網(wǎng)上投稿
2023年9月28日，國家互聯(lián)網(wǎng)信息辦公室（以下簡稱“國家網(wǎng)信辦”）就《規(guī)范和促進(jìn)數(shù)據(jù)跨境流動規(guī)定（征求意見稿）》（以下簡稱《數(shù)據(jù)跨境規(guī)定》）公開征求意見?！稊?shù)據(jù)跨境規(guī)定》對于數(shù)據(jù)出境監(jiān)管的標(biāo)準(zhǔn)進(jìn)行了一定的調(diào)整，引發(fā)社會各界，特別是有數(shù)據(jù)出境活動的主體的高度關(guān)注。
《數(shù)據(jù)跨境規(guī)定》征求意見稿體現(xiàn)出什么樣的監(jiān)管趨勢？該規(guī)定與《數(shù)據(jù)出境安全評估辦法》《個人信息出境標(biāo)準(zhǔn)合同辦法》等規(guī)則的銜接關(guān)系，以及《數(shù)據(jù)跨境規(guī)定》落地后如何適用？這些問題都值得關(guān)注。
筆者認(rèn)為，《數(shù)據(jù)跨境規(guī)定》是對于《數(shù)據(jù)出境安全評估辦法》《個人信息出境標(biāo)準(zhǔn)合同辦法》等規(guī)則整改期實踐的總結(jié)，并在此基礎(chǔ)上進(jìn)一步完善了數(shù)據(jù)出境治理思路。同時，在《數(shù)據(jù)安全法》《個人信息保護(hù)法》的基礎(chǔ)上，對于若干問題進(jìn)行澄清和突破。具體如下：
一、數(shù)據(jù)出境治理思路的變化
從征求意見稿的內(nèi)容來看，主要的變化體現(xiàn)在以下三個方面：
（一）觸發(fā)評估或備案的條件從追溯向預(yù)判轉(zhuǎn)化
這一變化主要體現(xiàn)在觸發(fā)數(shù)據(jù)出境安全評估或標(biāo)準(zhǔn)合同備案的情形上，在《數(shù)據(jù)出境安全評估辦法》中，適用個人信息出境安全評估的情形包括：“自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的數(shù)據(jù)處理者向境外提供個人信息”。低于這一數(shù)量則適用個人信息出境標(biāo)準(zhǔn)合同備案。
1.《數(shù)據(jù)出境安全評估辦法》的追溯思路及擬出境數(shù)量管理
按照這一規(guī)定，觸發(fā)數(shù)據(jù)安全評估的條件是，過去一個完整年度及申請評估年度截止申請評估日的個人信息或敏感個人信息的出境數(shù)量達(dá)到一定標(biāo)準(zhǔn)。吳衛(wèi)明律師認(rèn)為，這一觸發(fā)條件，實際上是對數(shù)據(jù)處理者過去行為的“追溯”。與此同時，在數(shù)據(jù)出境申報書中，對于未來兩年擬出境的數(shù)據(jù)量也需要進(jìn)行表述。未來兩年的實際數(shù)據(jù)出境量，應(yīng)不高于申報書中申報的擬出境數(shù)據(jù)量。
按照《數(shù)據(jù)出境安全評估辦法》的流程，對于達(dá)到評估標(biāo)準(zhǔn)的數(shù)據(jù)處理者而言，實際上需要申報兩個行為。
一是過去的個人信息出境行為，該行為是觸發(fā)評估的前提。二是未來兩年的個人信息出境行為，該行為是出境評估授予出境數(shù)量額度的行為。
在實際執(zhí)行中，會出現(xiàn)一個問題：如果某數(shù)據(jù)處理者自上年1月1日起累計向境外提供的個人信息數(shù)量低于10萬人個人信息或低于1萬人敏感個人信息，按照《數(shù)據(jù)出境安全評估辦法》，是不需要申報數(shù)據(jù)出境安全評估的，而只需要按照《個人信息出境標(biāo)準(zhǔn)合同辦法》申報個人信息出境標(biāo)準(zhǔn)合同備案。
假如A企業(yè)自上年1月1日起累計向境外提供的個人信息數(shù)量低于10萬人個人信息或低于1萬人敏感個人信息，但未來兩年預(yù)期的個人信息出境數(shù)量較大；而B企業(yè)自上年1月1日起累計向境外提供的個人信息數(shù)量高于10萬人個人信息或高于1萬人敏感個人信息，但未來兩年預(yù)期的個人信息出境數(shù)量較?。荒敲淳蜁纬梢粋€矛盾，即A企業(yè)未來實際出境個人信息數(shù)量大，卻僅僅通過備案獲得了出境數(shù)量的額度；B企業(yè)未來實際出境個人信息數(shù)量小，卻需要通過安全評估獲得出境數(shù)量的額度。
