中国数据跨境流动监管趋严，还是趋松？

中国的数据政策正在趋松，但仍然存在模糊地带和不确定性，比如跨境数据处理者和监管者都很关注的“重要数据”。

在去年年底的中央经济工作会议中，“认真解决数据跨境流动问题”作为积极回应外资企业诉求和扩大高水平对外开放的重要举措被提及。这表明，2024年中国大概率会松绑数据跨境流动监管。就在中央经济工作会议召开前的中欧峰会记者会上，冯德莱恩称双方谈到了数据跨境流动问题，并表示欢迎中方建立明确数据跨境流动规则的机制的意愿。她同时表示，更重要的是见到中方在此方面的行动进展。数据跨境流动问题一直是欧盟和欧洲企业比较关切的话题。

去年11月，中国欧盟商会发布的中国数据政策对欧洲商业影响的调查报告称，诸多数据法律法规和制度准则不够具体，部分要求过于严苛，欧洲在华企业面临严峻的运营和合规难题。报告结论表明，30%的公司（或者至少部分实体机构）需按规定执行安全评估，59%称数据跨境流动政策导致了合规支出上升，41%表示面临着数据本土化、信息科技系统或运营整体压力。在过去的几年，被称作数据跨境传输的“三件套”在中国逐步落地。

《数据出境安全评估办法》《个人信息保护认证实施规则》和《个人信息出境标准合同办法》陆续施行。安全评估、安全保护认证和标准合同正是数据得以 出境的三条路径。值得注意的是，2017年的《网络安全法》规定，收集和产生个人信息和重要数据的关键信息基础设施的运营者在向境外提供数据时才会触发安全评估, 而后来制定的《数据出境安全评估办法》将该要求扩展覆盖至收集和产生重要数据和个人信息的数据处理者。

2023年，中国的数据政策已经出现了松绑的迹象。

去年8月，国务院关于优化外商投资环境的意见就包括“探索便利化的数据跨境流动安全管理机制”，意见规定，为符合条件的外商投资企业建立绿色通道，高效开展重要数据和个人信息出境安全评估，促进数据安全有序自由流动。一个月后，国家网信办发布了《规范和促进数据跨境流动规定（征求意见稿）》。

意见稿规定国际贸易、学术合作、跨国生产制造和市场营销等活动中产生的、不包含个人信息或者重要数据的四类数据出境，不需要走前文所提到的三条路径。豁免于三条路径的还有三种情形和一定范围内的数据量级，比如跨境购物和机票预定在内的为订立和履行个人作为一方当事人的合同所必需的跨境数据，比如预计一年内向境外提供不满1万人个人信息的。

个人信息保护和数据跨境流动等领域法律政策专家洪延青在对意见稿作出解读，他写道，数据出境安全管理，无非是关注数据出境的必要性、合法性和安全性。合法性和安全性判断相对明确，但必要性的判断，却比较棘手，而意见稿作出了非常重要的设计，从监管侧判断优先，转为企业判断为优先。

他指出，规定所列举的三个豁免情形其实就是至少在数据出境安全管理这个环节中，监管方将必要性的判断交给了向境外提供数据方，而规定中无论是预计一年内向境外提供不满1万人的情况，还是预计一年内向境外提供1万人以上、不满100万人个人信息的情况，均属于向境外提供数据方的必要性判断优先，但不排除监管部门事中、事后监管的可能性。

在必要性问题上，欧盟企业也曾做出过相关建议。在为企业减负的方式上，中国欧盟商会去年发布的《欧盟企业在中国建议书2023/2024》建议，由于网信部门在安全评估中重点关注跨境数据传输的合法性、正当性和必要性，须确保不对上述关键概念作出过于限缩的解读，从而在数据保护和其他合法商业利益之间取得平衡。特别是，不应将必要性狭义理解为没有数据跨境传输则无法开展业务运营，或没有国内供应商可以替代国外供应商。

意见稿的另一个亮点是自贸区先行，即自由贸易试验区可自行制定本自贸区需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单，即负面清单。

在意见稿公布之前，上海自由贸易试验区临港新片区条例已经规定，推进国际数据港建设，在临港新片区内探索制定低风险跨境流动数据目录，促进数据跨境安全有序流动。而在2023年11月国务院关于印发《推进上海自由贸易试验区高水平制度型开放总体方案》的通知中，也有关于数据跨境流动的内容。通知规定，按照数据分类分级保护制度，支持上海自贸试验区率先制定重要数据目录，探索建立合法安全便利的数据跨境流动机制等。

除了上海，北京也在制定吸引外资的措施。去年11月进行了首次审议的《北京市外商投资条例（草案）》规定，在数据跨境上，“为符合条件的外商投资企业建立绿色通道”，“制定可自由流动的一般数据清单”，等等。不仅是法律法规层面，在实操层面也出现了积极的信号。在《数据出境安全评估办法》实施4个多月的2023年年初，据北京网信办消息，北京友谊医院与荷兰阿姆斯特丹大学医学中心合作研究项目通过了数据出境安全评估，成为全国首个数据合规出境案例。种种迹象正在表明，中国的数据政策正在趋松，但仍然存在模糊地带和不确定性，比如跨境数据处理者和监管者都很关注的“重要数据”。去年9月的征求意见稿对此只是提供了暂时的解决办法。

意见稿规定，未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。但是，暂时性同样意味着另一种不确定性，究竟哪些数据未来会落入重要数据的范畴，是不确定的。《欧盟企业在中国建议书2023/2024》称，重要数据的定义及其目录尚未明确，为部分关键行业的数据处理者带来了极大不确定性，从而建议明确且从严从紧界定“重要数据”范围，并为重要数据识别指南和目录的发布和实施预留充足的过渡期。

总之，从大趋势上来看，中国正在松绑其数据政策，不过，在所涉及的重要数据的最终界定、数据港和数据本地化等问题上，观察人士和一些在华外国企业仍然存在疑虑和不确定感。

文丨FT中文网