本報記者 樊三彩

　　當前，數據跨境流動已經成為全球資金、信息、技術、人才、貨物等資源要素交換、共享的基礎。在4月4日中美商貿工作組第一次副部長級會議上，美國官員向中國提出影響美國公司的商業和市場準入問題，據有關媒體報道，跨境數據流動為其中一項重要內容。

　　此前，2023年中央經濟工作會議強調，要對標國際高標準經貿規則，認真解決數據跨境流動等問題；2024年政府工作報告再次明確 “推動解決數據跨境流動等問題”，足見數據跨境流動已經上升為一項國家級戰略工程。3月22日，國家網信辦正式印發實施的《促進和規范數據跨境流動規定》(下稱《規定》），更是以法規形式表明了我國在保障國家數據安全的前提下，充分釋放數據要素價值、擴大高水平對外開放的鮮明立場，也讓數據跨境流動的“中國方案”再添新筆。

　　值得注意的是，近年來，我國已相繼出臺“三法一條例”（《網絡安全法》《數據安全法》《個人信息保護法》和《關鍵信息基礎設施安全保護條例》），還有自2022年9月1日起施行的《數據出境安全評估辦法》、自2023年6月1日起施行的《個人信息出境標準合同辦法》等，均對數據出境活動做出明確規定，數據出境安全管理的制度體系已基本建立。

　　那么，此時《規定》出臺的必要性、特殊性為何，又有哪些新的亮點？圍繞這些問題，3月31日，《中國冶金報》記者獨家專訪了南京郵電大學信息產業發展戰略研究院首席教授、浙江大學網絡空間安全學院雙聘教授，中國科協決策咨詢首席專家，工信部信息通信經濟專家委員會委員，中國行為法學會數據要素決策咨詢委員會主任王春暉。

　　出臺必要性：

　　“促進”還是“規范”？

　　數據跨境流動，主要指在中國境內的數據處理者通過網絡及其他方式（如物理攜帶），將其在中國境內運營中收集和產生的數據，通過直接提供或開展業務、提供服務和產品等方式提供給境外組織或個人的一次性活動或連續性活動。

　　“數據跨境流動對全球經濟增長有明顯的拉動效應?！蓖醮簳熃榻B，據經濟合作與發展組織（OECD）測算，數據流動對各行業利潤增長的平均促進率為10％，在數字、金融等行業中可達到32％。

　　從國際上看，歐美等發達國家非常重視企業、行業協會、科研院校在數據要素市場中的主體作用，并以開放政府數據的方式擴大數據市場的體量規模，還出臺了各種隱私保護法律和政策以引導非公共數據的有條件共享和交易。如美國主要將商業利益導向作為數據要素市場化的基本準則，提倡數據自由流動，形成了以數據經紀商為核心的交易模式。歐盟擁有嚴格的數據產權保護制度和數據隱私保護法律法規體系，特別是GDPR（《通用數據保護條例》）對歐盟境內個人數據向歐盟境外傳輸有著極其嚴格的管控措施，但也提供多種途徑實現個人數據的跨境傳輸。歐盟最早推行全球數據要素市場化，承認政府機構擁有相關公共數據的權屬，并允許政府部門通過提供有償數據服務實現適當盈利。同時，歐美國家的行業協會、科研院所和第三方服務機構等非“數商”主體也在積極參與數據要素市場的建設。

　　“我國正在申請加入的CPTPP（《全面與進步跨太平洋伙伴關系協定》）和DEPA（《數字經濟伙伴關系協定》）均鼓勵數據跨境自由流動，僅保留了‘合法政策目標’這一例外，即成員方為實現合法政策目標，可以對數據流動實施限制，但應確保不會對貿易造成不必要的阻礙、限制的程度應適度?！蓖醮簳煴硎荆兑幎ā穼松鲜龈邩藴蕠H貿易規則提出，只要不包含個人信息或者重要數據，國際貿易、學術合作、跨國生產制造和市場營銷，將不再需要進行安全評估，這項規定幾乎涉及數據出境的所有場景。

　　從國內看，中共中央國務院“數據二十條”明確鼓勵探索數據跨境流動與合作的新途徑、新模式。王春暉認為，《規定》是我國探索新型跨境數字貿易活動的重要依托和安全保障，也為探索數據要素的國際合作提供了重要途徑。

　　王春暉告訴《中國冶金報》記者，正式實施的《規定》與2023年9月28日公布的“征求意見稿”在名稱上有重要調整。“征求意見稿”名稱是《規范和促進數據跨境流動規定》，《規定》名稱將“促進”調整在“規范”之前。“這個先后順序的調整表明，我國在數據跨境流動領域的政策和立法趨勢是‘促進’數據跨境流動，同時在流動中不斷加以‘規范’?！蓖醮簳熣J為。

　　最突出亮點：

　　重要數據出境嚴了還是松了？

　　《規定》針對影響數據跨境流動中存在的一些主要問題進行了規范，如明確重要數據出境安全評估申報標準，明確免予申報數據出境安全評估、訂立個人信息出境標準合同、通過個人信息保護認證的數據出境活動條件，設立自由貿易試驗區負面清單制度，延長數據出境安全評估結果有效期等。

　　“在個人信息出境免予申報數據出境安全評估、訂立個人信息出境標準合同和通過個人信息保護認證方面，與《數據出境安全評估辦法》《個人信息出境標準合同辦法》相較，《規定》不僅擴大了范圍，還明顯放寬了出境的條件?！蓖醮簳熣J為。

　　《規定》明確提出，符合以下4種情形下之一，只要不包括重要數據，均可以免予申報數據出境安全評估、訂立個人信息出境標準合同或通過個人信息保護認證。一是為訂立、履行個人作為一方當事人的合同，如跨境購物、跨境寄遞、跨境匯款、跨境支付、跨境開戶、機票酒店預訂、簽證辦理、考試服務等，確需向境外提供個人信息的情形。二是按照依法制定的勞動規章制度和依法簽訂的集體合同實施跨境人力資源管理，確需向境外提供員工個人信息的情形?！斑@里應當注意，‘依法制定的勞動規章制度和依法簽訂的集體合同’應當同時具備?！蓖醮簳熖嵝训?。三是在緊急情況下為保護自然人的生命健康和財產安全，確需向境外提供個人信息的情形。“比如中國公民在境外旅游遭到恐怖襲擊等。”王春暉舉例說明。四是關鍵信息基礎設施運營者以外的數據處理者自當年1月1日起累計向境外提供不滿10萬人個人信息（不含敏感個人信息）的情形。

　　“第四種情形與《數據出境安全評估辦法》的規定有明顯不同?！蓖醮簳熃榻B。

　　一是，《數據出境安全評估辦法》的起算時間是“自上年1月1日起”，《規定》則調整為“自當年1月1日起”。

　　二是，《數據出境安全評估辦法》要求一般數據處理者向境外提供 “自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的數據處理者向境外提供個人信息”的，需要通過所在地省級網信部門向國家網信部門申報數據出境安全評估，而《規定》則提出“累計向境外提供不滿10萬人個人信息”，只要不含敏感個人信息，就可以免予申報數據出境安全評估、訂立個人信息出境標準合同或通過個人信息保護認證。

　　王春暉指出：“以上豁免的規定幾乎涉及數據出境的所有場景，如跨境電商、跨境旅游、跨境勞務、境外留學、跨境數字貿易等，極大地提升了現行數據跨境傳輸制度的操作性，尤其是降低了中小企業數據出境的合規成本和難度?！?/div>