數據出境合規標準或迎來重大調整——《規范和促進數據跨境流動規定（征求意見稿）》解讀
作者：吳衛明 劉昀東 2023-10-07自2023年6月1日《個人信息出境標準合同辦法》生效后，《網絡安全法》《數據安全法》《個人信息保護法》確立的數據出境合規的三大路徑——申報數據出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證——均有了可以遵循的操作規則。但在數據出境活動開展的同時，企業對是否應當適用或者如何適用三大路徑仍有諸多疑問。
2023年9月28日，雙節假日前最后一個工作日，國家互聯網信息辦公室（以下簡稱“國家網信辦”）就《規范和促進數據跨境流動規定（征求意見稿）》（以下簡稱《數據跨境規定》）公開征求意見。《數據跨境規定》對于數據出境合規活動中社會關切的問題進行了回應，并對現行標準進行了優化調整，在一定程度上降低了數據處理者的負擔，反映了監管機構對促進數據合理流動和保障數據安全兩個目標進行平衡的努力，很可能對后續各類機構數據出境合規義務的履行產生重大的、積極的影響。
《數據跨境規定》內容影響重大，值得存在數據出境活動的企業重點關注。本文將對其進行全面解讀，歸納與企業切身相關的八大要點。
一、《數據跨境規定》可能很快生效
相比于《數據出境安全評估辦法（征求意見稿）》和《個人信息出境標準合同規定（征求意見稿）》，這次征求意見的時間顯得更加緊迫。如果考慮到這次征求意見的期間還包含中秋國慶帶來的節假日，《數據跨境規定》征求意見的時間只有前兩者的一半?？梢韵胍姡稊祿缇骋幎ā返纳А嵤┐蟾怕室矔鼮楦咝?。
二、重要數據的認定依據更明確
《數據跨境規定》第二條規定，“未被相關部門、地區告知或者公開發布為重要數據的，數據處理者不需要作為重要數據申報數據出境安全評估。”
即，如果查不到本行業公開的重要數據認定標準，也沒有接到監管機構通知的，可以認為不需要適用重要數據的數據出境安全評估申報義務。該規定亦為降低重要數據認定的不確定性提供了依據。
三、境外個人信息中轉無須適用三大路徑
《數據跨境規定》第三條規定，“不是在境內收集產生的個人信息向境外提供，不需要申報數據出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證?！?/p>
雖然《信息安全技術 數據出境安全評估指南（征求意見稿）》第3.7條曾規定類似內容：（1）非在境內運營中收集和產生的個人信息和重要數據經由本國出境，未經任何變動或加工處理的，不屬于數據出境。（2）非在境內運營中收集和產生的個人信息和重要數據在境內存儲、加工處理后出境，不涉及境內運營中收集和產生的個人信息和重要數據的，不屬于數據出境。但是根據全國標準信息公共服務平臺公示信息，該標準制定計劃已經終止，而現行法律法規均未對于相關情形做出明確規定，因此境外收集、產生的個人信息存儲在境內后再向境外提供是否要履行數據出境安全評估申報義務一直是困擾相關數據處理者的問題之一。《數據跨境規定》給出了明確回答，而且結合上文關于生效時間的分析，該結論具有很強的可預期性。
四、特定必要情形無須適用三大路徑
《數據跨境規定》第四條規定，以下情形無須適用三大路徑：（一）為訂立、履行個人作為一方當事人的合同所必需，如跨境購物、跨境匯款、機票酒店預訂、簽證辦理等，必須向境外提供個人信息的；（二）按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理，必須向境外提供內部員工個人信息的；（三）緊急情況下為保護自然人的生命健康和財產安全等，必須向境外提供個人信息的。