顯然，在上述虛擬的案例中，評估或備案的嚴(yán)格程度，與數(shù)據(jù)出境的數(shù)量級別是不匹配的。為了清晰顯示這一區(qū)別，可見下表：
2.《數(shù)據(jù)跨境規(guī)定》的預(yù)判思路及出境數(shù)量管理
《數(shù)據(jù)跨境規(guī)定》則將未來一年內(nèi)的預(yù)計出境信息人數(shù)作為觸發(fā)數(shù)據(jù)出境安全評估或觸發(fā)個人信息標(biāo)準(zhǔn)合同備案的條件。其具體規(guī)定為：預(yù)計一年內(nèi)向境外提供1萬人以上、不滿100萬人個人信息，與境外接收方訂立個人信息出境標(biāo)準(zhǔn)合同并向省級網(wǎng)信部門備案或者通過個人信息保護(hù)認(rèn)證的，可以不申報數(shù)據(jù)出境安全評估；向境外提供100萬人以上個人信息的，應(yīng)當(dāng)申報數(shù)據(jù)出境安全評估。
這一規(guī)定強(qiáng)調(diào)的是“預(yù)計”，也就是說，看重的是未來一年的擬出境個人信息人數(shù)。從而將現(xiàn)行規(guī)則既關(guān)注過去的實際出境數(shù)量，也需要申報未來兩年出境個人信息人數(shù)的雙重因素調(diào)整為只考慮未來一年預(yù)計數(shù)量。
征求意見稿的規(guī)定方式，有利于出境監(jiān)管的數(shù)量因素與評估/備案體系更好地統(tǒng)籌協(xié)調(diào)。預(yù)計出境數(shù)量多（超過100萬人）的情況，直接申請評估；預(yù)計出境數(shù)量少的（1萬至100萬），直接進(jìn)行備案。
（二）觸發(fā)評估條件從管主體向管數(shù)量的轉(zhuǎn)化
1.《數(shù)據(jù)出境安全評估辦法》對于特定主體（100萬人）的規(guī)定
《數(shù)據(jù)出境安全評估辦法》中，關(guān)于個人信息出境安全評估的情形，包含針對特定主體的情形。該辦法第四條之（二）包含了“關(guān)鍵信息基礎(chǔ)設(shè)施運營者和處理100萬人以上個人信息的數(shù)據(jù)處理者向境外提供個人信息”。當(dāng)然，本條款里面的關(guān)鍵信息基礎(chǔ)設(shè)施，已經(jīng)明確不適用《數(shù)據(jù)跨境規(guī)定》，本文不做贅述。
對于處理100萬人以上個人信息的數(shù)據(jù)處理者向境外提供個人信息的情況，《數(shù)據(jù)出境安全評估辦法》規(guī)定必須申報數(shù)據(jù)出境安全評估，即使是僅出境一條個人信息。這一條規(guī)定，體現(xiàn)了對于處理100萬人以上個人信息的數(shù)據(jù)處理者數(shù)據(jù)安全的嚴(yán)格保護(hù)。但是，如果該主體出境的個人信息數(shù)量極少，那么從出境角度看，該種出境行為對于國家安全、社會公共利益、個人信息主體的權(quán)益損害也是有限的。如果另外一個主體，雖然處理個人信息數(shù)量遠(yuǎn)遠(yuǎn)低于100萬人，但出境的個人信息數(shù)量遠(yuǎn)大于前者卻尚未觸發(fā)10萬人或1萬人的標(biāo)準(zhǔn)，則又會造成出境行為的實際風(fēng)險與出境行為需要履行的評估或備案程序不匹配。
2.《數(shù)據(jù)跨境規(guī)定》關(guān)注實際數(shù)量
因《數(shù)據(jù)出境安全評估辦法》中關(guān)于關(guān)鍵信息基礎(chǔ)設(shè)施運營者的個人信息和重要數(shù)據(jù)出境的規(guī)定，是國家法律的強(qiáng)制規(guī)定。因此，《數(shù)據(jù)跨境規(guī)定》并未涉及對于關(guān)鍵信息基礎(chǔ)設(shè)施運營者數(shù)據(jù)出境的標(biāo)準(zhǔn)調(diào)整。
