《开放群岛开源社区:2023跨境数据流通合规与技术应用白皮书(214页).pdf》由会员分享,可在线阅读,更多相关《开放群岛开源社区:2023跨境数据流通合规与技术应用白皮书(214页).pdf(214页珍藏版)》请在三个皮匠报告上搜索。
1、开放群岛开源社区跨境数据流通小组2023 年 12 月2023The White Paper on Cross-border Data Transfer Compliance and Technology Applications合规与技术应用白皮书跨境数据流通跨境数据流通跨境数据流通合规与技术应用白皮书合规与技术应用白皮书(2023 年)年)开放群岛开源社区跨境数据流通小组2023 年 12 月版权声明本白皮书版权属于开放群岛开源社区跨境数据流通小组所有,依据 CCBY-NC-SA4.0(http:/creativecommons.org/licenses/by-nc-sa/4.0/)许可证
2、进行授权,并受法律保护。转载、编撰或利用其他方式使用本白皮书文字或观点,应注明来源。违反上述声明者,编者将追究其相关法律责任。编制说明本白皮书由开放群岛开源社区跨境数据流通小组牵头撰写,限于撰写组时间、知识局限等因素,内容恐有疏漏,烦请各位读者不吝指正。本报告在撰写过程中得到了开放群岛开源社区跨境数据流通小组各成员单位的大力支持,在此特别感谢参编单位的各位专家以及联合国世界丝路论坛数字经济研究院院长、浙江大学网络空间安全学院王春晖教授。编写单位编写单位(排名不分先后):联易融数字科技集团有限公司、广东广和律师事务所、深圳数据交易所、深圳市星创数字研究中心、广东卓建律师事务所、北京信联数安科技有
3、限公司、勤达睿(中国)信息科技有限公司、北京植德(深圳)律师事务所、南方科技大学深圳国家应用数学中心、江苏无锡大数据交易有限公司、数交数据经纪(深圳)有限公司、深圳职业技术大学、深圳赛西信息技术有限公司、南昌大学、万商天勤(深圳)律师事务所、万商天勤(杭州)律师事务所、华东江苏大数据交易中心股份有限公司、深圳信息通信研究院、北京中企数安咨询有限公司、大数据协同安全技术国家工程研究中心、中国电信股份有限公司研究院、邓白氏中国、北京市汉坤(深圳)律师事务所、北京市京师(深圳)律师事务所、日本野村综合研究所、广东经天律师事务所、粤港澳大湾区大数据研究院、广东际唐律师事务所、福建旭丰律师事务所、北京万
4、商天勤律师事务所、优刻得科技股份有限公司、中诚信征信有限公司、浙江九鑫智能科技有限公司、深圳市电子商务安全证书管理有限公司、厦门海峡链科技有限公司、四川久远银海软件股份有限公司、领禹智通数据科技(上海)有限公司、三六零数字安全科技集团有限公司、腾讯科技(深圳)有限公司、贵州财经大学、青岛国创智能家电研究院有限公司、南方科技大学智能管理与创新发展研究中心、奇安信科技集团股份有限公司、南财合规科技研究院、数库(上海)科技有限公司1 编写编写组主要成员组主要成员(排名不分先后):陈 曦李如先王 冠丁振赣周宏张巍宫仁海李兰兰刘 媛陈宁王艺郭巧真王以玮史亦言于丹丽张雅婷王鑫罗欣劳国威易海博谭瑞琥柴颖戴志
5、敏吴朝阳周阅杨淋雨尤磊张昊杨子安王雪纯何思婷周钢李东阳陈璐王雨薇李清莲宋杰李丹袁芸夏彦廖瞰曦赵鹏飞陈慧曾铮陈嘉琪袁玥成雨杨杜瑜莫斯航王岩飞樊思琪李智慧王孝冉谢贤保李昌旺舒青云王琼彭晓燕孙红李和清侯子博刘沛郭婷程晶晶彭文琪魏倩黄念念王澜吴一吴昊马兰阮舟王志辉王超博陈建宏张长彬吴治中罗瑶邓祥静胡浩2魏安迪崔如德李坤贺志生王永霞代威丁红发杨楠梁娜黄伟周谢军蔡小芳唐鑫蔡欢马纪园肖苗苗刘岭峰蔡剑戈王青兰朱琳蒙雄发李文塔陈俊昌陆忠明1前 言随着信息技术的飞速发展,数字贸易逐步成为国际贸易发展新趋势和贸易增长新引擎。跨境数据流通是开展数字贸易的前提条件,是世界经济流动新要素。全球数据流动对经济增长有明显的拉
6、动效应。世界贸易组织数据显示,2022 年,全球跨境数据流通规模增长 120.6%,数字服务贸易规模增长 36.9%,均高于同期的全球服务贸易和货物贸易的增速。跨境数据流通对贸易模式、贸易结构、全球贸易规则和世界贸易格局产生深刻影响。加强数据跨境流动探索,已成为打造我国在全球数字经济发展格局中优势的关键。2022 年 12 月,中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见提出,坚持开放发展,推动数据跨境双向有序流动。2023 年 9 月28 日,国家互联网信息办公室发布规范和促进数据跨境流动规定(征求意见稿),该规定在个保法以及相关数据跨境传输规定的基础上,降低了相关主体在数据
7、出境时的合规成本,加快了我国数据出境的效率,有利于促进国际机构跨境活动的高效运营。截至目前,全国已有北京、上海、广州、深圳等 20 余地出台“数据相关条例”,推进数据跨境流动工作。在此背景下,联易融于 2022 年受邀牵头创建开放群岛跨境数据流通小组,以助力企业合法合规实现数据跨境流通,业务出海为目标;结合业务模式与技术能力推进合法合规可落地技术解决方案。去年组织三十余家境内外机构编写了跨境数据流通合规与技术应用白皮书(2022),收到广泛关注。据不完全统计,发布之初,就得到了超过 30W 次的阅读量,以及包括主流媒体在内的超过500 家媒体等机构转载。跨境数据流通对贸易模式、贸易结构、全球贸
8、易规则和世界贸易格局产生深刻影响。加强数据跨境流动探索,已成为打造我国在全球数字经济发展格局中优势的关键。2023 年联易融继续牵头并携深数所、信通院等 40 多家机构撰写跨境数据流通合规与技术应用白皮书(以下简称白皮书(2023)。白皮书(2023)进一步拓宽国际视野和跨境场景,聚焦粤港澳大湾区优势,具有以下特点:第一,国际视野更加开阔,追踪欧美日韩最新跨境数据合规法律动态,增补我国重要贸易伙伴以及邻近国家和地区的法律环境分析,如东盟成员国、沙特阿拉伯、俄罗斯、中国台湾等地,并与中国大陆的数据跨境规则进行对比,为数据处理者与相关国家或地区开展数据跨境活动时提供参考。数据跨境的规范更需要不同国
9、家间相互合作才能完成,白皮书(2023)对当今主要的数据跨境流通2国际条约也加以介绍,为探索跨国合作提供新的视角。第二,数据跨境场景更加丰富,在关注跨境重点行业的基础上,发掘新场景和新应用。例如,从民生出发,关注大湾区居民异地银行或证券开户的个人数据跨境流动。从工业智造出发,关注关键工业数据合规跨境提升芯片制作工艺。从公共健康出发,关注跨境就医结算服务和医疗临床研究项目的数据合规出境规范。第三,数据跨境区域更加聚焦,粤港澳大湾区具有独特的区位优势,是我国跨境数据流通的重要节点。作为一个重要的经济合作区域,涉及“一个国家、两种制度、三个关税区、三种货币”,这里具备强大的经济发展实力和跨境数据流通
10、需求。白皮书(2023)重点关注粤港澳大湾区跨境数据流通发展现状,推进数据跨境流动安全规则研究、制定和落地的先行先试。本次白皮书成功发布,离不开“开放群岛跨境数据流通小组”各位领导专家的支持和帮助。他们在跨境数据合规与流通实践方面,拥有成熟的经验与领先的优势。在编写过程中,各位专家不吝分享自己专业领域的真知灼见,每一次讨论都是思想的碰撞,每一次交流都是思维的提升。再次感谢各参编单位的团结贡献,让我们继续为推动数据跨境安全有序流动贡献力量!1目 录版权声明.1编制说明.2前 言.1目 录.1图列表.1第一章 背景介绍.11.1.我国跨境数据流通的发展现状.11.2.港澳大湾区跨境数据流通的发展现
11、状.41.3.全球跨境数据流通的发展趋势.41.4.我国跨境数据流通发展面临的挑战.5第二章 国际条约中的数据跨境规则.82.1.总览.82.2.具体条约中的数据跨境规则.92.2.1.基于世界贸易组织(WTO)框架下的重要多边条约.92.2.2.区域全面经济伙伴关系协定(RCEP).122.2.3.全面与进步跨太平洋伙伴关系协定(CPTPP).142.2.4.数字经济伙伴关系协定(DEPA).152.3.对中国数据跨境管理的启示.16第三章 数据跨境域外法律环境分析.183.1.中国香港.183.1.1.推动数字经济发展,打造亚太地区数据中心设立首选地.183.1.2.香港数据保护及数据跨境
12、的要点简析.193.1.3.香港与中国大陆个人信息保护法规之对比情况.213.2.中国澳门.223.2.1.完整的个人资料保护规范,但不完善的跨境规则.223.2.2.澳门数据保护及数据跨境的要点解析.223.2.3.注意敏感个人信息保护,避免行政处罚.233.3.中国台湾.243.3.1.台湾地区个人资料保护及跨境流通监管的法律环境.243.3.2.我国台湾地区数据保护及数据跨境的要点简析.253.3.3.我国台湾地区个人资料保护法与大陆个人信息保护法的衔接与差异.2723.4 东盟.273.4.1.出台系列指导性政策文件,统筹数字经济发展与数据保护.283.4.2.东盟个人数据保护框架促各
13、成员国国内数据保护政策一致化.283.4.3.东盟数据管理框架和东盟跨境数据流动示范合同条款为企业提供数据管理和跨境数据流通的指引.293.5.新加坡.293.5.1.寻求加强监管与数据开放流动直接平衡的监管体系.293.5.2.新加坡数据保护监管框架概览及数据跨境的要点解析.303.5.3.新加坡与中国个人信息保护之比较.333.6.越南.333.6.1.越南数据保护法律体系概况.333.6.2.越南数据保护和数据跨境的要点简析.333.6.3.越南与中国数据保护法律之对比.343.7.沙特阿拉伯.353.7.1.沙特阿拉伯数据保护法律框架概述.353.7.2.沙特个人数据保护法要点简析.3
14、53.7.3.沙特数据保护与中国的对比.373.8.日本.373.8.1.日本数据跨境流通战略举措.373.8.2.日本数据跨境流通法律规制要点简析.393.8.3.与我国数据跨境法律法规对比分析.413.9.印度.423.9.1.经历多次曲折,终接近出台数据保护专门立法.423.9.2.印度数据保护及数据跨境的要点解析.423.9.3.与中国法律的对比.453.10.俄罗斯.463.10.1.俄罗斯联邦个人信息及数据法律环境分析.463.10.2.俄罗斯联邦数据跨境保护及审查要点分析.473.10.3.中俄数据保护及数据跨境合规对比.493.11.欧盟.493.11.1.棱镜事件推动的数据跨
15、境流动立法密集时代.493.11.2.欧盟数据保护及数据跨境的要点简析.503.11.3.中国对 GDPR 的借鉴与发展.5133.12.美国.533.12.1.美国个人信息及数据法律环境分析.533.12.2.美国数据保护及数据跨境的要点解析.543.12.3.美国与中国数据保护法律之对比.563.13.尊重区域差异,做好数据跨境合规.57第四章 跨境数据流通技术解决与合规方案.584.1.跨境消费:某知名大型港资消费品企业数据跨境方案.584.1.1.案例背景.584.1.2.技术方案.594.1.3.方案创新点和亮点.594.1.4.应用效果.604.2.跨境金融:香港银行跨境电子签署.
16、604.2.1.案例背景.604.2.2.技术方案.604.2.3.方案创新点和亮点.624.2.4.应用效果.624.3.跨境芯片研发:M2&SKC 芯片数据跨境安全计算.624.3.1.案例背景.624.3.2.技术方案.634.3.3.方案创新亮点.644.3.4.应用成效.654.4.跨境数据:中国首单场内跨境数据交易.654.4.1.案例背景.654.4.2.整体方案.654.4.3.数据产品创新点和亮点.684.4.4.应用成效.684.5.数字贸易:基于数字贸易资产的融资解决方案.694.5.1.案例背景.694.5.2.技术方案.694.5.3.方案创新点和亮点.714.5.4
17、.应用成效.724.6.跨境金融:港股开户跨境可靠电子签署.724.6.1.案例背景.724.6.2.技术方案.7244.6.3.方案创新点和亮点.734.6.4.应用效果.734.7.卫生健康:跨境就医结算服务平台.744.7.1.案例背景.744.7.2.技术方案.744.7.3.方案创新点和亮点.774.7.4.应用效果.774.8.跨境征信:海外用户信用风险评估报告.784.8.1.案例背景.784.8.2.技术方案.784.8.3.方案创新点和亮点.804.8.4.应用效果.804.9.健康医疗:临床试验数据跨境合规.814.9.1.案例背景.814.9.2.合规方案.824.9.3
18、.方案创新点和亮点.834.9.4.应用效果.844.10.跨境贸易:基于区块链的两岸跨境贸易商品溯源系统.844.10.1.案例背景.844.10.2.技术方案.854.10.3.方案创新点和亮点.884.10.4.应用效果.884.11.跨境电商:跨境数据推动电商企业 ESG 供应链改进.884.11.1.案例背景.894.11.2.技术方案.904.11.3.方案创新点和亮点.914.11.4.应用效果.914.12.数据合规:企业数据出境风险评估.924.12.1.案例背景.924.12.2.合规评估.924.12.3.方案创新点和亮点.944.12.4.结语建议.94第五章 数据跨境
19、流通与技术应用发展建议.955.1.数据跨境安全管理底线坚持与便利化探索.9555.2.企业全面建成数据跨境合规体系.965.2.1.企业数据安全与隐私保护.965.2.2.企业供应链风险控制与管理.975.2.3.企业跨境数据流通合规能力建设.985.3.推动跨境数据流通合规技术产业发展.995.4.重视合规人才培养与产业共生.1015.5.深化开放合作实现跨境合规应用多样化.102参考文献.104附录 A:数据跨境流通域外法律解析.1071.香港.1072.澳门.1133.台湾.1174.新加坡.1315.越南.1406.日本.1497.印度.1508.欧盟.1609.美国.176附录 B
20、:编写单位简介.1931图列表图 1跨境流程示意图.59图 2跨境电子签署服务平台总体架构图.61图 3跨境电子签署服务平台网络传输路径图.62图 4整体架构图.64图 5UCloud 安全屋业务流程图.64图 6数库 SmarTag 新闻分析数据产品架构图.66图 7跨境数据交易流程图.67图 8传统供应链中 DTA 的应用流程图.70图 9多级供应链中 DTA 在发行、转让、融资和兑现场景中的应用.71图 10深圳 CA 港股开户电子认证服务平台总体架构图.73图 11跨境就医结算服务平台框架结构图.76图 12平台业务流程图.76图 13跨境就医结算服务平台技术架构图.77图 14用户信
21、用风险评估报告处理系统作业流程示意图.79图 15征信报告模板示意图.80图 16数据出境安全评估流程.82图 17自评估流程图.83图 18两岸跨境贸易商品溯源应用技术架构图.86图 19两岸跨境贸易商农品溯源应用数据上链流程.86图 20两岸跨境贸易商品溯源应用数据采集示例.87图 21两岸跨境贸易商品溯源应用案例.87图 22方案功能展示图.89图 23企业跨境数据安全技术体系架构图.961第一章 背景介绍数据是国家重要的战略资源,跨境数据的积累、精炼、加工和管控是数字经济的重要组成部分,对于促进全球经济的可持续发展具有重要的推动作用。数据跨境流通对数字丝绸之路建设具有积极的推动作用,有
22、助于促进全球数字经济的健康发展,实现各国在数字化时代的共同繁荣。在数字化转型背景下,跨境数据流通已愈发成为全球经济增长中的关键引擎。一是跨境数据推动数字经济全球一是跨境数据推动数字经济全球化化。跨境数字业务如跨境金融、跨境医疗、跨境零售等都需要大量的数据在全世界范围内快速传输和处理,实现全球化的服务和运营;如果无法跨境传输数据,这些基于网络的数字业务将难以实现全球发展,实现数字经济的全球布局。二是二是跨境数据保障数字贸易一体化。跨境数据保障数字贸易一体化。随着数字贸易规模不断扩大,跨境数据流通将成为促进数字贸易发展的重要基础,只有实现安全高效的跨境数据流通,数字贸易才能真正实现全球一体化,这将
23、进一步推动全球数字经济的深入发展。三是三是跨境跨境数据流通数据流通支撑产业高质量支撑产业高质量。企业通过跨境数据流通,整合全球各地区的数据资源实现资源最优化配置,这可以帮助企业缩短产品迭代周期,提高研发效率,优化全球运营决策,在全球竞争中获得先发优势,同时产业也可以利用数据优势,实现转型升级和高质量发展。四是四是跨境数据流通跨境数据流通助力企业高效益助力企业高效益。通过收集和分析来自不同国家和地区用户数据,企业可以更好地了解全球客户的需求和偏好,挖掘出新的商业机会,针对不同市场提供定制化的产品和服务,实现精准营销,拓宽全球销售渠道,这将有利于企业快速扩大市场规模。1.1.我国跨境数据流通的发展
24、现状(1)跨境数据流通的快速发展导致新的商业模式不断涌现,产生更加紧密复杂的经济互动,从而促进数字经济外延形式上的持续扩张和内在逻辑上的持续延伸。在数字经济全球化的背景下,我国对于跨境数据流通的管理上也参考了国际先进经验,制定和实施了许多重要的管理措施。总体而言,我国跨境数据流通整体呈现管理框架更加完善、跨境数据流通行业应用更加丰富等特征。(2)数据数据跨境跨境流通流通管理规范体系愈发管理规范体系愈发完善完善为顺应跨境数据流通,融入全球化发展,近年来我国出台并施行了中国人民共和国民法典电子商务法网络安全法数据安全法个人信息保护法中华人民共和国密码法中华人民共和国外商投资法反垄断法出口管制法等法
25、律规范。随着网络安全法数据安全法个人信息保2护法等法律的发布,我国建立了以数据保护与跨境数据流通为框架的制度体系,同时法律框架机制的设计也采取了全球共识和本土经验相融合的创新模式,积极探索跨境数据流通规则体系多样性的建设。2022 年 9 月国家互联网信息办公室发布实施数据出境安全评估办法,进一步规范了数据跨境的事前管理路径;2022 年 12 月中共中央国务院发布关于构建数据基础制度更好发挥数据要素作用的意见(以下简称“数据二十条”),进一步有利于提高数据要素治理效能;2023 年 6 月 1 日施行的个人信息出境标准合同办法及个人信息出境标准合同,是对个人信息保护法中国家层面的跨境数据流通
26、管理制度体系的落实;2023 年 7 月国务院印发关于进一步优化外商投资环境加大吸引外商投资力度的意见,进一步提出和倡议了“为符合条件的外商投资企业高效开展重要数据和个人信息出境安全评估,提供绿色通道”;2023 年 9 月 28 日国家互联网信息办公室发布规范和促进数据跨境流动规定(征求意见稿),进一步对数据跨境流动的禁止性行为、可行性行为进行了明确的界定,并针对允许的跨境数据流通的可行性行为给予了操作指引,并强调了企业数据出境安全责任和监管要求。总体而言,我国跨境数据流通相关管理体系愈发完善。(3)我国我国跨境数据流通跨境数据流通行业应用愈发丰富行业应用愈发丰富在我国,跨境数据流通已经渗透
27、到众多行业中,其中以金融、制造业、医疗、物流、数字贸易和数字服务等行业为国内跨境数据流通的行业代表,跨境数据流通在其中发挥了积极重要的作用。在金融行业在金融行业,对客户全球范围的金融资产进行配置和管理的过程中,包含大量的跨境数据信息需求,如金融跨境结算,反洗钱及全球风控、客户金融资产管理实时跨境同步等业务场景,都涉及到国境间的个人数据传输。例如,在风控业务中,有的外资机构帮助中国客户在全球范围内进行投资,建设全球风控系统需要掌握较敏感的数据。在制造行业在制造行业,全球化产业链发展格局下,制造业涉及大量数据协同过程,以实现优化配置和降本增效,如当前市场火热新能源领域汽车制造业,车企需要将海外数据
28、存储在当地自有数据中心或公有云中,虽然不涉及到出口国当地个人信息跨境传输,但由于海外销售、研发等分支机构需要共用国内业务系统,会有研发、制造、销售、财务、运行等相关数据跨境流动的需求。在物流行业在物流行业,随着全球化贸易的增长和电子商务的兴起,跨境数据流通和整合为物流行业提供了高效便捷的信息管理和运营模式。通过数字化技术和跨境数据流通,全流程物流信息获取需求得以满足,物流公司可以实时获取全球运输、库存、订单等关键信息,实现供应链的可见性和精细化管理,更好地与海外供应商、制造商和客户进行合作和沟通,促进国际贸易的便捷性和可靠性。3在医疗行业,在医疗行业,药物海外研发对于多样性的个人数据跨境需求显
29、得更为迫切,药企需要收集、处理包括临床试验数据、试验样本中包含的人类遗传资源信息、患者的健康检测和管理数据等,这些数据部分属于重要数据和敏感个人信息。如我国药企向美国申请新药上市,需要向美国食品与药品管理局(FDA)提出新药临床试验审批申请(IND)和新药注册申请(NDA),并提交临床前研究、检测结果、药物组成、药物生产与质控程序数据。在数字贸易在数字贸易,全球化产业的发展,对打通供应链、产业链、服务链从而实现三链贸易的整体打通,提出了“供应链可视化和跨境数据流通整合”的需求,其中跨境数据流通是实现供应链可视化的重要步骤。同时,伴随着数字技术的发展,通过数字技术延伸出来的数字人、元宇宙、NFT
30、 等相关数字服务和需求也相继产生,在数字服务和产品进行全球流通的背景下,跨境数据的流动是必然性的刚性需求,形成了一种跨境数据流通的新型生态系统。(4)跨境数据流通跨境数据流通技术解决方案日趋成熟技术解决方案日趋成熟当前跨境数据流通相关技术日趋成熟并广泛应用。依据我国现有法律法规要求及相关标准规范建议,强调企业应当建立数据跨境的技术能力体系,以规范和促进数据依法有序自由流动。主要从以下几个方面:在数据资产梳理在数据资产梳理方面,数据分类分级技术将助力实现核心数据、重要数据、一般数据的高效识别以及与相应数据类别、数据安全等级的智能关联,从而大幅提升识别效率和安全性。在数据分析处理在数据分析处理方面
31、,隐私计算技术将在助力企业实现“数据可用不可见,原始数据不出域”。已经有越来越多的企业将通过跨境部署隐私计算节点来完成重要数据或个人数据的处理分析。在数据流动管理在数据流动管理方面,区块链技术将有效助力实现跨境数据流通全生命周期的“防篡改、可追溯、可信任”,为国家及企业的个人信息保护合规审核和数据跨境流动安全监管审计工作提供有力的技术保障。(5)数据跨境措施持续促进外商投资和服务贸易发展数据跨境措施持续促进外商投资和服务贸易发展2020 年 8 月,商务部在全面深化服务贸易创新发展试点总体方案中提出,要积极开展数据跨境传输安全管理试点,并选择了北京、天津、上海、广州、深圳等 28 个省市作为试
32、点地区。2022 年 1 月,国家发改委、商务部宣布将放宽跨境数据业务等相关领域市场准入,开展数据跨境传输(出境)安全管理试点,加速数据要素跨境市场建设。2023 年 7 月,国务院公布关于进一步优化外商投资环境,加大吸引外商投资力度的意见,其中首次提出建立数据出境的清单制度,回应了众多外商投资企业和国内企业的关注;同时在全国范围内统一适用数据出境安全评估、标准合同、认证认可的“三件套”监管措施中,另单设京津4沪粤四地“试点探索”形成“可自由流动”的“一般数据清单”,此举是国家发展大战略之一京津冀一体化的通盘考虑,覆盖环渤海、长三角、珠三角国内三个重要经济带。1.2.港澳大湾区跨境数据流通的发
33、展现状粤港澳大湾区是我国跨境数据流通的重要节点,作为一个重要的经济合作区域,涉及“一个国家、两种制度、三个关税区、三种货币”,具备强大的经济发展实力和跨境数据流通需求。大湾区以率先探索制定数据跨境流动规则,拥有庞大的数据跨境流动应用场景和基础设施,其在数据流动方面的地位与影响力日益凸显,成为了我国跨境数据流通的重要支撑,是进行跨境数据流通研究的先行试验田。粤港澳大湾区并结合行业需求,产生了一大批的经典应用案例。在金融领在金融领域域,粤澳上线跨境数据验证平台,利用区块链技术,以金融信息为试行范畴,在个人资产信息、企业资产证明和核数证明等业务场景方面实现跨银行、跨机构间的数据验证服务。在医疗领域在
34、医疗领域,粤港实现电子病历跨境互通,香港大学深圳医院通过电子健康纪录互通系统(简称“医健通”)实现电子病历跨境互通。在政务在政务领域领域,粤港澳实现政务“跨境通办”,江门市在香港和澳门设立“跨境通办政务服务专区”,推出“湾区政务通”可视化智慧服务柜台,通过引入线上身份核验、远程视频、数字空间、区块链等新技术促进跨境政务数据可信共享,实现涵盖商事登记、不动产登记、公积金、社保等多项高频服务的跨境办理。在科研领域在科研领域,中国澳门与欧盟实现科研数据共享,澳门与欧盟合作构建“中国澳门欧盟数据跨境流动通道”,以科研数据为突破点,探索出包括规则、技术和管理的治理机制,采用 IPV6、隐私增强、区块链等
35、技术确保数据流动的可追溯和可管控,实现了科研数据安全有序跨境双向传输。在在教育教育领域领域,粤港澳大湾区已成为我国科研创新中心,数十家境外高校陆续在广东办学或成立实验室,其中包括香港中文大学、香港科技大学、香港浸会大学、澳门科技大学等,通过合作办学的推动,进一步推动了校区之间包括人员身份信息、实验室科研数据、管理规则技术体系的跨境数据流通共享。总体而言,粤港澳大湾区在促进数据跨境流动方面先行先试,成效显著,但当前仍面临数据跨境难以同时实现数据安全、隐私保护和自由流动三大目标的“三元悖论”,数字基础设施互联互通仍存在一定障碍。1.3.全球跨境数据流通的发展趋势伴随着产业全球协同化发展和数字经济的
36、全面到来,在全球范围内进行的跨5境数据流通愈发变得频繁,成为全球经济发展过程中的刚性需求。通过对全球跨境数据流通的现状进行深入分析,全球跨境数据流通具有以下发展趋势:一是数一是数据跨境治理政策愈发明确据跨境治理政策愈发明确。一方面,全球数据跨境流动的政策、规则和标准存在越来越多的共同点、互补性和趋同因素,都聚焦数据跨境安全保护和自由流动双重目标。另一方面,数据跨境流动全球的监管力度、约束规则、惩戒措施,虽总体趋向严格和出现相关处罚案例,但相关的跨境数据流通的政策已愈发清晰具体。二是数据主权之争愈演愈烈二是数据主权之争愈演愈烈。数据是基础性、战略性资源,数据主权之争成为国家冲突的新形态,许多国家
37、和国际组织积极推动数据主权战略部署和政策规制;迄今,全球近 60 个国家和地区出台了数据主权相关法律或战略;特别是美欧滥用长臂管辖进一步导致数据主权冲突加剧。三是数据跨境安全面临新技术冲三是数据跨境安全面临新技术冲击击。生成式人工智能等新技术的发展促进数据应用场景和主体日益多样化,同时也给数据安全带来新的威胁,导致隐秘在新技术外衣下的数据泄露、数据贩卖、数据侵权等数据跨境安全事件频发;如用户在使用 ChatGPT 的过程中若使用不当,将对个人隐私、商业秘密、国家安全造成严重威胁。四是数据本地化趋势上四是数据本地化趋势上升升。出于国家主权、数据安全、个人信息保护等多种因素的考虑,越来越多的国家和
38、地区采取数据本地化措施,限制部分相关重要数据跨境流动;同时,这些措施的限制性越来越强,许多措施涉及禁止数据流动的存储要求。1.4.我国跨境数据流通发展面临的挑战我国跨境数据流通发展整体呈现出蓬勃发展之势,但综合分析现状和未来趋势,当前仍存在跨境数据流通实施标准和落地措施不足、境外主体数据安全保障能力评估受限、跨境数据流通安全评估成本高和耗时长、境外直接面向境内收集数据主体的申报难、大模型训练数据来源广泛导致监管难度加大等五个方面的问题和挑战。(1)跨境跨境数据流通数据流通实施标准和落地措施不足实施标准和落地措施不足国家发布的数据出境安全评估办法 工业和信息化领域数据安全管理办法(试行)汽车数据
39、安全管理若干规定(试行)重要数据识别指南(征求意见稿)和规范和促进数据跨境流动规定(征求意见稿)已对数据和重要数据的范围进行了定义,明确了告知原则和解决了范围模糊的问题,并有效降低了数据处理者的合规成本;但在目前构建的数据跨境底座之上,我们仍然缺乏更加清晰的跨境数据相关标准、落地措施,以作为数据跨境流动的发展底层设施;如数据出境安全评估申报指南中对属于数据出境的行为做出了描述,但在具体业务中,企业仍缺乏更加细致统一多方互认的数据跨境标准和共通的落地执行措施。6(2)境外主体数据安全保障能力评估受限境外主体数据安全保障能力评估受限数据出境安全评估办法 个人信息出境标准合同办法等法规对境外接收方的
40、数据安全保障能力、个人向境外接收方主张权利的途径有效性评估进行了规定,但在具体核查评估过程中,仍然存在能够进行有效评估的企业数量有限、评估事项评估标准理解不清晰、人工梳理出境活动协调难还原不准确等问题,大多数企业仍主要是靠“在合同中进行约定的方式”来完成判定境外主体履行责任义务的管理和技术措施、能力等保障出境数据的安全,也只有零星几家企业有能力“派遣公司内部人员进行实地考察判断其管理和安全防护能力”。同时在具体开展技术检测过程中,仅通过书面材料审核还是需要到境外对相应接收方进行审核的不确定性导致很难对另外主体的数据安全保障能力进行一个精确性的评估。(3)跨境数据流通跨境数据流通安全评估成本高和
41、耗时长安全评估成本高和耗时长数据出境安全评估过程中,需对境内外双方数据出境场景规模必要性、境外接收方数据法律环境、数据安全保障能力、数据出境风险等进行评估,内容庞杂且复杂,评估内容涉及多层面、多维度,单一能力团队无法支撑。就所需要评估的内容,企业需要聘请内外部多方团队,如聘请外部律师事务所、咨询机构、技术单位进行评估申报、履行评估、整改和申报义务,总体花费的经济成本较高。同时,由于涉及的层面内容的多样性和多维度,处理评估、整改和申报相关手续及流程的时间周期较长,甚至可能经过多轮修改补充仍无法通过,在境内企业难以评估数据跨境风险和控制措施的有效性的情况下,评估周期有可能进一步拉长。(4)境外直接
42、面向境内收集数据主体的申报难境外直接面向境内收集数据主体的申报难根据个人信息保护法五十三条规定,本法第三条第二款(分析、评估境内自然人的行为)规定的中华人民共和国境外的个人信息处理者,应当在中华人民共和国境内设立专门机构或者指定代表,负责处理个人信息保护相关事务,并将有关机构的名称或者代表的姓名、联系方式等报送履行个人信息保护职责的部门。同时,个人信息保护法明确对于数据跨境业务和场景,应当依照个保法相关规定履行数据出境安全义务,强调对于满足数据出境安全评估条件的境外个人信息处理者,应当申报数据出境安全评估,并满制度要求:仅具有独立法人资格的主体可以进行认证并持有认证证书。如境外主体或其境内不具
