隨著數(shù)字經(jīng)濟快速發(fā)展，數(shù)據(jù)作為數(shù)字經(jīng)濟的核心要素，已經(jīng)成為國家之間爭奪的重要戰(zhàn)略資源，“數(shù)據(jù)主權(quán)”、“數(shù)據(jù)隱私”、“數(shù)據(jù)跨境流通規(guī)則”等越來越受到國際的關(guān)注。歐美已經(jīng)形成較為體系化的數(shù)據(jù)跨境管理制度，完善我國數(shù)據(jù)出境管理規(guī)則勢在必行。2022年7月7日，國家互聯(lián)網(wǎng)信息辦公室正式公布《數(shù)據(jù)出境安全評估辦法》（以下簡稱《評估辦法》），就個人信息和重要數(shù)據(jù)的出境安全評估管理措施提供具體的法律解決方案，是我國破題數(shù)據(jù)跨境流動管理規(guī)則的重要實踐?！对u估辦法》不僅是對《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護法》等法律法規(guī)中“出境數(shù)據(jù)安全評估”規(guī)定的細化落實，也是保護我國基礎(chǔ)性戰(zhàn)略資源和國家安全的關(guān)鍵措施。

一、加強數(shù)據(jù)跨境流動管理成為主要國家的共識

數(shù)字技術(shù)的蓬勃發(fā)展多層次地影響著世界經(jīng)濟格局，數(shù)據(jù)逐漸成為各國新一輪國際政治博弈中爭奪的重要資源。當前，數(shù)據(jù)資源的全球競爭中，越來越多的國家或地區(qū)立足于發(fā)展利益，制定了相應(yīng)的數(shù)據(jù)跨境管理規(guī)則。

（一）美國推動基于信任的數(shù)據(jù)跨境自由流動

美國積極推進有利于自身的跨境數(shù)據(jù)流動規(guī)則，在倡導數(shù)據(jù)自由流動的同時，也對關(guān)鍵領(lǐng)域數(shù)據(jù)出境施加限制措施，EO 13556號行政令嚴格限定了關(guān)鍵基礎(chǔ)設(shè)施、金融、稅收等近20個門類數(shù)據(jù)的傳播范圍，《外國投資風險審查現(xiàn)代化法》《出口管制條例》等法律通過外商投資安全審查、出口管制等手段對人工智能關(guān)鍵技術(shù)、敏感個人數(shù)據(jù)等采取相關(guān)跨境限制措施。

（二）歐盟建立高水平保護的數(shù)據(jù)跨境流動規(guī)則

歐盟的跨境數(shù)據(jù)流動政策主要體現(xiàn)在對個人數(shù)據(jù)的保護和限制，其《通用數(shù)據(jù)保護條例》（GDPR）構(gòu)建了一套高標準的數(shù)據(jù)保護機制，并為涉及個人數(shù)據(jù)出境業(yè)務(wù)的企業(yè)或機構(gòu)提供了數(shù)據(jù)保護充分性認定、約束性公司規(guī)則（BCR）和標準合同條款（SCC）等多種合規(guī)渠道和工具，而充分性認定是通過建立“白名單”對其數(shù)據(jù)流入國進行嚴格限定。同時，為滿足安全和執(zhí)法訴求，歐盟也提出了數(shù)據(jù)的域外管轄要求。

（三）其他國家加緊完善數(shù)據(jù)跨境流動政策

除日本、韓國、澳大利亞等已經(jīng)加入美國數(shù)據(jù)跨境規(guī)則陣營的國家外，其他國家普遍采納謹慎的數(shù)據(jù)跨境流動政策。印度、巴西等國家參照歐盟GDPR建立了要求較為嚴格的數(shù)據(jù)跨境傳輸規(guī)定。俄羅斯將數(shù)據(jù)本地化作為跨境傳輸?shù)那疤?，奉行較為嚴格數(shù)據(jù)跨境傳輸管控措施。根據(jù)有關(guān)數(shù)據(jù)，從2017年到2021年，要求數(shù)字信息存儲在特定國家的法律、法規(guī)和政府政策的數(shù)量增加了一倍多，達到144個。

二、我國數(shù)據(jù)出境安全評估形成國家數(shù)據(jù)安全重要防線

伴隨數(shù)字經(jīng)濟蓬勃發(fā)展，融入全球數(shù)據(jù)跨境流動的趨勢不可避免。我國作為世界數(shù)據(jù)資源大國之一，面臨的數(shù)據(jù)安全風險相較于其他國家也更為嚴峻，亟需建立健全數(shù)據(jù)跨境管理規(guī)則?！对u估辦法》立足維護國家安全和社會公共利益、保護個人信息權(quán)益，構(gòu)建了我國數(shù)據(jù)出境安全評估的制度，將事前評估和持續(xù)監(jiān)督相結(jié)合、風險自評估與安全評估相結(jié)合，防范數(shù)據(jù)出境安全風險，保障數(shù)據(jù)依法有序自由流動。

