《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》生效后需要關(guān)注的八大問題
作者：吳衛(wèi)明 劉昀東 2024-03-232024年3月22日，《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》（以下簡稱《數(shù)據(jù)跨境規(guī)定》）正式公布并施行。2023年9月28日，國家互聯(lián)網(wǎng)信息辦公室（以下簡稱“國家網(wǎng)信辦”）就《規(guī)范和促進(jìn)數(shù)據(jù)跨境流動(dòng)規(guī)定（征求意見稿）》（以下簡稱《征求意見稿》）公開征求意見，歷時(shí)近半年，《數(shù)據(jù)跨境規(guī)定》終于落地實(shí)施。
從《征求意見稿》到《數(shù)據(jù)跨境規(guī)定》，兩個(gè)文件的名稱有細(xì)微變化，《征求意見稿》的用詞為“規(guī)范和促進(jìn)”，而《數(shù)據(jù)跨境規(guī)定》的用詞則為 “促進(jìn)和規(guī)范”，這一名稱的變化值得關(guān)注。為了正確在實(shí)踐中正確理解《數(shù)據(jù)跨境規(guī)定》，應(yīng)當(dāng)重點(diǎn)關(guān)注如下八大問題：
一、適用范圍更為清晰
《征求意見稿》第八條規(guī)定“國家機(jī)關(guān)和關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者向境外提供個(gè)人信息和重要數(shù)據(jù)的，依照有關(guān)法律、行政法規(guī)、部門規(guī)章規(guī)定執(zhí)行。向境外提供涉及黨政軍和涉密單位敏感信息、敏感個(gè)人信息的，依照有關(guān)法律、行政法規(guī)、部門規(guī)章規(guī)定執(zhí)行?！痹摋l款將國家機(jī)關(guān)和關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者這兩類主體和黨政軍和涉密單位敏感信息、敏感個(gè)人信息這類信息排除適用。
《數(shù)據(jù)跨境規(guī)定》則未保留該條款，而是區(qū)分不同部門法的規(guī)制范圍，進(jìn)行了適用上的區(qū)分，從而更有利于實(shí)施。主要體現(xiàn)為兩方面：
1、關(guān)鍵信息基礎(chǔ)設(shè)施和國家機(jī)關(guān)進(jìn)行了區(qū)分
《征求意見稿》將關(guān)鍵信息基礎(chǔ)設(shè)施和國家機(jī)關(guān)并列表述，雖然也規(guī)定了需要適用有關(guān)法律、行政法規(guī)、部門規(guī)章，但由于關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者和國家機(jī)關(guān)，在《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》所規(guī)定的數(shù)據(jù)出境制度設(shè)計(jì)上采用的是不同審批流程，是兩項(xiàng)不同的制度，因此并列表述可能會(huì)引發(fā)一定的歧義。
《數(shù)據(jù)跨境規(guī)定》中，則直接將關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者向境外提供個(gè)人信息或者重要數(shù)據(jù)列入了需要申報(bào)數(shù)據(jù)出境安全評(píng)估的范圍，并且在第七條設(shè)置適用豁免條件的特殊規(guī)則。國家機(jī)關(guān)數(shù)據(jù)出境，由于有《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》的專門的規(guī)定，因而未作提及。
2、將黨政軍和涉密單位敏感信息、敏感個(gè)人信息進(jìn)行了區(qū)分
《征求意見稿》直接規(guī)定，向境外提供涉及黨政軍和涉密單位敏感信息、敏感個(gè)人信息的，依照有關(guān)法律、行政法規(guī)、部門規(guī)章規(guī)定執(zhí)行。
