引言
《跨境新規(guī)》對(duì)于便利數(shù)據(jù)跨境流動(dòng)而言是絕對(duì)利好。一方面，強(qiáng)調(diào)“有限豁免”，從數(shù)據(jù)處理場(chǎng)景、敏感程度、處理規(guī)模等角度切入，為數(shù)據(jù)出境合規(guī)機(jī)制設(shè)置豁免情形，部分豁免情形甚至對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施（“關(guān)基”）運(yùn)營(yíng)者也適用；另一方面，強(qiáng)調(diào)“風(fēng)險(xiǎn)路徑”，聚焦重要數(shù)據(jù)以及達(dá)到特定規(guī)模、敏感程度的個(gè)人信息，進(jìn)行深度監(jiān)管。最受關(guān)注的遺留問(wèn)題為如何認(rèn)定敏感個(gè)人信息。根據(jù)《跨境新規(guī)》，出境1條敏感個(gè)人信息即需要訂立標(biāo)準(zhǔn)合同或通過(guò)個(gè)人信息保護(hù)認(rèn)證；若自當(dāng)年1月1日起累計(jì)出境1萬(wàn)人以上敏感個(gè)人信息，則需申報(bào)數(shù)據(jù)出境安全評(píng)估。目前，通常參考GB/T 35273《信息安全技術(shù) 個(gè)人信息安全規(guī)范》（“35273標(biāo)準(zhǔn)”）劃定敏感個(gè)人信息，部分字段對(duì)于企業(yè)影響較大，例如身份證號(hào)、銀行卡號(hào)。需要注意的是，《跨境新規(guī)》的豁免主要針對(duì)出境合規(guī)機(jī)制，即數(shù)據(jù)出境安全評(píng)估、個(gè)人信息出境標(biāo)準(zhǔn)合同、個(gè)人信息保護(hù)認(rèn)證。在出境合規(guī)機(jī)制之外，企業(yè)出境個(gè)人信息仍需履行《個(gè)人信息保護(hù)法》規(guī)定的其他合規(guī)要求，典型包括：告知個(gè)人信息主體、取得個(gè)人單獨(dú)同意或滿(mǎn)足其他合法性基礎(chǔ)、開(kāi)展個(gè)人信息保護(hù)影響評(píng)估（即PIA）。為協(xié)助企業(yè)更好地理解與應(yīng)用《跨境新規(guī)》，我們梳理了系統(tǒng)性的理論工具，以便企業(yè)判斷和選擇適當(dāng)?shù)某鼍澈弦?guī)機(jī)制，并通過(guò)4個(gè)實(shí)踐案例進(jìn)一步分析新規(guī)的具體應(yīng)用。一、理論工具：出境合規(guī)機(jī)制的判斷與選擇
根據(jù)《跨境新規(guī)》，數(shù)據(jù)處理者在判斷數(shù)據(jù)出境活動(dòng)應(yīng)當(dāng)采取何種出境合規(guī)機(jī)制時(shí)，可以按照“豁免監(jiān)管—強(qiáng)制監(jiān)管—自由選擇”的順序進(jìn)行評(píng)估。（一）豁免監(jiān)管的判斷：如果不涉及受監(jiān)管數(shù)據(jù)類(lèi)型，或者滿(mǎn)足特定的收集地、合法性基礎(chǔ)或數(shù)據(jù)量要求，則數(shù)據(jù)出境無(wú)需采取任何出境合規(guī)機(jī)制。
（除下述第4點(diǎn)“數(shù)據(jù)量”的豁免條件外，其余豁免場(chǎng)景適用于全部數(shù)據(jù)處理活動(dòng)，包括關(guān)基運(yùn)營(yíng)者的數(shù)據(jù)處理活動(dòng)。）
