數(shù)據(jù)如何安全出境？近年來，隨著《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護法》相繼施行，這一問題備受關(guān)注。
網(wǎng)絡(luò)安全法、個人信息保護法等規(guī)定，數(shù)據(jù)確需向境外提供的，要進行安全評估，比如個人信息保護法第四十條規(guī)定：“關(guān)鍵信息基礎(chǔ)設(shè)施運營者和處理個人信息達到國家網(wǎng)信部門規(guī)定數(shù)量的個人信息處理者，應(yīng)當(dāng)將在中華人民共和國境內(nèi)收集和產(chǎn)生的個人信息存儲在境內(nèi)。確需向境外提供的，應(yīng)當(dāng)通過國家網(wǎng)信部門組織的安全評估；法律、行政法規(guī)和國家網(wǎng)信部門規(guī)定可以不進行安全評估的，從其規(guī)定。”
10月29日，國家互聯(lián)網(wǎng)信息辦公室發(fā)布的《數(shù)據(jù)出境安全評估辦法（征求意見稿）》（以下簡稱《征求意見稿》），對數(shù)據(jù)安全評估作出系統(tǒng)性規(guī)定，提出數(shù)據(jù)出境安全評估堅持事前評估和持續(xù)監(jiān)督相結(jié)合、風(fēng)險自評估與安全評估相結(jié)合的制度，對企業(yè)數(shù)據(jù)跨境業(yè)務(wù)要求更多合規(guī)責(zé)任。
數(shù)據(jù)出境前企業(yè)
需事先開展“風(fēng)險自評估”
中國信息通信研究院云計算與大數(shù)據(jù)研究所工程師仵姣姣表示，《征求意見稿》開宗明義，規(guī)定出境評估制度是事前評估和持續(xù)監(jiān)督相結(jié)合、風(fēng)險自評估與安全評估相結(jié)合的一套制度。風(fēng)險自評估可以被理解為是申報數(shù)據(jù)出境安全評估的前提條件和組成部分。
實際上，國家網(wǎng)信辦在2017年發(fā)布的《個人信息和重要數(shù)據(jù)出境安全評估辦法（征求意見稿）》第七條就規(guī)定：“網(wǎng)絡(luò)運營者應(yīng)在數(shù)據(jù)出境前，自行組織對數(shù)據(jù)出境進行安全評估，并對評估結(jié)果負責(zé)�！毕啾容^而言，此次出臺的《征求意見稿》第五條除明確數(shù)據(jù)處理者在向境外提供數(shù)據(jù)前應(yīng)事先開展數(shù)據(jù)出境風(fēng)險自評估外，還列舉出了需要重點評估的事項，包括數(shù)據(jù)出境及境外接收方處理數(shù)據(jù)的目的、范圍、方式等的合法性、正當(dāng)性、必要性；出境數(shù)據(jù)的數(shù)量、范圍、種類、敏感程度、數(shù)據(jù)出境可能對國家安全、公共利益、個人或者組織合法權(quán)益帶來的風(fēng)險；數(shù)據(jù)處理者在數(shù)據(jù)轉(zhuǎn)移環(huán)節(jié)的管理和技術(shù)措施、能力等能否防范數(shù)據(jù)泄露、毀損等風(fēng)險；境外接收方承諾承擔(dān)的責(zé)任義務(wù)，以及履行責(zé)任義務(wù)的管理和技術(shù)措施、能力等能否保障出境數(shù)據(jù)的安全；數(shù)據(jù)出境和再轉(zhuǎn)移后泄露、毀損、篡改、濫用等的風(fēng)險，個人維護個人信息權(quán)益的渠道是否通暢等；與境外接收方訂立的數(shù)據(jù)出境相關(guān)合同是否充分約定了數(shù)據(jù)安全保護責(zé)任義務(wù)。
此外，《征求意見稿》還列舉了企業(yè)開展風(fēng)險自評估需要重點評估的事項，規(guī)定了企業(yè)申報數(shù)據(jù)出境安全評估應(yīng)當(dāng)提交的材料，以及國家網(wǎng)信部門對數(shù)據(jù)出境安全評估重點評估的事項。
