數據出境新動向以期降低企業數據合規成本
作者：徐慶洋 2023-11-07近日，國家互聯網信息辦公室發布了《規范和促進數據跨境流動規定（征求意見稿）》（“新規”），現向社會公開征求意見。新規雖然尚處征求意見階段尚未最終定稿，但是新規帶來的變化依然可見端倪。那么，新規預期將如何緩解企業在數據出境合規方面的挑戰呢？
一、企業數據出境合規的挑戰
企業近年來始終面臨數據出境合規的重要挑戰，主要體現在：
1. 概念模糊、缺乏操作性。法律法規中的術語和定義模糊不清，比如“重要數據”的確切含義。同時，相關國家技術標準中的各項指標也因各個企業實際情況的不同而缺乏操作性。最終將導致企業只能更多地依賴相關政府部門的明確意見，以期解決上述問題。
2. 嚴格的要求和嚴厲的處罰措施。新的數據出境合規體系對于數據出境提出了許多前所未有的新要求，例如個人信息出境標準合同、個人信息跨境處理活動安全認證等。另一方面，違反數據合規的罰則又十分嚴厲，在某些情況下違法企業可能要承擔“上一年度營業額百分之五以下罰款”。
3. 隨之而來的高昂合規成本。為應對上述局面，為謹慎起見，企業不得不需要采取一系列高成本的措施以滿足數據合規的最高要求，其中包括要改變其底層運營方式和管理邏輯。這對于任何企業都是難以短期內實現的。
因此可想而知，許多企業無奈仍在觀望，并要求數據一律暫不出境。
二、新規的一些亮點與解讀
新規給出了一些十分有參考意義的信號，預示著各家企業在數據出境這一問題上的挑戰在新規生效后將一定程度地緩解。
1. 明確“數據出境三路徑”的豁免情形
現有的“數據出境三路徑”為：申報數據出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證。
“國際貿易、學術合作、跨國生產制造和市場營銷等活動中產生的數據出境，不包含個人信息或者重要數據的”；
“不是在境內收集產生的個人信息向境外提供”；
“預計一年內向境外提供不滿 1 萬人個人信息的”以及
“為訂立、履行個人作為一方當事人的合同所必需，如跨境購物、跨境匯款、機票酒店預訂、簽證辦理等，必須向境外提供個人信息的”等。
對于國內有生產基地的跨國企業、以及向境外出口的貿易企業，在數據出境環節將可以采取更加靈活的合規措施，以盡可能維持當前的經營活動。
2. 反向明確“重要數據”的概念
如果企業手中的數據“未被相關部門、地區告知或者公開發布為重要數據，數據處理者不需要作為重要數據申報數據出境安全評估”。
這一規定吸取了國家關于外商投資負面清單的管理模式，在未被明確認定為重要數據的情況下，不需要作為重要數據申報數據出境安全評估。這將使企業更容易自我判斷相關數據是否屬于“重要數據”進而是否需要作出境安全評估。
三、總結與展望
有關部門已經對數據合規在企業中的反響作出了快速反應。該新規如果原文通過，那么對于許多在國內有生產基地的跨國企業，處理境外母公司數據的跨國企業，以及從事國際貿易和其他不涉及個人信息和重要信息的其他企業，可能將免于不必要的精力和金錢用于有關數據出境的合規。
但是，新規涵蓋范圍有限。例如，新規未豁免“個人信息保護影響評估”。少量（不滿 1 萬人） 個人信息的出境，盡管無需上述“數據出境三路徑”，但還是需要事先進行“個人信息保護影響評估”。并且，關于數據出境的其他方面，還是應當遵守《 個人信息保護法》、《數據安全法》、《網絡安全法》等法律法規。