《數(shù)據(jù)跨境規(guī)定》中，對(duì)敏感個(gè)人信息出境的規(guī)則直接做了規(guī)定，并且相較《數(shù)據(jù)出境安全評(píng)估辦法》、《個(gè)人信息出境標(biāo)準(zhǔn)合同辦法》有一定細(xì)化。而向境外提供涉及黨政軍和涉密單位敏感信息，由于有其他相關(guān)法律的規(guī)定，因而《數(shù)據(jù)跨境規(guī)定》并未直接提及。
上述變化，對(duì)于適用主體、適用數(shù)據(jù)類型的規(guī)定更為清晰，也更有利于在實(shí)施中予以正確理解。
二、加強(qiáng)關(guān)注重要數(shù)據(jù)的識(shí)別義務(wù)
《數(shù)據(jù)跨境規(guī)定》第二條保留了《征求意見稿》中關(guān)于不需要作為重要數(shù)據(jù)申報(bào)的情形的規(guī)定，即“未被相關(guān)部門、地區(qū)告知或者公開發(fā)布為重要數(shù)據(jù)的，數(shù)據(jù)處理者不需要作為重要數(shù)據(jù)申報(bào)數(shù)據(jù)出境安全評(píng)估”。同時(shí)，增加了“數(shù)據(jù)處理者應(yīng)當(dāng)按照相關(guān)規(guī)定識(shí)別、申報(bào)重要數(shù)據(jù)”的要求，提示數(shù)據(jù)處理者仍然具有識(shí)別重要數(shù)據(jù)的義務(wù)。
此外，相較于《征求意見稿》關(guān)于自貿(mào)區(qū)負(fù)面清單的規(guī)定，《數(shù)據(jù)跨境規(guī)定》亦增加了“在國家數(shù)據(jù)分類分級(jí)保護(hù)制度框架下”的限定條件。
而且《數(shù)據(jù)跨境規(guī)定》第五條特意強(qiáng)調(diào)“前款所稱向境外提供的個(gè)人信息，不包括重要數(shù)據(jù)”，提示了個(gè)人信息可能在特定情況下被認(rèn)定為重要數(shù)據(jù)，與《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)分類分級(jí)規(guī)則》中識(shí)別重要數(shù)據(jù)時(shí)“一定規(guī)模”這個(gè)要素以及《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》中涉及個(gè)人信息主體超過10萬人的個(gè)人信息屬于重要數(shù)據(jù)的規(guī)定存在呼應(yīng)。
上述規(guī)定體現(xiàn)了對(duì)于重要數(shù)據(jù)的識(shí)別是數(shù)據(jù)安全的基石之一，無論是政府還是企業(yè)都應(yīng)當(dāng)予以重視，也與2024年3月21日發(fā)布、2024年10月1日實(shí)施的《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)分類分級(jí)規(guī)則》產(chǎn)生了連接，使得數(shù)據(jù)分類分級(jí)制度更為立體。
三、免予適用三大路徑的條件存在變化
《征求意見稿》中，免予適用申報(bào)數(shù)據(jù)出境安全評(píng)估、訂立個(gè)人信息出境標(biāo)準(zhǔn)合同、通過個(gè)人信息保護(hù)認(rèn)證三大路徑（以下簡稱“三大路徑”）的情形（以下簡稱“豁免條件”）包括七種，在《數(shù)據(jù)跨境規(guī)定》中基本予以了保留，但均存在一定變化。為便于查看，筆者特將對(duì)比分析情況制作成如下表格：
其中，第六種還與適用三大路徑的門檻相關(guān)，另對(duì)比如下表所示：
綜合而言，《數(shù)據(jù)跨境規(guī)定》沿襲了《征求意見稿》的精神，明確了無須適用三大路徑的標(biāo)準(zhǔn)，并且通過調(diào)整統(tǒng)計(jì)期間和統(tǒng)計(jì)數(shù)量標(biāo)準(zhǔn)縮小了“應(yīng)當(dāng)申報(bào)安全評(píng)估”的范圍。相對(duì)于《征求意見稿》，進(jìn)一步明確了“敏感個(gè)人信息”的出境規(guī)則。