43、有独立法人资格的分支机构需要进行认证,需由境外总部进行认证。现阶段而言对于境外数据处理者主体,面向境内收集数据也成为实务中难点。(5)大模型训练数据来源广泛导致监管难度加大大模型训练数据来源广泛导致监管难度加大大模型训练数据中数据类型及数据来源多元复杂,包括他人隐私、个人信息、7智力成果等,使用这些数据训练模型存在侵犯他人个人隐私、个人信息等风险。在使用过程中,境内主体通过 API 接口形式接入境外大模型,还可能会伴随数据跨境传输及数据泄露风险。如众多个人用户跨境调用大模型服务,或导致数据积累违规跨境,业内多家大模型服务科技企业由于跨境调用大模型服务而致使企业陷入合规危机。在企业内部,企业在多
44、场景应用训练时无法使用同一个模型,需采购或研发大模型(必要场景下国内外大模型都采用),这将使得企业面临中国境内一套模型,境外一套模型的境况,无法实现系统的整体统一监控,导致跨境数据传输的风险进一步加大,同样增加了跨境数据流通监管难度。8第二章 国际条约中的数据跨境规则2.1.总览数据的跨境自由流动是当今世界经济发展必备的常态,应当在保障国家安全、经济安全和社会公共利益等少数必要情况下,尽可能促进和鼓励数据跨境流动,以便创造出更大的经济和社会价值。鉴此,产业界、学术界、社会公众对于简化和便利数据跨境流动监管手续的呼声持续高涨,国际组织、区域机构、各国政府也在积极探索和不懈推动。主要经济体基于自身
45、立场、产业要求分别形成了两种不同的管理路径:一是倡导数据自由流动的全球主义;二是以本地化存储、数据跨境审查为主要特征的本地主义。在此情况下,条约作为国家之间、政府间国际组织之间、国家与政府间国际组织之间缔结的国际协议,便发挥了最主要的契约型约束和造法性指引。必须承认,目前数据跨境活动并未形成全球性规制体系。换言之,全球范围内暂不存在数据跨境流动监管中统一适用的“国际规则”,导致无专项性国际条约、无国际统一适用标准、无国际专业仲裁机构、无国际专项争端解决。“条约是确立国际法主体之前权利义务的书面协定,是国际法渊源最主要体现。”目前国际法按照缔约方数量的划分,针对数据跨境这一特定问题构建权利和义务
46、的国际条约:分为双边条约、诸边条约和多边条约。由于体例和篇幅的限制,本节简要分析涉及中国出境业务或对中国国内立法具有重要影响或参与国际规则谈判发挥范例效应的主要国际条约。(1)缺有效强制但顽强推进的多边条约缺有效强制但顽强推进的多边条约目前,多边条约主要中涉及部分数据跨境内容的国际组织成员签署的条约或主要国际治理机发布的宣言,由于成员间的立场和利益分歧、经济发展水平差异、执法水平经验和机构无法对齐,导致普遍缺乏强制力保障,主要有三类:一是经济合作与发展组织(OECD)于 1980 年确立的首部关于全球数据跨境流动执法原则立法-隐私保护和个人数据跨境流动指南、2013 年制定的OECD 隐私框架
47、,中国为观察员身份未加入;二是二十国集团积极倡导于 2019 年签署的数字经济大阪宣言,中国加入;三是世界贸易组织(WTO)于 1995 年生效的服务贸易总协定、于 1997 年生效的信息技术产品协议、于 2019 年生效的关于电子商务的联合声明,中国均已加入。值得关注的是,尽管存在数据主权、隐私安全、管辖权的政策议题争议诸多困难,国际多边组织始终在不懈努力积极推进。特别是不断有学者和产业人士呼9吁成立世界数据组织(WDO)并缔结管辖数据跨境并具备强制约束力的条约,虽目前看此提议遥遥无期,但无容置疑:统一适用的国际多边条约必是最终目标。(2)重区域适用但蓬勃发展的诸边条约重区域适用但蓬勃发展的
48、诸边条约由于达成多边组织的广泛一致和签署具有约束效力的协商共识,近二十年来区域经贸协定和近年来的区域数字协定成为各经济体开展对外合作的主流,涉及数据跨境移动便利化规制的诸边条约主要有三类:一是中国已加入的具有相对广泛代表性的,比如亚太经合组织(APEC)各成员于 2005 年签署的隐私保护框架、2007 年签署的数据隐私探路者协议、2011 年开发的“跨境隐私规则体系”;二是针对中国正积极申请加入且具备较高水平的,包括 2018 年生效的全面与进步跨太平洋伙伴关系协定,特别是其中的数字贸易规则;2020 年新加坡、新西兰和智利(亦是 CPTPP 签署方)线上签署的 数字经济伙伴关系协定,特别是
49、其中应对数字经济对传统商业贸易治理产生的巨大挑战规定;三是国际上一体化程度十分紧密且为各成员广泛关注的,如 2020 年,美国、墨西哥、加拿大之间新的贸易协议 美墨加协议 正式生效,该协议不仅正式承认了 APEC跨境隐私规则体系”的有效性,而且要求确保数据跨境自由传输、最大限度减少数据存储与处理地点的限制以促进全球化的数字生态系统。(3)高标准雄心但数量有限的高标准雄心但数量有限的双边条约双边条约基于美欧密切的经济联系和高科技的深度合作,2022 年 欧美数据隐私框架达成。欧盟委员会不仅扩大数据跨境移动方面的规则解释,更是更新了标准合同条款,明确确保数据进口提供同等保护的责任主体在于将个人数据
50、提供数据跨境的数据出口方。美国也提出了修补隐私盾协议的实质性承诺。2.2.具体条约中的数据跨境规则本节将从具体的条约着手,简析其中的数据跨境规则。由于体例和篇幅的限制,我们挑选部分条约进行分析,供参考。2.2.1.基于世界贸易组织(WTO)框架下的重要多边条约在全球发展数字经济的背景下,世界贸易组织(World Trade Organization,WTO)作为全球范围内的多边贸易组织拥有 164 个经济体成员,主要通过减免数字产品关税、推动跨境数据自由流动促进全球范围内信息技术产品贸易涉及数字服务贸易的统一化、便利化、自由化。在不断涌现新兴技术的有力加持下,多种形式的国际贸易均可能涉及到相应
51、的国际间数据跨境传输,相关成员关于数据跨境传输的法律和政策确实会影响贸10易开展。鉴于 WTO 框架目前主要针对基于贸易关切的数据跨境进行专项规制,在 WTO 体系下讨论数据跨境问题应从相关成员的国(境)内法律政策对贸易本身的影响考虑,从而援引相关贸易协定进行分析,本节侧重中国数据安全和个人信息保护开展例证。后续一节将重点讨论三个重要多边条约:服务贸易总协定(General Agreement on Trade in Services,以下简称 GATS)、信息技术产品协议(Information Technology Agreement,以下简称 ITA)、关于电子商务的联合声明(Joint
52、 Statement on Electronic Commerce,以下简称 JSEC)。(1)服务贸易总协定(服务贸易总协定(GATS)GATS 是关贸总协定(GATT)乌拉圭回合谈判达成的第一套规范国际跨境服务贸易的具有法律效力的多边条约,于 1995 年 1 月正式生效,包括美国、欧盟、日本、澳大利亚、中国等 140 多个成员,其宗旨是在透明度和逐步自由化的条件下扩大服务贸易。GATS 规定国际服务贸易具体分为四种方式:跨境交付(cross-border supply)、境外消费(consumption abroad)、商业存在(commercialpresence)、自然人流动(mov
53、ement of natural persons),其核心是市场准入及具体承诺表(schedules of specific commitments)。GATS 中与数据流动有关的内容,缔约时放在计算机和相关服务(computer and related services)类别,其中包括数据处理服务(data processing services)。如前所述,目前上没有一部专门管辖数据跨境的国际条约,WTO 规则中关于数据跨境传输的规制散件于各协定、备忘录、宣言中。WTO 各项协议中都存在少量例外条款,如果符合例外条款,则有关限制数据跨境流动的国(境)内监管措施将不构成违反 WTO 规则。这
54、些例外规则暂时替代性地构成数据跨境流动的国际法基础,其中最为重要的是,GATS 的例外包括了第 14 条的“隐私例外”和“安全例外”,第 14 条之二的“基本安全例外”,具体为:“隐私例外”系指第14条第1款的“为保护公共道德或维护公共秩序所必须的措施”;第 14 条第 3 款“为遵守法律或法规所必需的措施”及其第 2 项的“保护与个人信息(personal data)处理与传播有关的个人隐私及保护个人记录和账户的机密性”。“安全例外”系指第 14 条第 3 款第 3 项的“安全(safety)”。“基本安全例外”系指第 14 条之二第 1 款第 1 项的“(不得)要求任何成员提供其认为如披露
55、则违背其基本安全利益(essential security interests)的任何信息(any information)”。世界各国在国内立法以及开诸边经贸谈判、区域规则谈判过程中涉及数据跨境流动章节的规则设置时,包括紧接本节讨论的 CPTTP、DEPA、RECP 等诸边条约时,总体上均未超越 GATS 中限制跨境服务贸易的上述例外。11(2)信息技术产品协议信息技术产品协议(ITA)ITA 是世界贸易组织于 1996 年 12 月 9 日至 13 日达成的协议,于 1997 年 4月 1 日生效。它由世界贸易组织成员和申请加入国或单独关税区自愿参加,作为WTO 框架下“次多边贸易协定”的
56、新类型,ITA 的成果在最惠国待遇原则的基础上适用于所有成员,每个成员都可以从 ITA 缔约方的市场准入承诺中受益。ITA 在 2015 年完成了扩围谈判,达成了关于扩大信息技术产品贸易的部长宣言,新增了 201 项产品。扩围谈判的成功使 ITA 适应了技术发展的现实,扩围后的 ITA 涵盖了尖端技术产品,例如自动数据处理设备、计算机、网络设备、医疗磁共振成像机、高端半导体、激光技术等。ITA 扩大了作为数字贸易基础的技术产品贸易,但 ITA 的规制局限于信息技术产品的关税削减机制,不包含任何形式的非关税壁垒的有约束力的承诺。数字贸易壁垒更多涉及边境后的非关税措施,尽管存在一定谈判深入中的举步
57、维艰,ITA 为与信息技术相关的硬件贸易提供了非常自由的体制保障,极大地推动了信息技术在全球的普及和运用,从而促进了跨境数据流通。(3)关于电子商务的联合声明(关于电子商务的联合声明(JSEC)2019 年 1 月 25 日,在瑞士达沃斯举行的 WTO 电子商务非正式部长级会议上,中国、澳大利亚、日本、新加坡、美国、欧盟、俄罗斯、巴西、尼日利亚、缅甸等共计 76 个世贸成员签署 JCEC。从多边拓展层面分析从多边拓展层面分析,JCEC 所积极倡导的 WTO 电子商务谈判已扩大到 90个成员参与,形成覆盖数字相关 7 个领域 16 项议题;从双边区域层面分析从双边区域层面分析,至2023 年上半
58、年,全球已签署超 130 个数字协定,其中多为双边、区域自贸协定(FTA)以及数字经济专门协定。从历史演进层面分析,从历史演进层面分析,JCEC 最早可以追溯至WTO 于 1998 年成立的“电子商务工作计划”,强调将充分认识并考虑世贸组织成员在电子商务领域面临的独特机遇和挑战,鼓励所有成员参加谈判,以便使电子商务为企业、消费者和全球经济带来更大利益。从发展理念层面分析,从发展理念层面分析,WTO成员形成三排意见:一是以美国为代表的发达经济体,主张跨境数据自由流动,对电子传输永久免证关税,并禁止数据本地化;二是以中国为代表的发展中经济体,呼吁建立以货物流动为主的跨境电子商务规则;三是以非洲、加
59、勒比和太平洋岛国等相关成员,反对将数字贸易及跨境电子商务议题纳入多边贸易框架下讨论。但近期出现重大的事件却将改变 ICEC 后续谈判的走向,2023 年 10 月 25日,在瑞士日内瓦举行的 WTO 电子商务联合声明倡议会议期间,美国贸易代表凯瑟琳-戴办公室声明,美国在 WTO 电子商务规则谈判中放弃该国长期以来坚持的部分数字贸易主张,其中包括关于跨境数据自由流动的要求,并且美国正在审12查其在数据和源代码等敏感领域的贸易规则现行举措.事态最终走向值得进一步关注。(4)WTO 涉及涉及数据跨境规则与中国数据跨境规则与中国立法的联系立法的联系我国制定的网络安全法、数据安全法、个人信息保护法等法律
60、,关键信息基础设施管理条例、网络数据安全管理条例(征询意见稿)等行政法规,网络安全审查办法、数据出境安全评估办法等部门规章,对于重要数据跨境流动的限制、对于达到规定数量的个人信息出境从而会触发安全影响的评估,对于关基运营者在境内运营中收集和产生的个人信息和重要数据应在境内存储,这些措施都是援引 GATS 的“基本安全例外”来适度限制,其中对个人信息跨境流动的限制还会增加援引 GATS 的“隐私例外”和“安全例外”。特别指出的是,国家核心数据禁止出境、数据安全审查等事项可以援引“基本安全例外”,这两种限制措施都着眼于保障国家安全和重大公共利益,属于“基本安全”范畴。另一方面,WTO 例外条款的适
61、用旨在协调多边贸易自由化与国内公共政策目标之间的冲突,既保障成员方善意行使例外条款的权利,又保持多边贸易规则的包容性和灵活性。例外条款毕竟是在限缩明确条件和特定少数情况下适用,从既往涉及 GATS 例外条款的争端来看,无论是美国博彩案还是中国出版物及音像产品案,争端解决机构裁决中均采取了严格解释,认为例外条款的要件没有得到充分满足。遵循这一法律逻辑,GATS 例外条款似乎也难以支持成员方限制跨境数据流通,即便是欧盟 GDPR 似乎亦未满足 GATS 例外条款的适用条件。我国在数据出境安全评估的后续地方法规和细化的部门规章出台和具体执法实践中,也应秉持审慎的原则。GATS 创设的隐私例外和安全例
62、外存在共同的适用条件以及适用限制,即“为遵守国内法律法规所必需的措施”(称为“必要性测试”)、“实施措施不得构成任意或不合理的手段或者构成变相限制的前提下”(称为“非歧视性测试”)。目前,暂不确定主要国家和地区限制数据跨境流动的规则能够通过 GATS 第 14条的“必要性测试”和“非歧视性测试”。同时,GATS 第 6.4 条规定服务贸易理事会应制定国内管制纪律,以“保证有关资格要求和程序、技术标准和许可要求的各项措施不致构成不必要的服务贸易壁垒”。这些多边规定和纪律要求在我国深入开展数据安全和隐私保护立法及其落地实践中必须得遵守。2.2.2.区域全面经济伙伴关系协定(RCEP)区域全面经济伙
63、伴关系协定(Regional Comprehensive EconomicPartnership,RCEP)由东盟于 2012 年发起,东盟十国和中国、日本、韩国、澳大利亚、新西兰等 15 个亚太国家共同制定的协定。2020 年 11 月 15 日,前述 1513个国家正式签署了 RCEP。2022 年 1 月 1 日,RCEP 正式生效,目前,该条约已在 15 个签约国中生效,中国是首批生效的国家之一。RCEP 的签署对我国扩大对外开放,形成国内国际双循环新发展格局,促进亚太地区区域协调均衡发展,提升区域经济一体化水平有重要意义。RCEP 由序言、20 个章节和 4 部分市场准入附件共 56
64、 个承诺表组成,是一个现代、全面、高质量、互惠的大型区域自贸协定。其中,关于数据跨境的规定主要集中在第十二章“电子商务”。RCEP 在原则上倡导和鼓励跨境数据的自由流动,但考虑到各国在数字经济和数据治理水平方面的差异,相应的也做出了例外规定,如允许各缔约国基于“实现合法的公共政策目标”及“保护基本安全利益”采取必要措施。RCEP 关于数据跨境的具体规定如下:(1)个人信息保护的要求个人信息保护的要求对于个人信息保护,RCEP 要求各缔约国应制定法律保护电子商务用户的个人信息,且在制定相应法律时应考虑相关国际组织或机构的国际标准、原则、指南和准则,并应向电子商务用户提供“个人如何需求救济、企业如
65、何遵守法律要求”等关于个人信息保护的信息。同时,鼓励法人公布其与个人信息保护相关的政策和程序。(2)推动各缔约国间数据跨境自由流通推动各缔约国间数据跨境自由流通围绕着“促进缔约方之间的电子商务,以及全球范围内电子商务的更广泛使用”的目标,RCEP 在第十二章第十一条规定缔约方不对电子传输征收关税;第十四条第二款规定了不得强制将数据“本地化”作为在该缔约方领土内进行商业行为的条件;第十五条第二款规定“一缔约方不得阻止涵盖的人为进行商业行为而通过电子方式跨境传输信息。”即使在监管较重的金融领域及电信领域,RCEP在其第八章服务贸易的附件一及附件二中也作出了相应规定,原则上应允许相应领域的数据自由跨
66、境流通。(3)以以“合法的公共政策目标合法的公共政策目标”及及“基本安全利益基本安全利益”为例外的流通限制规为例外的流通限制规定定RCEP 以促进数据跨境自由流通为原则,但也为各缔约国作出了例外规定,构建一套“原则+例外”的数据跨境流通规则体系。例外情形主要有两种情形,一是基于合法的公共政策目标采取的必要措施,在 RCEP 序言中即已表明“每一缔约方为实现合法的公共福利目标而进行监管的权利”,在第十二章第十四条第三款第(一)项,第十五条第三款第(一)项做出了相应规定。在金融领域,也对数据本地化做出了例外规定,在不作为规避 RCEP 项下承诺或义务手段的前提下,可以要求金融服务提供者将数据在本地
67、进行存储。二是基于安全采取的必要14措施。该例外主要规定于第二章第十四条第三款第(二)项,第十五条第三款第(三)项。电信领域也有类似规定,在不够成“任意的或不合理歧视或变相限制”的前提下,可以采取措施保证信息的安全性和机密性,并且保护公共电信网络或服务终端用户的个人信息。(4)灵活的争端解决方案灵活的争端解决方案RCEP 第十九章是专门的争端解决条款,但第十二章第十七条对此作出了限制规定。根据该条的规定,缔约国如果对第十二章的解释和适用存在分歧的,首先应善意的进行磋商,尽最大努力达成共同满意的解决方案。如磋商未能解决分歧的,可将分歧提交至 RCEP 联合委员会,第十二章电子商务的争议不适用第十
68、九章关于争端解决的规定,但未来可对该条款进行一般性审议,在审议完成后,就电子商务分歧,可以在同意适用的缔约国间适用争端解决机制。2.2.3.全面与进步跨太平洋伙伴关系协定(CPTPP)全 面与 进 步跨 太 平洋 伙 伴关 系 协定(Comprehensive and ProgressiveAgreement for Trans-Pacific Partnership,CPTPP)跨太平洋伙伴关系协定(Trans-Pacific Partnership Agreement,TPP),在美国退出后,原 11 个 TPP 成员国于 2018 年 3 月在智利首都圣地亚哥共同发表声明,宣布新的协议已
69、经达成并正式更名为 CPTPP。2021 年 9 月 16 日,中国商务部部长王文涛向 CPTPP 保存方新西兰贸易与出口增长部长奥康纳提交了中国正式申请加入 CPTPP 的书面信函。同 RCEP,CPTPP 并非专门的关于数字经济,数据贸易的协定,而是一个全面的区域贸易协定,但其中关于数字经济、数据贸易的规定是协定的重要组成部分。CPTPP 由全面与进步跨太平洋伙伴关系协定、序言、30 个章节及附件全面与进步跨太平洋伙伴关系协定委员会关于 CPTPP 加入程序的决定组成,其中关于数据跨境的规定集中于第十四章电子商务一章。与 RCEP 相同,CPTPP也采取了“原则+例外”的模式对数据跨境进行
70、规定,两者原则上都鼓励跨境数据的自由流动,但在数据流通的自由度上有所差异,具体分析如下:(1)建立促进不同个人信息保护体制间的兼容性的机制建立促进不同个人信息保护体制间的兼容性的机制CPTPP 在个人信息保护方面的规定与 RCEP 相似,但较 RCEP 更进一步的是,考虑到缔约方可能采取不同法律方式保护个人信息,CPTPP 提出每一缔约方应鼓励建立促进这些不同体制之间兼容性的机制。这些机制可包括对监管结果的承认,无论是自主给予还是通过共同安排,或通过更广泛的国际框架。为此,缔约方应努力就其管辖范围内适用的此类机制交流信息,并探索扩大此类安排或其他适当 安排的途径以促进各机制之间的兼容性。15(
71、2)促进各缔约国间的数据自由流通促进各缔约国间的数据自由流通CPTPP 通过不对缔约方间的电子传输征收关税,数字产品的非歧视待遇,允许通过电子方式跨境传输信息,不强制将数据本地化作为作为在其领土内开展业务的条件,不强制开放源代码等进行规定,促进数据在各缔约国间自由流通,。(3)更为自由的数据跨境自由流通规则更为自由的数据跨境自由流通规则相较于 RCEP,CPTPP 关于数据跨境流通的规则更加自由,除了前述提到的RCEP 未做规定的数字产品的非歧视待遇,不强制开放源代码等外,在海关关税上两者也存在差异,RCEP 的关税规定属于“临时性”规定,而 CPTPP 的要求则较为严格,不仅“永久性”免征电
72、子传输关税,还明确要求涵盖电子传输的内容,即数字产品。此外,CPTPP 在例外规定方面有更严格的限制。关于“实现合法公共政策目标”的必要措施,CPTPP 在不构成任意或不合理歧视或对贸易构成变相限制之外规定了不对信息传输施加超出实现目标所需限度的限制。CPTPP 并未将“保护基本安全利益”作为例外情况进行规定。2.2.4.数字经济伙伴关系协定(DEPA)数 字 经 济 伙 伴 关 系 协 定 (DIGITAL ECONOMY PARTNERSHIPAGREEMENT,DEPA)由新西兰、智利和新加坡三国于 2020 年 6 月 12 日在线上签署,于同年 12 月 28 日生效。与 RCEP、
73、CPTPP 不同,DEPA 是全球第一个关于数字经济的专项协定,因此,尽管该协定由三个经济体量较小的国家提出,但在一定程度上为全球数字经济制度提供了模板。中国目前正积极推动加入DEPA,已正式于 2021 年 11 月 1 日向 DEPA 保存方新西兰提交了加入申请。2022 年 8 月 18 日,根据 DEPA 联合委员会的决定,中国加入 DEPA 工作组正式成立,将全面推进中国加入 DEPA 的谈判进程。2022 年 12 月 5 日、4 月25 日,中国已就加入 DEPA 进行了两次首席谈判代表会议,并于 2023 年 3 月28 日举行第一次技术磋商。DEPA 深度借鉴了 CPTPP
74、中的数字贸易条款并对其进行细化归类,将文本分为了十六章,涵盖了商业和贸易便利化、数字产品待遇、数据问题、数字身份、新兴趋势和技术、创新和数字经济、数字包容性等内容。可以说,DEPA 非常全面的就数字贸易问题做出了详细规定,但限于篇幅和体例,我们主要就数据跨境的规则进行简析。(1)个人信息保护个人信息保护DEPA 第 4.2 条用了十个条款对个人信息进行了规定,除与 RCEP、CPTPP相同的地方外,主要在以下几点做出了不同的规定:16首先是对个人信息保护法律框架应包含的原则做出了规定。主要包含了八大原则,分别是收集限制、数据质量、用途说明、使用限制、安全保障、透明度、个人参与及责任。其次是不对
75、电子商务用户违反个人信息保护规定的行为采取歧视性做法。再次,在促进不同个人信息保护体制的兼容和交互方面,相较 CPTPP,规定了在可行时,对各自法律框架下的可信任标志或认证框架所提供的相当水平的保护给予适当承认,或建立缔约方之间个人信息转移的其他途径。最后,应鼓励企业采用数据保护可信任标志,以帮助验证其符合个人数据保护标准和最佳做法,并推动各缔约国间对他国数据可信任标志的承认。(2)与与 CPTPP 相似的例外限制相似的例外限制在通过电子方式跨境传输信息、数据本地化要求方面,DEPA 第 4.3 条和第4.4 条的规定与 CPTPP 相似,对于相关规定的限制均要求不得构成任意或不合理歧视或对贸
76、易构成变相限制且不对信息传输施加超出实现目标所需限度的限制。(3)推动数据开放,实现数据驱动开放推动数据开放,实现数据驱动开放DEPA 关于数据开放主要分为两部分。一是企业数据的开放,通过数据监管沙盒机制,可信数据共享框架和开放许可协议等推动跨境数据流通和数据共享,从而实现数据驱动的创新。其次是政府公共数据的开放,DEPA 鼓励各缔约方间就政府公共数据开放开展合作,从而扩大获取和使用公共数据的方式。合作方式包括共同确定可利用开放数据集、鼓励开发以开放数据集为基础的新产品和服务及推动使用和开发通过可在线获得的以标准化公共许可证为形式的开放数据许可模式。2.3.对中国数据跨境管理的启示推动数据的跨
77、境有序自由流动绝非一国之力可以完成,各国间数字经济发展水平不一,利益诉求不一,法律体系不一,很难通过一国立法或标准来实现数据跨境标准和规则的统一。因此,才需诉诸于双边、诸边或多边协议来实现各国、各地区间的利益协商和标准统一,从而促进数据跨境的有序自由流动。无论是我国已经加入的 WTO,RCEP,还是正在推动加入的 CPTPP、DEPA,均是我国在这方面的尝试和探索。这条路并非一条容易的道路,相关条约的规定与我国现行法律之间存在一定的差异,对于加入相关协定,势必会对我国现有法律体系造成冲击,如何平衡好国家数据主权与数据跨境流动在未来一段时间需要重点探索。但无论如何,积极对接国际标准,促进数据跨境
78、有序自由流动已是正在推进也应积极推进的事业。在全球范围内暂不存在数据跨境流动监管中统一适用的“国际17规则”的当下,探索并推广中国模式,发出中国声音的绝佳机会。18第三章 数据跨境域外法律环境分析本章将以“一带一路”为线索,按地理顺序对具体国家或地区的数据跨境规则进行介绍。国际条约的落地依赖于各缔约方立法的转化,相关条约也允许缔约方对条约进行例外规定,了解不同国家或地区间的数据跨境规则,对于实际开展数据跨境活动十分必要。更为重要的是,跨境数据流通双方对跨境数据具有相对一致的保护水平是当前数据跨境流动风险管控的共识。对于中国境内的数据处理者,对境外接收方所在地法律对数据跨境的影响进行评估是履行数
79、据出境安全评估办法等规章的规定的义务。3.1.中国香港3.1.1.推动数字经济发展,打造亚太地区数据中心设立首选地香港是国际金融、贸易及物流的重要枢纽,众多跨国企业及国际机构将地区办事处或地区总部设立于此。随着数字经济发展以及网络数据体量与日俱增,有关企业及机构对高效能和安全可靠的数据中心设施和服务的需求越来越殷切。为此,香港特别行政区政府近年来积极推广香港的电讯基础设施、有利营商环境、资讯自由、人才体系、土地供应优惠政策等优势,并推出了包括设立数据中心促进组及专题网站、将工业大厦改装作数据中心用途、预留数据中心等多项促进措施,致力促进香港成为在亚太地区内设立数据中心的首选地点。为进一步促进香
80、港的数字化经济发展,香港特别行政区政府于 2022 年 6 月成立了数字化经济发展委员会,负责制定有关鼓励不同行业采用数字化的策略和措施及推进数据服务的产业和数字化政府的发展等。该委员会特别成立了跨境数据协作小组、数码基建工作小组、数码转型工作小组及人才发展工作小组,以分析确定数据流通、数字化基建、数字化转型及人才培养方面的具体促进措施。此外,香港也抓住了国家推动建设“一带一路”数字丝绸之路和粤港澳大湾区数据中心的机遇谋求自身发展,2023 年,香港特区政府在促进大湾区数据跨境流动方面更是向前迈进了重要一步,其专门负责香港创新科技政策的创新科技及工业局携手与中国国家互联网信息办公室于 2023
81、 年 6 月 29 日签署了 促进粤港澳大湾区数据跨境流动的合作备忘录,以期会同中国国家互联网信息办公室采取有效管理措施,推动建立粤港澳大湾区数据跨境流动安全规则,共同促进粤港澳大湾区数据跨境安全有序流动。193.1.2.香港数据保护及数据跨境的要点简析(1)亚洲最早全面保障个人资料的法域之一亚洲最早全面保障个人资料的法域之一香港在数据安全和个人信息保护方面的立法框架主要包括 香港人权法案条例香港特别行政区基本法个人资料(私隐)条例,其中涉及个人资料保护的相关规定内容概述如下:香港人权法案条例香港人权法案条例1991 年,香港法例第 383 章香港人权法案条例出台(2017 年修订)。该条例第
82、二部第十四条“比照公民权利和政治权利国际公约第十七条”对私生活、家庭、住宅、通信、名誉及信用给予保护,规定“(一)任何人之私生活、家庭、住宅或通信,不得无理或非法侵扰,其名誉及信用,亦不得非法破坏。(二)对于此种侵扰或破坏,人人有受法律保护之权利。”香港特别行政区基本法香港特别行政区基本法1997 年,香港特别行政区基本法正式实施(后其附件经数次修订)。香港特别行政区基本法第三十九条确认了公民权利和政治权利国际公约中“适用于香港的有关规定继续有效,通过香港特别行政区的法律予以实施”。香港特别行政区基本法第三十条规定:“香港居民的通讯自由和通讯秘密受法律的保护。除因公共安全和追查刑事犯罪的需要,
83、由有关机关依照法律程序对通讯进行检查外,任何部门或个人不得以任何理由侵犯居民的通讯自由和通讯秘密。”个人资料(私隐)条例(个人资料(私隐)条例(以下简称以下简称“私隐条例私隐条例”)1995 年,香港法律第 486 章私隐条例制定(1997 年至 2022 年期间经多次修订,现行有效版本日期是 2022 年 10 月 1 日),是亚洲最早出台的全面保障个人资料(私隐)的法例之一。私隐条例共 12 部分及 6 个附表,涵盖个人资料私隐专员职位的设立、资料使用者申报登记、个人资料的查阅和登记、转移、使用、调查等等。私隐条例适用于包括政府在内的公营机构和私营机构。(2)个人资料私隐专员个人资料私隐专
84、员根据私隐条例第 5 条之规定,为监察私隐条例的施行,设立“个人资料私隐专员”(以下简称“私隐专员”)职位。该职位由香港特别行政区行政长官委任一人,任期为 5 年,至多连任一次。20个人资料私隐专员公署(以下简称“公署”)在私隐专员领导下执行法定职能。根据私隐条例第 8 条之规定,私隐专员的职责及权力包括就遵守私隐条例条文做出监察及监管等。(3)推行港股实名制:投资者识别码制度推行港股实名制:投资者识别码制度2022 年 12 月 12 日,香港证券及期货事务监察委员会(以下简称“香港证监会”)公布,香港证券市场的投资者识别码制度将于 2023 年 3 月 20 日推出。此后香港证监会发布了一
