數據跨境流動是指數據處理(lǐ)者向境外提供個人信息等數據。一般将數據跨境流動理(lǐ)解為(wèi)“數據從一法域被轉移至另一法域的行為(wèi)”或“跨境對存儲在計算機中(zhōng)的機器可(kě)讀數據進行處理(lǐ)”。數據跨境流動主要包括兩種情形:(1)數據跨境的傳輸、轉移行為(wèi);(2)盡管數據尚未跨境,但能(néng)夠被境外的主體(tǐ)進行訪問處理(lǐ)。
《中(zhōng)華人民(mín)共和國(guó)網絡安(ān)全法》《中(zhōng)華人民(mín)共和國(guó)數據安(ān)全法》《中(zhōng)華人民(mín)共和國(guó)個人信息保護法》都對數據跨境流動作(zuò)出了規定,國(guó)家網信辦(bàn)為(wèi)落實上述法律的相關規定,于2022年7月7日公(gōng)布了《數據出境安(ān)全評估辦(bàn)法》,于2023年2月22日公(gōng)布了《個人信息出境标準合同辦(bàn)法》。這些是處理(lǐ)數據跨境流動的重要部門規章。國(guó)家網信辦(bàn)近日公(gōng)布了《促進和規範數據跨境流動規定》(以下簡稱《規定》),旨在對數據出境安(ān)全評估、個人信息出境标準合同、個人信息保護認證等數據出境制度的施行進行調整,保障數據安(ān)全,保護個人信息權益,促進數據依法有(yǒu)序自由流動。
新(xīn)出台的《規定》有(yǒu)以下主要内容:
符合規定情形的重要數據出境需要經過安(ān)全評估。數據跨境流動管理(lǐ)的基礎是區(qū)别重要數據和非重要數據。依據《規定》,重要數據的跨境流動需要經過安(ān)全評估,數據處理(lǐ)者應當按照相關規定識别、申報重要數據。但是,未被相關部門、地區(qū)告知或者公(gōng)開發布為(wèi)重要數據的,數據處理(lǐ)者不需要作(zuò)為(wèi)重要數據申報數據出境安(ān)全評估。
不包含個人信息或者重要數據的出境豁免。依據《規定》,國(guó)際貿易、跨境運輸、學(xué)術合作(zuò)、跨國(guó)生産(chǎn)制造和市場營銷等活動中(zhōng)收集和産(chǎn)生的數據向境外提供,如果不包含個人信息或者重要數據,免予申報數據出境安(ān)全評估、訂立個人信息出境标準合同、通過個人信息保護認證。數據處理(lǐ)者在境外收集和産(chǎn)生的個人信息傳輸至境内處理(lǐ)後向境外提供的,如果處理(lǐ)過程中(zhōng)沒有(yǒu)引入境内個人信息或者重要數據,也免予申報數據出境安(ān)全評估、訂立個人信息出境标準合同以及通過個人信息保護認證。
部分(fēn)個人信息出境豁免。《規定》規定,為(wèi)訂立或者履行個人作(zuò)為(wèi)一方當事人的合同确需向境外提供個人信息、按照依法制定的勞動規章制度和依法簽訂的集體(tǐ)合同實施跨境人力資源管理(lǐ)确需向境外提供員工(gōng)個人信息、緊急情況下為(wèi)保護自然人的生命健康和财産(chǎn)安(ān)全确需向境外提供個人信息、關鍵信息基礎設施運營者以外的數據處理(lǐ)者自當年1月1日起累計向境外提供不滿10萬人非敏感個人信息,隻要不包含重要數據,免予申報數據出境安(ān)全評估、訂立個人信息出境标準合同以及通過個人信息保護認證。
自貿區(qū)特别立法權與負面清單制度。《規定》指出,自由貿易試驗區(qū)在國(guó)家數據分(fēn)類分(fēn)級保護制度框架下可(kě)以自行制定區(qū)内需要納入數據出境安(ān)全評估、個人信息出境标準合同、個人信息保護認證管理(lǐ)範圍的數據清單,即負面清單,經省級網絡安(ān)全和信息化委員會批準後報國(guó)家網信部門、國(guó)家數據管理(lǐ)部門備案。自貿區(qū)内數據處理(lǐ)者向境外提供負面清單之外的數據可(kě)以免予數據出境安(ān)全評估、訂立個人信息出境标準合同、通過個人信息保護認證。
細化數據出境安(ān)全評估和個人信息出境标準合同及認證制度。《規定》對需要進行數據出境安(ān)全評估的情形作(zuò)出了明确規定:(1)關鍵信息基礎設施運營者向境外提供個人信息或者重要數據;(2)關鍵信息基礎設施運營者以外的數據處理(lǐ)者向境外提供重要數據,或者自當年1月1日起累計向境外提供100萬人以上非敏感個人信息或1萬人以上敏感個人信息。通過數據出境安(ān)全評估的結果有(yǒu)效期為(wèi)3年,滿期後可(kě)以申請延長(cháng)。
關鍵信息基礎設施運營者以外的數據處理(lǐ)者,自當年1月1日起累計向境外提供10萬人以上不滿100萬人非敏感個人信息或者不滿1萬人敏感個人信息的,應當依法與境外接收方訂立個人信息出境标準合同或者通過個人信息保護認證。
《規定》還以專門條文(wén)重申了數據處理(lǐ)者向境外提供個人信息和數據的法律義務(wù),強調各地網信部門的監管職責。
《規定》的公(gōng)布與實施,體(tǐ)現了優化營商(shāng)環境、方便數據(個人信息)處理(lǐ)者經營活動的指導思想,對于非重要數據和特定個人信息的出境規定了方便快捷的路徑,對重要數據和敏感個人信息提供了更加精(jīng)确的保護,有(yǒu)利于實現發展與安(ān)全的平衡,更好地保障數據安(ān)全,保護個人信息權益,促進數據依法有(yǒu)序自由流動。