企業(yè)數(shù)據(jù)出境申報趨勢與成功案例分析
作者：王良 2023-07-25隨著中國數(shù)據(jù)立法的不斷完善與執(zhí)法監(jiān)管日益加強(qiáng)，數(shù)據(jù)出境合規(guī)已經(jīng)成為跨國企業(yè)關(guān)注的重點問題，對企業(yè)的跨境經(jīng)營行為帶來直接的影響。其中，《數(shù)據(jù)出境安全評估辦法》所設(shè)定的六個月整改期，已于2023年2月28日結(jié)束；《個人信息出境標(biāo)準(zhǔn)合同規(guī)定》所設(shè)定的六個月整改期從2023年6月1日開始，并將于2023年11月30日結(jié)束。與此同時，《網(wǎng)信部門行政執(zhí)法程序規(guī)定》在2023年6月1日開始生效，與《個人信息出境標(biāo)準(zhǔn)合同規(guī)定》同日施行。跨國企業(yè)面對數(shù)據(jù)出境的合規(guī)挑戰(zhàn)，在實體法和程序法上將同時面臨越來越大的執(zhí)法與監(jiān)管壓力。
一、數(shù)據(jù)出境申報成功案例情況介紹
截止目前，通過公開渠道查詢到，成功通過數(shù)據(jù)出境申報（國家網(wǎng)信部門的“審批”或“備案”）的企業(yè)僅有15件，與國家網(wǎng)信辦和各地省級網(wǎng)信辦已受理的千余件申報相比，數(shù)據(jù)出境申報通過率僅為百分之一。這15件申報成功案例所涉企業(yè)名稱與基本情況如下：
在以上申報案例中：
（1）首都醫(yī)科大學(xué)附屬北京友誼醫(yī)院普外中心和阿姆斯特丹大學(xué)醫(yī)學(xué)中心普通外科作為全球牽頭中心發(fā)起的國際多中心臨床研究項目，成為全國首個通過數(shù)據(jù)安全評估合規(guī)出境案例（編號20220001）。
（2）在汽車制造領(lǐng)域，北京現(xiàn)代汽車有限公司的數(shù)據(jù)出境申報進(jìn)行全系統(tǒng)盤點、全業(yè)務(wù)申報，且全場景獲批，成為我國汽車領(lǐng)域首個通過國家互聯(lián)網(wǎng)辦公室的審批的數(shù)據(jù)出境安全評估項目。
（3）在跨境電商領(lǐng)域，焦點科技股份有限公司的“中國制造網(wǎng)外貿(mào)電商平臺業(yè)務(wù)”通過國家網(wǎng)信辦數(shù)據(jù)出境安全評估，成為跨境電商領(lǐng)域全國首個數(shù)據(jù)合規(guī)出境案例。
（4）馬自達(dá)（中國）企業(yè)管理有限公司、絲芙蘭（上海）化妝品銷售有限公司是上海首批通過數(shù)據(jù)出境安全評估的兩家企業(yè)。
（5）杭州海康威視數(shù)字技術(shù)股份有限公司、杭州螢石網(wǎng)絡(luò)股份有限公司是浙江省首批 通過國家網(wǎng)信辦數(shù)據(jù)出境安全評估的企業(yè)。
（6）邦貝液壓機(jī)械(杭州)有限公司提交的個人信息出境標(biāo)準(zhǔn)合同通過了浙江省互聯(lián)網(wǎng)信息辦公室組織的備案審核，是浙江省首家通過訂立標(biāo)準(zhǔn)合同實現(xiàn)個人信息合規(guī)出境的企業(yè)。
（7）綠點科技（深圳）有限公司、安利（中國）日用品有限公司、捷普電子（廣州）有限公司等企業(yè)是廣東省首批通過數(shù)據(jù)出境安全評估的三家企業(yè)。
（8）捷普電子（威海）有限公司是山東省首家通過國家互聯(lián)網(wǎng)信息辦公室數(shù)據(jù)出境安全評估的企業(yè)。
（9）北京德億信數(shù)據(jù)有限公司與香港諾華誠信有限公司簽訂的個人信息出境標(biāo)準(zhǔn)合同通過市網(wǎng)信辦組織的備案審核，備案號為“京合同備202300001”，成為國內(nèi)首家通過訂立標(biāo)準(zhǔn)合同實現(xiàn)個人信息合規(guī)出境的企業(yè)。
二、數(shù)據(jù)出境申報企業(yè)類型、行業(yè)分布與路徑選擇
（一）申報企業(yè)類型
