中國數(shù)據(jù)出境安全評估準(zhǔn)備四大策略

中華人民共和國國家互聯(lián)網(wǎng)信息辦公室（以下簡稱“網(wǎng)信辦”）頒布的《數(shù)據(jù)出境安全評估辦法》（以下簡稱《辦法》）于2022年9月1日生效。該辦法為數(shù)據(jù)出境傳輸?shù)陌踩u估和審批提供了框架，不僅適用于個人信息----，也適用于比個人數(shù)據(jù)范圍更廣的重要數(shù)據(jù)。

這一辦法的實行，對于在中國經(jīng)營的跨國公司意味著大量的合規(guī)風(fēng)險，對其正在進行的或即將要進行的數(shù)據(jù)傳輸活動具有重要影響。因為對適用于數(shù)據(jù)出境安全評估的跨國企業(yè)而言，只有最終通過政府主導(dǎo)的安全評估，才可以繼續(xù)數(shù)據(jù)傳輸活動。

在中國有業(yè)務(wù)往來的企業(yè)機構(gòu)可能需要開展當(dāng)?shù)卣鲗?dǎo)的業(yè)務(wù)數(shù)據(jù)和個人數(shù)據(jù)出境安全評估?？鐕镜陌踩惋L(fēng)險管理（SRM）領(lǐng)導(dǎo)者必須提前計劃，避免數(shù)據(jù)傳輸或業(yè)務(wù)運營的中斷（見圖1）。

圖1 數(shù)據(jù)出境安全評估辦法的基本框架

政府主導(dǎo)的安全評估，只有在數(shù)據(jù)達到一定敏感程度或規(guī)模時才會觸發(fā)

如今，在中國從事國際貿(mào)易的公司無論行業(yè)和規(guī)模如何，其日常運營或多或少地以來數(shù)據(jù)跨境流動。數(shù)據(jù)跨境傳輸能力已經(jīng)成為生產(chǎn)力、創(chuàng)新和業(yè)務(wù)增長的重要組成部分和關(guān)鍵推動力。限制或喪失數(shù)據(jù)出境傳輸會導(dǎo)致管理和運營成本的增加；削弱產(chǎn)品創(chuàng)新，使產(chǎn)品無法及時進入市場；或使產(chǎn)品價格缺乏吸引力。

然而，并非所有受《辦法》監(jiān)管的數(shù)據(jù)出境傳輸活動都需要申請政府主導(dǎo)的安全評估。只有當(dāng)中國的數(shù)據(jù)處理者滿足一定條件時，才需要申請政府主導(dǎo)的安全評估。

圖2 觸發(fā)政府主導(dǎo)安全評估的決策樹

2024年3月，網(wǎng)信辦發(fā)布的《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》提出放寬數(shù)據(jù)跨境傳輸?shù)暮弦?guī)要求。該《規(guī)定》規(guī)定了在滿足具體條件的情況下，數(shù)據(jù)出境的企業(yè)機構(gòu)可以免于申報數(shù)據(jù)出境安全評估、訂立個人信息出境標(biāo)準(zhǔn)合同，或獲得個人信息保護認(rèn)證，從而促進中國大陸以外的數(shù)據(jù)流通。

長時間的申請和評估流程可能會使計劃中的項目延期

根據(jù)網(wǎng)信辦發(fā)布的信息以及收到的客戶反饋，完成安全評估大約需要三個月。企業(yè)機構(gòu)需要提前計劃，盡早根據(jù)新要求進行調(diào)整，以防數(shù)據(jù)傳輸中斷或新項目上線延遲。

向當(dāng)?shù)鼐W(wǎng)信部門申報評估需要提供必要材料。SRM領(lǐng)導(dǎo)者應(yīng)與安全、隱私、法務(wù)、合規(guī)和業(yè)務(wù)部門地關(guān)鍵利益相關(guān)者溝通，準(zhǔn)備必要的材料。材料不全或信息不準(zhǔn)確，可能會導(dǎo)致安全評估取消或失敗。

安全評估從周期性的行動變?yōu)槌掷m(xù)性合規(guī)工作

通過數(shù)據(jù)出境安全評估的結(jié)果有效期為3年。數(shù)據(jù)處理者應(yīng)當(dāng)在有效期屆滿60個工作日前申請延長評估結(jié)果或重新申報評估。

作為跨國公司，如果其快速增長的新業(yè)務(wù)依賴數(shù)據(jù)跨境流動，則應(yīng)預(yù)見到對安全評估的準(zhǔn)備和申報將成為一項持續(xù)性運營工作。這會增加管理合規(guī)成本，對于大型企業(yè)來說也許可以忽略不計，但對于中小型企業(yè)來說仍是一個重要問題。

如果跨國公司需要在一個地區(qū)集中存儲和處理從不同司法轄區(qū)（如中國、歐洲和美國）收集的客戶數(shù)據(jù)，則其需要具備對數(shù)據(jù)進行差異化處理的能力。

安全評估結(jié)果促使企業(yè)機構(gòu)重新審視本地化策略

Gartner的客戶詢問表明，中國大多數(shù)受《辦法》監(jiān)管的跨國公司已經(jīng)開始準(zhǔn)備申報或正在進行安全評估，但正式通過審批的申報數(shù)量有限。由于網(wǎng)信辦可能要求整改以及由此可能產(chǎn)生額外的管理和運營成本，企業(yè)機構(gòu)應(yīng)重新審視在中國的數(shù)據(jù)本地化和IT隔離的戰(zhàn)略。

●   數(shù)據(jù)本地化：企業(yè)機構(gòu)需要明確哪些法律和監(jiān)管要求適用于于其在中國的現(xiàn)有業(yè)務(wù)和未來擴張計劃，并且在選擇本地化路線時，需要同時考慮企業(yè)機構(gòu)的風(fēng)險偏好和中國市場產(chǎn)生的業(yè)務(wù)價值。

●   中國的IT隔離：在考慮是否有必要專門為中國市場搭建一個獨立的IT環(huán)境時，除了法律和合規(guī)性的考量（例如數(shù)據(jù)本地化、等保2.0），還要考慮到其他業(yè)務(wù)和技術(shù)層面，比如業(yè)務(wù)生態(tài)系統(tǒng)和協(xié)同作用、服務(wù)和技術(shù)提供商的可用性。