85、系列公告为该制度的落地做准备,并于 2023 年 3 月 31日的通告中公布,该制度已于 2023 年 3 月 20 日成功推出。在该制度实施后,相关受规管的中介人须在取得其客户的明示同意后向香港联合交易所有限公司(以下简称“香港联交所”)提交有关识别信息(即客户的名称及身份证明文件资料),以符合香港证监会及相关的私隐法例规定的要求。如投资者不提供所需同意,则只能出售、转出或提取已持有的证券,而不得在香港联交所买入证券。因此如果境内用户需要在香港进行证券交易,需要提供相关的身份证明文件,涉及数据的跨境流动。(4)构建以跨境资料转移指引与建议合约条文范本为参考的跨境流通构建以跨境资料转移指引与建
86、议合约条文范本为参考的跨境流通规则规则在香港,跨境个人数据保护的监管职责主要由公署承担,该公署与境外相关机构协同处理跨境个人数据的保障事宜。私隐条例的第 33 条对个人资料转移至香港以外的地方作出严谨和全面的规管,除在条例指明的情况下,明确禁止把个人资料转移到香港以外的地方,以确保该条例对个人资料被转移后所提供的保障不会被削弱。虽然该第 33 条至今尚未施行,但为了更好指引资料使用者保障个人资料跨境转移并为企业提供最佳行事方式的建议,公署于 2014 年 12 月29 日发布了保障个人资料:跨境资料转移指引(以下简称“2014 指引”),并特别拟备了一份建议范本条文,协助资料使用者制定与境外资
87、料接收者订立的跨境资料转移协议。2014 指引明确指出,私隐条例第 33 条的适用范围:“是(i)将个人资料由香港转移至境外,及(ii)在两个其他司法区之间转移个人资料,但有关转移是由香港的资料使用者所控制;但如果一个位于香港的个人或实体经互联网向同样位于香港的接收者传输资料,但互联网路由经过香港以外的地方(在传输中资料没有被查阅或储存),则不属于第 33 条调整的范畴”。2022 年 5 月,公署发布了更新的跨境资料转移指引:建议合约条文范本(以下简称“指引”)与建议合约条文范本(以下简称“范本”)(详见附件 1.1),该等指引和范本均非强制性规范,属于自愿遵守性质。213.1.3.香港与中
88、国大陆个人信息保护法规之对比情况(1)两地保护思路较为一致两地保护思路较为一致香港地区私隐条例的核心是 6 项信息保障原则,其中限制收集、限制利用和政策公开等原则都是为机构收集和使用个人信息的过程提供价值导向,与大陆地区个人信息保护法(以下简称“个保法”)在保护思路上有较高的一致性。(2)保护强度存在一定差异保护强度存在一定差异在个人信息保护范围、保护义务、法律责任等方面,香港地区私隐条例与大陆个保法的保护强度存在一定差异。具体而言,对于个人信息的保护范围,香港对“个人资料”的定义强调“确定性”,即强调能够确定具体个人身份的资料才属于“个人资料”,而大陆个保法则遵循了“可识别性”的定义思路,对
89、“个人信息”的定义包含了“已识别”和“可识别”两个层面,既涵盖了具体个人身份信息,也涵盖了与个人关联的信息。此外,个保法还对敏感个人信息作出了专门的定义和明确的处理规定。相较而言,大陆对个人信息的保护范围更广。对于个人信息的保护义务,香港并无本地化存储、个人信息保护影响评估、指定个人信息保护负责人、自动化决策等相关要求,而大陆对该等方面明确地作出了规制。行政罚款权限和惩处力度方面,香港的个人信息监管机构没有罚款的权力,香港私隐条例规定的最高罚款额度仅 100 万港元,实务中,罚款额度普遍在 5 万港元以下,而根据大陆个保法规定,履行个人保护职责的有关机构最高可处违法者以五千万元以下或者上一年度
90、营业额百分之五的罚款,对企业具有明显的震慑力。(3)个人信息跨境转移的管理规则不同个人信息跨境转移的管理规则不同根据中国大陆地区个人信息跨境的规则,企业完成个人信息保护影响评估、履行用户告知义务、取得个人单独同意(或其他合法依据)后,再履行相应的安全评估申报、个人信息保护认证或与境外接收方签订标准合同等手续,可跨境传输个人信息。香港私隐条例第 33 条关于个人资料跨境转移的规定尚未正式实施,目前仅有指引作为参考。由于存在上述差异,加上两地对个人信息的保护强度不同,在大陆与香港数据跨境流通合作中,存在着制度衔接的问题。不过,从大陆与香港地区的个人信息保护思路、保护强度来看,一般情况下,中国大陆主
91、体向香港地区传输数据时,香港地区数据接收方的合规程度通常能够满足要求。结合粤港澳大湾区建设及数据互联互通机制深化的总体背景,香港与内地两地的数据跨境主要有赖于数据跨境流动双方的安全保障能力能力和个人信息权益保障的响应。223.2.中国澳门3.2.1.完整的个人资料保护规范,但不完善的跨境规则与中国大陆地区所采用的名称略有不同,“个人信息”在澳门特别行政区被称为“个人资料”(葡萄牙语 Dados Pessoais,英语 Personal Data)。澳门于 2005年制定澳门特别行政区第 8/2005 号法律个人资料保护法(以下简称“个资法”),于 2019 年制定澳门特别行政区第 13/201
92、9 号法律网络安全法。截至 2023 年 9 月,澳门并未制定数据安全领域的相关法律。根据澳门特别行政区第 83/2007 号行政长官批示,澳门于 2007 年设立专门的执法机构个人资料保护办公室(Gabinete para a Protecco de DadosPessoais),该机构在行政长官的监督下独立运作。个人资料保护办公室是澳门民法典第 79 条第 3 款及个资法所指之公共当局,行使法律赋予的职权,包括但不限于:负责监察、协调个资法的遵守和执行,制定并监察保密制度的实施。澳门对公民个人资料的保护源自于澳门民法典第 79 条,澳门个资法的制定早中国大陆个人信息保护法(以下检车“个保法
93、”)16 年。由于历史的渊源,澳门较早地制定了完整的个人资料保护法律规范,但从实践层面上来看,澳门对公民个人资料跨境的规定并不完善,没有形成类似于欧盟白名单这样的具体标准,而主要是依据个人资料保护办公室的意见判断决定。根据个人资料保护办公室的公开信息,自 2019 年起,截至 2023 年 9 月尚未有个人资料保护相关的意见书发布。3.2.2.澳门数据保护及数据跨境的要点解析(1)个人资料保护法关于个人信息保护的要点个人资料保护法关于个人信息保护的要点澳门个资法的适用范围包括以下三种情形:1)一切自动化处理的个人资料和非自动化处理的个人资料;2)对可识别身份的人的声音和影像进行的镜像监视,以及
94、以其他方式对其进行的取得、处理和传播(只要负责处理资料的实体的住所在澳门,或通过在澳门设立的提供资讯或电信资讯网络服务的供应商而实施);3)以公共安全为目的处理个人资料。个资法不适用于自然人在从事专属个人或家庭活动时对个人资料的处理。负责实体在处理个人资料时,应注意区分个人资料与敏感资料。以透明的方式进行处理,遵守合法、善意、目的限定、适度、准确、限期保存等原则,保障资料当事人的资讯权、查阅权、反对权等相关权利。处理个人资料的正当性条件包括:1)当事人明确同意;2)执行合同或应当事人要求准备订立合同;3)履23行法定义务;4)保障无能力作出同意的当事人的重大利益;5)执行公共利益任务或行使公权
95、力;6)负责实体或被告知资料的第三人具有优先的正当利益。(2)接收方需达到同等保护水平接收方需达到同等保护水平澳门对个人信息跨境的一般要求,主要规定于澳门个资法第 19 条、第20 条及第 23 条。一是适当保护程度。原则上,只有在遵守澳门个资法的规定且接收转移资料当地的法律体系能确保适当保护程度的情况下,才可将个人资料转移到特区以外的地方。根据法律规定,资料接收地是否有适当保护程度由公共当局(即个人资料保护办公室)判断及决定。通常采用的方法,是根据互惠的原则把已经达到适当保护水平的国家/地区名单列入“白名单”。但直至目前,个人资料保护办公室未将任何国家或地区列入“白名单”。二是发送通知。除上
96、述原则外,存在以下例外情形。在通知个人资料保护办公室后,实体仍可转移个人资料:1)资料当事人明确同意转移;转移是执行资料当事人和负责实体间的合同所必需,或是应资料当事人要求执行制定合同的预先措施所必需;2)转移是执行或制定合同所必需,而该合同是为了资料当事人的利益由负责实体和第三人之间所订立或将要订立;3)转移是保护重要的公共利益,或是在司法诉讼中宣告、行使或维护权利所必需或法律所要求;4)转移是保护资料当事人的重大利益所必需;5)转移自作出公开登记后进行。根据法律或行政法规,该登记是为公众信息和可供一般公众或证明有正当利益的人公开查询之用,但需根据具体情况遵守上述法律或行政法规规定的查询条件
97、。三是申请许可。当转移不满足上述适当保护程度原则要求且不符合上述发送通知的例外情形规定时,实体在确保有足够保障他人私人生活、基本权利和自由的机制,尤其透过适当的合同条款确保该等权利行使的情况下,可向个人资料保护办公室申请许可,并在获得许可后转移个人资料。四是无需许可。当个人资料的转移成为维护公共安全、预防犯罪、刑事侦查和制止刑事违法行为以及保障公共卫生所必需的措施时,个人资料的转移如由专门法律或适用于特区的国际法文书及区际协定所规范,则无需向个人资料保护办公室申请许可。3.2.3.注意敏感个人信息保护,避免行政处罚中国大陆个保法与澳门个资法所规范的处理个人资料的原则大致相同,但个保法对某些定义
98、作出了更明确的规定,对违法主体的处罚更严、罚款更高、处罚手段更多。中国大陆个保法与澳门个资法,主要在以下方面有较大差异(具体法条比详见附件 2.1):24(1)在处理敏感资料方面,两部法律有较明显的区别。在个保法中,敏感资料被称为“敏感个人信息”即一旦泄露或非法使用,容易导致自然人的人格尊严受到侵害或人身、财产安全受 到危害的个人信息,包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息,以及未满十四周岁未成年人的个人信息。而个资法则明确规定世界观或政治信仰、政治社团或工会关系、宗教信仰、私人生活、种族和民族本源、以及与健康及性生活有关的个人资料(包括遗传资料)等六种资料为敏感
99、资料。由此可见,个保法所规范的敏感个人信息较个资法更广,且作出了更严格的保护。值得注意的是,个保法将未成年人个人信息归入敏感个人信息,加强了对未成年人个人信息保护的力度。(2)在违法处罚方面,两部法律皆按违法情节的严重程度予以规定,但个保法的行政处罚更具威慑力,最高罚款额以违法主体的营收总额为基准,处罚力度远高于个资法的规定。且相较于个资法,个保法的处罚手段更全面,例如,没收违法所得、责令暂停相关业务、停业整顿吊销业务许可或营业执照等。当澳门个人信息出境到中国大陆时,在遵守个资法规定的同时,应注意遵守个保法对于 公民个人信息保护之规定,避免被处以高额罚款。应特别注意,对于未成年人个人信息的保护
100、力度,应符合中国大陆的相关法律规定。3.3.中国台湾3.3.1.台湾地区个人资料保护及跨境流通监管的法律环境(1)逐步完善的逐步完善的个人个人资料保护立法资料保护立法20 世纪 90 年代起,受欧美国家的影响,我国台湾地区开始重视个人资料保护问题。为满足当地民众对于个人资料保护的主观诉求并促进对外贸易,台湾地区政府成立了专门小组研究个人资料保护相关法律问题,并于 1990 年开启了个人资料保护立法。1991 年 9 月,台湾地区法务部成立了专门小组负责起草相关法律法规,并于 1995 年 8 月公布施行了电脑处理个人资料保护法(以下简称“电资法”),于 1996 年 6 月公布了电脑处理个人资
101、料保护法施行细则。由于面临诸多质疑,法务部于 2012 年颁布了修正后的个人资料保护法(以下简称“个资法”)及个人资料保护法施行细则(以下简称“个资法施行细则”),其于 2012 年 10 月 1 日正式实施。自此,个资法及个资法施行细则经历多次修正,至今为我国台湾地区个人资料保护的基本规范。(2)加入加入 CBPRs,促进数据跨境流通促进数据跨境流通为了促进数据跨境流通,我国台湾地区于 2018 年 12 月加入了亚太经济合作25组织(Asia-Pacific Economic Cooperation,以下简称“APEC”)框架下的跨境信息传输区域安排“跨境隐私规则体制”(Cross-Bor
102、der Privacy Rules System,以下简称“CBPRs”)。CBPRs 的基本逻辑是,如果位于不同经济体的不同公司,统一承诺并遵循“APEC 隐私框架”提出的九大个人数据保护原则,则个人数据在这些公司之间的传输就不应受到阻碍,获批准加CBPRs 的成员国家或地区的政府会指定一个或多个法担任“问责代理机构”(Accountability Agents),经 CBPRs 认可的问责机构通过认证成员国家或地区内其他企业或组织使这些“认证企业”最终成为CBPRs 的真正参与者。此后,我国台湾地区资讯工业策进会于 2021 年 6 月 3 日经审查认证成为问责代理机构。截至目前,美国、日
103、本、墨西哥、加拿大、新加坡、韩国、澳大利亚、我国台湾地区及菲律宾已加CBPRs。(3)以临床试验及海关检验为代表的数据互通探索以临床试验及海关检验为代表的数据互通探索海峡两岸在数据互通问题上进行了很多探索。例如在临床试验方面,海峡两岸关系协会与台湾海峡交流基金会签署的海峡两岸医药卫生合作协议于 2011年 6 月 26 日正式生效后,两岸展开了一系列合作。2014 年台湾“食品药物管理署”委托台北荣民总医院启动了建立两岸临床试验中心合作计划。在此框架协议下,两岸 8 家临床试验中心签署了合作意向书,承认对方所做的符合 ICH 的临床试验数据。2016 年 4 月 25 日国家食品药品监督管理总
104、局发文两岸开展药物临床试验机构的共同认定,其中明确了大陆药品注册申请人可以委托 4 家台湾医院(台北荣民总医院、三军总医院、台湾大学医学院附设医院、林口长庚纪念医院),按照两岸有关监管要求,开展药物临床试验,符合要求的临床试验数据可用于在大陆申报药品注册。在海关检验方面,福建检验检疫局于 2015 年组织两岸检验建议数据交换测试工作,通过两岸检验检疫数据交换中心实现了与台湾关贸网的双向数据互通,双方均成功接收到了来自对方的电子通讯报文,这标志着两岸检验检疫数据的“电子跨海大桥”已经成功“对接合拢”。近期,中国工业合作协会、北京海峡两岸民间交流促进会和台湾工业合作协会于2023年9月共同举办海峡
105、两岸数字经济交流研讨会,来自海峡两岸相关协会、科研院校、金融、制造业、互联网、文旅、数字技术等领域的 60 多位专家、学者和企业家在会上针对“海峡两岸数字经济协同发展的机遇与挑战”共同探讨了两岸数字经济发展方面的交流与合作。3.3.2.我国台湾地区数据保护及数据跨境的要点简析(1)个资法个资法的适用主体及适用范围的适用主体及适用范围在台湾发生的所有个人资料的收集、处理和使用活动(不论信息当事人是否是台湾籍、实施该活动的主体是否为台湾境内主体)均必须遵守个资法。另26外,该法区分了公务机关和非公务机关,并对它们在收集、处理和使用个人资料方面设置了不同的规定,其中非公务机关包括不属于台湾地区公务机
106、关的任何个人或实体。根据个资法,个人资料指自然人的姓名、出生日期、身份证号码、护照号码、特征、指纹、婚姻状况、家庭信息、教育背景、职业、医疗记录、医疗保健资料、遗传资料、性生活资料、体检记录、犯罪记录、联系方式、经济状况、有关个人社会活动的资料及其他可以直接或间接用于确定自然人的资料。其中,收集、处理或使用有关自然人的医疗记录、医疗保健资料、遗传资料、性生活资料、体检记录、犯罪记录须符合更高的标准。(2)对数据跨境传输采取对数据跨境传输采取“原则允许,例外禁止原则允许,例外禁止”的立法思路的立法思路我国台湾地区在立法上对于数据传输采取“原则允许,例外禁止”的态度。在个资法 中,仅对非公务机关设
107、置了跨境传输个人资料的限制:根据 个资法第 21 条规定,有以下情形之一的,监管机关可以对其进行限制:(1)“涉及国家重大利益”;(2)“国际条约或协定有特别规定”;(3)“接受国对个人资料的保护没有完善之法规,致有损当事人权益之虞”;(4)“以迂回方式向第三国(地区)传输个人资料以规避个资法的情形”。因此,依据个资法规定,在监管机关未限制国际传输个人资料前,非公务机关基于合法收集、处理及利用要件,即可将个人资料进行跨境传输。此外,我国台湾地区的行业主管部门可以发布适用于相关行业的个人资料跨境传输的规则和规定,对行业内的主体进行跨境资料传输方面的限制。台湾地区行政院于 2021 年 8 月进一
108、步制定了实行个人资料保护的合作规范指引,规定各部委应修订针对受其监督的特定行业部门的现行个人资料保护法规,要求各部委应定期认真研究是否有必要制定针对受其监督的特定行业部门的新的数据保护法规,且应考虑相关行业非公务机关的规模、所保留的个人资料的数量或性质、数据泄露对数据主体的潜在影响及跨境数据传输的频率等因素。(3)数据跨境传输的监管部门数据跨境传输的监管部门在 2018 年 7 月以前,我国台湾地区法务部负责解释个资料保护法,在我国台湾地区发展委员会下属机构个人资料保护专案办公室于2018年7月4日成立以后,个人资料保护法的解释权于 2018 年 7 月 25 日正式移交给发展委员会。2023
109、 年 5 月,台湾地区立法院通过了个资法的修正草案,补充了个资法第 1 条之 1 规定,规定由个人资料保护委员会担任个资法主管机构。未来个人资料保护委员会将作为专责机关,整体规划对于公务机关及非公务机关个人资料保护的监管机制,解决目前个资法分散式管理下的实务监管问题。273.3.3.我国台湾地区个人资料保护法与大陆个人信息保护法的衔接与差异个资法施行早于大陆个保法,两者均吸收了 GDPR 相关思路和经验,因此在保护模式上大致相同。但整体而言个资法的侧重点在敏感个人信息及弱势群体的保护,比如对敏感个人信息具体规定了特殊保护,并鼓励公益诉讼、规定团队诉讼减免诉讼费等。该法对于个人信息跨境传输原则上
110、允许,没有设置过多的限制,对信息本地化也没有明确要求,而是通过台湾当局在 个资法的基础上通过颁布行政指令的方式规定信息本地化储存的规则,以及对特定传输进行限制。个保法虽然也规定了敏感个人信息的保护以及公益诉讼,但较为笼统,将更多的重点放在了跨境信息流动规制上,注重国家层面的信息和数据安全。此外,我国台湾地区的个资法不仅规定了民事责任,还区分主体规定了详细的行政责任和刑事责任。如第四十一条规定了违反本法收集处理个人信息导致损害他人利益的将会被判处有期徒刑或罚金的刑事责任,第五十条规定了有关主体在非公务机关受到罚款的行政处罚时,若不能证明自己尽到防止义务,也要承担与非公务机关一样数额的罚款,第二十
111、八条规定了公务机关违反本法导致个人信息泄露或者是有其他侵害信息主体权利行为且无免责事由的,要承担损害赔偿责任。个资法甚至对特殊情况的量刑也做出了统一规定,比如第四十四条规定“公务员假借职务上之权力、机会或方法,犯本章之罪者,加重其刑至二分之一”。我国大陆境内的制度框架则结合个保法 民法典行政法和刑法等多部门法进行规制,没在个保法中进行详细的统一规定。3.4 东盟东南亚国家联盟(Association of Southeast Asian Nations,简称“东盟”)成立于 1967 年,截至 2023 年 10 月,成员国包括印度尼西亚、泰国、新加坡、菲律宾、文莱、马来西亚、越南、老挝、柬埔
112、寨和缅甸 10 国。东帝汶是东盟候选成员国,巴布亚新几内亚是东盟观察员国。东盟稳步推进东盟共同体建设,目前已发展成为东南亚地区以经济合作为基础的政治安全、经济和社会文化一体化的合作组织,并建立起一系列的合作机制。东盟与中国、日本、韩国、印度、澳大利亚、新西兰、美国、俄罗斯、加拿大、欧盟、英国等 11 个国家和国际组织建立了对话伙伴关系。在经贸合作方面,东盟已经与中国、中国香港、日本、韩国、印度、澳大利亚及新西兰分别达成自由贸易协定或经济伙伴协定。2022 年 1 月 1 日,由东盟主导发起的区域全面经济伙伴关系协定(RCEP)正式生效实施。2023 年 6 月 2 日,RCEP 对东盟十国28
113、和中国、日本、韩国、澳大利亚、新西兰 15 个成员全面生效,全球最大经济规模的自由贸易区进入全面实施新阶段。东盟目前是亚洲第三大经济体,世界第五大经济体,也是中国第一大贸易合作伙伴。因此,促进数据跨境流动对中国和东盟的双边贸易有及其重要的意义。3.4.1.出台系列指导性政策文件,统筹数字经济发展与数据保护东盟作为一个重要的区域性组织,基于对外经贸的需要,一方面在数据治理和数据跨境流动领域亟需建立协调统一的合规路径和机制;而另一方面,因东盟各成员国国内法针对数据保护机制的成熟度和数据治理水平差异较大,除了新加坡、泰国、马来西亚、菲律宾、印尼、越南出台数据保护的相关法律法规外,柬埔寨、老挝、缅甸和
114、文莱等其他国家尚未出台数据保护的相关法律。因此,东盟陆续出台了一系列具有灵活性、包容性和指导性的政策文件,以帮助东盟各成员国内的企业和组织根据自身的业务情况,自愿参考适用。为此,东盟于 2016 年出台东盟个人数据保护框架,提出保护数据、支持数字贸易和创新。2018 年制定东盟数字信息治理框架,促进东盟跨境数据流通认证,推动东盟地区的数字信息互联互通。2019 年 11 月,东盟颁布东盟跨境数据流动机制的关键方法,明确将重点建立东盟示范合同条款和东盟跨境数据流动认证两个机制。2021 年出台东盟数据管理框架和东盟跨境数据流动示范合同条款,促进各成员国国内数据保护政策一致化,推进数据管理指标考核
115、、建立跨境数据传输评估标准。3.4.2.东盟个人数据保护框架促各成员国国内数据保护政策一致化东盟个人数据保护框架确立了一系列的原则,包括同意、通知和目的,个人数据的准确性、安全保障、访问和更正、跨境数据传输、存留以及问责等 7个方面。在同意、通知和目的方面,该框架规定企业在未获同意情况下不得收集、使用和披露个人数据。在跨境数据传输方面,该框架规定在将个人数据转移到另一个国家或地区之前,企业应获得个人有关向境外传输的同意,或采取合理措施确保数据接收方将按照框架中确定的原则保护个人数据。东盟个人数据保护框架虽然是东盟出台的首个专门针对个人数据保护的区域层面的规制,但该框架对各成员国并不具有国际和国
116、内的法律约束力,仅作为指导性文件为各成员国提供数据治理合作的框架基础,旨在灵活适应各成员国在数据保护监管方面的不同的成熟度。各成员国适用该框架可采取符合本国国情的例外措施。293.4.3.东盟数据管理框架和东盟跨境数据流动示范合同条款为企业提供数据管理和跨境数据流通的指引东盟数据管理框架和东盟跨境数据流动示范合同条款是东盟落实跨境数据流动机制的具体举措,目的是要促进数据相关的业务运营,减少谈判和合规成本,同时确保跨境数据传输过程中的个人数据保护。东盟数据管理框架为东盟企业提供指南,说明建立数据管理系统的每个步骤,包括建议的数据治理架构、防护措施及适当的风险管理。整个过程可以分为 6 个重点环节
117、,包括治理与监督、政策与程序、数据清单、风险影响评估、数据保护控制、以及监测与持续改进。东盟跨境数据流动示范合同条款为企业之间跨境传输个人数据提供了合同条款模板,具体分为从控制者到处理者的数据传输、从控制者到控制者的数据传输两个合同模板。企业可以采纳或修改这些条文,就跨境传输个人数据拟订自己的法律协议。不过东盟数据管理框架和东盟跨境数据流动示范合同条款属于自愿性条款,并不对东盟企业具有强制的约束力,这也是考虑到东盟各成员国间数据治理水平的差异。2023 年 5 月,东盟和欧盟联合发布了东盟跨境数据流动示范合同条款(MCCs)和欧盟标准合同条款(SCCs)联合指引(“联合指引”),以利两个经济体
118、内成员国的企业参考适用。联合指引将分为参考指引和实施指引两个部分。此次颁布的是参考指引,该指引对 MCCs 和 SCCs 条款的共性和差异性进行比较和详解,帮助企业理解相关的合同义务和数据保护要求。之后将颁布的实施指引将提供企业遵守合同条款要求的最佳实践,以供企业参考如何更便利的履行 MCCs 和 SCCs 合同义务。除了东盟跨境数据流动示范合同条款以外,东盟也承认其他的跨境数据流动机制,例如同等保护水平机制、个人信息主体的同意、行为规范(Codes ofConduct)、具有约束力的企业规则(BCR)、认证机制,如 ISO 体系或 APEC跨境隐私规则(CBPR)和处理者隐私识别体系(PRP
119、)等。3.5.新加坡3.5.1.寻求加强监管与数据开放流动直接平衡的监管体系作为全球贸易自由化程度最高的经济体之一,新加坡在严格保护个人隐私的前提下,对数据跨境流动秉持开放的态度。整体来看,新加坡的数字跨境流动政策比欧盟宽松,对国内数据的保护比美国更为严格。新加坡通过运用双边协议或30多边协议中关于数据跨境流动的条款、在局部区域范围内试点数据跨境流动、探索沙盒监管模式等阻力更小、可行性更高的方式,积极参与区域合作机制建设和寻求区域内数据自由流动。3.5.2.新加坡数据保护监管框架概览及数据跨境的要点解析(1)新加坡数据保护监管框架概览新加坡数据保护监管框架概览2012 年 10 月,新加坡颁布
120、个人数据保护法(Personal Data Protection Act,“PDPA”),该法确立了新加坡个人数据保护的基本制度。2021 年 12 月 1 日,新加坡对 PDPA 进行了修订,修订版本于 2021 年 12 月 31 日生效,系当前适用版本。个人数据保护条例(Personal Data Protection Regulations,“PDPR”)作为 PDPA规定的实施细则,进一步细化个人数据保护的合规要求。新加坡在 2013 年设立个人数据保护委员会(Personal Data ProtectionCommission,“PDPC”)。PDPC 隶 属 新 加 坡 信 息
121、通 信 媒 体 发 展 局(Info-communications Media Development Authority,“IMDA”),负责制定 PDPA合规指引、监督 PDPA 履行。在合规指引制定方面,PDPC 当前已颁布关于 PDPA 关键概念的咨询指南(Advisory Guidelines on Key Concepts in the PDPA,“PDPA Guidelines”)、关于特定合规话题的 PDPA 咨询指南(Advisory Guidelines on the Personal DataProtection Act for Selected Topics)、拒绝来电
122、条款咨询指南(Advisory Guidelineson the Do Not Call Provisions)等。另外,对于特定专业领域的数据流动,PDPC会与各专业领域的主管部门合作,制定相关咨询指引,例如电讯行业咨询指引房地产中介行业咨询指引教育行业咨询指引医疗保健行业咨询指引等。在监督 PDPA 履行方面,PDPA 赋予 PDPC 较大的执法权,PDPC 有权对于违反 PDPA 的行为开展执法调查、作出处罚决定,采取的处罚措施包括但不限于:a.要求处罚对象停止收集、使用或披露违反 PDPA 的相关个人数据;b.要求处罚对象销毁违反 PDPA 的相关个人数据;c.对处罚对象最高处以其在新
123、加坡年度营业额的 10%或 100 万新加坡元(以较高者为准)的罚款等。在违反 PDPA 的责任后果方面,除前述提到行政责任外,PDPA 还规定民事责任和刑事责任。PDPA 第 480 条赋予个人向法院起诉的民事救济权利。在刑事责任方面,对于未经授权故意使用、披露个人数据构成刑事犯罪的,行为人可能面临最高 2 年监禁如 PDPA 以及最高 5,000 新加坡元的罚款。企业通过故意更改、伪造、隐瞒个人数据收集、使用或披露的相关信息以逃避个人访问或更正个人数据的请求,可能面临最高 50,000 新加坡元的罚款,而行为人可能面临最高 12 个31月监禁以及最高 5,000 新加坡元的罚款。(2)数据
124、跨境流通:不限制数据入境,但对数据出境要求数据跨境流通:不限制数据入境,但对数据出境要求“同等保护同等保护”对于不同的数据流动情形,PDPA 的监管要求不同:对于入境新加坡的数据,PDPA 不设限制;对于以新加坡作为出海各国数据集中存储地,在数据跨境合规义务方面,新加坡规定数据中转行为(intransit),即来自新加坡境外的数据通过新加坡进一步转移至第三方国家或地区过程中的个人数据,该个人数据在新加坡境内未被任何组织访问、使用或披露(传输方或传输方员工访问和使用除外),该类情形被视为已履行数据传输限制义务(PDPR 第 9-10 条);对于由新加坡境内流向境外的数据,PDPA 第 26 条等
125、条款规定除非根据 PDPA 相关要求确保接收方对传输的个人数据提供至少与 PDPA 同等的保护,不得将任何个人数据传输到新加坡以外的国家或地区。需注意的是,上述义务仅适用于“数据传输方”。对于数据接收方,新加坡则通过要求数据传输方确保数据接收方提供“同等保护”,通过数据传输方向数据接收方传导 PDPA 规定的数据保护义务。(3)持续传输及集团内部传输场景常见跨境传输方式持续传输及集团内部传输场景常见跨境传输方式从实践及 PDPA Guidelines 建议看,对于持续或集团内部传输场景,企业通常采用与接收方签订数据处理协议、集团内签订具有约束力的公司规则(BindingCorporate Ru
126、les,“BCRs”)的方式进行跨境传输。如传输方通过与接收方签订数据处理协议履行数据跨境传输义务,除要求接收方提供与 PDPA 相当水平的保护外,还需注意:a.协议内容:1)数据传输目的地国/地区;2)如接收方为数据中介(数据处理者)时,该合同还应包括:安全措施、留存期限限制、数据泄漏通知相关内容;以及 3)如接收方为数据中介外的其他主体(数据控制者)时,该协议还应包括:收集、使用和披露的目的、数据准确性要求、安全措施、留存期限限制、数据保护政策、访问权、更正权以及数据泄露通知相关内容(PDPR 第 11(2)(b)条及 PDPA Guidelines)。b.协议生效条件:该等协议经双方缔约
