文/ 本刊記者 劉檀

隨著數(shù)字經(jīng)濟(jì)的蓬勃發(fā)展，數(shù)據(jù)跨境活動(dòng)日益頻繁，數(shù)據(jù)出境需求快速增長。明確數(shù)據(jù)出境安全評估的具體規(guī)定，是促進(jìn)數(shù)字經(jīng)濟(jì)健康發(fā)展、防范化解數(shù)據(jù)跨境安全風(fēng)險(xiǎn)的需要。

近日，國家網(wǎng)信辦公布《數(shù)據(jù)出境安全評估辦法》（下稱《辦法》），自9 月1 日起施行。網(wǎng)信辦有關(guān)負(fù)責(zé)人表示，出臺《辦法》旨在落實(shí)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》的規(guī)定，規(guī)范數(shù)據(jù)出境活動(dòng)，保護(hù)個(gè)人信息權(quán)益，維護(hù)國家安全和社會公共利益，促進(jìn)數(shù)據(jù)跨境安全、自由流動(dòng)，切實(shí)以安全保發(fā)展、以發(fā)展促安全。

全球化背景下，數(shù)據(jù)出境呈常態(tài)化

在全球化背景下，數(shù)據(jù)出境已呈常態(tài)化趨勢。中國科技大學(xué)公共事務(wù)學(xué)院、網(wǎng)絡(luò)空間安全學(xué)院教授左曉棟稱：“數(shù)據(jù)是國家的戰(zhàn)略資源。如果一個(gè)國家對于數(shù)據(jù)出境不設(shè)防，相當(dāng)于國家安全大門洞開?！?/p>

如何保證數(shù)據(jù)跨境流動(dòng)的安全，是一個(gè)全球性命題。

歐盟的數(shù)據(jù)跨境規(guī)則主要集中在《通用數(shù)據(jù)保護(hù)條例》（GDPR）中。GDPR 強(qiáng)調(diào)，向歐盟境外提供個(gè)人信息，不得削弱對個(gè)人信息的保護(hù)力度。GDPR 規(guī)定，需要獲得歐盟充分保護(hù)認(rèn)定，這種認(rèn)定實(shí)質(zhì)上是歐盟對他國法律制度、監(jiān)管機(jī)構(gòu)設(shè)置、參加國際條約等方面的評估，是最嚴(yán)格的方式。

“一旦進(jìn)入這一白名單，數(shù)據(jù)跨境的便利性極大。目前，只有新加坡、瑞士、日本等極少數(shù)國家通過了認(rèn)定。”左曉棟說。

美國則有不同的處理方式。美國雖然自稱數(shù)據(jù)自由流動(dòng)，對數(shù)據(jù)跨境沒有嚴(yán)格的法律限制，更多通過市場機(jī)制來解決，但今年4 月，美國宣布了全球跨境隱私規(guī)則（CBPR）聲明，試圖將APEC 框架下的數(shù)據(jù)跨境傳輸機(jī)制的適用擴(kuò)展至全球范圍。

近年，中國也在逐步完善對于數(shù)據(jù)出境的相關(guān)立法。2016 年，《網(wǎng)絡(luò)安全法》出臺，其中第37 條規(guī)定，關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者在境內(nèi)收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù)應(yīng)當(dāng)在境內(nèi)存儲；因業(yè)務(wù)需要，確需向境外提供的，應(yīng)進(jìn)行安全評估。2021 年，《數(shù)據(jù)安全法》和《個(gè)人信息保護(hù)法》先后出臺，將數(shù)據(jù)出境安全評估制度的實(shí)施范圍作出擴(kuò)展，不再局限于關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者。

中國社科院法學(xué)所網(wǎng)絡(luò)與信息法室副主任周輝指出，此前，國內(nèi)不少機(jī)構(gòu)的數(shù)據(jù)出境活動(dòng)基本處于“裸奔”狀態(tài)，嚴(yán)重威脅著個(gè)人信息權(quán)益、社會公共利益乃至國家安全?！稊?shù)據(jù)安全法》和《個(gè)人信息保護(hù)法》建立了中國數(shù)據(jù)出境安全管理的基本框架，但具體細(xì)則還有待明確，《辦法》由此應(yīng)運(yùn)而生。

