上海自贸区数据出境负面清单：探索、实践与展望 202502.pdfVIP

2024年5月16日，上海市互联网信息办公室、中国（上海）自由贸易试验区管委会等5部门制定了《中国（上

海）自由贸易试验区及临港新片区数据出境负面清单管理办法（试行）》（“《管理办法》”）、《中国（上

海）自由贸易试验区及临港新片区数据出境管理清单（负面清单）（2024版）》（“《负面清单》”），以及

《中国（上海）自由贸易试验区及临港新片区数据出境负面清单实施指南（试行）》（“《实施指南》”），适

用于注册在中国（上海）自由贸易试验区（“上海自贸区”）和临港新片区的数据处理者开展数据出境活动。

自2024年3月22日《促进和规范数据跨境流动规定》（“数据跨境新规”）发布以来，自贸区被授权可自行制

定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单。在此背景

下，上海自贸区和临港新片区的《负面清单》成为继中国（北京）自由贸易试验区（“北京自贸区”）、中国

（天津）自由贸易试验区（“天津自贸区”）之后，我国第三个发布数据出境负面清单的自贸区。

本文首先对《负面清单》进行内容解读，并结合当前实践，深入探讨自贸区数据出境负面清单管理制度的实施与

发展方向，同时对该制度提出展望与思考。

一、《负面清单》解读

1.适用范围

适用主体

《负面清单》适用于（1）在上海自贸区及临港新片区内注册，且（2）在上海自贸区及临港新片区内开展数据

出境活动的数据处理者。与北京自贸区和天津自贸区的负面清单类似，基于国家安全和公共利益的考量，上海

《负面清单》同样不适用于关键信息基础设施运营者。

目前，问题的关键在于如何界定“开展数据出境活动”，然而《负面清单》等相关文件并未给出其具体定义或示

例。从字面含义分析，“开展数据出境活动”通常与拟出境数据的存储、处理和传输环节相关。因此，若物理意

义上的数据出境活动发生在上海自贸区及临港新片区内，便可认定为在该区域内开展数据出境活动，常见情形如

数据出境的节点、拟出境数据境内存储的数据中心位于上海自贸区及临港新片区内。

另一方面，在实际业务中，有时负责相关业务的团队及技术人员均隶属于上海自贸区及临港新片区内注册的实

体，但因特定业务需求，物理意义上的数据出境活动需在该区域之外开展。若仅依据物理意义上的数据出境活动

来判断，可能会不合理地限制《负面清单》的适用范围。因此，我们认为在判断是否构成“开展数据出境活动”

时，需综合考虑数据处理者内部负责数据出境业务的工作人员所属公司等因素。

适用行业及场景

《负面清单》聚焦3个主要行业的5大场景，分别是金融（再保险）、航运（国际航运）和商贸（零售与餐饮

业、住宿业）。具体而言：

值得注意的是，虽然根据《管理办法》规定，属于上述行业的数据处理者，向境外提供负面清单外的数据可免予

申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证，但实际上《负面清单》对各个行

业均设有兜底管理条款。这意味着，对于其他未列明的场景，仍需依据《促进和规范数据跨境流动规定》有关规

定，申报数据出境安全评估申报，订立个人信息出境标准合同，或通过个人信息保护认证。

此外，对于《负面清单》未予列明的其他行业，《管理办法》明确上海自贸区及临港新片区将参照执行其他自贸

区正式发布的数据出境负面清单。截至目前，我国其他自贸区发布的数据出境负面清单涉及的行业包括北京自贸

区的汽车行业、医药行业、民航业、零售与现代服务业、人工智能训练数据。天津自贸区虽发布了负面清单，但

仅明确了重要数据的范围，未对个人信息出境的阈值进行调整。

尽管如此，上海自贸区及临港新片区如何参照适用其他自贸区正式发布的数据负面清单，仍有待进一步观察。尤

其是其他自贸区后续发布的适用于其他行业的负面清单，以及对其他自贸区数据出境负面清单中适用场景和字段

的解读等问题均需要持续关注和明确。

2.《负面清单》内容

上海《负面清单》采取了与北京自贸区数据出境负面清单类似的体例，并在此基础上大幅提高了需要申报数据出

境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的出境个人信息阈值，提供了详细的场景解释

说明、数据处理者示例等内容，进一步协助数据处理者理解和适用《负面清单》。

个人信息

就个人信息而言，各场景的阈值如下表所示：

重要数据

《负面清单》明确了再保险、国际航运业的重要数据范围。

其中，在再保险行业的人身险再保险场景、财产险再保险场景中，《负面清单》明确涉及部分敏感特殊单位及其

个人的相关数据属于重要数据，包括县级以上党政机关、国防设施、军事管理区、国防科研生产单位等敏感特殊

单位及其个人的数据。需注意的是，在敏感单位工作的个人的相关个人信息也