127、即生效,无需再经新加坡政府审批或备案。新加坡主管部门也尚未像中国这样预先制定数据出境标准合同,因此数据传输方和接收方可自行起草该等数据处理协议。但新加坡作为东盟成员,PDPC明确承认东盟跨境数据流动示范合同条款(ASEAN MCCs)可满足协议要求。因此出海企业在起草数据处理协议时可参考 ASEAN MCCs。如传输方通过签订 BCRs 履行上述义务,除要求接收方提供与 PDPA 相当水平的保护外,须注意下述事项:a.适用范围限制:接收方与传输方须存在关联关系,包括传输方与接受方之32间存在控制关系或为同一主体所控制(PDPR 第 11(3)(a)条及 PDPA Guidelines)。因此,
128、BCRs 更适合用于集团内数据传输情况;b.CRs 内容应包含:1)适用 BCRs 的接收方;2)适用 BCRs 的数据传输接收国;以及 3)数据保护权利及义务(PDPR 第 11(3)(b)条)。如传输方未能与接收方签订数据处理协议或BCRs,PDPC 在PDPA Guidelines中建议,企业可通过取得用户的同意或视为同意的方式履行数据跨境传输的义务。其中,“视为同意”情形包括:1)跨境传输为履行合同所必需:如基于该事由跨境传输数据,接收方可基于履行合同所必需向第三方再传输数据;2)用户主动提供个人数据或虽未主动提供但允许个人数据被收集使用。无论是取得同意或“视为同意”情形,传输方均须履
129、行以下义务:a.告知义务:在请求个人同意前,传输方应向数据主体提供书面概要说明,告知其数据接收国对数据的保护措施,以及该保护水平不低于 PDPA(PDPR 第10(3)(a)条);b.手段正当性:传输方不得以任何欺骗性或诱导性方式获得该同意(PDPR第 10(3)(c)条);(4)积极参与区域合作机制建设和寻求区域内数据自由流动积极参与区域合作机制建设和寻求区域内数据自由流动2018 年,新加坡加入了亚太经济合作组织(Asia-Pacific Economic Cooperation,APEC)主导的亚太经合组织跨境隐私规则体系(Cross-Border Privacy RulesSystem
130、,以下简称“CBPRs”)和亚太经合组织数据处理者隐私识别体系(PrivacyRecognition for Processors System,以下简称“PRPs”)。根据 CBPRs 的文件,想要通过 CBPRs 认证的企业需要通过 CBPRs 对于企业所在国当前的隐私保护法、隐私保护执法机构、隐私信任认证机构、隐私法的评估。新加坡个人数据保护委员会(Personal Data Protection Commission,以下简称“PDPC”)因此建立了一项与 CBPRs 对接的认证机制,如果在新加坡获得这一认证的企业,即可以在其他 CBPRs 成员内与其他认证企业自由传输个人数据。当接收
131、方为数据中介方(Data Intermediary)1时,接收方应取得 APEC PrivacyRecognition for Processors System(APEC PRP)或 APEC Cross Border Privacy RulesSystem(APEC CBPR)认证;当接收方为数据中介外的其他组织(如数据控制者)时,该接收方应取得 APEC CBPR 认证(PDPR 第 12 条)2。1根据 PDPA 及 PDPA Guidelines 的定义,“数据中介”为代表数据传输方并为其目的处理个人数据的主体。2对此,数据出传输方可以登录 APEC 网站(www.cbprs.org
132、)查询数据接收方是否已通过认证。333.5.3.新加坡与中国个人信息保护之比较新加坡与中国在个人信息保护方面存在诸多的异同(详见附件 4),例如不适用个人信息保护法律的规定,新加坡相较中国做出更为宽泛的规定;关于同意的规定,中国的法律要求同意必须是个人信息主体自愿、明确做出的,但新加坡规定了可以视为同意的情形。在个人信息跨境传输方面,新家坡相较于中国而言,有更为清晰的个人信息跨境规则,如前文所述的数据中转、持续跨境个人信息及跨国集团内部数据传输等情形,新加坡均做出了清晰的规定,为数据处理者提供了很好的指引。3.6.越南3.6.1.越南数据保护法律体系概况(1)数据保护相关法律法规数据保护相关法
133、律法规越南个人数据保护法令于 2023 年 7 月 1 日起施行,是越南首部个人数据保护综合性立法,对个人数据保护原则、数据主体权利以及数据控制者和数据处理者义务、数据跨境传输等方面作出了规定。该法令同越南刑法网络安全法网络信息安全法消费权益保护法信息技术法电子交易法关于网络安全法若干条款的详细规定法令关于信息系统安全分类法令关于互联网服务及在线信息的管理、提供与使用法令电子商务管理法令关于邮政服务、电信、无线电频率、信息技术和电子转账的若干行政处罚规定法令等法律法规构成了越南现行的数据保护法律体系。(2)主要监管部门主要监管部门越南与个人数据保护相关的主要监管机构包括公安部、信息和通信部、国
134、防部和科技部等。其中公安部负责指导和实施个人数据保护工作,保护数据主体的权利免受侵害,提出出台数据保护标准、个人数据保护和适用建议,并开展依法检查、审查、处理投诉和控告等工作,是最主要的监管机构。(3)特殊主体的克减义务特殊主体的克减义务个人数据保护法令明确规定,微型、小型、中型和初创企业在建立企业时,有权选择在注册的前两年内免于遵守相关要求。3.6.2.越南数据保护和数据跨境的要点简析(1)数据跨境传输机制数据跨境传输机制根据越南个人数据保护法令,“个人数据跨境传输”是指通过网络空间、34电子设备、电子手段或其他形式将越南公民的个人数据传输到越南境外地点或在越南境外的地点处理越南公民个人数据
135、的任何活动。要将越南公民的个人数据转移到境外,跨境数据传输者必须进行个人数据跨境传输影响评估并持续更新和维护跨境传输影响评估档案,以供越南公安部检查和评估。跨境数据传输者应在处理数据之日起 60 天内将个人数据跨境传输影响评估档案提交给越南公安部;数据传输完成后应将相关数据传输的信息及负责组织或个人的联系方式以书面形式通知越南公安部。除特殊情况外,越南公安部将每年对个人数据跨境传输影响评估档案进行一次检查。如出现违反国家安全、提交的个人数据跨境传输影响评估档案不完整不符合要求或未根据新的变化及时更新、泄露或丢失越南公民个人数据等的情况,越南公安部可要求停止数据的跨境传输。(2)数据本地化及存储
136、要求数据本地化及存储要求为了加强数据安全管理,越南网络安全法中纳入了数据本地化储存条款,规定“在越南提供电信网络、互联网和网络增值服务的国内外企业,其收集、挖掘、分析和处理有关个人信息的数据、服务用户关系数据、服务用户生成的数据必须在政府规定的时间内储存在越南。本款规定的外国企业必须在越南设有分支机构或代表处。”2022 年 10 月 1 日生效的关于网络安全法若干条款的详细规定法令对上述数据本地化条款进行了细化规定,特别强调对于在越南开展特定行业的外国企业,必须将上述三大类型的数据储存在本地,并在企业提供的服务被使用的情况下在越南设置分支机构或代表处。这些行业包括:电信服务;在网络空间存储和
137、共享数据;为越南服务用户提供国内或国际域名;电子商务;在线支付;支付中介;通过网络空间传输连接服务;社交网络和社交媒体;网络视频游戏;以短信、语音通话、视频通话、电子邮件、在线聊天等形式在网络空间提供、管理或运营其他信息的服务。另外,该法令规定的数据储存期限最低为 24 个月,用于调查和处理违反网络安全法的系统日志至少保存 12 个月。3.6.3.越南与中国数据保护法律之对比中国和越南的数据保护法律法规既有相似的内容,又有基于各自国情形成的差异。中越均高度重视国家网络安全和网络空间主权,两国的网络安全法对部分数据的本地化存储都作了要求。此外,中越均高度重视保护公民个人信息安全,但因基本国情和发
138、展状况等的不同,中越两国的个人信息保护法律法规也有诸多差异之处。如在个人信息跨境传输方面,中国个人信息保护法规定了数据出境安全评估、个人信息保护认证和个人信息出境标准合同等三条个人信息跨35境合规路径。越南的个人信息跨境合规机制则较为独特,仅要求跨境数据传输者在规定时限内向监管部门提交个人数据跨境传输影响评估档案。该影响评估档案应随时备存且依据变化情况及时更新,以供监管部门进行事后监管。在告知同意机制方面,越南个人数据保护法令对于同意的认定作了更加细致的要求:数据主体的沉默或不回应不应被视为其同意;数据主体可以给予部分或有条件的同意;如果发生争议,个人数据控制者和/或个人数据控制者和处理者应负
139、责证明数据主体的同意。另外,越南在将个人数据用于广告营销服务和违规后的通知义务等方面也提出了更为严格的规定(详见附件 5.1)。3.7.沙特阿拉伯3.7.1.沙特阿拉伯数据保护法律框架概述目前,沙特阿拉伯规范数据治理的法律框架主要由个人数据保护法(TheSaudi Arabia Personal Data Protection Law(PDPL)和配套的个人数据保护法实施条例沙特阿拉伯境外个人数据传输规定以及适用于某些行业或部门的特定法规组成。2021 年 9 月,沙特阿拉伯部长理事会批准了沙特阿拉伯个人数据保护法。这是沙特阿拉伯第一部全面的个人数据保护法案,旨在规范该国个人数据的收集、使用和
140、传输等个人数据处理活动。PDPL 在 2023 年 3 月进行了修订,并于 2023年 9 月 14 日正式生效。根据修订后的 PDPL 序言,自 PDPL 生效起有一年的过渡期,各实体应在过渡期内完成整改以使其个人数据处理活动符合 PDPL 的要求。2023 年 9 月 7 日,沙特数据与人工智能管理局(SDAIA)发布了沙特个人数据保护法实施条例及沙特阿拉伯境外个人数据传输规定。两部法规扩展了 PDPL(于 2023 年 3 月修订)中概述的一般原则和义务,并对数据控制者提出了新的合规要求。PDPL 适用于沙特境内以任何方式处理个人数据的实体。同时,PDPL 具有域外效力,如果外国组织处理
141、与沙特居民有关的个人数据,则 PDPL 也将适用。3.7.2.沙特个人数据保护法要点简析(1)同意同意PDPL 立法体例参照了欧盟的通用数据保护条例(GDPR)的体例。它包括常见的关键原则和要求,如目的限制、最小必要、数据控制者责任、数据主体权利和违规处罚等。与许多国家的个人信息法案一样,对于个人数据收集和使用,PDPL 需要事先征得同意。36根据 PDPL 第 5 条,控制者必须在处理之前或处理时应“明确无误”获得个人同意。个人数据主体的同意可以以多种形式做出,包括书面、口头或电子方式等,但必须是在个人未被误导的前提下自愿做出。数据主体可以随时撤回对个人数据处理活动的同意,控制者不得要求以拒
142、绝提供服务或福利为条件获得数据主体同意(除非服务或福利与所获同意的处理活动特别相关)。此外,如果存在多个个人数据处理活动,且分别具有不同的目的,则必须针对每个目的单独获得同意。(2)隐私政策隐私政策数据控制者必须制定隐私政策,PDPL 列明了隐私政策中必须包含的必要信息。数据控制着在收集个人数据前应当向个人数据主体提供隐私政策进行告知。(3)目的限制原则和最小必要原则目的限制原则和最小必要原则控制者必须明确收集和使用个人数据的目的,收集和使用的个人数据必须与收集和使用的目的具有相关性。另外,数据控制者必须在能实现预期目的的最小范围内收集个人数据。(4)影响评估影响评估控制者必须对处理个人数据的
143、影响进行评估,如果预期目的不再需要某类个人数据,则数据控制者必须停止收集该类数据。(5)违规通知违规通知当发生数据泄露、未经授权访问个人数据等情况时,数据处理者必须通知监管机构;对个人数据主体造成损害的事件必须通知数据主体。(6)沙特个人数据保护法下的数据跨境传输沙特个人数据保护法下的数据跨境传输PDPL 要求数据控制者必须在沙特王国的地理边界内存储和处理个人数据。在某些情况下,如果不构成安全风险,数据可以在王国境外存储或处理。在向沙特境外提供个人数据之前,数据控制者必须进行影响评估,并获得监管机构的书面批准。监管机构将根据具体情况联系审批事宜。根据 PDPL 修订后的第 29 条,数据控制者
144、可以将个人数据转移到王国之外或向王国之外的实体披露个人数据的前提是:1)为保护公共利益、公共卫生、公共安全或保护特定个人的生命或健康安全以防止、测试或治疗病理性感染而进行的转移;2)根据王国作为当事方的国际条约进行的转移;3)为服务于王国的利益而进行的转移;4)为履行数据主体的义务;375)根据与 PDPL 配套的个人数据跨境传输法规的允许的目的进行的数据转移。对于上述条件,PDPL 及其执行条例的草案也设置了具体的豁免情形:如果主管部门本身与其他机构合作,并经评估个人数据在沙特王国境外可以得到足够的保障,且不包括敏感个人数据的传输时,主管部门可以根据具体情况,免除控制者遵守第 29 条规定的
145、任何其他条件。在不满足上述例外情况时,数据控制者必须向主管部门申请批准,方可将个人数据传输到沙特王国之外。批准申请必须在传输前至少 30 天提出,数据保护部门将有 30 天时间审查申请,并可酌情延长这一期限。如果这些例外都不适用,企业需创建本地的数据中心,并使用在沙特王国内处理数据的服务提供商,以满足沙特的数据本地化要求。3.7.3.沙特数据保护与中国的对比沙特个人数据保护法对个人数据跨境传输规定了严格的限制,其批准要求比 GDPR 数据转移限制更进一步,更类似于中国的个人信息保护法(以下简称个保法)。在个人数据权利方面,沙特 PDPL 与个保法一样,PDPL 赋予个人对自己的个人数据的权利,
146、包括访问、更正和销毁/删除的权利。此外,PDPL 还授予个人知情权,要求处理者告知个人收集其个人数据的法律或实际理由和目的。违反个保法和沙特王国的 PDPL 都会引发行政或刑事处罚。沙特对违规行为的处罚相对严厉,包括对实施非法数据转移的行为的主体处以最高一年的监禁和/或 100 万里亚尔(约 25 万美元)的罚款,对实施违法披露敏感个人数据的行为处以最高两年的监禁和/或 300 万里亚尔(约 80 万美元)的罚款,以及 SDAIA能够施加最高 500 万里亚尔(约 130 万美元)的罚款。可以看到,沙特阿拉伯正在逐步对其境内的个人数据使用进行国家监管,并为法律的实施提供了宽限期,使监管对象符合
147、 PDPL 的规定。同时需要注意的是,沙特目前关于数据合规、隐私保护的法律法规尚未完善,争议性的网络行为可能被禁止,中国企业在沙特运营应严格遵守当地法律并评估风险。3.8.日本3.8.1.日本数据跨境流通战略举措出于振兴本国经济、提高网络空间软实力、提升国际社会话语权等多重因素的考虑,日本通过修订国内立法、签订双多边国际协议、推广全球理念等战略举38措,不断推进跨境数据流通治理,倡导参与全球数据跨境流动合作。(1)通过修订和完善立法,构建与数据自由流动相匹配的数据安全机制通过修订和完善立法,构建与数据自由流动相匹配的数据安全机制日本多次修订个人信息保护法,对个人信息跨境制度规则进行动态调整。2
148、015 年,日本修订个人信息保护法,增加了关于跨境数据流通的规定,包括设立个人信息保护委员会(PIPC)作为独立监管机构,制定向境外传输数据的规则和指南,增加数据出境须获得数据主体同意的一般性规定及例外情形。2020 年、2021 年,日本分别再次修订个人信息保护法,旨在促进大数据利用的同时解决数据的跨境流动中面临的风险。新个人信息保护法要求,在取得个人信息主体同意之前,应披露信息接收方所在国家及该国的个人信息保护体系、信息接收方采取的个人信息保护措施,同时采取必要措施确保接收方所在国家或地区持续实施了与日本个人信息保护法对个人信息的保护要求相当的保护措施。总体而言,日本多次修订个人信息保护法
149、,强化对人信息出境行为的监管,对人信息出境提出了更为严格的要求,体现了日本通过构建数据安全机制来保障数据自由流动的战略考量。(2)积极参与双边、多边贸易协定,寻求数据跨境流动规则的广泛合作积极参与双边、多边贸易协定,寻求数据跨境流动规则的广泛合作在双边贸易协定方面,日本积极与欧美英等发达经济体签订贸易协定,对接协调数据治理规则,构建“数据流动圈”。例如,日本与欧盟经济伙伴关系协定(EPA)日美数字贸易协定,日英全面经济伙伴关系协定等双边协定均提到了促进数据自由流动的合作倡议。以日本与欧盟在数据跨境方面的合作为例,2018 年 7 月,日本与欧盟正式签署 EPA,约定建立数据流通安全区,相互将对
150、方的数据保护体系视为同等有效;2019 年 1 月,日本与欧盟正式施行以互认为基础的个人数据跨境传输充分性框架,实现了日欧之间个人数据的双边自由传输;2022 年 10 月,日本与欧盟同意就将数据跨境流动规则纳入 EPA 进行谈判。在多边贸易协定方面,日本参与或加入亚太经合组织跨境隐私规则体系(CBPR)全面与进步跨太平洋伙伴关系协定(CPTPP)、区域全面经济伙伴关系协定(RCEP)等双多边规则体系和贸易协议,积极寻求和推动跨境数据流通规则的多边合作。以 CPTPP 为例,2017 年美国退出 TPP 后,日本接替美国开启了 CPTPP 的多边谈判,沿袭了美国在 TPP 中设置的一系列跨境数
151、据流通规则。面对国际格局的深刻变革,日本积极参与双边、多边贸易协定,寻求数据跨境流动规则的广泛合作,不断提升其建立在高标准基础上的数据跨境国际协作水平。(3)构建和推行构建和推行“基于信任的数据自由流通基于信任的数据自由流通(DFFT)”机制机制,积极参与全球积极参与全球数据规则制定数据规则制定392019 年 1 月,日本时任首相安倍晋三首次提出 DFFT 概念。同年 5 月,安倍在第 25 届国际交流会议演讲中指出,将在 G20 峰会上启动名为“大阪轨道”的国际数据流动倡议。随后,在 G20 大阪峰会期间,“大阪轨道”正式启动,并签署 大阪数字经济宣言,标志着 DFFT 从概念提出阶段进入
152、实践阶段。从 2021 年至今,日本通过七国集团(G7)、二十国集团(G20)等国际平台,不断推进 DFFT的制度化、机制化落地。2021 年 4 月,在英国举行的 G7 数字和技术部长级会议通过了G7 DFFT 合作路线图。同年 8 月,在意大利举行的 G20 数字经济部长级会议发布部长宣言,重申了 DFFT 的重要性和挑战。2022 年 5 月,在德国举行的 G7 数字部长会议通过了促进 DFFT 行动计划,同年 8 月,在印度尼西亚举行的 G20 数字经济部长会议发布 主席宣言,也重申了 DFFT 的重要性。今年 3 月,在日本举行的 G7 数字与技术部长会议发布了G7 数字和技术部长级
153、宣言,提出建立新机制和通过新的伙伴关系制度安排来运作 DFFT。在全球数字贸易治理碎片化的情况下,日本通过构建和推进 DFFT 机制,倡导基于信任的数据自由流动,积极参与全球数据规则制定,不断提升全球的数字治理影响力和话语权。3.8.2.日本数据跨境流通法律规制要点简析日本数据跨境流通法律规制主要包括个人信息出境法律法规体系和多边贸易协定数据流通规则体系。其中,前者致力于规范和强化对个人信息出境行为的监管,后者致力于在高标准的基础上推进协定国之间的数据自由流通。(1)个人信息出境法律法规体系分析个人信息出境法律法规体系分析日本于 2003 年制定了日本个人信息保护法,并先后颁布了与个人信息保护
154、法有关的施行令、施行规则,进一步细化个人信息保护规则。此外,日本政府专门设置个人信息保护委员会作为个人信息保护的主管部门,该委员会相继制定、更新了关于个人信息保护法的指南,为企业个人信息合规提供具体指导。日本个人信息保护法律法规体系如表 1 所示。表 1 日本个人信息保护法律法规体系项目项目法规名称法规名称基本法日本个人信息保护法实施法规及细则日本个人信息保护法施行令日本个人信息保护法施行规则实务指南日本个人信息保护法指南(其中,“外国第三方提供40篇”规定了个人数据出境要求)根据新修订的日本个人信息保护法及其配套制度规则,日本个人信息出境需满足以下条件:一是以事先取得个人信息主体的同意为原则
155、,以不需要取得同意为例外。获得个人信息主体关于跨境传输个人信息的同意时,应当履行告知义务,事先向个人信息主体提供数据接收方所在国家或地区的个人信息保护的度、数据接收方采取的个人信息保护措施以及应供个人信息主体参考的其他信息,以便个人信息主体判断是否同意。此外,日本规定了无需取得个人信息主体同意的例外情形,包括向白名单国家跨境传输个人信息(如欧盟、日本),以及向已经建立了符合日本法规定的保护标准的个人信息保护机制的接收方跨境传输个人信息。二是判断接收方所在国家或地区是否拥有与日本具有同等水准的个人信息保护制度。日本个人数据跨境传输规则借鉴了欧盟 GDPR 的白名单机制,根据 GDPR 的相关规定
156、,对于与欧盟具有同等水准的个人信息保护制度的国家,从欧盟向其跨境转移个人数据时无需另外取得个人信息主体的同意。目前,日本与欧盟、英国已建立白名单机制,认定对方的个人信息保护水平及安全措施具有同等水准,在不需要事先取得个人信息主体同意的情况下,允许个人信息在日本和欧盟、英国之间自由流动。三是判断接收方所在国家或地区是否建立了符合日本法律法规标准的制度且可持续采取同等保护措施。满足下列条件之一的可被认定为符合日本法律法规标准:1)个人信息运营商和第三方,应当以适当和合理的方法,确保第三方在处理个人资料时,实施符合日本个人信息保护法第四章个人信息运营商义务的措施;2)通过第三方获得国际体系认证,例如
157、经合组织的隐私准则和 APEC 的跨境隐私规则(CBPR)系统的认证。(2)多边贸易协定数据流通规则分析多边贸易协定数据流通规则分析如前所述,日本参与或加入了 CBPR、CPTPP、RCEP 等双多边规则体系和贸易协议,致力于在高标准的基础上推进协定国之间的数据自由流通。一是 CBPR体系关于数据跨境流动的规则要求。CBPR 规则体系包含自评估、合规审查、承认或接受跨境规则、争端解决和执行四部分内容。在 CBPR 体系下,APEC 建立了数据处理者隐私识别(PRP)体系,并且还建立了跨境隐私执法安排(CPEA)。接受方获得 CBPR 体系的认证,是日本允许个人数据跨境传输的合法路径之一。二是
158、CPTPP 关于数据跨境流动规则要求。CPTPP 规定缔约方不得对数据跨境流动征收关税,要求缔约方允许包括个人信息在内的跨境数据自由流动,同时给予缔约方在不构成对其他缔约方贸易歧视和变相限制的情况下基于“合法公共政策”的豁免;允许缔约方对计算机设施的使用根据安全保障和机密保护设有不同监管要求,同时不得将数据本地化存储作为市场准入条件的强制性要求。三是 RCEP41关于数据跨境流动的规则要求。RCEP 要求缔约方不能阻止金融服务提供者进行其金融服务活动必需的相关信息传输;不得将计算机设施必须置于境内的规定,作为进入该缔约方内部市场的前提条件,不得阻止正常经营活动中的信息跨境传输活动,同时为以上约
159、束提供了实施“合法公共政策”和保护“基本安全利益”两种豁免情形。3.8.3.与我国数据跨境法律法规对比分析在数据安全方面,我国主要遵循的上位法包括网络安全法和数据安全法,其中对数据的跨境转移和数据本地化都作出了限制;日本主要遵循的上位法为个人信息保护法,无数据本地化存储限制,但在跨境转移方面规定需取得个人同意,妥善处理数据。其中,日本侧重对个人数据的跨境保护,要求处理个人数据的经营者数据跨境转移需要满足:“事先获得个人同意的情况下,处理个人信息的经营者可向国外第三方提供个人数据”、“向个人信息保护委员会白名单中所列国家第三方提供数据时可不经个人同意直接提供(白名单欧盟、英国)”、“个人数据保护
160、委员会有权对在日本处理个人数据的外国经营者行使处罚的权限,包括收集报告和现场检查”三个条件。中国对个人数据和公共数据的跨境均提出数据保护要求,对于关键信息基础设施运营者,数据跨境转移需要满足“应通过所在地省级网信部门向国家网信部门申报数据出境安全评估”的要求。在个人信息保护方面,中国主要遵循的上位法为个人信息保护法,对个人信息保护程度相对严厉;日本主要遵循的上位法为个人信息保护法和个人信息保护法相关指南,确立对个人信息权力保护的一体化监督机制。其中,对于个人信息的定义二者略有差别,中国认为个人信息为“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息”,日本方面则定义个人信息为“
161、包括能够识别特定个体的内容及符号。内容自身无法识别特定个体,但参照其他相关信息后能够识别特定个体的信息也被纳入范畴内”,中日均规定匿名化的数据不属于个人信息范畴,但日本特别提出,对于假名化的信息(即只要不与其他信息对照就无法识别出特定个体的信息),在个人信息处理者内部使用时,可改变信息获取时的使用目的。同时,中日在个人信息保护的细节上略有偏差:例如,在管理模式上,日本实行一体化监督机制,由内阁府下设的个人信息委员会负责,个人信息委员会将原本分散在政府各个部门的各个领域的监督权回收,集中到了新设立的个人信息委员会,从而确立了对个人信息权利保护的一体化监督机制;我国实行由国家网信办统筹、各行业主管
162、部门协同的政府主导模式,由国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。在认证机构上,日本 1998 年开始导入由经济产业省下属的日本情报处理开发协会(JIPDE)42认证的“隐私标志制度”;中国按照国家网信部门的规定经专业机构进行个人信息保护认证,如 CCRC 是 APP 个人信息安全领域的认证机构。3.9.印度3.9.1.经历多次曲折,终接近出台数据保护专门立法印度作为人口大国,超过 14 亿人口中拥有超过一半的互联网用户,且印度是全球科技巨头的重要发展市场,此前依赖的 2011 年的信息技术(合理的安全实践和程序以及敏感个人数据或信息)规则已无法解决互联网时代用户数据隐私保
163、护和数据处理市场的平衡问题,因此制定一部专门的个人数据保护立法成为印度各界共同的呼声。然而,由于印度特殊的国情和庞大的人口基数,印度个人数据保护立法工作十分曲折,从 2018 年 7 月印度高级别专门委员会提出首版法案2018 年个人数据保护法案开始,经历了 2019 年印度电子和信息技术部提交的2019 年个人数据保护法案版本,2021 年印度议会联合委员会经历 78 次会议提交审议报告包括 81 项修正案和 12 项建议,2022 年印度政府则以议会联合委员会对法案修改过多为由,撤回了 2019 年版本,而后 2022 年 11 月,印度电子和信息技术部发布了2022 年数字个人数据保护法
164、案草案,最终于 2023 年 8 月 9 日由电子和信息技术部长发布了印度2023 年数字个人数据保护法案(DPDP)。该法案将在印度总统批准后正式成为法律,使印度接近出台第一部数据保护专门立法。关于 2018 年、2019 年、2021 年印度议会联合委员会的建议及 2023 年法案主要内容的对比可参见附件 10.1。2023 年数字个人数据保护法案限缩了该法的适用范围,将此前采用的更为广泛的个人数据保护,替换为了更为明确、具体的“数字个人数据”(digitalpersonal data),后者使用范围更为广泛,研究规制也较为充分。同时,在境外适用方面,2023 法案相较于2022 法案删除
165、了“特征分析”(profiling)这一情形,只保留了向印度境内数据委托人提供商品或服务相关的境外数据处理应适用法案的规定。3.9.2.印度数据保护及数据跨境的要点解析(1)确定了确定了“特定合法使用特定合法使用”的数字个人数据处理的合法性基础的数字个人数据处理的合法性基础一般而言,亚太地区的数据保护立法皆采用了“视为同意”(deemed to havegiven her consent)作为个人数据处理的合法性基础。印度2022 年法案同样采取了“视为同意”的立法技术,但是其引入了过多的“视为同意”情形引发了较大的43争议。因此,2023 法案 则创新性地采取了“特定合法使用”(certai
166、n legitimate uses)作为数字个人数据处理的合法性基础,但是保留了大部分2022 年法案中“视为同意”的情形,包括个人资源提供数据的特定目的、政府提供福利或服务、医疗紧急情况、就业等。此外,2023 年法案还特别赋予了国家处理个人数据的多项豁免,包括预防和调查范围行为、执行合法权利或索赔等,此处的国家包括中央政府、州政府、地方机构、政府设立的机关和公司等。由于国家的豁免允许国家将处理的数据用于其他目的,并允许国家将已有的个人数据用于任何目的,即消除了目的限制这一隐私保护的关键原则,因此关于国家豁免是否可能对隐私保护产生不利影响,目前仍在广泛讨论之中。(2)数据出境情形的规定更为宽
167、松,从数据出境情形的规定更为宽松,从“必要因素评估必要因素评估”转为转为“通知限制通知限制”的的方式方式印度政府监管境外个人数据传输的目的是保护印度公民的隐私,因此若其他国家或地区缺乏健全的数据保护法,则存储在该国家或地区的数据可能更容易遭到泄露或未经授权与外国政府共享。因此,印度政府尝试对数据对外传输进行限制,四部法案(或建议)皆对数据跨境传输进行了规定,参见下表。法案名称法案名称具体内容具体内容2018 年个人数据保护法案草案每个受托人在印度至少存储一份个人数据副本如果获得同意,可以转移到印度境外的某些允许的国家或根据管理局批准的合同某些关键数据只能在印度处理2019 年个人数据保护法案敏
168、感个人数据的副本应保留在印度仅在获得明确同意的情况下才能传输某些敏感个人数据,对其他个人数据没有限制关于关键个人数据,与 2018 年法案相同2021 年议会联合委员会的建议补充说明,未经中央政府事先批准,敏感个人数据不会与外国机构或政府共享2023 年数字个人数据保护法案删除敏感和关键的个人数据分类中央政府可能会通过通知将个人数据限制在某些国家/地区目前由于2023 年法案极有可能成为印度个人数据保护的正式立法,因此44未来在印度的数据跨境流通中特别需要关注2023 年法案的规定。其中明确,印度中央政府可以通过通知的方式限制向某些国家传输个人数据。这也意味着个人数据传输到所有其他国家在一般情