另外值得一提的是，雖然統(tǒng)計(jì)期間的表達(dá)方式由預(yù)期判斷變更為當(dāng)年計(jì)數(shù)，但仍然需要做好預(yù)估與監(jiān)測(cè)工作，避免疏忽的情況下超越門檻而未開展相應(yīng)程序引發(fā)合規(guī)風(fēng)險(xiǎn)。
四、豁免條件和數(shù)量統(tǒng)計(jì)之間的關(guān)系更為明確
在《征求意見稿》發(fā)布后，因?yàn)闆]有相應(yīng)明確規(guī)定，引發(fā)了一個(gè)容易產(chǎn)生爭議的問題：如果某些情形滿足特定必要情形的豁免條件（例如“履行合同必要”），但其出境數(shù)據(jù)的數(shù)量可能已經(jīng)達(dá)到或超過了應(yīng)該申報(bào)數(shù)據(jù)出境安全評(píng)估或辦理個(gè)人信息出境標(biāo)準(zhǔn)合同備案的數(shù)量標(biāo)準(zhǔn)（如跨境機(jī)票預(yù)定數(shù)量超過了100萬人），在判斷是否適用三大路徑數(shù)量標(biāo)準(zhǔn)時(shí)還需要統(tǒng)計(jì)這一數(shù)量？優(yōu)先適用豁免條款或是數(shù)量條款？
在《數(shù)據(jù)跨境規(guī)定》中，這一問題進(jìn)一步予以了明確，因?yàn)殛P(guān)于數(shù)量標(biāo)準(zhǔn)的第七條、第八條都有一個(gè)特殊適用規(guī)則，即“屬于本規(guī)定第三條、第四條、第五條、第六條規(guī)定情形的，從其規(guī)定”。第三條、第四條、第五條、第六條規(guī)定了六種豁免情形。由此可以理解為，滿足豁免條件的情形，則無需對(duì)數(shù)量進(jìn)行統(tǒng)計(jì)，用于判斷適用何種路徑。
五、安全評(píng)估有效期延長
《數(shù)據(jù)跨境規(guī)定》第九條將《數(shù)據(jù)出境安全評(píng)估辦法》第十四條規(guī)定的安全評(píng)估結(jié)果有效期2年變更為3年，并且新增了可以申請(qǐng)繼續(xù)延長3年的規(guī)定（申請(qǐng)期間為有效期屆滿前60個(gè)工作日內(nèi)，批準(zhǔn)機(jī)關(guān)仍為國家網(wǎng)信辦）。意味著如果相關(guān)數(shù)據(jù)出境活動(dòng)需要持續(xù)開展，可在評(píng)估有效期屆滿前，依照國家網(wǎng)信辦規(guī)定的程序申請(qǐng)延長。
但是應(yīng)當(dāng)注意的是，目前對(duì)于如何申請(qǐng)繼續(xù)延長并沒有明確規(guī)定，因此需要關(guān)注相應(yīng)細(xì)則落地，避免因未及時(shí)履行申請(qǐng)繼續(xù)延長的手續(xù)而導(dǎo)致數(shù)據(jù)出境活動(dòng)面臨合規(guī)風(fēng)險(xiǎn)。
此外，延長有效期以數(shù)據(jù)出境安全評(píng)估所申報(bào)的實(shí)際數(shù)據(jù)出境狀態(tài)未發(fā)生重大變化為基礎(chǔ)。因此，在通過數(shù)據(jù)出境安全評(píng)估后，仍需嚴(yán)格按照評(píng)估申報(bào)的內(nèi)容實(shí)施數(shù)據(jù)出境，否則評(píng)估到期可能無法獲得延期的批準(zhǔn)。
六、不適用三大路徑不意味著沒有合規(guī)義務(wù)
雖然《數(shù)據(jù)跨境規(guī)定》的生效在一定程度上意味著數(shù)據(jù)處理者部分合規(guī)工作的強(qiáng)度可以得到緩釋，但并不意味著數(shù)據(jù)處理者無須因數(shù)據(jù)出境活動(dòng)履行合規(guī)義務(wù)。因?yàn)榧词箤儆谶m用豁免條件的情形，仍需要取得個(gè)人單獨(dú)同意以確保合法性基礎(chǔ)，并需要開展個(gè)人信息保護(hù)影響評(píng)估、履行數(shù)據(jù)安全保護(hù)義務(wù)、采取技術(shù)措施和其他必要措施、安全事件應(yīng)急處置（含采取補(bǔ)救措施、報(bào)告等）、建立數(shù)據(jù)安全/個(gè)人信息保護(hù)體系等義務(wù)。