1. 數(shù)據(jù)類(lèi)型：出境數(shù)據(jù)是否不涉及受監(jiān)管數(shù)據(jù)類(lèi)型？- 不包含個(gè)人信息或重要數(shù)據(jù)：受出境監(jiān)管的數(shù)據(jù)主要為個(gè)人信息、重要數(shù)據(jù)系通識(shí)認(rèn)知，其他數(shù)據(jù)的出境一般不受監(jiān)管，除非存在外國(guó)司法或執(zhí)法等特定場(chǎng)景。《跨境新規(guī)》進(jìn)一步強(qiáng)調(diào)了在國(guó)際貿(mào)易、跨境運(yùn)輸、學(xué)術(shù)合作、跨國(guó)生產(chǎn)制造和市場(chǎng)營(yíng)銷(xiāo)等活動(dòng)中產(chǎn)生的數(shù)據(jù)出境，如果不包含個(gè)人信息或者重要數(shù)據(jù)，則無(wú)需采取任何出境合規(guī)機(jī)制。
- 不屬于自貿(mào)區(qū)負(fù)面清單：自由貿(mào)易試驗(yàn)區(qū)（“自貿(mào)區(qū)”）在國(guó)家數(shù)據(jù)分類(lèi)分級(jí)保護(hù)制度的框架下，可自行制定區(qū)內(nèi)需要納入監(jiān)管范圍的數(shù)據(jù)清單（“負(fù)面清單”）。對(duì)于自貿(mào)區(qū)內(nèi)的數(shù)據(jù)處理者，如果出境的數(shù)據(jù)并未落入負(fù)面清單，則無(wú)需采取任何出境合規(guī)機(jī)制。
2. 收集地：是否在境外收集、產(chǎn)生個(gè)人信息？- 境外數(shù)據(jù)過(guò)境：如果擬出境的個(gè)人信息是在境外收集和產(chǎn)生，且在境內(nèi)處理過(guò)程中沒(méi)有引入境內(nèi)個(gè)人信息或重要數(shù)據(jù)，則無(wú)需采取任何出境合規(guī)機(jī)制。
3. 合法性基礎(chǔ)：是否滿(mǎn)足特定的合法性基礎(chǔ)（“場(chǎng)景豁免”）？- 為訂立、履行個(gè)人作為一方當(dāng)事人的合同，確需向境外提供個(gè)人信息，無(wú)需采取任何出境合規(guī)機(jī)制。《跨境新規(guī)》明示列舉了跨境購(gòu)物、跨境寄遞、跨境匯款、跨境支付、跨境開(kāi)戶(hù)、機(jī)票酒店預(yù)訂、簽證辦理、考試服務(wù)等典型場(chǎng)景。
- 按照依法制定的勞動(dòng)規(guī)章制度和依法簽訂的集體合同實(shí)施跨境人力資源管理，確需向境外提供員工個(gè)人信息，無(wú)需采取任何出境合規(guī)機(jī)制。相較《征求意見(jiàn)稿》的“實(shí)施人力資源管理”，《跨境新規(guī)》強(qiáng)調(diào)該豁免場(chǎng)景僅適用于“實(shí)施跨境人力資源管理”所必需的情形，意味著一般人力資源管理場(chǎng)景可能無(wú)法適用該豁免條件，對(duì)跨境的必要性提出了更高的要求，從而收縮了適用范圍。
- 緊急情況下為保護(hù)自然人的生命健康和財(cái)產(chǎn)安全等，確需向境外提供個(gè)人信息，無(wú)需采取任何出境合規(guī)機(jī)制。
4. 數(shù)據(jù)量：當(dāng)年累計(jì)出境的一般個(gè)人信息是否不滿(mǎn)10萬(wàn)人？- 不滿(mǎn)10萬(wàn)人一般個(gè)人信息：關(guān)基運(yùn)營(yíng)者以外的數(shù)據(jù)處理者，自當(dāng)年1月1日起累計(jì)向境外提供的個(gè)人信息（不含敏感個(gè)人信息）如果不滿(mǎn)10萬(wàn)人（以自然人為單位去重后計(jì)算），則無(wú)需采取任何出境合規(guī)機(jī)制。就數(shù)據(jù)量的計(jì)算范圍，在計(jì)算10萬(wàn)人時(shí)，無(wú)需納入上述已被豁免的個(gè)人信息。