處理100萬人以上個人信息的數(shù)據(jù)處理者個人信息出境的標(biāo)準(zhǔn)，在《數(shù)據(jù)跨境規(guī)定》中并未規(guī)定。而是調(diào)整為以未來一年預(yù)計出境數(shù)量為觸發(fā)數(shù)據(jù)出境安全評估或個人信息出境標(biāo)準(zhǔn)合同備案的標(biāo)準(zhǔn)。其中，預(yù)計一年內(nèi)向境外提供100萬人以上個人信息的，應(yīng)當(dāng)申報數(shù)據(jù)出境安全評估；預(yù)計一年內(nèi)向境外提供1萬人以上、不滿100萬人個人信息，僅需進(jìn)行個人信息出境標(biāo)準(zhǔn)合同備案或者通過個人信息保護(hù)認(rèn)證。
此外，對于非關(guān)鍵信息基礎(chǔ)設(shè)施運營者未來一年預(yù)計出境數(shù)量不到1萬人個人信息的，則不直接干預(yù)。
對個人信息出境標(biāo)準(zhǔn)，從主體到數(shù)量的調(diào)整，將使得風(fēng)險與適用的程序更為匹配。
（三）省級網(wǎng)信部門獲得更多授權(quán)
如上，總體而言，適用個人信息出境標(biāo)準(zhǔn)合同備案的情形增加，而適用數(shù)據(jù)出境安全評估的主體和情形則適當(dāng)縮減，適用省級網(wǎng)信部門備案的比例提高。此外，對于自由貿(mào)易試驗區(qū)的負(fù)面清單制定和批準(zhǔn)，也賦予了省級網(wǎng)信部門在數(shù)據(jù)出境中的監(jiān)管職責(zé)。
二、若干重要問題的突破
（一）關(guān)于重要數(shù)據(jù)的認(rèn)定從“自行識別”到“被告知或公示”的轉(zhuǎn)變
1.原有規(guī)則不能排除自行識別的義務(wù)
重要數(shù)據(jù)的認(rèn)定問題，一直是數(shù)據(jù)出境安全評估申報中的難題，雖然《數(shù)據(jù)安全法》規(guī)定，各地區(qū)、各部門應(yīng)當(dāng)按照數(shù)據(jù)分類分級保護(hù)制度，確定本地區(qū)、本部門以及相關(guān)行業(yè)、領(lǐng)域的重要數(shù)據(jù)具體目錄，對列入目錄的數(shù)據(jù)進(jìn)行重點保護(hù)。但截止當(dāng)前，除《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》，列舉了六類重要數(shù)據(jù)外，其他行業(yè)主管部門或地區(qū)尚未出臺專門的重要數(shù)據(jù)目錄。
盡管《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》對于重要數(shù)據(jù)的概念進(jìn)行了細(xì)化，但仍屬于原則性規(guī)定。但是，該辦法十二條規(guī)定：工業(yè)和信息化領(lǐng)域數(shù)據(jù)處理者應(yīng)當(dāng)將本單位重要數(shù)據(jù)和核心數(shù)據(jù)目錄向本地區(qū)行業(yè)監(jiān)管部門備案。
這就意味著，至少在工業(yè)和信息化領(lǐng)域，數(shù)據(jù)處理者應(yīng)當(dāng)識別重要數(shù)據(jù)，并向本地區(qū)行業(yè)監(jiān)管部門備案。
與此對應(yīng)，如果工業(yè)和信息化領(lǐng)域的企業(yè)涉及數(shù)據(jù)出境，則可能需要根據(jù)《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》的規(guī)定識別重要數(shù)據(jù)，并進(jìn)行數(shù)據(jù)出境安全評估申報。
2.《數(shù)據(jù)跨境規(guī)定》明確了被告知或公開發(fā)布重要數(shù)據(jù)的原則
《數(shù)據(jù)跨境規(guī)定》第二條規(guī)定，“未被相關(guān)部門、地區(qū)告知或者公開發(fā)布為重要數(shù)據(jù)的，數(shù)據(jù)處理者不需要作為重要數(shù)據(jù)申報數(shù)據(jù)出境安全評估?！?/span>
即，如果查不到本行業(yè)公開的重要數(shù)據(jù)認(rèn)定標(biāo)準(zhǔn)，也沒有接到監(jiān)管機(jī)構(gòu)通知的，可以認(rèn)為不需要適用重要數(shù)據(jù)的數(shù)據(jù)出境安全評估申報義務(wù)。該規(guī)定降低了重要數(shù)據(jù)認(rèn)定的不確定性。
