近日，國(guó)家互聯(lián)網(wǎng)信息辦公室正式公布《數(shù)據(jù)出境安全評(píng)估辦法》，就個(gè)人信息和重要數(shù)據(jù)的出境安全評(píng)估管理措施提供具體的法律解決方案，明確了數(shù)據(jù)出境安全評(píng)估的目的、原則、范圍、程序和監(jiān)督機(jī)制等具體規(guī)定，對(duì)保護(hù)我國(guó)國(guó)家安全、公共利益、個(gè)人合法權(quán)益和促進(jìn)數(shù)字經(jīng)濟(jì)發(fā)展具有重要的里程碑意義。本期聚焦“數(shù)據(jù)出境安全”。
全力保障數(shù)據(jù)依法有序自由流動(dòng)
近期，國(guó)家互聯(lián)網(wǎng)信息辦公室公布《數(shù)據(jù)出境安全評(píng)估辦法》（以下簡(jiǎn)稱《辦法》），自2022年9月1日起施行。《辦法》旨在落實(shí)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》的規(guī)定，規(guī)范數(shù)據(jù)出境活動(dòng)，保護(hù)個(gè)人信息權(quán)益，維護(hù)國(guó)家安全和社會(huì)公共利益，促進(jìn)數(shù)據(jù)跨境安全、自由流動(dòng)，切實(shí)以安全保發(fā)展、以發(fā)展促安全。
近年來(lái)，隨著數(shù)字經(jīng)濟(jì)的蓬勃發(fā)展，數(shù)據(jù)跨境活動(dòng)日益頻繁，數(shù)據(jù)處理者的數(shù)據(jù)出境需求快速增長(zhǎng)。明確數(shù)據(jù)出境安全評(píng)估的具體規(guī)定，是促進(jìn)數(shù)字經(jīng)濟(jì)健康發(fā)展、防范化解數(shù)據(jù)出境安全風(fēng)險(xiǎn)的需要，是維護(hù)國(guó)家安全和社會(huì)公共利益的需要，是保護(hù)個(gè)人信息權(quán)益的需要。《辦法》規(guī)定了數(shù)據(jù)出境安全評(píng)估的范圍、條件和程序，為數(shù)據(jù)出境安全評(píng)估工作提供了具體指引。
《辦法》明確，數(shù)據(jù)處理者向境外提供在中華人民共和國(guó)境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的重要數(shù)據(jù)和個(gè)人信息的安全評(píng)估適用本辦法。提出數(shù)據(jù)出境安全評(píng)估堅(jiān)持事前評(píng)估和持續(xù)監(jiān)督相結(jié)合、風(fēng)險(xiǎn)自評(píng)估與安全評(píng)估相結(jié)合等原則。
同時(shí)，《辦法》規(guī)定了應(yīng)當(dāng)申報(bào)數(shù)據(jù)出境安全評(píng)估的情形，包括數(shù)據(jù)處理者向境外提供重要數(shù)據(jù)、關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者和處理100萬(wàn)人以上個(gè)人信息的數(shù)據(jù)處理者向境外提供個(gè)人信息、自上年1月1日起累計(jì)向境外提供10萬(wàn)人個(gè)人信息或者1萬(wàn)人敏感個(gè)人信息的數(shù)據(jù)處理者向境外提供個(gè)人信息以及國(guó)家網(wǎng)信部門(mén)規(guī)定的其他需要申報(bào)數(shù)據(jù)出境安全評(píng)估的情形。