（二）強(qiáng)制監(jiān)管的判斷：如果構(gòu)成特殊的主體、數(shù)據(jù)性質(zhì)或數(shù)據(jù)量，則數(shù)據(jù)出境應(yīng)當(dāng)適用安全評(píng)估。1. 主體性質(zhì)：是否構(gòu)成特殊主體？- 關(guān)基運(yùn)營(yíng)者：如果企業(yè)構(gòu)成關(guān)基運(yùn)營(yíng)者，向境外提供個(gè)人信息或重要數(shù)據(jù)，且不符合前述豁免情形的，則應(yīng)申報(bào)數(shù)據(jù)出境安全評(píng)估。
2. 數(shù)據(jù)性質(zhì)：是否構(gòu)成特殊數(shù)據(jù)？- 官方認(rèn)定的重要數(shù)據(jù)：如果出境的數(shù)據(jù)構(gòu)成重要數(shù)據(jù)，則應(yīng)申報(bào)數(shù)據(jù)出境安全評(píng)估。數(shù)據(jù)處理者有義務(wù)按相關(guān)規(guī)定識(shí)別、申報(bào)重要數(shù)據(jù)，但僅有經(jīng)相關(guān)部門(mén)、地區(qū)告知或公開(kāi)發(fā)布的重要數(shù)據(jù)才需要申報(bào)安全評(píng)估。2024年3月15日，國(guó)家標(biāo)準(zhǔn)GB/T 43697-2024《數(shù)據(jù)安全技術(shù)數(shù)據(jù)分類(lèi)分級(jí)規(guī)則》發(fā)布，其附錄G《重要數(shù)據(jù)識(shí)別指南》對(duì)重要數(shù)據(jù)的識(shí)別具有參考價(jià)值，但重要數(shù)據(jù)的最終認(rèn)定需以官方發(fā)布的重要數(shù)據(jù)目錄為準(zhǔn)。目前，天津等地區(qū)已經(jīng)公開(kāi)發(fā)布重要數(shù)據(jù)目錄。行業(yè)重要數(shù)據(jù)目錄未必會(huì)向社會(huì)公開(kāi)，工信、能源、航空等行業(yè)目前均已存在行業(yè)內(nèi)部的重要數(shù)據(jù)目錄。
- 敏感個(gè)人信息：對(duì)于出境敏感個(gè)人信息，如果當(dāng)年出境量累計(jì)達(dá)到1萬(wàn)人以上，則應(yīng)申報(bào)數(shù)據(jù)出境安全評(píng)估；如果當(dāng)年出境量不到1萬(wàn)人，則應(yīng)訂立個(gè)人信息出境標(biāo)準(zhǔn)合同或通過(guò)個(gè)人信息保護(hù)認(rèn)證。針對(duì)敏感個(gè)人信息的判定，各國(guó)監(jiān)管都在探索之路上。美國(guó)最近發(fā)布的《關(guān)于防止受關(guān)注國(guó)家獲取美國(guó)人大量敏感個(gè)人數(shù)據(jù)和美國(guó)政府相關(guān)數(shù)據(jù)的行政命令》將人類(lèi)基因組數(shù)據(jù)、生物識(shí)別標(biāo)識(shí)符、精確地理位置數(shù)據(jù)、個(gè)人健康信息、個(gè)人財(cái)務(wù)數(shù)據(jù)、受覆蓋的個(gè)人識(shí)別符界定為敏感個(gè)人信息，仍較為寬泛。盡量細(xì)化敏感個(gè)人信息的類(lèi)型及定義，同時(shí)為不同類(lèi)型的敏感個(gè)人信息設(shè)置不同的觸發(fā)監(jiān)管的數(shù)量門(mén)檻，并明確數(shù)據(jù)脫敏的法律效果，對(duì)于各國(guó)而言皆為具有實(shí)際價(jià)值、但必定糾結(jié)的重要課題。中國(guó)監(jiān)管現(xiàn)狀如下：?敏感性質(zhì)判定：《個(gè)人信息保護(hù)法》規(guī)定的敏感個(gè)人信息包括：生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶(hù)、行蹤軌跡等信息，以及不滿(mǎn)十四周歲未成年人的個(gè)人信息。