2024數據合規立法監管的回顧與2025年展望
作者：星際游 2025-02-06回顧2024年我國的網絡安全與數據合規情勢，數字經濟蓬勃發展，無論是從相關法規規范的發展， 還是各類交易市場、交易模式的建立都體現出數字經濟的重要性。與此同時，數據安全、網絡安全、個人信息以及人工智能監管成為社會關注的重要議題。這一年我國一系列的立法和技術標準的頒布執行，加強了數據合規管理，強化了個人信息司法保護，保障了國家數據安全與網絡安全。人工智能以及數據要素市場技術安全邊界、服務規范和運行規則日漸清晰。本文將簡要回顧2024年數據合規的重要監管進展，并展望2025年數據合規的發展，以期明確未來的合規工作方向。
一、數據要素市場蓬勃發展
2024年，“數據”作為“第五生產要素”持續受到社會廣泛關注，我國無論是從政策制定層面還是具體執行層面，自上而下都進行了積極的探索。
2022年12月頒布的《關于構建數據基礎制度更好發揮數據要素作用的意見》（“《數據二十條》”），為數據產權、流通、收益、治理等內容的綱領性制度。2024年1月1日，財政部發布的《企業數據資源相關會計處理暫行規定》開始實施后，數據資源入表開始進入快車道，相關案例日漸增多。
政策層面，2024年從中央到地方，出臺了各類政策規范以推動數據要素的流動、數據資產入表。2024年中央層級頒布的重要政策規范包括：
1.2024年2月5日，財政部發布《關于加強行政事業單位數據資產管理的通知》，主要目的是加強行政事業單位數據資產管理，以釋放數據資產價值 ，推動數字經濟發展。
2.2024年2月29日，中國銀行業協會發布《銀行業數據資產估值指南》，主要解決商業銀行數據資產價值難以衡量等問題，從而為數據資產估值體系的全面構建及落地提供實踐參考，推動數據要素市場科學有序發展。
3.2024年9月21日，中共中央辦公廳、國務院辦公廳發布《關于加快公共數據資源開發利用的意見》，中央層面首次對公共數據資源開發利用工作進行系統部署，推動公共數據進入數據要素市場。
4.2024年11月，財政部會計司發布了《數據資源會計處理實施問答》，回復重點聚焦于，當數據資源被確認為無形資產時，如何精準區分研究階段支出與開發階段支出。
5.2024年12月，財政部公布了《數據資產全過程管理試點方案》，要求開展數據資產全過程管理試點，形成數據資產管理全過程工作指引，試點范圍包括三大類，即中央部門、中央企業和地方財政部門。
地方層面，各省市財政以及國資委紛紛發布關于數據資產管理以及數據資產評估的地方規范性文件。例如北京市財政局發布《關于加強本市數據資產管理的通知》，上海市財政局發布《關于進一步加強本市數據資產管理的通知》， 上海國資委發布《上海市國有企業數據資產評估管理工作指引（試行）》以及深圳市財政局發布《關于加強企業數據資源相關會計處理的通知》等。
從市場發展角度，雖然《數據二十條》明確了數據產權“三權分置”的運行機制，各類數據交易場所以及數據流通機制積極建立，然而，就當前國內數據交易規模而言，無論是場內還是場外，相較于數據要素市場潛能而言仍處于初期發展階段[1]?？傮w來看，2024年數據要素在立法和實踐方面取得了積極進步，但是只有盡快推動立法層級數據確權，數據市場才會有更為大規模的發展。
二、“重要數據”撥云見日
“重要數據”這一概念對于數據跨境中路徑的識別以及其他重要的數據處理義務具有重要作用，雖然這一概念系在2016年《網絡安全法》中首次出現，但是之后很長一段時間內，該概念內涵及外延并未有正式規范，如何識別“重要數據”成為業內的合規難題。
2021年10月1日起施行的《汽車數據安全管理若干規定（試行）》首次在正式發文中定義“重要數據”的數據范圍，但是這一界定范圍僅針對汽車行業[2]。后續2022年7月生效的《數據出境安全評估辦法》等規范性文件雖然采用了類似角度，即從“存在直接危害后果可能性”進行判斷，但仍缺乏具體的識別標準供實踐參考。期間，推薦性國家標準《信息安全技術 重要數據識別指南》（征求意見稿）也數易其稿。
