四地?cái)?shù)據(jù)出境監(jiān)管政策研究

2024年3月22日，《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動規(guī)定》（以下簡稱《規(guī)定》）正式發(fā)布。根據(jù)《規(guī)定》，各個自貿(mào)試驗(yàn)區(qū)積極開展了“負(fù)面清單”制度探索，以天津、北京、上海、海南四地最為典型。

數(shù)據(jù)跨境流動是近年來數(shù)字經(jīng)濟(jì)領(lǐng)域的熱點(diǎn)議題，與個人信息權(quán)益保護(hù)、數(shù)字產(chǎn)業(yè)發(fā)展以及國家數(shù)據(jù)主權(quán)與安全休戚相關(guān)。2024年3月22日，《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動規(guī)定》（以下簡稱《規(guī)定》）正式發(fā)布，其中第6條規(guī)定“自貿(mào)試驗(yàn)區(qū)在國家數(shù)據(jù)分類分級保護(hù)制度框架下，可以自行制定區(qū)內(nèi)需要納入數(shù)據(jù)出境安全評估、個人信息出境標(biāo)準(zhǔn)合同、個人信息保護(hù)認(rèn)證管理范圍的數(shù)據(jù)清單（簡稱負(fù)面清單），經(jīng)省級網(wǎng)絡(luò)安全和信息化委員會批準(zhǔn)后，報(bào)國家網(wǎng)信部門、國家數(shù)據(jù)管理部門備案。自貿(mào)試驗(yàn)區(qū)內(nèi)數(shù)據(jù)處理者向境外提供負(fù)面清單外的數(shù)據(jù)，可以免予申報(bào)數(shù)據(jù)出境安全評估、訂立個人信息出境標(biāo)準(zhǔn)合同、通過個人信息保護(hù)認(rèn)證”。鑒于此，各個自貿(mào)試驗(yàn)區(qū)積極開展了“負(fù)面清單”制度探索，以天津、北京、上海、海南四地最為典型。

四地“負(fù)面清單”一覽

天津市2024年5月推出全國首個省級自貿(mào)試驗(yàn)區(qū)數(shù)據(jù)出境管理負(fù)面清單，將納入清單管理的出境數(shù)據(jù)分為戰(zhàn)略物資和大宗商品類、自然資源和環(huán)境類、工業(yè)類、金融類、統(tǒng)計(jì)類、信息傳播類、住房建設(shè)類、交通運(yùn)輸類、公共衛(wèi)生類、公共安全類、互聯(lián)網(wǎng)服務(wù)和電子商務(wù)類、科學(xué)技術(shù)類以及個人信息13大類46種數(shù)據(jù)子類。政策遵循“統(tǒng)籌兼顧、便捷合規(guī)、簡明實(shí)用、動態(tài)調(diào)整”的基本原則，其創(chuàng)新點(diǎn)在于建立企業(yè)數(shù)據(jù)分類分級標(biāo)準(zhǔn)規(guī)范，每個子類對數(shù)據(jù)基本特征進(jìn)行了描述并給出具體示例。

北京市2024年8月發(fā)布《中國（北京）自由貿(mào)易試驗(yàn)區(qū)數(shù)據(jù)出境管理清單（負(fù)面清單）（2024版）》，系全國首個場景化、字段級負(fù)面清單。該政策以“管得住、放得開、用得好”為目標(biāo)，聚焦汽車、醫(yī)藥、零售、民航、人工智能五大重點(diǎn)領(lǐng)域，涵蓋23個業(yè)務(wù)場景和198個具體字段。配套文件包括《中國（北京）自由貿(mào)易試驗(yàn)區(qū)數(shù)據(jù)出境負(fù)面清單管理辦法（試行）》及《北京市數(shù)據(jù)跨境流動便利化服務(wù)管理若干措施》，構(gòu)建了“1+N”政策體系。其特點(diǎn)在于動態(tài)管理機(jī)制、精準(zhǔn)量化個人信息閾值（適度降低申報(bào)門檻），通過北京數(shù)據(jù)跨境服務(wù)平臺提供“一對一”數(shù)據(jù)出境安全評估問題咨詢解答，快速響應(yīng)企業(yè)訴求。