網(wǎng)信辦本次發(fā)布的《個(gè)人信息出境標(biāo)準(zhǔn)合同備案指南（第二版）》重申需參考35273標(biāo)準(zhǔn)判斷出境敏感個(gè)人信息的類(lèi)型。35273標(biāo)準(zhǔn)中判定敏感個(gè)人信息的因素較為寬泛，監(jiān)管實(shí)踐的把握尺度亦類(lèi)似。?數(shù)量門(mén)檻判定：敏感個(gè)人信息以1萬(wàn)人為限，劃分?jǐn)?shù)據(jù)出境安全評(píng)估、和標(biāo)準(zhǔn)合同或認(rèn)證；理論上即便出境1條敏感個(gè)人信息，亦需要采取出境合規(guī)機(jī)制。?脫敏效果判定：若通過(guò)技術(shù)手段降低敏感個(gè)人信息的敏感程度，則脫敏后的敏感個(gè)人信息是否可以降級(jí)為個(gè)人信息？目前并無(wú)明確答案。科技發(fā)展導(dǎo)致脫敏后重新識(shí)別個(gè)人的能力不斷提升，料想各國(guó)監(jiān)管均難以輕易作出判斷。
3. 數(shù)據(jù)量：當(dāng)年是否累計(jì)出境100萬(wàn)人以上一般個(gè)人信息或1萬(wàn)人以上敏感個(gè)人信息？- 100萬(wàn)人以上一般個(gè)人信息：自當(dāng)年1月1日起累計(jì)向境外提供100萬(wàn)人以上個(gè)人信息（不含敏感個(gè)人信息），應(yīng)申報(bào)數(shù)據(jù)出境安全評(píng)估。
- 1萬(wàn)人以上敏感個(gè)人信息：自當(dāng)年1月1日起累計(jì)向境外提供1萬(wàn)人以上敏感個(gè)人信息，應(yīng)申報(bào)數(shù)據(jù)出境安全評(píng)估。就數(shù)據(jù)量的計(jì)算范圍，在計(jì)算100萬(wàn)人或1萬(wàn)人時(shí)，無(wú)需納入前述第一（一）部分第1-3項(xiàng)所述已被豁免的個(gè)人信息。
（三）出境合規(guī)機(jī)制的自由選擇：對(duì)于豁免監(jiān)管、強(qiáng)制監(jiān)管之外的數(shù)據(jù)出境，數(shù)據(jù)處理者可以自行選擇合適的出境合規(guī)機(jī)制。1. 數(shù)據(jù)量：當(dāng)年是否累計(jì)出境10~100萬(wàn)人一般個(gè)人信息或不滿(mǎn)1萬(wàn)人敏感個(gè)人信息？針對(duì)以下數(shù)據(jù)處理場(chǎng)景，關(guān)基運(yùn)營(yíng)者之外的數(shù)據(jù)處理者可以自行選擇合適的出境合規(guī)機(jī)制，包括訂立個(gè)人信息出境標(biāo)準(zhǔn)合同或通過(guò)個(gè)人信息保護(hù)認(rèn)證。- 10~100萬(wàn)人一般個(gè)人信息：自當(dāng)年1月1日起累計(jì)向境外提供10萬(wàn)人以上、不滿(mǎn)100萬(wàn)人個(gè)人信息（不含敏感個(gè)人信息）。
- 不滿(mǎn)1萬(wàn)人敏感個(gè)人信息：自當(dāng)年1月1日起累計(jì)向境外提供不滿(mǎn)1萬(wàn)人敏感個(gè)人信息。就數(shù)據(jù)量的計(jì)算范圍，在計(jì)算時(shí)無(wú)需納入前述第（一）部分第1-3項(xiàng)所述已被豁免監(jiān)管的個(gè)人信息。
二、案例分析：《跨境新規(guī)》的理解與應(yīng)用
對(duì)于《跨境新規(guī)》的上述規(guī)定，我們通過(guò)以下四個(gè)案例進(jìn)一步分析新規(guī)的具體應(yīng)用，以便企業(yè)參考。
（一）案例1：境外酒店預(yù)定場(chǎng)景
案例事實(shí)概況：某酒店位于中國(guó)境外，通過(guò)官方網(wǎng)站及App等線(xiàn)上渠道，面向全球（包括中國(guó)境內(nèi)）的顧客提供酒店相關(guān)服務(wù)，涉及中國(guó)境內(nèi)顧客超過(guò)100萬(wàn)人。