《促進和規范數據跨境流動規定》（下稱“《數據跨境規定》”）2024年3月正式生效，根據其第二條和第六條，數據處理者向境外提供負面清單外的數據或未被主管部門認定為重要數據的數據可以免予申報數據出境安全評估。雖然這一規定緩解了“重要數據”認定的急迫性，但是“重要數據”的明確定義仍然缺失。
直至《網絡數據安全管理條例》（下稱“《數安條例》”）頒布以及2024年10月1日開始實施的GB/T43697-2024《數據安全技術 數據分類分級規則》（下稱“《分類分級國標》”），這一關鍵性概念才清晰可行。
首先，《數安條例》第六十二條首次在行政法規層級，對“重要數據”進行明確定義，“特定領域、特定群體、特定區域或者達到一定精度和規模，一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能直接危害國家安全、經濟運行、社會穩定、公共健康和安全的數據”。
《數安條例》第二十九條要求“各地區、各部門應當按照數據監管層面，在電信、互聯網、工信（含汽車）等領域持續深化重要數據識別、備案的試點工作。根據分類分級保護制度，確定本地區、本部門以及相關行業、領域的重要數據具體目錄，對列入目錄的數據進行重點保護”，進一步在行政法規層面明確了重要數據目錄的制定來源。
值得注意的是，并非只要數據尚未出現在重要數據目錄中，就一概認定為非重要數據，各數據處理主體有義務結合本機構、行業以及地域特點進行自我識別和判斷，特別是在目前并非所有行業、領域的重要數據目錄均完備的情況下，《分類分級國標》可以協助數據處理者對于數據分級分類形成較為清晰的認知。
重要數據不僅在數據跨境場景的合規義務辨識中具有重要作用，《數安條例》亦為重要數據處理者設定一系列義務，包括組織人員設置、與重要數據接收方合作的合規要求（如風險評估、簽署合同、監督合作方、保存處理記錄至少三年）、重要數據處理者變更后的報告義務以及重要數據處理者的年度風險評估義務等。而且《數安條例》生效前，已經有一系列規范性文件，例如《工業和信息化領域數據安全管理辦法（試行）》《會計師事務所數據安全管理暫行辦法》等對于重要數據委托處理、風險評估以及存儲提出了要求。
三、數據出境路徑更為清晰合理
2024年3月《數據跨境規定》正式實施。在此規范性文件實施之前，中國境內數據處理者處理數據跨境傳輸只有三條路徑：數據出境安全評估、標準合同備案，以及個人信息保護認證。但是在這一監管體制下，數據出境的觸發門檻過低，且實務中顯示申報材料及流程也有諸多要求需要明確、細化。
在2024年數據跨境領域“建立高效便利安全的數據跨境流動機制”的總政策趨勢下[3]，《數據跨境規定》為數據跨境提供了諸多便利。首先，該規定大幅提高了跨境申報觸發門檻，針對非敏感個人信息出境，將原先10萬人提升至100萬，同時規定了10萬人以下即屬豁免[4]。此外，統計時間由原有自上年1月1日計算的方式調整為當年1月1日，在計算人數時一個自然人的個人信息多次出境，只計算為一個自然人，大幅減輕計算人數上的難度。
其次，《數據跨境規定》還列明了一系列豁免適用數據出境監管的數據出境活動場景[5]，反映到實務中，被討論最多的跨境業務企業集團人力資源統一管理，或企業開展跨境生產營銷活動等產生的數據出境活動，將被豁免[6]。
同時，跨境申報涉及的相關報告以及流程大幅優化，其中個人信息保護影響評估報告模板簡化，刪除了評估工作情況、數據安全保證能力以及境外網絡安全數據保護法律評估內容，申報數據出境安全評估、備案個人信息出境標準合同流程更改為登錄數據出境申報系統集中申報[7]。
配合《數據跨境規定》，粵港澳大灣區以及各地自貿試驗區也出臺了一系列政策文件促進區域內企業數據跨境流動：
