何，又有哪些新的亮点？围绕这些问题，3月31日，《中国冶金报》记者独家专访了南京邮电大学信息产业发展战略研究院首席教授、浙江大学网络空间安全学院双聘教授，中国科协决策咨询首席专家，工信部信息通信经济专家委员会委员，中国行为法学会数据要素决策咨询委员会主任王春晖。
出台必要性：
“促进”还是“规范”？
数据跨境流动，主要指在中国境内的数据处理者通过网络及其他方式（如物理携带），将其在中国境内运营中收集和产生的数据，通过直接提供或开展业务、提供服务和产品等方式提供给境外组织或个人的一次性活动或连续性活动。
“数据跨境流动对全球经济增长有明显的拉动效应。”王春晖介绍，据经济合作与发展组织（OECD）测算，数据流动对各行业利润增长的平均促进率为10％，在数字、金融等行业中可达到32％。
从国际上看，欧美等发达国家非常重视企业、行业协会、科研院校在数据要素市场中的主体作用，并以开放政府数据的方式扩大数据市场的体量规模，还出台了各种隐私保护法律和政策以引导非公共数据的有条件共享和交易。如美国主要将商业利益导向作为数据要素市场化的基本准则，提倡数据自由流动，形成了以数据经纪商为核心的交易模式。欧盟拥有严格的数据产权保护制度和数据隐私保护法律法规体系，特别是GDPR（《通用数据保护条例》）对欧盟境内个人数据向欧盟境外传输有着极其严格的管控措施，但也提供多种途径实现个人数据的跨境传输。欧盟最早推行全球数据要素市场化，承认政府机构拥有相关公共数据的权属，并允许政府部门通过提供有偿数据服务实现适当盈利。同时，欧美国家的行业协会、科研院所和第三方服务机构等非“数商”主体也在积极参与数据要素市场的建设。
“我国正在申请加入的CPTPP（《全面与进步跨太平洋伙伴关系协定》）和DEPA（《数字经济伙伴关系协定》）均鼓励数据跨境自由流动，仅保留了‘合法政策目标’这一例外，即成员方为实现合法政策目标，可以对数据流动实施限制，但应确保不会对贸易造成不必要的阻碍、限制的程度应适度。”王春晖表示，《规定》对标上述高标准国际贸易规则提出，只要不包含个人信息或者重要数据，国际贸易、学术合作、跨国生产制造和市场营销，将不再需要进行安全评估，这项规定几乎涉及数据出境的所有场景。
从国内看，中共中央国务院“数据二十条”明确鼓励探索数据跨境流动与合作的新途径、新模式。王春晖认为，《规定》是我国探索新型跨境数字贸易活动的重要依托和安全保障，也为探索数据要素的国际合作提供了重要途径。
王春晖告诉《中国冶金报》记者，正式实施的《规定》与2023年9月28日公布的“征求意见稿”在名称上有重要调整。“征求意见稿”名称是《规范和促进数据跨境流动规定》，《规定》名称将“促进”调整在“规范”之前。“这个先后顺序的调整表明，我国在数据跨境流动领域的政策和立法趋势是‘促进’数据跨境流动，同时在流动中不断加以‘规范’。”王春晖认为。
最突出亮点：
重要数据出境严了还是松了？
《规定》针对影响数据跨境流动中存在的一些主要问题进行了规范，如明确重要数据出境安全评估申报标准，明确免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的数据出境活动条件，设立自由贸易试验区负面清单制度，延长数据出境安全评估结果有效期等。
“在个人信息出境免予申报数据出境安全评估、订立个人信息出境标准合同和通过个人信息保护认证方面，与《数据出境安全评估办法》《个人信息出境标准合同办法》相较，《规定》不仅扩大了范围，还明显放宽了出境的条件。”王春晖认为。
《规定》明确提出，符合以下4种情形下之一，只要不包括重要数据，均可以免予申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证。一是为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的情形。二是按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的情形。“这里应当注意，‘依法制定的劳动规章制度和依法签订的集体合同’应当同时具备。”王春晖提醒道。三是在紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的情形。“比如中国公民在境外旅游遭到恐怖袭击等。”王春晖举例说明。四是关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的情形。
