观韬视点 | 请查收您的Checklist！数据跨境新规下企业如何应对
作者：王渝伟 王敏
2024年3月22日，国家互联网信息办公室（以下简称“网信办”）公布了《促进和规范数据跨境流动规定》（以下简称《规定》），并自公布之日起施行。《规定》全文共十四条，内容不多，但对数据跨境监管要求做了较大的优化调整。
早在2023年9月28日，网信办便发布《规范和促进数据跨境流动规定（征求意见稿）》（以下简称《征求意见稿》）向社会公开征求意见，但正式稿的《规定》直到半年后才发布，并在《征求意见稿》的基础上做了较大调整，这表明监管层面也在考虑企业诉求，尽力在保障数据安全与促进经贸发展之间寻求平衡。
《规定》相较于《征求意见稿》，以及此前的数据跨境监管要求，值得关注的变化不少，毋庸置疑，在一定程度减轻了企业的合规负担，但“减负”并不等于“完全免除”数据跨境涉及的相关合规义务。企业如因对此理解偏差导致违规，将可能面临相关的法律责任。下文我们将结合此次《规定》带来的数据跨境新规变化，帮助企业梳理在新规实施背景下的“数据跨境合规待办清单”，以及后续需要特别关注的要点，为企业提供合规指引。
一、《规定》涉及的数据跨境监管要求七大变化
1. 明确重要数据识别原则：在企业申报的基础上，未被相关部门、地区告知或者公开发布为重要数据的，企业不需要作为重要数据申报数据出境安全评估。
2. 四种情形下，企业可免予申报安全评估、订立标准合同、通过保护认证：
a) 履行合同所必需；
b) 跨境人力资源管理；
c) 紧急情况下为保护自然人的生命健康和财产安全；
d) CIIO之外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的；
3. 自由贸易试验区可自行制定区内数据出境负面清单：自贸区内企业，除了数据出境负面清单所列数据处理情形外，其他均免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证；
4. 触发申报数据出境安排的评估的标准提高：首先，累计人数的起算时间从“自上年1月1日起”修改为“自当年1月1日起”，累计期限缩短；其次，触发安全评估的个人信息规模标准从10万人放宽至100万人；
5. 通过数据出境安全评估的结果有效期延长：有效期从2年延长至3年，且有效期届满后可申请延长；
6. 数据出境申报方式变化：由线下申报提交调整为统一经数据出境申报系统进行申报（CIIO或其他不适宜经数据出境申报系统的除外）；
7. 由事前评估或审批备案，转为强调事前事中事后全链条全领域监管。
二、《规定》施行后，企业数据出境“六步走”
《规定》对既有的数据出境监管要求做了较大调整，不少企业的数据出境路径也因此改变，在此背景下，企业应对照《规定》，参考以下步骤落实数据出境合规活动：
步骤一：对企业数据处理情况进行全面梳理评估。这个过程中要点包括：处理的数据中是否涉及重要数据、处理的个人信息总规模、自当年1月1日起出境个人信息（包括一般个人信息、敏感个人信息）规模、以及个人信息出境场景等。
步骤二：重新规划并确定数据出境方案。必要情况下，对数据出境安排进行适当调整，重新规划数据出境方案。根据《规定》，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的情形仅限于一些本身具有跨境性质的业务场景、跨境人力资源管理、紧急情况下为保护自然人生命健康和财产安全、非CIIO的数据处理者当年累计出境非敏感个人信息未达10万人。在此情况下，对于本身业务场景不具有跨境性质的企业而言，能够豁免的情形仅限于跨境人力资源管理。虽然很多非CIIO的数据处理者当年累计出境个人信息规模远远未达10万人，但只要其中涉及敏感个人信息处理，则仍需申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证，具体路径取决于当年累计出境个人信息和敏感个人信息的规模。这样一来，很多企业面临的尴尬情况是，由于某个别非员工个人信息出境场景，涉及极少量的敏感个人信息处理，仍需订立个人信息标准合同或通过个人信息保护认证。企业可根据实际情况进行调整，例如，考虑境内存储，或者此类场景下的敏感个人信息不再出境，从而进一步优化数据出境方案，降低企业合规义务成本。