多位專家近日表示，《辦法》彌補(bǔ)了數(shù)據(jù)出境的安全漏洞，健全了數(shù)據(jù)出境安全屏障。他們建議，相關(guān)企業(yè)在數(shù)據(jù)出境活動(dòng)發(fā)生前，應(yīng)依法開展風(fēng)險(xiǎn)自評估、申報(bào)，并通過數(shù)據(jù)出境安全評估。

《辦法》為數(shù)據(jù)安全出境提供指引

對于數(shù)據(jù)出境活動(dòng)，《辦法》作出具體規(guī)定，一是數(shù)據(jù)處理者將在境內(nèi)運(yùn)營中收集和產(chǎn)生的數(shù)據(jù)傳輸、存儲至境外；二是數(shù)據(jù)處理者收集和產(chǎn)生的數(shù)據(jù)存儲在境內(nèi)，境外的機(jī)構(gòu)、組織或者個(gè)人可以訪問或者調(diào)用。

《辦法》明確了4 種應(yīng)當(dāng)申報(bào)數(shù)據(jù)出境安全評估的情形：一是數(shù)據(jù)處理者向境外提供重要數(shù)據(jù)。二是關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者和處理100 萬人以上個(gè)人信息的數(shù)據(jù)處理者向境外提供個(gè)人信息。三是自上年1 月1 日起累計(jì)向境外提供10 萬人個(gè)人信息或者1 萬人敏感個(gè)人信息的數(shù)據(jù)處理者向境外提供個(gè)人信息。四是國家網(wǎng)信部門規(guī)定的其他需要申報(bào)數(shù)據(jù)出境安全評估的情形。

數(shù)據(jù)出境安全評估具體包括哪些內(nèi)容？網(wǎng)信辦負(fù)責(zé)人介紹，一是數(shù)據(jù)出境的目的、范圍、方式等的合法性、正當(dāng)性、必要性。二是境外接收方所在國家或地區(qū)的數(shù)據(jù)安全保護(hù)政策法規(guī)和網(wǎng)絡(luò)安全環(huán)境對出境數(shù)據(jù)安全的影響；境外接收方的數(shù)據(jù)保護(hù)水平是否達(dá)到中國法律、行政法規(guī)的規(guī)定和強(qiáng)制性國家標(biāo)準(zhǔn)的要求。三是出境數(shù)據(jù)的規(guī)模、范圍、種類、敏感程度，出境中和出境后遭到篡改、破壞、泄露、丟失、轉(zhuǎn)移或被非法獲取、非法利用等風(fēng)險(xiǎn)。四是數(shù)據(jù)安全和個(gè)人信息權(quán)益是否能夠得到充分有效保障。五是數(shù)據(jù)處理者與境外接收方擬訂立的法律文件中是否充分約定了數(shù)據(jù)安全保護(hù)責(zé)任義務(wù)。六是遵守中國法律、行政法規(guī)、部門規(guī)章情況。七是國家網(wǎng)信部門認(rèn)為需要評估的其他事項(xiàng)。

為了規(guī)范數(shù)據(jù)出境安全評估活動(dòng)，《辦法》還明確了具體流程。一是事前評估，數(shù)據(jù)處理者在向境外提供數(shù)據(jù)前，應(yīng)首先開展數(shù)據(jù)出境風(fēng)險(xiǎn)自評估。二是申報(bào)評估，符合申報(bào)數(shù)據(jù)出境安全評估情形的，數(shù)據(jù)處理者應(yīng)通過所在地省級網(wǎng)信部門向國家網(wǎng)信部門申報(bào)。三是開展評估，國家網(wǎng)信部門自收到申報(bào)材料之日起7 個(gè)工作日內(nèi)確定是否受理評估；自出具書面受理通知書之日起45 個(gè)工作日內(nèi)完成數(shù)據(jù)出境安全評估；情況復(fù)雜或需要補(bǔ)充、更正材料的，可以適當(dāng)延長并告知數(shù)據(jù)處理者預(yù)計(jì)延長的時(shí)間。四是重新評估和終止出境，評估結(jié)果有效期屆滿或在有效期內(nèi)出現(xiàn)需重新評估情形的，數(shù)據(jù)處理者應(yīng)當(dāng)重新申報(bào)數(shù)據(jù)出境安全評估。