在統(tǒng)計的15件數(shù)據(jù)出境申報成功案例中，申報企業(yè)類型包括國有企事業(yè)單位、民營企業(yè)和外資企業(yè)，其中，三分之二為外資企業(yè)。從以上分析可以認(rèn)為，跨境數(shù)據(jù)流動成為企業(yè)開展跨境經(jīng)營的基本方式，數(shù)據(jù)出境行為廣泛存在于各類企業(yè)中，外資企業(yè)的常態(tài)性數(shù)據(jù)出境尤為居多。例如，安利（中國）日用品有限公司，其總部在美國且業(yè)務(wù)分布全球各地，安利中國的部分產(chǎn)品和服務(wù)也涉及跨境業(yè)務(wù)，將個人信息等數(shù)據(jù)傳輸?shù)骄惩獬蔀楸厝恍枨蟆?/p>
中國的數(shù)據(jù)立法包括《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護(hù)法》等，對外資企業(yè)以及擁有海外業(yè)務(wù)的中資企業(yè)影響最為直接。針對外資企業(yè)與境外總部的人力資源管理、業(yè)務(wù)合作、技術(shù)研究、跨境供應(yīng)鏈管理、服務(wù)外包等典型應(yīng)用場景，均需要通過數(shù)據(jù)出境申報來實現(xiàn)數(shù)據(jù)的合規(guī)出境。從法律遵從來看，針對中國數(shù)據(jù)立法所帶來的影響，外資企業(yè)反應(yīng)較為迅速，能夠更加積極地去開展企業(yè)數(shù)據(jù)合規(guī)整改，面對數(shù)據(jù)合規(guī)與本地化帶來的業(yè)務(wù)與管理挑戰(zhàn)，盡早安排數(shù)據(jù)出境申報來滿足數(shù)據(jù)出境合規(guī)要求。
（二）申報企業(yè)行業(yè)分布
這15件數(shù)據(jù)出境申報成功的案例，分別涉及設(shè)備制造、跨境電商、汽車制造、日化、民航、醫(yī)療、智能家居、智能物聯(lián)網(wǎng)等行業(yè)，其中，制造業(yè)企業(yè)（設(shè)備制造與汽車制造等）占五成以上。其他數(shù)據(jù)出境申報的重點行業(yè)和領(lǐng)域還包括：互聯(lián)網(wǎng)、醫(yī)療、電信、金融、物流、信息與技術(shù)服務(wù)等。
一般認(rèn)為，中國制造行業(yè)的數(shù)字化程度總體不高，但在數(shù)據(jù)跨境流動方面，制造行業(yè)中的“涉外型企業(yè)”基于跨境供應(yīng)鏈、人員管理等目的，數(shù)據(jù)出境場景較多。2023年1月1日實行的《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》確定工業(yè)和信息化領(lǐng)域數(shù)據(jù)分類分級管理、重要數(shù)據(jù)識別與備案相關(guān)要求，為工業(yè)企業(yè)的數(shù)據(jù)出境申報提供更多依據(jù)。但早在2021年10月1日實行《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》建立起的多項評估機(jī)制，包括：對重要數(shù)據(jù)處理活動定期開展風(fēng)險評估、對個人信息處理活動開展個人信息保護(hù)影響評估、對汽車數(shù)據(jù)安全管理情況年度報送制度等，讓汽車制造行業(yè)比其他行業(yè)更早重視并實踐數(shù)據(jù)合規(guī)工作，落實數(shù)據(jù)出境安全評估制度要求。盡管汽車行業(yè)的產(chǎn)業(yè)鏈長、全球性系統(tǒng)占比高、出境場景復(fù)雜，北京現(xiàn)代汽車有限公司在生產(chǎn)采購、索賠管理、全球質(zhì)量反饋等300多個數(shù)據(jù)項上準(zhǔn)予出境，馬自達(dá)（中國）企業(yè)管理有限公司也在多個場景率先通過數(shù)據(jù)安全評估并準(zhǔn)予數(shù)據(jù)出境。
（三）申報企業(yè)數(shù)據(jù)出境路徑
