近年來，隨著我國“一帶一路”、企業(yè)“走出去”等戰(zhàn)略部署實施，電子商務(wù)、云數(shù)據(jù)中心等跨境服務(wù)日益頻繁，由此帶來的個人信息和行業(yè)數(shù)據(jù)出境顯著激增，在促進國家信息技術(shù)創(chuàng)新和數(shù)字經(jīng)濟產(chǎn)業(yè)發(fā)展的同時，也帶來國家安全、產(chǎn)業(yè)安全以及個人隱私權(quán)益等問題。2017年2月，美國法院要求谷歌提交存儲在美國之外的服務(wù)器郵件，使數(shù)據(jù)出境管理博弈成為焦點。2017年4月11日，中央網(wǎng)信辦向全社會發(fā)布《個人信息和重要數(shù)據(jù)出境安全評估辦法》征求意見，加快推進落實《網(wǎng)絡(luò)安全法》有關(guān)要求，建立健全數(shù)據(jù)出境安全評估管理制度體系。本文在國家管理視角下提出數(shù)據(jù)出境判定依據(jù)，總結(jié)國外數(shù)據(jù)出境管理實踐經(jīng)驗，結(jié)合我國數(shù)據(jù)出境管理現(xiàn)狀及問題，研究提出管理建議。
一、什么是“數(shù)據(jù)出境”？
（一）出境管理視角下的“數(shù)據(jù)”范疇
根據(jù)我國《網(wǎng)絡(luò)安全法》第37條的明確要求，現(xiàn)階段我國出境“數(shù)據(jù)”的管理范疇主要包括“個人信息”和“重要數(shù)據(jù)”。
在個人信息界定方面，美國、歐盟、新加坡、日本等國普遍采用“可識別性”和“關(guān)聯(lián)性”兩項標準識別判定個人信息。其中，“可識別性”是指數(shù)據(jù)與數(shù)據(jù)主體間具有唯一指向性，可通過數(shù)據(jù)信息直接識別數(shù)據(jù)主體，如身份證號碼、電話號碼、DNA信息等：“關(guān)聯(lián)性”是指數(shù)據(jù)與數(shù)據(jù)主體間僅具有一定相關(guān)性，需通過其他關(guān)聯(lián)數(shù)據(jù)綜合判斷、間接指向數(shù)據(jù)主體，如血型、職業(yè)、籍貫等。目前，我國結(jié)合上述國際主流判定標準，已在《個人信息安全規(guī)范》等國家標準中明確提出“個人信息”的范圍及定義，并在個人信息保護管理工作中予以實踐。
在重要數(shù)據(jù)界定方面，各國尚未明確出境“重要數(shù)據(jù)”概念范疇和分類列表。美國、澳大利亞、韓國等國雖未形成出境管理的“重要數(shù)據(jù)”定義和數(shù)據(jù)列表，但部分重要行業(yè)以是否影響國家政治、經(jīng)濟和社會安全為判定因素，將國家經(jīng)濟數(shù)據(jù)、政府管理數(shù)據(jù)、公共信息數(shù)據(jù)、敏感技術(shù)數(shù)據(jù)等視為“重要數(shù)據(jù)”進行嚴格出境管理。值得關(guān)注的是，美國根據(jù)2010年13556號行政令要求，在現(xiàn)有行政文件基礎(chǔ)上梳理匯編形成受管控非秘數(shù)據(jù)列表（CUI），對于進一步確定數(shù)據(jù)出境管理領(lǐng)域的重要數(shù)據(jù)范疇有著十分重要的指導意義。我國相關(guān)政府部門參考美國CUI，研究提出了涵蓋通信、金融、醫(yī)療衛(wèi)生等重要行業(yè)、重要領(lǐng)域的重要數(shù)據(jù)外延范圍。在此基礎(chǔ)上，以保護國家安全和公共利益為基本原則，綜合判定重要數(shù)據(jù)類型。
（二）出境判定
目前，對出境理解統(tǒng)一，存在逐漸拓寬的趨勢。一是跨越地理國境是最廣泛采用的判斷標準。日本、新加坡、澳大利亞等國在有關(guān)法案中，均采取國家地理邊域為標準，把“出境”定義為“數(shù)據(jù)轉(zhuǎn)移至本國以外的地方”。二是數(shù)據(jù)接收主體的國籍逐漸成為判定標準之一。美國在其有關(guān)關(guān)鍵敏感技術(shù)出口管理的法案中，明確將位于美國境內(nèi)但被外國主體所控制的情形界定為“出口”，這一判斷標準同樣適用于數(shù)據(jù)轉(zhuǎn)移。