上海市2025年2月出臺《中國（上海）自由貿(mào)易試驗(yàn)區(qū)及臨港新片區(qū)數(shù)據(jù)出境負(fù)面清單管理辦法》以及《負(fù)面清單（2024版）》，聚焦金融（再保險）、航運(yùn)（國際航運(yùn)）、商貿(mào)（零售與餐飲業(yè)、住宿業(yè)）三大關(guān)鍵領(lǐng)域，涵蓋6個場景84個數(shù)據(jù)項(xiàng)。政策亮點(diǎn)包括：一是將“場景名稱”前置單列，增加解釋說明，便于企業(yè)直接適用。二是突破個人信息量級閾值（商貿(mào)領(lǐng)域敏感個人信息安全評估閾值從1萬提升至100萬）以及“先用后報(bào)”機(jī)制（15個工作日內(nèi)備案），大大減輕了企業(yè)負(fù)擔(dān)。三是上海探索各地區(qū)之間負(fù)面清單的互認(rèn)互用機(jī)制，明確規(guī)定“其他自由貿(mào)易試驗(yàn)區(qū)正式發(fā)布的數(shù)據(jù)出境負(fù)面清單，上海自由貿(mào)易試驗(yàn)區(qū)及臨港新片區(qū)可參照執(zhí)行”。

海南省2025年2月公布《負(fù)面清單（2024版）》，重點(diǎn)服務(wù)深海、航天、種業(yè)、旅游和免稅商品零售業(yè)務(wù)五大領(lǐng)域30項(xiàng)內(nèi)容（其中重要數(shù)據(jù)10項(xiàng)、個人信息20項(xiàng)），具體覆蓋14個業(yè)務(wù)場景。政策突出動態(tài)管理機(jī)制，結(jié)合海南自貿(mào)港特色產(chǎn)業(yè)需求，構(gòu)建從資源勘探到經(jīng)營管理的全鏈條數(shù)據(jù)治理體系，依托特色產(chǎn)業(yè)政策支持跨境電商、游戲出海等新興業(yè)態(tài)。

“負(fù)面清單”與“正面清單”

《規(guī)定》將源于國際經(jīng)貿(mào)領(lǐng)域的“負(fù)面清單”制度引入數(shù)據(jù)跨境流動管理體系。換言之，“負(fù)面清單”內(nèi)的數(shù)據(jù)應(yīng)遵守?cái)?shù)據(jù)出境安全管理制度，即通過數(shù)據(jù)安全評估、標(biāo)準(zhǔn)合同備案或認(rèn)證，而清單外的數(shù)據(jù)跨境流動理應(yīng)受到鼓勵和支持。然而，如何保障“負(fù)面清單”內(nèi)的數(shù)據(jù)出境安全可控仍存在一定難度，畢竟每個行業(yè)的數(shù)據(jù)類型、性質(zhì)、場景等千差萬別，對國家安全、公共利益的影響也不盡相同。對此，天津采取“大清單”思路，結(jié)合國家標(biāo)準(zhǔn)《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)分類分級規(guī)則》（GB/T 43697-2024）（以下簡稱《分類分級標(biāo)準(zhǔn)》）對自貿(mào)試驗(yàn)區(qū)內(nèi)企業(yè)數(shù)據(jù)分類分級工作進(jìn)行排查，采取后果分類法，即按照數(shù)據(jù)一旦被泄露、篡改、破壞、濫用后對國家安全、公共利益等產(chǎn)生的后果分類，輔之以具體示例；北京則采取“小清單”思路，結(jié)合特定行業(yè)、場景和目的進(jìn)行數(shù)據(jù)特征的描述和細(xì)化，具體調(diào)整數(shù)量閾值的設(shè)定，并建立自貿(mào)組團(tuán)反饋機(jī)制加以適時調(diào)整。

與“負(fù)面清單”對應(yīng)，“正面清單”則明確了“哪些數(shù)據(jù)可以出境”，可操作性更強(qiáng)。為落實(shí)《上海市數(shù)據(jù)條例》“在臨港新片區(qū)內(nèi)探索制定低風(fēng)險跨境流動數(shù)據(jù)目錄”的規(guī)定（第69條），上海臨港新片區(qū)于2024年5月17日公布數(shù)據(jù)跨境場景化一般數(shù)據(jù)清單及配套操作指南，即采用“正面清單+負(fù)面清單”管理模式，結(jié)合跨境場景細(xì)化至具體字段，形成可落地的一般數(shù)據(jù)清單，同步迭代拓展更多場景和領(lǐng)域，由此形成場景化、精細(xì)化的字段級負(fù)面清單，便利企業(yè)數(shù)據(jù)出境。首批一般數(shù)據(jù)清單包括智能網(wǎng)聯(lián)汽車、公募基金、生物醫(yī)藥三個領(lǐng)域，涉及智能網(wǎng)聯(lián)汽車跨國生產(chǎn)制造、醫(yī)藥臨床試驗(yàn)和研發(fā)等11個場景，64個數(shù)據(jù)類別、600余個字段?！罢媲鍐巍贬尫懦龅摹澳男?shù)據(jù)可以出境”的信號更加強(qiáng)烈和清晰，為企業(yè)數(shù)據(jù)出境業(yè)務(wù)提供了具象化的指引。