1. 境外個(gè)人信息處理者是否需要采取出境合規(guī)機(jī)制？根據(jù)《數(shù)據(jù)出境安全評(píng)估申報(bào)指南（第二版）》《個(gè)人信息出境標(biāo)準(zhǔn)合同備案指南（第二版）》，以下情形屬于數(shù)據(jù)出境行為：符合《個(gè)人信息保護(hù)法》第三條第二款（注：即域外管轄條款）情形，在境外處理境內(nèi)自然人個(gè)人信息等其他數(shù)據(jù)處理活動(dòng)。因此，即使在中國(guó)境內(nèi)沒(méi)有數(shù)據(jù)出境方，境外的個(gè)人信息處理者如果符合《個(gè)人信息保護(hù)法》的域外管轄條件，且直接從中國(guó)境內(nèi)用戶(hù)處收集個(gè)人信息、并傳輸至境外處理，則也需要采取出境合規(guī)機(jī)制，除非可以被豁免。2. 境外酒店預(yù)定能否適用“履行個(gè)人合同所必需”的豁免？《跨境新規(guī)》延續(xù)并完善了《征求意見(jiàn)稿》中的基于合法性基礎(chǔ)的“場(chǎng)景豁免”，其中包括：為訂立、履行個(gè)人作為一方當(dāng)事人的合同，如跨境購(gòu)物、跨境寄遞、跨境匯款、跨境支付、跨境開(kāi)戶(hù)、機(jī)票酒店預(yù)訂、簽證辦理、考試服務(wù)等，確需向境外提供個(gè)人信息，則無(wú)需采取任何出境合規(guī)機(jī)制。“為訂立、履行個(gè)人作為一方當(dāng)事人的合同所必需”是《個(gè)人信息保護(hù)法》已明確規(guī)定的合法性基礎(chǔ)，而《跨境新規(guī)》進(jìn)一步列舉的典型場(chǎng)景均屬于客觀必要的場(chǎng)景，即，不跨境傳輸相應(yīng)的個(gè)人信息給境外服務(wù)提供方，則個(gè)人無(wú)法開(kāi)展相關(guān)跨境活動(dòng)。本案例屬于酒店預(yù)訂場(chǎng)景，境外酒店可以為訂立、履行個(gè)人合同所必需而出境個(gè)人信息，無(wú)需采取任何出境合規(guī)機(jī)制。此外，根據(jù)《跨境新規(guī)》，場(chǎng)景豁免應(yīng)優(yōu)先適用。因此，盡管該境外酒店每年在境外收集和處理超過(guò)100萬(wàn)中國(guó)境內(nèi)個(gè)人的個(gè)人信息，但因其系跨境酒店預(yù)定所必需，該等個(gè)人信息可在數(shù)量計(jì)算中排除，不會(huì)觸發(fā)基于數(shù)據(jù)量的監(jiān)管，故無(wú)需采取任何出境合規(guī)機(jī)制。案例事實(shí)概況：某境外公司為境內(nèi)客戶(hù)提供電子名片管理產(chǎn)品，客戶(hù)可將其收集到的名片上傳至系統(tǒng)，系統(tǒng)會(huì)自動(dòng)識(shí)別名片上的姓名、職稱(chēng)、電子郵箱、手機(jī)號(hào)等信息，方便客戶(hù)管理聯(lián)系人信息。該境外公司的服務(wù)器位于東南亞，客戶(hù)上傳名片信息時(shí)相關(guān)個(gè)人信息即出境。1. 該公司的中國(guó)境內(nèi)客戶(hù)是否因使用該系統(tǒng)而需采取出境合規(guī)機(jī)制？若境內(nèi)客戶(hù)本身并非關(guān)基運(yùn)營(yíng)者，通常情況下可就該場(chǎng)景豁免出境合規(guī)機(jī)制：- 數(shù)據(jù)性質(zhì)：不涉及敏感個(gè)人信息出境。本案例中出境個(gè)人信息僅涉及名片上的姓名、職稱(chēng)、電子郵箱、手機(jī)號(hào)等非敏感個(gè)人信息，不會(huì)因敏感個(gè)人信息出境而觸發(fā)出境合規(guī)機(jī)制。