此外，《辦法》提出了數(shù)據(jù)出境安全評(píng)估的具體要求，規(guī)定數(shù)據(jù)處理者在申報(bào)數(shù)據(jù)出境安全評(píng)估前應(yīng)當(dāng)開(kāi)展數(shù)據(jù)出境風(fēng)險(xiǎn)自評(píng)估并明確了重點(diǎn)評(píng)估事項(xiàng)。規(guī)定數(shù)據(jù)處理者在與境外接收方訂立的法律文件中明確約定數(shù)據(jù)安全保護(hù)責(zé)任義務(wù)，在數(shù)據(jù)出境安全評(píng)估有效期內(nèi)發(fā)生影響數(shù)據(jù)出境安全的情形應(yīng)當(dāng)重新申報(bào)評(píng)估。此外，還明確了數(shù)據(jù)出境安全評(píng)估程序、監(jiān)督管理制度、法律責(zé)任以及合規(guī)整改要求等。
《辦法》對(duì)保護(hù)我國(guó)國(guó)家安全、公共利益、個(gè)人合法權(quán)益和促進(jìn)數(shù)字經(jīng)濟(jì)發(fā)展具有重要的里程碑意義。第一，《辦法》是落實(shí)數(shù)字治理頂層設(shè)計(jì)的重要配套規(guī)章。當(dāng)前，數(shù)字經(jīng)濟(jì)加快高質(zhì)量發(fā)展，完善數(shù)字經(jīng)濟(jì)立法頂層設(shè)計(jì)及配套制度，是推動(dòng)數(shù)字經(jīng)濟(jì)更好服務(wù)和融入新發(fā)展格局的必然要求。中國(guó)作為負(fù)責(zé)任的數(shù)據(jù)大國(guó)，積極開(kāi)展數(shù)據(jù)相關(guān)立法，營(yíng)造數(shù)字經(jīng)濟(jì)發(fā)展良好環(huán)境。自2016年起，陸續(xù)出臺(tái)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》等，基本構(gòu)建了數(shù)據(jù)治理頂層法律制度，有效回應(yīng)數(shù)字經(jīng)濟(jì)發(fā)展中各類(lèi)問(wèn)題。其中，數(shù)據(jù)出境作為國(guó)內(nèi)外高度關(guān)注的數(shù)字經(jīng)濟(jì)發(fā)展議題，在有關(guān)頂層立法中均作出制度安排，明確了總體性要求。《辦法》的出臺(tái)，對(duì)數(shù)據(jù)出境管理中最為重要的“安全評(píng)估”手段予以明確，實(shí)現(xiàn)了規(guī)則性立法落地，是完善數(shù)字治理頂層制度設(shè)計(jì)的重要配套性規(guī)章。
第二，《辦法》是促進(jìn)數(shù)字經(jīng)濟(jì)外循環(huán)的關(guān)鍵舉措。數(shù)字技術(shù)、數(shù)字經(jīng)濟(jì)可以推動(dòng)各類(lèi)資源要素快速流動(dòng)、各類(lèi)市場(chǎng)主體加速融合，幫助市場(chǎng)主體重構(gòu)組織模式，實(shí)現(xiàn)跨界發(fā)展，打破時(shí)空限制，延伸產(chǎn)業(yè)鏈條，暢通國(guó)內(nèi)外經(jīng)濟(jì)循環(huán)。中國(guó)信息通信研究院政策與經(jīng)濟(jì)研究所所長(zhǎng)辛勇飛表示，《辦法》以實(shí)現(xiàn)數(shù)據(jù)跨境安全、自由流動(dòng)為重要立法目標(biāo)之一，明確了安全評(píng)估的對(duì)象、程序、要求、期限等主要因素，通過(guò)法治途徑提升產(chǎn)業(yè)預(yù)期，給予規(guī)范指引，有利于數(shù)據(jù)出境活動(dòng)的依法有序進(jìn)行，保障數(shù)據(jù)安全出境，推動(dòng)形成數(shù)字經(jīng)濟(jì)外循環(huán)的重要模式和路徑。