“《征求意見稿》規(guī)定的企業(yè)風(fēng)險自評估的重點評估事項和網(wǎng)信部門重點評估的事項，在內(nèi)容上看大體一致，這實際上更有利于企業(yè)降低合規(guī)成本�！敝袊娮蛹夹g(shù)標準化研究院網(wǎng)絡(luò)安全研究中心測評實驗室副主任何延哲說，“風(fēng)險自評估”是目前國際通行的風(fēng)險管理方法。此次《征求意見稿》不僅明確了數(shù)據(jù)出境風(fēng)險自評估制度，還對評估制度具體內(nèi)容作了進一步細化規(guī)定，給予企業(yè)更加明確的合規(guī)指引。企業(yè)事前做好“風(fēng)險自評估”工作，可以為之后的申報評估節(jié)省成本，這也讓企業(yè)更重視事前的數(shù)據(jù)安全合規(guī)責(zé)任�！胺粗�，如果企業(yè)事前不注重數(shù)據(jù)安全合規(guī)工作，在‘風(fēng)險自評估’質(zhì)量、精準度等方面糊弄了事，那么后期申報評估就會遇到諸多阻礙�！�
仵姣姣認為，《征求意見稿》最大的亮點在于非常清晰地明確了申報出境評估的內(nèi)容和流程，從實體層面來看，明確了出境評估的標準、評估的重點事項、材料清單、合同約定內(nèi)容等事項；從程序?qū)用鎭砜矗?guī)范了網(wǎng)信部門受理申報后全流程的行政程序，對相關(guān)企業(yè)和網(wǎng)信部門都有重要指導(dǎo)意義。
對“用戶數(shù)量”
提出量化標準
如何確定自己應(yīng)不應(yīng)該申報數(shù)據(jù)出境安全評估？《征求意見稿》第四條規(guī)定，數(shù)據(jù)處理者向境外提供數(shù)據(jù)，符合以下情形之一的，應(yīng)當(dāng)通過所在地省級網(wǎng)信部門向國家網(wǎng)信部門申報數(shù)據(jù)出境安全評估：（一）關(guān)鍵信息基礎(chǔ)設(shè)施的運營者收集和產(chǎn)生的個人信息和重要數(shù)據(jù)；（二）出境數(shù)據(jù)中包含重要數(shù)據(jù)；（三）處理個人信息達到一百萬人的個人信息處理者向境外提供個人信息；（四）累計向境外提供超過十萬人以上個人信息或者一萬人以上敏感個人信息；（五）國家網(wǎng)信部門規(guī)定的其他需要申報數(shù)據(jù)出境安全評估的情形。對外經(jīng)濟貿(mào)易大學(xué)數(shù)字經(jīng)濟與法律創(chuàng)新研究中心主任許可表示，上述規(guī)定的第（一）種情形在網(wǎng)絡(luò)安全法第三十七條中早有明文規(guī)定，第（三）（四）種情形則屬于新增規(guī)定�！暗冢ㄈ╉椀囊�(guī)定，上位法的依據(jù)為個人信息保護法第四十條的規(guī)定�！钡@其中“一百萬”的數(shù)量規(guī)定是否合適，有待商榷。國家市場監(jiān)督管理總局10月29日公布的《互聯(lián)網(wǎng)平臺分類分級指南（征求意見稿）》對“用戶數(shù)量”已經(jīng)提出可操作的量化標準。
《互聯(lián)網(wǎng)平臺分類分級指南（征求意見稿）》在平臺分級方面規(guī)定，超級平臺的用戶規(guī)模為在中國上年度年活躍用戶不低于5億，大型平臺用戶規(guī)模為在中國的上年度年活躍用戶不低于5000萬。
許可表示，從個人信息保護法第四十條的規(guī)定來看，“處理個人信息達到國家網(wǎng)信部門規(guī)定數(shù)量的個人信息處理者”與“關(guān)鍵信息基礎(chǔ)設(shè)施運營者”為并列關(guān)系，兩者在法律性質(zhì)上應(yīng)當(dāng)具備邏輯上的同一性或類似性。
而根據(jù)《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護條例》第二條和第九條的規(guī)定，關(guān)鍵基礎(chǔ)設(shè)施是一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能嚴重危害國家安全、國計民生、公共利益的重要網(wǎng)絡(luò)設(shè)施、信息系統(tǒng)，在認定時應(yīng)當(dāng)考慮“（一）網(wǎng)絡(luò)設(shè)施、信息系統(tǒng)等對于本行業(yè)、本領(lǐng)域關(guān)鍵核心業(yè)務(wù)的重要程度；（二）網(wǎng)絡(luò)設(shè)施、信息系統(tǒng)等一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露可能帶來的危害程度；（三）對其他行業(yè)和領(lǐng)域的關(guān)聯(lián)性影響”這些因素。
