《促进和规范数据跨境流动规定》解读.pdf

《促进和规范数据跨境流动规定》解读

一、《促进和规范数据跨境流动规定》的出台背景

我国对数据出境历来给予足够的重视，相继制定实施《网

络安全法》《数据安全法》和《个人信息保护法》，对数据出境

活动作出了框架性的明确规定，围绕关键信息基础设施运营

者、重要数据、个人信息三个主要要素进行制度设计。

《网络安全法》（“网安法”）规定，关键信息基础设施的

运营者在中华人民共和国境内运营中收集和产生的个人信息和重

要数据应当在境内存储。因业务需要，确需向境外提供的，应当

按照国家网信部门会同国务院有关部门制定的办法进行安

全评估；法律、行政法规另有规定的，依照其规定。《数据安

全法》（“数安法”）规定，关键信息基础设施的运营者在中

华人民共和国境内运营中收集和产生的重要数据的出境安全管

理，适用《网络安全法》的规定；其他数据处理者在中华人民

共和国境内运营中收集和产生的重要数据的出境安全管理办法，

由国家网信部门会同国务院有关部门制定。《个人信息保护法》

（“个保法”）规定，个人信息处理者因业务等需要，确需向

中华人民共和国境外提供个人信息的，应当具备通过国家网信

部门组织的安全评估、按照国家网信部门的规定经专业机构进

行个人信息保护认证、按照国家网信部门制定的标准合同与境

外接收方订立合同等条件之一。中华人民共和国缔结或者参加

的国际条约、协定对向中华人民共和国境外提供个人信息的条

件等有规定的，可以按照其规定执行。可见，数据出境安全管

理不是对于所有数据，只限于重要数据和个人信息。

为具体落实上述框架性规定，国家互联网信息办公室

（“国家网信办”）在2022年和2023年期间先后公布了《数据

出境安全评估办法》（“安评办法”）和《个人信息出境标准

合同办法》（“备案办法”），联合国家市场监督管理总局公

布了《关于实施个人信息保护认证的公告》，完成数据出境安

全管理制度的初步搭建。同时，国家网信办也公布了配套文件

《数据出境安全评估申报指南》和《个人信息出境标准合同备

案指南》（合称“第一版指南”），对安全评估申报和标准合

同备案的具体操作要求进行了说明。

上述规定和配套文件公布后，在总结实践经验的基础上，

国家网信办于2024年3月22日公布《促进和规范数据跨境流动

规定》并于同日施行，同时还公布了《数据出境安全评估申报

指南（第二版）》和《个人信息出境标准合同备案指南（第二

版）》（合称“第二版指南”）。《促进和规范数据跨境流动

规定》及其配套文件《第二版指南》对现有数据出境制度的实

施和衔接作出进一步明确，放宽了数据跨境流动条件，对数据

处理者的数据出境成本和义务做了必要减负。

二、《促进和规范数据跨境流动规定》的主要内容

《促进和规范数据跨境流动规定》及《第二版指南》对

《安评办法》《备案办法》《第一版指南》的部分内容进行了

删除、修改、增补，主要包括数据出境的范围和路径两大部分，

同时强调了数据处理者应履行的一般性数据安全保护义务。具

体内容如下：

（一）数据出境的范围

《第一版指南》规定了“境内处理者向境外提供”行为的

两个具体情形：（1）数据处理者将在境内运营中收集和产生的

数据传输、存储至境外；（2）数据处理者收集和产生的数据存

储在境内，境外的机构、组织或者个人可以查询、调取、下载、

导出。

《促进和规范数据跨境流动规定》及其配套文件《第二版

指南》在此基础上做了增减：（1）《第二版指南》增加了一个

场景，即《个保法》第三条第二款情形；（2）《第二版指南》

减少了一个“存储至境外”的情形；（3）《促进和规范数据跨

境流动规定》第四条将“数据过境”情形排除在外。

1.增加了《个保法》第三条第二款情形

《个保法》第三条第二款规定：“……在中华人民共和国

境外处理中华人民共和国境内自然人个人信息的活动，有下列

情形之一的，也适用本法：（一）以向境内自然人提供产品或

者服务为目的；（二）分析、评估境内自然人的行为；（三）

法律、行政法规规定的其他情形。”

2.减少了“存储至境外”的情形

《第二版指南》将《第一版指南》项下细化的一个数据出

境情形“数据处理者将在境内运营中收集和产生的数据传输、

存储至境外”中的“存储”删除，意味着境内处理者如果将数

据存储在境外自己管理的存储空间将不再视为“数据出境”。

虽然在理论上数据存储在境外也会面临境外政府调取等