繼香港特別行政區后，澳門特區政府和國家網信辦于2024年9月簽署了《關于促進粵港澳大灣區數據跨境流動的合作備忘錄》，并隨后聯合發布了《粵港澳大灣區（內地、澳門）個人信息跨境流動標準合同實施指引》。該指引的發布進一步促進了個人信息在大灣區內的安全有序流動，加強了內地與澳門在數據跨境流動方面的協同合作。此外，全國網絡安全標準化技術委員會（“網安標委”）于2024年11月發布《網絡安全標準實踐指南——粵港澳大灣區（內地、香港）個人信息跨境處理保護要求》，為實施粵港澳大灣區（內地、香港）個人信息跨境安全互認提供了認證及認可依據。
《數據跨境規定》明確規定自貿試驗區內的企業向境外傳輸負面清單外的數據，可以免予實施數據出境監管制度。天津、北京自貿試驗區相應發布了數據出境負面清單以及管理辦法，明確了自貿試驗區內數據出境流程，上海自貿試驗區臨港新片區則采用“一般數據清單+負面清單”相結合的監管模式[8]。
《數據跨境規定》以及相關文件為數據出境指明了更為清晰合理的路徑，便利了數據交流。根據網信辦消息，《跨境規定》出臺后，數據出境安全評估平均用時降低至30個工作日內，安全評估申報、標準合同備案數量顯著下降[7]?？梢?，隨著數據跨境新規收窄了備案、安全評估范圍，并增加多項豁免事由后，企業數據跨境流動的合規義務得到了實質性的減輕。
四、未成年人權益保護獲得更多關注
2024年，我國未成年人網絡保護領域蓬勃發展。2024年1月1日，我國首部專門針對未成年人網絡保護的綜合性立法《未成年人網絡保護條例》正式施行。該條例重點規定了未成年人網絡保護的體制機制、網絡素養促進、網絡信息內容建設、個人信息保護、網絡沉迷防治以及法律責任等內容。監管執法部門持續加大對各類侵害未成年人網絡權益的行為的治理。司法領域公布了一系列典型案例的公正審判。
保護未成年人網絡利益是全社會的責任與義務，特別是網絡運營者在提供相關產品、服務以及進行平臺運營時，如何體現未成年人的利益保護，是極為重要的合規義務。2024年11月15日，國家互聯網信息辦公室發布了《移動互聯網未成年人模式建設指南》，將全面升級“青少年模式”為“未成年人模式”，推動模式覆蓋范圍由App擴大到移動智能終端、應用商店，實現軟硬件三方聯動，為企業履行未成年人網絡保護義務提供具體指引。首次提出分齡推薦標準，優先展示適齡內容，從時長和功能兩方面入手，進一步優化完善防沉迷措施。設置推薦時長，指導企業及時修改可能造成沉迷的內容、功能和規則，采取有效措施防范外鏈信息內容風險，具備多重防繞過、防破解措施，提升防護效能。
2024年12月18日，全國網安標委發布《網絡安全標準實踐指南——移動互聯網未成年人模式技術要求（征求意見稿）》，分別明確了移動終端、應用程序以及應用程序分發平臺，對未成年人模式技術要求以及模式聯動技術要求，并通過示例方式，提供參考和指導。司法方面，2024年5月30日最高人民法院發布《關于全面加強未成年人司法保護及犯罪防治工作的意見》，從“刑事、民事、行政”一體保護，全面保護未成年人權益，建立“三審合一”審判機制，對賓館、酒店、電競酒店等場所及互聯網平臺違反法定義務，對誘發未成年人犯罪或被侵害存在過錯等案件，細化相關主體承擔法律責任的情形，督促相關主體切實履行保護未成年人和預防未成年人違法犯罪的職責。2024年5月30日北京互聯網法院發布《未成年人網絡司法保護白皮書》，對《中華人民共和國未成年人保護法》修訂后實施至今涉未成年人網絡糾紛案件的審理情況、主要特征、問題分析以及典型案例進行通報。海南法院公布2024年未成年人權益保護十大典型案例，其中包括短視頻平臺對用戶發布涉未成年人信息審核不嚴的案例。
2024年7月13日，全國范圍內部署開展為期2個月的“清朗·2024年暑期未成年人網絡環境整治”專項行動，重點整治6個環節突出問題，包括短視頻、直播平臺；社交平臺；電商平臺；應用商店；兒童智能設備以及未成年人模式。