第三，《辦法》是保障國(guó)家安全和數(shù)據(jù)安全的有效手段。從全球來(lái)看，主要國(guó)家和地區(qū)均通過(guò)采取多種措施確保數(shù)據(jù)安全、有序出境。歐盟以“充分性保護(hù)認(rèn)定”為核心，構(gòu)建個(gè)人數(shù)據(jù)的出境管理制度，以實(shí)現(xiàn)保護(hù)個(gè)人數(shù)據(jù)的基本價(jià)值觀；美國(guó)以出口管制、外資安全審查、受控非密信息管理等手段確保重要數(shù)據(jù)不出境；俄羅斯以數(shù)據(jù)本地化備份為主要措施，實(shí)現(xiàn)數(shù)據(jù)在境內(nèi)的存儲(chǔ)。中國(guó)依法對(duì)數(shù)據(jù)進(jìn)行分類(lèi)分級(jí)管理，通過(guò)頂層立法針對(duì)重要數(shù)據(jù)、個(gè)人信息等出境要求，提供了豐富多樣的跨境流動(dòng)方案。其中，最具特色的就是建立了數(shù)據(jù)出境安全評(píng)估制度，重點(diǎn)實(shí)現(xiàn)對(duì)國(guó)家安全、數(shù)據(jù)安全具有重要影響的數(shù)據(jù)出境管理。《辦法》以上位法為基礎(chǔ)，確定了安全評(píng)估的規(guī)則要求，切實(shí)保障數(shù)據(jù)安全，規(guī)范數(shù)據(jù)跨境有序流動(dòng)。
數(shù)據(jù)出境安全制度的新探索
自2022年9月1日起施行的《數(shù)據(jù)出境安全評(píng)估辦法》吸引了專家學(xué)者的關(guān)注。《辦法》第三條提到，數(shù)據(jù)出境安全評(píng)估堅(jiān)持事前評(píng)估和持續(xù)監(jiān)督相結(jié)合、風(fēng)險(xiǎn)自評(píng)估與安全評(píng)估相結(jié)合，防范數(shù)據(jù)出境安全風(fēng)險(xiǎn)，保障數(shù)據(jù)依法有序自由流動(dòng)；第十四條提到，通過(guò)數(shù)據(jù)出境安全評(píng)估的結(jié)果有效期為2年。這兩個(gè)細(xì)節(jié)充分展現(xiàn)了對(duì)數(shù)據(jù)安全出境的有益探索。
中央財(cái)經(jīng)大學(xué)副教授張金平認(rèn)為，提出數(shù)據(jù)安全評(píng)估的兩大原則，即事前評(píng)估和持續(xù)監(jiān)督相結(jié)合原則、風(fēng)險(xiǎn)自評(píng)估與安全評(píng)估相結(jié)合原則，既可以明確數(shù)據(jù)出境的主體責(zé)任，又能實(shí)現(xiàn)監(jiān)管閉環(huán)。相較2017年和2019年有關(guān)數(shù)據(jù)出境安全評(píng)估的草案，《辦法》第三條首次明確提出數(shù)據(jù)出境安全評(píng)估的兩大原則。
其中，事前評(píng)估和持續(xù)監(jiān)督相結(jié)合原則明確，安全評(píng)估不僅關(guān)注數(shù)據(jù)出境前對(duì)出境后可能出現(xiàn)的風(fēng)險(xiǎn)的評(píng)估和所要采取的安全保障措施，還關(guān)注數(shù)據(jù)出境后風(fēng)險(xiǎn)發(fā)生的變化以及原有措施的有效性，因而該原則建立了動(dòng)態(tài)評(píng)估法則。
風(fēng)險(xiǎn)自評(píng)估和安全評(píng)估相結(jié)合原則，明確數(shù)據(jù)處理者的主體責(zé)任，即通過(guò)自評(píng)估的形式對(duì)自己的數(shù)據(jù)出境行為負(fù)責(zé)，確保根據(jù)數(shù)據(jù)出境風(fēng)險(xiǎn)采取相適應(yīng)且有效的安全保障措施。