（一）《評估辦法》落實上位法的數(shù)據(jù)出境安全評估要求

《網(wǎng)絡(luò)安全法》第37條要求，關(guān)鍵信息基礎(chǔ)設(shè)施運營者向境外提供個人信息和重要數(shù)據(jù)應(yīng)當進行安全評估，首次從法律層面提出了數(shù)據(jù)出境安全評估要求?！稊?shù)據(jù)安全法》第31條將重要數(shù)據(jù)出境管轄范圍由關(guān)鍵信息基礎(chǔ)設(shè)施運營者拓展至所有數(shù)據(jù)處理者，《個人信息保護法》第40條要求達到規(guī)定數(shù)量的個人信息處理者向境外提供個人信息需要進行安全評估，進一步完善了數(shù)據(jù)出境安全評估的范圍和合規(guī)機制。本次出臺的《評估辦法》落實這三部法律的數(shù)據(jù)出境管理規(guī)定和要求，明確了數(shù)據(jù)出境安全評估的適用條件、評估流程、管理機制等，使數(shù)據(jù)出境安全評估制度具體落地。

（二）《評估辦法》劃定可能影響國家安全的數(shù)據(jù)出境行為

由于數(shù)據(jù)出境安全評估重點評估數(shù)據(jù)出境活動可能對國家安全、公共利益、個人或者組織合法權(quán)益帶來的風險，因而《評估辦法》對需要進行安全評估的適用情形進行了限定，框定出真正可能影響國家安全和公共利益等的情形，盡量減輕安全評估流程對數(shù)據(jù)處理者和數(shù)據(jù)出境業(yè)務(wù)的影響。

從出境數(shù)據(jù)的類型看，若向境外提供重要數(shù)據(jù)，需要進行安全評估，這是由數(shù)據(jù)性質(zhì)決定的安全評估情形。從數(shù)據(jù)處理者來看，關(guān)鍵信息基礎(chǔ)設(shè)施運營者和處理個人信息達到特定數(shù)量的個人信息的數(shù)據(jù)處理者（處理100萬人以上個人信息的數(shù)據(jù)處理者、自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的數(shù)據(jù)處理者）向境外提供個人信息，也需要進行安全評估，這是由處理者本身的屬性、個人信息規(guī)模等因素決定的安全評估情形。除上述情形外，《評估辦法》設(shè)有兜底條款，不排除將來會根據(jù)工作需要提出其他的評估條件，亦可能根據(jù)評估實踐作出例外的制度安排。

（三）《評估辦法》強化數(shù)據(jù)處理者的數(shù)據(jù)出境風險自評估義務(wù)

《評估辦法》除了規(guī)定必須向網(wǎng)信部門申請安全評估的數(shù)據(jù)出境情形外，還要求所有數(shù)據(jù)處理者需要在向境外提供數(shù)據(jù)之前開展數(shù)據(jù)安全風險的自評估，其主要目的在于要求數(shù)據(jù)處理者開展事先評估，將合規(guī)監(jiān)管前置，預防數(shù)據(jù)出境安全風險。其要點包括：數(shù)據(jù)出境的合法、正當、必要性，數(shù)據(jù)出境中和出境后可能存在的安全風險，境外數(shù)據(jù)接收方承擔數(shù)據(jù)保護義務(wù)的能力，所簽署法律效力文件約定責任義務(wù)的充分性等，為數(shù)據(jù)處理者開展數(shù)據(jù)出境業(yè)務(wù)提供了詳細參考。

三、我國數(shù)據(jù)跨境流動管理的展望

《評估辦法》的正式出臺和實施，將為國家數(shù)據(jù)安全工作筑牢堅實“防線”。未來，隨著標準合同條款、數(shù)據(jù)出境安全認證等其他數(shù)據(jù)跨境監(jiān)管措施的落實，我國的數(shù)據(jù)跨境管理制度體系將更為完善，乃至形成全球數(shù)據(jù)跨境流動規(guī)則的中國方案。

（一）加快完善數(shù)據(jù)跨境流動管理制度

按照數(shù)據(jù)安全和個人信息保護的頂層立法，持續(xù)完善我國數(shù)據(jù)跨境管理的配套規(guī)范，設(shè)置標準合同、保護能力認證、例外事項等多元數(shù)據(jù)出境途徑，兼顧數(shù)據(jù)安全與數(shù)據(jù)跨境流動應(yīng)用。同時，針對出境國家地區(qū)政治環(huán)境、國際關(guān)系、數(shù)據(jù)保護水平等因素，劃分數(shù)據(jù)出境風險等級，制定差異化的數(shù)據(jù)出境管理要求，保障我國數(shù)據(jù)出境安全。

（二）建立數(shù)據(jù)跨境流動技術(shù)保障體系

堅持管理制度與技術(shù)措施相結(jié)合，將制度要求轉(zhuǎn)化為技術(shù)要求進行落實。建立數(shù)據(jù)全生命周期安全保護管理措施，加強出境數(shù)據(jù)全生命周期的備案、防護、檢測評估和安全監(jiān)管。針對企業(yè)數(shù)據(jù)跨境傳輸和應(yīng)用需求，加強數(shù)據(jù)安全防護技術(shù)能力建設(shè)，保障數(shù)據(jù)跨境流動安全。

（三）加強數(shù)據(jù)跨境流動管理國際合作

依托G20、世界互聯(lián)網(wǎng)大會等多邊對話機制和國際性會議，宣傳我國數(shù)據(jù)跨境流動的主張，吸引更多國家支持和參與《全球數(shù)據(jù)安全倡議》，促進達成數(shù)據(jù)合法、安全有序跨境流動相關(guān)共識。積極參與全球數(shù)據(jù)規(guī)則制定，在當前雙邊、多邊貿(mào)易談判中增加關(guān)于數(shù)據(jù)跨境流動條款，為我國數(shù)字企業(yè)“走出去”奠定基礎(chǔ)。（作者：黃鵬 國家工業(yè)信息安全發(fā)展研究中心總工程師）