我國在數(shù)據(jù)出境管理制度中界定出境問題時，可在借鑒國際通行做法的基礎(chǔ)上，結(jié)合我國數(shù)據(jù)出境的實際情況，以國家地域為主要認定準則，同時結(jié)合數(shù)據(jù)在本國境內(nèi)被外國主體掌握、跨國公司在分支機構(gòu)間分享數(shù)據(jù)等例外情況進行綜合判定。
二、典型國家數(shù)據(jù)出境是如何進行管理的？
由于數(shù)據(jù)屬性、出境影響和管理目的不同，國外對個人信息和重要數(shù)據(jù)出境管理施行差異立法、區(qū)分管理。
（一）個人信息出境管理做法
作為個人信息保護立法的重要內(nèi)容。一是部分國家對數(shù)據(jù)出境單獨規(guī)定。歐盟、新加坡、澳大利亞、俄羅斯、亞太經(jīng)合組織等均在數(shù)據(jù)保護相關(guān)法律、規(guī)則中對個人信息出境流動做出明確規(guī)定，與個人信息境內(nèi)流動區(qū)分管理。如歐盟《數(shù)據(jù)通用保護條例》對個人信息出境從建立數(shù)據(jù)保護機構(gòu)、第三國數(shù)據(jù)保護水平評估、數(shù)據(jù)主體權(quán)益保障等方面提出具體要求。二是使用個人信息向第三方轉(zhuǎn)移通用規(guī)則。美國、日本、加拿大等國在法律中沒有出境管理專用規(guī)則，與個人信息向第三方轉(zhuǎn)移同樣管理。如日本《個人信息保護法》規(guī)定除非滿足特殊情況，個人數(shù)據(jù)控制者事先未獲得數(shù)據(jù)主體的同意的，不得將其個人數(shù)據(jù)向第三者提供。
主要采取兩種管理模式。一是評估認證制，歐盟、新加坡、俄羅斯以及亞太經(jīng)合組織等，以政府相關(guān)部門或經(jīng)政府部門認定的第三方機構(gòu)為認證主體，采取實質(zhì)審查與形式審查相結(jié)合的方式進行評估認證，通過認證的企業(yè)可在規(guī)則框架及認證有效期內(nèi)進行個人信息出境，如APEC數(shù)據(jù)隱私小組的CBPR體系：企業(yè)自愿申請，由APEC認證數(shù)據(jù)保護機構(gòu)認證，認證通過后（需進行年度評估），可在CBPR規(guī)定范圍內(nèi)進行個人信息數(shù)據(jù)出境轉(zhuǎn)移。等。二是合同干預制，歐盟、澳大利亞等政府部門制定并推行數(shù)據(jù)出境合同范本，在合同中明確相關(guān)主體義務(wù)，約束數(shù)據(jù)接收方行為。如歐盟標準合同制度：歐盟委員會以《數(shù)據(jù)保護指令》為法律依據(jù)，起草制定三款《標準合同》條款。企業(yè)之間簽訂數(shù)據(jù)出境流動合同如包含《標準合同》條款，則可進行個人數(shù)據(jù)出境轉(zhuǎn)移。兩種管理模式可并行采用，以企業(yè)自律為基礎(chǔ)，政府審查為保障。
安全管理要求、懲處方式趨同。一是以四方面管理要求為抓手。歐盟、澳大利亞、新加坡、亞太經(jīng)合組織等均對個人信息出境提出明確要求：數(shù)據(jù)主體同意、數(shù)據(jù)主體權(quán)益保障、境內(nèi)數(shù)據(jù)輸出方與境外數(shù)據(jù)接收方的合同、數(shù)據(jù)接收方所在國家、地區(qū)數(shù)據(jù)保護充分性審查，保護個人信息出境安全。二是以立法、管理文件為依托，行政與刑事處罰相結(jié)合。各國依據(jù)上位法律制定懲罰措施，政府部門通過行政處罰與刑事處罰相結(jié)合的方式對違法違規(guī)行為進行懲處，包括行政訴訟、貨幣罰款、行政執(zhí)法、刑事訴訟、列入黑名單等。
（二）重要數(shù)據(jù)出境管理做法