然而，數(shù)據(jù)出境關(guān)涉國(guó)家利益、公共利益和個(gè)人權(quán)益，而且數(shù)據(jù)處理者的自評(píng)估結(jié)論傾向于通過(guò)評(píng)估，因此《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》都要求通過(guò)國(guó)家網(wǎng)信部門(mén)安全評(píng)估，確認(rèn)數(shù)據(jù)處理者是否切實(shí)承擔(dān)主體責(zé)任，以及評(píng)估數(shù)據(jù)出境風(fēng)險(xiǎn)和所采取措施的充分性、有效性。
而評(píng)估結(jié)果2年有效期的規(guī)定則保障了企業(yè)參與全球數(shù)字經(jīng)濟(jì)建設(shè)的持續(xù)性和連貫性。《辦法》第十四條明確安全評(píng)估結(jié)果有效期為2年，意味著數(shù)據(jù)處理者可以申報(bào)2年內(nèi)對(duì)特定境外接收方的數(shù)據(jù)出境計(jì)劃，幫助企業(yè)開(kāi)展連續(xù)性數(shù)據(jù)出境業(yè)務(wù)，促進(jìn)全球數(shù)字經(jīng)濟(jì)發(fā)展。
張金平表示，這種設(shè)置帶來(lái)了相對(duì)的制度優(yōu)勢(shì)。以個(gè)人信息出境為例，歐盟雖然設(shè)置了充分性認(rèn)定、企業(yè)有效規(guī)則、標(biāo)準(zhǔn)合同條款等合法機(jī)制，但目前通過(guò)充分性認(rèn)定的只有14個(gè)國(guó)家，企業(yè)有效規(guī)則難獲審批（中國(guó)企業(yè)尚未有獲批的案例），采用標(biāo)準(zhǔn)合同并不免除數(shù)據(jù)處理者根據(jù)數(shù)據(jù)出境個(gè)案的風(fēng)險(xiǎn)采取額外補(bǔ)充措施的義務(wù)。相較而言，跨國(guó)企業(yè)在我國(guó)開(kāi)展個(gè)人信息出境業(yè)務(wù)，如果符合安全評(píng)估的情形，那么其通過(guò)安全評(píng)估的確定性要顯著增強(qiáng)，而且還可以提供2年有效期的穩(wěn)定預(yù)期，極大方便了企業(yè)開(kāi)展跨境業(yè)務(wù)。
《辦法》在充分平衡各方利益的基礎(chǔ)上對(duì)數(shù)據(jù)出境安全管理作出新探索，既著力于維護(hù)國(guó)家安全、公共利益和個(gè)人與組織合法權(quán)益，也為全球數(shù)字經(jīng)濟(jì)健康發(fā)展提供了中國(guó)方案。
《辦法》的正式出臺(tái)和實(shí)施，將為國(guó)家數(shù)據(jù)安全工作筑牢堅(jiān)實(shí)“防線”。國(guó)家工業(yè)信息安全發(fā)展研究中心總工程師黃鵬認(rèn)為，未來(lái)隨著標(biāo)準(zhǔn)合同條款、數(shù)據(jù)出境安全認(rèn)證等其他數(shù)據(jù)跨境監(jiān)管措施的落實(shí)，我國(guó)的數(shù)據(jù)跨境管理制度體系將更為完善，可形成全球數(shù)據(jù)跨境流動(dòng)的中國(guó)方案。他表示，積極參與全球數(shù)據(jù)規(guī)則制定，在當(dāng)前雙邊、多邊貿(mào)易談判中增加關(guān)于數(shù)據(jù)跨境流動(dòng)條款，可以為我國(guó)數(shù)字企業(yè)“走出去”奠定基礎(chǔ)。依托G20峰會(huì)、世界互聯(lián)網(wǎng)大會(huì)等多邊對(duì)話機(jī)制和國(guó)際性會(huì)議，宣傳我國(guó)數(shù)據(jù)跨境流動(dòng)的主張，吸引更多國(guó)家支持和參與《全球數(shù)據(jù)安全倡議》，能夠促進(jìn)達(dá)成數(shù)據(jù)合法、安全、有序跨境流動(dòng)相關(guān)共識(shí)。