基于此，許可認為，《征求意見稿》中對需要申報數(shù)據(jù)出境安全評估的“個人信息處理者”的界定，不能只規(guī)定“處理個人信息數(shù)量達到一定數(shù)量”，還應(yīng)當(dāng)納入個人信息處理者的業(yè)務(wù)類型、重要程度、關(guān)聯(lián)影響等因素。
數(shù)據(jù)出境后安全評估
應(yīng)考慮技術(shù)措施
仵姣姣表示，《征求意見稿》非常清晰地量化了處理個人數(shù)據(jù)達到怎樣的規(guī)模后需要進行風(fēng)險評估，需要注意的是還應(yīng)衡量具體數(shù)額的明確性以及自由裁量的空間。
仵姣姣舉例說，例如一些智能穿戴設(shè)備、網(wǎng)聯(lián)汽車等行業(yè)，處理數(shù)據(jù)涉及人數(shù)雖然也許不多，但可能帶來的風(fēng)險甚至?xí)哂诓糠只ヂ?lián)網(wǎng)企業(yè)收集的消費行為數(shù)據(jù)。
許可表示，數(shù)據(jù)出境安全評估涉及的個人信息、重要數(shù)據(jù)以及個人信息向重要數(shù)據(jù)轉(zhuǎn)化的問題，數(shù)量規(guī)模只是其中一個認定因素，應(yīng)當(dāng)從多重維度判斷�！氨热纭墩髑笠庖姼濉芬�(guī)定：‘累計向境外提供超過十萬人以上個人信息或者一萬人以上敏感個人信息’，針對特殊敏感人群，‘十萬人’的門檻可能過高，而針對大眾，‘十萬人’的門檻又可能過低�！�
何延哲說，實踐中，達到“處理個人信息達到一百萬人的個人信息處理者”的企業(yè)比例不小，如果按照《征求意見稿》現(xiàn)有的規(guī)定，那么對確有數(shù)據(jù)出境需求的企業(yè)而言，數(shù)據(jù)出境安全評估可能會成為一種常態(tài)義務(wù)。
此外，《征求意見稿》還對數(shù)據(jù)出境后的風(fēng)險防范作了規(guī)定。數(shù)據(jù)處理者申報數(shù)據(jù)出境安全評估應(yīng)當(dāng)提交數(shù)據(jù)處理者與境外接收方擬訂立的合同或者其他具有法律效力的文件等�！墩髑笠庖姼濉返诰艞l對合同應(yīng)涉及的數(shù)據(jù)安全保護責(zé)任義務(wù)等內(nèi)容也作了規(guī)定，要求應(yīng)當(dāng)包括境外接收方處理數(shù)據(jù)的用途、方式等；數(shù)據(jù)在境外保存的地點、期限，以及達到保存期限、完成約定目的或者合同終止后出境數(shù)據(jù)的處理措施；限制境外接收方將出境數(shù)據(jù)再轉(zhuǎn)移給其他組織、個人的約束條款；境外接收方在實際控制權(quán)或者經(jīng)營范圍發(fā)生實質(zhì)性變化，或者所在國家、地區(qū)法律環(huán)境發(fā)生變化導(dǎo)致難以保障數(shù)據(jù)安全時，應(yīng)當(dāng)采取的安全措施；違反數(shù)據(jù)安全保護義務(wù)的違約責(zé)任和具有約束力且可執(zhí)行的爭議解決條款；發(fā)生數(shù)據(jù)泄露等風(fēng)險時，妥善開展應(yīng)急處置，并保障個人維護個人信息權(quán)益的通暢渠道等內(nèi)容。
何延哲認為，合同通常在跨境貿(mào)易中扮演重要角色，《征求意見稿》對合同內(nèi)容的規(guī)定是一大亮點。但對企業(yè)來說，操作指引確實越細越好，如有規(guī)范的不同場景的合同范例，將更有助于推動出境管理制度有效落地。
何延哲表示，數(shù)據(jù)安全重在預(yù)防風(fēng)險，《征求意見稿》還可以提出一些具體的技術(shù)措施開展預(yù)防工作。比如即時通信中常用的“閱后即焚”機制，可以有效控制信息的二次傳播�！叭绻鼍澈蟮臄�(shù)據(jù)采取一些使用限制條件、安全審計等技術(shù)措施，就可以有效降低數(shù)據(jù)出境后的風(fēng)險�！保ㄗ髡撸骸醣旧缬浾� 任文岱）