- 數(shù)據(jù)量級(jí)：所涉聯(lián)系人信息不滿(mǎn)10萬(wàn)人。通常情況下，商業(yè)伙伴聯(lián)系人的數(shù)量較為有限，即使大型公司，每年接觸10萬(wàn)人以上商業(yè)伙伴聯(lián)系人并將其信息上傳系統(tǒng)的可能性也比較低。因此，境內(nèi)客戶(hù)不會(huì)單純因?yàn)槭褂迷摼惩怆娮用芾懋a(chǎn)品而觸發(fā)出境合規(guī)機(jī)制。
（三）案例3：人工智能訓(xùn)練數(shù)據(jù)出境場(chǎng)景 案例事實(shí)概況：某公司擬使用位于中國(guó)境外的算力基礎(chǔ)設(shè)施進(jìn)行人工智能訓(xùn)練，需要向境外傳輸大規(guī)模訓(xùn)練數(shù)據(jù)。該公司注冊(cè)地不在任何自貿(mào)區(qū)，但服務(wù)器部署于上海自貿(mào)區(qū)臨港新片區(qū)。1. 該公司可否借助“自貿(mào)區(qū)負(fù)面清單”實(shí)現(xiàn)數(shù)據(jù)合規(guī)出境？有觀點(diǎn)認(rèn)為，適用自貿(mào)區(qū)負(fù)面清單的前提是該公司注冊(cè)于自貿(mào)區(qū)；也有觀點(diǎn)認(rèn)為，公司在自貿(mào)區(qū)內(nèi)開(kāi)展數(shù)據(jù)出境活動(dòng)，即可適用自貿(mào)區(qū)負(fù)面清單。本案例中，公司在自貿(mào)區(qū)內(nèi)僅有服務(wù)器、沒(méi)有實(shí)體，該公司在自貿(mào)區(qū)內(nèi)的數(shù)據(jù)出境活動(dòng)能否享受自貿(mào)區(qū)的優(yōu)惠政策，仍有一定的不確定性。- 跨境新規(guī)：《跨境新規(guī)》規(guī)定，“自由貿(mào)易試驗(yàn)區(qū)…可以自行制定區(qū)內(nèi)需要納入數(shù)據(jù)出境安全評(píng)估、個(gè)人信息出境標(biāo)準(zhǔn)合同、個(gè)人信息保護(hù)認(rèn)證管理范圍的數(shù)據(jù)清單”“自由貿(mào)易試驗(yàn)區(qū)內(nèi)數(shù)據(jù)處理者向境外提供負(fù)面清單外的數(shù)據(jù)，可以免予…”——“區(qū)內(nèi)”二字為新增，但僅從字面變化無(wú)法確定公司是否必須注冊(cè)于自貿(mào)區(qū)內(nèi)。
- 地方實(shí)踐：上海自貿(mào)區(qū)和天津自貿(mào)區(qū)已就適用主體作出限定，但范圍有所不同。?上海臨港：2024年2月，《中國(guó)（上海）自由貿(mào)易試驗(yàn)區(qū)臨港新片區(qū)數(shù)據(jù)跨境流動(dòng)分類(lèi)分級(jí)管理辦法（試行）》（“《上海辦法》”）發(fā)布，允許數(shù)據(jù)處理者根據(jù)本片區(qū)的重要數(shù)據(jù)目錄和一般數(shù)據(jù)清單對(duì)應(yīng)采取安全評(píng)估、登記備案等措施，實(shí)現(xiàn)數(shù)據(jù)出境合規(guī)。《上海辦法》的適用主體限于以下數(shù)據(jù)處理者：（1）在臨港新片區(qū)內(nèi)登記注冊(cè)的；或（2）在臨港新片區(qū)開(kāi)展數(shù)據(jù)跨境流動(dòng)相關(guān)活動(dòng)的。?天津：2024年2月，《中國(guó)（天津）自由貿(mào)易試驗(yàn)區(qū)企業(yè)數(shù)據(jù)分類(lèi)分級(jí)標(biāo)準(zhǔn)規(guī)范》（“《天津規(guī)范》”）發(fā)布，采用“定量與定性相結(jié)合”的方式將企業(yè)數(shù)據(jù)分為核心數(shù)據(jù)、重要數(shù)據(jù)、一般數(shù)據(jù)3個(gè)級(jí)別，并制定了重要數(shù)據(jù)的識(shí)別標(biāo)準(zhǔn)和清單。《天津規(guī)范》的適用主體僅限于天津自貿(mào)區(qū)內(nèi)企業(yè)。