五、人工智能治理規則逐步完善
《生成式人工智能（AIGC）服務管理暫行辦法》作為首部人工智能專門性部門規章于2023年生效實施，結合《互聯網信息服務算法推薦管理規定》確立了以算法備案和大模型評估及備案的事前監管機制。2024年，在既有監管架構的基礎上，針對人工智能數據安全、數據訓練、數據標注、生產內容標識等多方面，多個推薦性國家標準或征求意見稿頒布，為實務中人工智能的開發、運營和維護提供指導性意見。
2024年3月1日，全國網絡安全標準化技術委員會發布《生成式人工智能（AIGC）服務安全基本要求》（TC260-003），該文件雖然并非強制性國家標準，但是對于生成式人工智能（AIGC）（AIGC）服務安全性方面做出了詳細的技術指導，對語料安全、模型安全、安全措施、詞庫/題庫要求、安全評估等方面提出了具體規范和要求，以規避相關安全風險?！毒W絡安全技術 生成式人工智能（AIGC）數據標注安全規范（征求意見稿）》旨在規范數據標注行為。《人工智能生成合成內容標識辦法（征求意見稿）》及配套國標《網絡安全技術 人工智能生成合成內容標識方法（征求意見稿）》發布，旨在避免生成合成內容混淆誤認，防止被惡意使用或濫用，為內容創作者和合規檢測平臺提供了明確的操作指南。
值得關注的是，2024年，中國關于人工智能首輪司法判例出臺。雖然我國并非判例法國家，但是相關的判決也可以有效反映中國司法對于人工智能發展領域中焦點問題的態度。
首先，2024年初公布的北京互聯網法院（2023）京0491民初11279號一審判決，北京互聯網法院認為“涉案圖片的調整修正過程亦體現了原告的審美選擇和個性判斷”，故涉案圖片具備“獨創性”要件，應當被認定為“作品”，而被告未經授權的使用侵犯了原告的著作權。
其次，廣州互聯網法院〔2024〕粵0192民初113號一審判決生效，是全球范圍內首例生成式AI服務侵犯他人著作權的生效判決，法院認為生成式人工智能（AIGC）（AIGC）服務提供者所生成的圖片與第三方作品構成實質性相似，進而構成侵權。
北京互聯網法院2024年4月23日一審開庭宣判全國首例AI生成聲音人格權侵權案， 明確認定在具備可識別性的前提下， 自然人聲音權益的保護范圍可及于AI生成聲音。
六、智能網聯汽車行業數據合規治理進一步深化
2024年，我國智能網聯新能源汽車迎來急速發展期，2024年7月3日，工信部網站發布《五部門關于公布智能網聯汽車“車路云一體化”應用試點城市名單的通知》，正式確定了20個城市（聯合體）為智能網聯汽車“車路云一體化”應用試點城市。2024年6月4日，工信部網站發布《四部門有序開展智能網聯汽車準入和上路通行試點》的通知，確認了我國首批由9個汽車生產企業和9個使用主體組成的聯合體，將在北京、上海、廣州等7個城市開展智能網聯汽車準入和上路通行試點。這意味著L3級自動駕駛牌照廠商如果進入試點名單，則其在通過測試后即可以開發可量產的產品。在車輛自動駕駛功能日益先進的同時，也對智能網聯汽車處理數據的安全和合規性提出了更高的要求。
首先，測繪合規是智能網聯汽車的合規重點。智能網聯汽車通過高精度對外探測系統，在運營、測試過程中所收集的車內、車外信息，可能會涉及個人隱私、國家安全等問題。早在2022年，《自然資源部關于促進智能網聯汽車發展維護測繪地理信息安全的通知》（自然資規〔2022〕1號，以下簡稱“《1號通知》”）已經明確“智能網聯汽車在運行、服務和測試過程中，對車輛及周邊道路設施的空間坐標、實景影像（視頻和影像等環境感知數據）、點云及其屬性信息等地理信息數據（含道路拓撲數據）進行采集、存儲、傳輸和處理的行為，屬于《中華人民共和國測繪法》規定的測繪活動”，需要獲得相關資質才可進行。2024年7月26日，自然資源部印發《關于加強智能網聯汽車有關測繪地理信息安全管理的通知》（自然資發〔2024〕139號），在《1號通知》基礎上對于智能網聯汽車測繪合規要求進行了進一步梳理。要點包括：澄清基礎地圖也屬于導航電子地圖，應當由具備甲級導航電子地圖的機構進行[10]；測繪涉及數據應當“閉環”處理，即“智能網聯汽車采集、收集的用于導航相關活動以及地圖制作、更新的地理信息數據，直接傳輸至具備導航電子地圖制作測繪資質的單位管理，其他單位或個人不得接觸”；“地理信息數據必須存儲于境內”，申請向境外提供地理信息數據的，必須嚴格履行對外提供審批或地圖審核程序，并落實數據出境安全評估等有關規定?！?/p>