上述情形也是《個人信息保護法》第十三條規定處理個人信息時可以豁免個人同意的第（二）項內容和第（四）項部分內容。這些情形本身具有特殊性，對于個人有明顯的增益作用，如果為了過分強調保護個人信息而限制相關個人信息處理活動則可能產生對于個人的權益造成不利影響，因此《數據跨境規定》規定該等情形無須適用三大路徑具有顯著的合理性。但企業在適用該條款的時候應當格外注意上述情形均存在“必須”的前提條件，即必要性條件。
五、少量個人信息出境的合規負擔大大降低
根據《數據出境安全評估辦法》《個人信息出境標準合同辦法》的規定，針對個人信息出境，僅有兩檔適用標準，即應當申報數據出境安全評估的，和可以訂立個人信息出境標準合同、通過個人信息保護認證而無須申報數據出境安全評估的。
《數據跨境規定》第五條、第六條在對原有兩檔適用標準作出調整的基礎上，增加第三檔：無須適用三大路徑的。并且《數據跨境規定》第十一條明確，《數據出境安全評估辦法》、《個人信息出境標準合同辦法》等相關規定與《數據跨境規定》不一致的，按照《數據跨境規定》執行。
通過以上對比可以發現，《數據跨境規定》不再以處理100萬人以上個人信息的數據處理者這個主體身份（關鍵信息基礎設施運營者由于《數據跨境規定》第八條的規定可能排除適用）以及是否屬于敏感個人信息作為判斷標準，而是單純以出境的個人信息數量作為判斷標準，并且下調了門檻。比如兩年內出境10萬人個人信息的數據處理者按照原標準應當申報數據出境安全評估，標準變更后只需要訂立標準合同（兩年內出境10萬人個人信息，對應預計一年內出境個人信息1萬人以上、不滿100萬人）；兩年內出境不滿1萬人個人信息的數據處理者按照原標準應當訂立標準合同，標準變更后無須適用三大路徑。這種變化大大降低了僅出境少量個人信息的數據處理者以及具有少量個人信息出境需求的企業的負擔。對于處理大量個人信息，但實際僅有少量個人信息出境的數據處理者而言，更是大幅度減輕了數據出境安全評估的壓力。
六、自貿區內非負面清單可以無須適用三大路徑
《數據跨境規定》第七條規定，自由貿易試驗區可自行制定本自貿區需要適用三大路徑的數據清單（即“負面清單”），負面清單外的數據出境可以無須適用三大路徑。負面清單應當報經省級網絡安全和信息化委員會批準，報國家網信部門備案。
對于強調商貿跨境合作的自貿區而言，數據的跨境流動需求是十分旺盛且必要的。上述條款帶來的政策支持十分重要，可以大大降低發展過程中對于數據出境安全合規風險的顧慮。
七、增加補救和報告義務
在眾多條款大大降低企業合規負擔的基礎上，《數據跨境規定》第九條強調數據出境仍應合法合規、保障數據安全，數據處理者不能忽視對于保障方面要求的關注。并且規定，數據處理者發生數據出境安全事件或者發現數據出境安全風險增大的，應當采取補救措施，及時向網信部門報告。
發生安全事件時的補救和報告義務（應急處置義務）已經在《網絡安全法》《數據安全法》《個人信息保護法》中規定，屬于事后管控的一部分。而發現數據出境安全風險增大的補救和報告義務則可以認為是一種降低事前負擔增強事中管控的平衡。
八、法律后果可預期性增強
由于《個人信息保護法》對于違法行為對應的法律后果規定比較寬泛，導致未滿足合規條件的數據出境活動最終將面臨的法律責任區間較大，法律責任的可預期性較差。《數據跨境規定》第十條規定，網信部門發現數據出境活動存在較大風險或者發生安全事件的，要求數據處理者進行整改消除隱患；對拒不改正或者導致嚴重后果的，依法責令其停止數據出境活動，保障數據安全。這些規定增強了法律后果的可預期性。
應當注意的是，上述規定圍繞的是數據出境活動存在較大風險或者發生安全事件的情形，但是數據處理的全生命周期不僅僅是出境這一個環節，其他環節仍然可能衍生出更嚴重的法律風險，例如違法數據出境，風險點還可能包括數據來源違法的情形，尤其是違法收集個人信息的情形，仍面臨侵犯公民個人信息的法律風險。
小結
通過以上分析可以看出，《數據跨境規定》對于數據跨境合理流動與數據安全的平衡有了進一步的規定，如果《數據跨境規定》得已通過并施行，無疑有利于減輕企業的數據出境合規壓力。