在統(tǒng)計的15件數(shù)據(jù)出境申報成功案例中，13件案例所涉企業(yè)申報了數(shù)據(jù)出境安全評估，2例通過個人信息出境標(biāo)準(zhǔn)合規(guī)備案。從結(jié)果來看，數(shù)據(jù)出境安全評估申報被批準(zhǔn)的企業(yè)數(shù)量遠(yuǎn)多于通過個人信息出境標(biāo)準(zhǔn)合同備案的企業(yè)。
根據(jù)《數(shù)據(jù)出境安全評估辦法》規(guī)定，觸發(fā)數(shù)據(jù)安全評估的情況包括：（1）出境數(shù)據(jù)包含重要數(shù)據(jù)。例如，首都醫(yī)科大學(xué)附屬北京友誼醫(yī)院，通過建立重要數(shù)據(jù)出境的審核、評估和監(jiān)督機(jī)制，規(guī)范數(shù)據(jù)出境活動。（2）關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者需進(jìn)行數(shù)據(jù)出境。案例中并沒有披露是否屬于關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者的身份信息，當(dāng)企業(yè)被列為這類主體名單并存在數(shù)據(jù)出境的，必須及時申請數(shù)據(jù)出境安全評估。（3）數(shù)據(jù)處理達(dá)到法定量級。例如，焦點科技旗下中國制造網(wǎng)平臺，擁有百萬級中國供應(yīng)商和千萬級全球采購商會員，年訪問量超過22億人次，屬于數(shù)據(jù)達(dá)量而觸發(fā)數(shù)據(jù)安全評估申報。
除了數(shù)據(jù)安全評估的路徑外，還有兩例通過個人信息出境標(biāo)準(zhǔn)合同備案，分別是邦貝液壓機(jī)械（杭州）有限公司和北京德億信數(shù)據(jù)有限公司，其中北京德億信數(shù)據(jù)有限公司是向香港傳輸與征信相關(guān)的個人信息。分析認(rèn)為，《數(shù)據(jù)出境安全評估辦法》的發(fā)布和實施早于《個人信息出境標(biāo)準(zhǔn)合同辦法》，觸發(fā)數(shù)據(jù)出境安全評估條件的企業(yè)很早就開始了數(shù)據(jù)合規(guī)整改與申報，而適用于個人信息出境標(biāo)準(zhǔn)合同備案路徑的企業(yè)仍處于法定整改期。這是申報數(shù)據(jù)出境安全評估被批準(zhǔn)企業(yè)數(shù)量多余個人信息出境標(biāo)準(zhǔn)合同備案企業(yè)的原因之一。但事實上，數(shù)據(jù)出境標(biāo)準(zhǔn)合同備案更加便利，程序簡單，備案也側(cè)重于形式審查，將成為大多數(shù)企業(yè)個人信息出境的路徑選擇。
三、網(wǎng)信部門數(shù)據(jù)出境申報受理與趨勢
（一）各級網(wǎng)信部門數(shù)據(jù)出境申報受理情況
在上述15件案例中，通過北京市網(wǎng)信辦進(jìn)行備案或申報數(shù)據(jù)安全出境的企業(yè)有四家，浙江省網(wǎng)信辦有4家，廣州省網(wǎng)信辦有3家，上海市網(wǎng)信辦有2家，其他有2家。北京、上海、廣東、浙江區(qū)域的企業(yè)占據(jù)成功申報案例中的絕大多數(shù)。
國家網(wǎng)信部門根據(jù)法律規(guī)定對企業(yè)的數(shù)據(jù)出境行為進(jìn)行審批或備案，具體為：（1）國家網(wǎng)信部門審批程序。出現(xiàn)觸發(fā)數(shù)據(jù)安全評估的情形，如上文所述，企業(yè)應(yīng)通過所在地省級網(wǎng)信部門向國家網(wǎng)信部門申報數(shù)據(jù)出境安全評估。省級網(wǎng)信部門查收申報材料，僅對申報材料進(jìn)行完備性查驗，不決定是否受理；如通過完備性查驗，則上報申報材料至國家網(wǎng)信辦由國家網(wǎng)信辦決定是否受理。國家網(wǎng)信辦根據(jù)申報情況組織國務(wù)院有關(guān)部門、省級網(wǎng)信部門、專門機(jī)構(gòu)等進(jìn)行安全評估，做出是否準(zhǔn)予數(shù)據(jù)出境的決定。（2）省級網(wǎng)信辦備案程序。企業(yè)通過訂立標(biāo)準(zhǔn)合同的方式向境外提供個人信息的，在標(biāo)準(zhǔn)合同生效之日起10個工作日內(nèi)向所在地省級網(wǎng)信部門備案。