其次，行業數據安全標準更為清晰。2024年8月23日，工業和信息化部組織制定的GB 44495—2024《汽車整車信息安全技術要求》、GB 44496—2024《汽車軟件升級通用技術要求》和GB 44497—2024《智能網聯汽車 自動駕駛數據記錄系統》三項強制性國家標準由國家市場監督管理總局、國家標準化管理委員會批準發布，將于2026年1月1日起開始實施。這是我國智能網聯汽車領域的首批強制性國家標準，對于我國汽車產品的信息安全防護技術水平、規范車企軟件升級行為以及為事故責任認定及原因分析提供技術支撐具有重要意義。
全國汽車標準化技術委員會發布GB/T 44464-2024《汽車數據通用要求》詳細規定了汽車處理個人信息和重要數據的一般要求，對個人信息保護的要求，對于重要數據在收集、存儲、使用、傳輸、處理等各個環節中的保護要求以及審核評估及試驗要求等。自然資源部組織兩項強制性國家標準《智能網聯汽車時空數據傳感系統安全基本要求》和《智能網聯汽車時空數據安全處理基本要求》已經完成征求意見，對智能網聯汽車時空數據緊密處理， 以及存儲、 傳輸等都有了更為細致的要求。
七、數據安全規范基礎框架日臻完善
2024年，我國數據安全領域規范的基礎框架日臻完善。首先要關注2024年9月30日正式發布的《數安條例》。該條例自2025年1月1日起施行，歷時3年征求意見時間，終于落地。其作為《網絡安全法》《數據安全法》以及《個人信息保護法》三法的配套行政法規，與《關鍵信息基礎設施安全保護條例》和制定中的《網絡安全等級保護條例（征求意見稿）》，共同構建了我國網絡安全和數據保護領域的基本框架。
具體而言，《數安條例》從一般性合規要求、個人信息保護、重要數據安全、數據跨境、網絡平臺等方面細化了監管要求。與之相配套，2024年還出臺了一系列規范性文件以及國家推薦性標準（包括征求意見稿）支持相關規定的落地執行。
個人信息保護方面，《數安條例》重申了定期開展個人信息保護合規審計的義務要求。2024年7月全國網安標委發布《數據安全技術 個人信息保護合規審計要求（征求意見稿）》，并于2024年11月在金融、互聯網等重點行業和領域啟動試點。
重要數據方面，如上文所述《數安條例》不僅定義了“重要數據的概念”，還包括重要數據處理者的其他義務。配合2024年3月發布的GB/T 43697-2024《數據安全技術 數據分類分級規則》，重要數據的識別更為清晰。
數據跨境方面，《數安條例》在《數據跨境規定》規定的基礎上增加了“為履行法定職責或者法定義務，確需向境外提供個人信息”的個人信息跨境合法機制。
在基礎框架基礎上，工信、鐵路、自然資源、金融、民航等行業，亦紛紛出臺具有本行業特色的數據安全治理要求。對于數據處理主體，不僅需要關注網信辦發布的相關規定，也需要密切關注自身行業主管部門的相關要求。
例如：工信部印發《工業和信息化領域數據安全風險評估實施細則》明確重要數據和核心數據處理者每年至少開展一次數據安全風險評估，《工業和信息化領域數據安全事件應急預案（試行）》明確工信數據安全事件應急處理及報告的具體要求；《鐵路關鍵信息基礎設施安全保護管理辦法》發布，落實《關鍵信息基礎設施安全保護條例》的規定；自然資源部印發《自然資源領域數據安全管理辦法》用于自然資源領域數據的采集、存儲、傳輸、處理、使用和銷毀等全生命周期的安全管理；金融監管總局發布《銀行保險機構數據安全管理辦法》；民航局發布《民航數據管理辦法》《民航數據共享管理辦法》等。