169、况下没有任何明确的限制,除非中央政府以通知的方式予以限制,一般体现在将这些国家列入限制的清单之中。该措施相当于前三个法案(或建议)放宽了对数据跨境传输和流通的限制,此前的法案都要求对数据可能传输到的每个国家的标准进行逐案评估,而2023 年法案下则可以有选择地进行评估,可能导致传输国家评估的不充分,引发了印度业界关于该机制能否为印度公民的数据和隐私提供足够的保护的担忧。(3)业务流程外包提供商处理不在印度境内个人数据等特殊情形可不落入业务流程外包提供商处理不在印度境内个人数据等特殊情形可不落入适用范围适用范围2023 年法案规定,业务流程外包提供商在处理不在印度境内的数据主体的个人数据时,如果
170、是根据印度境内的任何人员与印度境外的任何人员签订的任何合同进行的,则不受该法的约束。然而,2023 年法案的某些规定仍然适用,如实施 合理的安全保障措施以防止个人数据泄露 的义务。(4)对本地化存储的特殊规定对本地化存储的特殊规定对于特定行业,印度通过行业法规,对该行业的数据做出了本地化存储的要求。例如银行业,印度储备银行(RBI)依据 2007 年支付和结算系统法(thePayment and Settlement Systems Act,2007)于 2018 年 4 月 6 日发布的关于支付系统数据存储的通知,RBI 指示所有系统提供商须确保与其运营的支付系统相关的全部数据存储在印度法律
171、管辖范围内的系统中;再比如 2020 年外国直接投资综合政策(the Consolidated Foreign Direct Investment Policy)中规定的条件之一是广播公司不得将用户数据库转移到印度法律管辖范围以外的任何实体或地方,除非得到相关法律的允许;再比 2014 年公司(账目)规则the Companies(Accounts)Rules第 3(5)条中的但书规定,以电子方式保存的账簿、公司其他账簿和文件的备份(包括在印度境外的)应存储在物理上位于印度法律管辖范围内的服务器中。(5)特别法庭特别法庭印度建立了一套专业审理信息技术相关案件的专业法庭,并在较低审级的阶段排除了
172、普通法院体系的管辖权。为了行使印度 IT 法下的权利,个人必须向印度政府任命的、具有相关专业知识的裁决官(Adjudicating Officer)提出投诉并由裁决官审理:对裁决官的决定不服的,则应向电信争端解决和上诉法庭(TelecomDisputes Settlement and Appellate Tribunal,TDSAT)上诉;对于 TDSAT 的裁决结果,可再次上诉至相应州的高等法院。45(6)印度数据保护机构印度数据保护机构在现行立法下,印度的数据保护机构是电子和信息技术部(Ministry ofElectronics and Information Technology,Me
173、itY)。电子和信息技术部有权就电子和信息技术领域的问题提供指导。为应对数据安全事件,电子和信息技术部成立了印度计算机应急小组(CERT),作为接收和回应所有违规通知的节点机构。根据2023 年法案,中央政府将成立印度数据保护委员会。该委员会的主要职能包括(i)监督合规情况并实施处罚,(ii)指导数据受托人在发生数据泄露时采取必要措施,(iii)听取受影响者的申诉。委员会成员的任期为两年,并可连任。中央政府将规定委员会成员人数和遴选程序等细节。对委员会决定的上诉将由 TDSAT 受理。3.9.3.与中国法律的对比印度2023 年法案对标的是我国的个保法,皆是针对个人信息或个人数据做出的综合性立
174、法。由于国情和法域的巨大差异性,两部法律存在较多的不同之处,具体可见附表。下文将展开重点需要关注的四点不同。(1)适用范围方面适用范围方面,印度法案适用于印度法案适用于“数字个人数据数字个人数据”,相比中国相比中国“个人信息个人信息”的范围更为狭窄的范围更为狭窄印度在2023 年法案中将该法的适用范围确定为“数字个人数据”(digitalpersonal data),而将以线下方式或是非数字化形式收集的个人数据排除在规制范围外。中国个人信息保护法的适用对象为“个人信息”,并不排除如纸质收集的非数字化形式收集的个人信息,保护范围更为广泛。(2)在主体名称方面,印度法案使用了在主体名称方面,印度法
175、案使用了“数据持有者数据持有者”和和“数据受托人数据受托人”两个两个概念,中国个保法则使用了概念,中国个保法则使用了“个人信息处理者个人信息处理者”和和“受托人受托人”的表述的表述印度2023 年法案在主体名称使用上与欧盟的“数据控制者”“数据处理者”结构较为类似,其使用“数据持有者”一词去概括“合法持有并且有一定保护义务的人”,英文翻译为 Data Fiduciary,而不同于欧盟“数据控制者”(DataController);而对于接受委托处理数据的人,则使用“数据处理者”的概念予以概括。我国个保法则使用了“个人信息处理者”和“受托人”的表述,“个人信息处理者”是我国个保法规则的核心对象,
176、个保法明确了个人信息处理者对受托人的个人信息处理活动的监督职责。这与印度2023 年法案确定了“数据持有者”首要和唯一的责任地位具有类似性。即,印度2023 年法案明确,数据处理者仅是代表数据持有者并按其指示或约定进行数据处理,数据持有者对数据处理者获取、使用、开发乃至删除数据的整个过程都在程序和实质上掌握着控制权和主动权。46(3)处理个人数据的合法性基础方面,印度法案采取处理个人数据的合法性基础方面,印度法案采取“合法目的合法目的+同意同意 or特定合法使用特定合法使用”的模式,特定合法使用的范围较中国个保法合法理由的范围的模式,特定合法使用的范围较中国个保法合法理由的范围更为广泛更为广泛
177、印度2023 年法案规定处理个人数据的合法性基础是在根据本法规定并出于合法目的下处理个人数据,在此情形上满足数据委托人已同意或属于特定合法使用两个条件其一。中国的个保法则并列规定了七点处理个人数据的合法理由,除了取得个人的同意之外,其余六种情形可以视为在同意以外处理个人数据的合法事由。在具体的合法事由中,中国的个保法额外包括“处理已合法公开的个人信息”,印度2023 年法案则包括“为国家机构提供补贴、福利、服务、认证、执照或者许可目的使用”“主权和国家安全”“为履行判决等理由”等中国个保法处理个人数据合法理由中没有涵盖的情形。同时,印度特定合法使用的情形之一是“自愿提供数据并且未向数据受托人表
178、示不同意使用其个人数据的”,该条款可以理解成个人自愿同意相当于默示同意,只要个人未明确反对,即可处理。因此,印度处理个人数据的合法性事由是宽泛于我国个保法的。(4)在向境外传输个人信息方面,印度在向境外传输个人信息方面,印度2023 年法案调整成了年法案调整成了“不限制不限制向境外传输个人数据向境外传输个人数据”的模式,但赋予了中央政府确定能否数据出境的权力,我的模式,但赋予了中央政府确定能否数据出境的权力,我国法律则对数据出境进行了较为严格的限制国法律则对数据出境进行了较为严格的限制在此前版本的印度法案中,对于印度的数据出境予以了较为严格的限制,即必须进行中央政府的“必要因素评估”后通知数据
179、受托人方可出境。同时,印度 2022年版本的法案还提出了满足条件的强制数据本地化的要求,对于个人敏感数据,必须存储在印度境内,但其副本可以按照跨境转移的要求进行传输到印度境外。而印度2023 年法案极大地放宽了对于数据出境的限制,没有了数据本地化的强制性要求,更加鼓励数据流动,然而也为中央政府赋予了较大的权力,即数据能否出境将依赖于中央政府的通知或者其他法律的另行规定,这也为印度数据出境的宽严程度附加了更多的不确定性。我国法律则对数据出境提出了较为严格的限制,规定了数据出境应当经过安全评估、认证、签署标准合同等流程。3.10.俄罗斯3.10.1.俄罗斯联邦个人信息及数据法律环境分析(1)俄罗斯
180、联邦数据与信息安全法律体系俄罗斯联邦数据与信息安全法律体系根据俄罗斯国家杜马发布的 关于网络与数据信息保护立法与政策发展报告(以下简称网络与数据报告),俄罗斯关于网络主权与数据保护的规范性文47件主要呈现“两大类、双层次”的分布特征,“两大类”是指传统部门法和新颁布的政策性文件;“双层次”是指对国内、国外两个层次的监管,该特征在传统部门法和政策性文件中也均有体现。网络与数据报告 指出,俄罗斯已发布了近 50 部国家层面的法律法规与政策性文件,就网络主权问题给予国家立法支持与保护,呈现出立法数量多、颁发部门层级高、涉及范围广的特征;形成了以俄罗斯联邦宪法及已经缔结的国际条约为基础,以俄罗斯联邦关
181、于信息、信息技术和信息保护法俄罗斯联邦个人数据法和俄罗斯联邦主权互联网法案为准则,以其他联邦法律与规范性文件为补充的数据与信息安全法律体系。(2)强本地化的规定强本地化的规定目前,全球对于数据流动监管尚未形成统一的规则和方案,新兴经济体与发达国家采取了截然相反的数据监管制度。各国在选择数据流动监管制度上受地缘政治、国家安全、隐私保护、产业发展水平等因素的影响,形成了数据自由流动与数据本地化两大基本监管制度。俄罗斯作为全球化进程中重要的经济体,基于数据主权的安全需求与立场,制定了数据本地化的监管措施,表现为跨境与境内限制性措施相结合,既要求跨国企业在俄开展业务或提供服务时须在俄境内建立数据中心,
182、也对数据存储和服务器地址提出本地化要求。3.10.2.俄罗斯联邦数据跨境保护及审查要点分析(1)信息安全要点信息安全要点俄罗斯联邦法律对信息安全的要求主要有以下几点:1)未经本人同意,禁止收集和传播有关其生活的信息。2)所有信息技术都是平等的不能强迫公司使用任何特定的技术来创建信息系统。3)对特定类型的信息传播不做限制,例如有关环境状态的信息。4)对特定类型的信息禁止传播,如宣扬暴力的信息。5)存储信息的人有责任保护信息安全。6)被禁网站的登记册。俄罗斯联邦通信、信息技术和大众传媒监督局()可以禁止在俄罗斯联邦境内传播非法信息的网站。7)被封禁网站的所有者可以通过删除非法信息并将其报告给俄罗斯
183、联邦通信、信息技术和大众传媒监督局()解禁网站。(2)个人数据保护要点个人数据保护要点个人数据保护法是俄罗斯联邦关于“个人数据”保护的主要法律。该法律规范了个人数据的处理活动,对个人数据的保护主要有以下几点:1)在收集和处理个人数据之前,需征得个人的同意;482)为了保护个人数据,仅可基于特定目的收集个人数据;3)有义务保障收集的个人数据的安全;4)个人数据的主体要求删除其个人数据的,需按要求删除其个人数据;5)在俄罗斯处理个人数据,需在俄罗斯联邦境内的数据库中存储和处理这些数据。(3)公司数据保护要点公司数据保护要点1)公司可以决定某一数据是否是商业秘密并形成公司商业秘密的数据清单。2)特定
184、类型的数据不能归类为商业秘密,例如,有关公司创始人或员工人数的数据。3)俄罗斯联邦基于充分的理由可以要求公司提供商业秘密,例如,对公司涉嫌违法的情况进行调查。4)公司有义务保护其商业秘密,并保留有权访问此数据的人员的记录。5)公司员工泄露商业秘密,可能会被解雇、罚款或起诉。(4)数据跨境监管要点数据跨境监管要点1)数据共享或转让如果个人数据不是从数据主体处直接取得,接收人(处理人)应在开始处理个人数据前向个人数据主体履行告知义务,但以下情况除外:处理人已对数据主体进行告知;个人数据是由处理人履行法定义务或数据主体作为一方当事人的合同而取得;该等个人数据是由该数据主体自行公开或由处理人从公开来源
185、取得的;为统计或其他研究目的、或处理是由新闻记者或大众传媒作为其专业活动的一部分或为科学、文学或其他创造性活动的目的而进行的,但处理行为会损害数据主体的权利和自由的除外;若向其告知会侵犯第三者的权利和合法权益。2)数据跨境转移:提供同等保护在将个人数据转移出俄罗斯之前,处理人必须确保接收国对个人数据提供足够的保护。比如接收人所在国加入并批准了 个人数据自动化处理中的保护公约。2013 年,俄罗斯列出了被官方认可为“确保充分保护”的国家名单。除了公约成员国外,截至目前还有 26 个国家被认可为“确保充分保护”的国家名单。如果处理人向无法提供同等保护的境外主体转移个人数据,必须满足以下条件之一:取
186、得数据主体的书面同意;俄罗斯联邦参加的国际条约中关于签证事宜另有规定的,以及国际条约中涉及提供民事、家庭和刑事案件司法协助事宜另有规定的;基于保护俄罗斯联邦宪法制度、保障国家安全目的所需;履行数据主体作为一方当事人的合同要求;在不能取得个人数据主体的书面形式同意时为保护个人数据主体或者他人的生命、健康、其他重大生存利益。493.10.3.中俄数据保护及数据跨境合规对比在个人数据层面,俄罗斯注重保护个人数据权利。在保障个人数据权利的同时,注重保障个人数据不被窃取、破坏和滥用,以及确保整体数据系统的安全可靠运行。由于个人数据隐私的属性很难界定,俄罗斯所采取的措施与美国等国家有所不同,俄罗斯在加强对
187、科技公司使用本国用户数据的监管与限制使用搜索引擎的同时,正研究制定向数字企业征收数字税的规范。在跨境数据流通层面,俄罗斯实行严格的管控制度,对不同国家的数据主体实行差异化的法律监管。例如,对于美国等主动型数据流动国家,俄罗斯以俄罗斯联邦主权互联网法案为基础,在全球首次立法,实施“主动断网”,以识别网络主权威胁;在保护数据主权的同时,孤岛维权式地反对网络霸权成为保护性特征的重要表现形式。面对新兴经济体保守型数据流动国家,俄罗斯采取较为柔和的监管态度,在实施数据本地化存储的同时,兼顾数据流动的对等性。俄罗斯联邦信息数据安全保护的监管特点最明显的就是数据存留本地化,数据存留本地化是专门限制数据跨境传
188、输的措施,包括禁止信息出境、跨境传输信息必须征得数据主体的同意、要求在境内留存信息副本、对数据输出征税等形式。“棱镜事件”后,俄罗斯加快了数据流动法律的修改,旨在全面限制数据流动,加强数据流动监管,从法律层面确立了数据处理本地化的基本规则。总体来看,俄罗斯的立法规定十分严格,通过对企业施加法定义务,实现了政府对数据处理、存储和跨境传输等环节的全面控制,牢牢掌握了本国数据跨境流动的主动权。我国个保法正式确立了我国个人信息跨境流动的规则体系,规定个人信息以在境内存储为原则,并确定了需要在满足法律规定的条件下可以向境外提供个人信息的规则。我国的数据治理模式和方法仍在逐步探索和完善中,鉴于我国数字经济
189、蓬勃发展、数据要素丰裕,在借鉴他国经验的同时,更要积极寻求符合国内数据要素保护方式和跨境数据流通的规则,逐步探索出一条符合中国特色的数据治理之路。3.11.欧盟3.11.1.棱镜事件推动的数据跨境流动立法密集时代2013 年美国棱镜事件加速了欧盟对数字经济时代数据跨境流动规则的重新审视,欧盟认为与美 国签署并生效于 2000 年的安全港协议已无法充分发挥在双方数据跨境流动机制中保证欧洲公民 数据隐私的效用,于 2015 年由欧盟法院裁定该协议无效并撤销;随后,欧洲委员会在 2016 年初与美国达成新协议50“欧盟一美国隐私护盾”(EU-US Privacy Shield,以下简称“隐私盾协议”
190、)。2016年,欧盟议会通过了 2016/679 号条例通用数据保护条例(GDPR),建立了基于充分性认定的白名单制度、约束性公司规则、标准合同条款和行为准则四项数据跨境流动体系。2020 年 7 月 16 日,欧盟法院对施雷姆斯案数据保护专员诉 Facebook 爱尔兰和 Maximillian Schrems 案,C-311/18,“Schrems II”)作出裁决,认定欧美数据跨境传输机制的隐私盾协议无效。2021 年 6 月 4 日,欧盟委员会公布了将个人数据从欧盟传输到第三国的新标准合同条款并于 2021 年 6 月 27日生效。同时,欧洲数据保护委员会于 2021 年 6 月 18
191、 日更新了关于为确保遵守欧盟个人数据保护水平而采用的对数据跨境传输工具补充措施的建议。欧盟委员会和美国于 2022 年 3 月 25 日宣布,双方原则上已就新的跨大西洋数据隐私框架达成一致,该框架将促进跨大西洋数据流动,并解决欧盟法院在 2020 年 7月 Schrems II 裁决中提出的问题。美国总统拜登于 2022 年 10 月 7 日签署一项行政命令,指示美国将采取措施,履行跨大西洋数据隐私框架下的美国承诺。2023年 7 月 10 日,欧盟委员会通过了欧盟-美国数据隐私框架(EU-US Data PrivacyFramework,DPF)的充分性决定。DPF 规定了将个人数据从欧盟的
192、控制者或处理者转移到第三国和国际组织的规则,包括明确了欧盟的数据控制者及处理者可以在无需获得任何进一步授权的情况下将个人数据转移到经认证的美国主体。(详见附件 8.1)3.11.2.欧盟数据保护及数据跨境的要点简析欧盟 GDPR 将个人数据作为基本人权进行保护,其规定覆盖了包括公私部门在内的各行各业的个人信息处理行为,且处罚额度可高达 2000 万欧元或年收入 4%。GDPR 及其对违反 GDPR 行为的严厉执法力度,在全球范围内带来了深远的影响(详见附件 8.3),以下主要结合 GDPR 进行分析。(1)独立数据保护机构独立数据保护机构 EDPBGDPR 正式生效的同时,欧盟数据保护委员会(
193、EDPB)也正式成立,总部位于布鲁塞尔,是欧盟的独立数据保护机构,负责发布关于 GDPR 核心概念解释的指南,并通过对有关跨境处理活动的争议做出具有约束力的决定来做出裁决,确保在整个欧盟范围内统一应用数据保护规则,并促进欧盟数据保护机构之间的合作,以应对欧盟众多成员国在不同主权下的政策制定、理解、执行一致性难题。EDPB 由欧盟各成员国数据保护机构(国家监督机构)的代表和欧洲数据保护监管机构(EDPS)组成,EDPS 作为 EDPB 秘书处为其提供分析、行政与后勤等支持。(2)与欧盟同等保护水平下才被允许的个人数据跨境传输与欧盟同等保护水平下才被允许的个人数据跨境传输51欧盟将个人数据保护视为
194、一项基本权利,一直坚持高标准保护个人数据。在消除境内数据自由流动壁垒、建立统一数据保护标准的同时,欧盟要求其他国家只有在提供与欧盟同等水平保护的情况下,才允许个人数据跨境向其进行传输。允许数据跨境的具体措施和要求包括:基于充分性认定的白名单制度基于充分性认定的白名单制度。欧盟委员会对欧盟以外国家或地区数据保护的充分性进行评估,将与欧盟保护水平相当的国家或地区列入“白名单”,允许欧盟个人数据向上述国家或地区传输。欧盟委员会对获得认定的国家和地区至少每四年进行一次评估,以确保其满足同等保护水平要求。约束性公司规则约束性公司规则(Binding Corporate Rules,BCR)适用于在欧盟设
195、立总部或分支机构的跨国公司,由跨国公司自行拟定内部机构之间数据传输和保护的规则,经欧盟成员国数据监管机构审核批准后生效。运行多年来,共有 100 多家跨国公司申请并获得通过。BCR 解决了跨国公司内部机构之间频繁传输数据的隐私保护问题,但同时也存在适用范围有限、实施成本高等弊端。标准合同条款标准合同条款(Standard Contractual Clause,SCC)是数据传输双方采用欧盟标准合同条款,通过将 GDPR 规定的义务转化为合同义务和责任,确保对数据主体权利的保护。2021 年 6 月欧盟委员会公布了两套标准合同文本,取代了之前的三个标准合同文本:一是将个人数据从欧盟转移到第三国的
196、新标准合同文本;二是适用于欧盟境内的控制者与处理者之间的标准合同文本。SCC 为数据跨境流动提供了一个相对宽松且安全的解决方案,有助于促进数据跨境流动规则的融合与统一。行为准则行为准则(Codes of Conduct,CoC)是 GDPR 新引入的机制。当欧盟以外国家未获得充分性认定时,该国的数据控制者或处理者可作出具有约束力和可强制执行的承诺,承诺遵守经批准的行为准则,则欧盟数据可向其传输。目前欧盟委员会还未批准任何 CoC。如果欧盟以外国家未达到欧盟数据保护水平,且仍未提供适当的保障措施时,GDPR 规定数据跨境的法定例外情形,包括:数据主体同意、履行合同义务、保护重要公共利益、保护数据
197、主体及他人的重大利益、行使或抗辩法定请求权、公共注册登记机构数据传输等情形。3.11.3.中国对 GDPR 的借鉴与发展截止目前,欧盟委员会认定的充分数据保护的国家包括:安道尔、阿根廷、52加拿大(商业组织)、法罗群岛、根西岛、以色列、马恩岛、日本、泽西岛、新西兰、韩国、瑞士和乌拉圭、英国、美国(参与 DPF 的商业组织)。另外,2022年 10 月 10 日,EDPB 公布了对 Europrivacy 认证标准的批准意见,使得该认证标准成为欧盟通用标准,经评估后符合这一标准的认证对象,证书中可以获颁欧盟数据保护印章(European Data Protection Seal)。Europri
198、vacy 认证成为目前所有欧盟成员国唯一正式认可的 GDPR 认证机制。有看法认为,GDPR 在相当程度上扮演了贸易壁垒角色,提高了他国互联网企业进入欧洲市场的成本。同时,欧盟试图通过对外输出占据道德高地的欧盟标准,以获取与美国等数字经济领先国家在全球数字贸易谈判中的优势,扭转自身在全球数字竞争中的不利局势。在通用数据保护条例施行一周年之际,美国信息技术和创新基金会下属的数据创新中心发布的 GDPR 实施一年以来的影响报告指出,通用数据保护条例并未产生欧盟立法者预期的积极效果,反而存在对欧盟经济的消极影响。其在增加企业数据合规成本、损害科技公司创新和竞争力的同时,也增加了消费者获取在线服务的成
199、本和不信任感。中国倡导全球数据安全,鼓励在保护个人信息权益,维护国家安全和社会公共利益的条件下,促进数据跨境安全、自由流动。对数据接受国或地区也采取同等保护水平的要求。欧盟 GDPR 的个人信息保护规定为中国制定个人信息保护法数据安全法提供了借鉴意义,同时,中国的个人信息保护法数据安全法和网络安全法也设置了知情同意制度、原则上本地化、黑名单制度和反歧视措施,在全球数字经济发展的大背景下更全面地规范了数据处理活动和数据跨境流动,以促进个人信息的自由安全的流动与合理有效的利用,推动数字经济的健康发展。2023 年 2 月 3 日,中国个人信息出境标准合同办法由国家互联网信息办公室 2023 年第
200、2 次室务会议审议通过并公布,自 2023 年 6 月 1 日起施行。个人信息出境标准合同办法对欧盟将个人数据从欧盟传输到第三国的新标准合同条款在一定程度上进行了借鉴,并结合中国个人信息保护与监管的特色有所创新,是中国跨境数据流通制度的又一里程碑。中国的个人信息出境标准合同办法对个人信息设置了更高级别的保护,要求境内提供方在标准合同生效之日起 10 个工作日内向所在地省级网信部门备案,提交标准合同(包含个案具体的保护措施及出境情况说明)和个人信息保护影响评估报告。欧盟虽然在 Schrems II案后对标准合同条款提出了更高要求,即境内提供方须证明个人数据出境后在实质上可以达到欧盟同等保护水平,
201、而非形式签署标准合同即可,但并没有要求对标准合同进行备案。然而,和欧盟历史悠久且在 GDPR 实施后通过大量实践案例而不断丰富发展53的制度相比,中国个人信息出境标准合同办法仍存在需要完善的方面。比如,GDPR 中标准合同条款对于特定服务商来说并不是唯一的选择,还有公司准则、行为准则的承诺、第三方认证机制的承诺。但是根据中国个人信息出境评估办法,标准合同并不具有可选择性和任意性。其次,欧盟将个人数据从欧盟传输到第三国的新标准合同条款区分了四种可能的传输场景,包括控制器到控制器、控制器到处理器、处理器到控制器和处理器到处理器,分别规定相关义务。中国个人信息出境标准合同办法则并没有区分接收者的角色
202、,仅规定从中国实体转移到“海外接收者”,更加强调各方数据处理者的责任义务,同等严格的要求。3.12.美国3.12.1.美国个人信息及数据法律环境分析(1)由联邦立法、州立法及行业自律组成的由联邦立法、州立法及行业自律组成的“拼凑拼凑”特色特色在美国立法体系中,数据保护框架包括数据隐私和数据安全,前者涉及个人信息的收集、使用和传播,后者涉及未经授权访问和使用个人信息。美国数据保护立法体系由联邦级立法、州级立法、行业自律准则三部分构成。美国尚未形成统一的联邦数据保护立法,但许多联邦、州的法律中均涉及隐私保护的相关法律条文。从联邦立法来看,美国数据保护法采取分行业式分散立法模式,集中于特定领域和特定
203、对象。美国在特定政府部门、电信及网络、金融、健康、教育及儿童在线隐私等领域均有专门的数据保护立法,例如,限制州政府的机动车辆部门的1994年驾驶员隐私保护法(DriversPrivacyProtectionActof1994,DPPA)、电信及网络领域的视频隐私保护法案(VideoPrivacy ProtectionAct,VPPA)及1984 年有线通信政策法(Cable Communications Policy Act of 1984)等。同时,2023 年3 月,拜登-哈里斯政府发布了国家网络安全战略(NationalCybersecurityStrategy)。从州立法来看,各州均在
204、积极进行数据保护领域立法。其中,2018 年 6 月28 日,加州州长批准通过 加州消费者隐私法案(California Consumer PrivacyAct,CCPA),创设了美国历史上最为严格且全面的数据隐私保护制度,该法案于2020 年 1 月 1 日正式生效。2020 年 11 月 3 日,加州选民投票通过第 24 号提案加州隐私权法案(California Privacy Rights Act,CPRA)该法案实质性修订了此前里程碑式的 CCPA,因此CPRA 亦被称为CCPA 2.0,已于 2023 年 1 月 1日全面生效。美国加州的CCPA/CPRA 与欧盟的通用数据保护条例
205、(GeneralData Protection Regulation,GDPR)也一并成为了当前全球最突出的数据保护立54法,事实上的数据保护全球标准。从行业自律准则来看,美国数字隐私行业自律准则的兴起与 20 世纪末美国政府提倡行业自我监管的政策息息相关。相对于政府管制,行业自我监管更具效率性和灵活性。在自我监管的理念下,通过“告知和选择”程序落实消费者信息保护,企业将隐私政策纳入服务合同供用户选择,除法律明确禁止或限制外,企业可自由收集、处理和分享从客户处获取的信息。不同于欧盟严格保护个人隐私的立法态度,美国对于数据保护的立法态度更多侧重于数据流通所带来的经济价值,以期通过促进数据跨境维护
206、自身已建立的信息优势。(2)由由 FTC、CFPB、FCC、HHS 等组成的联邦数据保护执法机构等组成的联邦数据保护执法机构目前,美国有多个联邦机构负责数据保护执法工作,包括联邦贸易委员会(Federal Trade Commission,FTC)、消费者金融保护局(Consumer FinancialProtection Bureau,CFPB)、美国货币监理署(Offce of the Comptroller of theCurrency,OCC)、证券交易委员会(Securities and Exchange Commission,SEC)、联邦通信委员会(Federal Communi
207、cations Commission,FCC)、卫生与公众服务部(Department of Health and Human Services,HHS)和商务部等。在诸多联邦机构中,FTC 在制定美国隐私标准方面发挥了突出作用,通常被视为领导性的数据保护执法机构,有权对“不公平和欺骗性贸易行为”执法,同时亦有权对儿童在线隐私和商业电子邮件营销等问题执法。近年来,FCC 亦发挥了突出的执法作用。FTC 和 FCC 外的其他机构则是根据具体的法规或条例,负责相关的隐私执法工作,例如,卫生与公众服务部(HHS)的民权办公室根据健康保险可携性和责任法案(HIPAA)负责医疗隐私的执法;美联储和货币监
208、理署根据格雷姆一里奇一比利雷法(GLBA)负责金融隐私的执法。3.12.2.美国数据保护及数据跨境的要点解析(1)以以 CCPA 和和 CPRA 为代表的为代表的“美国标准美国标准”如前所述,美国无统一的联邦数据保护立法,因此我们选取了美国在全球最具影响力的数据隐私立法,即最具代表性的“美国标准”CCPA 和 CPRA,并结合我国个保法的相关规定,对美国 CCPA 和 CPRA 数据保护的一般要求予以比对分析(详见附件 9.1)。除已生效的 CCPA 和 CPRA 外,值得注意的是,2022 年 6 月 3 日,美国众议院和参议院商务委员会主要成员联合发布美国数据隐私和保护法案(America
209、n Data Privacy and Protection Act,ADPPA)(详见附件 9.2)草案文本,55这是首份获得美国两党、两院支持的联邦综合性隐私保护法草案。ADPPA 草案的适用范围及被涵盖主体广泛,被涵盖主体包括受其他联邦法案约束的实体,其义务范围既反映州隐私法,也存在一些例外情况。ADPPA 草案成为法律仍有很长的路要走。如 ADPPA 草案正式通过,则美国将具备联邦层面的统一数据保护立法,并将广泛地取代此前聚焦于消费者的法律,例如,加州的 CCPA/CPRA,但ADPPA 草案将保留未受影响的CCPA/CPRA法规下针对安全违规行为的私人诉讼权。(2)允许境外数据流入、限