此外，黃鵬提到，未來(lái)需要持續(xù)完善我國(guó)數(shù)據(jù)跨境管理的配套規(guī)范，設(shè)置標(biāo)準(zhǔn)合同、保護(hù)能力認(rèn)證、例外事項(xiàng)等多元數(shù)據(jù)出境途徑，兼顧數(shù)據(jù)安全與數(shù)據(jù)跨境流動(dòng)應(yīng)用。同時(shí)，根據(jù)出境國(guó)家及地區(qū)政治環(huán)境、國(guó)際關(guān)系、數(shù)據(jù)保護(hù)水平等因素，劃分?jǐn)?shù)據(jù)出境風(fēng)險(xiǎn)等級(jí)，制定差異化的數(shù)據(jù)出境管理要求。
抓牢織好數(shù)字安全防護(hù)網(wǎng)
隨著數(shù)字經(jīng)濟(jì)的蓬勃發(fā)展，數(shù)據(jù)作為新型生產(chǎn)要素的重要作用日益凸顯。數(shù)據(jù)不僅是數(shù)字化、網(wǎng)絡(luò)化、智能化的基礎(chǔ)，也已經(jīng)成為社會(huì)各領(lǐng)域廣泛關(guān)注的重要資源，更是國(guó)家安全的重要組成部分。
數(shù)字經(jīng)濟(jì)正在成為重組全球要素資源、重塑全球經(jīng)濟(jì)結(jié)構(gòu)、改變?nèi)蚋?jìng)爭(zhēng)格局的關(guān)鍵力量。與此同時(shí)，數(shù)據(jù)的無(wú)序流動(dòng)、泄露等問(wèn)題給個(gè)人和社會(huì)安全帶來(lái)了潛在危害，數(shù)據(jù)安全風(fēng)險(xiǎn)日益成為影響產(chǎn)業(yè)發(fā)展、網(wǎng)絡(luò)安全甚至國(guó)家安全的重要因素。
今年6月22日，中央全面深化改革委員會(huì)審議通過(guò)了《關(guān)于構(gòu)建數(shù)據(jù)基礎(chǔ)制度更好發(fā)揮數(shù)據(jù)要素作用的意見(jiàn)》。會(huì)議強(qiáng)調(diào)，要把安全貫穿數(shù)據(jù)治理全過(guò)程，守住安全底線，明確監(jiān)管紅線，加強(qiáng)重點(diǎn)領(lǐng)域執(zhí)法司法，把必須管住的堅(jiān)決管到位。近期，國(guó)家網(wǎng)信辦出臺(tái)的《數(shù)據(jù)出境安全評(píng)估辦法》明確了出境數(shù)據(jù)的評(píng)估范圍、評(píng)估機(jī)制以及各參與主體的責(zé)任，為有效保障數(shù)據(jù)出境安全提供堅(jiān)實(shí)屏障和有力抓手。
從數(shù)據(jù)安全的角度出發(fā)，數(shù)據(jù)最為敏感的當(dāng)屬關(guān)鍵信息基礎(chǔ)設(shè)施數(shù)據(jù)。去年7月發(fā)布的《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》就明確界定了關(guān)鍵信息基礎(chǔ)設(shè)施的具體范疇。受復(fù)雜的國(guó)際形勢(shì)影響，提升公民國(guó)家安全意識(shí)和防范抵御敵對(duì)勢(shì)力滲透腐蝕的能力顯得尤為重要。以高校為例，受疫情影響，許多學(xué)校面臨師生異地訪問(wèn)校園內(nèi)網(wǎng)的挑戰(zhàn)，使得業(yè)務(wù)端口極易遭受攻擊。為此，國(guó)內(nèi)某知名大學(xué)在騰訊零信任安全管理系統(tǒng)（iOA）的護(hù)航下，采用動(dòng)態(tài)安全策略，以終端、身份、軟件、目標(biāo)為核心元素，持續(xù)驗(yàn)證訪問(wèn)環(huán)境安全，有效避免了黑客入侵等風(fēng)險(xiǎn)。
