數據跨境流動即將迎來自貿區負面清單模式
作者：湛益祥 林美辰 2023-10-132023年9月28日，國家網信辦公布了《規范和促進數據跨境流動規定（征求意見稿）》（以下簡稱“數據跨境新規”），很好地回應了數據出境實操層面市場主體的關切點，修訂且完善了數據出境的原有規則，同時建立了一些更市場化、便利化的數據跨境流動新機制，亮點不少，其中數據跨境自貿區負面清單模式便是此新規的亮點之一。
一、數據跨境新規對數據跨境自貿區負面清單模式的規定
根據數據跨境新規第七條規定，自由貿易試驗區可自行制定本自貿區需要納入數據出境安全評估、個人信息出境標準合同、個人信息保護認證管理范圍的數據清單（以下簡稱“負面清單”），報經省級網絡安全和信息化委員會批準后，報國家網信部門備案。
負面清單外數據出境，可以不申報數據出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證。
這是我國數據跨境監管領域首次引入負面清單模式，也是對自貿區原有的外商投資領域所使用的負面清單模式的借鑒。根據這條新規，數據跨境自貿區負面清單模式有下列幾層意思：
（1）充分授權：尊重自貿區制度創新精神，授權自貿區可自行制定本自貿區的數據出境監管負面清單。
（2）履行程序：負面清單報省級網絡安全和信息化委員會批準后，而后報國家網信部門備案。
（3）便利化流動：負面清單之外的數據，可以不申報數據出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證，實現便利化流動。
二、數據跨境自貿區負面清單模式打開了自貿區數據跨境制度創新天花板
制度創新是建設自貿區的重要使命之一。自貿區建設過程中，部分自貿區已陸續在其總體方案中對數據跨境流動做了制度性安排。
2019年7月發布的《中國（上海）自由貿易試驗區臨港新片區總體方案》指出，臨港新片區實施國際互聯網數據跨境安全有序流動。建設完備的國際通信設施，提升新片區內寬帶接入能力、網絡服務質量和應用水平，構建安全便利的國際互聯網數據專用通道，試點開展數據跨境流動的安全評估，建立數據保護能力認證、數據流通備份審查、跨境數據流通和交易風險評估等數據安全管理機制，主動參與引領全球數字經濟交流合作。
2020年6月發布的《海南自由貿易港建設總體方案》提到，海南自貿港要在國家數據跨境傳輸安全管理制度框架下，開展數據跨境傳輸安全管理試點，探索形成既能便利數據流動又能保障安全的機制，探索加入區域性國際數據跨境流動制度安排，提升數據傳輸便利性。實現數據安全有序流動方面，創新數據出境安全的制度設計，探索更加便利的個人信息安全出境評估辦法。
2020年9月發布的《中國（北京）自由貿易試驗區總體方案》要求，北京自貿區要加強跨境數據保護規制合作，探索制定信息技術安全、數據隱私保護、跨境數據流動等重點領域規則，探索構建安全便利的國際互聯網數據專用通道。
上述各自貿區總體方案圍繞數據跨境流動的便利性、安全有序性以及參與國際規則建設、建立國際互聯網數據專用通道等方面做了安排，為自貿區數據跨境方面的制度創新、功能創新指明了方向，但在實操性和落地性上還缺了一口氣。
此次數據跨境新規明確制定數據跨境自貿區負面清單，清單外的數據可以自由跨境流動，為自貿區數據跨境流動的便利性、安全有序性打開了該領域制度的創新天花板，是自貿區制度創新體系的重要成果之一。
三、數據跨境自貿區負面清單模式的三種立法方式
數據跨境新規目前處于征詢意見階段，還未生效實施，如何更科學地制定數據跨境自貿區負面清單模式，不僅是國家層面科學立法、民主立法的體現，也是對各自貿區及其區內企業具有重要的現實意義。
數據跨境自貿區負面清單模式是從外商投資領域的自貿區負面清單移植的，外商投資領域的自貿區負面清單模式也許具有一定的參考意義。
2013年9月30日，上海市人民政府公布了《中國（上海）自由貿易試驗區外商投資準入特別管理措施（負面清單）（2013）》，該負面清單適用于我國第一個自貿區上海自貿區。2015年4月20日，國務院辦公廳公布了《自由貿易試驗區外商投資準入特別管理措施（負面清單）》，該負面清單適用于上海、廣東、天津、福建四個自由貿易試驗區，外商投資領域的負面清單進入全國統一的模式，各自貿區不再單獨分別制定各自的負面清單。
由此可見，外商投資領域里的自貿區負面清單管理經歷過兩個階段：地方自貿區自行編制負面清單階段到全國統一的自貿區負面清單階段。從借鑒外商投資領域的自貿區負面清單發展歷程出發，并考慮各自貿區的不同，數據跨境自貿區負面清單模式是否可以得出以下三種立法方式：
（一）各自制定數據跨境自貿區負面清單
根據數據跨境新規第七條規定，自由貿易試驗區可自行制定本自貿區需要納入數據出境安全評估、個人信息出境標準合同、個人信息保護認證管理范圍的數據清單，是授權各自貿區可以分別制定各自的負面清單。這種授權具有一定的靈活性，可以為各自貿區預留較大的改革和創新空間。
（二）采用統一的數據跨境自貿區負面清單
考慮到全國自貿區范圍內立法、執法的統一性，以及監管部門、企業理解上的一致性，也可以全國自貿區采用統一的數據跨境負面清單，即一張負面清單全國自貿區通用的模式。
（三）特定自貿區自行制定，其他大部分自貿區統一制定
鑒于各自貿區發展階段的不同、承擔的制度創新任務有差別、區內企業跨境經營需求以及數據出境量的不同，可以授權特定自貿區各自制定本區域的數據跨境負面清單，其他自貿區適用統一的數據跨境負面清單。
2023年8月13日，國務院發布的《關于進一步優化外商投資環境 加大吸引外商投資力度的意見》指出，支持北京、天津、上海、粵港澳大灣區等地在實施數據出境安全評估、個人信息保護認證、個人信息出境標準合同備案等制度過程中，試點探索形成可自由流動的一般數據清單，建設服務平臺，提供數據跨境流動合規服務。其中“試點探索形成可自由流動的一般數據清單”的實質，即是制定數據跨境負面清單。
因此，根據《關于進一步優化外商投資環境 加大吸引外商投資力度的意見》的規定，加之各地自貿區客觀的發展階段以及定位的差異性，國家網信部門授權特定自貿區自行制定本區域的數據跨境負面清單，其他大部分自貿區適用統一的數據跨境負面清單，這種立法方式可能兼顧到特定自貿區的特色訴求以及其他大部分自貿區的立法、執法的統一性。
附件：數據跨境監管新舊規則對照表
說明：
1. 《安全評估辦法》是指《數據出境安全評估辦法》，2022年9月1日生效；
2. 《標準合同辦法》是指《個人信息出境標準合同辦法》，2023年6月1日生效；
3. 數據跨境新規是指《規范和促進數據跨境流動規定（征求意見稿）》，2023年9月28日開始征求意見，尚未生效；
4. 豁免監管是指不需要申報數據出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證；
5. 由于數據跨境新規尚未生效，本表只能作為參考。