2. 借助“自貿(mào)區(qū)負(fù)面清單”是否可以實(shí)現(xiàn)大規(guī)模訓(xùn)練數(shù)據(jù)出境？自貿(mào)區(qū)負(fù)面清單并非意味著監(jiān)管完全放寬，通過(guò)該機(jī)制實(shí)現(xiàn)數(shù)據(jù)出境仍存在一些制約：- 清單審批流程嚴(yán)格：根據(jù)《跨境新規(guī)》，負(fù)面清單須經(jīng)省級(jí)網(wǎng)絡(luò)安全和信息化委員會(huì)批準(zhǔn)，并報(bào)國(guó)家網(wǎng)信部門(mén)、國(guó)家數(shù)據(jù)管理部門(mén)備案。一方面，這意味著最終出臺(tái)的負(fù)面清單具備較強(qiáng)的權(quán)威性，但另一方面，這也可能會(huì)限制自貿(mào)區(qū)在負(fù)面清單制定上的自主權(quán)。
- 受限于分類(lèi)分級(jí)框架：相較于《征求意見(jiàn)稿》，《跨境新規(guī)》強(qiáng)調(diào)負(fù)面清單須在國(guó)家數(shù)據(jù)分類(lèi)分級(jí)保護(hù)制度框架下制定。一方面，站位國(guó)家安全和公共安全的重要數(shù)據(jù)大概率仍會(huì)落入“負(fù)面清單”從而適用安全評(píng)估。另一方面，涉及個(gè)體權(quán)益保護(hù)的敏感個(gè)人信息能否在“負(fù)面清單”得到降級(jí)甚至豁免，仍有待觀察。在特定語(yǔ)境下，重要數(shù)據(jù)和個(gè)人信息亦可能發(fā)生內(nèi)涵交叉。例如，《天津規(guī)范》將“企業(yè)掌握的1000萬(wàn)人以上個(gè)人信息”“100萬(wàn)人以上個(gè)人敏感信息”“10萬(wàn)人以上且包含個(gè)人銀行賬戶(hù)、個(gè)人保險(xiǎn)賬戶(hù)、個(gè)人注冊(cè)賬戶(hù)、個(gè)人診療數(shù)據(jù)等的個(gè)人敏感信息”均識(shí)別為重要數(shù)據(jù)。
- 落地時(shí)間并不確定：目前僅天津自貿(mào)區(qū)、上海自貿(mào)區(qū)在負(fù)面清單制定上動(dòng)作較快，但負(fù)面清單機(jī)制何時(shí)才能切實(shí)落地并在實(shí)踐中成熟運(yùn)作，面臨一定不確定性。
本案例中，人工智能研發(fā)需要海量訓(xùn)練數(shù)據(jù)，必然涉及大量數(shù)據(jù)出境。如果其中涉及重要數(shù)據(jù)，則即使通過(guò)自貿(mào)區(qū)仍然難以突破國(guó)家數(shù)據(jù)分類(lèi)分級(jí)框架。如果涉及大量個(gè)人信息，則亦有可能落入重要數(shù)據(jù)的范疇。如何對(duì)待上述范圍外的個(gè)人信息出境，將是衡量自貿(mào)區(qū)負(fù)面清單含金量的重要標(biāo)準(zhǔn)，解決方法亦如前文所述：盡量細(xì)化敏感個(gè)人信息的類(lèi)型及定義，同時(shí)為不同類(lèi)型的敏感個(gè)人信息設(shè)置不同的、觸發(fā)監(jiān)管的數(shù)量門(mén)檻，并明確數(shù)據(jù)脫敏的法律效果。（四）案例4：跨國(guó)公司人力資源管理場(chǎng)景 案例事實(shí)概況：某跨國(guó)公司的中國(guó)境內(nèi)子公司統(tǒng)一使用全球總部的人力資源系統(tǒng)處理中國(guó)境內(nèi)員工、求職者的個(gè)人信息，從而出境人力資源相關(guān)個(gè)人信息，其中涉及員工的身份證號(hào)、銀行卡號(hào)等敏感個(gè)人信息。1. 