企业动态

    近日，国家互联网信息办公室发布《规范和促进数据跨境流动规定（征求意见稿）》（简称“《规定》”），旨在保障国家数据安全，保护个人信息权益的基础上，进一步规范和促进数据依法有序自由流动。

    奇安信集团副总裁、数据安全首席科学家刘前伟表示，《规定》回应了数据出境合规实践中大量企业的合规困惑，明确了数据跨境流动的豁免情形，且其效力优先于《数据出境安全评估办法》、《个人信息出境标准合同办法》，它使得很多数据出境行为豁免于评估或者通过认证、签订标准合同，在确保数据有序跨境流动的同时，降低了部分企业开展数据跨境业务过程中不必要的合规成本，从而极大便利了企业日常业务的开展，实质性响应了我国政府坚持经济全球化的倡议，有助于促进经济交流和发展。

    具体而言，有以下几个关键信息，值得关注：

    一、持续重申并强化重要数据和个人信息跨境流动管理

    《规定》是对现有数据跨境流动安全管理制度的澄清和细化，并没有变更既有的数据跨境管理的政策，国家数据跨境流动管理的对象依然是重要数据和个人信息，这点在《规定》里持续重申和强调：

    如果企业拟出境的数据为重要数据、或预计一年内向境外提供100万人以上个人信息的，要按照规定申报做数据出境安全评估；

    国家机关和关键信息基础设施运营者向境外提供个人信息和重要数据的，向境外提供涉及党政军和涉密单位敏感信息、敏感个人信息的，依照有关法律、行政法规、部门规章规定执行；

    同时《规定》对于重要数据的识别给出了明确的官方指引：企业如果未被告知、且相关部门或者地区未公开发布为重要数据的，可以不主动申报数据出境安全评估，这无疑极大解决了实践中企业对于“是否具有重要数据、是否需要申报出境评估”的困惑。

    二、探索便利化的数据跨境流通安全管理机制，统筹安全与发展

    《规定》明确了数据出境豁免情形，覆盖了绝大部份企业日常、简单、重复的数据/个人数据出境的场景，包括了日常员工管理、针对个人提供的跨境业务、贸易、服务等，将助力很多具有跨国业务需求和全球运营布局的企业降低数据跨境传输合规压力与成本，更好地平衡业务发展目标和数据安全管理需求。同时也极大减少了网信办的监管压力和工作强度。

    其中自贸区的“负面清单”政策中明确提出，依托自贸区的优势，以自贸区内数据自由跨境流通为原则，进一步探索高效、便利的数据/个人信息出境监管之路，期待网信办与各自贸区后续负面清单的具体内容、适用范围和落地细则的出台

    这些举措将为数字经济和科技创新创造更有利的环境，积极推动了数字经济的国际化发展进程。

    三、加强数据跨境流通动态管理和监测，从事前监管模式转向事前事中事后动态监管

    《规定》第十条提出各地方网信部门加强对数据出境活动进行监督和监管，发现数据出境活动存在较大风险或者发生安全事件立即采取措施。这说明在对符合特定条件的数据出境活动的事前监管有所“松绑”的同时，监管部门的数据出境合规监管思路，将从当前的主要依赖于事前监管，转向事前评估、事中监测、事后处置的动态监管模式，这一新变化对于数据处理者来讲，同样要做好数据出境活动的事前事中事后的数据安全保护义务，确保数据出境活动的持续合规和安全性，避免相关数据出境活动的事中事后监管风险。

    四、发展是目标，合规是基础，安全是保障

    从“《规定》”整体传递的信息来看，企业依然要遵循上位法的安全性和合规性要求，依法依规开展数据出境活动。因此，《规定》并未免除企业《数安法》、《个保法》等法律法规下对于数据安全和个人信息保护的基本要求。

    奇安信提醒，即便是在豁免情形下，企业依然要遵循上位法的安全性和合规性要求，做好企业数据出境场景的自评估、开展企业内部的数据安全合规和个人信息保护影响评估等基本数据合规工作，对数据进行分类分级、识别重要数据、个人信息做好针对性的安全保护措施，并通过技术手段持续监测数据出境活动的安全风险，及时采取有效措施，确保企业自身在数据出境活动中的安全性和合规性，并基于具体数据出境活动的变化及时调整合规措施，避免数据出境活动的事中事后监管风险。

    在数据出境合规方面，奇安信走在了同行前列。目前，奇安信对外推出了保障数据合规的一站式解决方案，在前期，需要先梳理现状进行合规自评估，并根据评估结果进行整改；整改完毕后，进行申报、备案和认证等工作，最后进行持续监督和常态化运营，这些措施全部落实，才能真正符合数据出境合规要求，从而帮助企业更安全放心地开展数据跨境业务，积极拥抱经济全球化的浪潮。