《數(shù)據(jù)出境安全評(píng)估辦法》不僅明確了數(shù)據(jù)出境及境外接收方處理數(shù)據(jù)的目的、范圍、方式等的合法性、正當(dāng)性、必要性，也明確了出境數(shù)據(jù)的規(guī)模、范圍、種類(lèi)、敏感程度，出境中和出境后遭到篡改、破壞、泄露、丟失、轉(zhuǎn)移或者被非法獲取、非法利用等風(fēng)險(xiǎn)。縱觀關(guān)于數(shù)據(jù)安全的各類(lèi)法律法規(guī)可以看出，關(guān)鍵信息基礎(chǔ)設(shè)施數(shù)據(jù)等重要數(shù)據(jù)最為敏感，此類(lèi)數(shù)據(jù)一旦處理不當(dāng)特別是在出境過(guò)程中被非法獲取、非法利用，將給國(guó)家安全帶來(lái)嚴(yán)重威脅。當(dāng)前，境外不法分子通過(guò)電子郵件竊取科研技術(shù)成果及個(gè)人信息的情況時(shí)有發(fā)生。騰訊安全專家李鐵軍告訴記者，釣魚(yú)郵件是最普遍的一種攻擊方式，黑客在通過(guò)釣魚(yú)郵件攻擊得到立足點(diǎn)后，繼而又通過(guò)失陷的系統(tǒng)，向整個(gè)網(wǎng)絡(luò)發(fā)起攻擊滲透。李鐵軍建議，要對(duì)陌生郵件保持高度警惕，切勿點(diǎn)擊郵件中的鏈接及附件，同時(shí)及時(shí)安裝相關(guān)操作系統(tǒng)和應(yīng)用軟件補(bǔ)丁，切勿輕易啟用文檔提示的宏功能。
數(shù)據(jù)跨境流通蘊(yùn)含潛在風(fēng)險(xiǎn)，不僅會(huì)影響數(shù)據(jù)處理者的經(jīng)濟(jì)利益，還會(huì)給數(shù)據(jù)出境國(guó)家?guī)?lái)不可預(yù)估的安全隱患。中國(guó)科學(xué)院科技戰(zhàn)略咨詢研究院系統(tǒng)分析與管理研究所副所長(zhǎng)、研究員孫曉蕾表示，《數(shù)據(jù)出境安全評(píng)估辦法》明確和界定需要申報(bào)評(píng)估的數(shù)據(jù)范圍是非常重要的，這對(duì)數(shù)據(jù)處理者自覺(jué)遵守法律法規(guī)、主動(dòng)申報(bào)出境評(píng)估工作具有重要意義。要從全面風(fēng)險(xiǎn)管理的角度來(lái)分析《數(shù)據(jù)出境安全評(píng)估辦法》中關(guān)于風(fēng)險(xiǎn)的長(zhǎng)效評(píng)估，只有做好事前、事中、事后的全流程、全方位風(fēng)險(xiǎn)評(píng)估部署，才能系統(tǒng)性做好風(fēng)險(xiǎn)防范與應(yīng)對(duì)。
識(shí)別數(shù)據(jù)出境的安全風(fēng)險(xiǎn)，抓牢織好數(shù)字安全防護(hù)網(wǎng)，要從兩方面著手。一方面，要統(tǒng)籌規(guī)范數(shù)據(jù)相關(guān)各方，完善數(shù)據(jù)出境安全的頂層設(shè)計(jì)。另一方面，要兼顧數(shù)據(jù)出境各方責(zé)任與義務(wù)，動(dòng)態(tài)評(píng)估與防范化解外部風(fēng)險(xiǎn)。從全球來(lái)看，中國(guó)作為一個(gè)負(fù)責(zé)任的大國(guó)，《數(shù)據(jù)出境安全評(píng)估辦法》為全球數(shù)據(jù)治理提供了中國(guó)智慧與中國(guó)方案，是助力構(gòu)建網(wǎng)絡(luò)空間命運(yùn)共同體濃墨重彩的一筆。