3月22日，國家互聯網信息辦公室發佈《促進和規範數據跨境流動規定》（以下簡稱《規定》），進一步明確數據出境的豁免情形及其合規路徑。
其中指出，為訂立、履行個人作為一方當事人的合同，如跨境購物、跨境寄遞、跨境匯款、跨境支付、跨境開戶、機票酒店預訂、簽證辦理、考試服務等，確需向境外提供個人信息的，免予申報數據出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證。
國家網信辦官網發佈《促進和規範數據跨境流動規定》。
國家互聯網信息辦公室相關負責人表示，《規定》對現有數據出境制度的實施和銜接作出進一步明確，適當放寬數據跨境流動條件，適度收窄數據出境安全評估範圍，在保障國家數據安全的前提下，便利數據跨境流動，降低企業合規成本，充分釋放數據要素價值，擴大高水平對外開放，為數字經濟高質量發展提供法律保障。
北京大學憲法與行政法研究中心主任、教授王錫鋅撰文指出，《規定》充分反映了我國在數據跨境傳輸監管領域的創新思路，那就是既要通過保障數據跨境傳輸安全實現數字貿易活動穩定，也要通過暢通數據跨境傳輸制度渠道打造跨境數字貿易新格局。
明確數據出境合規的豁免情形，降低企業合規成本
去年9月28日，國家網信辦就上述《規定》發佈徵求意見稿，在網絡安全法、數據安全法、個人信息保護法等法律法規基礎上，調整了數據出境安全評估或者備案的要求，很大程度上降低了相關企業的合規負擔。
對比徵求意見稿，《規定》進一步細化了相關的條款。比如在為訂立、履行個人作為一方當事人的合同所必需的情形中，以列舉的形式新增了跨境寄遞、支付、開戶、考試服務等場景。北京理工大學法學院教授洪延青撰文指出，這些「豁免」覆蓋了跨境電商、跨境物流、跨境出行等大量數字貿易活動，降低了數據處理者的合規成本。
《規定》還明確了其他無需進行數據出境安全評估或者個人信息出境標準合同備案的出境場景。具體而言包括，國際貿易、跨境運輸、學術合作、跨國生產製造和市場營銷等活動中收集和產生的不含個人信息和重要數據的數據向境外提供；境外個人信息在我國處理且沒有境內個人信息或者重要數據參與時，其後續向境外提供；按照依法制定的勞動規章制度和依法簽訂的集體合同實施跨境人力資源管理確需向境外提供員工個人信息；緊急情況下為保護自然人的生命健康和財產安全確需向境外提供個人信息。
不難發現，《規定》所覆蓋的這些豁免場景頻繁存在數據跨境流動的現實需求。出於提升交易效率等考慮，對涉及數據出境的多個常見場景均豁免前置程序，將有利於促進數據更高效和安全地流動。
《規定》提到的應當申報數據出境安全評估的兩類數據出境活動條件。
值得一提的是，在這些情形中，出境的個人信息即便涉及超過100萬人（不含敏感個人信息）或者1萬人以上敏感個人信息——即按規定應當申報數據出境安全評估的，上述豁免仍然適用。
《規定》同時明確了重要數據出境安全評估申報標準，提出未被相關部門、地區告知或者公開發佈為重要數據的，數據處理者不需要作為重要數據申報數據出境安全評估。
此外，《規定》擴大和明確了個人信息出境標準合同和個人信息保護認證的適用範圍。其中提到，關鍵信息基礎設施運營者以外的數據處理者自當年1月1日起累計向境外提供不滿10萬人個人信息（不含敏感個人信息）的，可免予申報數據出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證。
允許自貿區自行制定數據出境的負面清單
《規定》的另一重要條款，專門就自貿區的數據跨境流動制度增設了「靈活變通的空間」。《規定》第六條指出，自由貿易試驗區在國家數據分類分級保護制度框架下，可以自行制定區內需要納入數據出境安全評估、個人信息出境標準合同、個人信息保護認證管理範圍的數據清單（以下簡稱負面清單）。
此外，對於負面清單外數據的出境，自貿區還可以免予申報數據出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證。
在洪延青看來，對於各個自貿區確立的發展方向（特別是數字化領域）所同時伴生的數據跨境流動需求，國家網信部門此次給各個地方做了監管適配性的授權。這對我國自貿區的發展來說，無疑是一次非常積極的舉措。
王錫鋅認為，自貿區屬於「境內關外」區域，在工商登記、外商投資、人才引進等領域均存在政策優惠，《規定》所設置的數據清單能夠讓自貿區在兼顧安全管理的基礎上，更多地偏向探索具有自貿區經濟特色的數據跨境流動體制機制。
南都記者關注到，在剛剛結束的全國兩會上，也有多位政協委員圍繞數據跨境流動建言獻策。全國政協委員、南方科技大學副校長金李在一份「加快促進數據要素市場發育」的提案中建議，開展國家數據跨境安全流通試點，探索建立非重要數據的白名單制度。
在接受南都記者專訪時，全國政協常委、上海公共外交協會會長周漢民建議，制定發佈《重要數據認證指南》，進一步明晰重要數據和非重要數據的評估標準；同時在自貿試驗區出台《豁免申報數據出境的負面清單》，即設置不可豁免出境評估的具體場景，將負面清單內容根據數據重要程度逐級劃分，其他不屬於此範圍的，可以正常審查後出境。
此番隨着《規定》的落地，國內數據出境安全管理制度進一步優化。可以看到，在保障數據安全的同時，監管思路也更着眼於促進數據流動與發展。政策規則的逐步清晰，將有助於消除企業對數據出境申報評估存在相關疑慮。
南都記者注意到，為了指導和幫助數據處理者申報數據出境安全評估、備案個人信息出境標準合同，國家網信辦在3月22日還發佈了《數據出境安全評估申報指南（第二版）》、《個人信息出境標準合同備案指南（第二版）》，對相關的評估備案方式、流程等具體要求作出說明，同時優化簡化了所需提交的相關材料。
采寫：南都記者 李玲