而且，在適用豁免條件的情形下，如果未通過三大路徑對(duì)于數(shù)據(jù)處理者合規(guī)義務(wù)履行情況進(jìn)行一定程度上的驗(yàn)證，則更考驗(yàn)數(shù)據(jù)處理者自身對(duì)于合規(guī)義務(wù)履行情況的判斷。如果數(shù)據(jù)處理者判斷不到位或者履行合規(guī)義務(wù)不到位，則將導(dǎo)致相關(guān)合規(guī)風(fēng)險(xiǎn)，例如由于個(gè)人信息出境活動(dòng)未取得個(gè)人單獨(dú)同意導(dǎo)致需要承擔(dān)侵犯個(gè)人信息權(quán)益的相關(guān)法律責(zé)任。
七、法律責(zé)任的可預(yù)期性加強(qiáng)
由于《個(gè)人信息保護(hù)法》對(duì)于違法行為對(duì)應(yīng)的法律后果規(guī)定比較寬泛，導(dǎo)致未滿足合規(guī)條件的數(shù)據(jù)出境活動(dòng)，尤其是個(gè)人信息出境活動(dòng)最終將面臨的法律責(zé)任存在比較大的適用區(qū)間。而《數(shù)據(jù)跨境規(guī)定》第十二條規(guī)定，網(wǎng)信部門發(fā)現(xiàn)數(shù)據(jù)出境活動(dòng)存在較大風(fēng)險(xiǎn)或者發(fā)生數(shù)據(jù)安全事件的，要求數(shù)據(jù)處理者進(jìn)行整改，消除隱患；對(duì)拒不改正或者造成嚴(yán)重后果的，依法追究法律責(zé)任。這些規(guī)定增強(qiáng)了法律后果的可預(yù)期性。
應(yīng)當(dāng)注意的是，上述規(guī)定圍繞的是數(shù)據(jù)出境活動(dòng)存在較大風(fēng)險(xiǎn)或者發(fā)生安全事件的情形，但是數(shù)據(jù)處理的全生命周期不僅僅是出境這一個(gè)環(huán)節(jié)，其他環(huán)節(jié)仍然可能衍生出更嚴(yán)重的法律風(fēng)險(xiǎn)，例如違法數(shù)據(jù)出境，風(fēng)險(xiǎn)點(diǎn)主要在數(shù)據(jù)來源違法而不是數(shù)據(jù)出境未適用三大路徑，尤其是數(shù)據(jù)來源于違法收集個(gè)人信息的情形，仍面臨侵犯個(gè)人信息的刑事風(fēng)險(xiǎn)。
八、原來的申報(bào)備案工作如何處理
目前可能存在很多數(shù)據(jù)處理者已經(jīng)適用原標(biāo)準(zhǔn)，正處于申報(bào)數(shù)據(jù)安全評(píng)估或者個(gè)人信息出境標(biāo)準(zhǔn)合同的過程中。對(duì)于這一種情形，《數(shù)據(jù)跨境規(guī)定》未做出明確規(guī)定，但在《〈促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定〉答記者問》中，國家網(wǎng)信辦有關(guān)負(fù)責(zé)人的回答可以作為監(jiān)管機(jī)關(guān)的態(tài)度予以參考：
《數(shù)據(jù)跨境規(guī)定》施行前已經(jīng)通過數(shù)據(jù)出境安全評(píng)估的數(shù)據(jù)出境活動(dòng)，數(shù)據(jù)處理者可以根據(jù)申報(bào)事項(xiàng)繼續(xù)開展。
《數(shù)據(jù)跨境規(guī)定》施行前未通過或者部分未通過數(shù)據(jù)出境安全評(píng)估，根據(jù)《數(shù)據(jù)跨境規(guī)定》免予申報(bào)數(shù)據(jù)出境安全評(píng)估的數(shù)據(jù)出境活動(dòng)，數(shù)據(jù)處理者可以依法通過訂立個(gè)人信息出境標(biāo)準(zhǔn)合同、通過個(gè)人信息保護(hù)認(rèn)證等其他途徑向境外提供個(gè)人信息。
