企业合规师资讯：数据跨境合规监管进入新阶段

      数据跨境流动是全球资金、信息、技术、人才、货物等资源要素交换、共享的基础。如何让数据依法有序自由流动也是在华发展的外资企业热切期盼，在此前商务部多次举办的外资企业的圆桌会议上，数据跨境流动都是热议的高频词。

      3月22日，国家互联网信息办公室公布了《促进和规范数据跨境流动规定》，规定明确了相关标准，为数据出境制度作出优化调整。

      为更好地让在华发展的外资企业了解该规定，中央网信办网络数据管理局副局长方新平在“投资中国”首场标志性活动上对《促进和规范数据跨境流动规定》做了解读。

      “《规定》适当放宽了数据跨境流动的条件，明确免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的数据出境活动条件。”方新平介绍，六种数据出境活动将免于申报：一是国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的。二是在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的。三是为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的。四是按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的。五是紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的。六是关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。

      方新平表示，《规定》对应当申报数据出境安全评估的条件作了优化调整，明确了两种应当申报数据出境安全评估的条件：一是关键信息基础设施运营者向境外提供个人信息或者重要数据。二是关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息。

      对于《规定》中提及的自贸试验区负面清单制度，方新平介绍说，自由贸易试验区在国家数据分类分级保护制度框架下，可以自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单，经省级网信委批准后，报国家网信部门、国家数据管理部门备案。

      对于企业反映的数据分类分级标准和重要数据目录不公开，导致企业无法判断出境数据是否包含重要数据的问题和安全评估周期长、评估结果有效期短的问题，方新平也做出了回应：“规定明确，未被相关部门地区告知后公开发布为重要数据的数据处理者，不需要作为重要数据申报数据出境安全评估。同时，规定对数据出境安全评估的有效期和延长申请作出了调整，明确将数据出境安全评估的有效期由两年延长至三年。对于有效期届满仍需要继续开展数据出境活动的，且未发生需要重新申报出境安全评估情形的，经国家网信部门批准，可以延长评估结果有效期三年。”

      同一天，国家互联网信息办公室还同步发布了《数据出境安全评估的申报指南（第二版）》和《个人信息出境标准合同备案指南（第二版）》，对数据出境者申报安全评估、备案标准合同需要提交的材料做了进一步的简化和优化，进一步降低数据出境者的合规成本。

      “可以看到，中国数据跨境流动管理的法律政策进一步促进和规范数据依法有序自由流动。”方新平表示，中国坚持对外开放的政策没有改变，中国一直在持续优化营商环境，支持外资企业在中国深耕发展，积极对接高水平的国际经贸规则，支持数字经济持续健康发展。国家网信办将会同商务部等有关部门积极回应社会关切，进一步提高数字跨境的管理效益，指导帮助外资企业依法依规、高质高效开展数据跨境流动处理活动，为外资企业在中国的经营发展提供支持和保障。

      在走出去智库（CGGT）特约法律专家、中伦律师事务所合伙人李瑞看来，从《规定》的发布可以看出，新的数据跨境流动监管框架充分响应了数据发展与安全并重的号召，释放了较强的促进正常商贸活动中的数据流动的信号，同时进一步明确了监管机制与要求，对于开展跨境经营的企业而言意义重大。

      “从关键内容来看，《规定》从多个维度克减了企业需承担的数据出境合规义务。”李瑞表示，在重申个人信息数据跨境活动需要满足法律规定的基础合规义务（包括告知相关个人并获得单独同意、开展个人信息保护影响评估（PIA）等）的基础上，现行跨境监管机制明确了不涉及重要数据和个人信息的数据跨境传输免予履行数据出境安全评估、个人信息出境标准合同订立和/或通过个人信息保护认证机制；针对4大类存在较强出境必要性且安全风险较弱的场景豁免了履行三大数据出境合规专项机制的义务；调整了三大数据出境合规专项机制的触发阈值，使得企业合规义务得到明显降级适用，合规成本降低。

      走出去智库（CGGT）特约反垄断法专家、中伦律师事务所高级顾问、中国贸促会全国企业合规委员会专家贾申直言，不可忽视的是，新规宽严并济，对于敏感个人信息保护、关键信息基础设施运营者等问题的监管尺度未做实质性放松，而是进行了重申和明确，并加强了这些要求与前述克减后新规的衔接。

      “从宏观监管政策及其他配套文件来看，数据跨境流动监管网络呈现出全面铺开、有层次、有梯度的监管框架稳步落地的趋势。”贾申认为，可以预见，中国对数据跨境合规监管将进入新的成熟阶段，不久的未来相关执法与监管活动将基于该更明晰、细化的监管框架稳步地开展和推进。

      来源：国际商报