出境員工個(gè)人信息能否適用“跨境人力資源管理”的豁免？《跨境新規(guī)》規(guī)定，“按照依法制定的勞動(dòng)規(guī)章制度和依法簽訂的集體合同實(shí)施跨境人力資源管理，確需向境外提供員工個(gè)人信息的”，無(wú)需采取任何出境合規(guī)機(jī)制。相較于求職者，已經(jīng)入職跨國(guó)公司的員工顯然對(duì)于其個(gè)人信息出境至全球總部具備更為明確的預(yù)期，人力資源統(tǒng)一管理亦為跨國(guó)公司運(yùn)作機(jī)制的應(yīng)有之義。本案例需關(guān)注以下兩方面的制約因素，實(shí)踐中的監(jiān)管態(tài)度將決定該豁免場(chǎng)景的適用范圍：- 程序要件：《跨境新規(guī)》依然強(qiáng)調(diào)人力資源管理的依據(jù)為依法制定的勞動(dòng)規(guī)章制度和依法簽訂的集體合同。根據(jù)《勞動(dòng)合同法》，直接涉及勞動(dòng)者切身利益的規(guī)章制度需要依法履行平等協(xié)商和公示程序，而集體合同需要依法履行平等協(xié)商和報(bào)送程序。實(shí)踐中，訂立集體合同的情況很少，若嚴(yán)格要求同時(shí)具備勞動(dòng)規(guī)章制度和集體合同，必將對(duì)多數(shù)公司適用該豁免場(chǎng)景形成阻礙。
- 必要性限制：《跨境新規(guī)》依然強(qiáng)調(diào)出境員工個(gè)人信息的必要性，并將《征求意見(jiàn)稿》中的“人力資源管理所必需”改為“跨境人力資源管理所必需”。如果將其嚴(yán)格解釋為個(gè)人信息不跨境即客觀無(wú)法實(shí)現(xiàn)人力資源管理（例如，外企招聘CEO，需出境個(gè)人簡(jiǎn)歷并由總部面試候選人），則將極大限制該豁免場(chǎng)景的適用性。
此外，在員工個(gè)人信息出境場(chǎng)景中，涉及身份證號(hào)、銀行卡號(hào)等敏感個(gè)人信息出境的情況較為常見(jiàn)。若無(wú)法滿(mǎn)足該豁免場(chǎng)景的程序要件和必要性，則需要納入敏感個(gè)人信息的出境數(shù)量計(jì)算。即使出境1名員工的敏感個(gè)人信息，也需要訂立標(biāo)準(zhǔn)合同或通過(guò)個(gè)人信息保護(hù)認(rèn)證；如果結(jié)合員工之外的出境場(chǎng)景，當(dāng)年累計(jì)出境敏感個(gè)人信息達(dá)到1萬(wàn)人，還應(yīng)申報(bào)安全評(píng)估。2. 出境求職者個(gè)人信息能否適用“訂立個(gè)人合同所必需”的豁免？《跨境新規(guī)》關(guān)于“跨境人力資源管理”的豁免場(chǎng)景僅適用于員工，不包括求職者。公司收集、出境求職者個(gè)人信息的目的為招聘員工，可以考慮適用“訂立個(gè)人合同所必需”的豁免場(chǎng)景。本案例中，即使求職者應(yīng)聘境內(nèi)公司的職位，在某些情況下，公司如果不出境個(gè)人信息確實(shí)難以完成招聘流程，例如：對(duì)于通過(guò)業(yè)務(wù)考核的求職者，全球總部為滿(mǎn)足監(jiān)管或內(nèi)控要求而需對(duì)求職者進(jìn)行合規(guī)審查、背景調(diào)查，尤其是強(qiáng)監(jiān)管行業(yè)的從業(yè)人員；對(duì)于應(yīng)聘高級(jí)職位的求職者，全球總部需要直接對(duì)其進(jìn)行考核。但是，在初步遴選階段、或普通職位應(yīng)聘場(chǎng)景，出境求職者個(gè)人信息的必要性論證則存在不確定性，有可能無(wú)法適用豁免情形。題21-1_畫(huà)板 1 副本.png)
題21-1_畫(huà)板 1.png)
.png "備案圖標(biāo).png"){kind=small}
京公網(wǎng)安備110105011258