210、制境内数据流出允许境外数据流入、限制境内数据流出由于美国对于数据的态度是希望通过数据跨境活动维护自身的技术经济优势和所拥有的数据市场,发挥数据经济价值,占据全球领先地位。因此,在数据跨境方面,美国采取“允许境外数据流入、限制境内数据流出”的跨境数据流通政策体系。简而言之,美国对于数据跨境流动采取截然相反的两种态度强监管数据向外流动,而允许数据自由向内流动。最具代表性的“美国标准”CCPA 和 CPRA 均为州立法,故不涉及数据跨境传输。在数据跨境活动方面,美国直接相关的法案主要有:澄清海外合法使用数据法案(Clarifying Lawful Overseas Use of Data Act,C
211、LOUD Act)、出口管理条例(Export Administration Regulations,EAR)和2023 年保护美国人的数据免受外国监视法(Protecting Americans Data From Foreign SurveillanceAct of 2023,PADFFSA)。目前,CLOUD Act 和 EAR 均已生效,但 PADFFSA尚未生效。CLOUD Act 于 2018 年 3 月 23 日生效,最核心的内容是加强美国的长臂管辖,即,无论数据是否储存在美国境内,均允许美国联邦政府强制调取服务提供者的数据,否定以数据存储位置认定数据主权的判断标准,确立以服务提
212、供者的控制权认定数据主权的新体系,扩大美国执法机关调取海外数 据的权力。这意味着,任何在美国设有办事处或子公司的外国公司均须受 CLOUD Act 的约束。同时,其他国家若要调取存储在美国的数据,则必须通过美国“适格外国政府”的审查,需满足美国设定的人权、法治、数据自由流动标准。美国对于个人信息类型的数据跨境传输持开放态度,但对于其他重要数据则采取相应的限制,严格限制关键技术与特定领域的数据出口。EAR 严格限制部分关键技术与特定领域的数据出口,受管制的技术数据传输到位于美国境外的服务器保存或处理,需取得美国商务部产业与安全局(BIS)的出口许可。美国总统 2010 年签署的 13556 号行
213、政令界定的“重要数据”范围,包括农业、受控技术信息、关键基础设施、应急管理、出口控制、金融、地理产品信息、信息系统漏洞信息、情报、国际协议、执法、核、隐私、采购与收购、专有商业信息、安全56法案信息、统计、税收等 17 个门类。PADFFSA 则针对敏感个人数据的跨境传输制定了严格的规则。虽尚未生效,但仍须引起中国企业注意。根据 PADFFSA,由美国商务部长联合其他联邦机构负责对数据进行分类,确定哪些数据类型可能会被外国势力利用,以及传输的数据的数量级高于特定的阈值从而损害美国的利益。对于适用范围内的数据将受到EAR 项下的相应管制。3.12.3.美国与中国数据保护法律之对比(1)中美中美跨
214、境数据流通跨境数据流通存在政策限制存在政策限制在两国的立法中,对于数据跨境流动都有所限制。以美国数据隐私和保护法案(以下简称“法案”)为例,该法案明确要求,数据处理企业应向消费者说明,其所收集、处理、传输的数据是否会提供或者以其他方式提供给包括中国、俄罗斯、伊朗、朝鲜在内的国家。中国的个人信息保护法要求,个人信息处理者需要向境外提供个人信息的,需要进行个人信息保护影响评估,取得当事人的单独同意,具备法定条件,并确保境外接收方的处理活动符合规定。(2)以中国个保法为例对比美国数据保护立法以中国个保法为例对比美国数据保护立法美国标准 CCPA 和 CPRA 是消费者保护领域的州立法,中国的个保法是
215、统一的综合性数据保护法,存在诸多不同之处,例如:(1)中国个保法相较于美国 CCPA/CPRA,适用的地域范围、受保护的主体范围、受规制的实体类型、适用的数据活动等均更为广泛;(2)中国 个保法 与美 国 CCPA/CPRA,在定义个人信息、敏感个人信息及分类、合法性基础范围、同意机制等规定中均存在差异(详见附件 9.1)。虽然美国尚无联邦层面的数据保护立法,但是,针对美国议院拟议的美国数据隐私保护法进展以及可能对我国企业境外合规工作的影响,我们亦加以整理(详见附件 9.2)。(3)中美数据保护立法取向不同中美数据保护立法取向不同美国与中国数据保护法律规定的不同亦体现两国对于数据保护的不同立法
216、态度,例如,中国的个人信息保护立法趋于欧盟的 GDPR 与美国之间,在重视保护个人信息的前提寻求与数据经济发展的平衡,美国则致力于加强美国在数字经济中的领先优势。例如,就个人对数据处理的“同意”而言,中国采取须取得信息主体同意(opt-in)的模式,要求个人数据处理活动应具有合法基础,而美国CCPA/CPRA 选择退出模式(opt-out)为主要机制,仅要求特定的数据处理活动取得个人同意,其他情况下则可以不经个人事先同意而处理数据,但个人可以选择退出。573.13.尊重区域差异,做好数据跨境合规限于篇幅,我们无法全面的分析各国在数据保护及数据跨境的具体规定,只能粗浅的向各位读者展示部分国家和地
217、区的法律要点,作为一个引子,以期让各位读者了解到不同国家和地区在数据保护及数据跨境法律环境方面是存在很大差异,即使是最基础的处理个人信息前的告知同意,不同国家和地区的规定不尽相同。我们不能闭门造车,需要了解和吸收各国和地区优秀的经验。正因不同国家和地区关于数据保护和数据跨境的理念、规范乃至数据的基本定义有很大差异,相关主体在涉及到数据跨境业务时,需要尊重不同国家和地区的差异,除了使自己的业务符合本国和地区的法律法规外,还需符合境外接收方所在国家和地区对数据保护的要求。58第四章 跨境数据流通技术解决与合规方案数字经济的发展源自与技术的进步,跨境数据流通既是法律问题,也是技术问题。如何使数据依法
218、有序安全跨境流通,不仅需要法律在数据跨境合规中发挥积极作用,还需要新技术在新场景应用上找解决方案。4.1.跨境消费:某知名大型港资消费品企业数据跨境方案某公司,作为一家知名大型港资消费品企业,在境内与境外均有业务布局,境内境外会员相关业务相对独立。鉴于两地社会联系紧密且顾客群体中相当一部分存在交叉,为了服务好这一部分群体以及将来可能发生的跨地区经营活动。公司需要建立数据跨境通道,以实现两地会员业务数据互通并激发会员消费潜力。4.1.1.案例背景该公司在境内境外两地均维护着CRM 系统,并建立了两套独立的会员体系。在这两地,会员的消费积分、会员等级、会员信息等均未进行同步。随着两地游客往来频繁,
219、线下门店接待的境外客户数量逐渐增多。然而,许多顾客对于两地会员体系不互通的问题产生困惑。(1)业务挑战业务挑战由于同一品牌下不同地区的会员体系不同,会员在一个地区的消费积分、会员权益在另一地区无法查看和使用。而且,由于会员权益带来的附加值较高,无法享受会员应有的会员权益会引起客户不满情绪。线下门店的店员不能便捷地查询顾客的会员账户信息,这限制了他们及时识别客户类型并提供定制化服务。若客户若在两地接受不同水平的服务,可能会产生心理落差,影响其消费意愿。后端业务分析人员由于缺少此部分交叉客户群体的消费数据,难以分析和预测消费热点和消费人群等关键业务指标,这限制了业务活力,并为供应链、生产、销售等环
220、节增加了不确定性。(2)应用场景与需求应用场景与需求在用户层面上,改方案能满足客户在两地同步累计消费积分享受会员权益的需求;在业务层面上:前线员工应能够及时得知客户的会员账号信息,以便提供定制化服务。同时,后台业务分析人员将能获取更多关于交叉用户地消费数据,从而促使经营分析更加全面可靠,支撑业务发展。594.1.2.技术方案考虑到问题紧迫性、技术建设的时间周期、业务改造的难度、合规要求等,本跨境解决方案流程示意图如 4.1-1 所示,具体分为如下两个步骤:(1)短期补救方案实施:通过简单而高效的方法解决两地会员体系信息不互通的问题。将在原境内会员平台中增加一个新的功能区域,会员可以进入此区域来
221、开通和绑定境外会员帐户,并同步其基础信息至境外会员系统地数据库。一旦会员完成绑定和同步操作,境外线下门店地店员就能通过会员手机号识别出会员在境内的消费情况,识别是否高价值客户,或者是新客户。并为客户提供定制化的服务。(2)长期完善方案规划:通过系统搭建和业务同步等措施,目标是使境内外的会员体系最终融合为一个高度统一的整体。在未来的计划中,更多的境内会员账户信息将被传输至境外的会员系统数据库,会员在境内消费与境外消费的积分按照一定比例统一积累至唯一会员账户。同时在线下门店终端,可以根据会员手机号或会员码,识别出完整的会员在境内与境外的消费情况,以及其他相关会员信息。用于判断会员的消费习惯、兴趣,
222、同时便利业务部门分析产品销售情况,优化业务布局与决策。图 1 跨境流程示意图4.1.3.方案创新点和亮点为缓和数据字段最小必要性所存在的矛盾,并在合规的红线内开展高效的数据跨境活动。在跨境方案设计之初,合规团队已与业务团队、数据分析团队展开深度沟通与合作,探索数据传输最小必要可能性。60第一期数据跨境方案当中仅传输七项个人信息字段,其中两项是由消费者在注册会员账号时自行提供、与其个人强相关的个人信息字段,其余五项是会员在该品牌消费后产生的消费记录相关字段。考虑到不同字段的敏感程度以及在业务当中的重要性。对于消费者个人强相关字段,在跨境传输前进行了脱敏处理。而基于消费后产生的数据字段也剔除了个人
223、属性而使用会员编号替代。4.1.4.应用效果采用此种方案成效是在最大程度上不影响业务正常开展的前提下,保证境外前线门店工作人员无法定位至具体的消费者,但可以了解会员的大致消费习惯以及会员等级,工作人员可以基于前述信息为消费者提供定制化的服务。后端数据分析人员开展分析工作同样基于无法定位至具体消费者的字段,同时也可以得出完整的数据分析结果,以支持业务决策。4.2.跨境金融:香港银行跨境电子签署为了实现大陆居民、香港居民在线开立香港地区商业银行账户,深圳 CA 在项目中对持不同身份证件的两地居民提供统一标准的身份核验服务、数字证书服务和电子签署服务。且本项目在大陆和香港两地电子签名互认的司法框架下
224、合法开展,深圳 CA 依据中华人民共和国电子签名法粤港电子签名互认策略等法律法规签发的数字证书签署的文件,在中国大陆和香港具有法律效力。4.2.1.案例背景内地与香港居民在银行开户的跨境开户的需求确实受到一些监管限制,通常需要他们在银行所在地区进行面审和签署协议,以确保开户人的合规性。这种做法不仅效率低下,而且给客户带来了不便。为了解决这一痛点,在粤港两地电子签名证书互认办法的框架下,深圳 CA 结合自身产品能力,提出一套在内地和香港均合规的银行跨境电子签署方案。4.2.2.技术方案(1)方案思路方案思路为满足银行的业务需求,深圳 CA 将项目中多个标准产品进行组合,并结合银行业务系统特点进行
225、定制化改造。主要涉及如下产品和服务:大陆居民、香港居民身份核验、跨境数字证书、嵌入客户方 APP 的身份核验 SDK、嵌入客户方web 端的电子签署页面、支持简体中文/繁体中文/英文的显示界面和短信服务等。61(2)方案实现流程方案实现流程深圳 CA 根据银行远程在线开户业务中对申请用户身份的认证需求,以及跨境电子认证服务的业务规范,以 PKI/PMI(PKI:公钥基础设施;PMI:授权管理基础设施)技术为基础,依托深圳 CA 作为第三方 CA 机构所提供的电子认证服务为核心,为银行建一个完整的电子认证服务平台。通过银行在线开户系统集成深圳 CA 的相关 SDK 控件和接口,在银行部署业务签署
226、平台并与深圳 CA 的身份认证服务平台、证书签发系统、证书管理系统实现无缝对接,为远程开户业务提供完善的身份鉴证、在线签署、粤港互认等服务。本项目总体架构如图 2所示:图 2 跨境电子签署服务平台总体架构图4.2.3.方案创新点和亮点本项目将大陆居民身份核验SDK及香港居民身份核验SDK同时集成在银行的 APP 上,大陆香港两地客户通过同一银行 APP 办理所需的银行业务,客户通过选择不同身份证进入不同核验流程。采用 H5 签署的方式,将深圳 CA 的电子签署集成到银行的网页端,产品体量轻,实施效率高,客户体验感好。4.2.4.应用效果通过此项目,推进了大陆客户在香港银行开设商业银行账户的进程
227、,为日后吸引更多大陆客户打下了基础。香港市场采用了香港居民身份核验平安方案,摆脱了该行只有一家供应商的局面。在电子签署方面,首次采用基于数字证书+密62码学的更安全的电子签署方案。在整个香港银行业,大陆居民线上开户仍处于一个早期发展的时期,客户借此项目,走在整个行业前面,为促进两地金融科技合作提供了范本。图 3 跨境电子签署服务平台网络传输路径图4.3.跨境芯片研发:M2&SKC 芯片数据跨境安全计算为了降低 HBM IP 流片失败的成本,国内芯片设计公司 M2 需要更专业的境外芯片设计公司 SKC 帮助其进行设计调优和制造测试。因此,两家公司需要使用对方的数据进行加密隐私计算,以获取最直接的
228、提高流片成功率的设计方案。由于项目涉及跨境数据流通,为了保证监管合规并尽量降低数据泄露风险,两家公司需要第三方中立 IT 服务商 UCloud 安全屋数据沙箱托管数据,并提供隐私计算、算力、存储、网络和安全服务。4.3.1.案例背景(1)业务挑战业务挑战首先,由于芯片设计制造行业算法成本及隐私加密难度高,全部为定制化流程,没有任何可参考经验。隐私计算部分涉及核心数据,且不能绕过 EDA 算法层。其次,由于合规及数据风险评估需求,漫长的 POC 测试过程导致前期推进63几度停滞,商务及技术侧的对接失位导致项目受限于商务谈判能力效率滞后;合同谈判过程亦受技术侧进度和国内外数据安全政策变化影响。最后
229、,跨境合规要求及隐私计算性需要能跟上用户交付时效性要求。(2)技术挑战技术挑战首先,由于存在数据泄露风险,芯片数据部分明文规定,需要用合同条款约束使用方行为。其次,由于数据的类型是非常规的,数据包量级基本 3T 以上,且由专业程序应用打开,相当于流通的加密数据包,EDA 算法嵌入对于安全检测有非常规要求,标准 MPC 产品难以实现。最后,隐私安全与可用性难平衡。作为巨量算力项目且有时效性要求,对于隐私计算部分的加密程度需要做出部分牺牲,且需要客户允许 MPC 介入核心算法层进行改造,对业务效率进行妥协,通过其他技术手段和流程限制来同步规避数据安全风险。4.3.2.技术方案UCloud 安全屋以
230、成熟产品为基础核心输出第三方数据流通服务能力及 MPC服务价值,在关键数据层完成价值保护及防窃取工作。UCloud 安全屋采用私有化集群部署,物理上是分布式部署,逻辑上是去中心化协作。此项目中,国内芯片设计公司 M2 作为甲方,国外芯片设计公司 SK2 作为乙方,第三方中立 IT 服务商优得 UCloud 作为丙方,提供隐私计算、算力、存储、网络和安全服务。第三方服务商与另外两方之间不存在业务竞争性,不存在关联控股竞争性,且在原始能力上能够帮助甲乙双方完成软硬件及实时过程的整体安全合规和组织管理。芯片数据跨境安全计算应用场景的整体框架图如图 4 所示。此项目中,国内芯片设计公司 M2 作为甲方
231、,国外芯片设计公司 SK2 作为乙方,第三方中立 IT 服务商优得 UCloud 作为丙方,提供隐私计算、算力、存储、网络和安全服务。第三方服务商与另外两方之间不存在业务竞争性,不存在关联控股竞争性,且在原始能力上能够帮助甲乙双方完成软硬件及实时过程的整体安全合规和组织管理。芯片数据跨境安全计算应用场景的整体框架图如 5 所示。64图 4 整体架构图图 5 UCloud 安全屋业务流程图4.3.3.方案创新亮点在技术升级上,超长前置调试 MPC 嵌入芯片 EDA 编译,直接对原算法进拆分编译,使数据加密本身对业务影响降到最低,使用方无感应用。在技术创新上,对原有算法进行最小程度拆分,层 SMP
232、C 隐私计算,叠加层数据沙箱,将隐私加密计算与数据安全流通拆分进,并尽量降低性能损耗,保证业务流畅及项成果交付时效性。654.3.4.应用成效甲方收益及目前成果有,按业务约定,甲方仅获得最终 PDK 文件,用于其项目的最终流片量产对接,过程文件及数据归乙方所有,不可被取出。项目截止时,甲方可获取应用于实际生产的 PDK 文件。甲方商业侧对于目前的成果进展表示满意,从时间效率进度及流片成本层面上极大的降低了无效损耗,提高芯片设计验证能力。乙方收益有,SKC 侧的专家人力价值输出及知识产权被保护,在这个合作模式下可稳定长期收取费用,并且降低了差旅成本及人员投入数量。与此同时,在双方合作的中间过程中
233、完整保留数据及工程经验,帮助其持续保持行业领先的工程经验值。4.4.跨境数据:中国首单场内跨境数据交易2022 年 11 月 15 日,深圳数据交易所(以下简称:深数所),与数库(上海)科技有限公司(以下简称:数库科技)实现了国内首单场内跨境数据交易,为探索跨境数据流通交易迈出了坚实的第一步,也为推进跨境数据交易制度和规则衔接提供了实践经验。这不仅意味着数库科技的整体实力再次受到权威认可,更标志着数据跨境时代的正式起航。同时,该笔交易也经过了第三方律所合规评估及深数所的交易风险评估及见证。4.4.1.案例背景2022 年 2 月 12 日,深圳市探索开展数据交易工作方案正式通过深圳市委全面深化
234、改革委员会第二十四次会议。其中提及,到 2022 年底初步形成新型数据交易体系框架,到“十四五”期末初步形成全球数据交易市场枢纽,打造 5家左右知名跨境数据商,培育 100 家以上具有技术优势及特色应用的中小型数据商。深数所自成立以来,广泛对接央地各级部门以及跨行业多种类市场主体,开展调研与业务对接,积极探索跨境数据交易,已经与香港生产力促进局签订“跨境数据流通试点合作框架协议”,正在推进首批跨境数据交易,场景覆盖金融、电商、互联网、医疗行业。4.4.2.整体方案(1)数据产品介绍数据产品介绍此次数库科技与知名境外头部对冲基金交易的标的为“数库 SmarTag 新闻分析数据”。该数据产品属于原
235、创数据集,是深数所重点推进首批跨境数据交易之66一,通过公司在自然语言处理领域的旗舰级新闻标签解析引擎 SmarTag 生产。SmarTag 主要通过自主研发的 NLP 算法将市场中的高频非结构化新闻资讯转化为机器可读的结构化元数据。这一产品主要通过自然语言处理算法对国内主流网站的财经及行业新闻资讯进行提取加工,形成标签化数据,在剔除个人信息、新闻标题及新闻内容后,向境外客户提供。在技术层面,SmarTag 以多种深度学习和机器学习技术为基础,将对新闻的分析转化为多种自然语言处理任务的组合。由于各任务存在一定的重合,分析过程采用有向无环图的形式调度各项算法。产品架构图如图 6 所示。图 6 数
236、库 SmarTag 新闻分析数据产品架构图(2)数据数据出境目的与方式出境目的与方式境及境外数据接收方的数据处理在金融行业投融资领域的应用,包括为资产管理机构的量化分析、优化二级市场的策略决策提供支持等。交易数据以数据表及宇段说明的形式,上传至 SFTP 服务器,供境外接收方访问、下载及存储。相关协议中约定了数据接收方的处理方式,并且均对数据接收方的转售或对外提供限制、数据安全保护及责任承担进行了约定。(3)数据出境涉流程数据出境涉流程数库科技数据交付过程包含数据文件生产、数据文件授权、数据文件推送、67数据文件入库的环节。如图 7 所示:图 7 跨境数据交易流程图在数据存储安全方面,数库科技
237、数据库系统使用主备模式,从库用来进行数据的备份。另外,数库科技对数据库数据进行日度备份并使用多台机器存储。对于本地的数据 NAS 服务器,硬件磁盘通过定义 raid 的不同级别来增加磁盘可靠性。此外,还通过为对象存储提供 SSE-KMS 默认加密、为数据库使用 AES-256进行数据加密来保障数据存储的安全性。在数据传输安全方面,针对数据传输过程可能面临的被中断、截获、篡改、伪造等风险,数库科技采取以下措施控制风险:1)采用负载均衡技术,通过服务冗余的方式,将相同的应用部署到多台机器上,解决访问统一入口问题,实现流量分发。这样,即使面对大量用户访问、高并发请求或非法请求/攻击时,也能保障数据传
238、输服务的可用性。2)采取防火墙技术有效隔绝外网非法入侵内网的风险,同时使 IP 白名单策略进行身份验证,有效拒绝非授权的访问请求。3)通过 SSL、HTTPS 和 SSH 等网络加密协议,保障数据传输通道的保密性,避免数据被截获。4)通过基于 SHA256 的 Hash 校验算法,保障数据传输的完整性。5)使用基于 RSA2048 的非对称加密算法,及私钥加签、公钥验签的数宇签名68方式,保障数据传输不被篡改、伪造。(4)数据出境法律法规要求数据出境法律法规要求数库科技委托广东北源律师事务所开展合规评估,广东北源律师事务所针对交易主体、交易标的、交易流程三大维度进行客观独立地评估并出具法律意见
239、书。同时,深数所对该交易的交易主体基本情况、交易数据情况、交易合同及风险评估情况等多项事宜进行审查并留存了相关记录。基于相关材料,深数所尚未识别到交易数据涉及个人信息及重要数据的情况,考虑到数据本身为公开数据,且经过标签化及剔除个人信息、新闻标题及新闻内容的处理,深数所认为数库科技主动防范了数据跨境交易的安全风险,该交易基本符合法律法规的要求。4.4.3.数据产品创新点和亮点SmarTag 的最大特点在于其标准化的数据体系。算法所提取的公司、行业、产品、地区等标签都与数库科技知识图谱体系中的公司图谱、产业图谱等图谱中的节点对应,并且带有唯一性的标识 ID。因此,在提取标签的同时,实体链接的问题
240、得以解决,标签得以对应到知识图谱上的具体实体,并且在下游应用中可通过知识图谱进行进一步的图计算。SmarTag 以自然语言处理技术为基础,通过对金融资讯的解析、提取和标准化,形成了一套完整的资讯分析算法和系统。这能够实现对金融资讯的清洗和去重,得以从资讯中提取出公司、行业、产品、概念、事件、地区等多种标准化标签,分析资讯及资讯中具体主体的正负面舆情,并将标签等结果注入数库的数据体系,形成规范化、标准化的知识图谱,从而实现了对海量资讯的实时分析,为各种金融应用和计算提供了数据支撑。4.4.4.应用成效(1)量化投资应用量化投资应用数库科技的 SmarTag 可对新闻文本的结构化解析,从而实现对全
241、篇新闻及新闻中的主体情绪解析。并且,通过各维度的标签及情绪分析数据的结合,可对各公司主体的情绪进行定量研究。同时,也可以构建 A 股全市场的新闻情绪,例如,A 股个股情绪因子、A 股行业情绪指数和 A 股市场情绪指数等,为相关量化人士提供更多 Alpha 挖掘机会。(2)荣誉奖项荣誉奖项数库科技的“智能文档资讯分析技术服务”荣获上海市高新技术成果转化项目。在首届应用算法实践典范 BPAA 中,数科科技“智能文档与资讯分析技术”荣获“金融算法赛道全球 10 强”。694.5.数字贸易:基于数字贸易资产的融资解决方案融资是中小企业的发展过程中长期面临的难题,联易融(Linklogis)基于自身在供
242、应链科技方面的领先优势,与国际清算银行创新中心启动数字贸易资产(Digital Trade Asset,DTA)项目,共同探索数字技术在金融领域的应用,推动科技赋能和产品创新,为拓宽中小微型企业融资渠道提供有力支持。该项目提供了一个原型平台,核心买家及供应链上游供应商可利用数字贸易资产实现附条件支付。中小型企业可在未满足既定条件之前利用 DTA 向机构投资者寻求融资。4.5.1.案例背景(1)行业现状行业现状在迅速发展的全球供应链格局中,中小微企业在经济增长和技术创新中发挥着至关重要的作用,为全球经济和社会发展提供了不可或缺的力量。世界银行的研究表明,中小企业占所有企业的 90%以上,贡献了全
243、球 50%以上的就业机会,也在全球供应链中发挥着重要作用。尽管中小企业发挥着如此重要的作用,但因为缺乏抵押品或在档的信用和运营记录而较难得到传统投资方的资金支持,面临着长期的融资难题。(2)业务挑战业务挑战在传统的供应链中,核心买家经常以赊账(Open Account,OA)的方式从一级供应商那里采购货物或服务,因为核心买家往往具有更强的议价能力。负责交付产品的一级供应商又根据 OA 或信用证(Letter of Credit,LC)条款将某些制造流程外包给二级供应商,或从二级供应商处购买零件或材料。这是供应链的基本运作模式。但由于于缺乏抵押品和/或已建立的信用和运营记录,且保理和发票等贸易融
244、资产品不能实时更新贸易信息,投资者给中小企业的贸易融资意愿大大降低。同时企业运营规模较小,这导致中小企业贸易资金周转困难,营运风险陡增。4.5.2.技术方案(1)解决方案思路解决方案思路基于传统的供应链结构,联易融构建了一个原型平台,核心买家及其供应链上的供应商可以在该平台上使用 DTA 进行交易可编程支付。在不同的贸易阶段,DTA 有不同的状态体现,分别为:未实现的(unrealised)、“确认的(confirmed)”、和“已实现的(realised)”。核心买家根据贸易合同将基于行为、数据和时间的DTA 状态转移的条件编码到智能合约上,当供应链上贸易流程的某一环节被确认,DTA 就根据
245、上述预设条件自动完成相应的状态转移。当 DTA 的附加条件均70已满足,下游供应商就可以向发行方兑换 DTA,获得等值的法定货币。通过区块链和智能合约等去中心化技术,充分保障供应链上各参与方之间贸易的正确执行与资产的安全转让。(2)平台功能架构平台功能架构假设必要的监管已经到位,DTA 可由平台上核心买家要求的商业银行发行。图 8 说明了 DTA 在供应链上贸易结算中的应用:图 8 传统供应链中 DTA 的应用流程图核心买家与一级供应商签订采购订单,然后从 DTA 发行方处获得 DTA,并使用(与合同金额等额的)DTA 向一级供应商进行有条件付款供应商。DTA可以由核心买家根据时间、行为和数据
246、为条件进行编程预设,预设条件举例如下:1)基于时间的条件:仅在特定日期向 DTA 接收者付款。2)基于行动的条件:只有当核心买家表示接受付款时,才会向 DTA 的接收者付款。3)基于数据的条件:仅当某个贸易平台或承运商已发出电子提单时,才会向 DTA 的接收者付款,或者当供应商达到一定的 ESG 级别时,才会向供应商支付奖金。这些条件被编码在区块链上的智能合约上,一旦满足预设条件,付款就会自动执行。图 9 展示说明了在多层级的供应链上,DTA 如何应用在发行、转让、融资和兑现等场景中。71图 9 多级供应链中 DTA 在发行、转让、融资和兑现场景中的应用供应链上持有 DTA 的供应商可以通过兑
247、现、转让或融资等方式来获取营运支持:1)兑现:在 DTA 发行处兑现满足条件的 DTA(见 3a/4a/5a);2)转让:将全部或部分避免双重征税条约转让给上游供应商,以支付其欠上游供应商的全部或部分债务或应付款项(见 3b/4b/5b);3)融资:在条件满足之前,通过 DTA 平台与投资方(机构投资方)利用全部或部分 DTA 融资。以 DTA 为预付款项去做投资。在这种情况下,投资方承担的信用风险是来自供应商的履约风险和 DTA 发行方的信用风险的(投资方不承担核心买家的信用风险,因为索赔是针对 DTA 发行方的)(见 3c/4c/5c)。4.5.3.方案创新点和亮点1)流程创新流程创新:更
248、流畅地衔接供应链贸易与中小企业融资的场景。2)模式创新模式创新:运用 DTA 实现贸易信息的实时更新,解决了传统融资场景中投资方无法及时信息同步的问题,使得中小企业的信用评估变得更快、更容易,也提升了投资者的投资意愿。3)融资方式创新融资方式创新:核心买家可利用 DTA 实现附条件支付,中小型企业可在未满足既定条件之前利用数字资产向机构投资者寻求融资。这不仅为中小型企业开拓了空前丰富的融资选择,也为投资者开辟了新的投资机会。4)科技创新科技创新:本项目方案展示了去中心化金融技术在贸易金融行业领域的创新运用,它提供了一个突破性原型,用数字资产用与智能合约技术来促进中小企业在供应链上的融资。724
249、.5.4.应用成效中小企业在大多数经济体中发挥着重要作用,数字贸易资产项目原型可以为以前无法获得传统融资的中小企业提供新的融资途径,从而有助于刺激经济增长。利用区块链技术,原型平台还为参与贸易交易的各方以及投资方提供透明和即时可用的贸易信息。这些中小企业基础贸易和业绩记录的信息将使中小企业的信用评估变得更快、更容易,鼓励投资者向中小企业提供融资。同时,这也是为投资方开辟新的投资机会。对于核心买家来说,财务弹性更强的供应商意味着供应链更具弹性,可以促进其建立更稳健、更绿色、更具社会责任感的供应链。4.6.跨境金融:港股开户跨境可靠电子签署为了实现大陆居民、香港居民在线开立香港地区银行账户,深圳
250、CA 在项目中对持不同身份证件的两地居民提供统一标准的身份核验服务、数字证书服务和电子签署服务。且本项目在大陆和香港两地电子签名互认的司法框架下合法开展,深圳 CA 依据中华人民共和国电子签名法粤港电子签名互认策略等法律法规签发的数字证书签署的文件,在中国大陆和香港具有法律效力。4.6.1.案例背景随着各行各业信息化的迅猛发展,传统的商业模式逐渐转变成互联网的方式,证券行业同样需要顺应互联网的潮流,基于互联网模式的证券网上开户业务不仅有利于证券公司快速占据客户群和拓展业务中取得先机,同时互联网业务的运行成本低、覆盖面广的优势也将很好解决证券公司网点少、分布不均问题,促进券商业务创新与发展。为了
251、实现大陆居民远程完成港股账户开立全流程,深圳CA 港股开户电子认证服务平台对持身份证件的大陆居民提供统一标准的身份核验服务、数字证书服务和可靠电子签署服务。4.6.2.技术方案(1)方案思路方案思路港股开户电子认证服务平台是深圳 CA 依托于跨境粤港互认电子认证服务资质,基于 PKI/CA 密码技术,围绕港股无纸化网上开户业务场景与需求,建设的跨境电子认证及签署服务平台,为港股网上开户提供可靠电子签名服务,确保网上开户与传统线下纸质开户协议具备同等法律效力,为券商业务创新提供支撑与保障,实现大陆居民无需现场面签,即可远程完成港股账户开立全流程。73(2)方案流程实现方案流程实现深圳 CA 根据