“第四种情形与《数据出境安全评估办法》的规定有明显不同。”王春晖介绍。
一是，《数据出境安全评估办法》的起算时间是“自上年1月1日起”，《规定》则调整为“自当年1月1日起”。
二是，《数据出境安全评估办法》要求一般数据处理者向境外提供 “自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息”的，需要通过所在地省级网信部门向国家网信部门申报数据出境安全评估，而《规定》则提出“累计向境外提供不满10万人个人信息”，只要不含敏感个人信息，就可以免予申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证。
王春晖指出：“以上豁免的规定几乎涉及数据出境的所有场景，如跨境电商、跨境旅游、跨境劳务、境外留学、跨境数字贸易等，极大地提升了现行数据跨境传输制度的操作性，尤其是降低了中小企业数据出境的合规成本和难度。”
三是，《数据出境安全评估办法》和《规定》对“重要数据”的定义不同。鉴于“重要数据”必须实施强制性安全评估，我国《数据出境安全评估办法》对“重要数据”给出定义：“指一旦遭到篡改、破坏、泄露或者非法获取、非法利用等，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。” 以上的定义侧重于危害结果，范围边界模糊且宽泛，在安全评估时很难判断。“《规定》最突出的亮点是解决了重要数据出境安全评估申报的困惑，明确提出‘未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估’。”王春晖表示。
自贸试验区设负面清单：
追求自由还是安全？
《规定》明确了“设立自由贸易试验区负面清单制度”，且突破性地提出自由贸易试验区在国家数据分类分级保护制度框架下，可以自行制定区内负面清单，经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案。自由贸易试验区内数据处理者向境外提供负面清单外的数据，可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
目前，我国自贸试验区建设过程中，部分自贸试验区已陆续在其总体方案中对数据跨境流动做了制度性安排。2020年8月，商务部提出在北京、上海、海南等条件相对较好的自贸试验区（港）开展数据跨境传输安全管理试点。2023年8月，国务院印发的《关于进一步优化外商投资环境 加大吸引外商投资力度的意见》指出，支持北京、天津、上海、粤港澳大湾区等地在实施数据出境安全评估、个人信息保护认证、个人信息出境标准合同备案等制度过程中，试点探索形成可自由流动的一般数据清单，建设服务平台，提供数据跨境流动合规服务。
“上面提到的‘试点探索形成可自由流动的一般数据清单’，就是探索制定数据跨境负面清单。”王春晖表示，为数据出境设立负面清单（Negative List），相当于设定了数据出境领域的“黑名单”，即列明了在国家数据分类分级制度框架下禁止出境的数据，“《规定》赋予自由贸易试验区数据出境相当大的自由度，只要没有列入负面清单的数据，均可以自由出境，极大地提升了在自由贸易区数据出境的便利和效率。”
此外，《规定》明确，数据出境安全评估的结果有效期3年，有效期届满，需要继续开展数据出境活动且未发生需要重新申报数据出境安全评估情形的，经国家网信部门批准，可以延长评估结果有效期3年。
王春晖分析称，以上规定具有如下特点。一是自评估结果出具之日起，通过数据出境安全评估的结果有效期为3年，相比《数据出境安全评估办法》中的2年，增加了1年的有效期；二是增加了数据处理者可以申请延长评估结果有效期的规定，即在有效期届满时，如果未发生需要重新申报数据出境安全评估的情形，数据处理者可以在有效期届满前60个工作日内通过所在地省级网信部门向国家网信部门提出延长评估结果有效期申请；三是申请延长评估结果有效期，需经国家网信部门批准，如果申请获批，可以延长评估结果有效期3年。“这样的规定极大地节约了数据处理者评估的成本。”王春晖表示。
《中国冶金报》（2024年04月09日 04版四版）