管理要求分散于國家貿(mào)易出口和行業(yè)管理等文件中。歐盟、美國、澳大利亞、韓國等均無專門針對重要數(shù)據(jù)出境管理的文件，管理規(guī)則分散于國家產(chǎn)品、技術(shù)出口管理條例及國家行業(yè)立法中。如美國《出口管理條例》將重要數(shù)據(jù)管理與尖端產(chǎn)品、關(guān)鍵技術(shù)出口管理相結(jié)合，提出相應(yīng)管理要求。采取分級出境和行政審查相結(jié)合的管理方式。一是采取禁止出境和限制出境分級管理。根據(jù)數(shù)據(jù)屬性和影響程度等因素，各國普遍對銀行、金融、征信等重要行業(yè)或領(lǐng)域數(shù)據(jù)實施禁止出境管理；結(jié)合本國國情和政治文化差異，對健康、稅收、地圖、政府等相對敏感數(shù)據(jù)，選擇性地實施禁止或限制出境管理。二是采取一事一議的行政審查管理。在重要數(shù)據(jù)出境前，政府部門對相應(yīng)出境活動進行許可審查，審查通過后方可出境。例如韓國建立地圖數(shù)據(jù)出境申請協(xié)商機制，由國土地理信息院、未來創(chuàng)造科學部、外交部等部門聯(lián)合評估風險，判斷是否允許出境。對于具體審查內(nèi)容及操作流程，各國均無公開資料詳細說明。
三、我國數(shù)據(jù)出境管理現(xiàn)狀如何？與國外存在哪些差異？
（一）國家數(shù)據(jù)出境管理現(xiàn)狀
為推動《網(wǎng)絡(luò)安全法》數(shù)據(jù)出境管理落地實施，中央網(wǎng)信辦統(tǒng)籌開展研究和部署工作。一是研究出臺數(shù)據(jù)出境安全評估制度。《個人信息和重要數(shù)據(jù)出境安全評估辦法（征求意見稿）》明確規(guī)定，建立國家數(shù)據(jù)出境安全評估工作組、行業(yè)主管監(jiān)管部門、網(wǎng)絡(luò)運營者三級評估體系，實施企業(yè)自評估與政府審查評估相結(jié)合的管理模式，有效防范數(shù)據(jù)出境安全風險。二是研究編寫重要數(shù)據(jù)判定指引及分類示例。參考美國CUI，以危害國家安全、公共利益為判定原則，以國家行業(yè)和信息主題為分類標準，制定重要數(shù)據(jù)判定指南，作為相關(guān)行業(yè)重要數(shù)據(jù)出境管理的參考。三是研究制定數(shù)據(jù)出境安全國家標準。組織立項研制《數(shù)據(jù)出境安全評估指南》，進一步細化數(shù)據(jù)出境安全評估管理辦法，規(guī)范啟動條件、評估內(nèi)容、實施流程、結(jié)果判定等內(nèi)容。
（二）通信行業(yè)數(shù)據(jù)出境管理現(xiàn)狀
近年來，通信行業(yè)在個人信息保護和數(shù)據(jù)安全管理方面，已開展了政策標準制定、專項督導檢查、突發(fā)事件處置等工作，但針對數(shù)據(jù)出境管理仍處于初步探索階段。一是部分行業(yè)政策文件中明確了數(shù)據(jù)出境管理要求。正在研制或修訂的《關(guān)于規(guī)范云服務(wù)市場經(jīng)營行為的通知》等重點電信業(yè)務(wù)管理政策文件中，均提出相關(guān)電信業(yè)務(wù)運營產(chǎn)生的網(wǎng)絡(luò)數(shù)據(jù)和用戶個人信息出境管理要求。二是開展重點業(yè)務(wù)數(shù)據(jù)出境評估實踐。對外資企業(yè)申請自貿(mào)區(qū)電信業(yè)務(wù)牌照、跨境電子商務(wù)企業(yè)申請國際專線業(yè)務(wù)等管理實踐中涉及的數(shù)據(jù)出境風險進行評估。
總體而言，與世界典型國家相比，我國數(shù)據(jù)出境管理工作充分吸納和借鑒國外先進實踐經(jīng)驗，結(jié)合我國行政管理體制特點，在重要數(shù)據(jù)分類指引和出境評估審查管理等方面做出了大膽嘗試，為相關(guān)行業(yè)落地實施數(shù)據(jù)出境管理奠定了制度基礎(chǔ)。但同時，我國尚未明確數(shù)據(jù)出境管理的具體模式、審查機構(gòu)和配套保障機制等關(guān)鍵問題，后續(xù)仍需加快推進相關(guān)工作部署。