總體而言，重要數(shù)據(jù)的出境規(guī)則，使得企業(yè)在國家有關(guān)部門、地區(qū)重要數(shù)據(jù)目錄沒有發(fā)布、或者數(shù)據(jù)處理者未被告知存在重要數(shù)據(jù)的情況下，可以不需要因為重要數(shù)據(jù)出境而申報安全評估。
（二）豁免情形與負(fù)面清單并存
《數(shù)據(jù)跨境規(guī)定》同時規(guī)定了個人信息出境豁免申報數(shù)據(jù)出境安全評估、個人信息出境標(biāo)準(zhǔn)合同備案、個人信息保護(hù)認(rèn)證的情形，也規(guī)定了自貿(mào)區(qū)的負(fù)面清單制度?；砻馇樾问恰稊?shù)據(jù)跨境規(guī)定》直接予以規(guī)定的，負(fù)面清單則需要自貿(mào)區(qū)依照相應(yīng)程序制定并經(jīng)過批準(zhǔn)和備案。
1.個人信息出境豁免的情形
《數(shù)據(jù)跨境規(guī)定》第四條規(guī)定，無須適用數(shù)據(jù)出境安全評估、個人信息出境標(biāo)準(zhǔn)合同備案、個人信息保護(hù)認(rèn)證的情形包括：（一）為訂立、履行個人作為一方當(dāng)事人的合同所必需，如跨境購物、跨境匯款、機(jī)票酒店預(yù)訂、簽證辦理等，必須向境外提供個人信息的；（二）按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施人力資源管理，必須向境外提供內(nèi)部員工個人信息的；（三）緊急情況下為保護(hù)自然人的生命健康和財產(chǎn)安全等，必須向境外提供個人信息的。
就第一種情形而言，是很多企業(yè)日常經(jīng)營中為個人提供服務(wù)所不可避免的，比如：航空公司的跨境機(jī)票預(yù)定、機(jī)場提供值機(jī)服務(wù)，都不可避免需要用到個人信息；金融機(jī)構(gòu)的跨境匯兌，接收方銀行獲取匯款人的姓名、賬號等信息也是業(yè)務(wù)必備的要求。這種出境活動因服務(wù)需要而無法終止或暫停，將其列入豁免的情形，具有合理性。
第二種情形下，也是企業(yè)跨境經(jīng)營管理的基礎(chǔ)條件，企業(yè)無論是內(nèi)部人力資源管理、ESG管理，對于員工信息的獲取，都具有一定的合理性。
第三種情形，則由于緊急情況的需要，而使得出境安全評估、個人信息出境標(biāo)準(zhǔn)合同備案、個人信息保護(hù)認(rèn)證不具有實際的可行性。
需要注意的是，由于《網(wǎng)絡(luò)安全法》第三十七條規(guī)定關(guān)鍵信息基礎(chǔ)設(shè)施的運營者在中華人民共和國境內(nèi)運營中收集和產(chǎn)生的個人信息和重要數(shù)據(jù)應(yīng)當(dāng)在境內(nèi)存儲。確需向境外提供的，應(yīng)當(dāng)按照國家網(wǎng)信部門會同國務(wù)院有關(guān)部門制定的辦法進(jìn)行安全評估。因此，上述三種豁免情形，筆者理解，并不適用于關(guān)鍵信息基礎(chǔ)設(shè)施運營者。
2.自由貿(mào)易試驗區(qū)負(fù)面清單問題
《數(shù)據(jù)跨境規(guī)定》第七條規(guī)定，自由貿(mào)易試驗區(qū)可自行制定本自貿(mào)區(qū)需要適用三大路徑的數(shù)據(jù)清單（即“負(fù)面清單”），負(fù)面清單外的數(shù)據(jù)出境可以無須適用三大路徑。負(fù)面清單應(yīng)當(dāng)報經(jīng)省級網(wǎng)絡(luò)安全和信息化委員會批準(zhǔn)，報國家網(wǎng)信部門備案。
負(fù)面清單制度，是網(wǎng)信部門在特定區(qū)域內(nèi)簡化出境監(jiān)管流程的一種特殊制度安排。
三、數(shù)據(jù)出境企業(yè)如何應(yīng)對
（一）總量統(tǒng)計與分場景申報的關(guān)系
1.不同場景的總量應(yīng)合并統(tǒng)計
從《數(shù)據(jù)跨境規(guī)定》關(guān)于個人信息的數(shù)量規(guī)定來看，無論是需要申報數(shù)據(jù)出境安全評估的情形，還是適用個人信息出境標(biāo)準(zhǔn)合同備案的情形，判斷的標(biāo)準(zhǔn)均以出境個人信息人數(shù)為準(zhǔn)。這里所指的數(shù)量，應(yīng)該是總量。即數(shù)據(jù)處理者的個人信息數(shù)據(jù)出境的場景可能有多個，這些場景下的個人信息出境數(shù)量應(yīng)合并計算。