252、港股远程开户业务中对申请用户身份的认证需求,以及跨境电子认证服务的业务规范,以 PKI/PMI 技术为基础,依托深圳 CA 作为第三方 CA机构所提供的电子认证服务为核心,为券商提供一个完整的跨境电子认证及可靠电子签署服务平台。通过券商开户系统、APP 集成深圳 CA 的相关 SDK/H5 组件和接口,在券商部署签署服务系统并与深圳 CA 的身份认证服务平台、证书认证系统实现无缝对接,为大陆投资者港股远程开户业务提供完善的身份鉴证、证书签发、在线签署、电子存证、粤港互认等服务。本项目总体架构如图 10 所示:图 10 深圳 CA 港股开户电子认证服务平台总体架构图4.6.3.方案创新点和亮点本
253、方案将大陆居民身份核验及电子签署 SDK/H5 组件集成在券商的 APP 上,大陆客户可通过券商 APP,无需现场面签,即可远程完成港股账户开立全流程。产品体量轻,实施效率高,客户体验感好。4.6.4.应用效果通过此项目,极大推动了大陆客户在香港股市开设账户,投资港股的进程,也为日后香港资本市场吸引更多大陆客户打下了基础。目前深圳 CA 已经与超过六十家国内及香港券商合作,为近 400 万客户提供港股开户在线电子认证及可靠电子签署服务。多家券商通过实施此港股远程开户项目,使得港股开户业务走在整个行业前列,也为促进两地金融科技合作提供了范本。744.7.卫生健康:跨境就医结算服务平台久远银海跨境
254、就医结算服务平台支持跨区域和跨境接入,实现就医和结算信息共享及业务对接,平台支持机构快速接入及医疗保险快速结算赔付和机构监管等业务。跨境就医结算服务平台提供了机构间互联互通、线上一站式快赔和监管等功能,并支持多方联合确认对象资格、多方审核互认、多方整合赔付路径及确认理赔结果等业务,能够缩短报销等待期,提高结算和赔付效率,并有效支撑对骗保行为的监管等。4.7.1.案例背景随着粤港澳大湾区建设的加速,湾区内居民交流日益密切,越来越多港人到大湾区就医,也会有大陆居民赴港就医的情况,涉及基本医保和商业保险等一站式赔付和监管需求,传统理赔模式存在报销等待期长、报销手续复杂、报销需提交材料多,和个人需要对
255、接多家保险公司等问题,并且由于数据不互通,有可能违反诚信原则,存在骗保行为,监管难度大。表 2 医保可能存在的赔付群体情况和传统理赔步骤4.7.2.技术方案(1)方案思路方案思路跨境就医结算服务平台的核心机制在于其实现了大陆医疗保障、大陆医疗机构、香港医疗机构、香港健保和香港商保公司、大陆商保公司之间的数据共享与业务协同。在严格遵守数据不出境的前提下,该平台通过患者(保险消费者)的授权,针对性地解决了理赔难、报销速度慢以及手续繁杂等长期以来的痛点。这75一创新举措不仅极大地提升了医疗保险的消费体验,也显著提高了商保赔付的准确率和效率,同时降低了管理成本和风险。(2)功能结构功能结构跨境就医结算
256、服务平台主要由跨境就医理赔中心、跨境就医数据中心和管理规范体系三个核心部分构成。其中,跨境就医理赔中心是处理所有理赔申请的核心机构,负责确认理赔对象的资格、实施多方审核互认,并提供线上一站式快赔服务。跨境就医数据中心则是处理所有医疗保障数据、医院医疗数据、商保数据的关键机构。该中心对所有数据进行集成和治理,确保数据的准确性和共享的统一管理。这个中心包括数据处理子系统和数据监测子系统,用以实现高效的数据处理和实时监测。管理规范体系是跨境就医结算服务平台的重要组成部分,它制定了一套全面的跨境医商协同业务规范。这些规范对医疗保障、医疗机构与商保公司之间的数据共享和数据产品应用进行了严格的约束,包括保
257、险产品登记、项目登记、数据使用申请、参保人授权等方面的详细规定。这一体系旨在确保所有数据的合法使用,保护参保人的隐私权,并进一步提升了整个平台的规范性和高效性。(3)平台架构平台架构平台的总体框架分为“五层二体系”,如图 11 所示:系统接入层包括医疗机构接口、医保系统接口、商保理赔接口,可以通过接入这些接口来连接不同的系统,实现数据的共享和交互。应用服务层包含跨境就医结算服务平台的双中心及所有应用,提供平台的所有业务处理和数据处理。应用支撑层包括任务管理引擎、控费规则引擎和风控规则引擎等,这一层为上层的应用程序提供了各种支撑服务,用于处理特定的业务需求。数据资源层包括三目病种库、医院知识库、
258、结算清算库等,涵盖了系统运行所需的各种数据资源。基础设施层包括云计算平台、分布式存储和云虚拟网络等,提供了平台的基础运算资源和网络支持。商保理赔数据标准体系和数据安全保障体系可以提高商保理赔效率和准确性,保护保险公司信息安全和客户隐私。76图 11 跨境就医结算服务平台框架结构图(4)业务流程业务流程跨境就医结算服务平台是一个集数据处理、业务处理和医疗服务支持于一体的先进平台。该平台的核心是数据中心,它负责处理和存储来自香港的商业保险数据和理赔模型,这些数据和模型是支持跨境就医结算服务的核心组件,为平台的运行提供了重要的参考依据。参保人在深圳医院就诊后,可以通过线上申请理赔并签署授权。申请后,
259、平台通过接口获取医疗保障数据中台及就诊医院 HIS的基础数据,在数据中心进行数据清洗、数据确权、数据加工、数据流通等处理,处理完的数据将导入一站式理赔子系统。在理赔子系统中,会根据商保数据和理赔模型进行自动化的理赔计算,减少人为错误的可能性,提高理赔处理的效率和准确性。计算得出的理赔结果将输出给香港商保公司,并经其确认无误后,商保公司即向参保人赔付相应的金额。平台业务流程图如图 12 所示。图 12 平台业务流程图77(5)技术架构技术架构跨境就医结算服务平台的技术架构能够实现高效的数据采集、处理和分析,保障数据的安全和隐私。同时具备可扩展性和灵活性,能够适应不断变化的需求和业务场景。图 13
260、 跨境就医结算服务平台技术架构图4.7.3.方案创新点和亮点跨境就医结算服务对数据安全和隐私保护的要求较高,为此平台采用了多重安全技术与策略。首先,平台应用数据脱敏技术,包括动态脱敏和静态脱敏,以保护患者等敏感信息的真实性和隐私性;平台采用数据加密技术,以确保数据的完整性和机密性,防止未经授权的访问和泄露;平台引入了数据水印技术,能在数据中添加难以察觉的溯源信息,以便在数据发生泄露时能够迅速定位源头,及时采取应对措施;平台运用数据沙箱技术,在保证数据安全的同时,确保数据的使用和分析过程完全在安全的环境中进行;平台采用 API 安全监测与访问控制技术,能够实时监控并识别敏感数据的流动风险,从而及
261、时发现并阻止任何可能的安全威胁,保证数据的安全与稳定传输。4.7.4.应用效果跨境就医结算服务平台对患者(保险消费者)、商保公司、医疗机构和医疗保障部门都有明显的好处。患者(保险消费者)无需再为了理赔而奔波于香港、大陆和医院、医保局、保险公司之间,大大简化了流程。商保公司不再需要投入大量的人力物力去核实理赔78申请的真实性和完整性,因为平台已经实现了对医疗数据的实时抓取和验证。这不仅提高了理赔的效率和准确率,也降低了商保公司的运营成本,提高了他们的工作效率。通过平台,医疗机构可以减轻工作负担,使其能够专注于提供医疗服务。通过与商保公司的信息共享,医疗机构可以及时获取理赔情况,这有利于提高医疗资
262、源的合理配置。4.8.跨境征信:海外用户信用风险评估报告本案例涉及某大型贸易公司,该公司在全球范围内经营业务,业务板块涉及大量海外贸易场景。由于海外贸易的复杂性、不确定性及信息不对等,导致该公司对其海外客户及供应链上下游合作伙伴的信用风险评估存在挑战。为了有效管理这些海外客户及供应链上下游合作伙伴风险并保护自身利益,该公司决定引入中诚信征信有限公司(简称“中诚信征信”)的海外用户信用风险评估报告。4.8.1.案例背景在国际贸易中,合作客户及供应链合作伙伴信用风险是一个重要的考虑因素。由于交易双方可能存在信息不对称、资金链断裂等问题,导致交易无法按时完成或出现违约情况,应收账款违约损失常年高于
263、5%;信用交易订单的处理时效低于行业平均水平,也导致公司损失大量业务,限制了业务规模的增长。该大型贸易公司前期希望通过一系列海外报告来监控和管理其海外客户及供应链之间的信用违约风险,以便及时采取措施减少损失,同时为业务规模增长提供支持。4.8.2.技术方案在该案例中海外用户信用风险评估报告,是中诚信征信通过收集和整合来自不同渠道的数据,包括海外供应商和海外客户的信用评级、财务状况、经营活动、诉讼负债等数据,以及中诚信征信基于近 20 年在企业信用风险评估领域积累沉淀的风险评估维度和指标,最终生成满足客户需求的各种类型的海外信用报告,提出风险分析观点和风险评级结果;帮助用户识别其海外客户潜在信用
264、风险,并生成相应的预警信号,方便用户监控海外客户及供应商信用风险状况并进行决策。图 14 为用户信用风险评估报告的处理系统的作业流程示意图,实际以落地系统为准。79图14 用户信用风险评估报告处理系统作业流程示意图(1)技术特点技术特点1)数据收集和整合:系统基于 CCX 编码进行数据的深度关联和检索,从多个渠道获取相关数据,包括公共数据、企业财务报告、社交媒体、生产经营等。2)机器学习算法:系统使用监督学习和无监督学习算法对数据进行分析和建模,以识别潜在的信用风险。3)知识图谱:系统通过知识图谱和 NLP 算法,挖掘各主体之间的各类关联关系,通过各类关系及关联方的串联识别与展示,排查多维度风
265、险事件,防止风险蔓延。4)分析和评价结果可视化:系统将模型结果用可视化图表的形式展现,使用户能够快速了解信用风险状况,并做出相应决策。(2)技术架构技术架构该系统采用分布式架构,包括数据采集模块、数据处理模块、模型训练模块、风险预警模块和可视化展示模块等。各个模块之间通过 API 进行数据交换和通信。(3)工作工作/业务流程业务流程1)数据采集:系统从不同渠道收集相关数据,包括客户的信用评级、历史交易、财务状况、工商信息、司法信息、生产经营数据等。2)数据处理:系统对采集到的数据进行清洗、转换和整合,以便后续分析处理。3)模型训练:系统利用机器学习算法对数据进行训练和建模,以识别潜在80的信用
266、风险。4)风险预警:系统根据模型的结果生成相应的预警信号,提醒用户注意潜在的信用风险。5)决策支持:用户可以查看风险评分结果,了解信用风险状况,并根据建议额度和自身需要进行相应决策。4.8.3.方案创新点和亮点该系统通过人工智能技术和大数据分析技术,搭建企业评级模型和风险监测模型。能够帮助贸易类进出口公司筛选优质的客户,实时监测和管理与客户之间的信用风险,及时发现潜在问题并采取相应措施,从而降低违约风险和损失。同时,系统提供的可视化图表使用户能够直观地了解信用风险状况,并做到决策流程和审批流程留痕,支持科学决策。4.8.4.应用效果该案例中海外用户信用风险评估报告,在该公司正式使用后取得了显著
267、的应用成效。图 15 为报告模板示意图,实际报告以落地为准。图 15 征信报告模板示意图81(1)风险筛查,提高客户质量风险筛查,提高客户质量通过海外用户信用风险评估报告,快速完成海外客户及供应商的筛选,精准识别优质客户及供应商,极大提高准入筛选效率,提升了对其质量的判断能力,不仅从事前就降低了客户及供应商的信用违约风险,而且使业务规模提高 200%。(2)科学审批,提高效率和准确性科学审批,提高效率和准确性该公司业务审批决策流中融入海外用户信用风险评估报告,帮助补足该公司海外客户及供应商信用风险评估数据空缺,使其单位时间内的订单审批数量提高了 150%,审批效率提高 100%,决策更有科学依
268、据。(3)动态监测,提高风险处置效率动态监测,提高风险处置效率通过对客户信用风险的定期监测和管理,该公司成功降低了违约风险和损失。(4)风险可视化,提高风险感知风险可视化,提高风险感知海外用户信用风险评估报告内,针对海外客户及供应商信用风险情况,内置多款的可视化图表和风险评估数据,使决策链各环节,能够更好地了解海外各客户及供应链合作伙伴信用风险状况,并及时做出决策。4.9.健康医疗:临床试验数据跨境合规在全球医疗创新和数字化高度发展背景下,健康医疗数据的跨境流动需求日益增多。在临床研究中,有时需要通过国内外高水平的多个医学中心合作研究和跨境数据对比分析,研究某种新技术或者新疗法的疗效。医疗机构
269、基于临床研究跨境合作需求,开展数据出境安全评估申报,并成功获得审批,由此,该国际多中心临床研究项目成为数据合规出境示范案例。本案例介绍信联科技作为此项目的支撑单位,通过优质的数据出境咨询服务,协助医疗机构实现数据跨境合规。4.9.1.案例背景(1)法律层面难点法律层面难点根据数据出境安全评估办法第五条规定,开展数据出境风险自评估,应重点评估以下事项:1)数据出境和境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性;2)出境数据的规模、范围、种类、敏感程度,数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险;3)境外接收方承诺承担的责任义务,以及履行责任义务的管理和技术
270、措施、82能力等能否保障出境数据的安全;4)数据出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等的风险,个人信息权益维护的渠道是否通畅等;5)与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件等(以下统称法律文件)是否充分约定了数据安全保护责任义务;6)其他可能影响数据出境安全的事项;以上评估事项涵盖临床研究、法律和数据安全等多种维度的合规性,评估报告涉及专业方向多而广,数据出境自评估难度较大。(2)业务层面难点业务层面难点健康医疗数据在跨境合规的评估过程中,医疗出境数据种类繁多,涵盖了病人的病历、诊断结果、治疗方案、药品信息等敏感信息,同时也包括了医生的学
271、术研究、医疗系统的运营数据等重要信息。这些数据的梳理面临诸多困难,如数据量大、处理复杂度高、涉及的隐私和安全问题多等,因此需要专业的第三方数据跨境服务机构协医疗机构开展数据跨境合规建设。4.9.2.合规方案(1)数据出境安全评估具体流程数据出境安全评估具体流程依据数据出境安全评估申报指南(第一版),相关医疗数据出境评估流程如下图所示:图 16 数据出境安全评估流程(2)自评估工作流程自评估工作流程本次自评估咨询服务分为五个阶段:确定评估范围、制定评估计划、收集评估信息、开展评估工作和形成评估报告。83图 17 自评估流程图各阶段的实施过程说明如下:1)确定评估范围:首先,需要明确数据出境的范围
272、和内容,确定需要进行安全评估的出境活动和数据类型。2)制定评估计划:根据确定的评估范围,制定详细的评估计划,包括评估时间、评估人员、评估方法等。3)收集评估信息:收集与数据出境相关的信息,包括出境活动的具体情况、数据类型、数据量、数据用途、数据安全措施等。4)开展评估工作:根据制定的评估计划,开展评估工作,对数据出境的安全性进行评估。需要评估数据出境活动是否符合法律法规的要求,是否采取了必要的措施来保护数据安全。5)形成评估报告:在评估工作结束后,形成评估报告,包括评估结果、评估结论、建议等。需要明确指出数据出境活动存在的问题和不足,并提出改进建议。4.9.3.方案创新点和亮点信联科技在数据资
273、产梳理、数据安全保障能力评估、数据安全体系建设等方面对医疗机构(数据处理者)进行深入评估并设计相关整改方案。(1)在出境数据层面在出境数据层面,信联科技通过盘点医疗机构数据资产,梳理出境临床医疗数据的规模、范围、种类、敏感程度,识别出境数据中是否包含敏感个人信息或重要数据,是否存在不必要的出境数据等。针对出境数据风险,引导医疗机构筛除不必要的数据出境字段,对敏感个人信息和重要数据采取脱敏、去标识等必要的技术手段,以降低出境数据可能对国家安全、公共利益、个人或者组织合法权益带来的风险。(2)在业务层面在业务层面,信联科技协助医疗机构梳理业务流程,识别其是否与当前国家法律法规要求、行业主管部门规定
274、和国家标准建议等存在差距。针对业务合规性风险,引导医疗机构在业务流程中增加数据出境合法性确认环节,例如向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信84息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项,并取得个人的单独同意。(3)在数据安全体在数据安全体系方面系方面,信联科技通过人员访谈、查验安全管理制度,识别医疗机构是否明确数据安全管理机构、设立数据安全负责人、建立数据安全管理制度体系、落实管理监督考核机制等。针对数据安全风险,建议医疗机构建立或完善数据安全管理组织架构,设立数据安全负责人等关键岗位,健全数据处理活动全流程、数据分类分级、应急处置、个人
275、信息权益保护等管理制度,并建立数据安全技术保障机制,搭建数据出境风险防控体系。4.9.4.应用效果(1)强化数据跨境制度保障强化数据跨境制度保障,信联科技协助医疗机构全面建立包括但不限于明确数据跨境传输管理机制,建立数据跨境合规评估制度与流程,建立出境数据分级分类目录及重要数据目录,提升医疗机构数据跨境安全保障能力。(2)培育数据跨境合规理念培育数据跨境合规理念,以数据跨境法规为指引,推动医疗机构树立全面数据跨境合规理念,纳入机构数据治理的宏观策略管理,实现与机构高层领导、业务管理、骨干员工达成数据跨境业务合规共识。(3)赋能赋能健康健康医疗跨境合作医疗跨境合作,本次成功案例为强化医疗健康数据
276、出境安全管理、促进国际医疗研究合作提供了参考示范和实践指引,推动医学的进步并造福于患者,为提升全人类生命健康水平作出贡献。4.10.跨境贸易:基于区块链的两岸跨境贸易商品溯源系统为促进两岸经贸文化交流深度融合,中共中央国务院和福建省政府出台了一系列政策措施,包括支持两岸企业在数字经济领域开展合作、推进数字基础设施建设、促进数字经济与实体经济深度融合等。两岸跨境贸易商品溯源应用以促进两岸数字经济融合发展为目标,厦门海峡链科技有限公司,与两岸企业携手合作,运用区块链、IPFS 分布式存储、去中心验证器等技术,构建了两岸跨境贸易商品溯源系统,助力两岸贸易合作、商品数据协同,促进两岸数字经济融合发展。
277、4.10.1.案例背景根据海关总署的统计数据,2022 年 1 至 11 月,两岸贸易总额已达到 2943.9亿美元。随着两岸产业合作的不断深化,产业链供应链基本稳固,越来越多的商品需要在海峡两岸之间进行跨境贸易,跨境贸易需求逐年稳步增长。然而,由于两岸在政策、基础设施、行业标准、技术规范等方面存在差异,导致了数据孤岛85效应,这极大限制了两岸商品数据的跨境流通和应用,严重阻碍了两岸实体经济和数字经济的融合发展。因此,两岸企业之间迫切需要一套低成本且可信赖、多方协同的跨境贸易商品数据流通方案。这套方案需要在确保商品数据的安全性和防止篡改的前提下,高效地进行商品数据协同与应用,从而加速两岸数字经
278、济的融合发展。4.10.2.技术方案(1)解决方案思路解决方案思路海峡链为两岸跨境贸易商品溯源应用提供了关键的技术支持,包括区块链底层平台、IPFS 分布式存储以及 SC-DValidator 去中心验证器等。这些技术的应用在很大程度上保障了贸易商品数据的安全性和共享效率。区块链技术的分布式、公开透明和防篡改特性为应用提供了坚实的基础。同时,IPFS 分布式存储基于内容的快速寻址和数据永久保存等特性,进一步增强了数据的可靠性和安全性。在两岸跨境贸易商品溯源应用的设计中,充分考虑了数据的采集、存储、验证和共享等各个环节的需求,结合区块链、物联网以及数字签名技术,对贸易商品数据进行采集、加密、上链
279、、存证,实现安全高效的数据确权、验证和共享。通过引入去中心验证器和 IPFS 分布式存储等关键技术,应用实现了第三方系统数据的快速核验上链和分布式加密存储,从而进一步保障了贸易商品数据的安全性和可靠性。(2)系统框架与功能模块系统框架与功能模块两岸跨境贸易商品溯源应用基于区块链、IPFS 分布式存储、去中心验证器等技术构建,并结合了物联网、第三方物流系统和供应链系统。如图 18 所示,应用分为四层架构,从下到上依次是区块链层、服务层、物理层以及应用层。1)区块链层:整个系统的基础,为数据提供安全保障,确保数据的不可篡改和透明性。其中包括 P2P 网络、共识算法、智能合约、数字签名、IPFS 去
280、中心化存储、分布式身份标识、去中心验证器等海峡链基础设施。2)服务层:连接区块链层和物理层,负责管理和操作数据,确保数据的准确性和实用性。提供从品牌到商品的精细化溯源管理服务,包括品牌商管理、信息上链管理、溯源查询、溯源统计、溯源码管理、产品管理等。3)物理层:配合应用层,结合物联网技术和物理设备,进行数据采集和数据协同。支持一物一码锚点商品,提供多标识(如条形码、二维码、RFID、NFC芯片)的全生命周期管理,包括规则配置、标识生成、查询标识、下载标识。86图 18 两岸跨境贸易商品溯源应用技术架构图4)应用层:是最接近用户的层级,主要负责数据的展示和交互,为各个应用提供数据支持。支持通过
281、API 接入第三方物流系统、PAD 或扫码设备的数据,可在小程序、H5、Web 多端展示商品溯源信息、客群分布热力图、扫码统计等功能。在跨境贸易业务流程中,涉及到多角色和多场景的数据协同。两岸跨境贸易商品溯源应用以区块链和 IPFS 去中心化存储技术为架构基础,确保跨境贸易业务流程中数据协同的高效、稳定和真实性。同时,支持产品从生产制造到终端销售的全流程信息记录上链,并通过微信小程序或区块链浏览器,让消费者快速查验商品。两岸跨境贸易商农品溯源应用数据上链流程如图 19 所示。图 19 两岸跨境贸易商农品溯源应用数据上链流程图 20 是台湾某有机茶厂的祈韵红茶的数据采集示例:茶园物联网设备实时采
282、集茶叶生长环境数据,如气温、湿度、土壤 PH 值和虫情,并通过 IPFS 进行分布式存储,上链确保数据真实可追溯。平台利用区块链 NFT 作为凭证,每罐87茶叶产品都铸有专属溯源码。全链路数据上链保证了商品信息的真实和可信,实现了茶产量和商标用量的数字化精细管理,从而全面提升茶产品质量。图 21 展示了两岸跨境贸易商品溯源应用案例。图 20 两岸跨境贸易商品溯源应用数据采集示例图 21 两岸跨境贸易商品溯源应用案例884.10.3.方案创新点和亮点两岸跨境贸易商品溯源应用具备以下显著特点和创新:(1 1)数据透明可溯源数据透明可溯源:区块链的共识机制和链式结构,确保数据的透明和可溯源。(2 2
283、)数据安全防篡改数据安全防篡改:利用区块链的不可篡改特性,结合 IPFS 去中心化存储技术,保障了数据的安全且不可篡改。(3 3)商品唯一可信商品唯一可信:每件商品都通过“一物一码”的方式进行标识,全流程信息被记录上链,确保商品从生产到销售每一个环节的唯一性和可信度。(4 4)数字签名确权数字签名确权:在信息上链的过程中,每一个环节的参与主体都对所负责的环节的上链数据进行签名,确保信息的真实性,不可抵赖和可追溯。(5 5)数据高效协同数据高效协同:贸易商品全流程信息上链,确保数据的公开透明和高效协同,解决了多方参与、信息碎片化和重复审核等问题,这大幅降低了沟通和审核成本,提升了跨境贸易的整体效
284、率。4.10.4.应用效果两岸跨境贸易商品溯源应用已经记录多家台湾企业的商品数据信息,涵盖农业、工业、制造业等多个领域,为两岸企业在商品溯源、跨境电商等场景提供服务。通过扫描溯源码,消费者能够查看产品的真实信息,有效降低购买假货风险。应用运营的台湾企业负责人之一在接受大陆媒体采访时表示:通过两岸跨境贸易商品溯源应用,将产品信息和相关证书记录上链,从而方便客户随时查询和验证商品,提高了品牌信用和价值。两岸跨境贸易商品溯源应用是跨境数据流通的一次全新探索和尝试,其充分发挥区块链技术的优势,解决两岸商品数据孤岛问题,为两岸贸易企业创建高质量的贸易商品数据协同平台。4.11.跨境电商:跨境数据推动电商
285、企业 ESG 供应链改进九鑫智能专注于为跨境电商卖家提供数据管理、决策辅助和智能自动化等技术手段,帮助他们应对存量竞争激烈和增量天花板的挑战。目前跨境卖家面临着建立核心竞争壁垒和与低价竞争企业抗衡的问题。本案例客户应用九鑫智能行业ESG AI 模型实现 ESG 目标的持续评估和核心指标监测,通过对全球供应链数据的分析和优化帮助跨境电商卖家大幅降低未销库存比,并引入客户全球市场销售数据跨境,整合历史和目标市场数据,利用行业 AI 模型进行分析和模拟,快速重构业务流程,抓住以价值观为导向的消费群体的新增量机会,实现可持续发展。89图 22 方案功能展示图4.11.1.案例背景(1)行业现状行业现状
286、中国跨境电商卖家面临着存量竞争激烈和增量天花板的现实问题。一方面,低价内卷策略下的企业通过迎合全球经济下行趋势和消费者对折扣的追求,成为低价市场的领导者。另一方面,中国跨境电商卖家面临欧美等市场需求减缓的巨大挑战。在这种极端竞争下,这些卖家的生产发展空间持续受到压缩。因此企业需要寻求新增量,升级自身的核心竞争壁垒,以应对激烈竞争的局面。(2)业务挑战业务挑战1)产品多渠道出海,从“产品第一”到“多渠道出海”需要面对跨境电商的挑战。2)在不同国家和地区经营跨境电商需要遵守各自的数据、财务、税务和法律法规。确保数据合规和本土合规是一个复杂的任务。3)在可持续发展的背景下,企业需要承担社会责任。在跨
287、境电商中,公司需要确保供应链的可持续性和社会责任的落实。4)跨境电商的快速发展可能会对环境造成负面影响,绿色生产和环境友好成为必须关注的问题,需要采取措施减少环境影响。(3)应用场景与需求应用场景与需求在不进行重构的前提下,面向后续业务变化、需要灵活调整流程和功能的场景下,客户希望实现以下需求:1)可持续供应链管理可持续供应链管理:通过全域数据和跨境数据流通,建立透明、可追溯90的供应链系统,以减少资源浪费和环境污染为目标。2)基于基于 AI 和数据驱动的产品设计和数据驱动的产品设计:与全球设计师合作,利用 AI 和数据分析预测市场需求,实现按需生产,从而降低成本和库存浪费,并减少侵权事件的发
288、生。3)促进可持续消费和经济增长促进可持续消费和经济增长:通过降低生产成本,将成本优势回馈给全球消费者,促进负担得起的可持续消费。通过可持续转型创造就业机会,与当地消费市场融合并贡献经济增长。4.11.2.技术方案本案例技术方案思路以客户可以实现全域数据驱动的可持续发展,快速提高ESG 供应链相关评分为目标,采用了统分结合的灵活部署方式,实现数据来源授权可获取、数据分析过程可管理,以及数据执行结果和传输可记录的目标。(1)数据整合与数据整合与共享共享:建立一个统一的数据平台,整合全球供应链和业务部门的数据,实现数据的实时共享与更新。采用安全加密和身份验证机制,确保数据来源的授权获取。(2)AI
289、 驱动的预测与优化驱动的预测与优化:建立企业 AI 模型,利用九鑫行业 AI 模型和数据分析技术对全球供应链和业务部门的数据进行实时分析和预测。通过预测市场需求、优化生产计划和库存管理,实现供应链的及时性优化。(3)按需生产模式按需生产模式:基于 AI 预测和需求信号,实现按需生产模式,减少过剩库存和资源浪费。通过实时数据分析和供应链协同,优化生产计划,提高生产效率和供应链的可持续性。(4)减少产品设计侵权事件减少产品设计侵权事件:对设计师方案内容进行内部审查,减少产品设计侵权事件风险。后继可结合区块链技术,提升知识产权保护,促进全球设计师的合作与创新。(5)供应链)供应链数据共享与协作数据共
290、享与协作:建立实时数据共享平台,通过协作工具和沟通平台,促进企业内部和供应链合作伙伴之间的高效沟通和协作。实时数据共享和协作能够提高工作效率,优化供应链的整体协同性。(6)促进可持续消费和经济增长促进可持续消费和经济增长:为一些地区建立生产基地,为当地创造就业机会匹配市场扩张需求的项目提供生产成本可控,当地负担得起的可持续消费选择,提供可持续消费分析数据,在获取市场增长同时做好 ESG 专项评估和分析预测。914.11.3.方案创新点和亮点(1)数据整合与实时共享数据整合与实时共享通过建立统一的数据平台,整合全球供应链和业务部门的数据,并实现实时的数据共享与更新。这一特点使得企业能够获得准确、
291、全面的数据,同时能够及时了解市场变化并做出相应的决策。(2)提高数据及时性提高数据及时性数据能够迅速在全球供应链和业务部门之间流动,实时更新和共享。这种实时性的数据流动使得企业能够更快地获取最新的市场信息和需求变化,从而能够更快地做出决策和调整策略。(3)快速响应市场变化快速响应市场变化由于数据平台的建立和连接可用技术提升数据的实时性,企业能够更快速地响应市场变化。这种快速响应能力为企业带来了竞争优势,提高了市场反应速度和决策的准确性。通过跨境数据流通实现企业内部全域数据流动互通,使得数据分析及时有效显著提升,让企业能够更好地应对市场挑战和需求变化。全域数据平台达到供应链协作支撑要求,保障在既
292、定时间实现供应链 ESG 可持续发展的目标和具体指标。4.11.4.应用效果跨境电商在供应链 ESG 挑战中,可通过跨境数据快速实现数据整合与实时共享、及时响应市场变化,基于数据的准确分析和有效预测可大幅降低消耗对提高供应链ESG 评分至关重要,并且有机会通过更好的 ESG 表现获取新增量市场。本案例以下输出成果可以为行业应用提供参考:(1)数据整合与实时共享数据整合与实时共享:通过统一数据平台整合全球供应链和业务部门的数据,并实现实时的数据共享与更新。通过提高供应链数据的准确性和可靠性,预计可提高供应链 ESG 评分约 10%。(2)快速响应市场变化快速响应市场变化:通过准确的数据和实时的信
293、息,该企业能够更快速地响应市场变化,能够更及时地调整供应链和生产计划,提高供应链效率约12%。(3)可持续发展可持续发展:通过分析提供可持续消费选择、提供促进可持续消费计划。预计可持续发展措施将提高整体 ESG 评分约 10%。924.12.数据合规:企业数据出境风险评估A 为中国境内外资企业,向境外 B 企业提供产品和服务,A 企业向 B 企业交付产品和服务同时通过系统提供 A 企业在中国境内运营和收集的相关数据。广东卓建律师事务所受委托评估 A 企业长期存在的数据出境活动是否合规,以及是否应当立即向网信部门申报数据出境安全评估备案需要从法律方面进行评估,以防范未履行法定义务的法律风险。4.