網(wǎng)信部門對于企業(yè)數(shù)據(jù)出境審批或備案的“級別管轄”規(guī)定相對明確，但“地域管轄”的規(guī)定模糊。對于集團(tuán)型企業(yè)以及投資關(guān)系復(fù)雜、分子公司或關(guān)聯(lián)公司眾多的企業(yè)，如何確定申報主體，在實務(wù)操作中是一個難題。在以上申報案例中，查閱到綠點科技（深圳)有限公司、捷普電子（威海）有限公司、捷普電子（廣州）有限公司屬于關(guān)聯(lián)企業(yè)，他們以獨立法人為主體，分別向廣東省網(wǎng)信辦和山東省網(wǎng)信辦提交數(shù)據(jù)安全評估申報；杭州海康威視數(shù)字技術(shù)股份有限公司與杭州螢石網(wǎng)絡(luò)股份有限公司也屬于關(guān)聯(lián)企業(yè)，他們也以獨立法人為主體，向浙江省網(wǎng)信辦提交數(shù)據(jù)安全評估申報。從申報案例來看，網(wǎng)信部門接受關(guān)聯(lián)企業(yè)以獨立法人為主體各自單獨申報，但鑒于企業(yè)網(wǎng)絡(luò)設(shè)備與數(shù)據(jù)處理行為的多樣性，決定受理的“地域管轄”因素比較復(fù)雜，地域管轄鏈接點包括：“相關(guān)服務(wù)許可地或者備案地，主營業(yè)地、登記地，網(wǎng)站建立者、管理者、使用者所在地，網(wǎng)絡(luò)接入地，服務(wù)器所在地，計算機(jī)等終端設(shè)備所在地等”。如果選擇任一鏈接點作為網(wǎng)信部門的受理依據(jù)，不但會造成行政受理行為的交叉或重疊，也會造成企業(yè)的申報混亂。對于實踐中存在的集團(tuán)企業(yè)或關(guān)聯(lián)公司間的“委托申報”、“合并申報”的審批口徑與操作問題，有待國家網(wǎng)信部門盡快給予明確指引。
（二）數(shù)據(jù)出境企業(yè)申報趨勢
在上述15件案例中，在2023年2月28日數(shù)據(jù)出境安全評估六個月整改期截止日（第一個整改期）之前，只有兩家企業(yè)通過國家網(wǎng)信辦的準(zhǔn)予數(shù)據(jù)出境批準(zhǔn)，之后分別有11家企業(yè)陸續(xù)被批準(zhǔn)，時間集中在2023年5月和6月期間。個人信息出境標(biāo)準(zhǔn)合同備案成功的兩家企業(yè)，分別是在2023年6月和7月。預(yù)計在2023年11月30日個人信息出境標(biāo)準(zhǔn)合同備案整改期（第二個整改期）之前，隨著網(wǎng)信部門審核速度的加快，將會出現(xiàn)更多通過審批或備案的企業(yè)。
網(wǎng)信部門對于數(shù)據(jù)出境審批或備案的時間期限有著明確約定，具體如下：
（1）國家網(wǎng)信部門數(shù)據(jù)出境安全評估與審批時間。企業(yè)通過省級網(wǎng)信部門提出數(shù)據(jù)出境安全評估后，省級網(wǎng)信部門應(yīng)當(dāng)自收到申報材料之日起5個工作日內(nèi)完成完備性查驗。申報材料齊全的，將申報材料報送國家網(wǎng)信部門；申報材料不齊全的，應(yīng)當(dāng)退回數(shù)據(jù)處理者并一次性告知需要補(bǔ)充的材料。國家網(wǎng)信部門應(yīng)當(dāng)自向數(shù)據(jù)處理者發(fā)出書面受理通知書之日起45個工作日內(nèi)完成數(shù)據(jù)出境安全評估。因此通常來說，申報數(shù)據(jù)出境安全評估最長需要57個工作日，但存在情況疑難復(fù)雜、材料需補(bǔ)充更正或需申請復(fù)評等不確定因素，相應(yīng)的評估時間將會進(jìn)一步延長。