四、加強數(shù)據(jù)出境安全管理還可以這樣做
在《網(wǎng)絡(luò)安全法》立法框架下，國家有關(guān)部門和行業(yè)主管部門應(yīng)加快建立數(shù)據(jù)出境安全評估管理制度，進一步明確網(wǎng)絡(luò)運營企業(yè)安全管理要求和配套保障措施，細化評估審查操作指引，督促指導企業(yè)落實安全責任，有效防范數(shù)據(jù)出境重大安全風險。
一是提明確數(shù)據(jù)出境判定標準。與國際通行做法接軌，以國家地域為主要認定準則，同時兼顧我國管理實際需要，針對數(shù)據(jù)在本國境內(nèi)被外國主體所掌握、跨國公司在分支機構(gòu)間分享數(shù)據(jù)等例外情況對出境情形進行梳理總結(jié)，兼具確定性和靈活性，形成“一個準則加若干例外情況”的認定方法。梳理總結(jié)我國典型跨境商貿(mào)企業(yè)和跨國公司數(shù)據(jù)出境現(xiàn)實場景，加強數(shù)據(jù)出境管理。
二是明確數(shù)據(jù)出境安全評估審查方式。積極構(gòu)建國家、行業(yè)主管部門、網(wǎng)絡(luò)運營者三級評估體系，國家主管部門統(tǒng)籌建立數(shù)據(jù)出境安全評估管理制度框架，指導行業(yè)主管部門明確重要數(shù)據(jù)分類指引，督促網(wǎng)絡(luò)運營商落實數(shù)據(jù)出境安全管理措施。統(tǒng)籌考慮行政干預和企業(yè)自律管理特點，結(jié)合數(shù)據(jù)出境活動具體場景，區(qū)分采取政府評估、企業(yè)自評估等多種方式，有效防范數(shù)據(jù)出境重大安全風險。
三是明確數(shù)據(jù)出境安全評估啟動條件。根據(jù)數(shù)據(jù)出境管理目的和效力的不同，網(wǎng)絡(luò)運營商應(yīng)對數(shù)據(jù)出境活動實施全周期評估管理，主要采取首次出境評估、動態(tài)定期評估和突發(fā)應(yīng)急評估相結(jié)合的方式，分別明確評估啟動條件。對于可能引發(fā)重大安全影響的數(shù)據(jù)出境活動或發(fā)生重大安全事件的突發(fā)情況，國家有關(guān)部門和行業(yè)主管部門應(yīng)適時開展數(shù)據(jù)出境政府審查評估，研判重大安全風險和管理應(yīng)對措施。
四是制定完善數(shù)據(jù)出境完全評估審查內(nèi)容。明確數(shù)據(jù)出境分級分類管理思路，根據(jù)個人信息和重要數(shù)據(jù)不同屬性，區(qū)別提出網(wǎng)絡(luò)運營者責任要求，并采取禁止出境和限制出境兩級管理手段實施監(jiān)管。確立以數(shù)據(jù)屬性特征、出境活動安全風險、運營者數(shù)據(jù)安全保障能力、接收方數(shù)據(jù)保護水平四個評估模塊為基礎(chǔ)的數(shù)據(jù)出境安全風險評估模型。在評估模型框架下細化完善評估指標及審查內(nèi)容，從風險控制、主體權(quán)益保障、內(nèi)部管控制度機制、安全技術(shù)防范手段、接收方管理能力等方面出發(fā)，開展數(shù)據(jù)出境安全分析按評估，有效防范數(shù)據(jù)出境安全風險。
五是積極融入數(shù)據(jù)出境國際治理體系。研究了解外國數(shù)據(jù)跨境流動管理政策及其發(fā)展趨勢，充分考慮本國管理框架和基本制度與國際規(guī)則的銜接。積極尋求與重要貿(mào)易伙伴國家建立數(shù)據(jù)出境認證等信任機制，推動本國企業(yè)參與國際數(shù)據(jù)出境流動認證，推動建立區(qū)域統(tǒng)一的數(shù)據(jù)流動規(guī)則，增強在數(shù)據(jù)出境流動領(lǐng)域的國際話語權(quán)。
閱讀排行榜