294、12.1.案例背景根据我国数据安全法个人信息保护法数据出境安全评估办法规定,关键信息基础设施的运营者需要进行数据出境的应通过安全评估,数据处理者确需向中国境外提供个人信息的,需满足法定条件,数据处理者进行数据出境应履行法律规定的义务,出境数量达到法定标准还需通过所在地省级网信部门向国家网信部门申报数据出境安全评估,在申报出境安全评估之前应先进行数据出境风险自评估等。数据出境安全评估办法明确规定,在 2022 年 9 月 1日起前已经开展的数据出境活动,不符合规定的,应当在 6 个月内完成整改,否则应承担相应法律责任。4.12.2.合规评估(1)聚焦问题及分析思路聚焦问题及分析思路问题问题 1:
295、A 企业在数据出境活动中的具体法定义务有哪些?企业在数据出境活动中的具体法定义务有哪些?个人信息保护法第五十五条的规定,向境外提供个人信息的,应当进行个人信息保护影响评估。通过梳理企业的业务流和数据流,A 企业向境外提供的数据包含个人信息,因此,A 企业应当先就个人信息出境事宜进行个人信息保护影响评估。数据出境安全评估办法第五条的规定,在申报数据出境安全评估之前,应先进行数据出境风险自评估,自评估应当对包括数据出境的合法性、正当性、必要性等内容进行评估,并制作数据出境风险自评估报告,作为申报数据出境安全评估的材料之一提交。个人信息保护法第三十八条,个人信息处理者因业务等需要,确需向中华人民共和
296、国境外提供个人信息的,应当具备下列条件之一:(三)按照国家网信部门制定的标准合同与境外接收方订立合同,约定双方的权利和义务;数据出境安全评估办法第六条,申报数据出境安全评估应提交申报书、自评估报告、与境外接收方拟订立的法律文件、安全评估工作需要的其他材料。根据数据出境安全评估办法第八条的规定,A 企业与境外接收方签订的相应法律文件93应明确约定双方的数据安全保护责任及义务,确保出境数据的安全以及个人信息权益能够得到充分保障等。因此,除了自评估报告之外,A 企业还需要与境外接收方订立网信部门制定的标准合同和相应的法律文件。个人信息保护法第三十九条的规定,如需向中华人民共和国境外提供个人信息的,应
297、当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项,并取得个人的同意。因此,针对个人信息出境的情况,A 公司应当采取适当的方式告知相关个人,并取得其同意。数据处理者数据安全保障能力包括数据安全管理能力、数据安全技术能力、数据安全保障措施有效性以及其他应当遵守数据和网络安全相关法律法规的有情况等。因此,对 A 企业与境外接收方 B 企业的数据安全保障能力需要通过尽调评估和技术测评等手段进行风险排查,以及对于不合规事项应提前予以整改。问题问题 2:A 企业主体资格企业主体资格、出境数据类型出境数据类型、数量以及敏
298、感程度是否达到法定数量以及敏感程度是否达到法定申报评估备案的条件?申报评估备案的条件?通过 A 企业提交的材料、访谈、会议等方式调查了解,A 企业不涉及公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域,未被认定关键基础设施运营者,出境数据类型未列入重要数据白名单,但属于自上年 1 月 1 日起累计向境外提供 10 万人个人信息的数据处理者。结合数据安全评估办法规定,A 企业应当进行申报备案。问题问题 3:A 企业未申报数据出境安评估的法律责任有哪些?企业未申报数据出境安评估的法律责任有哪些?根据数据出境安全评估办法第十八条、第二十条和个人信息保护法第
299、六十六条的规定,对于已经开展的数据出境活动,应当在数据出境安全评估办法施行之日(即 2022 年 9 月 1 日)起 6 个月内完成整改;同时,违反数据出境安全评估办法对于应当向网信办申报数据出境安全评估但未申报的,可能面临责令改正、警告,拒不改正的,并处一百万以下的罚款,直接负责的主管人员或其他直接责任人员则可能被处一万元以上十万元以下罚款。如果被认定为情节严重的,可能面临责令改正、没收违法所得,并处五千万元以下或者上一年度营业额百分之五以下罚款,暂停相关业务或者停业整顿、吊销相关业务许可或者吊销营业执照;直接负责的主管人员和其他直接责任人员则可能被处以十万元以上一百万元以下罚款,并可能被禁
300、止在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。(2)结论结论A 企业应当对现有的数据出境活动进行全面的风险识别,开展相关评估和申报备案工作,否则直接面临如上所述相关法律责任。具体工作包括但不限于按照94法律规定进行个人信息保护影响评估以及数据出境安全自评估工作,评估内容包括数据出境及境外接收方数据处理的合法性、正当性、必要性、出境可能对国家安全、公共利益、个人或组织合法权益代来的风险等法律规定的内容;另外,还需要准备与境外接收方签订网信部门制定的标准合同和相关法律性文件;依法提交申报书等安全评估工作需要的其他材料等。4.12.3.方案创新点和亮点数据出境安全评估办法
301、 规定了企业的数据出境活动应向监管部门进行申报的条件、提交材料、评估要点、报备流程、备案单位等,且有时限的要求。如果企业不经专项评估直接进行申报,必然造成人力、资金、时间等成本支出,企业的日常运营也会有一定影响,如果不申报,又会直接导致承担高额处罚和相关责任,对企业经济、声誉均会带来重大损失。因此,对于企业是否应当启动评估申报备案程序、何时启动显得非常重要。本专项风险评估需要投入的工作时间、人力资源、经济支出以及对业务的影响程度,相较正式的申报评估工作具有周期短、成本低的特点,如本团队在其他项目中也评估出有的企业不需要向监管部门申报备案,则可以通过认证、自评估报告、标准合同等方式达到监管对数据
302、出境的要求,大大节省了企业的各项成本。因此,通过专业法律分析,及时解决法律施行后对企业影响的不确定性,帮助企业在合规的情形下继续开展数据出境活动。4.12.4.结语建议数据合规是企业行稳致远的基础,数据跨境的违规成本较其他情形的违规成本来说较大,因此,企业提前开展是否需要申报的风险评估,对于企业控制成本与风险具有非常重要的作用,也是充分发挥数据合规律师专业水平,提升企业的合规意识,促进企业高质量发展。95第五章 数据跨境流通与技术应用发展建议目前我国以国家安全法网络安全法数据安全法个人信息保护法和密码法等法律法规为框架,国务院、国家网信办、发改委、工信部、公安部、安全部、财政部等单位相继出台了
303、关键信息基础设施安全保护条例商用密码管理条例网络数据管理条例(征求意见稿)网络安全审查办法数据出境安全评估办法个人信息出境标准合同办法数据出境安全评估申报指南(第一版)和规范和促进数据跨境流动规定(征求意见稿)等配套规范性文件,初步建立了数据保护与数据跨境流动管理体系,为我国企业规范数据跨境处理活动、监管单位审查和监督数据跨境处理活动提供了法律依据。数据跨境除了法律上的合规管理的保障,同时也需要在技术上维护安全可信环境,国家鼓励和支持开展数据流通相关安全技术研发和服务,目前广泛使用的技术包括但不限于区块链、联邦学习、安全多方计算等。我国现阶段存在市场主体对数据跨境评估审批认知不一、供应链风险控
304、制与管理难、技术与标准难适应、合规人才严重不足、缺乏安全有效的流通模式等问题,既阻碍了数据跨境的安全有序流通,也影响了企业的数据安全能力建设和跨境业务的发展。现结合法律法规的现状和部分企业积极探索的实践经验,开展如下探讨并提出相关建议。5.1.数据跨境安全管理底线坚持与便利化探索为了保障数据跨境流通过程中的合法合规,同时提升数据合规出境的效率,建议可以补充以下方式辅助现有数据出境管理体系:(1)企业在向管理部门报送相关材料时,可附上由独立第三方专业机构出企业在向管理部门报送相关材料时,可附上由独立第三方专业机构出具具“安全评估风险意见安全评估风险意见”在目前的数据出境安全管理框架中,向主管机关
305、申报数据出境安全评估时,数据处理者除了提供“数据出境风险自评估报告”之外,可事先委托独立第三方专业机构进行合规、安全和风险的评估,并出具无保留意见的“意见书”,以独立第三方专业机构的专业资质、实践经验及技术能力等为担保,增加监管对申报企业的信心,以期加快审批流程。(2)通过拟出境数据自愿预备案通过拟出境数据自愿预备案模式模式,为企业提供数据出境合规缓冲区,为企业提供数据出境合规缓冲区允许企业根据国家网信办发布的数据出境相关规定,结合实际情况,参照“互联网服务算法”等预备案制度,在正式申请数据出境安全评估前自愿向有关部门申请预备案,待正式申报数据出境安全评估时,可相应简化具体审核的内容和流96程
306、,提高数据出境安全评估行政审核效率。预备案的主要内容可以包括企业基本情况,境外接收方基本情况,出境情况,如数据出境的目的、范围、方式等,出境数据情况,如数据的种类、来源、规模、范围、敏感程度等。预备案模式,不仅有助于国家网信部门事先对拟出境企业数据跨境处理活动的进行合规指导,也有助于提升企业后续申报过程中材料准备的效率。(3)根据申报业务场景和数据安全程度,根据申报业务场景和数据安全程度,分级分级分类设置数据出境安全评估分类设置数据出境安全评估行政审核流程,节约审批时间行政审核流程,节约审批时间根据企业申请数据出境的数据种类、来源、规模、范围、敏感程度、潜在风险,数据出境的目的、范围、方式等,
307、可以在流程的繁简程度、审批的时间长短等方面归类处理。如针对数据类型少、敏感程度低、数据量小等数据出境活动,可以适当减化审批环节和时间;或根据数据所涉行业、用途、特点、应用领域等进行分类,适用不同的审查程序等,既帮助企业解决业务的现实合规性,又极大提高审核质量和效率。因此,建议以粤港澳大湾区为试点,在实践中探索建立数据出境监管的新模式、新方法、新手段。5.2.企业全面建成数据跨境合规体系5.2.1.企业数据安全与隐私保护涉及跨境业务的企业应当依法建立数据出境安全评估和风险监测机制,以保护个人数据、敏感数据、重要数据的跨境流动安全,保证数据出境的合规性、正当性以及必要性。建议企业构建以跨境数据资产
308、盘点与风险识别、跨境数据安全风险监测与预警、跨境数据响应处置与数据留档为核心的跨境数据安全技术体系架构。图 23 企业跨境数据安全技术体系架构图(1)以跨境数据以跨境数据资产盘点与风险识别完善为首要资产盘点与风险识别完善为首要企业可通过跨境数据资产探测探针等工具主动探测跨境应用、FTP、各种邮件服务、文库等数据资产,梳理各类跨境数据资产的数据资产类型、跨境方式、跨境区域、跨境组织、跨境组织联系人、跨境组织地址等相关信息,并对这些资97产进行多维度管理,用于辅助企业判断数据跨境合规性;针对跨境数据敏感程度、安全防护措施、企业安全保障能力等多方面按照实际情况判断是否需要依法向国家网信办申报数据出境
309、安全评估。(2)以跨境数据安全风险监测与预警实效为以跨境数据安全风险监测与预警实效为核心核心通过跨境数据风险监测分析引擎,对数据资产探针所采集的各类原始告警,以及各类专项检测引擎输出的告警,进行跨境数据初步关联分析,采取可信技术进行监控和存储,进而输出准确程度更高、更加多方可信的跨境数据安全告警信息。因跨境数据安全分析工作往往是动态的、多变的,需要基于各类实际应用场景灵活调整关联分析策略,以便更有效地应对跨境数据安全监管合规要求,跨境数据风险监测分析引擎类型包括合规性符合风险分析引擎、跨境数据资产脆弱性及弱点分析引擎等。(3)以跨境数据响应处置与数据留档夯实为基础以跨境数据响应处置与数据留档夯
310、实为基础针对跨境数据安全风险监测并预警的风险,跨境数据安全运营专员结合企业自身业务发展情况,制定的安全风险等级和前期制定好的应急预案做通报与处置,相关责任部门根据安全风险预警通报情况制定合理的跨境数据安全治理方案并做相应整改,整个过程数据通过区块链等多方可信技术,全部留档,便于跟踪和安全追溯。5.2.2.企业供应链风险控制与管理供应链合规对于企业顺利安全地开展数据出境业务有重要意义。供应链风险具有关联性,传递性、复杂性和“牛鞭效应”,企业要在国内合规数据的基础上根据国家关于数据出境的相关法律法规的要求评估自身数据处理情况,按照规定流程进行数据出境,最终保障跨境数据的全流程合规。为了加强企业供应
311、链风险评估和监控,保证数据链的畅通和完整,建议可以从以下路径改进供应链合规管理模式的实施。(1)企业应建立供应商审核和评估机制,确保潜在供应商的合规性和可靠企业应建立供应商审核和评估机制,确保潜在供应商的合规性和可靠性。性。企业针对与外部供应商的数据流动合作事宜,按照数据安全能力成熟度指南标准,根据自身已达到的标准,对外部供应商的对应能力进行评估,确认供应商在数据安全生命周期过程中可达到的数据安全能力成熟度,不低于企业自身已达到的或数据流动过程中需要达到的最低等级要求,实现对供应商的安全要求选型,降低供应商的数据安全隐患导致的数据泄露或损失。98(2)企业通过可追溯性系统对供应链进行动态合规管
312、理和监督。企业通过可追溯性系统对供应链进行动态合规管理和监督。企业应采用信息技术工具和评估系统,加强对供应链合规情况的监控和跟踪。供应链可追溯性是指企业能够追踪和掌握供应链中产品或服务的来源、流向等信息。通过建立可追溯性系统,企业可以更好地监控供应链的合规性,及时发现和解决潜在的违规问题,并对供应商进行及时的提醒和整改。(3)企业跟进最新法律法规和行业监管动态,及时调整供应链合规管理机企业跟进最新法律法规和行业监管动态,及时调整供应链合规管理机制。制。企业根据自身多样化业务场景及流程,对不同类型的供应商开展事前、事中、事后的全面合规风险评估和整改。同时,还应深入解读和实时掌握自身所处行业相关的
313、法律法规、规范、监管要求、查处案例等,设置“合规红线”,将合规操作要求有机嵌入供应链合规管理或指导办法中。此外,企业还应与监管机构保持良好的沟通合作关系,了解最新政策动向,及时调整内部合规规程。(4)企业与国际合作伙伴和第三方服务商建立长效合作机制。企业与国际合作伙伴和第三方服务商建立长效合作机制。企业需加强与政府、行业协会、合作企业、组织和个人等的沟通与合作,共同推动跨境数据流通合规的国际标准制定和协作机制建立。明确合作目标和原则、评估合作伙伴和第三方服务商的合规能力、签订权利义务明确的合同或条款、建立沟通渠道和协作机制、加强合规培训和教育、制定应急预案、定期审计和风险评估等,以确保跨境数据
314、流通合规和安全得到有效保障。建议与外部专业的数据安全机构、咨询公司、律师事务所等合作,共同提升数据安全和合规能力。此外,在跨境数据流通过程中,企业与第三方进行数据共享时,可通过制定行业规则、建立合作机制、签订数据共享协议等方式,明确数据的使用范围和使用方式、各方在数据合规方面的职责与义务等,实现用户数据的跨平台流通和使用。合作期间,还应不定期对外部服务提供商的安全管理水平和措施进行监督和风险评估,保障供应链管理的有效性。5.2.3.企业跨境数据流通合规能力建设在满足日益增长的数据跨境流通需求的同时确保数据安全和合规、建立健全的跨境数据流通合规管理体系,已成为各国政府和企业共同面临的挑战。作为一
315、个关键性的任务,跨境数据流通合规能力建设涉及到数据安全、隐私保护、合规义务等多方面的问题。(1)在战略层面重视跨境数据流通合规能力建设,充分了解并遵守目的国在战略层面重视跨境数据流通合规能力建设,充分了解并遵守目的国家和地区相关法律法规。家和地区相关法律法规。企业需在战略层面重视跨境数据流通合规性,作好整体的合规性规划,并确99保落实数据流通的合规性和安全性。由于不同国家和地区对于数据管理有着不同的法规,例如欧洲的 GDPR、美国的 CCPA 等,企业在进行数据跨境处理活动时必须要遵守业务所在国法律法规,提前全面评估数据跨境传输合规风险,包括数据泄露、数据安全事故、违反相关法规等风险,做好应对
316、和整改措施,以确保数据跨境的合规性。此外,还应加大培养熟悉境外法律法规的数据安全和合规专业人才。(2)成立跨部门协作的企业内部数据合规成立跨部门协作的企业内部数据合规组织机构组织机构企业可以成立跨部门的数据合规组织,明确各岗位职责和任务,建立良好的沟通和协作机制。数据合规组织的成员应该来自企业的各个部门,包括但不限于法务、信息安全、合规、技术等部门,共同探讨数据跨境的业务场景、评估合规风险,制定合规政策和操作规程、开展合规意识和能力的培训和教育,必要情况下,可聘请外部专业的数据安全机构、咨询公司、律师事务所等专家进行内训。此外,数据合规组织还应制定数据跨境安全事件的应急预案(包括启动条件、响应
317、程序、恢复措施等),以应对可能发生的数据跨境安全事件或违规行为。第五,数据合规组织还需定期开展个人信息保护风险评估和审计(包括审计内容、审计时间、审计人员等),以确保数据跨境的数据安全和隐私政策的执行符合要求。(3)建立标准、完善的数据安全管理制度,强化数据跨境传输安全保障措建立标准、完善的数据安全管理制度,强化数据跨境传输安全保障措施施企业应采用创新的数据安全和合规管理模式,如采用人工智能、区块链等技术手段,提高数据管理和监管的效率和准确性。标准、完善的数据安全管理制度包括但不限于对数据进行分类与标记、设置访问控制、开展定期审查与监测、记录操作日志、实施数据备份与恢复等。建立一套数据流通审计
318、机制,追溯数据流通的路径;建立一套完善的数据保护机制,包括数据加密、数据脱敏、数据备份、数据访问权限控制、数据恢复等,定期评估数据风险;建立一套数据合规风险应急响应机制,及时处理风险问题;建立数据跨境传输审批和监管机制,与相关监管机构保持密切联系(及时了解相关法规和要求),明确审批流程和责任人,确保数据的合规性和安全性。5.3.推动跨境数据流通合规技术产业发展建构跨境数据流通友好型的技术与标准体系,有利于解决数据跨境风险不可见和流转不可知的问题。这套技术体系可包括跨境数据流量采集与还原技术、跨境敏感数据传输发现技术、跨境数据安全风险发现技术、大数据关联分析和事件分析技术、区块链可信确权监管技术
319、等。沉淀在数据跨境过程中的发现敏感数据、预警和及时应对风险的能力,从技术上保障数据的跨境安全和有序流动。100(1)通过数据采集传输的技术标准,助力发现跨境场景的敏感数据通过数据采集传输的技术标准,助力发现跨境场景的敏感数据针对敏感数据发现的问题,企业可借助相关技术标准如跨境数据流量采集与还原技术、跨境敏感数据传输发现技术等予以解决。如跨境数据流量采集与还原技术,即通过对企业互联网侧或者跨境专线流量进行采集和还原,并结合单边、空洞和碎片化流量的补全检测技术,提高流量还原的能力,同时也有效提升敏感数据的检测能力和威胁分析能力。跨境敏感数据传输发现技术是通过流量还原及特征识别技术对互联网流量进行深
320、度分析还原,利用特征分析、自然语言识别、OCR 等技术实现对传输敏感数据的应用、API 接口进行敏感数据识别、提取、去重,并记录访问时间、数据流入地址等信息。这些技术标准可以帮助企业保护敏感数据,减少不安全的访问传输导致泄露的风险,实现在相应场景下的技术标准推广,确保数据的安全性和可用性。(2)通过跨境数据安全风险发现技术标准,加强数据跨境的风险识别通过跨境数据安全风险发现技术标准,加强数据跨境的风险识别构建跨境数据安全风险发现技术标准体系,可以有效地提升数据跨境的风险识别能力。跨境数据安全风险发现技术标准体系包括:数据库漏洞发现技术、弱口令风险发现技术、数据爬取风险发现技术、接口鉴权风险发现
321、技术、接口安全漏洞风险发现技术、接口误暴露风险发现技术等。跨境数据安全风险发现技术标准体系,支持通过技术手段识别和分析数据存储、访问、传输的过程中可能存在的安全漏洞,保障数据跨境的合规机制在技术方面落地,从而确保数据的机密性、完整性和可用性。相关技术标准的推动有助于预研措施保障数据跨境安全,发现处理任何可能的跨境数据泄露事件,避免潜在的损失和风险,提高跨境数据流通的安全性和可靠性。(3)跨境数据安全事件发现技术标准,提升数据跨境安全事件的防范能力跨境数据安全事件发现技术标准,提升数据跨境安全事件的防范能力构建跨境数据安全事件发现技术标准体系,可以有效地降低数据跨境安全事件带来的安全风险。跨境数
322、据安全事件发现技术标准体系主要包括:利用对威胁情报、攻击事件、敏感数据传输等多维度关联分析,建立攻击者与敏感数据传输通道关联关系,基于敏感数据窃取事件发现技术挖掘攻击者窃取行为的重要信息;基于访问时间、访问源、访问账号、传输方式、传输内容等访问行为相关的多维度敏感数据,通过统计分析手段精确地追踪敏感数据违规传输事件;利用监测手段构建“境内-境外”的数据流转态势,精确追踪敏感数据全路径信息和行为的敏感数据违规出境事件。该标准的发布和推行能够支持企业和监管机构及时发现重要数据违规出境、敏感数据未通过加密链路传输出境、个人敏感数据出境数量超过申报数量或法律法规要求等违规出境传输事件,从而实现数据跨境
323、场景安全事件的防范能力、内部核查和政府监管的能力提升。101(4)通过通过区块链及隐私计算的区块链及隐私计算的标准标准,实现跨境数据安全,实现跨境数据安全可信流通可信流通为解决数据流通中多方共治、共管的安全和隐私保护,可以通过区块链及隐私计算等新技术基础设施相关标准的指引,保障数据可用不可见,能有效降低不同地区跨境政策和法规可能导致的合规冲突可能性。如区块链作为分布式数据库技术,通过去中心化和共识机制确保数据的安全性和可信度,其分布式、点对点的特点,支持针对跨境场景数据流通和安全审查的技术基础设施层的解决方案,可实现数据不可篡改、透明和可追溯;隐私计算技术在政府管控敏感数据流动的场景下,使数据
324、备份、流通、交易、交换更加安全和高效。数据跨境场景的区块链及隐私计算的技术标准体系,应包含数据结构标准、网络通信标准、加密算法标准、身份验证标准、隐私计算标准等。推广区块链及隐私计算的技术标准,实现不可篡改的数据链条,实现数据操作分级、确权和监控,保障数据流动的完整性、安全性和可靠性。5.4.重视合规人才培养与产业共生随着跨境数据流通日益频繁,企业对数据合规专业人才的需求也在加速增长。目前,我国数据跨境专业合规人才紧缺,高校、专业培训机构、行业协会、企业等均应重视对数据跨境专业人才的培养。高校通过设立数据合规相关专业、研究机构等,针对性的开展中国数据出境相关法规、欧盟 GDPR、美国 CCPA
325、、中国数据出境相关法规等课程教学,培养后备力量,为企业和社会提供人才。行业协会可建立数据跨境人才培养机制,聘请行业内外部专家开展数据跨境法规和案例培训、宣讲,每年进行数据跨境合规人才和实践案例的选拔和评选等。企业可内部挖掘和培养跨境数据流通合规人才。通过聘请外部专家对数据跨境业务所涉及的国家或地区的法律法规、监管政策、实务场景和处罚案例等进行宣贯,以培训、考试等方式进行内部培养。同时,鼓励和奖励内部员工考取数据合规相关资质证书和认证资格。也可支持和安排合规人才短期出国访问或实习,了解国际最佳实践(包括参与国际项目和与国际数据传输相关的工作内容等),积累国际经验。企业可以联合高校(如南方科技大学
326、深圳国家应用数学中心、深圳职业技术大学)、行业协会等机构建立合作共享和交流平台,开展数据跨境理论与实践的研讨与交流,互通有无,共同学习和进步。目前,各数据交易所在全国范围内培养数据合规、数据跨境、数据交易、数据价值挖掘等方面的复合人才,如深圳数据交易所开展的 DEXCO(数据交易合规师)的培训认证,帮助企业开展数据合规、数据治理、数据交易、数据资产入表等,取得较好的社会效果。1025.5.深化开放合作实现跨境合规应用多样化数据二十条提出,深入参与国际高标准数字规则制定,构建数据安全合规有序跨境流通机制。开展数据交互、业务互通、监管互认、服务共享等方面国际交流合作,推进跨境数字贸易基础设施建设,
327、以 全球数据安全倡议 为基础,积极参与数据流动、数据安全、认证评估、数字货币等国际规则和数字技术标准制定。坚持开放发展,推动数据跨境双向有序流动,鼓励国内外企业及组织依法依规开展数据跨境流动业务合作,支持外资依法依规进入开放领域,推动形成公平竞争的国际化市场。实践中,如何建立相互信任,其实是数据跨境的最大挑战。(1)积极深入推进国际性数据跨境流通的顶层设计积极深入推进国际性数据跨境流通的顶层设计积极参与联合国、G20、上合组织等国际组织,共同制定多边国际数字规则,推选相关机构和个人参与国际数字化规则的具体制定;积极参与、主导国际、地区间的数据跨境流通协定制定,探索在东盟、一带一路、中非合作等区
328、域性国际合作组织加入区域性国际数据跨境流动制度。推动数据跨境流动双边多边协商,在中日韩、东盟、中欧、中俄、一带一路等双边或多边国际合作中推进建立互利互惠的规则。在国际顶层设计的国际组织、国际交流中倡导反对数据霸权和数据保护主义,探索新的数据主权保护规则。(2)积极推进国际标准化和交流合作平台搭建积极推进国际标准化和交流合作平台搭建鼓励并推进国内企事业单位和标准化组织参与 ISO、IET 等国际标准组织,推进数据要素跨境、数据要素安全等国际标准的研究和制定,积极组织相关机构和个人在国际标准组织中组建、参与相关标准工作组,牵头、主导、参与数据流动、数据安全、认证评估、数字货币和数字技术标准的制定。
329、利用现有国际贸易交流合作平台、组建新的数字贸易合作交流平台,面向国际、区域性合作、双边或多边合作,积极开展数据交互、业务互通、监管互认、服务共享等方面国际交流合作。(3)面向数据跨境开展顶层设计研究和制度建设面向数据跨境开展顶层设计研究和制度建设强化和完善数据跨境法律法规体系的构建。鼓励并组建国家级、区域性智库和研究机构对国际规则、国际数字化协定进行研究,支撑我国主导、参与国际化数字规则的制定;加强对美国、欧盟、日本等国家和国际组织的数据跨境相关规则、法律法规的研究,支撑国内相关机构开展数据跨境合作和业务开展。对影响或者可能影响国家安全的数据处理、数据跨境传输、外资并购等活动依法依规进行国家安
330、全审查,建立能够统筹国内国外两个循环的安全审查制度、安全评估制度。按照对等原则,对维护国家安全和利益、履行国际义务相关的属于管制物项的数据建立出口管制制度,保障数据用于合法用途,防范数据出境安103全风险。探索构建多渠道、便利化的数据跨境流动监管机制,健全多部门协调配合的数据跨境流动监管体系。加强对国际主流国家相关标准规则的参考,增强我国数据跨境制度与其他国家或地区的国际协定与贸易谈判相衔接。(4)积极开展数据跨境流通试点和推广积极开展数据跨境流通试点和推广鼓励在北京、深圳、上海和海南等地面向国际贸易合作国探索数据跨境流动与合作的新途径新模式,鼓励国内外企业及组织依法依规开展数据跨境流动业务合
331、作,支持外资依法依规进入开放领域,推动形成公平竞争的国际化市场。探索建立数据海关、数据保税区等新型跨境数字贸易基础设施。支持北京、深圳、贵阳、上海、海南等数据交易机构试点探索构建国际数据交易市场,积极与国际数据交易场所和机构开展合作,并面向国际组织和企业开展数据跨境交易活动。协同推进数据要素合法合规在各类国际组织间流通,协调好数据走出去与数据走进来的关系。针对跨境电商、跨境支付、供应链管理、服务外包等典型应用场景,探索安全规范的数据跨境流动方式,并适时面向东盟、俄罗斯、一带一路等主要贸易合作对象开展数据跨境试点,推进数据要素的高效跨境流入和流出,并在国际数字贸易具体场景中进行试点和推广。探索建
332、立健全符合数据跨境白名单制度,适当减弱对数据跨境的严格限制,鼓励企业、社会组织积极参与数据国际流通,激活数字经济市场的活力。(5)探索粤港澳大湾区数据跨境发展的先行先试探索粤港澳大湾区数据跨境发展的先行先试数据二十条指出,积极鼓励试验探索。坚持顶层设计与基层探索结合,支持香港作为国际数据中心,辐射推广至整个大湾区,积极发挥高水平开放平台作用,支持有条件支持高端智造、生物医药、绿色低碳、合作办学的等产业加快突破数据可信流通、安全治理等关键技术,建立创新容错机制,探索完善数据要素产权、定价、流通、交易、使用、分配、治理、安全的政策标准和体制机制,更好发挥数据要素的积极作用。因此,应充分发挥粤港澳大
333、湾区的跨境区域协调优势,从湾区的实践和需求出发,通过制定双向或多向清单、互认协议等方式促进湾区内部数据流通循环,建立重点行业如金融数据出境标准建设,积极探索数据要素跨境流通的治理协同标准化,为参与国际数据治理规则的制定作出有益的探索和总结。因此,一方面要积极主动开展国际交流合作、参与国际规则及标准制定,通过国际组织、智库平台积极开展数据安全、认证评估的相互认可,数据可信空间或者“数据可用不出境”的数据跨境流通系统等探讨,促成相互信任的机制的建立,维护国家安全和利益;另一方面在粤港澳大湾区等重要区域或城市先行先试,建立数据跨境标准体系,鼓励探索数据跨境流动与合作的新途径新模式。104参考文献1 区域全面经济伙伴关系协定,中华人民共和国商务部.http:/ CPTPP 数据跨境流动规则的难点及对策,服务外包,2023 年3 月,34-393 王蕊、潘怡辰、袁波、宋云潇,从 CPTPP 与 RC