（2）省級網(wǎng)信辦的個人信息出境標(biāo)準(zhǔn)合同備案時間。企業(yè)應(yīng)當(dāng)在標(biāo)準(zhǔn)合同生效之日起10個工作日內(nèi)，通過送達(dá)書面材料并附帶材料電子版的方式，向所在地省級網(wǎng)信辦備案。省級網(wǎng)信辦收到材料后，在15個工作日內(nèi)完成材料查驗，并通知備案結(jié)果。備案結(jié)果分為通過、不通過。通過備案的，省級網(wǎng)信辦發(fā)放備案編號；不通過備案的，將收到備案未成功通知及原因，要求補(bǔ)充完善材料的，個人信息處理者應(yīng)當(dāng)補(bǔ)充完善材料并于10個工作日內(nèi)再次提交。企業(yè)在標(biāo)準(zhǔn)合同有效期內(nèi)補(bǔ)充訂立標(biāo)準(zhǔn)合同的，應(yīng)當(dāng)向所在地省級網(wǎng)信辦提交補(bǔ)充材料；重新訂立標(biāo)準(zhǔn)合同的，應(yīng)當(dāng)重新備案。補(bǔ)充或者重新備案的材料查驗時間為15個工作日。
鑒于數(shù)據(jù)出境申報相關(guān)的法律法規(guī)實施時間不長，大部分企業(yè)還缺乏申報經(jīng)驗，網(wǎng)信部門也在實踐中進(jìn)行探索，從而導(dǎo)致當(dāng)前的數(shù)據(jù)出境申報效率不高，通過率非常低。自國家網(wǎng)信辦出臺《數(shù)據(jù)出境安全評估申報指南》以來，上海市網(wǎng)信辦、江蘇省網(wǎng)信辦、浙江省網(wǎng)信辦、廣東省網(wǎng)信辦、山東省網(wǎng)信辦等十幾家省級網(wǎng)信部門相繼發(fā)布各類指南或問答，為數(shù)據(jù)出境申報企業(yè)提供更加明確的路徑和指引。期待未來的數(shù)月之內(nèi)，國家網(wǎng)信部門會進(jìn)一步審核標(biāo)準(zhǔn)、統(tǒng)一審查尺度，為企業(yè)的申報行為提供更多便利。
結(jié)論與建議
中國數(shù)據(jù)相關(guān)立法在實施中不斷完善。作為數(shù)據(jù)出境的行政監(jiān)管與執(zhí)法機(jī)構(gòu)，國家網(wǎng)信部門已經(jīng)實質(zhì)具備了實體上的職責(zé)和程序上的執(zhí)法權(quán)，并針對企業(yè)提出“依法申報、應(yīng)報盡報”的明確要求。從結(jié)果上來看，對于未履行數(shù)據(jù)出境申報或者提交虛假材料進(jìn)行申報的違法行為，省級以上網(wǎng)信部門可以對企業(yè)進(jìn)行企業(yè)約談，要求整改消除隱患。若由此導(dǎo)致數(shù)據(jù)出境活動存在較大風(fēng)險或者發(fā)生個人信息安全事件，則企業(yè)可能面臨更高的合規(guī)風(fēng)險，甚至要承擔(dān)法律責(zé)任。
通過對數(shù)據(jù)跨境處理行為進(jìn)行合規(guī)差距分析和改進(jìn)，建立和完善企業(yè)的數(shù)據(jù)合規(guī)管理體系，完成數(shù)據(jù)出境申報是當(dāng)前跨國企業(yè)開展數(shù)據(jù)合規(guī)管理工作的當(dāng)務(wù)之急！企業(yè)在開展數(shù)據(jù)出境申報過程中，需要清晰掌握個人信息等敏感數(shù)據(jù)的跨境流動情況，開展數(shù)據(jù)出境場景梳理、數(shù)據(jù)盤點等各項工作，該類項目實施周期一般會持續(xù)2-3個月的時間。為此，建議企業(yè)要提前謀劃，及早準(zhǔn)備，預(yù)留充足時間，爭取在上述第二個整改期內(nèi)即2023年11月30日之前完成申報，從而降低企業(yè)數(shù)據(jù)合規(guī)的風(fēng)險敞口期。同時，在日趨嚴(yán)格的數(shù)據(jù)本地化要求下，企業(yè)在申報過程中應(yīng)準(zhǔn)備系統(tǒng)本地化相應(yīng)預(yù)案與技術(shù)解決方案，同步考慮數(shù)據(jù)境內(nèi)存儲的合規(guī)要求，保障企業(yè)的經(jīng)營活動持續(xù)開展。
實習(xí)生華東政法大學(xué)國際法專業(yè)2021級本科生袁亦琹對本文亦有貢獻(xiàn)。