2.申報或備案應(yīng)分場景分別描述
雖然《數(shù)據(jù)跨境規(guī)定》尚處于征求意見稿，且所適用的申報指引或者備案指引尚未公布，但從整個文件的精神，以及此前數(shù)據(jù)出境安全評估及個人信息出境標(biāo)準(zhǔn)合同備案的操作實踐來看，評估或備案，應(yīng)以數(shù)據(jù)出境的場景為基礎(chǔ)，分場景申報評估或申報備案。
基于以上分析，吳衛(wèi)明律師認(rèn)為，與評估或備案相關(guān)的基礎(chǔ)工作總體上與《數(shù)據(jù)出境安全評估辦法》《個人信息出境標(biāo)準(zhǔn)合同辦法》的申報類似。都需要進(jìn)行信息系統(tǒng)盤點、數(shù)據(jù)出境場景盤點、數(shù)據(jù)量盤點，也需要針對不同場景的數(shù)據(jù)出境進(jìn)行合法性、正當(dāng)性、必要性分析。
（二）豁免情況下的個人信息保護(hù)影響評估問題
對于《數(shù)據(jù)跨境規(guī)定》第四條規(guī)定的三種豁免情形，以及對于未來一年預(yù)計出境數(shù)量不到1萬人個人信息的，雖然無需無須適用數(shù)據(jù)出境安全評估、個人信息出境標(biāo)準(zhǔn)合同備案、個人信息保護(hù)認(rèn)證。
但是，由于《個人信息保護(hù)法》明確規(guī)定了個人信息保護(hù)影響評估制度，個人信息出境屬于必須做個人信息保護(hù)影響評估的情形。因此，數(shù)據(jù)處理者即使在上述豁免情形下實施個人信息出境，也應(yīng)針對個人信息出境場景實施個人信息保護(hù)影響評估活動。
（三）豁免情況下的個人信息出境合同簽訂問題
對于上述無須適用數(shù)據(jù)出境安全評估、個人信息出境標(biāo)準(zhǔn)合同備案、個人信息保護(hù)認(rèn)證的情形，數(shù)據(jù)處理者是否需要簽訂相應(yīng)的數(shù)據(jù)出境法律文件或者個人信息出境標(biāo)準(zhǔn)合同？相關(guān)規(guī)則沒有明確規(guī)定，《數(shù)據(jù)跨境規(guī)定》也未涉及。吳衛(wèi)明律師認(rèn)為，即使是在豁免情形下，建議數(shù)據(jù)處理者仍與境外接收方簽訂相應(yīng)的個人信息保護(hù)協(xié)議。
《個人信息保護(hù)法》三十九條規(guī)定，個人信息處理者向境外提供個人信息，應(yīng)當(dāng)向個人告知境外接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式、個人信息的種類以及個人向境外接收方行使本法規(guī)定權(quán)利的方式和程序等事項，并取得個人的單獨同意。
數(shù)據(jù)處理者為了明確這些事項，客觀上也需要相應(yīng)的合同予以約定。同時，為了保證這些告知事項能夠被境外接收方遵守，也需要與境外接收方簽訂相應(yīng)的保障個人信息安全及個人權(quán)益的協(xié)議。當(dāng)然，對于個人信息保護(hù)協(xié)議的內(nèi)容，如果具備條件，建議按照個人信息出境標(biāo)準(zhǔn)合同的內(nèi)容簽署。如果不具有簽署標(biāo)準(zhǔn)合同的條件，則建議協(xié)議中應(yīng)涵蓋《個人信息保護(hù)法》第三十九條對于告知內(nèi)容的要求。
綜上，筆者認(rèn)為，《數(shù)據(jù)跨境規(guī)定》是在《數(shù)據(jù)出境安全評估辦法》《個人信息出境標(biāo)準(zhǔn)合同辦法》施行基礎(chǔ)上的總結(jié)，《數(shù)據(jù)跨境規(guī)定》征求意見稿的頒布，也體現(xiàn)出監(jiān)管機(jī)關(guān)對于數(shù)據(jù)出境治理思路。對于數(shù)據(jù)處理者而言，吃透規(guī)定的精神，并做好數(shù)據(jù)出境合規(guī)工作的預(yù)判與規(guī)劃，無疑具有重要的現(xiàn)實意義。
滬公網(wǎng)安備 31010402007129號