八、2025年展望
關于數據安全和個人信息保護的“三法三條例”已經就位，所以2025年出臺突破性立法的可能性較低，但現有法規的細化與執行將成為重點。但是從實務角度，現有政策法規仍然亟須進一步優化，才可以適配復雜業務場景以及實際需求，有些規范性文件或者推薦性國家標準也亟須落地，例如：《網絡安全等級保護條例（征求意見稿）》《個人信息保護合規審計管理辦法（征求意見稿）》等，各行業重要數據目錄以及自貿區數據負面清單仍有待出臺、細化。
伴隨數據安全以及個人信息保護領域的監管要求逐步清晰和細化，相信針對網絡安全以及數據安全的保護義務和個人信息保護的執法會步入常態。同時，中國企業出海業務訴求日漸增長，結合當前的國際關系和地緣政治現狀，中國網絡安全數據合規工作將會面臨更多挑戰。2025年，無論是監管者還是市場參與者，均需要持開放、積極的態度，對于網絡安全數據合規工作進行系統性的應對。
注釋
[1] Frost & Sullivan聯合頭豹、上海數據交易所及大數據流通與交易技術國家工程實驗室共同發布的《2024年中國數據交易市場研究報告》。
[2] 重要數據是指一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能危害國家安全、公共利益或者個人、組織合法權益的數據，包括：
（一）軍事管理區、國防科工單位以及縣級以上黨政機關等重要敏感區域的地理信息、人員流量、車輛流量等數據；
（二）車輛流量、物流等反映經濟運行情況的數據；
（三）汽車充電網的運行數據；
（四）包含人臉信息、車牌信息等的車外視頻、圖像數據；
（五）涉及個人信息主體超過10萬人的個人信息；
（六）國家網信部門和國務院發展改革、工業和信息化、公安、交通運輸等有關部門確定的其他可能危害國家安全、公共利益或者個人、組織合法權益的數據。
[3] 這一政策趨勢主要源于《中共中央關于進一步全面深化改革 推進中國式現代化的決定》《扎實推進高水平對外開放更大力度吸引和利用外資行動方案》及《國務院關于進一步優化外商投資環境加大吸引外商投資力度的意見》。
[4] 敏感個人信息的門檻較先前規定沒有變化，仍為1萬人敏感個人信息。
[5] 為訂立、履行個人作為一方當事人的合同，如跨境購物、跨境寄遞、跨境匯款、跨境支付、跨境開戶、機票酒店預訂、簽證辦理、考試服務等，確需向境外提供個人信息的；
按照依法制定的勞動規章制度和依法簽訂的集體合同實施跨境人力資源管理，確需向境外提供員工個人信息的；
緊急情況下為保護自然人的生命健康和財產安全，確需向境外提供個人信息的；
數據處理者在境外收集和產生的個人信息傳輸至境內處理后向境外提供，處理過程中沒有引入境內個人信息或者重要數據的。
[6] 跨國企業涉及的供應商數據、客戶數據、消費者數據等，并不落入豁免范疇。
[7] 國家網信辦于11月發布《我國數據出境合規指引》，對《數據跨境規定》的相關要求進行了梳理，并列出了企業進行數據出境安全評估和標準合同備案的適用范圍以及詳細流程。該指引提供了地方各省級網信辦的聯系方式，擬幫助企業更好地了解并遵守數據出境的合規要求。
[8] 筆者理解在國際合作領域，中國與歐盟正式建立了中歐數據跨境流動交流機制，并與德國簽署了《關于中德數據跨境流動合作的諒解備忘錄》。但是上述機制具體落地的措施尚未為公眾所知，因此，在本文中并未將其列為出境的具體便利。
[9] 2024年11月世界互聯網大會烏鎮峰會“數據治理論壇”，國家互聯網信息辦公室網絡數據管理局數據安全監管處副處長薛飛介紹。
[10] “智能網聯汽車使用的基礎地圖、高級輔助駕駛地圖、高精度地圖、自動駕駛地圖等屬于導航電子地圖”。此規定進一步明確了《1號通知》中‘測繪活動’的范圍，將基礎地圖納入監管。