事實(shí)上，無論采取“負(fù)面清單”還是“正面清單”管理模式，并無優(yōu)劣之分，其背后的政策出發(fā)點(diǎn)都是為了給企業(yè)提供相對清晰、可操作性較強(qiáng)的行為指引，在數(shù)據(jù)安全管理框架內(nèi)最大限度降低企業(yè)成本、提升數(shù)據(jù)出境效率。

“負(fù)面清單”與重要數(shù)據(jù)

進(jìn)入“負(fù)面清單”的數(shù)據(jù)并不等同于重要數(shù)據(jù)?！吨腥A人民共和國數(shù)據(jù)安全法》確立了數(shù)據(jù)分類分級保護(hù)制度，將數(shù)據(jù)分為一般數(shù)據(jù)、重要數(shù)據(jù)和核心數(shù)據(jù)。一旦被認(rèn)定為重要數(shù)據(jù)，涉及出境場景需要進(jìn)行數(shù)據(jù)安全評估，重要數(shù)據(jù)處理者要履行相比一般數(shù)據(jù)處理者更重的數(shù)據(jù)保護(hù)義務(wù)，如應(yīng)建立常態(tài)化的數(shù)據(jù)安全管理機(jī)構(gòu)、定期開展風(fēng)險評估等，其成本將大大增加。而自貿(mào)試驗(yàn)區(qū)“負(fù)面清單”制度設(shè)計(jì)的初衷是為了便利數(shù)據(jù)跨境流動，并未將進(jìn)入清單的數(shù)據(jù)類型與重要數(shù)據(jù)進(jìn)行一一對應(yīng)，僅列舉哪些是需要開展數(shù)據(jù)安全評估、標(biāo)準(zhǔn)合同備案或認(rèn)證的數(shù)據(jù)類型和應(yīng)用場景。也就是說，重要數(shù)據(jù)出境一定需要安全評估，但列入“負(fù)面清單”的數(shù)據(jù)并不一定是重要數(shù)據(jù)，后者所涵蓋的數(shù)據(jù)類型更為廣泛（還包括達(dá)到一定量級的個人信息），是各自貿(mào)試驗(yàn)區(qū)根據(jù)行業(yè)發(fā)展需求評估后采取出境限制措施的監(jiān)管對象。

“負(fù)面清單”與重要數(shù)據(jù)有著密切關(guān)聯(lián)，重要數(shù)據(jù)的認(rèn)定屬于制定“負(fù)面清單”的必經(jīng)程序。也就是說，各自貿(mào)試驗(yàn)區(qū)制定“負(fù)面清單”需要回應(yīng)“哪些是重要數(shù)據(jù)”這一核心問題。雖然《分類分級標(biāo)準(zhǔn)》從技術(shù)層面明確了重要數(shù)據(jù)的識別規(guī)則，但多數(shù)行業(yè)主管部門尚未發(fā)布本行業(yè)重要數(shù)據(jù)目錄。為幫助企業(yè)能夠識別、判斷是否為重要數(shù)據(jù)，四地通過“負(fù)面清單”管理方式對不同行業(yè)領(lǐng)域及具體場景的重要數(shù)據(jù)基本特征進(jìn)行描述，以形成本區(qū)域內(nèi)的重要數(shù)據(jù)目錄。例如，《中國（北京）自由貿(mào)易試驗(yàn)區(qū)數(shù)據(jù)出境負(fù)面清單管理辦法（試行）》提供了13大類41種數(shù)據(jù)類型的重要數(shù)據(jù)識別參考規(guī)則以及統(tǒng)一識別參考規(guī)則，共同構(gòu)成北京自貿(mào)試驗(yàn)區(qū)重要數(shù)據(jù)識別要求。這也是《規(guī)定》授權(quán)各自貿(mào)試驗(yàn)區(qū)制定“負(fù)面清單”的意義之所在——在國家層面尚未制定重要數(shù)據(jù)目錄的背景下，由各自貿(mào)試驗(yàn)區(qū)探索形成本轄區(qū)內(nèi)重要數(shù)據(jù)目錄就是現(xiàn)階段一個極其靈活且務(wù)實(shí)的方案。

（本文僅代表作者觀點(diǎn)，不代表本刊立場；本文作者系上海政法學(xué)院教授、博士生導(dǎo)師）

編輯：沈析宇" " 175556274@qq.com