網(wǎng)信辦負(fù)責(zé)人提醒道，實(shí)踐中，數(shù)據(jù)處理者宜在與境外接收方簽訂數(shù)據(jù)出境相關(guān)合同或其他具有法律效力的文件前，申報(bào)數(shù)據(jù)出境安全評估。如果在簽訂法律文件后申報(bào)評估，建議在法律文件中注明“此文件須在通過數(shù)據(jù)出境安全評估后生效”，以避免可能因未通過評估而造成損失。

數(shù)據(jù)安全或撬動(dòng)百億市場

實(shí)踐中，數(shù)據(jù)處理者宜在與境外接收方簽訂數(shù)據(jù)出境相關(guān)合同或其他具有法律效力的文件前，申報(bào)數(shù)據(jù)出境安全評估。

《辦法》出臺的當(dāng)日，奇安信與普華永道舉行戰(zhàn)略合作簽約儀式。雙方將圍繞國際化戰(zhàn)略布局、打造網(wǎng)絡(luò)安全產(chǎn)品和專業(yè)安全服務(wù)能力的聯(lián)合解決方案、推進(jìn)全產(chǎn)業(yè)數(shù)字化網(wǎng)絡(luò)安全咨詢服務(wù)開拓等三個(gè)方向展開深入合作，加速中國網(wǎng)絡(luò)安全產(chǎn)業(yè)布局海外市場。

奇安信集團(tuán)副總裁、創(chuàng)新BG 負(fù)責(zé)人孔德亮表示，新規(guī)實(shí)施后，明確了監(jiān)管的要求和細(xì)則。當(dāng)下，企業(yè)急需把自己的短板補(bǔ)上，保障數(shù)據(jù)的基礎(chǔ)安全防護(hù)問題。

“數(shù)據(jù)安全是國家戰(zhàn)略，企業(yè)的數(shù)字化轉(zhuǎn)型是大勢所趨，而合法合規(guī)保障流動(dòng)和使用數(shù)據(jù)是前提，因此企業(yè)建設(shè)數(shù)據(jù)安全的意愿非常強(qiáng)烈?！笨椎铝琳f。他認(rèn)為，企業(yè)數(shù)據(jù)安全保護(hù)的市場空間預(yù)計(jì)將以百億元起。

金杜律師事務(wù)所方面表示，《辦法》對安全評估的程序性規(guī)則和實(shí)體評估內(nèi)容均進(jìn)行了規(guī)定。所規(guī)定的自評估—申請?jiān)u估—重新評估，以及評估材料、評估時(shí)間、評估通知、評估材料補(bǔ)充更正、評估結(jié)果撤銷等均屬于程序性規(guī)定。這些規(guī)定能夠幫助數(shù)據(jù)處理者定位自己在開展數(shù)據(jù)出境安全評估工作中所處的時(shí)間點(diǎn)位。

周輝指出，《辦法》實(shí)施后，將對達(dá)到評估申報(bào)標(biāo)準(zhǔn)的數(shù)據(jù)處理者產(chǎn)生約束性影響，尤其是金融、電信、衛(wèi)生健康、能源、民航等重要行業(yè)和領(lǐng)域。這些領(lǐng)域的機(jī)構(gòu)向境外提供的數(shù)據(jù)，一方面可能涉及國家安全、經(jīng)濟(jì)運(yùn)行、社會穩(wěn)定、公共健康和安全的重要數(shù)據(jù)；另一方面因自身被確定為關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者，其處理數(shù)據(jù)的量級輕易即可達(dá)到“100 萬人以上”。

周輝建議，上述相關(guān)行業(yè)，應(yīng)盡快適應(yīng)《辦法》的要求，在數(shù)據(jù)出境活動(dòng)發(fā)生前依法開展自評估、申報(bào)并通過評估。如果目前不符合《辦法》的管理要求，在《辦法》規(guī)定的期限（2023 年3 月1 日）前盡快完成整改。