步骤三：开展数据出境风险自评估或个人信息保护影响评估并形成书面报告。根据《数据出境安全评估申报指南（第二版）》《个人信息出境标准合同备案指南（第二版）》，数据出境风险自评估报告或或个人信息保护影响评估报告系申报或备案的必要材料。
步骤四：更新数据跨境传输相关协议。根据《规定》仍需申报数据出境安全评估、个人信息标准合同备案、通过个人信息保护认证的场景，企业应就相关数据出境场景与境外接收方订立数据出境相关合同或者其他具有法律效力的文件/个人信息出境标准合同。
步骤五：通过“数据出境申报系统”（系统页面如下图所示）申报数据出境安全评估或个人信息出境标准合同备案。根据《规定》仍需申报数据出境安全评估、个人信息标准合同备案、通过个人信息保护认证的场景，企业通过“数据出境申报系统”线上提交相关材料电子版即可；关键信息基础设施运营者或者其他不适合通过数据出境申报系统申报数据出境安全评估的，采用线下方式通过所在地省级网信办向国家网信办申报数据出境安全评估，须提交书面申报材料（需装订成册）并附带材料电子版。
步骤六：建立持续监督管理机制。企业的数据处理情况是一个动态变化的过程，会随着企业规模及业务调整等情况而不断变化，企业应当建立数据合规管理制度，对内部数据处理情况进行动态评估，根据数据出境监管要求及时调整合规措施。
三、未来特别关注要点
从近期的一系列政策（例如：国务院3月19日公开发布的《扎实推进高水平对外开放更大力度吸引和利用外资行动方案》）来看，可以期待的是，未来数据跨境监管政策有可能会进一步优化和放宽，在确保数据安全的前提下，促进经济贸易的持续健康发展。监管重心将逐步从前置审批转向对数据跨境流动过程中及之后的持续监督，从而构建一个既能够激励企业自觉遵守规定，又能减轻监管机构负担的高效监管体系。
对企业而言，除《规定》已经明确的数据跨境监管要求调整之外，以下三点值得重点关注：
一是重要数据：根据《数据出境安全评估办法》等规定，向境外提供重要数据的，应当申报数据出境安全评估；但对于企业而言，主动申报数据出境安全评估不难，“难”在对重要数据的识别。虽然《规定》明确“未被相关部门、地区告知或公开发布未重要数据的，不需要作为重要数据申报数据出境安全评估”，但仍要求数据处理者按照相关规定识别、申报数据，这意味着数据处理者须对重要数据自行进行初步的识别判断。2024年3月21日，全国网络安全标准化技术委员会发布了《数据安全技术 数据分类分级规则》，为企业识别重要数据提供了重要参考；此后3月28日，自然资源部印发《自然资源领域数据安全管理办法》，提及了重要数据目录的制定和报备；后续，重要数据的识别和认定将逐步明晰，企业应当密切关注重要数据识别和认定的相关动态。
二是自由贸易试验区区数据出境负面清单：《规定》授权自由贸易试验区制定本区域内的数据出境负面清单，对于不在负面清单之列的数据出境活动，相关企业无需申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证，这表明自由贸易试验区内的企业在数据跨境流通方面的监管约束相对其他地区进一步放松。目前，部分自由贸易试验区正积极进行企业数据处理状况的调研工作，并着手制定数据出境负面清单。对此，企业应保持高度关注，并及时调整自身的数据管理策略以适应新的监管环境。
三是企业在数据跨境活动中须关注的潜在法律责任问题。随着监管重心的转移——即从原先的事前评估或审批备案，转向强化对事前、事中、事后全链条的持续监管，企业应当意识到，若滥用监管机构所赋予的自主管理空间以规避监管，可能会触发《数据安全法》、《个人信息保护法》等相关法律法规所明确的法律责任。因此，企业在享受更大的自主性的同时，亦应严格遵守法律法规，确保数据跨境活动的合规性，以避免可能的法律风险。
四、结语
在当前全球数字经济高速发展的背景下，数据跨境流动已成为推动商业创新和经济增长的关键因素。《规定》的发布和实施，标志着我国在数据跨境监管领域迈出了重要一步。这一规定不仅为企业提供了更为明确和宽松的合规环境，同时也强调了在保障数据安全的前提下，促进经济和贸易的健康发展。
随着数据跨境监管制度的不断优化和实施，企业应积极适应新的监管要求，加强内部管理，确保数据处理活动的合规性。同时，企业也应密切关注政策动态，及时调整数据跨境流动的策略和措施，以充分利用政策提供的便利，推动业务的持续发展。